DSGVO - BDSG - TTDSG

26

Unklar ist, ob individuell, dauerhaft und in Bezug auf eine bestimmte natürliche Person vergebene Kennungen wie die Sozialversicherungsnummer und die Steueridentifikationsnummerbereits von sich aus eine Identifizierung ermöglichen oder hierzu entsprechendes Referenzwissen erforderlich ist.54 In Rekurs auf das oben genannte Beispiel einer Menschenmenge wäre insoweit erforderlich, dass eine bestimmte Person auf Grundlage der bloßen Kenntnis einer solchen Kennziffer aus einer Gruppe ausgesondert werden können müsste. Hierzu wird es maßgeblich auf den jeweiligen organisatorischen Zusammenhang ankommen.55 In aller Regel wird sich eine Zuordnung jedoch nur anhand entsprechenden Referenzwissens über den Träger der Kennung herstellen lassen; folglich ist zu prüfen, ob die jeweilige datenverarbeitende Stelle über das nötige Zusatzwissenverfügt oder ihr entsprechende Mittel vernünftigerweise zur Verfügung stehen, dieses Zusatzwissen zu erhalten (dazu unten Rn. 33).56

27

Online-Kennungen(z.B. IP- und MAC-Adressen, Smartphone-IDs, Cookie-IDs oder andere ähnliche Technologien wie Device-Fingerprinting) identifizieren für sich allein genommen regelmäßig keine Person, da sich aus ihnen unmittelbar weder die Identität der natürlichen Person, der der Computer gehört, von dem aus eine Website aufgerufen wurde, noch die Identität einer anderen Person, die diesen Computer benutzen könnte, ergibt.57 Insofern ermöglichen solche Kennungen isoliert allenfalls ein individuelles Ansprechen der jeweils sich hinter der Kennung befindlichen bzw. agierenden natürlichen Person. Eine solche Individualisierung erfolgt jedoch nicht in Ansehung dieser Personen und führt daher nicht zu deren Identifizierung. So statuiert der EuGH, dass IP-Adressen isoliert betrachtet gerade kein personenbezogenes Datum darstellen (obwohl sie eine solche individuelle Ansprache ermöglichen).58 Daraus folgt, dass der Gerichtshof es für eine Identifizierung als nicht ausreichend zu erachten scheint, eine Person auf sonstige Weise individualisieren zu können, um ein Datum als personenbezogen zu klassifizieren. Eine Identifizierbarkeitist je nach Sachverhalt aber denkbar (dazu unten Rn. 30).

28

Auch selbst gewählte Pseudonyme,59 insbesondere im Online-Bereich (z.B. E-Mail-Adressen oder Twitter-Handles), identifizieren in diesem Sinne alleine ohne weitere Informationen weder die Person, der das Pseudonym gehört, vom dem die Nachrichten verschickt bzw. veröffentlicht wurden, noch die Identität einer anderen Person, die dieses Pseudonym benutzen könnte.60 Das Gleiche gilt für gänzlich andere Kennungen, wie z.B. Kreditkartennummern. Auch hier ist jeweils im Einzelfall zu prüfen, ob dem Verantwortlichen selbst weitere Informationen zur Identifizierung oder „rechtliche Mittel“ (siehe dazu unten Rn. 37) zur Verfügung stehen, entsprechendes, zur Identifizierung erforderliches Zusatzwissen von einem Dritten zu erhalten.61

29

Neben einer einzelnen Information hilft auch eine Kombinationverschiedener Informationen zur Identifizierung der Person, wie z.B. die Hinzuziehung von Geburtsdatum, Namen der Eltern, Adresse oder Fotografie des Gesichts zusätzlich zum Namen (vgl. bezüglich der Nutzung von Fotos insoweit die Abgrenzung zum Kunsturhebergesetz (KUG, unten Rn. 40ff.).62

