DSGVO - BDSG - TTDSG

1

Art. 4 DSGVO enthält Legaldefinitionenfür insgesamt 26 verschiedene, in der DSGVO verwendete Begriffe. Dies stellt eine erhebliche Erweiterung gegenüber der EG-DSRl dar, die in Art. 2 EG-DSRl nur acht Legaldefinitionen enthielt. Diese acht Begriffe werden – teilweise in leicht geänderter Form – auch in der DSGVO definiert. Darüber hinaus definiert die DSGVO noch 18 weitere Begriffe.

2

Gleich die erste Definitiondes Art. 4 DSGVO von „personenbezogenen Daten“ dürfte als eine der wichtigsten Definitionen in der DSGVO gelten. Personenbezogene Daten sind gemäß Art. 2 Abs. 1 DSGVO nämlich Anknüpfungspunkt für die sachliche Anwendbarkeit der DSGVO.2 Nach Art. 4 Nr. 1 DSGVO sind personenbezogenen Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, die in der DSGVO als „betroffene Person“ bezeichnet wird.

3

Neben dem allgemeinen Kanon der personenbezogenen Daten gibt es unter der DSGVO auch die besonders sensiblen und dementsprechend stärker geschützten Unterkategoriender sog. besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO, der personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO und der gegebenenfalls mitgliedstaatsrechtlich besonders geschützten personenbezogenen Beschäftigtendaten im Beschäftigungskontext nach Art. 88 DSGVO.

4

Die Definition der personenbezogenen Daten in Art. 4 Nr. 1 DSGVO unterscheidet sich nur von der Wortwahl und Struktur von den kürzeren, weniger präzisierten Definitionen nach § 3 Abs. 1 BDSG a.F. und Art. 2 lit. a DSRl, inhaltlich stimmen sie jedoch überein.3 Die Arbeitspapiere der Art.-29-Datenschutzgruppe und EuGH-Entscheidungen mit Bezug zur Auslegung des Begriffs der personenbezogenen Daten noch nach der DSRl sind dementsprechend auch unter der DSGVO heranzuziehen.4

5

Die DSGVO geht in Art. 4 Nr. 1 für die personenbezogene Daten zugrunde liegenden Informationen von einem sehr weiten, weil unbeschränkten Verständnisdes Informationsbegriffs aus („alle Informationen“).5 Dies war bereits unter § 3 Abs. 1 BDSG a.F. der Fall, wenn auch dort noch von Einzelangaben statt Informationen die Rede war, was inhaltlich jedoch zu keiner Änderung führen dürfte.

6

Unter den Informationsbegriff des Art. 4 Nr. 1 DSGVO fallen sowohl Tatsachen (sog. „objektive“ Informationen; z.B. „X hat diese Saison bereits 20 Tore geschossen“), egal, ob wahr oder bewiesen, als auch Meinungen und Beurteilungen (sog. „subjektive“ Informationen; z.B. Werturteile wie „X ist ein guter Stürmer und ist sein hohes Gehalt wert“ oder Wahrscheinlichkeitswerte).6 Es kommt im Prüfungspunkt der Information auch nicht auf den Aussagegehalt und die persönlichkeitsrechtliche Implikation der Information an, sondern es sind auch vermeintlich belanglose Informationen geschützt.7

7

Der Informationsbegriff ist dabei formneutral(z.B. akustisch, alphabetisch, fotografisch,8 grafisch, numerisch etc.) und unabhängig von der Speicherart (z.B. auf einem Videoband, schriftlich auf Papier, binär auf einer Festplatte, im menschlichen Gewebe9 etc.).10 Die Form der Verarbeitung und die Speicherart spielen lediglich eine Rolle beim sachlichen Anwendungsbereich der DSGVO nach Art. 2 Abs. 1 DSGVO (siehe dazu unten Rn. 56ff.).11

8

Wäre jede Information, ganz gleich welchen Inhalts, von der DSGVO geschützt, würde dies zu einer maximal extensiven Anwendbarkeit der DSGVO und damit zu einem weder zu rechtfertigenden noch zu verkraftenden Aufwand für Datenverarbeiterführen. Von der Definition des Art. 4 Nr. 1 DSGVO sind dementsprechend nur Daten umfasst, die einen Personenbezug im Hinblick auf natürliche Personen aufweisen.

