Freedomz – stock.adobe.com
Der Begriff der personenbezogenen Daten ist das Einfallstor zur Anwendung der Datenschutz-Grundverordnung (DSGVO) und wird in Art 4 Nr.1 DSGVO definiert. Danach sind dies alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
Der Ausdruck „alle Informationen“ weist auf eine möglichst weite Auslegung des Begriffs der personenbezogenen Daten hin.
Doch sind auch Informationen, die auf statistischen Wahrscheinlichkeiten beruhen als personenbezogene Daten zu verstehen?
Der Oberste Gerichtshof (OHG) in Österreich hat eine spannende Entscheidung getroffen, die sich – wenn auch indirekt – mit der Frage beschäftigt: „Was sind personenbezogen Daten?“
Unerlaubte Verarbeitung personenbezogener Daten?
Ausschlaggebend für den Rechtsstreit ist die Auseinandersetzung um die Frage, ob die Österreichische Post, als Logistik- und Postdienstleistungsunternehmen, welches auch über eine Gewerbeberechtigung als „Adressenverlag und Direktwerbeunternehmen“ verfügt, unerlaubt besondere personenbezogene Daten von österreichischen Bürgern verarbeitet hat.
Das Unternehmen ist also im Sinne von § 151 GewO berechtigt, personenbezogene Daten aus öffentlich zugänglichen Informationen, durch Befragung der betroffenen Personen, aus Kunden- und Interessenten-Dateisystemen Dritter oder als Marketingdateisystemen anderer Adressverlage und Direktmarketingunternehmen zu ermitteln. Die Problematik ist dahingehend, inwieweit Informationen, die aus statistischen Wahrscheinlichkeiten errechnet werden, einen Personenbezug aufweisen.
Über den Kläger sind Daten wie Telefonnummer und Paketfrequenz durch den Logistik- und Postdienstleister auf der Rechtsgrundlage der Gewerbeberechtigung der Beklagten erhoben worden. Der Beklagte war der Auffassung, die genannten Affinitäten stellten lediglich die Zuordnung einer bestimmten Person aufgrund der Zuschreibung bestimmter Marketing-Klassifikationen im Wege eines Marketing-Analyseverfahrens zu einer Marketinggruppe dar. Der eigentliche Aussagegehalt etwa des Attributs „Investmentaffin“ war daher nicht, dass damit über eine bestimmte Person Daten über deren Finanzgebarung erhoben und bewertet würden, sondern lediglich, dass diese Person aufgrund bestimmter soziodemographischer Umstände (Alter, Wohnort, Bildungsgrad) einer Marketinggruppe zugeordnet wurde. Im Auskunftsschreiben teilte die Beklagte dem Kläger auch mit, dass seine Daten nicht zu Marketingzwecken an Dritte weitergegeben worden seien. Die erste Instanz gab dem Kläger Recht, in der zweiten Instanz verlor er dann.
Personenbezogene oder personenbeziehbare Daten?
Der Oberste Gerichtshof (OGH, Urteil v. 18.02.2021, Az. 6Ob127/20z) stieg ganz allgemein in diese Problematik ein und stellt klar, Art. 4 Nr. 1 DSGVO definiere „personenbezogene Daten“ als alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Daher sei der Begriff weit zu verstehen. Das sei der Grund, weshalb auch innere Zustände wie Meinungen, Motive, Wünsche und Werturteile sowie statistische Wahrscheinlichkeitsaussagen, die nicht bloße Prognose- oder Planungswerte darstellen, sondern subjektive und/oder objektive Einschätzungen zu einer identifizierten oder identifizierbaren Person liefern, einen Personenbezug aufweisen.
Weiter führt das Gericht aus, der Begriff der „Information“ umfasse nicht nur Aussagen zu überprüfbaren Eigenschaften oder sachlichen Verhältnissen der betroffenen Person, sondern auch Einschätzungen und Urteile über die Person. In diesem Sinne seien Daten mit Bezug zu einer Person auch dann personenbezogen, wenn sie unzutreffend seien. Hingegen könnten statistische Daten dann nicht personenbezogen sein, wenn sie keinerlei Rückschlüsse auf eine einzelne Person zulassen. Dies sei dann im Einzelfall anhand der gewählten Gruppengröße, des Aggregationsniveaus oder der in der Statistik ausgewiesenen Merkmale zu beurteilen, so das Gericht. Es komme demzufolge darauf an, ob eine Sammelangabe über eine Personengruppe gemacht oder ob eine Einzelperson als Mitglied einer Personengruppe gekennzeichnet werde. Insoweit müsse hier davon ausgegangen werden, dass die zu beurteilenden Informationen dem Kläger direkt zuzuordnen seien und somit der DSGVO unterliegen. Ob die Einschätzungen tatsächlich zutreffen sind, sei für diese Beurteilung unerheblich, betonen die Richter.
Nach der Auffassung des Gerichts sind dann die „Affinitäten“ einer bestimmten Person als Wahrscheinlichkeitsaussagen über bestimmte Interessen und Vorlieben der jeweiligen Personen einzuordnen – mithin als personenbezogene Daten zu werten.
Das Bundesverwaltungsgericht gelangt zum gleichen Ergebnis
Erst vor kurzem gelangte dann auch das Bundesverwaltungsgericht (BVWG, Erkenntnis v. 26.11.2020, Az. W 258 2217446-1) in einem anderen Fall zu dem Ergebnis, dass die Verknüpfung der Parteiaffinität mit einer einzelnen Person das Inhaltselement einer personenbezogenen Information erfülle. Nach dessen Auffassung enthalte die Parteiaffinität eine unmittelbare Aussage über die konkrete Person und diese sei nicht völlig zufällig, sondern leite sich aus bestimmten Wechselbeziehungen ab.
Also ist die Affinität einer Person – zu was auch immer – grundsätzlich das Ergebnis einer statistisch fundierten Einschätzung der Person in Bezug auf ihr Interesse.
Schutz der Datenschutz-Grundverordnung
Oftmals reicht der Schutz der DSGVO doch weiter als gedacht! Wenn auch auf den ersten Blick (oder Gedanken) Informationen – wie statistische Wahrscheinlichkeiten – nicht als personenbezogen charakterisiert zu werden scheinen, reicht für die Anwendung der DSGVO und mithin die Charakterisierung als personenbezogene Daten schon aus, dass eine direkte Zuordnung zu einer bestimmten Person in irgendeiner Weise möglich ist.
