Personenbezogene Daten 

Personenbezogene Daten

Die Verarbeitung von personenbezogenen Daten ist das zentrale Einfallstor für den Anwendungsbereich der DSGVO. Doch was genau versteht man hierunter?

Art. 4 Nr. 1 DSGVO legt fest, dass es sich bei personenbezogenen Daten um ALLE Informationen handelt, die sich auf eine Person beziehen. Umfasst sich davon sowohl Identifikationsdaten wie Vorname, Name, Adresse, usw., als auch das Aussehen (Augenfarbe, Größe, usw.), innere Anschauungen (Werte, Religion, Meinungen, usw.) und auch weitere Informationen wie Bonitäten und Beziehungen jeglicher Art.[1] Der Begriff des personenbezogenen Datums ist mithin weit zu verstehen.

Wer wird geschützt?

Geschützt werden hierbei die Informationen von natürlichen Personen. Natürliche Personen sind, in Abgrenzung zu juristischen Personen, Menschen in ihrer Rolle als Rechtssubjekt, also Träger von Rechten und Pflichten. Erwägungsgrund 27 der DSGVO legt zudem fest, dass die Daten Verstorbener keine personenbezogenen Daten darstellen. Vorsicht ist jedoch da geboten, wenn die Daten einen Rückschluss auf noch lebende Personen zulassen können, z.B. bei Erbkrankheiten.

Personenbezug

Art. 4 Nr. 1 DSGVO bestimmt, dass sich die Informationen auf eine identifizierte oder identifizierbare Person beziehen müssen. Wann eine Person identifiziert oder identifizierbar ist, wird in der DSGVO nicht geregelt. Nach dem EuGH kann von einer identifizierten Person jedoch dann gesprochen werden, wenn sich die Identität unmittelbar aus der Information ergibt.[2] Das ist zum Beispiel bei Identifikationsdaten der Fall. Identifizierbar ist eine Person mithin dann, wenn mithilfe der Information ein Personenbezug möglich ist. Abschließend geklärt ist allerdings nicht, ob ein relativer Personenbezug ausreicht oder ob ein absoluter Personenbezug vorausgesetzt wird.

Ein relativer Personenbezug ist dann gegeben, wenn der Verantwortliche, also derjenige der die Daten verarbeitet, den Personenbezug mit seinen zur Verfügung stehenden Mitteln herstellen kann. So ist z.B. für einen Arbeitgeber die Personalnummer eines Mitarbeiters ein personenbezogenes Datum, während ein Unternehmensfremder mit der bloßen Personalnummer keinen Personenbezogen herstellen könnte.

Ein absoluter Personenbezug wird hingegen bereits schon dann angenommen, wenn irgendein Dritter diesen Bezug herstellen kann. Bezogen auf das Beispiel wäre die Personalnummer mithin ein personenbezogenes Datum, da ein Personenbezug ermittelbar wäre.

Zum jetzigen Zeitpunkt haben sich weder deutsche Gerichte noch die Art. 29 Gruppe zu diesem Sachverhalt eindeutig geäußert. Eine Reihe deutscher Datenschutzbehörden zieht allerdings, im Gegensatz zu den Stimmen aus der Literatur, den absoluten Personenbezug heran. [3]

Unstreitig ist ein absoluter Persenbeug aber immer dann vorauszusetzen, wenn Informationen im Internet veröffentlicht werden oder an einen Dritten weitergeben werden, der über die entsprechenden Mittel verfügt.

Beispiele

Die durch Videoüberwachung gewonnenen Aufnahmen werden auch weiterhin als personenbezogene Daten erfasst.

Gleiches gilt für Gebäudeansichten (z.B. Google Street View) oder Luftbildaufnahmen, sofern sie mit einer Adresse beschrieben sind.

Welcher Maßstab schlussendlich zur Ermittlung herangezogen werden soll bleibt abzuwarten.

 

 

[1]Klar/Kühling in Kühling/ Buchner, Art. 4 Rn. 8.

[2] EuGH Urt. v. 19.10.2016 – C-582/14, Rn. 38

[3] Klar/Kühling in Kühling/ Buchner, Art. 4 Rn. 25.