DSGVO - BDSG - TTDSG

91

Große Bedeutung in der Praxis besitzt auch die Frage, inwieweit (rechtfertigungsbedürftige) Übermittlungen im Rahmen von Unternehmenstransaktionenvorliegen.200 Erfolgt die Transaktion im Rahmen eines Share Deals, findet keine Übermittlung statt, sofern die personenbezogenen Daten, die sich „im Besitz“ des von der Übernahme betroffenen Unternehmens befinden, nicht einer anderen Stelle (wie dem Erwerber) zugänglich gemacht werden – in diesem Fall ändern sich lediglich die „Eigentumsverhältnisse“ an dem Unternehmen.201 Gehen personenbezogene Daten im Rahmen eines Asset Deals an den Erwerber über, liegt hingegen eine Übermittlung vor.202 Datenweitergaben bei Umwandlungen von Unternehmen nach dem UmwG, wie z.B. einer Verschmelzung, einer Auf- bzw. Abspaltung oder einer Ausgliederung, stellen i.d.R. keine Übermittlungen dar, weil die Verfügungsbefugnis der hiervon betroffenen Daten im Rahmen der Gesamtrechtsnachfolge automatisch auf den neuen Rechtsträger übergeht.203 Diese Ausführungen gelten entsprechend auch für die Offenlegung ganz allgemein, da (auch) diese stets die Zugänglichmachung der Daten gegenüber anderen Stellen erfordert (siehe oben Rn. 83).204

92

Eine Verbreitung liegt – in Abgrenzung zur Übermittlung – vor, wenn personenbezogene Daten ungezielt einem unbestimmten Adressatenkreismitgeteilt werden, der Adressat also gerade nicht individuell bestimmt ist, z.B. im Fall der Übertragung der Daten im TV, im Rundfunk oder durch Zeitungen/Zeitschriften.205

93

Eine andere Form der Bereitstellung liegt vor, wenn Daten auf andere Art und Weiseeiner anderen Stelle zugänglich gemacht werden als durch eine Übermittlung oder eine Verbreitung, sodass diese Form der Offenlegung einen Auffangcharakter besitzt.206 So handelt es sich nach hier vertretener Ansicht z.B. um eine andere Form der Bereitstellung, wenn personenbezogene Daten, z.B. im Internet, zur Einsicht oder zum Abruf bereitgehalten werden, da zu diesem Zeitpunkt noch keine Mitteilung an einen individuell bestimmten Adressaten oder einen unbestimmten Adressatenkreis erfolgt (ist). Mithin liegt weder eine Übermittlung noch eine Verbreitung vor. Da die Daten aber anderen Stellen zugänglich sind, liegt eine andere Form der Bereitstellung vor. Erst wenn ein Nutzer Einsicht in diese Daten nimmt bzw. diese abruft, findet eine Übermittlung statt.207

94

Zu beachten ist, dass eine andere Form der Bereitstellung – ebenso wie die Übermittlung und die Verbreitung – erfordert, dass der Vorgang durch eine Aktivitätder verarbeitenden Stelle erfolgt, sodass keine andere Form der Bereitstellung vorliegt, wenn ein Angreifer unbefugt in die Systeme der Stelle eindringt und Zugang zu dort gespeicherten Daten erlangt.208

95

Unter Abgleich wird der Vergleichpersonenbezogener Daten einschließlich der Prüfung verstanden, ob diese Daten in zwei verschiedenen Systemen vorhanden und/oder inwieweit die verglichenen Daten identisch bzw. konsistent sind respektive welche Unterschiede sie aufweisen.209

96

Als Verknüpfung wird die Zusammenführungvon personenbezogenen Daten bezeichnet.210 Dies kann z.B. erfolgen, indem ein Datensatz zu einem anderen Datensatz hinzugespeichert wird. So kann z.B. das Nutzungsprofil einer betroffenen Person, das über einen Cookie A erstellt wurde, mit einem Nutzungsprofil dieser Person, das über einen Cookie B erstellt wurde, im Rahmen des sogenannten Cookie Matching zusammengeführt, also verknüpft werden, um gegenüber dieser Person (noch) passgenauere Werbung ausspielen zu können, die noch besser auf ihre Vorlieben hin abgestimmt ist, als dies mit nur einem Nutzungsprofil möglich wäre.211 Ausreichend ist es aber auch, wenn in einen Datensatz ein Verweis auf einen anderen Datensatz mit aufgenommen wird.212

97

Die Einschränkung der Verarbeitung wird in Art. 4 Nr. 3 DSGVO gesondert definiert. Demnach bedeutet die Einschränkung der Verarbeitung die Markierunggespeicherter personenbezogener Daten mit dem Ziel, ihre künftige Verarbeitung einzuschränken. Insoweit kann für die Einzelheiten dieses Begriffs auf die Kommentierung zu Art. 4 Nr. 3 DSGVO verwiesen werden (siehe unten Rn. 106ff.).

