Die Differenzierung zwischen personenbezogenen und nicht-personenbezogenen Daten bildet den Ausgangspunkt jeder datenschutzrechtlichen Prüfung. Sie wird nachvollziehbar, wenn man sich vor Augen führt, dass das Datenschutzrecht in seiner heutigen Ausgestaltung nicht geschaffen wurde um ganz allgemein Verhaltensnormen beim Umgang mit Daten aufzustellen, sondern um das vom Bundesverfassungsgericht im sogenannten Volkszählungsurteil entwickelte Recht des Einzelnen auf informationelle Selbstbestimmung umzusetzen.

Dieses aus dem allgemeinen Persönlichkeitsrecht entwickelte Recht gewährleistet die Befugnis des Einzelnen, grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu bestimmen. Insbesondere - aber nicht nur - unter den Bedingungen der modernen Datenverarbeitung muss der Bürger gegen unbegrenzte Erhebung, Speicherung, Verwendung und Weitergabe seiner personenbezogenen Daten geschützt werden. Einschränkungen des Rechts auf informationelle Selbstbestimmung soll der Einzelne daher nur in gesetzlich genau bestimmten Fällen und im überwiegenden Allgemeininteresse hinnehmen müssen. Die einzelnen datenschutzrechtlichen Bestimmungen dienen somit dazu, diese Vorgaben des Bundesverfassungsgerichts umzusetzen.

Personenbezogene Daten sind Einzelangaben aller Art über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person" (vergleiche zum Beispiel § 3 BDSG). Im schulischen Bereich sind dies zum Beispiel folgende Daten: Vor- und Nachnamen, Geburtstage, Familienstand, Körpergröße, Augenfarbe, Postanschriften und E-Mail-Adressen, Telefonnummern von Schülerinnen und Schülern, Erziehungsberechtigten oder Lehrkräften, Schüler- und Lehrerlisten, Noten und andere Bewertungen in Bezug auf die Schülerinnen und Schüler, Lehrverpflichtungen und Lehrbefähigungen der Lehrkräfte, aber auch Fotografien und Videoaufzeichnungen, persönliche Verhältnisse (Familienstand, Hobbys usw.) oder Gewohnheiten (Raucher, Sportler usw.). Die Unterscheidung zwischen persönlichen und sachlichen Verhältnissen ist dabei nicht rechtserheblich und in der Praxis oft fließend.

Zu den Daten zählen im Übrigen nicht nur in EDV-Systemen oder in Dateien enthaltene Computerdaten, sondern alle Einzelinformationen, die in irgendeiner Form erhoben, gespeichert und weiterverarbeitet werden können. Aus diesem Grunde fallen zum Beispiel auch in Karteien, Akten und sonstigen Unterlagen enthaltene Informationen, Klassenbucheinträge oder handschriftliche Wochenberichte unter den weiten Begriff der Daten.

Das Bundesverfassungsgericht hatte, wie bereits erwähnt, im sogenannten Volkszählungsurteil vom 15.12.1983 dargelegt, dass nur persönliche Informationen, soweit sie einer bestimmten natürlichen Person zugeordnet werden können, unter bestimmten Voraussetzungen vor staatlichen Eingriffen geschützt sind. Wetterdaten, Staumeldungen oder die Aussage "An unserer Schule ist das Lehrer-Schüler-Verhältnis 1:12." sind dagegen abstrakte Informationen, die weder die persönlichen, noch die sachlichen Verhältnisse einer bestimmten Person betreffen. Schon aus diesem Grunde kann die Veröffentlichung oder Speicherung solcher allgemeiner Informationen ohne Personenbezug nicht in das Grundrecht auf informationelle Selbstbestimmung des Einzelnen eingreifen und wird daher auch vom Geltungsbereich der datenschutzrechtlichen Bestimmungen nicht erfasst. Sachdarstellungen ohne Personenbezug sind im Rahmen einer Selbstdarstellung und Präsentation der Schule im Internet daher datenschutzrechtlich unproblematisch.

Eine weitere Einschränkung des Anwendungsbereichs der datenschutzrechtlichen Vorschriften folgt ebenfalls mittelbar aus der eben erwähnten Entscheidung des Bundesverfassungsgerichts. Das Recht auf informationelle Selbstbestimmung gehört zu den so genannten Individualgrundrechten, die im Grundsatz nur natürlichen Personen, nicht aber Körperschaften, Anstalten oder juristischen Personen des öffentlichen oder privaten Rechts, wie zum Beispiel Unternehmen, zustehen (siehe "Firma-Fall").

Darüber hinaus dienen die Grundrechte vor allem dem Schutz der Bürgerinnen und Bürger vor staatlichen Eingriffen. Organe und Behörden des Staates, wie zum Beispiel die Stadtverwaltung, das Finanzamt oder eine öffentliche Schule können sich daher selbst nicht auf das Recht auf informationelle Selbstbestimmung berufen. Im Gegenteil: Diese Stellen sind die primär Verpflichteten der datenschutzrechtlichen Bestimmungen, denen gegenüber der einzelne Bürger sein Recht auf informationelle Selbstbestimmung geltend machen kann. Daher wurden die öffentlich-rechtlichen Einrichtungen konsequenterweise auch nicht in den Schutzbereich des Datenschutzrechts einbezogen.

Schließlich müssen die Angaben einer bestimmten oder bestimmbaren natürlichen Person zugeordnet sein oder zugeordnet werden können, das heißt personenbezogen sein.

Bestimmt ist eine Person, wenn sie mit den zu ihr gespeicherten Daten oder verfügbaren Informationen eindeutig zu identifizieren ist. Eine eindeutige Zuordnung ist gegeben, wenn die betroffene Person aufgrund der Angaben bereits zweifelsfrei feststeht. Dies ist grundsätzlich schon dann der Fall, wenn nur der Name oder der Name und der Wohnort veröffentlicht werden. So wird im Beispielfall "Lehrerliste" der Umstand, dass ein Dienstverhältnis an der Schule besteht, den dort namentlich aufgeführten individualisierten Personen zugeordnet und ist damit personenbezogen.

In vielen Fällen fehlt es an einer so eindeutigen Zuordnung. Für einen Personenbezug reicht es aber auch schon aus, wenn die Person zwar nicht direkt oder eindeutig durch die vorhandenen Daten identifiziert ("bestimmt") wird, die Zuordnung jedoch indirekt vorgenommen werden kann ("bestimmbar"). Dies ist der Fall, wenn besondere Umstände hinzutreten, die eine Individualisierung ermöglichen, etwa wenn mit leicht erreichbarem Zusatzwissen eine eindeutige Identifizierung der betroffenen Person möglich ist. Gibt die Schule beispielsweise bekannt, dass "der Schüler F." erwischt wurde, als er eine Scheibe beschädigt hat, lässt sich dieser Umstand möglicherweise kaum einem individuellen Schüler zuordnen. Anders fällt die Bewertung aber im Beispielsfall "Vorname" aus. Nennt die Schule auf ihrer Homepage den Vornamen, den Anfangsbuchstaben des Nachnamens und die Klasse des Schülers, ist in der Regel eine Identifizierung für den interessierten Personenkreis, sprich Lehrkräfte, Mitschülerinnen und Mitschüler, Bekannte und so weiter, möglich und führt damit ebenfalls zu einem Personenbezug der Information.