9

Der Personenbezug nach Art. 4 Nr. 1 DSGVO liegt vor, wenn die Information sich auf eine Person und nicht ausschließlich auf Sachen bezieht, die in Bezug genommene Person eine natürliche Person ist und die Person durch den Bezug identifiziert oder identifizierbar ist.12

10

Eine Information muss zuvorderst eine Verbindung zu einer natürlichen Person aufweisen. Weist eine Information hingegen ausschließlich Bezüge zu Gegenständen auf (sog. Sachdaten; z.B. „Der hier ausgestellte Computer hat einen Prozessor mit einer Taktfrequenz von 3,4 Gigahertz“), besteht kein Personenbezug nach Art. 4 Nr. 1 DSGVO. In diesem Prüfungspunkt geht es noch nicht darum, ob die konkrete Person hinter der Information wirklich identifizierbar ist (insbesondere durch die jeweils verarbeitende Stelle, vgl. nachfolgend Rn. 33ff.), sondern ob die Information je nach Kontext überhaupt mit natürlichen Personen in Verbindung gebracht werden kann.

11

Nach der Art.-29-Datenschutzgruppe beziehen sich Daten auf Personen, wenn sie die Identität, die Merkmale oder das Verhalten dieser Person betreffen oder wenn sie verwendet werden, um die Art festzulegen oder zu beeinflussen, in der die Person behandelt oder beurteilt wird.13 Sie unterscheidet personenbezogene Daten insofern in solche mit Inhalts-(„über“), Zweck-(„um“) und Ergebniselementen(„auswirken“), wobei mehrere Elemente vorhanden sein können, aber nicht müssen.14

12

Zu beachten ist dabei, dass reine Sachdaten in der Praxis äußerst selten sind. So lassen sich viele Angaben, die sich zwar vordergründig auf Sachen beziehen, je nach Kontext, entsprechender Zuordnung zu einer Person oder durch entsprechendes Zusatzwissen zumindest mittelbarauch auf eine Person beziehen. Die Funktion einer IP-Adresse15 ist beispielsweise, Computer untereinander adressierbar und damit erreichbar zu machen. Eine IP-Adresse ist somit zwar in erster Linie eine Information über eine Sache, nämlich den Computer. Da IP-Adressen in der Regel jedoch von Internetzugangsanbietern an ihre jeweiligen Kunden vergeben werden, können IP-Adressen damit auch durch die Zuweisung an bestimmte Vertragspartner eine Verbindung zu natürlichen Personen aufweisen (zur Identifizierbarkeit des Nutzers anhand der IP-Adresse sogleich unten Rn. 34).16 Weitere Beispielevon sich zwar in der Hauptfunktion auf Sachen beziehende Informationen, die aber potenziell auch einen Personenbezug aufweisen können, sind Cookies,17 Geodaten,18 KfZ-Scheckhefte und Kreditkartennummern.

13

Eine Personenbezogenheit von Daten kann sich auch erst im Zuge deren Verarbeitung ergeben. So können eigentlich (inhaltsleere) sachbezogene Daten so zusammengeführt und kombiniert werden, um einen Personenbezug erst herzustellen.19 Aufgrund dieses Zweckelements handelt es sich um Daten mit Personenbezug.20 Daten mit Ergebniselement haben den Personenbezug weder als Inhalt noch als Zweck, ihre Verarbeitung kann aber Auswirkungen auf die Person haben (z.B. die bei einer Standortüberwachung von Taxis zur Verbesserung der Servicequalität erhobenen Daten, die als ungeplanter Nebeneffekt auch zur Kontrolle der Taxifahrer verwendet werden können).21

14

Auch im Rahmen des Internet of Things-Trends produzieren die miteinander vernetzten Haushaltsgeräte häufig Daten, die grundsätzlichauch einer bestimmten Person, etwa dem jeweiligen Nutzer oder Inhaber des jeweiligen Endgeräts, zugeordnetwerden können; Entsprechendes gilt etwa für Telemetriedaten von Fahrzeugen.22