Der Umgang mit der Anonymisierung von
personenbezogenen Daten
Vor einem Monat hat der Bundesbeauftragte für Datenschutz und Informationssicherheit (BfDI) ein Positionspapier zum Thema Anonymisierung personenbezogener Daten veröffentlicht, um den Verantwortlichen eine Orientierungshilfe zu geben.
In der Vorgehensweise des BfDI ist die Anonymisierung als eine Verarbeitungstätigkeit gem. der DSGVO zu sehen. Aus diesem Grund muss sie auch rechtmäßig sein, d.h. es müsste eine rechtliche Grundlage vorliegen, die uns erlaubt die personenbezogenen Daten zu verarbeiten. Ziel der Anonymisierung ist es, dass keine Rückschlüsse auf die betroffene Person entstehen können, so dass keine Re-Identifizierung möglich ist. Um das zu ermöglichen werden zuerst Elemente von den Daten entfernt und dadurch wird der Inhalt der Daten verändert. Die Anonymisierung als Verarbeitungstätigkeit bedarf einer Rechtsgrundlage aus Art. 6, Abs. 1 DSGVO. Welche Rechtsgrundlage zutrifft, ist von der konkreten Konstellation abhängig. An erster Stelle kann die Anonymisierung auf eine wirksam erteilte Einwilligung gestützt werden. Das birgt aber folgendes Risiko: die betroffene Person kann die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Als nächste mögliche Rechtsgrundlage kommt Art. 6, Abs. 4 DSGVO, der die Voraussetzung der Vereinbarkeit setzt, in Betracht. Hier ist folgendes zu berücksichtigen: in der Regel wurden die personenbezogenen Daten, die anonymisiert werden müssen, ursprünglich zu einem anderen Zweck erhoben. Damit die Anonymisierung gem. Art. 6, Abs. 4 DSGVO rechtmäßig sein kann, muss der Zweck für den die Daten weiterverarbeitet werden mit dem ursprünglichen Erhebungszweck vereinbar sein. Bei der Beurteilung, ob eine Vereinbarkeit möglich ist, gibt Art. 6, Abs. 4 DSGVO folgende Kriterien, die berücksichtigt werden müssen:
- jede Verbindung zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden und den Zwecken der beabsichtigten Weiterverarbeitung
- der Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen,
- die Art der personenbezogenen Daten, insbesondere ob besondere Kategorien personenbezogener Daten gem. Art. 9 verarbeitet werden oder ob personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten gem. Art. 10 verarbeitet werden,
- die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen,
- das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören können.
In dem Positionspapier wird die Meinung vertreten, dass unter Vorbehalt der Besonderheiten der einzelnen Konstellationen die Abwägung zugunsten der Zulässigkeit der Anonymisierung liegen dürfte.
Als nächste mögliche Rechtsgrundlage kommt eine rechtliche Verpflichtung aus Art. 6, Abs. 1, lit. c) DSGVO i.V.m. Art. 17, Abs. 1 DSGVO in Betracht. Hier werden gegeneinander – die Anonymisierung und das Recht auf Löschen- gleichgesetzt. Des Weiteren wird im Positionspapier ausführlich argumentiert und es kommt zum Ergebnis, dass sowohl die Löschung als auch die Anonymisierung eine Entfernung des Personenbezugs darstellen, da es sich bei der Löschung nicht um eine zwangsläufige endgültige Vernichtung der Daten handelt (wie im Falle der Vernichtung). Danach wird die Anonymisierung nach spezialgesetzlichen Normen aus dem § 91 ff. TKG gerichtet (Verkehrsdaten, Standortdaten). An dieser Stelle möchten wir Sie darauf hinweisen, dass jedes Unternehmen, dass die private Nutzung von E‑Mail / Internet erlaubt, nach dem TKG ein Telekommunikationsdienstanbieter ist. Vorliegendes Beispiel: eine Anonymisierung von Verkehrsdaten ist nach dem TKG zum bestimmten Zwecken dann zulässig, wenn der Betroffene in der konkreten Verwendung eingewilligt hat. Anderes Beispiel lässt sich aus § 98, Abs. 1 TKG entnehmen, wonach Standortdaten zur Bereitstellung von Diensten mit Zusatznutzen erforderlichen Umfang und innerhalb des dafür erforderlichen Zeitraums verarbeitet werden dürfen, wenn sie anonymisiert wurden oder wenn der Teilnehmer dem Anbieter des Dienstes mit Zusatznutzen seiner Einwilligung erteilt hat. Dies bedeutet, dass sich die Anonymisierung der Daten nicht nur aus der Einwilligung der betroffenen Person ergibt, sondern auch aus einer gesetzlichen Verpflichtung.
Wenn Sie Fragen zum Thema Anonymisierung haben, stehen wir Ihnen gerne zur Verfügung.