DSGVO relativer oder absoluter Personenbezug der Daten

Bislang war man bei der Datenschutzgrundverordnung DSGVO von einer unternehmensfreundlichen Umsetzung ausgegangen, wo statt Strafen zunächst die Forderung zur Nachbesserung im Vordergrund steht. Nun vermeldet ein einschlägiger Newsletter, dass zahlreiche Bußgeldverfahren angelaufen seien.

Ist Personenbezug von Daten relativ oder absolut zu beurteilen ?

Für die Beantwortung dieser Frage ist der Begriff der personenbezogenen Daten aus der Datenschutzgrundverordnung entscheidend. Nach Art. 4 Ziff. 1 DSGVO sind personenbezogene Daten jede Art von Informationen die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Auf Sachdaten und aggregierte Daten ist die DSGVO grundsätzlich nicht anwendbar. Sachdaten sind Daten, die sich nicht auf eine bestimmte oder bestimmbare Person beziehen, z.B. Schließplan einer Firma oder Bürohauses. Sachdaten können aber durch Zuordnung zu einzelnen Personen (namentliches Schlüsselverzeichnis) wieder Personenbezug erlangen. Aggregierte Daten sind Daten anhand derer Einzelpersonen nicht mehr bestimmbar sind, z.B. Umsatzzahlen.

Unter dem Begriff “identifizierbar” versteht der Gesetzgeber alle Daten die einer bestimmten Person zugeordnet werden können und sie dadurch direkt oder indirekt identifizierbar machen. Eine Person gilt danach als identifiziert, wenn durch die Zuordnung der Daten (z.B. Vor- oder Nachname, Telefonnummer, E-Mail-Adresse) ein direkter Bezug zu der Person hergestellt werden kann. Ist die Zuordnung nur indirekt mit Zusatzwissen möglich, handelt es sich um eine bestimmbare Person. Dieses Zusatzwissen kann auch von Drittpersonen kommen. Mit Inkrafttreten der Datenschutzgrundverordnung wurde der Begriff der personenbezogenen Daten aber erheblich erweitert. Danach sind auch physische Merkmale (Geschlecht, Haar- und Augenfarbe und Kleidergröße), Kennnummern (Personalausweisnummer und Sozialversicherungsnummer) oder Onlinedaten (Cookies, User-IDs und IP-Adressen) personenbezogene Daten, wenn sie einer bestimmten Person zugeordnet werden können.

Was gilt jetzt: Relative oder absolute Bestimmbarkeit ?

Für die relative Bestimmbarkeit (relativer Ansatz) von Daten kommt es darauf an, ob dem Empfänger das zur Identifizierung einer Person erforderliche Zusatzwissen tatsächlich zur Verfügung steht. Dafür spricht der Erwägungsgrund 26 zur Datenschutzgrundverordnung. EG 26 stellt darauf ab, dass die Identifizierbarkeit (Bestimmbarkeit) einer Person danach zu beurteilen ist, ob der verantwortlichen Stelle die Identifizierung der Person mit Mitteln möglich ist, die sie nach allgemeinem Ermessen wahrscheinlich auch nutzen würde. Daraus ergibt sich dass bei ausreichendem Zusatzwissen der verantwortlichen Stelle die Person nur gegenüber dieser bestimmten Stelle, also nur in Relation (Beziehung) zu ihr, bestimmbar ist. Erwägungsgrund 26 stellt jedoch alternativ auf nicht näher definierte andere Person ab, was wiederum für eine absolute Bestimmbarkeit spricht. Dagegen spricht wiederum Erwägungsgrund 30 zur DSGVO, der beispielhaft ausführt, dass für die Identifizierung natürlicher Personen eventuell auch IP-Adressen genutzt werden können. IP-Adressen sind damit also nicht für jede Stelle automatisch personenbezogen. Für die absolute Bestimmbarkeit (absoluter Ansatz) genügt schon die theoretische Möglichkeit der Identifizierung einer Person. Das bedeutet, das jedes Zusatzwissen Dritter relevant ist, unabhängig davon ob eine faktische oder rechtliche Möglichkeit besteht an dieses Wissen zu gelangen.

FAZIT:

In der Konsequenz führt der relative Ansatz dazu, das viele Daten nicht vom Datenschutzrecht erfasst werden. Umgekehrt führt der absolute Ansatz zu einer weiten Anwendung des Datenschutzrechts. Die rechtliche Beurteilung in Deutschland ist uneinheitlich. Während in der Rechtsliteratur überwiegend der relative Ansatz für richtig gehalten wird, gehen die deutschen Aufsichtsbehörden, die Europäische Kommission und auch der Europäischen Gerichtshof in der Praxis vom einem absoluten Ansatz bei personenbezogenen Daten aus. Vielleicht ist ein Mittelweg der richtige Ansatz.