Jusletter IT

Obwohl der terminologische Ursprung von „Big Data“ nun schon länger zurückliegt, so ist die Definition in der Praxis trotz oftmaliger Verwendung immer noch nicht scharf abgegrenzt. Bekannte Definitionen wie von Merv¹ und Gartner² reichen für juristische Zwecke zur Beschreibung analytischer Informationssysteme jedoch meist aus, in welchen Big Data sich von klassischen Datenoperationen insbesondere durch Volume, Velocity und Variety unterscheidet und zu seiner Verwaltung nichttriviale Hardware und besondere Datenbanksysteme benötigt. Die hier relevanten datenschutzrechtlichen Aspekte belaufen sich auf Volume und Variety und deren angepasste Verwaltungssysteme. So liefern Werbegiganten im Internet nun seit zwei Jahrzehnten Direktwerbung an jede Person, die in den letzten 20 Jahren das Web oder ein Smartphone bzw. ein Windows 10 Betriebssystem verwendet hat.³ Doch auch andere, auf Sachdaten spezialisierte Verarbeitungen für Vorhersagemodelle wie demographische Entwicklung, Warenhandel und Personenverkehr⁴ können durch alleinige Referenz zu anderen Datensätzen einen Personenbezug erhalten.⁵

Auch im Zeitalter der DSGVO⁶ und ePrivacy-Regeln sollen jene und andere Branchen nichts zu befürchten haben, nunmehr sogar Privilegierung erfahren. Nicht selten handelt es sich dabei auch um Forschungsprojekte, die vor allem im medizinischen Bereich große Signifikanz besitzen.⁷ Nun, da sich der (Sand)sturm⁸ rund um die DSGVO gelegt hat und sich die Lehre sowie die Justiz und die übrigen Behörden ein Bild der Resultate machen konnten, ist es nicht nur an der Zeit Bilanz zu ziehen, sondern auch sich herauskristallisierte Besonderheiten zu thematisieren. Eine jener ist Art. 11 DSGVO, welcher an sich keinerlei Schwesternbestimmung hat und lediglich mit den allgemeinen Bestimmungen in Art 5 lit e DSGVO in Verbindung steht.⁹ Seine Einmaligkeit und seine Konsequenzen für die Praxis wurden jedoch in der Lehre bis dato vergleichsweise wenig ergründet. Diese sollen nun auf Basis eines Use Cases von Anonymisierung in Big Data dargestellt werden. Die Wirksamkeit von Anonymisierungsmethoden ist aufgrund potenzieller Verknüpfungen verschiedener Datensätze schwer vorherzusagen und noch schwerer gänzlich zu beseitigen. Daher hat die Aussage über den Personenbezug eines Datums uU eine durchaus geringe Halbwertszeit.

Somit soll Art 11 DSGVO und sein Einfluss in grundlegende Thematiken wie den Personenbezug selbst in den folgenden Ausführungen näher untersucht werden. Dabei wird spezifisch auf Anonymisierung durch Aggregierung bzw. auf k-Anonymität im Rahmen eines Beispiel-Datensatzes eingegangen.¹⁰

Wesentliches Kriterium für die Anwendung der DSGVO ist der Personenbezug. Der sachliche Anwendungsbereich der DSGVO ist gemäß Art 2 Abs. 1 DSGVO bereits dann eröffnet, wenn Verarbeitungsvorgänge „personenbezogene Daten“ umfassen.¹¹ Wann Daten „personenbezogen“ sind, wird in Art. 4 Z. 1 i.V.m. Erw. 26 DSGVO näher erläutert und die maßgeblichen Kriterien wurden in der Judikatur des EuGH bereits deutlich festgehalten. Dessen ungeachtet scheinen in der Literatur dennoch einzelne Punkte ungeklärt zu sein, was es rechtfertigt, die nach unserer Ansicht maßgeblichen Kriterien zur Prüfung, ob Daten „personenbezogen“ sind oder nicht, in Kürze darzustellen.

