Allgemein

BfDI konsultiert die Öffentlichkeit hinischtlich datenschutzrechtlicher Anonymisierung

Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) Ulrich Kelber leitete Anfang des Monats erstmals ein Konsultationsverfahren ein, in dem er insbesondere Akteure aus Politik, Wirtschaft, Gesellschaft und Verwaltung dazu aufforderte, Kommentare und Stellungnahmen abzugeben. Final sollen diese in einem Positionspapier zusammengefasst und veröffentlicht werden.

 

Gegenstand des Konsultationsverfahrens

Thematisch befasst sich das Verfahren mit der datenschutzrechtlichen Anonymisierung unter der DS-GVO unter besonderer Berücksichtigung der TK-Branche.[1] Hierzu erstellte der BfDI den Entwurf eines ersten Positionspapiers.[2] Dabei geht es schwerpunktmäßig um die Fragen, welche Anforderungen ein Verantwortlicher erfüllen muss, wenn er personenbezogene Daten anonymisieren möchte, ob diese Anonymisierung nach der DS-GVO eine auf eine Rechtsgrundlage zu stützende Verarbeitung darstellt und auf welche Rechtsgrundlage die Anonymisierung in diesem Fall gestützt werden kann.[3]

Die Beantwortung dieser hoch umstrittenen Fragen ist für die Praxis äußerst relevant, da durch eine Anonymisierung dem Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DS-GVO entsprochen werden kann und durch das Verfahren die Nutzung von Daten häufig erst rechtlich zulässig ist.[4]

Das Positionspapier soll den Verantwortlichen eine Hilfestellung bei der Orientierung zur Anonymisierung bieten, indem es die Rechtsauffassung des BfDI aufzeigt und gleichzeitig Raum für eine öffentliche Diskussion schafft.[5]

 

Position des BfDI

Hinsichtlich der Anforderungen an eine Anonymisierung konstatiert Kelber, dass es hierfür häufig weder möglich, noch gefordert sei, eine Wiederherstellung des Personenbezugs unmöglich zu machen. Es sei bereits ausreichend, wenn eine Re-Identifizierung nur mit einem unverhältnismäßigen Aufwand an Zeit, Kosten und Arbeitskraft möglich sei. Die Überprüfung dessen sei dabei die fortwährende Aufgabe des für die Daten Verantwortlichen, welcher dabei der Kontrolle der Datenschutzbehörden unterliege.[6]

Weiterhin vertritt der BfDI die Auffassung, dass es sich bei der Anonymisierung um die Verarbeitung personenbezogener Daten gemäß Art. 4 Nr. 2 DS-GVO handle. Seiner Ansicht nach seien die Entfernung einzelner Elemente aus Daten zur Aufhebung des Personenbezugs und die Zusammenfassung von personenbezogenen Daten als Anonymisierungsmethoden eine Veränderung im Sinne des Art. 4 Nr. 1 DS-GVO. Dies begründet er zudem damit, dass es nur folgerichtig sei, eine Anonymisierung als Verarbeitung anzusehen, wenn dies bereits durch die Löschung personenbezogener Daten gemäß Art. 4 Nr. 2 DS-GVO gegeben sei.[7]

Als Konsequenz der Einordnung der Anonymisierung als Verarbeitung bedarf diese einer Rechtsgrundlage. Als jene mit der höchsten Relevanz in der Praxis nennt der BfDI die Einwilligung nach Art. 6 Abs. 1 lit. a DS-GVO, aber auch Art. 6 Abs. 4 DS-GVO in Verbindung mit der ursprünglichen Rechtsgrundlage, da die Anonymisierung aufgrund der Tatsache, dass die Daten zunächst zu anderen bestimmten Zwecken erhoben worden seien, regelmäßig eine Weiterverarbeitung darstelle. Dies mache gemäß Art. 6 Abs. 4 DS-GVO eine Prüfung der Vereinbarkeit der Weiterverarbeitung mit dem Zweck der ursprünglichen Datenerhebung erforderlich.[8]

Weiterhin zieht der BfDI in Erwägung, dass personenbezogene Daten, welche gemäß Art. 17 Abs. 1 DSGVO der Pflicht zur unverzüglichen Löschung unterliegen, statt einer Löschung auch gemäß Art. 6 Abs. 1 lit. c DSGVO anonymisiert werden könnten. Dabei geht er davon aus, dass eine Anonymisierung einer Löschung gleichzusetzen sei.[9]

