BfDI zur Anonymisierung von Daten unter der DSGVO

BfDI zur Anonymisierung von Daten unter der DSGVO

BfDI zur Anonymisierung von Daten unter der DSGVO

Anonymisierung von Daten: Konsultationsverfahren des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit.
Schließen

Zum Thema „Anonymisierung unter der DSGVO“ hat der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) ein öffentliches Konsultationsverfahren gestartet, um Kommentare und Stellungnahmen einzuholen. Die Konsultation läuft unter besonderer Berücksichtigung der TK-Branche, die Grundfrage betrifft aber sämtliche Unternehmen, die sich mit der Anonymisierung von Daten befassen.

Der Hintergrund des Verfahrens ist für die Praxis sehr relevant: Eine Anonymisierung von Daten kann zum einen dem „Grundsatz der Datenminimierung“ nach Art. 5 Abs. 1 lit. c) der Datenschutzgrundverordnung (DSGVO) Rechnung tragen. Zum anderen kann die Anonymisierung eine Verarbeitung von Daten auch überhaupt erst ermöglichen, weil in manchen Bereichen Daten mit Personenbezug sonst gar nicht verarbeitet werden dürften (zu denken ist insbesondere an den besonders sensiblen Bereich der Gesundheitsdaten). Manche Unternehmen sind daher darauf angewiesen, mit bereits anonymisierten Daten zu arbeiten oder aber Daten, die sie mit Personenbezug vorliegen haben, anonymisieren zu können.

Etliche Verarbeiter von Daten gehen irrtümlich davon aus, dass eine Anonymisierung grundsätzlich unproblematisch zulässig sei, weil die anonymisierten Daten einen Rückschluss auf etwaige Personen nicht mehr zuließen. Häufig wird dabei aber übersehen, dass der Rechtsrahmen für die Anonymisierung kaum geklärt, sondern vielmehr hoch umstritten ist. Der Vorgang der Anonymisierung kann nämlich sehr wohl unter die DSGVO fallen. Es ist jedenfalls streitig, ob die Anonymisierung personenbezogener Daten eine von der DSGVO erfasste Verarbeitung darstellt und damit einer Rechtsgrundlage bedarf. Wenn man dies annimmt, stellt sich im zweiten Schritt die Frage, auf welche Rechtsgrundlage die Anonymisierung gestützt werden kann.

In dem Einleitungspapier zu dem Konsultationsverfahren hat der BfDI seine Position skizziert. Der BfDI gelangt zu dem Ergebnis, dass eine Anonymisierung personenbezogener Daten grundsätzlich möglich ist, sofern sie sich auf eine Rechtsgrundlage stützen lässt. Dies sei allerdings – wie so häufig – „unter Berücksichtigung aller Umstände im Einzelfall“ zu klären. Aus Sicht des BfDI kommt es dabei besonders auf das eingesetzte Anonymisierungsverfahren an.

Der BfDI ruft im Rahmen der Konsultation nun Akteure aus Politik, Wirtschaft, Gesellschaft und Verwaltung auf, ihre Kommentare und Stellungnahmen zu dem Thema bis einschließlich 9. März 2020 an die entsprechende E-Mail-Adresse des BfDI (konsultation@bfdi.bund.de) zu übersenden. Der BfDI plant, die Kommentare und Stellungnahmen auszuwerten und anschließend ein Positionspapier zu veröffentlichen.

Es ist zu begrüßen, dass mit diesem Konsultationsverfahren die Diskussion um das praktisch äußert wichtige, rechtlich jedoch nicht abschließend geklärte Thema der Anonymisierung von Daten weiter an Fahrt aufnimmt und im besten Falle zeitnah einer Klärung zumindest näherkommt. Bis dahin bewegen sich die betroffenen Unternehmen im jeweiligen Einzelfall mitunter in einer möglichen Grauzone. Es kann ihnen daher bislang nur geraten werden, möglichst auf die Einhaltung der in Betracht kommenden Rechtsgrundlagen zu achten – auch wenn derzeit noch offen ist, ob dies überhaupt notwendig ist.