Einleitend wurde gesagt, dass das Kriterium des Personenbezugs iSd Art 4 Z. 1 DSGVO weit verstanden wird. Art 4 Z. 1 DSGVO enthält die Legaldefinition von „personenbezogenen“ Daten und lautet auszugsweise wie folgt: „[...] alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden ‚betroffene Person‘) beziehen [...]“. In Erw 26 DSGVO wird zusätzlich festgehalten: „Um festzustellen, ob eine natürliche Person identifizierbar ist, sollten alle Mittel berücksichtigt werden, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die natürliche Person direkt oder indirekt zu identifizieren, wie beispielsweise das Aussondern.“ An dieser Stelle ist zu erwähnen, dass Erw 26 DSGVO weitgehend gleichlautet wie Erw 26 der Datenschutzrichtlinie¹². Zu der Rechtslage unter der DSRL hatte der EuGH in der Rechtssache Breyer entschieden, dass die zur Identifizierung erforderlichen Mittel (einschließlich Zusatzinformationen zur Identifizierung der betroffenen Person) nicht in den Händen einer einzigen Person befinden müssten, um eine „Identifizierbarkeit“ zu bejahen.¹³ Im konkreten Fall entschied der EuGH, dass ein Webseitenbetreiber, der dynamische IP-Adressen der Besucher der Webseite speichert, durchaus personenbezogene Daten speichert. Auch wenn dieser selbst sie keiner natürlichen Person zuordnen kann, reicht bereits der Umstand aus, dass der Webseitenbetreiber sie in rechtlich zulässiger Weise an eine Strafverfolgungsbehörde weitergeben kann, welche wiederum rechtliche Möglichkeiten hat, die dynamische IP-Adresse durch einen Internet Service Provider auf eine natürliche Person rückführen zu lassen. Damit zeigt sich, dass die „Identifizierbarkeit“ einer natürlichen Person (Art. 4 Z. 1 2. Variante) sehr weit zu verstehen ist.¹⁴ Hier ist auch anzumerken, dass der EuGH in seiner Entscheidung nicht auch eine tatsächliche Identifizierung der Person über die Strafverfolgungsbehörden voraussetzt. Bereits die Möglichkeit der Identifizierung über diesen plausiblen und rechtlich zulässigen Weg reicht dafür aus.¹⁵

Legt man dieses weite Verständnis des Kriteriums „personenbezogen“ auf Big Data Vorgänge um, so zeigt sich, dass selbst dann, wenn eine Anonymisierung beabsichtigt ist, durchaus in einigen Fällen weiterhin personenbezogene Daten verarbeitet werden. Dies belegen auch äußerst rezente Entscheidungen der DSB und des österr. OGHs in welchen die Löschung eines Datenbankeintrags allein nicht ausreicht bzw. Wahrscheinlichkeitsaussagen bestehen bleiben.¹⁶ Dies hat enorme Implikationen für Big-, aber auch „Long Data“ Verarbeitungen, welche, durch Ausdehnung auf lange Zeiträume, Inferenzen von (und in) andere(n) Datenbanken zulassen und somit unter Sammlung von (vormals) reinen Sachdaten nun „en masse“ Personenbezug erhalten.¹⁷ Das Problem der Pseudo-Anonymität wurde weiters bereits 2014 von der Art.-29-Datenschutzgruppe als gefährlich eingestuft¹⁸ und der Anknüpfungspunkt „K-Anonymität“ in wissenschaftlichen Projekten behandelt.¹⁹

