In seinem kürzlich veröffentlichten Tätigkeitsbericht (PDF), geht der BfDI auch auf den durch ihn initiierten Konsultationsprozess zum Thema der Anonymisierung von personenbezogenen Daten und damit zusammenhängenden datenschutzrechtlichen Anforderungen ein.

Wie wir wissen, lässt die DSGVO den Rechtsanwender leider nur mit wenigen Informationen zur Anonymisierung zurück. In ErwG 26 DSGVO wird erwähnt, dass die Grundsätze des Datenschutzes nicht für anonyme Informationen gelten, d.h. für Informationen, die sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen. Mehr gibt die DSGVO leider nicht her. Daher war der durch den BfDI angestoßene Prozess zu begrüßen.

Nachfolgend möchte ich einige praxisrelevante Ansichten des BfDI darstellen.

Zum einen spricht sich die Aufsichtsbehörde klar dafür aus, dass jede Anonymisierung eine Verarbeitung personenbezogener Daten darstellt

„und bedarf deshalb einer Rechtsgrundlage“.

S. 72

Interessant sind die Aussagen des BfDI zu den Rechtsgrundlagen. Zwar kommt grundsätzlich jede der in Art. 6 Abs. 1 DSGVO genannten Erlaubnistatbestände in Betracht. Nach Ansicht des BfDI hätten aber vor allem die Einwilligung (!) und die Weiterverarbeitung nach Art. 6 Abs. 4 DSGVO in Verbindung mit der ursprünglichen Rechtsgrundlage Relevanz. Diese Ansicht hat mich doch etwas erstaunt. Zum einen würde ich in der Praxis eigentlich immer auf die Einwilligung verzichten, wenn es möglich ist. Warum? Die zum Teil sehr formellen Anforderungen sind (je nach Auslegung) wahnsinnig hoch. Meiner Erfahrung nach kann eine Anonymisierung zB auch sehr gut auf Art. 6 Abs. 1 lit. c DSGVO oder eine Interessenabwägung nach Art. 6 Abs. 1 lit. f) DSGVO gestützt werden.

Zum anderen war ich (positiv) von der Ansicht des BfDI überrascht, dass er eine zweckändernde Verarbeitung auf die ursprüngliche Rechtsgrundlage stützt. Das ist ein durchaus diskutiertes Thema in der Literatur und auch bei den Behörden; u.a. mit dem Argument, dass der entsprechende Hinwies in ErwG 50 DSGVO ein Versehen (im Sinne eines Restes der Verhandlungen) sei. Der BfDI geht aber genau auf diesen ErwG ein. Bedeutet: diese Ansicht des BfDI gilt nicht nur exklusiv für eine Anonymisierung und datenverarbeitende Stellen sollten diese Position im Hinterkopf behalten.

Daneben ist meines Erachtens die Ansicht des BfDI von besonderer Praxisrelevanz, dass vor einer Anonymisierung

„grundsätzlich eine Datenschutz-Folgenabschätzung nach Art. 35 Abs. 1 DSGVO durchzuführen“

S. 72

ist. Für Unternehmen bedeutet dies vor allem eines: Aufwand.

Ein Beispiel, welches sicher des Öfteren zutrifft: Software- oder sonstige Produkthersteller möchten personenbezogene Daten anonymisieren, bevor sie diese für Zwecke der statistischen Analyse zur Fehlersuche oder Produktverbesserung nutzen. Der BfDI begründet seine Ansicht u.a. damit, dass bei einer Anonymisierung der Verantwortliche regelmäßig davon ausgehen müsse, dass voraussichtlich ein hohes Risiko besteht. Das liege daran, dass in der Regel eine „Verarbeitung in großem Umfang“ stattfindet und die jeweilige Anonymisierungstechnik dem Begriff der neuen Technologien unterfällt. Damit verweist die Behörde wohl auf die durch den EDSA aufgestellten Kriterien zum Erfordernis einer DSFA (nach Ansicht der Behörden muss bei Erfüllung von zwei oder mehr Kriterien eine DSFA durchgeführt werden). Gesetzlich zwingend vorgesehen, ist die DSFA im Fall der Anonymisierung freilich nicht. Es ist etwa in der DSGVO schon gar nicht definiert, wann eine Verarbeitung „in großem Umfang“ vorliegt. Daher sollten Unternehmen stets für die von ihnen geplante Form der Anonymisierung prüfen, ob wirklich eine DSFA erforderlich ist. Hierfür bietet sich eine sog. Schwellwertanalyse an.