30

Der sachliche Anwendungsbereich der DSGVO ist jedoch bereits eröffnet, sofern sich ein Datum auf eine identifizierbare Person bezieht. Eine Information macht eine natürliche Person identifizierbar, wenn durch sie allein die Identifizierung (also die Wiedererkennung) zwar selbst nicht unmittelbar möglich ist, eine entsprechende Identifizierung aber mittels Verknüpfung mit weiteren Informationen hergestellt werden kann. Als identifizierbar wird nach Art. 4 Nr. 1 DSGVO eine natürliche Person angesehen, die direkt oder indirekt, insbesondere63 mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen,64 psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann. Die Kenntnis des Namens der natürlichen Person ist dementsprechend für eine Identifizierbarkeit nicht unbedingt erforderlich.65

31

Um festzustellen, ob eine natürliche Person identifizierbar ist, sind alle Mittelzu berücksichtigen, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich66 genutzt werden, um die natürliche Person direkt oder indirekt zu identifizieren (ErwG 26 Satz 3). Die rein hypothetische Möglichkeit zur Identifizierung der Person reicht somit nicht aus, um die Person als identifizierbar anzusehen.67 Es ist allerdings auch nicht notwendig, dass der Verantwortliche tatsächlich Bestrebungen einleitet oder über entsprechende Mittel bereits verfügt, um eine Identifizierung herbeizuführen, sondern es reicht die festgestellte Wahrscheinlichkeit, dass er diese einleitet bzw. entsprechende Mittel erwerben wird.68 Bei der Feststellung, ob Mittel nach allgemeinem Ermessen wahrscheinlich zur Identifizierung der natürlichen Person genutzt werden, sind im Rahmen einer Risikoanalyse bzw. -prognose nach ErwG 26 Satz 4 alle objektiven Faktoren, wie die Kosten der Identifizierung und der dafür erforderliche Zeitaufwand, heranzuziehen, wobei die zum Zeitpunkt der Verarbeitung verfügbare Technologie und technologische Entwicklung zu berücksichtigen sind. Nach der Breyer -Entscheidung des EuGH ist dabei ein faktisches Risiko der Herstellung eines Personenbezugs erforderlich.69 Zur Bestimmung, ob ein solches Risiko gegeben ist, dürften als objektive Faktoren (neben den in ErwG 26 Satz 4 ausdrücklich genannten) zu berücksichtigen sein, ob der Zweck der Verarbeitungeine Identifizierung erfordert, ob die Identifizierung zu einer Nutzungssteigerung führt (je nach Verarbeitungszweck) und ob der Identifizierung vertragliche und/oder organisatorische Hemmnisse entgegenstehen (z.B. Vertragsstrafen). Abschließend dürfte in einer Abwägung zu entscheiden sein, ob der Aufwand für den erwarteten Kenntnisgewinn der Identifizierung unverhältnismäßig ist. Hat ein Unternehmen beispielsweise in zwei unterschiedlichen Datenbanken Informationen über Personen gespeichert (die isoliert betrachtet jedoch keine eindeutige Zuordnung zu einer Person ermöglichen), deren Zusammenführung dabei zu einer Identifizierung führen würde und unter Berücksichtigung der typischerweise am Markt verfügbaren Datenanalysetools mit einem vertretbaren Aufwand an Zeit und Kosten auch möglich wäre, wäre die Identifizierbarkeit auch der (noch) nicht zusammengeführten Datenbanken zu bejahen.70 Vice versa kann durchaus zu beachten sein, dass ein Verantwortlicher erhebliche Anstrengungen unternehmen und Aufwände auf sich nehmen kann, um einen Datenbestand anhand eines entwickelten Anonymisierungskonzeptsnicht personenbeziehbar zu halten, da dies zur Erreichung der jeweils verfolgten Zwecke nicht erforderlich ist. In solchen Fällen würde eine Re-Identifizierung dieses Unterfangen geradezu konterkarieren und gefährden. Demnach erscheint die Gefahr einer Re-Identifizierung jedenfalls durch den Verantwortlichen in derartigen Konstellationen als de facto ausgeschlossen. Gesetzlich verbotene Mittel zur Herstellung der Identifizierbarkeit sind jedenfalls nach dem EuGH bei der Betrachtung ausdrücklich nicht einzubeziehen.71