Um die Grenzen der gängigen Anonymisierungstechniken aufzuzeigen, bietet sich die Erklärung anhand eines Beispiels an. Hier wird auf jenes der K-Anonymität eingegangen. K-Anonymität und seine Derivate bedeuten, dass in einem Datensatz Quasi-Identifikatoren (QIDs) durch Aggregierung, Suppression bzw. Generalisierung eliminiert werden, sodass durch jene keine Rückschlüsse mehr auf natürliche Personen möglich sind.²⁰ Diese Methodik eliminiert Personenbezug, da Informationen in einem Datensatz daraufhin nicht mehr eindeutig zuordenbar sind. Wichtig ist diese Methode deswegen, da der Datensatz im Anschluss trotzdem zu einer weiteren (fast) vollwertigen ML-Analyse verwendet werden soll und kann. Um k-Anonymität zu gewährleisten, sollte es ausreichen, die QIDs wie erwähnt zu bearbeiten. Jene sind in concreto Attribute wie Standortinformationen (zB. PLZ), Alter, ethnische Zugehörigkeit oder Geschlecht, die (in Kombination mit externen Informationen) zur Re-Identifizierung von Personen verwendet werden könnten. Ein Datensatz selbst ist als k-anonym zu bezeichnen, wenn jede Information ihren Wert mit mindestens k-1 anderen Einträgen teilt.²¹

Zumeist wird in IT-Literatur zur K-Anonymität auf die anschließende Verwendbarkeit eines Datensatzes im ML eingegangen. In einer rezenten Untersuchung werden zum Zweck der Messung einer Re-Identifikation, vier Anonymisierungsalgorithmen analysiert, welche Generalisierung und Suppression verwenden, um einen Datensatz k-Anonym zu gestalten.²² Die Resultate variieren erwartungsgemäß nach verwendetem Algorithmus, dem Datensatz und k selbst. Abstrakt lässt sich jedoch festhalten, dass je höher k, desto niedriger F_1, was in einem höheren Grad an Anonymisierung resultiert. In Einzelfällen jedoch kann in einer Teilmenge, wie aber auch im vollständigen Datensatz bis hin zu k=20, die Re-Identifizierung durch die verwendeten Methoden aufgrund von Ähnlichkeiten in der verwendeten Datenstruktur sogar erleichtert werden.²³ Der stärkste Grad dieses Effektes konnte bei einer Generalisierung von kategoriellen (im Unterschied zu numerischen) Daten gemessen werden, mit welchen sich der De-Anonymisierungsalgorithmus leichter tat.²⁴

Wie groß k nun konkret sein muss lässt sich mit Blick auf Entscheidungen der ehem. Österr. Datenschutzkommission sogar für die alte Rechtslage beantworten, was allerdings nach den obigen Ausführungen nicht mehr als haltbar erscheint.²⁵ Die DSB ließ unlängst in jenem Zusammenhang jedoch eine schlichte Suppression eines Eintrags genügen, wobei aber festzuhalten war, dass eine erfolgreiche Anonymisierung stark von Datensatz und Methodik abhängt und nicht immer gegeben ist.²⁶

Werden jedoch mehrere Datensätze miteinander kombiniert oder besteht nur eine nach allgemeinem Ermessen wahrscheinlich eingesetzte Möglichkeit, Datensätze miteinander zu kombinieren, so ist dies bei der Beurteilung des Personenbezuges sogar noch stärker zu berücksichtigen. Je größer die Menge an Daten innerhalb der zu berücksichtigenden Datensätze, umso schwerer wird es, Daten darin zu anonymisieren bzw eine ReIdentifizierung zu verhindern. Grundsätzlich heißt das aber, dass in bestimmten Fällen trotz Erreichung von k-Anonymität in den einzelnen Datensätzen die Bestimmungen der DSGVO voll zur Anwendung gelangen können, weil die Daten weiterhin als personenbezogen gelten müssen (weil eine Rückführung auf eine identifizierbare natürliche Person nach allgemeinem Ermessen vorgenommen werden kann).

