Die rasante Entwicklung moderner Informations- und Kommunikationstechniken führt dazu, dass Daten schneller und umfangreicher ausgewertet werden können.
Das ist in Bezug auf Forschung und Entwicklung eine unzweifelhaft positive Entwicklung, denn für aussagekräftige Ergebnisse benötigen Wissenschaftler große Mengen an qualitativ hochwertigen Daten.
Zwar werden alle zur Verfügung stehenden Daten gemäß dem geltenden Datenschutzgesetz auf unterschiedliche Weisen verschlüsselt, mit der großen Menge an Daten und Auswertungsmöglichkeiten steigt jedoch auch die Möglichkeit der Wieder-Identifizierbarkeit.
Das wiederum birgt das Risiko der Verletzung von Persönlichkeitsrechten der jeweiligen Person.
Es stellt sich also die Frage, ob Daten relativ oder absolut anonymisiert werden sollen.
Verschlüsselte Daten werden als relativ anonym bezeichnet, wenn eine Identifizierung nur mit einem unverhältnismäßigen Aufwand hergestellt werden kann.
Dabei werden die Kosten und der Zeitaufwand, die für den Vorgang der Re-Identifizierung erforderlich sind und der aktuelle Stand der verfügbaren Technik beleuchtet.
Es kommt hier also nur auf die Wahrscheinlichkeit im Einzelfall an.
Anonym verschlüsselte Daten werden durch Vergröberungen und die Entfernung von Merkmalen so verändert, dass ein Bezug zur Person unmöglich ist.
Dadurch wird eine Re-Identifizierung auch aus dem Gesamtkontext und unter größtmöglichem Aufwand und Zuhilfenahme aller verfügbaren Zusatzinformationen unmöglich.
Als Argumente für diese strenge Verschlüsselung wird vorgebracht, dass nur dadurch ein optimaler Schutz der Betroffenen und die absolute Wahrung des Grundrechts auf informationelle Selbstbestimmung aus Art. 2 Abs. 1 GG in Verbindung mit Art. 1 Abs. 1 GG möglich ist.
Dadurch gibt diese absolute Anonymisierung optimale Rechtssicherheit und vermeidet unpraktikable und unsichere Einzelfallentscheidungen.
Im Zweifel gilt die DSGVO
Bislang ist – trotz der enormen Auswirkungen in der täglichen Praxis – noch nicht abschließend höchstrichterlich geklärt, wann von einer wirksamen Anonymisierung gesprochen werden kann. Beide Modelle sind rechtmäßig. Daher wäre das Aufzeigen einer klaren Linie durch die Aufsichtsbehörden wünschenswert. Aktuell müssen gerichtliche Entscheidungen in jedem Einzelfall individuell getroffen werden, selbst wenn die rechtlichen Voraussetzungen der DSGVO eingehalten wurden.
Für weitere Fragen stehe ich Ihnen jederzeit gerne zur Verfügung.
Ihr Unternehmensberater Oliver Biegel