Читать книгу DSGVO - BDSG - TTDSG - Группа авторов - Страница 167

164

Um als Dateisystem klassifiziert zu werden, muss die strukturierte Sammlung personenbezogener Daten „bestimmten Kriterien“ zugänglich sein. Dem Wortlaut nach bedarf es dabei mindestens zweier Kriterien.335 Hierunter sind diejenigen gemeinsamen Merkmale der jeweils vorliegenden Informationssammlung zu verstehen, anhand derer die Sammlung erschlossen werden kann.336

165

Entsprechende Kriterien können in erster Linie Angaben wie Namen, Aktenzeichen, Personalnummern oder auch Adressen sein. Daneben nennt die Norm als Ordnungskriterien beispielhaft funktionale und geografische Kriterien.337 Insofern können auch Berufe, Regionen und Kfz-Kennzeichen, sofern sie auf eine bestimmte Person bezogen werden können, geeignete Kriterien begründen.338 Im Umkehrschluss zu ErwG 15 Satz 2 fallen auch Akten, Aktensammlungen sowie deren Deckblätter unter den Schutz der DSGVO, sofern sie entsprechend geordnet und die jeweiligen Informationen nach mindestens zwei Kriterien zugänglich sind.339

166

Die Verordnung gibt insoweit nicht vor, ob die in der Sammlung zusammengefassten Informationen bereits nach mindestens zwei Merkmalen zugänglich sein müssen oder ob bereits die bloße Möglichkeit ausreicht, eine entsprechende Ordnung der Sammlung herzustellen. Daran anschließend stellt sich die Frage, mit welchem Aufwand eine entsprechende Ordnung herzustellen sein muss. Während ErwG 15 zur DSRl damals noch davon sprach, dass die Struktur der Datei einen „leichten Zugriff“ ermöglichen muss, ist eine entsprechende Einschränkung weder dem Verordnungstext noch den ErwG zur DSGVO zu entnehmen.340 Der Umstand, dass ErwG 15 Satz 1 im Hinblick auf den sachlichen Anwendungsbereich der DSGVO davon spricht, dass „ein ernsthaftes Risiko einer Umgehung der Vorschriften [der DSGVO]“ zu vermeiden ist, spricht grundsätzlich für ein niedrigschwelliges Verständnis. Gleichwohl muss es sich ausdrücklich um ein „ernsthaftes Risiko“ handeln. Demgemäß sollte eine bloß in der Theorie bestehende Ordnungsfähigkeit einer Sammlung wohl nicht genügen, um den Anwendungsbereich der DSGVO zu eröffnen. In Anlehnung an die Frage, ob eine Information als personenbezogenes Datum angesehen werden muss, erscheint es daher angemessen, die Anwendbarkeit der DSGVO davon abhängig zu machen, ob eine entsprechende Ordnung der Sammlung bzw. Zugänglichkeit der darin enthaltenen Informationen mit einem verhältnismäßigen Aufwand an Zeit, Kosten und Arbeitskräften herzustellen wäre.341

167

Hierbei ist jedoch zu beachten, dass, soweit Informationen bereits zu einem gewissen Grad vorstrukturiert sind, insbesondere bereits nach jedenfalls einem Kriterium zugänglich sind (etwa eine Kennzeichnung mit Namen oder Aktenzeichen), eine Zugänglichkeit nach einem weiteren Kriterium in aller Regel mit verhältnismäßigem Aufwand herzustellen sein wird.342 Damit dürfte nahezu jegliche Form der ordentlichen Aktenführung, mit Ausnahme von einer chaotischen Zettelwirtschaft, dem sachlichen Anwendungsbereich der DSGVO unterfallen.343