Eine Anonymisierung – oder immerhin eine Annäherung an eine solche bzw eine „weitgehende“ Anonymisierung – kann in bestimmten Fällen geboten sein. Art 5 Abs. 1 lit b DSGVO sieht als wesentlichen Grundsatz für die Verarbeitung jenen der „Zweckbindung“ vor. Personenbezogene Daten dürfen nur für „festgelegte, eindeutige und legitime Zwecke erhoben werden“ und „dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden“.²⁷ Auf dem Grundsatz der Zweckbindung baut unter anderem jener der „Datenminimierung“ auf, welcher vorsieht, dass personenbezogene Daten für diesen „Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt“ sind. Dieser Grundsatz der Datenminimierung wird noch durch die Verpflichtung des Verantwortlichen ergänzt, „geeignete technische und organisatorische Maßnahmen [zu treffen], die dafür ausgelegt sind, die Datenschutzgrundsätze wie etwa Datenminimierung wirksam umzusetzen und die notwendigen Garantien in die Verarbeitung aufzunehmen, um den Anforderungen dieser Verordnung zu genügen und die Rechte der betroffenen Personen zu schützen“.²⁸

Damit besteht im Wesentlichen bereits die Verpflichtung des Verantwortlichen, nach Möglichkeit den Personenbezug der verarbeiteten Daten (auch durch die verwendete Technologie) zu reduzieren. Ein Verantwortlicher, der diesen Pflichten nachkommt, genießt im Regime der DSGVO durchaus wesentliche Vorteile, was maßgeblich durch folgende Bestimmung bedingt wird:

Es wurde bereits mehrfach gezeigt, dass es in (weitgehend) automatisierter Form möglich ist, Datensätze in einer Weise zu aggregieren, mit der die Anforderungen, welche in der Rechtsprechung der nationalen Aufsichtsbehörde an eine echte, rechtliche Anonymisierung (d.h. Löschung des Personenbezuges) gestellt werden, grundsätzlich erreicht werden können.²⁹ Soeben wurden jedoch auch Gründe dargestellt, warum eine Anonymisierung eines Datensatzes (gerade in einem Big Data Kontext), in dem Datensätze stetig ergänzt und kombiniert werden, nicht dauerhaft garantiert werden kann.

Nach diesem Zwischenergebnis bietet sich jedoch aus rechtlicher Sicht ein Blick auf die Bestimmung des Art. 11 DSGVO an. Darin wird zunächst festgestellt, dass personenbezogene Daten, die ein Verantwortlicher verarbeitet, um die betroffene Person zu identifizieren, nicht bloß zum Zweck der Erfüllung allfälliger Pflichten (die eine solche Identifizierung voraussetzen) aufbewahrt oder sonst verarbeitet werden müssen.³⁰

In Art. 11 Abs. 2 DSGVO wird darauf aufbauend festgestellt, dass in jenen Fällen, in denen eine Identifizierung nicht möglich ist,³¹ die Artikel 15 bis 20 DSGVO keine Anwendung finden, sofern die betroffene Person nicht die dafür erforderlichen Informationen ergänzend zur Verfügung stellt. Zusätzlich sieht Art. 11 Abs. 2 DSGVO noch eine Informationspflicht bei fehlender Identifikationsmöglichkeit durch den Verantwortlichen vor (deren Umfang jedoch umstritten ist).³²

Es zeigt sich somit, dass das maßgebliche Tatbestandsmerkmal des Art. 11 DSGVO jenes des „Identifizierens“ ist. Die Bedeutung desselben entscheidet die Reichweite der Bestimmung. Was also bedeutet „identifizieren“ i.S.d. Art. 11 DSGVO?

