DSGVO - BDSG - TTDSG

155

Der gerade im Rahmen von Blockchains prävalente Einsatz von Hash-Funktionen(Streuwertfunktionen), die ebenfalls den kryptografischen Verfahren zugeordnet werden, kann je nach Ausgestaltung durch „Verhashung“ von identifizierenden Informationen auch zu einer wirksamen Pseudonymisierung führen. Mittels einer Hash-Funktion werden Eingabedaten auf Grundlage eines Algorithmus in einen Schlüsseltext (Hashwert) transformiert, der jedenfalls nicht mit verhältnismäßigem Aufwand reversibel ist und bei denselben Eingabedaten stets derselbe ist.324 Um eine Zusammenführung von unter Pseudonymen gespeicherten Einzelinformationen zu einem Profil zu verhindern, werden häufig vor der „Verhashung“ die Hashes gesalzen, also die identifizierenden Merkmale mit einem Zufallswert – dem „Salt“ – versehen.325

156

Bei all diesen Pseudonymisierungsverfahren ist zu beachten, dass es sich um anonyme (nicht nur pseudonyme) Daten handelt, wenn der jeweils verarbeitenden Stelle keine Mittel zur Verfügung stehen, um die Pseudonymisierung mit einem verhältnismäßigen Aufwand zu revidieren (siehe allgemein zur Voraussetzung der Anonymität oben Rn. 47ff.). Insofern sind verschlüsselte bzw. verhashte Daten in der Theorie rückrechenbar, etwa durch sog. Brute-Force-Attacken , bei denen alle möglichen Eingabewerte durchprobiert werden, bis das gesuchte Ergebnis erzielt wird und den unverschleierten Eingabewert preisgibt. Dieser Aufwand wird in der Regel jedoch unverhältnismäßig sein. Insofern werden den allermeisten Stellen die hierfür erforderlichen Ressourcen bereits nicht zur Verfügung stehen.

157

Der Begriff des „Dateisystems“ dient der Konkretisierung des sachlichen Anwendungsbereichsder DSGVO und löst den in Art. 2 lit. c DSRl verwendeten Begriff der „Datei mit personenbezogenen Daten ab.326 Eine inhaltliche Änderung geht damit jedoch nicht einher.327

158

Gemäß Art. 2 Abs. 1, 1. Alt. DSGVO findet die DSGVO in erster Linie für die ganz oder teilweise automatisierte Verarbeitungpersonenbezogener Daten Anwendung. Der Begriff der automatisierten Verarbeitung ist dabei weit zu verstehen; insofern genügt bereits, wenn nur einzelne Teilschritte eines von einer entsprechenden Zweckbestimmung getragenen Verarbeitungsvorgangs automatisiert erfolgen. Demgemäß unterfällt bereits das händische Ausfüllen von Formularen der (teilweise) automatisierten Verarbeitung, wenn beim Ausfüllen der Formulare bereits der Zweck verfolgt wird, diese später in ein IT-System, etwa als Eingabe oder Scan, zu übertragen.328

159

Gemäß Art. 2 Abs. 1, 2. Alt. DSGVO fällt ferner auch die nichtautomatisierte Verarbeitungpersonenbezogener Daten in den Anwendungsbereich der DSGVO, vorausgesetzt, dass die jeweils verarbeiteten Informationen in einem „Dateisystem“ gespeichert sind oder in einem solchen gespeichert werden sollen.329 Aufgrund der Spannweite des Begriffs der automatisierten Verarbeitung betrifft Art. 2 Abs. 1, 2. Alt. DSGVO daher allenfalls die rein manuelle Verarbeitung personenbezogener Daten, bei der überhaupt kein Verarbeitungsschritt mit technischen Hilfsmitteln erfolgt.330

160

Der Begriff des Dateisystemswird nach Art. 4 Nr. 6 DSGVO definiert als „jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird“.