Im Hinblick auf den Telekommunikationssektor führt der BfDI an, dass im Bereich der Verarbeitung von Verkehrsdaten im Sinne des § 3 Nr. 30 TKG eine Anonymisierung maßgeblich in den §§ 91 ff. TKG geregelt sei.[10] So bedürfe es beispielsweise einer Einwilligung des Betroffenen gemäß § 96 Abs. 3 S. 1 TKG, wenn teilnehmerbezogene Verkehrsdaten zur Vermarktung von Telekommunikationsdiensten, zur bedarfsgerechten Gestaltung von Telekommunikationsdiensten oder zur Bereitstellung von Diensten mit Zusatznutzen anonymisiert werden.[11] Aus § 98 Abs. 1 S. 1 TKG leitet der BfDI ab, dass Standortdaten anonymisiert werden dürften, wenn und soweit dies zur Bereitstellung von Diensten mit Zusatznutzen im Sinne des § 3 Nr. 5 TKG erforderlich sei.[12] Zudem hält er eine Anonymisierung gemäß § 96 Abs. 1 S. 2 TKG beziehungsweise Art. 6 Abs. 1 lit. c DS-GVO für möglich, um der Pflicht zur Löschung von Verkehrsdaten gemäß § 96 Abs. 1 S. 3 TKG zu nachzukommen.[13]

 

Fazit und Ausblick

Der BfDI hat sich einer bislang von ihm ungenutzten Möglichkeit bedient, um mit der Öffentlichkeit und den verantwortlichen Akteuren einen Austausch anzuregen und ihnen eine Hilfestellung bei der Orientierung zum rechtssicheren und datenschutzfreundlichen Umgang mit der Anonymisierung von Daten zu geben.[14] Ein solches Verfahren schafft zudem Transparenz hinsichtlich der Tätigkeit innerhalb einer Behörde. Zwar läuft die Konsultation unter besonderer Berücksichtigung der TK-Branche ab, jedoch betreffen die grundsätzlichen Ausführungen zur Anonymisierung auch sämtliche Unternehmen aus anderen Bereichen und sind insbesondere im Hinblick auf die faktisch nicht abschließend geklärten Fragen zur Anonymisierung für diese sehr wertvoll.

Einsendungen sind noch bis zum 9. März an die dafür eingerichtete E-Mail-Adresse des BfDI (konsultation@bfdi.bund.de) möglich. Die Veröffentlichung der Beiträge im Rahmen des finalen Positionspapiers kann gespannt erwartet werden.

 

 

 


[1] BfDI, BfDI nutzt erstmals Konsultationsverfahren, bfdi.bund.de, 10. Februar 2020 (zuletzt abgerufen am 27.02.2020).

[2] BfDI, Positionspapier zum Thema: Anonymisierung unter der DSGVO unter besonderer Berücksichtigung der TK-Branche, 10. Februar 2020.

[3] BfDI, bfdi.bund.de, 10. Februar 2020 (vgl. Fn. 1).

[4] Sturm, BfDI zur Anonymisierung von Daten unter der DSGVO, lutzabel.com, 17. Februar 2020 (zuletzt abgerufen am: 27.02.2020).

[5] BfDI, bfdi.bund.de, 10. Februar 2020 (vgl. Fn. 1).

[6] BfDI Positionspapier (vgl. Fn. 2), S. 4 f.

[7] BfDI Positionspapier (vgl. Fn. 2), S. 5 f.

[8] BfDI Positionspapier (vgl. Fn. 2), S. 6 ff.

[9] BfDI Positionspapier (vgl. Fn. 2), S. 8 ff.

[10] BfDI Positionspapier (vgl. Fn. 2), S. 10.

[11] BfDI Positionspapier (vgl. Fn. 2), S. 10.

[12] BfDI Positionspapier (vgl. Fn. 2), S. 10.

[13] BfDI Positionspapier (vgl. Fn. 2), S. 10 f.

[14] Dachwitz, Konsultation des BfDI – „Anonym“ ist höchstens eine Momentaufnahme, netzpolitik.org, 16.02.2020 (zuletzt abgerufen am: 27.02.2020).

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert

*