Zunächst wäre es naheliegend, den Begriff des „Identifizierens“ des Art 11 DSGVO als den Modus zur Herbeiführung des Personenbezuges i.S.d. Art. 4 Z. 1 DSGVO („identifizierte oder identifizierbare natürliche Person“) zu verstehen.³³ Damit stünde das Identifizieren in einem engen Zusammenhang mit dem „Personenbezug“ (iSv „personenbezogene Daten“). In der Literatur wird Hauptanwendungsbereich der Bestimmung in der Verarbeitung „pseudonymer“ oder „pseudonymisierter“ Daten beschrieben. „Pseudonymisierung“ i.S.d. Art. 4 Z. 5 DSGVO ist jedoch zu weit gefasst: während Art 11 Abs. 2 DSGVO Fälle betrifft, in denen eine „Identifizierung durch den Verantwortlichen“ nicht mehr möglich ist, ist dies bei der Pseudonymisierung nicht notwendig der Fall. Hat der Verantwortliche etwa eine separate Zuordnungstabelle³⁴, mit der den jeweiligen Pseudonymen eine natürliche Person zugeordnet werden kann, handelt es sich zwar um pseudonymisierte Daten, die Identifizierung durch den Verantwortlichen ist jedoch weiterhin möglich. Umgekehrt könnte Art. 11 DSGVO auch in Fällen zur Anwendung kommen, in denen Daten nicht eigens „pseudonymisiert“ werden: die oben thematisierte Leitentscheidung „Breyer“ ist dafür ein Beispiel.

Das „Identifizieren“ i.S.d. Art. 11 Abs. 2 DSGVO ist nicht als Identifizierung der betroffenen Person zu verstehen, sondern vielmehr als eine direkte Zuordnung der verarbeiteten Daten zu einem ganz konkreten Antragsteller: Dies wird in der Literatur z.T. auch aus dem Grund anerkannt, da in Art. 11 Abs. 2 DSGVO lediglich jene Betroffenenrechte (Art. 15–20 DSGVO) für unanwendbar erklärt werden, die einen Antrag der betroffenen Person voraussetzen (oder zumindest ermöglichen).³⁵ Nur dort macht es Sinn, deren Anwendbarkeit von der Möglichkeit der Identifizierung der betroffenen Person abhängig zu machen. Hat der Verantwortliche entsprechend dem Grundsatz der Datenminimierung seinen Datensatz soweit von Identifikatoren bereinigt, als dies im Rahmen des Verarbeitungszwecks möglich ist,³⁶ so soll ihm nicht vorgehalten werden, dass ein Antragsteller (ohne Zusatzinformationen) dem Datensatz nicht mehr ohne weiteres zugeordnet, d.h. „als betroffene Person identifiziert“ werden kann. Dass aber eine betroffene Person ganz generell nicht mehr durch den Verantwortlichen identifiziert werden kann, ändert jedoch nichts an den grundsätzlichen Pflichten des Verantwortlichen bei der Verarbeitung von personenbezogenen Daten, einschließlich etwa der generellen Löschpflicht nach Art. 17 Abs. 1 DSGVO bei Wegfall des jeweiligen Erlaubnistatbestandes.³⁷

Die begrifflichen Neuschöpfungen in der Literatur, wie etwa die „faktische Pseudonymisierung“ (in Abgrenzung zur „rechtlichen Pseudonymisierung“ i.S.v. Art. 4 Z. 5 DSGVO) oder der potentiell zu Missverständnissen führende Begriff der „relativen Anonymität“,³⁸ können zwar beim Verständnis der Bestimmung begrenzt hilfreich sein, allerdings kann die damit einhergehende Vermengung der Konzepte des Personenbezuges (und dessen Fehlens) mit jenem der Identifizierung des Antragstellers i.S.d. Art. 11 DSGVO zur Verwirrung führen. Zumindest für Art. 11 Abs. 2 DSGVO sollten diese daher vermieden werden.

Daraus ergibt sich auch, dass die Möglichkeit der Identifizierung mittels Zusatzinformationen von Dritten (und auch von im Internet frei verfügbaren Informationen) für die Anwendbarkeit des Privilegs des Art. 11 Abs. 2 DSGVO keine Relevanz haben kann.³⁹ Art. 11 DSGVO steht auch nach der hier vertretenen Meinung in Zusammenhang mit der Obliegenheit des Antragstellers nach Art. 12 Abs. 2, 6 DSGVO seine Identität nachzuweisen.⁴⁰ Insoweit fügt sich die Obliegenheit des Antragstellers („betroffene Person“) fehlende Informationen zu ergänzen gut in das System der DSGVO ein.

