Nimmt man sich mal die Zeit und ließt das Bundesdatenschutzgesetz, eines der Landesdatenschutzgesetze oder andere Texte zum Thema Datenschutz, dann stößt man über kurz oder sehr kurz auf den Begriff der „personenbezogenen Daten“. Worum genau geht es da?
Die „personenbezogenen Daten“ sind dir Grundlage unserer Datenschutzregularien. Der Datenschutz greift nur genau bei personenbezogenen Daten, für alle anderen Daten sind andere Gesetze zuständig. Was genau sind denn „personenbezogene Daten“?
Das Bundesdatenschutzgesetz definiert personenbezogene Daten in §3
Weitere Begriffsbestimmungen, Absatz 1 wie folgt:
„(1) Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (Betroffener).“
Bei der Betrachtung dieser Regelung fallen einige Einzelaspekte auf, denen ich mich im Folgenden einzeln kurz widmen möchte.
Einzelangaben
Einzelangaben in diesem Falle bedeuten, dass das Datum auf eine spezifische Person bezogen werden kann (vgl diesen Text im Deutschen Ärzteblatt). Eine Information, die aus aggregierten oder anonymisierten Daten gewonnen wird, stellt in diesem Kontext also keine Einzelangabe dar.
Wenn ich zum Beispiel sage, dass „Horst Horstmann in der Horststrasse 1 einen BMW fährt“ ist das eine Einzelangabe. Wenn ich durch die Horststrasse fahre, alle Autos notiere und sage „In der Horststrasse fahren die meisten Leute BMWs“ ist das eben keine mehr. Aus diesem Grunde sind ja auch die algorithmischen und statistischen Klassifikationen von bestimmten Wohngegenden (wie auf ihood.de o.ä) keine Verstöße gegen den Datenschutz. Aggregierte und statistische Daten können ab einer gewissen Größe nicht gegen den Datenschutz verstoßen.
persönliche oder sachliche Verhältnisse
Es geht um Aussagen über persönliche oder sachliche Verhältnisse. Das ist eine ziemliche Gummiaussage, die sich in der Literatur meist nur in „z.B.-Listen“ wie dieser des Nordrhein-Westphälischen Datenschutzbeauftragten niederschlägt: Name, Geburtsdatum und Anschrift sind dabei, Kontonummern, andere IDs wie Personalausweisnummer, aber auch Vorstrafen oder die Krankendaten einer Person und ihr genetischer Code. Auch dazu gehören (vielleicht zur Überraschung einiger) Werturteile wie „PersonA ist ein Querulant“ und Zeugnisse.
natürlichen Person
Datenschutz kann sich also nur auf die Daten eines Menschen beziehen, Organisationen, Gruppen oder Firmen können ihn nicht für sich in Anspruch nehmen (wohl aber die einzelnen Mitglieder einer Organisation). Die Schutzbedürfnisse und -rechte des Einzelnen sind hier des weiteren sehr dominant: Auch wenn die Ausgaben meines Arbeitgebers nicht über den Datenschutz geheimzuhalten sind, so habe ich das Recht, dass mein Gehalt nicht veröffentlicht wird, weil das ja mich als Person betrifft.
Fassen wir diese Details zusammen, ergeben sich einige fundamentale Probleme mit der Definition dieses grundlegenden Datenschutzbegriffs.
So ist der Aspekt der „persönlichen und sachlichen Verhältnisse“ so schwammig und unpräzise gefasst, dass selbst Fachleute nur mit Beispielen argumentieren können. Und gerade der Bereich der „Werturteile“ ist ein hochproblematischer: Wenn ich die Inkompetenz einer Person feststelle und meine Meinung publiziere, dann müsste diese Person mir die Publikation über das Datenschutzgesetz untersagen dürfen (gerade bei Normalbürgern, bei denen kein „öffentliches Interesse“ besteht).
Noch gravierender stellt sich der Aspekt der „Einzelangabe“ dar. Datenschutz greift nur, wenn ich eine Aussage mache, die sich direkt und eindeutig auf eine Person beziehen lässt. Nach dieser Logik, sind IP-Adressen in vielen Fällen also ganz offensichtlich keine personenbezogenen Daten und sie unterliegen auch nicht dem Datenschutz, eben weil – wenn ich nicht garantiert der einzige Nutzer meines Anschlusses bin – die IP Addresse maximal auf eine Personengruppe (meine Familie, WG, etc) aber keine Einzelperson beziehbar ist (und hier clasht die dem Gesetzestext innewohnende Logik mit dem, was die aktuelle Rechtsprechung propagiert).
