Читать книгу DSGVO - BDSG - TTDSG - Группа авторов - Страница 108

31

Um festzustellen, ob eine natürliche Person identifizierbar ist, sind alle Mittel zu berücksichtigen, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich66 genutzt werden, um die natürliche Person direkt oder indirekt zu identifizieren (ErwG 26 Satz 3). Die rein hypothetische Möglichkeit zur Identifizierung der Person reicht somit nicht aus, um die Person als identifizierbar anzusehen.67 Es ist allerdings auch nicht notwendig, dass der Verantwortliche tatsächlich Bestrebungen einleitet oder über entsprechende Mittel bereits verfügt, um eine Identifizierung herbeizuführen, sondern es reicht die festgestellte Wahrscheinlichkeit, dass er diese einleitet bzw. entsprechende Mittel erwerben wird.68 Bei der Feststellung, ob Mittel nach allgemeinem Ermessen wahrscheinlich zur Identifizierung der natürlichen Person genutzt werden, sind im Rahmen einer Risikoanalyse bzw. -prognose nach ErwG 26 Satz 4 alle objektiven Faktoren, wie die Kosten der Identifizierung und der dafür erforderliche Zeitaufwand, heranzuziehen, wobei die zum Zeitpunkt der Verarbeitung verfügbare Technologie und technologische Entwicklung zu berücksichtigen sind. Nach der Breyer-Entscheidung des EuGH ist dabei ein faktisches Risiko der Herstellung eines Personenbezugs erforderlich.69 Zur Bestimmung, ob ein solches Risiko gegeben ist, dürften als objektive Faktoren (neben den in ErwG 26 Satz 4 ausdrücklich genannten) zu berücksichtigen sein, ob der Zweck der Verarbeitung eine Identifizierung erfordert, ob die Identifizierung zu einer Nutzungssteigerung führt (je nach Verarbeitungszweck) und ob der Identifizierung vertragliche und/oder organisatorische Hemmnisse entgegenstehen (z.B. Vertragsstrafen). Abschließend dürfte in einer Abwägung zu entscheiden sein, ob der Aufwand für den erwarteten Kenntnisgewinn der Identifizierung unverhältnismäßig ist. Hat ein Unternehmen beispielsweise in zwei unterschiedlichen Datenbanken Informationen über Personen gespeichert (die isoliert betrachtet jedoch keine eindeutige Zuordnung zu einer Person ermöglichen), deren Zusammenführung dabei zu einer Identifizierung führen würde und unter Berücksichtigung der typischerweise am Markt verfügbaren Datenanalysetools mit einem vertretbaren Aufwand an Zeit und Kosten auch möglich wäre, wäre die Identifizierbarkeit auch der (noch) nicht zusammengeführten Datenbanken zu bejahen.70 Vice versa kann durchaus zu beachten sein, dass ein Verantwortlicher erhebliche Anstrengungen unternehmen und Aufwände auf sich nehmen kann, um einen Datenbestand anhand eines entwickelten Anonymisierungskonzepts nicht personenbeziehbar zu halten, da dies zur Erreichung der jeweils verfolgten Zwecke nicht erforderlich ist. In solchen Fällen würde eine Re-Identifizierung dieses Unterfangen geradezu konterkarieren und gefährden. Demnach erscheint die Gefahr einer Re-Identifizierung jedenfalls durch den Verantwortlichen in derartigen Konstellationen als de facto ausgeschlossen. Gesetzlich verbotene Mittel zur Herstellung der Identifizierbarkeit sind jedenfalls nach dem EuGH bei der Betrachtung ausdrücklich nicht einzubeziehen.71