Was „personenbezogen“ wirklich bedeutet
Ohne Namen, ohne Adresse, ohne Konto – und trotzdem personenbezogen. Der Begriff reicht viel weiter, als der Wortlaut vermuten lässt, und genau das entscheidet darüber, ob die DSGVO überhaupt gilt.
Personenbezogen ist jede Information, die sich auf eine identifizierte oder identifizierbare Person bezieht. Das zweite Wort trägt die ganze Last. Identifizierbar heißt: Es genügt, dass eine Zuordnung mit vertretbarem Aufwand möglich wäre – nicht, dass sie tatsächlich gemacht wird.
Der Umweg über Dritte zählt mit
Der entscheidende Punkt wurde 2016 höchstrichterlich geklärt: Eine IP-Adresse ist auch dann personenbezogen, wenn der Websitebetreiber allein sie niemandem zuordnen kann. Es genügt, dass rechtliche Mittel bestehen, über den Zugangsanbieter an den Namen zu kommen.
Damit fällt die verbreitete Verteidigung „wir wissen doch gar nicht, wer das ist“ weitgehend weg. Maßgeblich sind alle Mittel, die vernünftigerweise eingesetzt werden könnten – von irgendwem, nicht nur von der speichernden Stelle.
Was eine gewöhnliche Website ohne Anmeldung erfährt
- Netzwerkmerkmale: IP-Adresse, ungefährer Ort40 %
- Gerätemerkmale: Browser, Betriebssystem, Bildschirm25 %
- Gespeicherte Kennungen: Cookies, Local Storage20 %
- Verhalten: aufgerufene Seiten, Verweildauer, Herkunftslink15 %
Pseudonym ist nicht anonym
Die beiden Begriffe werden oft gleichgesetzt, und der Unterschied ist folgenreich: Pseudonyme Daten unterliegen der DSGVO vollständig, anonyme gar nicht.
Der Unterschied liegt in der Umkehrbarkeit
Besonders geschützte Angaben
Eine kleine Gruppe von Angaben steht unter strengerem Schutz: Gesundheit, ethnische Herkunft, politische Meinung, Religion, Gewerkschaftszugehörigkeit, Sexualleben, biometrische und genetische Daten. Für sie gilt ein grundsätzliches Verarbeitungsverbot mit engeren Ausnahmen.
- Der Schutz greift auch bei mittelbaren Hinweisen: Der Besuch einer Seite über eine bestimmte Erkrankung ist eine Gesundheitsangabe.
- Für Werbung mit solchen Daten kommt praktisch nur die ausdrückliche Einwilligung in Betracht – ein berechtigtes Interesse trägt hier nicht.
- Wer eine Website zu einem sensiblen Thema betreibt, sollte deshalb besonders zurückhaltend mit eingebundenen Diensten Dritter umgehen.
Ein Datensatz ohne Namen ist keine anonyme Angabe, sondern meistens nur eine Angabe mit einem anderen Namen.