Jusletter IT

Dieser Beitrag beschäftigt sich mit der rechtlichen Konsequenz der «Öffentlichkeit» im Datenschutzrecht, insbesondere im Anwendungsbereich der Datenschutz-Grundverordnung (DSGVO¹). Bereits die Frage, was unter «Öffentlichkeit» und «öffentlich» zu verstehen ist, ist schwer zu beantworten.

Lingenberg² fasst die etymologische Entwicklung des Begriffs der Öffentlichkeit wie folgt zusammen: «Etymologisch ist der Begriff «Öffentlichkeit» auf das Wort «öffentlich» zurückzuführen. Dieses ging im Althochdeutschen aus dem Wort «offen» hervor und wurde bis ins 16. Jahrhundert im Sinne von «offenbar» und «offensichtlich» verwendet. Im 17. Jahrhundert verschob sich die Bedeutung des Begriffs «öffentlich» dergestalt, dass er nun zusammen mit dem lateinischen Terminus «publicus» die Bedeutung «staatlich» annahm. Im Zuge der Aufklärung und der Entstehung bürgerlicher Gesellschaften im 18. Jahrhundert gab es dann eine weitere semantische Verschiebung, sodass «Öffentlichkeit» fortan nicht mehr das Staatliche, sondern die dem Staat gegenüber stehende beziehungsweise die dem staatlichen und privaten Bereich zwischengelagerte, für jedermann frei zugängliche kommunikative Sphäre bezeichnete.»

Diese Wandlung des Begriffsverständnisses spiegelt sich in der Verwendung dieses Begriffs in unterschiedlichem Kontext innerhalb des geltenden Datenschutzrechts wider. So findet sich in der DSGVO einerseits eine Berücksichtigung von «öffentlichen Interessen» bei der Beurteilung der Zulässigkeit der Verarbeitung von personenbezogenen Daten³, andererseits können personenbezogene Daten «öffentlich gemacht» werden, was dazu führt, dass die Zulässigkeit der Verarbeitung dieser Daten geringeren Anforderungen unterliegt.⁴ Im ersten Fall wird «Öffentlichkeit» in ihrer Bedeutung als «Kollektiv» (der Gesellschaft) verwendet, deren Interessen durch die Gesetze der Mitgliedstaaten geschützt werden dürfen und einen Eingriff in das Recht auf Datenschutz rechtfertigen können. Im zweiten Fall wird «öffentlich» in der Bedeutung als «der Allgemeinheit zugänglich» verwendet.⁵ Dieser Beitrag behandelt dieses zweite Begriffsverständnis sowie die damit verbundenen datenschutzrechtlichen Auswirkungen auf den Betroffenen, insbesondere mit Blick auf jene durch den Betroffenen (selbst) öffentlich gemachten Daten iSd Art. 9 Abs. 2 lit. e DSGVO.

Der Begriff der Öffentlichkeit findet bereits innerhalb der DSGVO ganz unterschiedlich Anwendung. Aber auch die Übertragung von Informationen aus der privaten oder geheimen in die öffentliche Sphäre⁶ wird unterschiedlich formuliert. So können Berichte, Datenschutzfolgenabschätzungen und andere Informationen etwa «veröffentlicht»⁷, «öffentlich gemacht»⁸ oder «öffentlich bekanntgemacht»⁹ werden. Personenbezogene Daten sollen tunlichst nicht ohne dem Eingreifen der (betroffenen) Person «einer unbestimmten Zahl von natürlichen Personen zugänglich»¹⁰ werden. Demgegenüber wird in den Erwägungsgründen einleitend festgestellt, dass nunmehr zunehmend auch natürliche Personen Informationen «öffentlich weltweit zugänglich» machen.¹¹ Als geeignetes Medium, die Öffentlichkeit zu erreichen wird die Webseite im Internet mehrmals exemplarisch angeführt.¹²

Bemerkenswert ist, dass die DSGVO unterschiedliche Qualitäten der Veröffentlichung vorauszusetzen scheint. Im Bereich der Zertifizierung¹³ hat der Ausschuss alle Zertifizierungsverfahren sowie Datenschutzsiegel und -prüfzeichen in ein Register aufzunehmen und «in geeigneter Weise» zu veröffentlichen. Im selben Abschnitt wird die Aufsichtsbehörde verpflichtet, die Kriterien der Akkreditierung der Zertifizierungsstelle¹⁴ und die Zertifizierungskriterien¹⁵ in «leicht zugänglicher Form» zu veröffentlichen.