In diesem Kontext ist die Frage nach den Algorithmen wieder relevant: Wenn ich Daten zu Einzelpersonen ganz datenschutzrechtlich korrekt speichere und sichere, aus diesen Daten aber allgemeine Informationen ableite, so stehen diese eben meist nicht mehr unter Datenschutz, weil sie nicht auf eine Einzelperson rückführbar sind. Ich kann einfach Autos zählen in einer Straße und mit einer gewissen Wahrscheinlichkeit vorher sagen, welche Automarke eine Person wahrscheinlich besitzt. Ich kann gucken, welche Künstler die häufigen Hörer eines bestimmten anderen Künstlers im Schnitt noch hören und so vorhersagen, das ein Hörer des einen wohl auch das andere mag. All diese Informationen auf der zweiten Stufe sind nicht mehr personenbezogen und damit auch nicht mehr innerhalb des Datenschutzkontexts handhabbar.
Und hier zeigt sich sehr schön, dass die datenschutzbasierte Kritik an irgendwelchen Firmen wie Facebook oder Google oft ins Leere zeigt: Facebook will zwar was über mich wissen um Werbung anzuzeigen, aber es geht ja vor allem darum, mich in irgendwelche Klassen von Menschen (Interessengruppen) einzuordnen, denen bestimmte Werbung präsentiert wird. Diese Gruppe kann zwar durchaus spezifisch sein, läßt sich aber nicht auf mit alleine zurückführen (das wäre für Werbung eben bei weitem zu speziell). Genau der Aspekt der Vernetzung von Daten, des Aggregierens von Daten und auch der Prognose von zukünftigem Verhalten von bestimmten Personengruppen ist alleine aufgrund der Definition des personenbezogenen Datums nicht durch das Datenschutzgesetz regelbar.
Die datenschutzkritische Spackeria 
Ob die gespeicherten Daten personenbezogen sind, hängt davon ab, wie viele Merkmale erhoben werden, und wieviele Individuen einer bestimmten Merkmalskombination zugeordnet werden können. Facebook interessiert sich für die Werbung nur für Klassen. Die Daten, die jedoch gespeichert sind, dürften in den meisten Fällen einzigartig sein und eine Identifikation ermöglichen – z. B. eine konkrete Kombination von „liked“ Pages. Für was für Zwecke außer Werbung diese Daten noch nützlich oder gefährlich werden könnten kann man jetzt nicht absehen.
Bei IP-Adressen gibt es durchaus etliche Fälle, wo eine 1:1 Beziehung zwischen Adresse (und Uhrzeit) und Benutzer existiert (erst Recht, falls IPv6 endlich mal kommt). Daher ist es schon sinnvoll, dass im Zweifel dieses gesamte Merkmal als personenbezogen gilt. Bei der Sache mit Google Analytics sollte vielleicht die Verantwortung vom Webseitenbetreiber der das einbindet genommen und an den Internetzugangsprovider gegeben werden – dass sozusagen in deren AGBs verankert sein muss, dass bei einer Nutzung des Internets der Benutzer zustimmt, dass Daten dieses Merkmals dabei vom Provider (in Form von IP-Paketen) auch ins Ausland übermittelt werden.
Datenschutz ist nicht absolut in dem Sinne, dass personenbezogene Daten grundsätzlich nicht gespeichert oder verarbeitet werden dürften, sondern verlangt (neben dem Schutz, d.h. der Sicherung vor dem Zugriff durch Dritte) eine Zweckbindung sowie die Erforderlichkeit zu gegebenem Zweck. Neben Regelungen im BDSG finden sich Konkretisierungen gewöhnlich in speziellen Gesetzen, wie etwa dem TKG oder dem TMG.
Im TMG beschränkt sich der Schutz von Telekommunikationsdaten auch nicht allein auf solche natürlicher Personen, sondern erstreckt sich ausdrücklich auf alle „Nutzer“, was dort juristische Personen einschließt.
„[…] oder bestimmbaren […] Person (Betroffener).“
IP-Adressen sind personenbezogene Daten (bzw. ein Merkmal, dass Personenbezogenheit herstellt), da sie potentiell einer Person zugeordnet werden könnten (deren Kommunikation im übrigen durch Artikel 10 GG geschützt ist), und entsprechend zu behandeln.
