Die Anwendung der Datenschutz-Grundverordnung (DSGVO) auf pseudonymisierte Daten ist ein kontroverses Thema, das in der Rechts- und Datenschutzgemeinschaft viel Diskussion hervorruft. Pseudonymisierte Daten sind solche, bei denen Identifizierungsmerkmale entfernt oder ersetzt wurden, um die Identifizierung der betroffenen Personen zu verhindern oder erheblich zu erschweren. Die Frage, ob diese Daten als personenbezogene Daten im Sinne der DSGVO gelten, ist jedoch umstritten.
Kürzlich hat das Gericht der Europäischen Union (EuG) ein überraschendes Urteil gefällt, das die bisherige Rechtspraxis in Frage stellt und für Aufsehen sorgt. In einer Entscheidung, die viele als unerwartet betrachten, hat das Gericht entschieden, dass die DSGVO nicht anwendbar ist, wenn es sich um pseudonymisierte Daten handelt, die einen relativen Personenbezug haben. Dies bedeutet, dass die Daten in einer Weise verarbeitet wurden, dass sie ohne zusätzliche Informationen nicht mehr direkt einer bestimmten Person zugeordnet werden können.
Das Gericht ging noch weiter und stellte fest, dass die DSGVO auch dann nicht anwendbar ist, wenn der Datenempfänger keine Mittel zur Rückidentifizierung hat. Mit anderen Worten, wenn der Empfänger der Daten nicht in der Lage ist, die pseudonymisierten Daten einer bestimmten Person zuzuordnen, fallen diese Daten nicht unter die DSGVO. Dieses Urteil stellt einen bedeutenden Wandel in der Interpretation und Anwendung der DSGVO dar und könnte weitreichende Auswirkungen auf die Datenschutzpraktiken von Unternehmen und Organisationen haben.
Pseudonymisierung ist ein Prozess, bei dem personenbezogene Daten so verarbeitet werden, dass sie ohne zusätzliche Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können. Dies wird oft durch die Ersetzung identifizierender Elemente in den Daten durch künstliche Identifikatoren oder Pseudonyme erreicht. Diese zusätzlichen Informationen, die zur Identifizierung benötigt werden, müssen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden.
Ein gutes Beispiel für eine solche Praxis ist die Verwendung von gekürzten IP-Adressen in Tools wie Google Analytics. In diesem Fall wird die IP-Adresse, die eine direkte Verbindung zu einem bestimmten Benutzer herstellen könnte, gekürzt oder „maskiert“, um die Identifizierung des Benutzers zu verhindern. Während dies die Privatsphäre des Benutzers schützt, stellt es auch eine Herausforderung für die Anwendung der DSGVO dar.
Die Frage ist, ob solche pseudonymisierten Daten, wie die gekürzten IP-Adressen, als personenbezogene Daten im Sinne der DSGVO betrachtet werden sollten. Das kürzlich ergangene Urteil des EuG deutet darauf hin, dass dies nicht der Fall ist, wenn der Empfänger der Daten keine Möglichkeit zur Rückidentifizierung hat. Dies könnte bedeuten, dass Unternehmen, die Techniken wie die IP-Maskierung verwenden, möglicherweise nicht die vollen Anforderungen der DSGVO erfüllen müssen.
Es ist jedoch wichtig zu betonen, dass dies ein komplexes und sich schnell entwickelndes Rechtsgebiet ist. Unternehmen sollten daher sicherstellen, dass sie sich regelmäßig über die neuesten Entwicklungen und Urteile informieren und ihre Datenschutzpraktiken entsprechend anpassen.
Das Gericht stellte fest, dass die vom SRB mit Deloitte geteilten Daten als pseudonymisierte Daten angesehen werden können, da die Stellungnahmen der Konsultationsphase personenbezogene Daten waren und der SRB den alphanumerischen Code geteilt hat, anhand dessen die während der Registrierungsphase eingegangenen Antworten mit denen der Konsultationsphase verknüpft werden konnten.
Es wurde auch festgestellt, dass Deloitte im Sinne von Art. 3 Nr. 13 der Verordnung 2018/1725 Empfängerin personenbezogener Daten der Beschwerdeführer war. Die Tatsache, dass Deloitte in der Datenschutzerklärung des SRB nicht als potenzielle Adressatin der im Rahmen des Anhörungsverfahrens vom SRB als Verantwortlichem erhobenen und verarbeiteten personenbezogenen Daten genannt wird, stellt einen Verstoß gegen die in Art. 15 Abs. 1 Buchst. d der Verordnung 2018/1725 vorgesehenen Informationspflicht dar.
Trotz des festgestellten Verstoßes beschloss der EDSB, keinen Gebrauch von seinen Abhilfebefugnissen nach Art. 58 Abs. 2 der Verordnung 2018/1725 zu machen, da der SRB technische und organisatorische Maßnahmen zur Risikominderung für das Recht der Personen auf Schutz ihrer Daten im Rahmen des den Anspruch auf Anhörung betreffenden Verfahrens ergriffen hatte.
Der EDSB empfahl jedoch dem SRB, in künftigen den Anspruch auf Anhörung betreffenden Verfahren sicherzustellen, dass seine Datenschutzerklärungen die Verarbeitung personenbezogener Daten sowohl während der Registrierungs- als auch während der Konsultationsphase abdecken und dass sie alle potenziellen Empfänger der erhobenen Daten einschließen, um der gemäß Art. 15 der Verordnung 2018/1725 gegenüber den betroffenen Personenbestehenden Informationspflicht nachzukommen.
