Ist ein Benutzername im Internet ein personenbezogenes Datum im Sinne der DSGVO?

Ein Benutzername, wie er etwa in sozialen Netzwerken, Online-Foren oder Anmeldesystemen verwendet wird, erscheint oft unverfänglich. Datenschutzrechtlich entfaltet er jedoch erhebliche Relevanz. Aktuelle Rechtsprechung und Behördenpraxis zeigen, dass auch vermeintlich neutrale Angaben identifizierend wirken.

Wann ist ein Benutzername ein personenbezogenes Datum?

Personenbezogene Daten sind „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen“ (Art. 4 Nr. 1 DSGVO). Ein Benutzername fällt hierunter, sobald er zur Identifizierung einer Person beitragen kann.

Das OLG Frankfurt hat entschieden, dass ein aus Teilen des Vor- und Nachnamens gebildeter Facebook-Benutzername trotz Verfremdung ein personenbezogenes Datum darstellt, wenn er mit weiteren Angaben, etwa einer Mobilfunknummer, verknüpft wird (Urteil vom 09.05.2025, Az. 6 U 53/24). Maßgeblich ist damit nicht der Benutzername isoliert betrachtet, sondern seine Einbettung in einen identifizierenden Datenkontext.

Welche Pflichten ergeben sich daraus für Plattformen und Anmeldesysteme?

Plattformbetreiber sind verpflichtet, datenschutzfreundliche Voreinstellungen zu wählen (Art. 25 DSGVO). Im Facebook-Fall führten insbesondere suchbare Telefonnummern dazu, dass Profile ausgespäht und personenbezogene Daten im Darknet veröffentlicht wurden. Der daraus resultierende Kontrollverlust wurde als immaterieller Schaden anerkannt.

Ergänzend lohnt ein Blick nach Dänemark: Die dortige Datenschutzbehörde prüfte die verpflichtende Anmeldung beim Streamingdienst DR TV. Zwar beanstandete sie die Login-Pflicht als solche nicht, kritisierte jedoch die Erhebung von Nutzernamen als nicht erforderlich im Sinne des Datenminimierungsprinzips (Art. 5 Abs. 1 lit. c DSGVO). In der Folge weist der Dienst nun ausdrücklich darauf hin, dass kein Klarname verwendet werden muss.

Fazit: Identifikationsrisiken minimieren

Insgesamt zeigt sich, dass Benutzernamen keine bloße Formalie darstellen, sondern Teil der datenschutzrechtlich relevanten Identität einer Person sind. Ihre Bedeutung erschließt sich nicht isoliert, sondern im Zusammenspiel mit weiteren Daten.

Gerade in dieser Kombination kann der Nutzername zur Brücke zwischen einer vermeintlich anonymen Online-Präsenz und der realen Identität werden. Anbieter sind somit dazu angehalten, Identifikationsrisiken bereits bei der Systemgestaltung aktiv zu minimieren, anstatt sie auf die Nutzerinnen und Nutzer zu verlagern.