Читать книгу DSGVO - BDSG - TTDSG - Группа авторов - Страница 106

24

Ein Datum identifiziert eine natürliche Person, wenn die Identität dieser unmittelbar aus der Information selbst hervorgeht.47 Eine natürliche Person ist dementsprechend identifiziert, wenn sie sich in einer Personengruppe von allen anderen Mitgliedern der Gruppe unterscheidet48 und sie deshalb aus der Gruppe ausgesondert werden kann („singling out“49).50 Die klassische Zuordnungsmethode ist insofern ein aussagekräftiger Name einer Person, der die Wiedererkennung der Person ermöglicht, wobei nicht stets der Name zur Identifikation benötigt wird.

25

Die Identifizierbarkeit hängt von den jeweiligen Umständen ab und ist daher kontextsensitiv zu bewerten.51 Während eine Person regelmäßig nicht durch einen Allerwelts-Nachnamen bezogen auf die gesamte Landesbevölkerung identifiziert werden kann, reicht der Nachname häufig innerhalb einer Schulklasse aus.52 Auch die Information „der Mann im schwarzen Anzug“ kann bezogen auf eine Gruppe von Passanten an einer Fußgängerampel ausreichen.53

26

Unklar ist, ob individuell, dauerhaft und in Bezug auf eine bestimmte natürliche Person vergebene Kennungen wie die Sozialversicherungsnummer und die Steueridentifikationsnummer bereits von sich aus eine Identifizierung ermöglichen oder hierzu entsprechendes Referenzwissen erforderlich ist.54 In Rekurs auf das oben genannte Beispiel einer Menschenmenge wäre insoweit erforderlich, dass eine bestimmte Person auf Grundlage der bloßen Kenntnis einer solchen Kennziffer aus einer Gruppe ausgesondert werden können müsste. Hierzu wird es maßgeblich auf den jeweiligen organisatorischen Zusammenhang ankommen.55 In aller Regel wird sich eine Zuordnung jedoch nur anhand entsprechenden Referenzwissens über den Träger der Kennung herstellen lassen; folglich ist zu prüfen, ob die jeweilige datenverarbeitende Stelle über das nötige Zusatzwissen verfügt oder ihr entsprechende Mittel vernünftigerweise zur Verfügung stehen, dieses Zusatzwissen zu erhalten (dazu unten Rn. 33).56

27

Online-Kennungen (z.B. IP- und MAC-Adressen, Smartphone-IDs, Cookie-IDs oder andere ähnliche Technologien wie Device-Fingerprinting) identifizieren für sich allein genommen regelmäßig keine Person, da sich aus ihnen unmittelbar weder die Identität der natürlichen Person, der der Computer gehört, von dem aus eine Website aufgerufen wurde, noch die Identität einer anderen Person, die diesen Computer benutzen könnte, ergibt.57 Insofern ermöglichen solche Kennungen isoliert allenfalls ein individuelles Ansprechen der jeweils sich hinter der Kennung befindlichen bzw. agierenden natürlichen Person. Eine solche Individualisierung erfolgt jedoch nicht in Ansehung dieser Personen und führt daher nicht zu deren Identifizierung. So statuiert der EuGH, dass IP-Adressen isoliert betrachtet gerade kein personenbezogenes Datum darstellen (obwohl sie eine solche individuelle Ansprache ermöglichen).58 Daraus folgt, dass der Gerichtshof es für eine Identifizierung als nicht ausreichend zu erachten scheint, eine Person auf sonstige Weise individualisieren zu können, um ein Datum als personenbezogen zu klassifizieren. Eine Identifizierbarkeit ist je nach Sachverhalt aber denkbar (dazu unten Rn. 30).

28

Auch selbst gewählte Pseudonyme,59 insbesondere im Online-Bereich (z.B. E-Mail-Adressen oder Twitter-Handles), identifizieren in diesem Sinne alleine ohne weitere Informationen weder die Person, der das Pseudonym gehört, vom dem die Nachrichten verschickt bzw. veröffentlicht wurden, noch die Identität einer anderen Person, die dieses Pseudonym benutzen könnte.60 Das Gleiche gilt für gänzlich andere Kennungen, wie z.B. Kreditkartennummern. Auch hier ist jeweils im Einzelfall zu prüfen, ob dem Verantwortlichen selbst weitere Informationen zur Identifizierung oder „rechtliche Mittel“ (siehe dazu unten Rn. 37) zur Verfügung stehen, entsprechendes, zur Identifizierung erforderliches Zusatzwissen von einem Dritten zu erhalten.61

29

Neben einer einzelnen Information hilft auch eine Kombination verschiedener Informationen zur Identifizierung der Person, wie z.B. die Hinzuziehung von Geburtsdatum, Namen der Eltern, Adresse oder Fotografie des Gesichts zusätzlich zum Namen (vgl. bezüglich der Nutzung von Fotos insoweit die Abgrenzung zum Kunsturhebergesetz (KUG, unten Rn. 40ff.).62