Dies regt zur Frage an, ob im Umkehrschluss eine Veröffentlichung in «[zur Kenntniserlangung] ungeeigneter Weise» oder in bloß «schwer zugänglicher Form» möglich ist. Schließlich ließe sich auch argumentieren, dass dies bereits eine Verschiebung der Information in die Öffentlichkeit verhindern und eine «Veröffentlichung» gar nicht zustande kommen würde.

Auch in der Judikatur des EuGH zum Datenschutzrecht finden sich einige Hinweise zur Abgrenzung des Öffentlichkeitsbegriffs:

In der Entscheidung in der Rechtssache Lindqvist¹⁶, in der die Katechetin Lindqvist im Rahmen eines Informatikkurses Informationen über ihre Arbeitskollegen auf eine selbsterstellte Website lud, ging der EuGH von einer Veröffentlichung im Internet aus. Dabei wurde dem Umstand Gewicht beigemessen, dass «die Daten einer unbegrenzten Zahl von Personen zugänglich gemacht werden.¹⁷ Dass die Website auch auf der (mittels Suchmaschine im Internet leicht auffindbaren) Homepage der Schwedischen Kirche verlinkt war, wurde lediglich in den Schlussanträgen des Generalanwalts hervorgehoben.¹⁸ Die Informationen über die Arbeitskollegen (Name, Telefonnummer, Arbeitsbedingungen, Freizeitbeschäftigungen) mögen zumindest teilweise «öffentlich zugänglich oder allgemein bekannt» gewesen sein, worauf der EuGH jedoch im Rahmen seiner Entscheidung nicht näher eingeht.¹⁹

In der Rechtssache Satakunnan Markkinapörssi und Satamedia²⁰ ging es um – nach finnischem Recht – «öffentliche» Steuerdaten, welche in einer Regionalausgabe der Zeitschrift Veropörssi «veröffentlicht» wurden. Bereits in diesen Ausführungen des EuGH lässt sich nicht erkennen, ob eine strikte Abgrenzung zwischen öffentlicher Sphäre und privater Sphäre durchzuführen ist. Wie der EuGH schließlich in der Entscheidung ausführt, unterliegen auch Informationen, welche bereits in den Medien veröffentlicht wurden, unabhängig von diesem Umstand dem europäischen Datenschutzregime, wenn es sich um personenbezogene Daten handelt.²¹

In der Rechtssache ASNEF/FECEMD wird die Einschränkung der Verarbeitung ohne Einwilligung der betroffenen Person auf «öffentlich zugängliche Quellen» durch das spanische Datenschutzrecht thematisiert, wobei nicht näher auf die Voraussetzung der «öffentlichen Zugänglichkeit» eingegangen wird.²² Der EuGH hält lediglich fest, dass der Umstand, dass die Daten aus öffentlich zugänglichen Quellen stammen, was nach der auf den Sachverhalt anzuwendenden Art. 3 lit. j Ley Orgánica 15/1999 dadurch definiert war, dass diese Dateien «jedermann offenstehen, ohne dass ihrer Einsicht eine einschränkende Vorschrift entgegensteht bzw. ohne dass sie von einer weiteren Voraussetzung als gegebenenfalls der Zahlung einer Gegenleistung abhängig gemacht wird» – wobei diese Quellen auch angeführt sind (etwa Wählerverzeichnis, Telefonverzeichnisse, Amts- und Gesetzblätter und Medien) – in einer Interessenabwägung berücksichtigt werden kann.²³

Die besonders prominente Entscheidung des EuGH in der Rechtssache Google Spain und Google²⁴ betraf den Löschungsanspruch eines Herrn González gegen den Suchmaschinenbetreiber betreffend Links zu Webseiten der Tageszeitung Vanguardia, die bei Eingabe seines Namens in die Suchmaske erschienen und über eine gegen ihn geführte Zwangsversteigerung berichteten. Die Entscheidung beurteilt die Rechtmäßigkeit der Indexierung von Webseiten durch den Suchmaschinenbetreiber. Aus den Ausführungen ergibt sich einerseits, dass über Webseiten Informationen selbst dann veröffentlicht werden können, wenn diese mit Hilfe von Ausschlussprotokollen wie robots.txt oder Codes wie «noindex» oder «noarchive» signalisieren, dass eine Indexierung durch die Suchmaschine nicht gewünscht ist. Darüber hinaus zeigt sich auch, dass die bereits im Internet veröffentlichten Informationen durch Suchmaschinen weltweit verbreitet und jedem Internetnutzer «zugänglich» gemacht werden. Die Ausführungen in dieser Entscheidung können dahingehend gedeutet werden, dass eine Veröffentlichung über eine Webseite nicht erfordert, dass die Information auch für jeden Internetnutzer (leicht) zugänglich sein muss.

