Personenbezogene Daten – Reichweite und Relevanz des Begriffs

Wer sich mit Datenschutz beschäftigt – ob in der Kommune oder im Unternehmen – stolpert sehr schnell über einen scheinbar einfachen Begriff: „personenbezogene Daten“. Doch bei genauerem Hinsehen ist das alles andere als trivial. Die Antwort darauf, ob ein Datensatz personenbezogen ist oder nicht, entscheidet darüber, ob die DSGVO überhaupt gilt – und damit über Informationspflichten, Auftragsverarbeitungsverträge, Löschkonzepte, Risikoanalysen und vieles mehr. Im folgenden Blogbeitrag fassen wir die wichtigsten Punkte praxisnah zusammen. In diesem Artikel: Warum der Begriff „personenbezogene Daten“ so wichtig ist Was sind „personenbezogene Daten“? Identifizierbarkeit: Es geht oft um das „Zusatzwissen“ Absoluter vs. relativer Personenbezug EuGH aktuell: Der „relative Personenbezug“ gewinnt an Kontur Was heißt das für die Praxis? Fazit 1. Warum der Begriff „personenbezogene Daten“ so wichtig ist Die DSGVO gilt immer dann, wenn personenbezogene Daten verarbeitet werden (Art. 2 Abs. 1 DSGVO). Wird dieser Personenbezug verneint, befinden Sie sich rechtlich außerhalb des Anwendungsbereichs der DSGVO – mit allen Konsequenzen. Umgekehrt bedeutet: Sobald ein Personenbezug bejaht wird, greifen u.a. Informationspflichten (Art. 13, 14 DSGVO) Betroffenenrechte (Art. 15 ff. DSGVO) Anforderungen an Rechtsgrundlagen bei der Verarbeitung von personenbezogenen Daten (Art. 6, 9 DSGVO) Sicherheitsmaßnahmen und Risikoanalysen (Art. 24, 25, 32 DSGVO) Meldepflichten bei Datenpannen (Art. 33, 34 DSGVO) Es lohnt sich also, den Begriff sauber zu durchdringen und die Einordnung zu verstehen. 2. Was sind „personenbezogene Daten“? Die DSGVO definiert personenbezogene Daten als alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO). Dazu gehören klassischerweise: Name, Adresse, Kontaktdaten Geburtsdatum, Kundennummer, Personalnummer Kfz-Kennzeichen, IP-Adressen, Standortdaten aber auch Bewertungen, Stellungnahmen oder subjektive Einschätzungen über eine Person Wichtig ist: Es geht nicht nur um klassische Stammdaten. Personenbezogen kann auch sein, was: sich inhaltlich auf eine Person bezieht (z.B. „ist zahlungsunzuverlässig“) der Vorbereitung einer Entscheidung über diese Person dient (z.B. Prädiktion, Scoring) oder in der Wirkung unmittelbar Folgen für diese Person hat (z.B. Bonitätsbewertung) 3. Identifizierbarkeit: Es geht oft um das „Zusatzwissen“ Spannend wird es bei der Frage: Wann ist jemand „identifizierbar“? In vielen Fällen folgt die Identität direkt aus der Information (Name, E-Mail-Adresse mit Klarnamen etc.). Häufiger aber braucht es Zusatzwissen und Hilfsmittel, um den Personenbezug herzustellen, wie etwa: Zugriff auf ein Register (z.B. Grundbuch, Melderegister) interne Zuordnungstabellen technische Möglichkeiten, um Daten zusammenzuführen oder wieder zu entschlüsseln Die DSGVO verlangt hier eine realistische Betrachtung: Es sind diejenigen Mittel zu berücksichtigen, die nach „allgemeinem Ermessen wahrscheinlich“ eingesetzt werden können – unter Berücksichtigung von Kosten, Zeitaufwand und verfügbarer Technik (vgl. hierzu DSGVO-Erwägungsgrund 26). 4. Absoluter vs. relativer Personenbezug In der Fachwelt haben sich zwei Ansätze herausgebildet: Absoluter Ansatz Frage: Kann irgendjemand diese Person identifizieren? Wenn ja, gelten die Daten als personenbezogen – unabhängig davon, wer sie gerade verarbeitet. Viele Datenschutzaufsichtsbehörden tendieren unseres Erachtens eher in diese Richtung. Konsequenz: sehr weite Auslegung und Anwendbarkeit der DSGVO. Relativer Ansatz Frage: Kann die konkret verarbeitende Stelle die Person identifizieren? Es kommt auf Mittel, Wissen und Zugriffsmöglichkeiten dieses Akteurs an. Dieser Ansatz wird stark in der Literatur vertreten und zuletzt vom EuGH zunehmend gestützt. Konsequenz: differenziertere Betrachtung, insbesondere bei Dienstleistern und pseudonymisierten Daten. Daneben spielt in der Praxis die Einschätzung der Aufsichtsbehörden eine große Rolle: Beispielsweise können sogar Flurnummern oder Gebäudeabmessungen als personenbezogen behandelt werden, wenn über Register und Rückschlüsse letztlich die Eigentümer identifizierbar sind. Für öffentliche Stellen bedeutet das: Im Zweifel Personenbezug annehmen und Datenschutzregeln anwenden. 