Was ist eine betroffene Person?
Eine betroffene Person ist die identifizierte oder identifizierbare natürliche Person, auf die sich Informationen und damit personenbezogene Daten beziehen.
Der Normwortlaut
„personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind;
Normtext: Artikel 4 Nummer 1 der Datenschutz-Grundverordnung (DSGVO), amtliche deutsche Fassung. Die Aufzählung ist wegen des Wortes „insbesondere“ nicht abschließend. Eine bereits stattfindende Verarbeitung gehört nicht zur Begriffsdefinition.
Wann ist eine Person identifizierbar?
Auslegung anhand des Normtexts: Entscheidend sind der Bezug der Informationen zu einer natürlichen Person und ihre direkte oder indirekte Identifizierbarkeit. Nach Erwägungsgrund 26 sind alle Mittel zu berücksichtigen, die der Verantwortliche oder eine andere Person nach allgemeinem Ermessen wahrscheinlich zur Identifizierung nutzen wird. Zu den objektiven Faktoren gehören die Kosten und der Zeitaufwand der Identifizierung sowie die zum Beurteilungszeitpunkt verfügbare Technologie und deren technologische Entwicklung. Ein Kunden-, Nutzer- oder Beschäftigtenstatus ist nicht erforderlich.
In welchem Anwendungsbereich ist die Rolle relevant?
Die Begriffsdefinition und die Anwendbarkeit der DSGVO sind getrennt zu prüfen. Artikel 2 Absatz 1 erfasst die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie deren nichtautomatisierte Verarbeitung, wenn die Daten in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Zusätzlich müssen die räumlichen Voraussetzungen des Artikels 3 erfüllt sein. Verantwortliche und Auftragsverarbeiter sind Regelungsadressaten; ihre Beteiligung ist keine Voraussetzung dafür, dass eine natürliche Person begrifflich identifizierbar ist.
Welche Bereichsausnahmen und Personengrenzen gelten?
Artikel 2 Absatz 2 nimmt Verarbeitungen aus, die im Rahmen einer Tätigkeit außerhalb des Anwendungsbereichs des Unionsrechts erfolgen, durch Mitgliedstaaten im Rahmen von Tätigkeiten nach Titel V Kapitel 2 EUV erfolgen, von natürlichen Personen ausschließlich zur Ausübung persönlicher oder familiärer Tätigkeiten vorgenommen werden oder durch zuständige Behörden zu den dort genannten Strafverfolgungs- und Gefahrenabwehrzwecken erfolgen. Die Haushaltsausnahme setzt eine ausschließlich persönliche oder familiäre Tätigkeit ohne Bezug zu einer beruflichen oder wirtschaftlichen Tätigkeit voraus. Artikel 4 Nummer 1 erfasst natürliche, nicht juristische Personen. Nach Erwägungsgrund 27 gilt die DSGVO nicht für personenbezogene Daten Verstorbener.
Sind pseudonymisierte Daten weiterhin personenbezogen?
Technische Einordnung: Ja, wenn die Daten mithilfe zusätzlicher Informationen weiterhin einer natürlichen Person zugeordnet werden können. Artikel 4 Nummer 5 setzt für Pseudonymisierung voraus, dass personenbezogene Daten in einer Weise verarbeitet worden sind, dass sie ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden. Pseudonymisierung beseitigt den Personenbezug aber nicht.
Wann sind Informationen anonym?
Wirksam anonymisierte Informationen beziehen sich nicht auf eine identifizierte oder identifizierbare natürliche Person; Gleiches gilt, wenn die betroffene Person nicht oder nicht mehr identifizierbar ist. Ob das erreicht wurde, ist nach Erwägungsgrund 26 kontextbezogen anhand der vernünftigerweise wahrscheinlich eingesetzten Mittel zu beurteilen. Eine pauschale Anonymitätsannahme allein wegen entfernter Namen oder verwendeter Kennungen reicht daher nicht.
Gelten Fristen oder Schwellenwerte für den Begriffsstatus?