So ist auch die generelle Erfassung von KFZ-Kennzeichen beispielsweise nicht deswegen erlaubt, weil es Miet- oder Firmenwagen gibt, bei denen eine Bestimmung der Person(en) nicht, nicht unmittelbar oder nicht eindeutig möglich ist. (Dazu bedürfte es nicht einmal Mietwagen, da Fahrer oder Fahrzeuginsassen nicht notwendigerweise mit dem oder den Haltern übereinstimmen.)
Dass bei Aggregation oder (vermeintlich) „anonymisierten“ Daten keine allgemeine, klare Trennlinie bzgl. der Rückführbarkeit auf einzelne Personen bzw. „Deanonymisierung“ gezogen werden kann, sollte eigentlich auf der Hand liegen; insofern ist dies natürlich eine Grauzone, in der der Einzelfall beurteilt werden muss. Desweiteren spielt dabei eine Rolle, inwieweit unter Zuhilfenahme anderer (i.d.R. öffentlich zugänglicher) Informationen ein Rückschluss möglich ist, obwohl die ursprünglich betrachteten Daten allein dies eventuell noch nicht zulassen.
Ebenso ist es eine Binsenweisheit, dass freie Meinungsäußerung und Persönlichkeitsrecht in einem Spannungsverhältnis stehen, also genauso im Einzelfall zwischen beiden Rechten abgewogen werden muss. Wären Gesetze absolut und „widerspruchsfrei“ (und diese sowie Sachverhalte formalisierbar), so bräuchten wir keine Gerichte, sondern Theorembeweiser.
Ferner lässt sich nicht jeder potentielle Verstoß direkt präventiv verhindern; dies ist beim Datenschutzrecht nicht anders. Dass etwas technisch nicht grundsätzlich unterbunden, oder auch nicht in jedem Einzelfall wirksam sanktioniert werden kann, mag eine Regelung in Augen mancher fragwürdig erscheinen lassen, führt aber nicht automatisch zu deren genereller Nichtigkeit.
Da viele personenbezogene Daten zwangsläufig — also möglicherweise auch unfreiwillig — laufend anfallen bzw. entsprechende Informationen für andere prinzipiell wahrnehmbar sind, ist deren Erhebung, Speicherung und insbesondere Weitergabe (nicht allein in den öffentlichen Raum, d.h. durch Publizierung) zu regeln, was eine absichtliche oder freiwillige Preisgabe keinesfalls ausschließt, zumindest soweit die Rechte Dritter ausreichend gewahrt bleiben.
Du hast in vielen Punkten durchaus recht, aber hier widerspreche ich dir eindeutig! Der Personenbezug von IPs ist höhst umstritten in der Rechtssprechung. Es gibt bis dato kein höheres Gericht, was sich dazu geäußert hat.
Die Konsequenzen von einem pauschalen Personenbezug von IPs halte ich für fatal. Vernünftig wäre eine Regelung, die IPs erstmal als technische, gerätebezogene Adresse behandelt, was sie ja ist. Erst wenn tatsächlich ein *echter* Personenbezug hergestellt wird, ist die IP auch personenbezogen zu behandeln. Etwa wenn IP und Username geloggt werden, oder in Emailheadern. Selbst dann ist die IP meistens nicht einer Person zuordbar, weil z.B. webmailer oder firmenserver. Trotzdem wäre das der Punkt wo man argumentieren kann, dass man striktere policies etabliert. Gute Betriebe machen das genau so, unabhängig von der Rechtssprechung und demnächst irgendwann bekommt man dafür bestimmt ein tolles Siegel von der Stiftung Datenschutz (lacht).
Dass Kommunikation zwischen Personen geschützt ist, ist ein anderes Thema, da geht es ja dann um Inhaltsdaten. IPs mit aller Gewalt pauschal als personenbezogen zu definieren ist jedenfalls hirnrissig.
Der Schutz der Kommunikation beschränkt sich nicht auf Inhaltsdaten (die beispielsweise im Falle eines öffentlichen Blogposts ja ohnehin bekannt wären), sondern umfasst genauso Verkehrs- bzw. Verbindungsdaten, obgleich diese i.d.R. anders behandelt werden, d.h. teilweise geringerem Schutz unterliegen können.
