Document ID: /fineweb-2-swissfilter-quality_10-filterrobots/filtered/03214.jsonl.gz/2957

Der EuGH hat soeben sein Urteil i.S. Breyer c. Deutschland gefällt. Er hat darin festgehalten, dass nach der geltenden Richtlinie bei der Qualifikation einer Information als Personendatum ein relativer Ansatz gilt. Eine Information ist deshalb nur für den denjenigen ein Personendatum, der über die Mittel verfügt, um die Person zu identifizieren, auf welche sich das Datum bezieht. Dass ein Dritter zur Identifikation in der Lage wäre, genügt damit nicht. Dieses Ergebnis entspricht der Rechtslage in der Schweiz gemäss dem Logistep-Urteil des Bundesgerichts.
Die Rechtslage nach der DSGVO ist dagegen weniger klar. Nach meiner Lesart gilt im Ergebnis folgendes:
- Die DSGVO verfolgt keinen absoluten, sondern einen relativen Ansatz.
- Erforderlich ist aber nicht die namentliche Identifizierung einer Person. Es genügt die Zuordnung zu einem anderen eindeutigen Identifikator.
- Im Online-Bereich reicht es daher, dass eine ausreichend unveränderliche Online-Kennung mit einer Person verbunden ist und vom Anbieter solange gespeichert wird, dass unterschiedliche Vorgänge – zB mehrmalige Besuche auf einer Website – der gleichen (aber nicht unbedingt namentlich bekannten) Person zugeordnet werden können. In einem solchen Fall liegt eine Identifizierung vor, die man als “Singularisierung” bezeichnen kann.
- Fehlt aber eine solche Zuordnungsmöglichkeit, ist ein Identifikator – auch zB eine IP-Adresse – kein Personendatum. Die Stellungnahmen, wonach eine IP-Adresse nach der DSGVO stets ein Personendatum ist, sind deshalb nicht richtig.
Scheinbare Widersprüche
Art. 4 Ziff. 1 definiert “personenbezogene Daten” wie folgt:
1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;
Die Legaldefinition entspricht also weitgehend Art. 2 lit. a der geltenden Richtlinie, für die dem Breyer-Entscheid zufolge ein relativer Ansatz gilt, aber mit Unterschieden insb. im fettgedruckten Teil:
a) “personenbezogene Daten” alle Informationen über eine bestimmte oder bestimmbare natürliche Person (“betroffene Person”); als bestimmbar wird eine Person angesehen, die direkt oder indirekt identifiziert werden kann, insbesondere durch Zuordnung zu einer Kennummer oder zu einem oder mehreren spezifischen Elementen, die Ausdruck ihrer physischen, physiologischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität sind;
Daraus, dass die DSGVO als Identifikator ausdrücklich Online-Kennungen nennt, liesse sich allenfalls schliessen, dass zumindest mit Bezug auf solche Kennungen ein absoluter Ansatz gilt, d.h. dass Online-Kennungen per se als personenbezogen gelten. In diese Richtung geht die Mehrzahl der bisher verfügbaren Stellungnahmen.
Erwägungsgrund 26 spricht aber klar gegen eine solche Auslegung, indem von seinem relativen Ansatz ausgegangen wird:
(26) […] Um festzustellen, ob eine natürliche Person identifizierbar ist, sollten alle Mittel berücksichtigt werden, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die natürliche Person direkt oder indirekt zu identifizieren […]
Auch sonst stünde ein absoluter Ansatz im klarem Widerspruch zur DSGVO:
- Auch die Legaldefinition der pseudonymisierten Daten in Art. 4 Ziff. 5 geht von einem relativen Ansatz aus (“[…] Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden […]”): Pseudonymisierte Daten sind ja nichts anderes als “relativ anonyme” Daten, d.h. Daten, die der Inhaber keiner Person zuordnen kann. Bei einem absoluten Ansatz bestünde kein Anlass, pseudonymisierte Daten – die für den Inhaber des Zuordnungsschlüssels ja definitionsgemäss Personendaten darstellen – zu privilegieren.
- Das gleiche gilt für verschlüsselte Daten (die ja eigentlich ebenfalls pseudonymisierte Daten darstellen); vgl. Art. 32 Abs. 1 lit. a und ErwG 83; und eigentlich auch für anonyme Daten (die in der DSGVO allerdings nicht erwähnt werden): Wäre wie beim absoluten Ansatz die Gesamtheit des menschlichen Wissens zu berücksichtigen, gäbe es faktisch wohl keine anonymen Daten.
In dieses Bild passt aber Erwägungsgrund 30 nicht, der ausdrücklich auf Online-Kennungen Bezug nimmt:
(30) […]
Natürlichen Personen werden unter Umständen Online-Kennungen wie IP-Adressen und Cookie-Kennungen, die sein Gerät oder Software-Anwendungen und -Tools oder Protokolle liefern, oder sonstige Kennungen wie Funkfrequenzkennzeichnungen zugeordnet. Dies kann Spuren hinterlassen, die insbesondere in Kombination mit eindeutigen Kennungen und anderen beim Server eingehenden Informationen dazu benutzt werden können, um Profile der natürlichen Personen zu erstellen und sie zu identifizieren.