5. EuGH aktuell: Der „relative Personenbezug“ gewinnt an Kontur Der Europäische Gerichtshof (EuGH) hat sich in jüngerer Zeit intensiv mit der Frage beschäftigt, wann Daten personenbezogen sind – insbesondere bei pseudonymisierten Daten. Ein zentrales Urteil betrifft die Weitergabe von Stellungnahmen an einen externen Dienstleister: Eine Behörde pseudonymisierte Stellungnahmen von Betroffenen (nur Codes, keine Namen) Den „Schlüssel“ hatte ausschließlich die Behörde, der Dienstleister nicht Streitfrage: Waren diese Daten beim Dienstleister noch personenbezogen Der EuGH hat dabei klargestellt: Ob Daten für einen konkreten Empfänger personenbezogen sind, hängt davon ab, ob er über realistische Mittel zur Identifizierung verfügt. Pseudonymisierung bleibt rechtlich relevant – sie soll nicht „leer laufen“. Für den Empfänger ohne Schlüssel können pseudonymisierte Daten unter Umständen nicht mehr als personenbezogen gelten. Gleichzeitig hat der EuGH deutlich gemacht: Einmal personenbezogen = immer personenbezogen ist zu pauschal. Es kommt auf den Einzelfall und den jeweiligen Akteur an. 6. Was heißt das für die Praxis? Für Kommunen und privatwirtschaftliche Organisationen ergeben sich daraus einige praxisnahe Konsequenzen: 6.1. Pseudonymisierung nutzen – aber richtig einordnen Pseudonymisierung senkt Risiken und ist ein wichtiges Instrument der Datensicherheit. Für die Stelle, die den Schlüssel hält, bleiben die Daten personenbezogen. Für einen Dienstleister ohne Zuordnungsmöglichkeit kann der Personenbezug – rechtlich betrachtet – entfallen. Dennoch: Viele Aufsichtsbehörden neigen dazu, auch bei pseudonymisierten Daten eher vorsichtig zu sein und z.B. Auftragsverarbeitungsverträge zu verlangen. Empfehlung aus der Praxis Werden pseudonymisierte Daten an Dienstleister übermittelt, sollte man: die Bewertung des Personenbezugs dokumentieren, eher großzügig von einem Personenbezug ausgehen und ggf. einen Auftragsverarbeitungsvertrag schließen, technische und organisatorische Maßnahmen zur Pseudonymisierung sauber beschreiben. 6.2. Sachdaten nicht unterschätzen Daten wie Flurnummern, Gebäudegrößen oder technische Kennziffern wirken zunächst unkritisch. Über Register, Karten, Bewertungsmodelle oder zusätzliche Datenquellen können sie aber mittelbar personenbezogen sein (Stichwort: Rückschluss auf Eigentümer, Vermögensverhältnisse, Wohnsituation etc.). Gerade in Bayern sollten kommunale Stellen und viele Unternehmen deshalb davon ausgehen: Auch scheinbare „Sachdaten“ können personenbezogene Daten sein. Ein konservativer Ansatz („lieber ja als nein“) und eine saubere datenschutzrechtliche Aufarbeitung verhindert spätere Diskussionen mit der Aufsicht. 6.3. Dokumentation und Schulung Letztlich gilt: Entwickeln Sie klare Kriterien, wann Sie Daten als personenbezogen einstufen. Halten Sie Ihre Bewertungen schriftlich fest (Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO) und schulen Sie Mitarbeitende regelmäßig – insbesondere: in der Identifizierbarkeit durch Zusatzwissen im Umgang mit pseudonymisierten und anonymisierten Daten zu Grenzen von „gefühlter“ Anonymität 7. Fazit Ob Daten personenbezogen sind, ist längst keine rein akademische Frage mehr, sondern ein Steuerungsinstrument für Ihr Datenschutz- und Compliance-Niveau: Wer zu eng auslegt, riskiert Verstöße gegen die DSGVO. Wer zu weit auslegt, überfordert sich organisatorisch – und blockiert ggf. sinnvolle Digitalisierungsprojekte. Die Kunst liegt in einer gut begründeten, dokumentierten Einzelfallbewertung, die Rechtsprechung (insbesondere des EuGH) und die Linie der Aufsichtsbehörden gleichermaßen im Blick hat. Die actago GmbH unterstützt und berät umfassend im Bereich Datenschutz. Gemeinsam mit unseren Kunden entwickeln wir Lösungen, die risikobasiert, wirtschaftlich und praxistauglich sind. So minimieren Sie Risiken und bleiben rechtlich auf der sicheren Seite. Hier klicken und Beratungstermin vereinbaren!