98

Das Löschen personenbezogener Daten bedeutet (ganz allgemein) das Unkenntlichmachendieser Daten.213 Durch das Löschen muss es unmöglich gemacht werden, dass die in den zu löschenden Daten enthaltenen personenbezogenen Informationen (weiterhin) mit verhältnismäßigem Aufwand zur Kenntnis genommen oder sonst wie in irgendeiner sinnvollen Art und Weise verarbeitet werden können.214

99

Die Löschung beschreibt somit das Ziel des Vorgangs. Auf welche Art und Weise dieses Ziel erreicht wird, gibt Art. 4 Nr. 2 DSGVO nicht vor. So kann eine Löschung z.B. durch die Vernichtung des Datenträgers, das Überschreiben der Daten, die nichtreversible Entfernung der Daten vom Datenträger, aber nach hier vertretener Ansicht auch durch die Anonymisierung der Daten erfolgen.215

100

Unklar ist allerdings, ob die Daten nichtreversibel anonymisiert werden müssen, damit sie als gelöscht qualifiziert werden können, oder ob dafür auch eine faktische Anonymisierungreicht, bei der die Re-Identifizierung also nur praktisch nicht durchführbar ist, z.B. weil sie einen unverhältnismäßigen Aufwand an Zeit, Kosten und Arbeitskräften erfordern würde216 (siehe ausführlich zur Anonymisierung von Daten oben Rn. 47ff.). Welcher Auffassung der Europäische Datenschutzausschusszuneigt, lässt sich nach hier vertretener Lesart aus seinen (bisherigen) Ausführungen nicht sicher entnehmen.217

101

Nach hier vertretener Auffassung ist das Erfordernis einer nichtreversiblen Anonymisierung zu strikt. Vielmehr reicht insoweit eine faktische Anonymisierungaus. So vermag auch bereits eine solche faktische Anonymisierungden Personenbezug von Daten zu beseitigen, woraufhin die DSGVO auf die Verarbeitung solcher Daten keine Anwendung mehr findet (siehe hierzu ausführlich oben Rn. 47ff.). Vor dem Hintergrund des Schutzwecks der DSGVO ist kein sachlicher Grund erkennbar, dass Daten in diesem Fall dann nicht auch als gelöscht anzusehen sein sollen.218

102

Mithin erfolgt die Löschung im vorliegenden Zusammenhang also durch die faktische Anonymisierung der Daten. Deshalb „ entfällt“ die Löschung nach hier vertretener Ansicht auch nicht nachträglich, sollten anonymisierte Daten zu einem späteren Zeitpunkt infolge der dann verfügbaren Mittel wieder de-anonymisiert werden können.219 Voraussetzung dafür ist aber, dass die personenbezogenen Daten (zuvor) erfolgreich in dem soeben dargestellten Sinne (faktisch) anonymisiert wurden. Bei der Beurteilung, ob Daten als faktisch anonym anzusehen sind, kann es vor dem Hintergrund von Erwägungsgrund 26 Sätze 3 und 4 nach hiesigem Verständnis erforderlich sein, auch die technologischen Entwicklungen mit zu berücksichtigen.220

103

Sobald der jeweilige Verantwortliche die betroffene Person allerdings wieder identifizierenkann – ggf. anhand ihm zurechenbaren Wissens/zurechenbarer Mittel –, die betroffene Person also wieder identifizierbar ist (siehe hierzu oben Rn. 30ff.), sind diese vormals anonymisierten Daten (zumindest für den Verantwortlichen) wieder als personenbezogen i.S.d. Art. 4 Nr. 1 DSGVOzu qualifizieren, woraufhin er bei deren Verarbeitung – sofern auch die weiteren Anwendbarkeitsvoraussetzungen vorliegen – die Anforderungen der DSGVO beachten muss.221