Dieser Blog deckt mittlerweile diverse datenschutzrechtliche Bereiche ab. Umso erstaunlicher, dass es ab und an doch noch mal einzelne Themen gibt, die es nie zu einem eigenen Artikel geschafft haben. Dank der Rückmeldungen unserer Leser wird sich dieser Beitrag exklusiv der Pseudonymisierung widmen. Für uns Datenschutzberater ein alltäglicher Begriff – für den Rest verständlicher Weise nicht ganz einfach im Verständnis.
Der Inhalt im Überblick
Ist das schon anonym oder noch pseudonym?
Im Zusammenhang mit Daten tauchen immer wieder die Begriffe anonym und pseudonym auf. Oftmals ist der Unterschied zwischen den beiden Begriffen nicht ganz klar, aber das Gesetz hilft an dieser Stelle (ausnahmsweise) mal weiter, da es für beide Prozesse eine Definition liefert:
Anonymisierung
… meint dabei nach § 3 Abs. 6 BDSG
„das Verändern personenbezogener Daten derart, dass die Einzelangaben über persönliche oder sachliche Verhältnisse nicht mehr oder nur mit einem unverhältnismäßig großen Aufwand an Zeit, Kosten und Arbeitskraft einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können.“
Als Beispiel eignen sich Wahlen – diese sind geheim und somit auch anonym. Zwar lässt sich letztlich noch nachvollziehen, wer gewählt hat und wer nicht. Aber es lässt sich nicht konstruieren, welcher Wahlzettel zu welchem Wähler gehört. Bei der Anonymisierung ist also letztlich entscheidend, dass eine Identifizierung der natürlichen Person nicht möglich ist.
Pseudonymisierung
… ist dagegen nach § 3 Abs. 6a BDSG
„das Ersetzen des Namens und anderer Identifikationsmerkmale durch ein Kennzeichen zu dem Zweck, die Bestimmung des Betroffenen auszuschließen oder wesentlich zu erschweren.“
Beispiele wären etwa eine E-Mail-Adresse wie hasi123@website.de oder die Personalnummer im Unternehmen. Wichtigstes Merkmal bei der Pseudonymisierung ist, dass hier Daten so zusammengeführt werden können, dass man den Originalnamen wieder zuordnen kann.
Alles neu macht die DSGVO?
Nein, das macht sie (an dieser Stelle) nicht. Auch die Regelungen der Datenschutz-Grundverordnung (DSGVO) liefern eine Definition des Wortes Pseudonymisierung, welche den gleichen Aussagegehalt wie bisher hat (zu finden Art. 4 Abs. 5 DSGVO). Vielmehr bleibt es auch nach den Normen der DSGVO bei dem Gebot Daten zu anonymisieren bzw. pseudonymisieren (§ 3a S. 2 BDSG).
Gleich an mehreren Stellen im Gesetz ist ein Verweis auf das Mittel der Pseudonymisierung zu finden:
- im Rahmen der Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO)
- im Rahmen von den Verhaltensregelungen nach Art. 40 DSGVO
- oder auch in den Erwägungsgründen 28 und 29 sind Vorzüge der Pseudonymisierung verankert
Funktionsweise
Eine Pseudonymisierung personenbezogener Daten kann auf verschiedene Arten erreicht werden. So kann die Zuweisung des Pseudonyms durch die betroffene Person selbst erfolgen, etwa indem sie unter einer frei gewählten Nutzer-ID auftritt. Denkbar ist es auch, dass ein Dritter, etwa eine Zertifizierungsstelle oder Datentreuhänder, das Pseudonym dem Betroffenen zuweist. Schließlich kann diese Zuweisung auch durch den Verantwortlichen erfolgen (beispielsweise durch Zuweisung einer Kennziffer), dem die Identität der betroffenen Person bekannt ist. Letztes scheint der Hauptgedanke hinter der Regelung nach Art. 4 Nr. 5 DSGVO zu sein.
Warum ist eine Pseudonymisierung also sinnvoll?