Wie die obige Darstellung zeigt, ist der Begriff der Öffentlichkeit im europäischen Datenschutzregime noch nicht klar abgegrenzt, wenngleich sich bereits Konturen zeigen. So erscheint nicht nur in der Judikatur des EuGH zur Datenschutzrichtlinie²⁵ sondern auch in der DSGVO die Webseite als Archetyp der Veröffentlichung im Internet. Gerade in Hinblick auf die EuGH-Entscheidung in der Rechtssache Google Spain wird wohl davon auszugehen zu sein, dass selbst die Ablehnung der Suchmaschinen-Indexierung durch den Webseitenbetreiber (Ausschlussprotokoll «robots.txt») und die mit der fehlenden Indexierung verbundene schwere Auffindbarkeit eine «Veröffentlichung» nicht hindert. Dieser Ansatz würde der herrschenden Meinung in der Literatur entsprechen, worin die Öffentlichkeit grundsätzlich unter Bezug auf die allgemeine Zugänglichkeit definiert wird.²⁶

Die Frage nach der Öffentlichkeit ist im Datenschutzrecht nicht bloß eine theoretische. Die Unterscheidung zwischen öffentlichen und nicht-öffentlichen Informationen kann Auswirkungen auf den Schutz der betroffenen Person durch das Datenschutzrecht haben.

Nach dem Wortlaut der Bestimmung des Art. 9 Abs. 2 lit. e DSGVO könnte man schließen, dass zumindest alle Daten, welche die betroffene Person selbst öffentlich macht, etwa über die oben erwähnte Webseite, zeitlich und sachlich unbeschränkt verarbeitet werden dürfen. Warum das in dieser Form nicht stimmt, wird im Folgenden ausgeführt. Zunächst wird hinterfragt, ob Art. 9 Abs. 2 lit. e DSGVO ein eigener Erlaubnistatbestand ist.

Art 9 DSGVO regelt die «Verarbeitung besonderer Kategorien personenbezogener Daten» und enthält in Abs. 1 neben der Definition dieser besonderen Kategorien²⁷ auch das ausdrückliche Verbot der Verarbeitung dieser Kategorien personenbezogener Daten. Dieses Verbot ist jedoch in den Fällen des Art. 9 Abs. 2 DSGVO nicht anwendbar. Nun werden in der Literatur unterschiedliche Meinungen hinsichtlich der Einordnung der in Art. 9 Abs. 2 DSGVO enthaltenen Ausnahmen vom Verbot des Art. 9 Abs. 1 DSGVO und ihr Verhältnis zu den allgemeinen Voraussetzungen der Zulässigkeit der Verarbeitung personenbezogener Daten des Art. 6 Abs. 1 DSGVO vertreten.

Würden die Eingriffsvoraussetzungen des Art. 9 Abs. 2 DSGVO eigene Erlaubnistatbestände darstellen, so wäre die Erfüllung einer der darin angeführten Bestimmungen für die Zulässigkeit der Verarbeitung ausreichend. Eine zusätzliche Prüfung nach Art. 6 Abs. 1 DSGVO wäre nicht erforderlich. Für die Qualifizierung des Art. 9 Abs. 2 DSGVO als Quelle eigener Erlaubnistatbestände argumentieren etwa Reimer und Kampert, dass es sich bei Art. 9 um eine speziellere Bestimmung handelt, welche im Sinne eines abgestuften Schutzkonzeptes bei den besonders schutzbedürftigen, sensiblen Daten (dh. besonderen Kategorien personenbezogener Daten) zur Anwendung gelangen soll. In ähnlicher Weise argumentieren auch weitere namhafte Autoren, dass die Prüfung der Zulässigkeit der Verarbeitung besonderer Kategorien personenbezogener Daten ausschließlich anhand der strengeren und spezielleren bzw. bereichsspezifischeren Bestimmungen des Art. 9 DSGVO zu erfolgen hat.²⁸ Der Ansicht, dass die Bestimmungen des Art. 9 Abs. 2 DSGVO strenger und spezieller als jene des Art. 6 Abs. 1 DSGVO sind, ist in allen Fällen des Art. 9 Abs. 2 DSGVO zu folgen – außer in jenem des Art. 9 Abs. 2 lit. e DSGVO.