Das Ziel des Art. 11 DSGVO ist es somit, jenen Verantwortlichen, der bereits entsprechend den Grundsätzen der Zweckbindung sowie der (darauf aufbauenden) Datenminimierung und Speicherbegrenzung die verarbeiteten Informationen auf ein Minimum reduziert hat, davor zu schützen, ein Betroffenenrecht mangels Zuordenbarkeit zu dem jeweiligen Antragsteller verletzen zu müssen.⁴¹ Angesichts dieses anerkannten Zwecks des Ausgleichs überrascht es, dass Art. 11 DSGVO dennoch sehr kritisch aufgenommen wurde und die Bestimmung zum Teil als in sich widersprüchlich⁴² oder schlecht formuliert⁴³ oder auch als (angesichts des Datenminimierungsgrundsatzes) teilweise redundant⁴⁴ verstanden wird, deren Mehrwert fraglich⁴⁵ sei. Tatsächlich hat die Bestimmung aber durchaus eine ganz wesentliche Bedeutung, macht sie doch die in Art. 5 DSGVO geregelten Grundsätze überhaupt erst praktikabel (nach Jahnel hat Art. 11 DSGVO somit eine „Brückenfunktion“⁴⁶). Art. 11 DSGVO adressiert auch den Umstand, dass eine Anonymisierung nicht immer erreicht werden kann, ohne den Zweck der Verarbeitung zu negieren. Ohne Art. 11 DSGVO stünden Verantwortliche tatsächlich vor der Schwierigkeit, dass sich eine Identifizierbarkeit der betroffenen Person im Rahmen der beabsichtigten Tätigkeit zwar verringern, jedoch nicht zur Gänze ausschließen lässt. Das weite Verständnis des Personenbezuges (oben) hätte diesfalls zur Konsequenz, dass selbst eine konsequente Umsetzung des Grundsatzes der Datenminimierung und des Einsatzes von technischen Anonymisierungstechniken einen Personenbezug nicht (immer) ausschließt.

Dass sich Verantwortliche tatsächlich in einer solchen Zwickmühle befinden können, zeigt eine jüngere Entscheidung der Datenschutzbehörde sehr deutlich. Dieser Entscheidung zugrunde lag ein Gutachten zu „Fragen der Doppelansässigkeit in Österreich und der Schweiz“.⁴⁷ Dabei wurden der Beschwerdegegnerin Steuerinformationen zur Verfügung gestellt. Da sich darin jedoch im konkreten Fall „bspw. Aussagen über den Wohnort, die familiäre und wirtschaftliche Situation, soziale Kontakte der Beschwerdeführerin sowie Interessen, Hobbies, die Zugehörigkeit zu Clubs oder einer Stammrunde zum einen direkt, zum anderen indirekt über den Bezug zum Ehemann der Beschwerdeführerin“ ableiten ließen, waren diese „grundsätzlich geeignet, einen Personenbezug zur Beschwerdeführerin [...] herzustellen“. Im Ergebnis war sohin die Beschwerdegegnerin, die auf Basis der – ihrer Ansicht nach – anonymen Daten, zur Auskunft verpflichtet, was die Feststellung der Verletzung des Betroffenenrechts zur Folge hatte. Die DSB sah durchaus einen potenziellen Anwendungsfall des Art. 11 DSGVO, auf welchen sich die Beschwerdegegnerin jedoch nicht berufen hatte!