161

Das Merkmal der Sammlung beschreibt die planmäßige Zusammenstellung von einzelnen Angaben, unabhängig davon, ob es sich dabei um Daten einer einzelnen natürlichen Person oder um Daten mehrerer Personen handelt. Maßgeblich ist, ob die Angaben in einem inneren Zusammenhangstehen, der sich aus der Gleichartigkeit der Informationen sowie aus einem gemeinsamen Zweck ergeben kann.331

162

Die Sammlung muss zudem „ strukturiert“ sein, wobei es nicht darauf ankommt, ob die Daten auf einem oder mehreren Datenträgern gesammelt sind.332 Entscheidend ist vielmehr der formale Aufbau der Datei. Diese muss eine systematisch gleichartige Ordnung in Bezug auf die Datenerhebung und -haltung aufweisen und dadurch die Erschließung der Daten erleichtern, wie etwa eine alphabetische oder nummerische Anordnung.333

163

Da bereits die Sammlung von Informationen über eine einzelne Person unter die Definition des Dateisystems fallen kann, muss sich die Struktur einer Sammlung nicht zwingend aus der (strukturierten) Anordnung von Informationen in Bezug auf verschiedene Betroffene ergeben. Vielmehr kann bereits die Erhebung personenbezogener Daten einer Person genügen, etwa wenn dies auf Grundlage einer systematischen, gleichförmigen Anordnungvon Formularfeldern erfolgt oder sich als Zusammenfassung gleichartiger Informationen unter der Klammer der Beziehbarkeit auf eine bestimmte betroffene Person darstellt.334

164

Um als Dateisystem klassifiziert zu werden, muss die strukturierte Sammlung personenbezogener Daten „bestimmten Kriterien“ zugänglich sein. Dem Wortlaut nach bedarf es dabei mindestens zweier Kriterien.335 Hierunter sind diejenigen gemeinsamen Merkmale der jeweils vorliegenden Informationssammlung zu verstehen, anhand derer die Sammlung erschlossen werden kann.336

165

Entsprechende Kriterien können in erster Linie Angaben wie Namen, Aktenzeichen, Personalnummern oder auch Adressen sein. Daneben nennt die Norm als Ordnungskriterien beispielhaft funktionale und geografische Kriterien.337 Insofern können auch Berufe, Regionen und Kfz-Kennzeichen, sofern sie auf eine bestimmte Person bezogen werden können, geeignete Kriterien begründen.338 Im Umkehrschluss zu ErwG 15 Satz 2 fallen auch Akten, Aktensammlungen sowie deren Deckblätter unter den Schutz der DSGVO, sofern sie entsprechend geordnet und die jeweiligen Informationen nach mindestens zwei Kriterienzugänglich sind.339

166

Die Verordnung gibt insoweit nicht vor, ob die in der Sammlung zusammengefassten Informationen bereits nach mindestens zwei Merkmalen zugänglich sein müssen oder ob bereits die bloße Möglichkeit ausreicht, eine entsprechende Ordnung der Sammlung herzustellen. Daran anschließend stellt sich die Frage, mit welchem Aufwandeine entsprechende Ordnung herzustellen sein muss. Während ErwG 15 zur DSRl damals noch davon sprach, dass die Struktur der Datei einen „leichten Zugriff“ ermöglichen muss, ist eine entsprechende Einschränkung weder dem Verordnungstext noch den ErwG zur DSGVO zu entnehmen.340 Der Umstand, dass ErwG 15 Satz 1 im Hinblick auf den sachlichen Anwendungsbereich der DSGVO davon spricht, dass „ein ernsthaftes Risiko einer Umgehung der Vorschriften [der DSGVO]“ zu vermeiden ist, spricht grundsätzlich für ein niedrigschwelliges Verständnis. Gleichwohl muss es sich ausdrücklich um ein „ ernsthaftes Risiko“ handeln. Demgemäß sollte eine bloß in der Theorie bestehende Ordnungsfähigkeit einer Sammlung wohl nicht genügen, um den Anwendungsbereich der DSGVO zu eröffnen. In Anlehnung an die Frage, ob eine Information als personenbezogenes Datum angesehen werden muss, erscheint es daher angemessen, die Anwendbarkeit der DSGVO davon abhängig zu machen, ob eine entsprechende Ordnung der Sammlung bzw. Zugänglichkeit der darin enthaltenen Informationen mit einem verhältnismäßigen Aufwand an Zeit, Kosten und Arbeitskräften herzustellen wäre.341