Das Datenschutzrecht ist anwendbar, wenn personenbezogene Daten verarbeitet werden. Hierbei ist zu beachten, dass nicht nur Namen und Adressdaten einen Personenbezug aufweisen können. Auch Geodaten können Personen mittelbar identifizieren und somit unter die DSGVO fallen, wenn durch die Verschränkung mit weiteren Datenquellen der Personenbezug hergestellt werden kann. Der Europäische Gerichtshof hat sich in einem aktuellen Urteil mit der Frage auseinandergesetzt, welches Zusatzwissen hierfür relevant ist.
Das Datenschutzrecht gilt gemäß Art. 2 Abs. 1 DSGVO ausschließlich für personenbezogene Daten. Dieser Begriff ist in Art. 4 Abs. 1 DSGVO definiert als „alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen“. Als identifizierbar wird eine Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie dem Namen, zu Kennnummern oder Standortdaten, identifiziert werden kann. Hierbei sollen nach dem Gesetzgeber „alle Mittel berücksichtigt werden, die von dem Verantwortlichen oder einer anderen Person nach allgemeinen Ermessen wahrscheinlich genutzt werden“, um die Person zu identifizieren.
Was bedeutet dies für Geodaten? Zunächst ist festzuhalten, dass diese für sich genommen keinen Personenbezug aufweisen. Aufnahmen, die zum Beispiel bei der Befliegung eines Wohnhauses entstanden sind, können jedoch einen indirekten Personenbezug aufweisen, wenn sie auch Standortdaten enthalten und sich durch Verschneidung mit anderen Datenquellen ein Personenbezug herstellen lässt. Unklar ist jedoch, welches Zusatzwissen zu berücksichtigen ist, und wie viel Rechercheaufwand und -wille hierbei zu unterstellen ist. In der Literatur werden hierfür zwei unterschiedliche Ansätze verwendet:
· Absoluter Personenbezug: Nach dem absoluten Ansatz genügt bereits die abstrakte Möglichkeit, dass irgendjemand eine Person unter Zuhilfenahme eines Datums potenziell identifizieren kann. Angesichts der heutigen technischen Möglichkeiten ist dies ein sehr strenger Ansatz, der den Anwendungsbereich des Datenschutzrechts nahezu grenzenlos ausweitet.
· Relativer Personenbezug: Nach dem relativen Personenbezug, muss der Verantwortliche selbst in der Lage sein, den Personenbezug unter Zuhilfenahme von Zusatzwissen herzustellen.
Der Europäische Gerichtshof (EuGH) hat sich in seinem Urteil vom 9.11.2023 damit befasst, unter welchen Voraussetzungen Fahrzeuginformationsnummern (FIN) die Identifikation einer natürlichen Person zulassen. In diesem Urteil nähert sich der EuGH dem absoluten Personenbezug an, in dem es feststellt, dass der alphanumerische Code einer FIN „als solche keine personenbezogenen Daten darstellen, für denjenigen, der bei vernünftiger Betrachtung über Mittel verfügt, die es ermöglichen sie einer bestimmten Person zuzuordnen, zu personenbezogenen Daten (werden)“. Die Klärung der Frage, ob im vorliegenden Fall bei vernünftiger Betrachtung die zur Verfügung stehenden Mittel ausreichend waren, hat der EuGH dem vorlegenden Gericht überlassen.
Fazit: Ebenso wie FIN sind auch Geodaten als solche keine personenbezogenen Daten. Ein Personenbezug lässt sich jedoch mittelbar herstellen. Ob es hierbei auf den Verwender der Daten (relativer Personenbezug) abzustellen ist, oder der abstrakte Maßstab einer potenziellen Identifizierbarkeit (absoluter Personenbezug) ausreicht, ist strittig.
Der EuGH verfolgt einen absoluten Personenbezug. Indem es jedoch den abstrakten Maßstab „bei vernünftiger Betrachtung zur Verfügung stehende Mittel“ betont und gleichzeitig Raum für eine gerichtliche Bewertung lässt, besteht Hoffnung für eine praxisbezogene Annäherung an den Maßstab des relativen Personenbezugs.
Auch in Bezug auf Geodaten wird sich in den nächsten Jahren herauskristallisieren, wie Gerichte die Verfügbarkeit von Zusatzinformationen „bei vernünftiger Betrachtung“ bewerten und somit die Anwendbarkeit des Datenschutzrechtes eröffnen.
Link:
Comments