Daten­schutz – Wann ist eine Person bestimmbar?

Wann ist eine na­tür­li­che Person iden­ti­fi­zier­bar? Mit dieser Frage be­schäf­tigt sich der Baye­ri­sche Lan­des­be­auf­trag­te für den Daten­schutz in seiner In­for­ma­ti­on Nr. 53 vom 19.01.2024.

Was sind na­tür­li­che Personen?

Eine na­tür­li­che Person ist jeder Mensch. Dabei kommt es nicht auf das Alter oder andere Ei­gen­schaf­ten des Men­schen an. Nach § 1 BGB gilt der Mensch von Geburt an als rechts­fä­hig. Das be­deu­tet, dass er von Geburt an Träger von Rechten und Pflich­ten ist. Das Leben des Men­schen beginnt mit der Voll­endung der Geburt und endet mit dem Hirntod. Eine na­tür­li­che Person ist also eine lebende Person un­ab­hän­gig von ihrer Herkunft.

Was sind per­so­nen­be­zo­ge­ne Daten?

Das sind gemäß Art. 4 Ziffer 4 DSGVO (Da­ten­­­schutz-Grun­d­­ver­­or­d­­nung) […] alle In­for­ma­tio­nen, die sich auf eine iden­ti­fi­zier­te oder iden­ti­fi­zier­ba­re na­tür­li­che Person (= be­trof­fe­ne Person) be­zie­hen. Dabei wird eine na­tür­li­che Person als iden­ti­fi­zier­bar an­ge­se­hen, wenn sie direkt oder in­di­rekt, ins­be­son­de­re mittels Zu­ord­nung zu einer Kennung wie einem Namen, zu einer Kenn­num­mer, zu Stand­ort­da­ten oder meh­re­ren be­son­de­ren Merk­ma­len, die Aus­druck der phy­si­schen, phy­sio­lo­gi­schen, ge­ne­ti­schen, psy­chi­schen, wirt­schaft­li­chen, kul­tu­rel­len oder so­zia­len Iden­ti­tät dieser na­tür­li­chen Person sind, iden­ti­fi­ziert werden kann. […]

Per­so­nen­be­zo­ge­ne Daten sind z.B. Name, Te­le­fon­num­mer, Per­so­nal­num­mer, Pri­vat­an­schrift, Cookie-Kennung, Stand­ort­da­ten, etc.

Daten sind also per­so­nen­be­zo­gen, wenn sie direkt oder in­di­rekt auf eine Person hin­deu­ten. Per­so­nen­be­zieh­ba­re Daten sind mit per­so­nen­be­zo­ge­nen Daten gleich­zu­set­zen. Ein Da­ten­wert wird au­to­ma­tisch per­so­nen­be­zieh­bar und damit per­so­nen­be­zo­gen, wenn er in Ver­bin­dung mit einem per­so­nen­be­zo­ge­nem Datum auftritt.
So können z.B. auch Da­ten­wer­te, die für sich gesehen und allein, kein per­so­nen­be­zo­ge­nes Datum dar­stel­len, durch eine Zu­sam­men­füh­rung zu einem per­so­nen­be­zo­ge­nen Datum werden. Z.B. Schuh­grö­ße + Kör­per­grö­ße + Au­gen­far­be + Alter.

Was einfach klingt, wird komplex, wenn Ju­ris­ten mitmischen.

In seiner In­for­ma­ti­on be­rück­sich­tigt der LfD Bayern ge­setz­li­che For­mu­lie­run­gen ebenso wie die bis­he­ri­ge Recht­spre­chung des Eu­ro­päi­schen Ge­richts­hofs (EuGH), die Dis­kus­si­on um das re­la­ti­ve und ab­so­lu­te Ver­ständ­nis des Per­so­nen­be­zugs, die Ab­gren­zung zur Pseud­ony­mi­sie­rung und schließ­lich die Re­le­vanz für Ver­ant­wort­li­che. Re­le­vant für alle Or­ga­ni­sa­tio­nen und In­sti­tu­te, für öf­fent­li­che und nicht-öf­­fen­t­­li­che Stellen.

Zum Kurz­pa­pier des LfD: https://www.datenschutz-bayern.de/datenschutzreform2018/aki53.pdf

Haben Sie Fragen Zu diesem und anderen Themen stehen wir Ihnen selbst­ver­ständ­lich gerne zur Ver­fü­gung – per E-Mail consulting@adorgasolutions.de.