Art 9 Abs. 2 lit. e DSGVO sieht eine Ausnahme vom Verarbeitungsverbot hinsichtlich jener Daten vor, welche «die betroffene Person offensichtlich öffentlich gemacht» hat. Während sich aus den übrigen Bestimmungen des Art. 9 Abs. 2 DSGVO klare Grenzen der Verarbeitung ableiten lassen (die ausdrückliche Einwilligung ist stets zweckgebunden²⁹; gesetzliche Grundlagen ebenso³⁰), würde die Verarbeitung auf Grundlage des Art. 9 Abs. 2 lit. e DSGVO dem Wortlaut nach eine Verarbeitung für jedweden Zweck erlauben.³¹ Dies ist in Hinblick auf den Zweckbindungsgrundsatz jedenfalls zu hinterfragen, da dieser Zweck nicht einseitig durch den Verantwortlichen festgelegt werden sollte. Auch eine zeitliche Komponente fehlt in Art. 9 Abs. 2 lit. e DSGVO.

Die genannten Problempunkte lassen sich mitunter auch durch eine äußerst restriktive Auslegung³² lösen.³³ Nach Ansicht des Autors liegt aber der zentrale Kritikpunkt an einer Prüfung der Zulässigkeit der Verarbeitung besonderer Kategorien personenbezogener Daten lediglich nach Art. 9 DSGVO darin, dass in diesem Fall der das Widerspruchsrecht nach Art. 21 Abs. 1 DSGVO nicht anwendbar wäre. Das Widerspruchsrecht soll der besonderen Situationen der betroffenen Person Rechnung tragen und führt zu einer eingehenderen Prüfung derselben.³⁴ Ein berechtigter Widerspruch führt dazu, dass die Verarbeitung zu beenden ist und die Daten zu löschen sind.³⁵ Das Widerspruchsrecht nach Art. 21 Abs. 1 DSGVO steht der betroffenen Person jedoch explizit nur bei einer Verarbeitung zu, welche auf der Grundlage von Art. 6 Abs. 1 lit. e oder f DSGVO erfolgt.

Dass ein Widerspruch nur im Zusammenhang mit idR weniger schutzbedürftigen «normalen» personenbezogenen Daten, nicht aber im Falle der Verarbeitung besonderer Kategorien personenbezogener Daten zulässig sein soll, würde dem System der DSGVO widersprechen, wonach besondere Kategorien personenbezogener Daten durch Art. 9 DSGVO einen höheren Schutz³⁶ genießen sollen. Über die Lösung einer parallelen Anwendbarkeit der Bestimmungen von Art. 6 und Art. 9 DSGVO lässt sich dieser Wertungswiderspruch vermeiden, ohne dass hierfür sowohl in Hinblick auf Art. 9 Abs. 2 lit. e DSGVO, als auch auf Art. 21 Abs. 1 DSGVO das Instrument der Analogie bemüht werden muss. Zusätzlich ergibt sich aus Art. 6 Abs. 4 DSGVO (Zweckänderung), welcher eine Verarbeitung von Daten «gemäß Art. 9» als Kriterium bei der Prüfung der Zweckvereinbarkeit anführt, ein Zusammenhang von Art. 6 und 9 DSGVO, der eine strikt getrennte Prüfung ausschließt.³⁷

Außer im Fall des Art. 9 Abs. 2 lit. e DSGVO wird die Prüfung der Zulässigkeit in beiden Varianten zum gleichen Ergebnis führen, da Art. 9 Abs. 2 DSGVO mit Ausnahme der lit. e lediglich Konkretisierungen der Bestimmungen des Art. 6 Abs. 1 DSGVO enthält. ³⁸ Für Art. 9 Abs. 2 lit. e DSGVO führt diese Lösung jedoch dazu, dass die Verarbeitung von Daten, welche durch den Betroffenen öffentlich gemacht wurden, zusätzlich einer Grundlage nach Art. 6 Abs. 1 DSGVO, etwa der berechtigten Interessen des Verantwortlichen nach Art. 6 Abs. 1 lit. f DSGVO oder eines anderen Erlaubnistatbestandes (z.B. der Aufgabe im öffentlichen Interesse nach Art. 6 Abs. 1 lit. e DSGVO oä.) bedarf.³⁹ Dies ermöglicht (mit einer rechtsdogmatisch vergleichsweise einfachen Begründung) eine Berücksichtigung der Rechte und Freiheiten der betroffenen Person in einer Interessenabwägung.⁴⁰