Nein. Für die Eigenschaft als betroffene Person bestehen weder eine allgemeine Frist noch ein numerischer Schwellenwert. Fristen einzelner Betroffenenrechte ändern den Begriffsstatus nicht. Nur wenn ein Antrag nach den Artikeln 15 bis 22 eingeht, muss der Verantwortliche nach Artikel 12 Absatz 3 grundsätzlich unverzüglich, spätestens innerhalb eines Monats nach Eingang, über die ergriffenen Maßnahmen informieren. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist; die betroffene Person ist innerhalb eines Monats über die Verlängerung und deren Gründe zu unterrichten. Wird der Verantwortliche nicht tätig, muss er die betroffene Person nach Artikel 12 Absatz 4 unverzüglich, spätestens aber innerhalb eines Monats nach Eingang des Antrags, über die Gründe sowie über die Möglichkeit einer Beschwerde bei einer Aufsichtsbehörde und eines gerichtlichen Rechtsbehelfs unterrichten.
Häufige Fehlannahmen
Der Begriff wird häufig zu eng oder technisch unzutreffend verwendet:
- „Nur Kunden oder Nutzer sind betroffen.“ Falsch: Ausschlaggebend sind natürliche Person, Informationsbezug und Identifizierbarkeit, nicht eine Vertrags- oder Organisationsrolle.
- „Ohne laufende Verarbeitung gibt es begrifflich keine betroffene Person.“ Falsch: Eine Verarbeitung ist kein Bestandteil des Wortlauts in Artikel 4 Nummer 1; ihre Bedeutung folgt erst aus dem Anwendungsbereich der DSGVO.
- „Pseudonymisierte Daten sind anonym.“ Falsch: Bleibt die Zuordnung mittels zusätzlicher Informationen möglich, handelt es sich weiterhin um personenbezogene Daten.
- „Das Entfernen des Namens genügt für Anonymität.“ Falsch: Auch Kennnummern, Standortdaten, Online-Kennungen oder Merkmalskombinationen können eine Person direkt oder indirekt identifizierbar machen.
- „Juristische Personen und Verstorbene sind automatisch betroffene Personen nach der DSGVO.“ Falsch: Artikel 4 Nummer 1 nennt natürliche Personen; Erwägungsgrund 27 nimmt Daten Verstorbener vom Anwendungsbereich der DSGVO aus.
Was die Geschäftsleitung tun sollte
Praxisempfehlung: Gesetzlicher Pflichtadressat der folgenden DSGVO-Vorgaben ist der Verantwortliche. Daraus wird keine unmittelbare organspezifische Pflicht der Geschäftsleitung abgeleitet. Als Steuerungsinstanz sollte sie jedoch sicherstellen, dass:
- klare Zuständigkeiten und erreichbare Kontaktwege die Ausübung der Betroffenenrechte nach Artikel 12 Absatz 2 erleichtern;
- Verfahren Informationen, Kennungen und Zusatzwissen gemeinsam darauf prüfen, ob natürliche Personen direkt oder indirekt identifizierbar sind;
- Pseudonymisierung und Anonymisierung nach dokumentierten, kontextbezogenen Kriterien unterschieden werden;
- der Verantwortliche nach Artikel 24 Absatz 1 unter Berücksichtigung von Art, Umfang, Umständen und Zwecken der Verarbeitung sowie der unterschiedlich wahrscheinlichen und schweren Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen umsetzt, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß der DSGVO erfolgt; diese Maßnahmen werden erforderlichenfalls überprüft und aktualisiert;
- Anträge auf Betroffenenrechte so gesteuert werden, dass die jeweils einschlägigen Informationsfristen aus Artikel 12 Absätze 3 und 4 eingehalten und Fristverlängerungen begründet dokumentiert werden.
Für die Geschäftsleitung
Die Reichweite des Begriffs folgt nicht aus Kundenlisten oder Systemrollen, sondern aus dem Bezug von Informationen zu identifizierten oder identifizierbaren natürlichen Personen. Entscheidend sind belastbare Kriterien für Identifizierbarkeit, Anwendungsbereich und die Abgrenzung von Pseudonymisierung und Anonymisierung. Als Nachweis sollten Zuständigkeiten, Bewertungsentscheidungen, technische und organisatorische Maßnahmen sowie deren erforderliche Überprüfung und Aktualisierung dokumentiert sein.
Quellen
- Verordnung (EU) 2016/679 (DSGVO), amtliche deutsche Fassung: Artikel 2 Absätze 1 und 2, Artikel 3, Artikel 4 Nummern 1 und 5, Artikel 12 Absätze 2 bis 4, Artikel 24 Absatz 1 sowie Erwägungsgründe 18, 26 und 27.