Zunächst einmal steht anonyme und pseudonyme Kommunikation auch unter dem Schutz des Grundgesetzes – denn wenn Bürger kommunizieren können, ohne sich identifizieren zu müssen, stellt dies eine Erleichterung für die freie Kommunikation und Information dar. Menschen werden so vor Voreingenommenheit gegen ihre Person geschützt und es ist ihnen daher möglich, frei zu sprechen, ihr Wahlrecht auszuüben und sich zu versammeln, ohne Sanktionen befürchten zu müssen.
Der Anreiz, Daten zu pseudonymisieren liegt aber auch nach der DSGVO darin, dass eine Interessenabwägung eher zugunsten des Verantwortlichen ausfallen wird, der eine Pseudonymisierung vornimmt, als wenn es zu keiner Pseudonymisierung kommt. Auch ist der technisch-organisatorische Schutzbedarf bei pseudonymen Daten geringer. Zudem besteht im Falle von Datenschutzverstößen nach Art. 34 Abs. 3 a) DSGVO keine Benachrichtigungspflicht gegenüber der betroffenen Person, wenn Verschlüsselungsverfahren (dies stellt einen Unterfall der Pseudonymisierung dar) angewandt wurden.
Es lohnt sich also durchaus entsprechende Maßnahmen für das eigene Unternehmen zu prüfen. Bei Fragen hilft Ihnen dabei auf jeden Fall auch immer Ihr Datenschutzbeauftragter weiter.
Der Beitrag vermischt bzgl. Pseudonymität drei Dinge, die man auseinander halten sollte (für Anonymität gilt Ähnliches):
1. Pseudonymisierung: Das ist der Vorgang, der aus personenbezogenen Daten pseudonyme Daten macht.
2. pseudonyme Daten: Diese entstehen nicht nur durch Pseudonymisierung. Vielmehr können auch Daten erstellt werden, die von vornherein (originär) pseudonym sind. Beispielsweise erlaubt § 15 Abs. 3 TMG (originäre) pseudonyme Nutzungsprofile. Zuerst personenbezogene Nutzungsprofile zu erstellen und sie anschließend zu pseudonymisieren, würde bedeuten, im ersten Schritt unzulässige personenbezogene Nutzungsprofile zu erstellen. Der häufig verwendete Begriff der „pseudonymisierten Nutzungsprofile“ ist falsch.
3. pseudonymes Handeln: Hier geht es darum, dass ein Internetnutzer statt unter seinem wahren Namen nur unter einem Pseudonym auftritt. § 13 Abs. 6 TMG gewährt dieses Recht, „soweit dies technisch möglich und zumutbar ist“.
Die DS-GVO behandelt ausschließlich Nr. 1. Sie bietet, wie Sie beschreiben, gewisse Anreize zur Pseudonymisierung, jedoch keine erleichterten Zulässigkeitsvoraussetzungen für pseudonyme gegenüber personenbezogenen Daten, wie es § 15 Abs. 3 TMG für Nutzungsprofile tut. Anstatt den Begriff der Pseudonymisierung hätte die DS-GVO den Begriff der pseudonymen Daten definieren sollen. Dann wäre auch Nr. 2 geregelt. So kann man bestenfalls durch Analogieschluss ableiten, originär pseudonyme Daten wie pseudonymisierte Daten zu behandeln. Ein Recht auf pseudonymes Handeln (Nr. 3) gewährt weder die DS-GVO noch die kommende ePrivacy-VO.
Fazit: Auch wenn die DS-GVO viel von Pseudonymisierung spricht, sollte man nicht glauben, dass das Thema Pseudonymität in Zukunft an Bedeutung gewinnen wird. Jedenfalls im Internet wird es mit der Einführung der DS-GVO und der Abschaffung des TMG diesbezüglich zu einem deutlichen Abfall im Datenschutzniveau kommen.
Würden Sie empfehlen noch die MCCs abschliessen? Pseudonymisierte Daten sind ja weiterhin beziehbare personenbezogene Daten. Vielen Dank!
Was ist denn MCC? und die „Abschaffung des TGM“? Kann man das auch verständlich machen?