Dieses Urteil des EuG unterstreicht die Bedeutung des Datenschutzes in allen Aspekten der Datenverarbeitung, einschließlich sensibler Bereiche wie der Bankabwicklung. Es betont die Notwendigkeit, dass alle beteiligten Parteien, einschließlich externer Berater, die Datenschutzbestimmungen einhalten und die Transparenz gegenüber den betroffenen Personen hinsichtlich der Verarbeitung ihrer personenbezogenen Daten und der Identität der Empfänger dieser Daten gewährleisten.
Das Urteil zeigt auch, dass der EDSB bereit ist, pragmatische Entscheidungen zu treffen, wenn Organisationen Maßnahmen zur Risikominderung ergreifen, auch wenn sie gegen Datenschutzbestimmungen verstoßen haben. Es ist jedoch klar, dass solche Verstöße ernst genommen und vermieden werden sollten, um das Vertrauen der Öffentlichkeit in die Einhaltung der Datenschutzbestimmungen zu gewährleisten.
Es bleibt abzuwarten, wie sich dieses Urteil auf die zukünftige Anwendung der DSGVO auswirken wird. Es unterstreicht jedoch die Notwendigkeit, die Datenschutzbestimmungen in allen Aspekten der Datenverarbeitung einzuhalten und die Rechte der betroffenen Personen zu respektieren.
Insgesamt zeigt dieser Fall, dass das Thema Datenschutz und insbesondere die Anwendung der DSGVO auf pseudonymisierte Daten weiterhin ein dynamisches und komplexes Feld ist, das ständige Aufmerksamkeit und Anpassung erfordert. Es ist ein wichtiger Hinweis für alle Organisationen, die personenbezogene Daten verarbeiten, und unterstreicht die Notwendigkeit, die Datenschutzbestimmungen in allen Aspekten der Datenverarbeitung einzuhalten und die Rechte der betroffenen Personen zu respektieren.
Marian Härtel ist Rechtsanwalt und Fachanwalt für IT-Recht mit einer über 25-jährigen Erfahrung als Unternehmer und Berater in den Bereichen Games, E-Sport, Blockchain, SaaS und Künstliche Intelligenz. Seine Beratungsschwerpunkte umfassen neben dem IT-Recht insbesondere das Urheberrecht, Medienrecht sowie Wettbewerbsrecht. Er betreut schwerpunktmäßig Start-ups, Agenturen und Influencer, die er in strategischen Fragen, komplexen Vertragsangelegenheiten sowie bei Investitionsprojekten begleitet. Dabei zeichnet sich seine Beratung durch einen interdisziplinären Ansatz aus, der juristische Expertise und langjährige unternehmerische Erfahrung miteinander verbindet. Ziel seiner Tätigkeit ist stets, Mandanten praxisorientierte Lösungen anzubieten und rechtlich fundierte Unterstützung bei der Umsetzung innovativer Geschäftsmodelle zu gewährleisten.
Wie ich bereit in diesem Artikel dargestellt habe, nimmt der Zug der Urteile bzgl. der Kennzeichnung von Affiliates und Provisionszahlungen...
Mehr lesenDetails
Worum ging es? In der Welt des Wettbewerbsrechts ist die Unterlassungserklärung ein Schlüsselwerkzeug zur Prävention von Wiederholungsverstößen. Sie dient als...
Mehr lesenDetails
Das Oberlandesgericht München hat mit Urteil vom 31.07.2024 zum Aktenzeichen 7 U 351/23 klargestellt, dass die Weiterleitung dienstlicher E-Mails an...
Mehr lesenDetails
Bei der Frage der Änderung des Rundfunkstaatsvertrages und welche Normen aus dem Rundfunkrecht auf YouTuber oder gar Twitch-Streamer anwendbar sind,...
Mehr lesenDetails
Update 25.03.2020: Der unten dargestellte Gesetzesentwurf wurde abgeschwächt. - Die Pflicht zur Stellung eines Insolvenzantrags wird zunächst bis 30.09.2020 und...
Mehr lesenDetails
0Aktuell gibt es überall Bedarf für Schutzkleidung wie Atemschutzmasken und neben professionellen Anbietern drängen auch zahlreiche Selbstständige auf den Markt...
Mehr lesenDetails
Einleitung Die Vertragsgestaltung im Bereich der Künstlichen Intelligenz (KI) stellt eine der spannendsten und zugleich herausforderndsten Aufgaben unserer Zeit dar....
Mehr lesenDetails
Die Rechtsprechung zur Kennzeichnungspflicht von Werbung entwickelt sich stetig weiter. Ein aktuelles Urteil des Landgerichts Trier (Urteil vom 24.11.2023, Az....
Mehr lesenDetails
Zwei Tage nach dem Bundestag hat am 18.12.2020 auch der Bundesrat zahlreichen neuen Regeln im Steuerrecht zugestimmt. Das Gesetz kann...
Mehr lesenDetails
Definition und Rechtssystematische Einordnung Körperschaften sind rechtlich definierte Zusammenschlüsse von Personen mit eigener Rechtspersönlichkeit. Sie bilden eine selbstständige Trägereinheit von...
Mehr lesenDetails
In dieser kurzen Episode diskutieren Anna und Max die Bedeutung der Rechtekette im Game Development – ein zentraler Aspekt für...
In der letzten Folge der ersten Staffel des ITmedialaw.com Podcasts werfen wir einen Blick in die Zukunft des Rechts im...
In dieser Episode beleuchten wir die rechtlichen Entwicklungen, die das Startup-Umfeld 2025 prägen werden. Von der KI-Regulierung über neue Kryptowährungsrichtlinien...
In dieser spannenden Episode des itmedialaw-Podcasts tauchen wir tief in die rechtlichen Entwicklungen ein, die die Startup-Welt im Jahr 2025...