Auflösung: Identifizierung heisst Singularisierung
Der scheinbare Widerspruch zwischen dem relativen Ansatz einerseits und der ausdrücklichen Bezugnahme auf Online-Kennungen andererseits löst sich allerdings durch das Konzept der Singularisierung:
Unter “Identifizierung” ist ein Vorgang zu verstehen, bei dem die Identität einer Person festgestellt ist. Mit “Identität” wird gemeinhin der Name der Person verstanden. Die DSGVO – und auch schon die Richtlinie – haben aber ein breiteres Verständnis von Identität. “Identität” ist alles, worin sich eine Person von allen anderen Personen unterscheidet. Das ist nur ein (eindeutiger) Name, sondern eben alle andeen Merkmale der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität. Mit anderen Worten ist eine Person auch “identifiziert”, wenn zwar nicht ihr Name bekannt ist, aber andere Unterscheidungsmerkmale. Es genügt folglich, wenn eine Person zwar nicht namentlich bekannt, aber doch singularisiert ist, d.h. wenn sie von allen anderen Personen unterschieden werden kann.
Dieser Ansatz findet sich in der Stellungnahme 4/2007 der Artikel-29-Arbeitsgruppe:
An diesem Punkt ist anzumerken, dass Personen in der Praxis zwar überwiegend anhand ihres Namens identifiziert werden, ein Name zur Identifizierung einer Person jedoch keineswegs immer notwendig ist. Beispielsweise kann eine Person anhand anderer „Kennzeichen“ singularisiert werden. So ordnen rechnergestützte Dateien zur Erfassung personenbezogener Daten den erfassten Personen gewöhnlich ein eindeutiges Kennzeichen zu, um Verwechslungen zwischen zwei Personen in der Datei auszuschließen. Auch im Internet kann das Verhalten eines Geräts und somit des Gerätenutzers mit Hilfe vonv Überwachungswerkzeugen für den Internetverkehr problemlos identifiziert werden. Dadurch entsteht Stück für Stück ein Bild von der Persönlichkeit der Person, der bestimmte Entscheidungen zugeschrieben werden können. Die Person kann also ohne Kenntnis ihres Namens und ihrer Adresse anhand sozioökonomischer, psychologischer, philosophischer oder sonstiger Kriterien kategorisiert und mit bestimmten Entscheidungen in Zusammenhang gebracht werden, da der Kontaktpunkt der Person (Computer) die Offenlegung ihrer Identität im engeren Sinn nicht mehr zwingend erfordert. Mit anderen Worten setzt die Identifizierbarkeit einer Person nicht mehr die Kenntnis ihres Namens voraus.
Schlussfolgerung
Mit Bezug auf Online-Kennungen folgt daraus, dass eine IP-Adresse oder ein anderer Identifikator dann ein Personendatum ist, wenn sie eine Person von anderen unterscheidet, d.h. wann immer eindeutig festzustellen ist, dass es sich um dieselbe Person handelt.
Letztlich ergibt sich diese Definition aus dem Grundrechtsbezug der DSGVO und insb. dem Schutz vor Diskriminierung, auf den die DSGVO grossen Wert legt (vgl. z.B. Erwägungsgründe 71, 75 und 85 und vor allem ErwG 1, der auf die Charta Bezug nimmt, die in Art. 21 ein Diskriminierungsverbot enthält; auch ErwG 4 betr. Kopplungsverbot bei Einwilligungen). Dass der Gesetzgeber Diskriminierungen gerade auch im Online-Bereich vermeiden wollte, zeigt sich z.B. in Erwägungsgrund 71 zu Art. 22, der automatisierten Einzelfallentscheidung:
(71) Die betroffene Person sollte das Recht haben, keiner Entscheidung — was eine Maßnahme einschließen kann — zur Bewertung von sie betreffenden persönlichen Aspekten unterworfen zu werden, die ausschließlich auf einer automatisierten Verarbeitung beruht und die rechtliche Wirkung für die betroffene Person entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt, wie die automatische Ablehnung eines Online-Kreditantrags oder Online-Einstellungsverfahren ohne jegliches menschliche Eingreifen. […]
Es ist deshalb folgerichtig, wenn Singularisierung ins. im Online-Bereich ausreicht. Andernfalls wäre die DSGVO machtlos, wann immer der Nutzer einer Website zwar profiliert, aber nicht namentlich bekannt wird.
Vor diesem Hintergrund folgt aus der Legaldefinition des Personendatums in der DSGVO also nicht etwa, dass die DSGVO einen absoluten Ansatz verfolgt. Erforderlich, aber auch ausreichend ist im Online-Bereich vielmehr, dass eine ausreichend unveränderliche Online-Kennung mit einer Person verbunden ist und vom Anbieter solange gespeichert wird, dass unterschiedliche Vorgänge – zB mehrmalige Besuche auf einer Website – der gleichen (aber nicht unbedingt namentlich bekannten) Person zugeordnet werden können.
Bei der Frage, ob eine Singularisierung vorliegt, sind aber die der betreffenden Person zur Verfügung stehenden Mittel zu berücksichtigen. Lässt sich bspw. ein Identifikator nur mit grösserem Aufwand mit anderen Identifikatoren abgleichen und hat der betreffende Verarbeiter kein Interesse daran, diesen Aufwand auf sich zu nehmen, fehlt es an einer Singularisierung und damit an einem Personendatum.