Datenschutz und Personenbezogene Daten

von

Verantwortlicher oder Auftragsverarbeiter

Ausgangsfrage

Unter welchen Voraussetzungen ist eine datenempfangende Stelle als Verantwortlicher, Auftragsverarbeiter oder sonstiger Dritter einzuordnen, wenn ihr ein Datensatz übermittelt wird, der aus ihrer isolierten Sicht keinen oder nur eingeschränkten Personenbezug aufweist?

Ausgangspunkt der Abgrenzung

Nach den EDPB-Leitlinien 07/2020 sind „Verantwortlicher“ und „Auftragsverarbeiter“ funktionale Begriffe. Maßgeblich sind die tatsächlichen Rollen, die Zwecke und die Mittel der Verarbeitung, nicht bloße Vertragsbezeichnungen oder Selbstetikettierungen der Beteiligten. Verantwortlicher ist die Stelle, die allein oder gemeinsam mit anderen über Zwecke und Mittel der Verarbeitung entscheidet. Auftragsverarbeiter ist demgegenüber die Stelle, die personenbezogene Daten im Auftrag und auf Weisung des Verantwortlichen verarbeitet.

Problemstellung bei pseudonymisierten oder bereinigten Daten

Die praktische Schwierigkeit entsteht, wenn ein Datensatz beim Empfänger isoliert betrachtet nicht ohne Weiteres einer Person zugeordnet werden kann, aber aus Sicht der gesamten Verarbeitungskette weiterhin ein Bezug zu einer betroffenen Person bestehen kann. Es kann der Eindruck entstehen, der Personenbezug sei aus Sicht des Empfängers entfallen, obwohl er im Gesamtkontext fortbesteht. 

Diese Zuspitzung greift jedoch zu kurz. Der EDPB verlagert den Personenbezug nicht künstlich in die Perspektive des Empfängers, sondern ordnet Verantwortlichkeiten entlang der tatsächlichen Verarbeitungsrealität zu. Entscheidend ist damit nicht allein, wie der Empfänger den Datensatz beschreibt, sondern ob die Daten in der gesamten Verarbeitungs- und Verantwortlichkeitskette personenbezogen bleiben oder wieder personenbezogen werden können.

Zweck der abgeleiteten Bestimmung

Die abgeleitete Bestimmung des Verarbeitungsstatus verhindert, dass sich datenschutzrechtliche Pflichten allein durch formale Deklarationen oder technische Segmentierung umgehen lassen. Würde man ausschließlich auf die isolierte Empfängersicht oder auf die bloße Erklärung des Ursprungsverantwortlichen abstellen, könnten personenbezogene Verarbeitungsvorgänge durch bloße Umbenennung oder Aufspaltung der Datensätze faktisch aus dem Schutzregime der DSGVO herausgelöst werden.

Pseudonymisierung ist ausdrücklich eine Maßnahme zur Risikosenkung. Sie soll Verantwortliche und Auftragsverarbeiter bei der Einhaltung ihrer Pflichten unterstützen, beseitigt den Personenbezug aber nicht automatisch. Solange Re-Identifizierung durch Schlüssel, Zusatzwissen, organisatorische Verknüpfungen oder spätere Zusammenführung realistisch möglich bleibt, darf der datenschutzrechtliche Anwendungs- und Verantwortungszusammenhang nicht als unterbrochen behandelt werden.

Grenzen bloßer Deklarationen

Weder die Erklärung des Empfängers noch die Erklärung des Ursprungsverantwortlichen kann für sich genommen abschließend festlegen, dass kein datenschutzrechtlich relevanter Personenbezug mehr vorliegt. Maßgeblich ist vielmehr, ob nach den tatsächlichen Umständen eine Rückverknüpfung, Entschlüsselung oder Re-Identifizierung technisch und organisatorisch realistisch ausgeschlossen ist.

Dies gilt auch deshalb, weil in der Praxis technische und rechtliche Unsicherheiten verbleiben können, etwa durch fehlerhafte Übertragung, unzureichende Schlüsseltrennung, spätere Datenzusammenführung oder geschäftliche und organisatorische Verbindungen zwischen den Beteiligten. Die DSGVO arbeitet gerade deshalb risikobasiert und verlangt geeignete technische und organisatorische Maßnahmen, anstatt absolute Sicherheit zu unterstellen.