Neben dem eben genannten Erfordernis der Prüfung nach Art. 6 Abs. 1 DSGVO, wird in der Literatur auch vertreten, dass die Bestimmung des Art. 9 Abs. 2 lit. e DSGVO einschränkend auszulegen ist.⁴¹ Auch aus der Bestimmung selbst ergeben sich daher Grenzen der Zulässigkeit der Verarbeitung der durch die betroffene Person öffentlich gemachten Daten.

Die erste wesentliche Grenze der Nutzung öffentlich gemachter Daten ergibt sich bereits aus diesen selbst. Personenbezogene Daten sind gemäß Art. 4 Z. 1 DSGVO Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Jenen Daten, die von der Person über das Internet oder ein anderes Medium öffentlich gemacht werden, kann jeweils eine bestimmte Information bzw. ein bestimmter Informationsgehalt unterstellt werden.

Sobald sich eine Verarbeitungstätigkeit allerdings auf Informationen bezieht, die bereits über den Informationsgehalt der öffentlich gemachten Daten hinausgehen – etwa wenn durch Kombination «neue» Daten entstehen –, bedarf es einer eigenen Rechtsgrundlage für die Verarbeitung.⁴² Die Abgrenzung wird hier im Einzelfall erfolgen müssen. Hier kann auf die «vernünftigen Erwartungen der betroffenen Person» (Erw 47 DSGVO) abgestellt werden.⁴³ Damit scheiden jedoch alle durch komplexere Algorithmen durchgeführte Analysen einer Person anhand der von ihr öffentlich gemachten Daten aus. Werden also mittels Analyse von Facebook-Likes intime Details zur Persönlichkeit des jeweiligen Nutzers abgeleitet⁴⁴, so sind diese keine Informationen, die durch diesen öffentlich gemacht wurden, selbst wenn dies auf die einzelnen Facebook-Likes zutreffen würde. Es ist zu prüfen, von welchem Informationsgehalt die betroffene Person vernünftigerweise erwarten kann, dass dieser von der Öffentlichkeit wahrgenommen werden kann. Bei der Prüfung, was von der betroffenen Person vernünftigerweise erwartet werden kann, ist ein objektiver Ansatz anzulegen.⁴⁵ Da die Veröffentlichung auch «offenkundig» erfolgen muss, sind Zweifelsfälle als nicht im Sinne des Art. 9 Abs. 2 lit. e DSGVO veröffentlicht anzusehen.

Kann von einer Veröffentlichung durch die betroffene Person («offenkundig») ausgegangen werden, so stellt die komplementäre Anwendbarkeit von Art. 6 Abs. 1 zu Art. 9 Abs. 2 DSGVO, die zweite wesentliche Grenze für die Nutzung der von der betroffenen Person öffentlich gemachten Daten dar. Dies führt dazu, dass eine Veröffentlichung durch die betroffene Person die Verarbeitung nicht zwingend rechtfertigt, sondern zusätzlich etwa berechtigte Interessen des Verantwortlichen erfordert, welche nicht durch jene der betroffenen Person überwogen werden. Bei dieser Abwägung mag zwar der Umstand berücksichtigt werden, dass die jeweiligen Informationen durch die betroffene Person selbst öffentlich gemacht wurden, jedoch werden dabei ebenso etwa der jeweilige Veröffentlichungszweck⁴⁶ bzw. der Kontext der Veröffentlichung wie der Verarbeitungszweck oder allgemein die zeitliche und sachliche Nähe zur Veröffentlichung⁴⁷ und die «vernünftigerweise zu erwartenden Auswirkungen»⁴⁸ zu berücksichtigen sein.

