Читать книгу DS-GVO/BDSG - David Klein - Страница 671

44

Hat die betroffene Person einen Antrag zur Wahrnehmung ihrer Rechte gestellt, so hat der Verantwortliche diesen grundsätzlich zu bearbeiten und insbesondere zu prüfen ob und inwieweit er diesem nachkommt. Eine Verweigerung des Tätigwerdens ist nur zulässig, wenn der Verantwortliche glaubhaft macht, dass er die betroffene Person nicht identifizieren kann und ein Fall des Art. 11 Abs. 2 vorliegt.

45

Ein Fall des Art. 11 Abs. 2 liegt vor, wenn der Verantwortliche in Fällen des Art. 11 Abs. 1 nachweisen kann, dass er nicht in der Lage ist, die betroffene Person zu identifizieren. Daher ist über die Nicht-Identifizierbarkeit hinaus erforderlich, dass für die Zwecke der Datenverarbeitung eine Identifizierung des Betroffenen nicht (mehr) erforderlich ist. Andernfalls wird der Verantwortliche in der Regel ohnehin von sich aus weitere Daten erheben oder anfordern, um den Betroffenen identifizieren zu können und so die Betroffenenrechte zur Anwendung bringen.

46

Der Verantwortliche ist zur Identifizierung außerstande, wenn er mittels der ihm vorliegenden Informationen die Identität des Betroffenen nicht bestimmen kann. Identifizierbarkeit setzt voraus, dass der Verantwortliche in der Lage ist, mittels der vorhandenen Informationen die Identität des Betroffenen zu bestimmen, dass er mithin die Daten einer bestimmten Person zuordnen kann. Dabei muss der Verantwortliche zwar die ihm möglichen und zumutbaren Maßnahmen zur Identifizierung (erfolglos) ergriffen haben, indes gehört zu diesen Maßnahmen, wie Art. 11 Abs. 1 zeigt, nicht die Anforderung weiterer Informationen. Denn diese soll gerade nicht verpflichtend sein.

47

Berücksichtigt werden müssen vielmehr (nur) solche Mittel, die nach allgemeinem Ermessen von dem Verantwortlichen oder von Dritten wahrscheinlich zur Identifizierung genutzt werden[79]. Dies wiederum bestimmt sich nach objektiven Kriterien, insbesondere dem zeitlichen und finanziellen Aufwand.

48

Identifizierbar ist der Betroffene bspw. dann, wenn seine Daten bei dem Verantwortlichen in pseudonymisierter Form vorliegen und der Verantwortliche zudem über die zur Zuordnung zu dem Betroffenen erforderlichen weiteren Informationen, bspw. eine Pseudonymisierungstabelle, verfügt.[80]

49

Dagegen ist der Betroffene für den Verantwortlichen nicht identifizierbar, wenn er über dessen Daten nur in anonymisierter Form verfügt[81], da aus diesen keinerlei Rückschlüsse auf die Identität des Betroffenen möglich sind. Einer Person zugeordnete Kennungen (Cookies, IP-Adressen) können hingegen nur in Verbindung mit weiteren Informationen die Identifizierbarkeit begründen. Auch wenn diese Kennungen u.U. ein Aussondern einer abstrakten Person aus einer Menge von Personen ermöglichen können, so ist eine Zuordnung zu einer konkreten Person für den Verantwortlichen regelmäßig gerade nicht möglich.

50

Hat der Verantwortliche nachgewiesen, dass er den Betroffenen nicht identifizieren kann, so muss er dies, anders als der letzte Hs. in Abs. 2 S. 2 suggeriert, nicht zusätzlich glaubhaft machen. Denn in der englischen und französischen Sprachfassung des Art. 11 Abs. 2 und Art. 12 Abs. 2 S. 2 ist eine solche begriffliche Differenzierung nicht vorgesehen. Der abweichende Wortlaut in der deutschen Fassung ist allein der Übersetzung geschuldet und sollte nicht etwa dazu führen, dass Art. 12 Abs. 2 S. 2 insoweit ein über Art. 11 Abs. 2 hinausgehendes Erfordernis aufstellt[82].