Rechtsfolge für die Rollenbestimmung

Bleibt der übermittelte Datensatz im maßgeblichen Verarbeitungskontext personenbezogen oder kann er dort mit realistischen Mitteln wieder personenbezogen werden, bleibt die Übermittlung datenschutzrechtlich relevant. Die empfangende Stelle ist dann Auftragsverarbeiter, wenn sie weisungsgebunden fremde Zwecke umsetzt, oder Verantwortlicher beziehungsweise gemeinsam Verantwortlicher, wenn sie eigene Zwecke verfolgt oder über Zwecke und Mittel mitentscheidet.

Ein datenschutzrechtliches Niemandsland entsteht in dieser Konstellation nicht. Die Weitergabe ist dann entweder Auftragsverarbeitung oder eine Übermittlung an einen eigenständig oder gemeinsam verantwortlichen Dritten. Nur bei tatsächlich wirksamer und dauerhafter Anonymisierung entfällt die DSGVO-Anwendbarkeit.

Einordnung für die Praxis

Die datenschutzrechtliche Bewertung darf nicht auf eine isolierte Perspektive reduziert werden. Daten sind juristisch, technisch und aus Sicht der Betriebs- und Verarbeitungspraxis entlang der gesamten Kette zu betrachten, weil sich erst daraus ergibt, welche Risiken, Rollen und Pflichten tatsächlich bestehen.

Gerade diese mehrdimensionale Betrachtung verhindert Umgehungslücken und macht behördliche Kontrolle erst praktikabel. Ohne sie ließe sich der Schutzstatus personenbezogener Daten zu leicht durch bloße Behauptungen verschieben, während Verstöße erst mit erheblichem Aufklärungsaufwand nachweisbar wären.

Ergebnis

Die entscheidende Frage lautet nicht, ob der Empfänger den Datensatz isoliert betrachtet als personenbezogen wahrnimmt. Maßgeblich ist vielmehr, ob die Daten im relevanten Verantwortungs- und Verarbeitungskontext personenbezogen bleiben oder mit realistischen Mitteln wieder einer Person zugeordnet werden können. Maßgeblich ist der objektive Kontext der Verarbeitung einschließlich der über alle Empfänger hinweg zu berücksichtigenden Rückverknüpfungsmöglichkeiten und der tatsächlichen Rollenverteilung.

Schließlich liegen solche Daten an anderer Stelle bereits mit Personenbezug und Rückschlussmöglichkeit vor. Es kann daher nicht von vornherein ausgeschlossen werden, dass ein Personenbezug durch spätere Zusammenführung, zusätzliche Informationen oder sogar durch einen Übertragungsfehler erneut begründet wird.

Quellen und Links

  • EDPB, Leitlinien 07/2020 zu den Begriffen „Verantwortlicher“ und „Auftragsverarbeiter“ in der DSGVO: https://www.edpb.europa.eu/system/files/2023-10/edpb_guidelines_202007_controllerprocessor_final_de.pdf
  • EDPB, Leitlinien-Seite: https://www.edpb.europa.eu/documents/guideline/guidelines-072020-on-the-concepts-of-controller-and-processor-in-the-gdpr_de
  • EDPB SME Guide, Verantwortlicher oder Auftragsverarbeiter: https://www.edpb.europa.eu/sme-data-protection-guide/faq-frequently-asked-questions/answer/who-data-controller-and-who-data_de
  • LfDI Baden-Württemberg, Update FAQ zum Thema Verantwortlichkeit und Auftragsverarbeitung: https://www.baden-wuerttemberg.datenschutz.de/update-faq-zum-thema-auftragsverarbeitung/
  • Erwägungsgrund 28 DSGVO: https://dsgvo-gesetz.de/erwaegungsgruende/nr-28/
  • Art. 4 DSGVO – Begriffsbestimmungen: https://dsgvo-gesetz.de/art-4-dsgvo/
  • Art. 28 DSGVO – Auftragsverarbeiter: https://dsgvo-gesetz.de/art-28-dsgvo/
  • Art. 32 DSGVO – Sicherheit der Verarbeitung: https://dsgvo-gesetz.de/art-32-dsgvo/
  • EuGH-Kontext zu pseudonymisierten Daten, Einordnung für die Praxis: https://www.ldi.nrw.de/eugh-zu-personenbezogene-daten-und-pseudonymisierung-wichtige-klarstellungen-fuer-fachleute
  • Einordnung der Kontextabhängigkeit bei pseudonymisierten Daten: https://www.dhpg.de/de/newsroom/blog/wenn-anonym-nicht-fuer-alle-gilt-was-der-eugh-zu-pseudonymisierten-daten-klargestellt-hat