Abgesehen von den Fällen, in denen Daten durch die betroffene Person offenkundig öffentlich gemacht wurden und damit die eben thematisierten Voraussetzungen des Art. 9 Abs. 2 lit. e DSGVO erfüllen, bewirkt die Öffentlichkeit keine Herabsetzung des (besonderen) Schutzstandards, welcher auf besondere Kategorien personenbezogener Daten anzuwenden ist.⁴⁹ Dies bedeutet, dass die Verarbeitung solcher besonderer Kategorien personenbezogener Daten jedenfalls das Vorliegen eines anderen Ausnahmetatbestandes nach Art. 9 Abs. 2 DSGVO erfordert, da eine Verarbeitung sonst unzulässig wäre.⁵⁰

Wie der EuGH in der Rechtssache ASNEF entschied, kann der Umstand, dass personenbezogene Daten bereits öffentlich zugänglich sind, bei einer Abwägung der Rechte der betroffenen Person und der Interessen des Verantwortlichen berücksichtigt werden.⁵¹ Dies argumentiert der EuGH damit, dass die Verarbeitung von Daten aus nicht öffentlich zugänglichen Quellen voraussetzt, dass der für die Verarbeitung Verantwortliche von Informationen über die Privatsphäre der betroffenen Person Kenntnis erlangen – im Unterschied zur Verarbeitung von Daten, die bereits in öffentlich zugänglichen Quellen enthalten sind.⁵² Dennoch unterliegen diese Daten jedenfalls dem europäischen Datenschutzregime.⁵³

Es zeigt sich, dass die DSGVO die Zulässigkeit einer Verarbeitung personenbezogener Daten im Wesentlichen, selbst im Fall der Veröffentlichung durch den Betroffenen selbst, von einem zusätzlichen Überwiegen der Interessen des Verantwortlichen abhängig macht. Art. 9 Abs. 2 lit. e DSGVO stellt keine hinreichende Rechtsgrundlage für die Verarbeitung von personenbezogenen Daten dar, vielmehr ist darüber hinaus ein Erlaubnistatbestand nach Art. 6 Abs. 1 DSGVO zu erfüllen.⁵⁴ Dies wird in den meisten Fällen die Interessenabwägung entweder durch den nationalen Gesetzgeber in einer gesetzlichen Grundlage⁵⁵(öffentliches Interesse) oder durch den Verantwortlichen selbst, durch die Definition seiner berechtigten Interessen vor der jeweiligen Verarbeitung.⁵⁶ Wenngleich die Tatsache, dass die Daten durch die betroffene Person öffentlich gemacht wurden, bei der Interessenabwägung mitunter stark für die Zulässigkeit der Verarbeitung ins Gewicht fällt und auch der bloße Umstand, dass Daten bereits öffentlich zugänglich sind (unabhängig davon ob dies durch die betroffene Person erfolgte) bei der Interessenabwägung nach der Rechtsprechung des EuGH berücksichtigt werden kann, befreit dies den Verantwortlichen nicht von der zusätzlichen Prüfung der Zulässigkeit nach Art. 6 Abs. 1 DSGVO.

Dieses Erfordernis der Zulässigkeitsprüfung sollte jedoch nicht in den Öffentlichkeitsbegriff transponiert werden. Wenig zielführend erscheint es daher, bei der Frage ob Daten öffentlich gemacht werden⁵⁷, zwischen dem öffentlichen (analogen) Raum und dem Internet zu unterscheiden.⁵⁸ So ist das Teilen eines Facebook-Beitrages auch an eine sehr große Anzahl an Freunden in seiner Reichweite noch durch den Nutzer individuell bestimmt.

Umgekehrt hat auch das Handeln in der Öffentlichkeit selbstverständlich zur Folge, dass dadurch einem unbestimmten Personenkreis Informationen zukommen. Knüpft man jedoch an dem Informationsgehalt an, der durch die öffentliche Handlung der Öffentlichkeit zugänglich gemacht wird, so handelt es sich dabei in der Regel bereits nicht um personenbezogene Daten, womit der Anwendungsbereich der DSGVO nicht eröffnet ist.⁵⁹ Ein Beispiel für eine solche durch öffentliche Handlungen veröffentlichte Information wäre etwa: «eine Person, die ein Wahlgeschenk einer politischen Partei mit sich trägt». Der öffentlich gemachte Informationsgehalt wäre mitunter die politische Zugehörigkeit, nicht zwingend aber die betroffene Person selbst. Würde man diese Person nun identifizieren, würde dies bereits den Informationsgehalt der Veröffentlichung übersteigen. Darüber hinaus lässt sich als Abgrenzungskriterium auch die «Offenkundigkeit» des Öffentlich-Machens und ein dazu erforderlicher Willensentschluss der betroffenen Person heranziehen.⁶⁰