Literaturnachweis : Buchbesprechung : aus der RDV 5/2023 Seite 343 bis 344
Mühlenbeck, Dr. Robin L. (Autor), Anonyme und pseudonyme Daten, Nomos Verlag, Baden-Baden, 2023, 388 S., 119,– €
Im März 2023 ist die Dissertation von Robin L. Mühlenbeck mit dem Titel „Anonyme und pseudonyme Daten“ in der Schriftenreihe „Frankfurter Studien zum Datenschutz“ der Nomos Verlagsgesellschaft erschienen. Die Frage, unter welchen Voraussetzungen Daten einen Personenbezug aufweisen, pseudonym oder gar anonym sind, ist eine herausfordernde wissenschaftliche Forschungsfrage, aber auch für die Rechtsanwendung von enormer Bedeutung. Denn die DS-GVO gilt für personenbezogene Daten und pseudonyme Daten, nicht aber für anonyme Daten. Anonyme Daten können daher außerhalb der DS-GVO verarbeitet werden. Für die Verarbeitung pseudonymer Daten sieht die DS-GVO wegen des eingeschränkten Personenbezugs Erleichterungen vor. Die DS-GVO verfolgt insofern auch im Rahmen des Personenbezugs ein abgestuftes Schutzkonzept im Sinne des risikobasierten Ansatzes.
Die Arbeit zeigt auf, dass sich ein einheitliches Verständnis des Personenbezugs nach der DS-GVO entwickeln lässt, welches auch Fragen der Pseudonymität und Anonymität von Daten überzeugend lösen kann, ohne hierbei den Schutz personenbezogener Daten zu gefährden. Kernstück ist hierbei die Frage, ob der Personenbezug relativ – also aus Sicht des jeweiligen Verantwortlichen – oder absolut – also aus Sicht Dritter – zu beurteilen ist oder nicht.
Der EuGH hat sich in der Rechtssache Breyer zur Frage des Personenbezugs geäußert und im Ausgangspunkt einem relativen Verständnis angeschlossen, aber eine Identifizierbarkeit der betroffenen Person unter Rückgriff auf die Kenntnisse und Mittel bestimmter Dritter ebenfalls zugelassen. Das Gericht hat insofern einen Mittelweg beschritten.
Die Arbeit entwickelt daran anknüpfend ein erweitertes relatives Begriffsverständnis, das sowohl bestimmte Dritte, aber auch den Einsatz rechtswidriger Mittel im Rahmen einer Risikoprognose und unter Berücksichtigung von Verhältnismäßigkeitsaspekten in die Betrachtung und Bewertung des (Nicht-)Vorliegens des Personenbezugs nach den Vorgaben der DS-GVO und ErwG 26 S. 3 und 4 mit einbezieht. Dies mündet mit Blick auf die Frage nach der Anonymität eines Datums letztlich in einem relativen, also faktischen Anonymisierungsund Anonymitätsbegriff. Die Arbeit kommt insbesondere zu dem Schluss, dass im Zuge eines erweiterten relativen Begriffsverständnisses des Personenbezugs auch pseudonyme Daten mitunter für Verantwortliche anonym sein können.
Diese Sichtweise scheint nun auch durch das Gericht der Europäischen Union (EuG) bestätigt, das angenommen hat, dass pseudonymisierte Daten im Sinne eines relativen Verständnisses des Personenbezugs für Verantwortliche unter bestimmten Voraussetzungen tatsächlich anonym sein können.
Die erschienene Arbeit untersucht aus wissenschaftlicher Perspektive die wesentlichen Verarbeitungskonstellationen und entscheidenden Problemkreise in Fragen des Personenbezugs sowie der Pseudonymität und Anonymität von Daten und analysiert in Betracht kommende Handlungsmöglichkeiten.
Ein absolutes Begriffsverständnis dürfte in der Praxis nicht nur deswegen unbeliebt sein, weil es den Anwendungsbereich des Personenbezugs von Daten erheblich ausweitet. Es ist auch nach den Vorgaben der DS-GVO nicht zwingend. Ein relatives Begriffsverständnis erfordert demgegenüber Mut der Daten verarbeitenden Stellen, vor allem wenn es darum geht, das Fehlen des Personenbezugs eines Datums zu begründen. Mit Blick auf Bußgeldrisiken ist diese Entscheidung kein leichtes Unterfangen. Rechtssicherheit kann hierbei nicht bloß durch die DS-GVO gewährleistet werden. Vor allem sind auch Gerichte, so der Autor, weiterhin aufgefordert, die Rechtsbegriffe der DS-GVO auszulegen und so eine handhabbare Kasuistik zu entwickeln, die Verlässlichkeit bietet. Bis dahin dürften Rechtsanwendende und die Praxis den bei Fehleinschätzungen drohenden Bußgeldern durch eine konservative Vorgehensweise Rechnung tragen und behutsam vorgehen.