Name, Geburtsdatum, Anschrift – all diese Informationen können einer bestimmten Person ohne weitere Angaben zugeordnet werden. Daneben stehen Informationen wie das KFZ-Kennzeichen oder die IP-Adresse, welche für sich allein nur eine Kennung darstellen und ohne zusätzliches Wissen einer Person nicht zugewiesen werden können. Liegen aber Zusatzinformationen vor, die eindeutige Rückschlüsse auf eine Person zulassen, sind auch diese Daten personenbezogen. Dabei stellt sich die Frage, wer über die Zusatzinformationen verfügen muss, damit ein Datum als personenbezogen einzustufen ist.
Absolute und relative Theorie
Um zu beurteilen, ob ein Datum Personenbezug hat, gibt es zwei Blickwinkel – den absoluten und den relativen. Die absolute Theorie besagt, ein Datum sei personenbezogen, sobald irgendeine dritte Person durch Zusatzwissen einen Personenbezug herstellen kann. Hierbei wird also das „gesamte Weltwissen“ einbezogen. Dieser Ansatz würde bedeuten, dass jedes Datum personenbezogen ist, da irgendwer irgendwo über die notwendige Zusatzinformation verfügt, um die jeweile Person identifizieren zu können.
Die relative Theorie zielt darauf ab, dass ein Datum nur dann Personenbezug hat, wenn der jeweils Verantwortliche für das konkrete Datum Mittel zur Verfügung hat, die einen Personenbezug ermöglichen. Dabei kommt es darauf an, dass diese Mittel, z.B. gesetzliche Auskunftsansprüche gegenüber Behörden, im konkreten Fall auch eingesetzt werden und nicht nur theoretisch gegeben sind. Ob ein Datum personenbezogen ist, ist also jeweils individuell für jedes Datum zu beurteilen.
Tendenz der Datenschutz-Grundverordnung (DSGVO)
Für die Praxis stellt sich vor allem die Frage, welcher Theorie die DSGVO folgt, da dadurch vorgegeben wird, nach welchen Kriterien ein Verantwortlicher den Personenbezug eines Datums festzulegen hat. Erwägungsgrund 26 DSGVO lässt erkennen, dass wohl eher der relativen Theorie zu folgen ist, wobei einige Ansatzpunkte der absoluten Theorie einbezogen werden. Mit anderen Worten: Ein Datum hat für den jeweils Verantwortlichen Personenbezug, wenn die Daten von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen genutzt werden können oder wahrscheinlich genutzt werden, um die natürliche Person direkt oder indirekt zu identifizieren.
Bei der Feststellung, ob Mittel nach allgemeinem Ermessen wahrscheinlich zur Identifizierung der natürlichen Person genutzt werden, sollten alle objektiven Faktoren, wie die Kosten der Identifizierung und der dafür erforderliche Zeitaufwand, herangezogen werden, wobei die zum Zeitpunkt der Verarbeitung verfügbare Technologie und technologische Entwicklungen zu berücksichtigen sind.
Letztlich ist nur notwendig, dass das Zusatzwissen faktisch eingeholt werden kann. Ob es tatsächlich angefragt und genutzt wird, soll keine Rolle spielen. Dadurch soll vermieden werden, dass zum Beispiel bei zwei verschiedenen IP-Adressen die eine Personenbezug hat, die andere aber nicht, da nur für eine die Zusatzinformationen eingeholt werden.
Fazit: Im Zweifel gilt die DSGVO
Ein Verantwortlicher sollte immer prüfen, ob er in seiner Position Mittel zur Verfügung hat, welche einem Datum wie einem KFZ-Kennzeichen oder einer IP-Adresse Personenbezug geben. Sobald ihm nach dem jeweils geltenden nationalen Recht Zusatzinformationen (in Deutschland besteht ein solches zum Beispiel im Rahmen der Strafverfolgung nach § 100 j Abs. 2 und 1 StPO, § 113 TKG für IP-Adressen) mitgeteilt werden dürfen, sind die Daten als personenbezogen einzustufen und unterliegen dem Schutz der DSGVO.