DSGVO: Gibt es Regelungen für anonyme Daten?

Die DSGVO in der betrieblichen Praxis. Das neue Buch erscheint in Kürze und beantwortet mehr als 120 Fragen zum neuen europäischen Datenschutzrecht, das Mitte 2018 in Kraft tritt. In diesem Blog werden vorab einige Fragen veröffentlicht (Härting, Datenschutz-Grundverordnung, 2016).

Anonyme oder anonymisierte Daten einerseits und personenbezogene Daten andererseits: Dies war herkömmlich immer ein Gegensatzpaar. Verhält sich dies überhaupt nach dem BDSG noch so? Und was erwartet uns in der DSGVO?

Geltendes Recht

Das „Anonymisieren“ ist in § 3 Abs. 6 BDSG definiert als

„das Verändern personenbezogener Daten derart, dass die Einzelangaben über persönliche oder sachliche Verhältnisse nicht mehr oder nur mit einem unverhältnismäßig großen Aufwand an Zeit, Kosten und Arbeitskraft einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können“.

Unterscheiden lassen sich danach bisher:

• Absolute Anonymität: Die Zuordnung einer Einzelangabe zu einer konkreten Person ist unmöglich (siehe Plath/Schreiber in: Plath, BDSG, 3 BDSG Rn. 58).Je mehr sich die Leistung von Rechnern und Prozessoren verbessert, je größer die Speicherkapazitäten werden und je leichter die Verknüpfbarkeit von Daten, desto seltener lässt sich feststellen, dass Daten „absolut anonym“ sind und sich jeglicher Zuordnung zu einer Person entziehen. Anonymisierungsverfahren, die zu einer wahrhaftig „absoluten Anonymität“ führen, sind kaum noch vorstellbar, Die „absolute Anonymität“ ist schon seit langem ein Auslaufmodell.

• Faktische Anonymität: Die Zuordnung einer Einzelangabe zu einer konkreten Person ist zwar nicht ausgeschlossen, erfordert jedoch einen unverhältnismäßig großen Aufwand (siehe Plath/Schreiber in: Plath, BDSG, 3 BDSG Rn. 59).Das gängige Ergebnis einer Anonymisierung ist die „faktische Anonymität“ – kein Auslaufmodell, wohl aber auf dem Weg in die rechtliche Bedeutungslosigkeit. Denn wenn sich bei „faktisch anonymen“ Daten die Identifizierung der Person nicht ausschließen lässt, handelt es sich bei einem „absoluten“ Verständnis des Personenbezugs um personenbezogene Daten, auf die das Datenschutzrecht uneingeschränkt anwendbar ist. Die Anonymisierung führt somit nicht mehr aus dem Datenschutzrecht heraus, sie hat auch im Übrigen keine konkret benennbaren rechtlichen Folgen.

Änderungen durch die DSGVO

Die DSGVO setzt den Weg der Anonymität in die Bedeutungslosigkeit fort. Die Unterscheidung zwischen „absoluter“ und „faktischer“ Anonymität wird aufgegeben und der Begriff der Anonymität findet sich nur noch in Erwägungsgrund 26 Satz 5 und 6 DSGVO:

„Die Grundsätze des Datenschutzes sollten daher nicht für anonyme Informationen gelten, d.h. für Informationen, die sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen, oder personenbezogene Daten, die in einer Weise anonymisiert worden sind, dass die betroffene Person nicht oder nicht mehr identifiziert werden kann. Diese Verordnung betrifft somit nicht die Verarbeitung solcher anonymer Daten, auch für statistische oder für Forschungszwecke. ” (Hervorhebungen hinzugefügt)

An der „Anonymität“ als Gegenbegriff zum „Personenbezug“ wird (nur) an dieser Stelle festgehalten:

• Werden anonyme bzw. anonymisierte Daten zu statistischen Zwecken oder zu Forschungszwecken verarbeitet, lässt Erwägungsgrund 26 Satz 6 DSGVO den Einwand zu, dass diese Daten einer Anwendung der DSGVO entzogen sind.
• Erwägungsgrund 26 Satz 5 DSGVO lässt sich schwer mit einem „absoluten“ Verständnis des Personenbezugs vereinbaren, da sich unter den heutigen Bedingungen der Datentechnik eine Identifizierung nie sicher ausschließen lässt. Sollen anonyme Daten dennoch einer Anwendung entzogen sein, erscheint dies ohne eine „Relativierung“ des Personenbezugs kaum möglich. Das Verständnis des Personenbezugs ist Gegenstand der Vorlagefragen des BGH v. 17.12.2014 an den Gerichtshof der Europäischen Union, zu der Generalanwalt Campos Sánchez-Bordona am 12.5.2016 seine Schlussanträge vorlegen wird.

Merke:

Wie belastbar Erwägungsgrund 26 Satz 5 und 6 DSGVO ist, bleibt abzuwarten. Im Hinblick auf das deutlich „absolute“ Verständnis des Personenbezugs, wie es insbesondere in Art. 4 Nr. 1 DSGVO zum Ausdruck kommt, sollte man sich bei der Ausgestaltung von Verarbeitungsverfahren im Zweifel nicht auf das „Schlupfloch“ verlassen, das Erwägungsgrund 26 Satz 5 und 6 DSGVO für eine Anonymisierung eröffnet.