Welche Daten fallen unter die Datenschutz-Grundverordnung - was sind personenbezogene, pseudonyme oder anonyme Daten?

Im Dialogmarketing werden üblicherweise  personenbezogene Daten verwendet. Das sind laut Verordnung alle Informationen, die sich auf eine „identifizierte oder identifizierbare natürliche Person“ beziehen. So hatte es inhaltlich auch schon die Europäische Datenschutzrichtlinie von 1995 definiert. Die Verordnung enthält Beispiele, wann eine Identifizierbarkeit gegeben sein soll – etwa durch Mittel wie Kennnummern, Standortdaten oder Online-Kennungen von Personen (Artikel 4 Absatz 1).

Zu den personenbezogenen Daten gehören aber auch pseudonyme bzw. pseudonymisierte Daten. Das sind Daten, die ohne Einsatz zusätzlicher Informationen keiner bestimmten Person zugeordnet werden können. Die Verordnung verlangt, diese zusätzlichen Informationen getrennt aufzubewahren. Außerdem muss durch technische und organisatorische Maßnahmen gewährleistet sein, dass keine Zuordnung zu einer natürlichen Person stattfindet (Artikel 4 Absatz 5).

Darüber hinaus erfolgen im Dialogmarketing Selektionen auch auf Basis von anonymen Daten, d.h. solchen, die keine Identifizierung einer Person zulassen. Ein Beispiel sind insbesondere mikrogeographische Daten, die sich auf geographische Segmente beziehen. Den Begriff „anonyme Daten“ erwähnt die Verordnung nicht - sie ist auf diese Daten nicht anwendbar und es bedarf auch keiner Rechtsgrundlage für deren Verarbeitung.

Für die Abgrenzung personenbezogen/anonym gibt die Verordnung selber Hilfestellung: Daten sind personenbeziehbar, wenn das verarbeitende Unternehmen über Mittel verfügt, die „nach allgemeinem Ermessen wahrscheinlich“ zur Bestimmung einer konkreten Person eingesetzt werden (Erwägungsgrund 26). Zur Einschätzung sollen objektive Faktoren wie Identifizierungskosten und -zeitaufwand dienen. Also: Die nur theoretische, aber praktisch völlig unrealistische Identifizierung  reicht nicht aus - die Daten gelten dann als anonym.

Praktischer Hinweis: Für das Dialogmarketing  ist die Abgrenzung personenbezogen/anonym bei Online-Kennungen wie z.B. Cookies und IP-Adressen relevant. Die Verordnung sagt dazu nur - sehr wenig konkret -, dass diese „unter Umständen“ natürlichen Personen zugeordnet werden (Erwägungsgrund 30). Aber: Der EuGH stellte am 24.11.2011 fest, dass IP-Adressen in der Hand eines Internet-Serviceproviders personenbezogene Daten darstellen. Ob dies auch für die Erhebung von IP-Adressen durch einen Webseiten-Betreiber gilt, steht noch zur mit Spannung erwarteten Entscheidung an.

Zur Vertiefung: DDV-Best Practice Guide Europäische Datenschutz-Grundverordnung, 3. überarbeitete Auflage Juli 2019