Diese Entscheidung verdeutlicht somit die oben hervorgehobene Dilemmasituation mancher Verantwortlicher. Hätte der Verantwortliche im gegebenen Fall weitere Informationen eingeholt, hätte er die Auskunft erteilen können. Da er jedoch lediglich die (vermeintlich) anonymen Daten verarbeitete, konnte er der betroffenen Person keine Auskunft geben, was grundsätzlich – da Art. 15 DSGVO keine entsprechende Ausnahme vorsieht – eine Verletzung dieses Rechts zur Folge hätte. Hier erfüllt Art. 11 DSGVO somit eine ganz wesentliche Funktion und erlaubt Verantwortlichen sohin die Datenminimierung in einem möglichst hohen Ausmaß, selbst wenn durch diese eine Anonymisierung allenfalls noch nicht erreicht wird/werden kann (und schützt vor der oben dargestellten Bredouille).

Es wurde gezeigt, dass insbesondere im Kontext von Big Data Verarbeitungen eine Anonymisierung oft nicht (dauerhaft) erreicht werden kann und daher selbst bei der Anwendung von Anonymisierungstechniken ein Personenbezug der Daten im Lebenszyklus der Daten (wieder) bestehen kann. Dies ist dem weiten Verständnis von „personenbezogenen“ Daten geschuldet, welches mit der Entscheidung des EuGH in der Rechtssache Breyer nun anhand klarer Kriterien eindeutig definiert wurde. Damit kommt es aber zu der seltsamen Situation, dass die Anwendung von Anonymisierungstechniken, die zwar keine rechtliche Anonymisierung erreichen, aber immerhin die Verarbeitung der Daten auf das notwendige Minimum reduzieren (und damit die Grundsätze der Zweckbindung, Datenminimierung und Speicherbegrenzung umsetzen), den Verantwortlichen an der Erfüllung der Betroffenenrechte verhindern. Nach der Beseitigung des Klarnamens und verschiedener weiterer Kennungen aus einem Datensatz, kann der Verantwortliche die verbleibenden Daten mitunter nicht mehr einem konkreten Antragsteller zuordnen.

Die Betroffenenrechte sehen jedoch für diesen Fall keine Ausnahme vor – sie gelten grds. uneingeschränkt bei der Verarbeitung von personenbezogenen Daten in dem oben dargestellten weiten Verständnis. Diese Dilemmasituation wird auch anhand der hier dargestellten Entscheidungen der österreichischen DSB verdeutlicht, in denen „vermeintlich anonymisierte Daten“ Verantwortliche gerade in diese Dilemmasituation manövrierten. Doch genau hier schafft Art. 11 DSGVO einen pragmatischen Ausgleich und stellt in eleganter Weise im Wesentlichen fest, dass die Zuordnung eines Datensatzes zum jeweiligen Antragsteller anhand der vorhandenen Informationen möglich sein muss, damit ein Betroffenenrecht wahrgenommen werden kann. Automatisierte Anonymisierungstechniken erlauben eine Reduzierung der Daten auf das für den jeweiligen Zweck notwendige Ausmaß, auch wenn dies bedeutet, dass notfalls die betroffene Person ergänzende Informationen zur Verfügung stellen muss, um dem Verantwortlichen die Wahrnehmung der Betroffenenrechte zu ermöglichen.

Art. 11 kann Verantwortlichen zwar eine Erleichterung bieten, die Bestimmung setzt jedoch eine Beachtung der Grundsätze der Verarbeitung nach Art. 5 DSGVO voraus. So darf keinesfalls eine Identifizierung des Antragstellers absichtlich verunmöglicht werden (Grundsatz von Treu und Glauben), oder gegen die Verpflichtung zur „Privatsphäre durch Technikgestaltung“ verstoßen werden.

This research was funded by the Austrian Research Promotion Agency (FFG) COIN project 866880 “Big Data Analytics”. The financial support by the Austrian Research Promotion Agency and the Federal Ministry for Digital and Economic Affairs is gratefully acknowledged.

Das Projekt wird von der Arbeitsgruppe Rechtsinformatik, Juridicum, Universität Wien, unter der Leitung von Prof. Dr. Dr. Erich Schweighofer durchgeführt. Die Autoren danken für die wesentliche Unterstützung und wichtige Hinweise.