NEWS

Öffentliches Konsultationsverfahren: Wann und wie dürfen personenbezogene Daten unter DSGVO anonymisiert werden?

In Zeiten von allgegenwärtiger Datenerhebung und von Big Data als Entscheidungsgrundlage wachsen Menge und Masse an personenbezogenen Daten, die wiederum weitgehende Rückschlüsse auf Kunden zulassen. Die DSGVO hat zum Ziel, die aus dieser Tendenz für Verbraucher entstehenden Risiken zu unterbinden. Zu diesem Zweck sollten personenbezogene Daten anonymisiert werden.


Der Anwendungsbereich jener anonymisierten Daten ist klar, ihre Umsetzung jedoch ist nur eingeschränkt geregelt. So ist streitig, ob ihre Anonymisierung einer Rechtsgrundlage bedarf und wenn ja, welcher. In seinem ersten Konsultationsverfahren wird der Bundesbeauftragte für Datenschutz und Informationsfreiheit (BfDI) den Rechtsrahmen für die Anonymisierung personenbezogener Daten herausstellen. Zudem soll eine Leitlinie zur Anonymisierung erarbeitet werden, besonders für den Telekommunikationssektor.

In der Sicht des Bundesbeauftragten für Datenschutz und Informationsfreiheit (BfDI) habe die EU-Kommission in der DSGVO die Anonymisierung personenbezogener Daten zwar als Option aufgezeigt, jedoch nicht geregelt, wann sie als hinreichend angesehen werden kann.

Grundsätzlich sei es ausreichend, die Daten derart zu anonymisieren, dass eine Reidentifizierung nicht möglich ist und der Personenbezug nur mit unverhältnismäßigem Aufwand wiederhergestellt werden kann. Zudem stelle jede Anonymisierung durch die Veränderung von Daten eine Verarbeitung im Sinne der DSGVO dar. Diese wiederum bedarf einer Rechtsgrundlage.

Mögliche Rechtsgrundlagen sind die in Art. 6 DSGVO genannten Erlaubnistatbestände. Welche Rechtsgrundlage konkret herangezogen werden kann, hängt jedoch von den Umständen der einzelnen Situation ab. Die Anonymisierung kann zum Beispiel durch eine wirksame Einwilligung möglich sein oder weil die Daten einem bestimmten Zweck dienen. Zudem kann die Anonymisierung die Pflicht der Löschung personenbezogener Daten erfüllen – dies ist dann möglich, wenn der Personenbezug durch die Anonymisierung wirksam beseitigt wird.

Des Weiteren können auch die spezialgesetzlichen Normen des Telekommunikationsgesetzes (TKG) die Anonymisierung regeln. Gemäß TKG dürfen die Daten zur Vermarktung von Telekommunikationsdiensten genutzt werden, sofern eine Einwilligung vorliegt. Auch Standortdaten dürfen verarbeitet werden, falls sie anonymisiert wurden oder wenn die Einwilligung der betroffenen Person vorliegt.

 

Abschließend lässt sich festhalten, dass eine Anonymisierung personenbezogener Daten – auch im Telekommunikationssektor – grundsätzlich möglich ist, sofern eine Rechtsgrundlage vorhanden ist. Ob dies der Fall ist, bleibt letztlich eine Einzelfallentscheidung, die alle Umstände berücksichtigt.