Wenn ich unter dem Nick „anonym“ mit meiner IP poste und diese geloggt wird, wird genau der Zusammenhang zwischen meiner Person und einer anonymen Äußerung hergestellt, folglich mein Kommunikationsverhalten offengelegt bzw. ggf. zunächst nur festgehalten. (Eine Auskunft an Staatsanwaltschaft oder Polizei über meine Bestandsdaten als Teilnehmer bzw. Anschlußinhaber — d.h. Name, Anschrift etc. — bei gegebener IP-Adresse ist aber nach geltendem Recht jederzeit ohne richterlichen Beschluss möglich. Dabei wird die IP nicht einmal als weniger geschütztes Bestandsdatum gewertet, sondern argumentiert, dass die „Kennung“ und damit eigentliche Identität ja schon bekannt wäre.)
Die Verwendung verschiedener Pseudonyme ergibt ebenfalls keinen Sinn, sobald neben diesen die immer selbe IP-Adresse festgehalten wird. Ist die Zuordnung letzterer erst einmal „geleakt“ (Kontrollverlust 😉 ), kann dies erhebliche Konsequenzen haben, und zwar auch aufgrund von nun mir zuordenbaren ehemals „anonym“ getätigten Handlungen [nicht notwendigerweise] meinerseits in der Vergangenheit.
Sieht man von der Identitätsproblematik einmal ab, bleibt in bestimmten Fällen immernoch die Gefahr, als Störer in die Pflicht genommen zu werden.
Dass die Personenbezogenheit von IP-Adressen als Datum in der Rechtsprechung umstritten sei, sehe ich nicht; die Umstrittenheit der aus der offenkundigen Nicht-Eindeutigkeit der Zuordnung zu einem Urheber oder Täter zu ziehenden Konsequenzen dagegen sehr wohl.
P.S.: Mit „Blogpost“ meinte ich einen in einem Blog hinterlassenen Kommentar.
Ein typischer tante mit argumentativem Gewurschtel, das wie immer in tantes höchstpersönlichem Chaos endet, für das er aber üblicherweise sein Feindbild Datenschutz verantwortlich macht.
Ersteinmal ist das Bundesdatenschutzgesetz aufgrund der darin legalisierten politischen Interessen seit jeher eine der schwächsten Umsetzungen des Grundrechts auf Informationelle Selbstbestimmung gewesen. Aber wenn Smog das Atmen erschwert, würde tante einfach behaupten, das Atmen selbst sei die kranke Fehlentwicklung.
Eine IP-Adresse als solche ist übrigens in der Tat kein personenbezogenes Datum, sondern nur die Information, wem sie wann zugeordnet war, und „datenschutzbasierte Kritik an irgendwelchen Firmen wie Facebook oder Google“ läuft auch nicht deshalb ins Leere, weil sie nicht zu begründen wäre, sondern weil sie von reaktionären Politikern vorgetäuscht wird, die mit Vorratsdatenspeicherung & Co für ziemlich viel Datenschutzschweinkram verantwortlich sind und dann bei Google StreetView Haltet-den-Dieb! kreischen, um davon abzulenken.
Bei Facebook hingegen ist selbst schuld, wer sich dort von BigZuckerberg informationell ausschlachten läßt, denn die willigen ja ein. Datenschutzrechtlich zu beanstanden sind dort höchstens die Einbeziehungen unbeteiligter Dritter, die nicht eingewilligt haben, die Offenlegung der Datenverwendung und die mangelnde Information über den Umfang der erteilten Einwilligungen: So wäre ein datenschutzrechtlich korrekter Weg zur neuen Funktion der Gesichtserkennung, daß die Nutzer darüber informiert werden, wie sie diese für ihr jeweils eigenes Gesicht freischalten können, denn es geht bei der Informationellen Selbstbestimmung darum, daß jeder persönlich, frei und der Tragweite auch bewußt entscheiden kann, wer seine Gesichtsphysiognomie oder auch Gendaten oder sonstwas in Datenbanken verarbeiten darf. Aber Selbstbestimmung und Entscheidungsfreiheit scheint tante ja leider seit jeher krank und vorgestrig zu finden.
Ich war kurz geneigt, zu versuchen, mit Argumenten zu antworten, doch der präpubertäre Stil Deiner Auslassung macht klar, dass ich da meine kostbare Freizeit verschwenden würde.
Ach, tante, Du hast mir noch nie mit Argumenten geantwortet, sondern meine Kommentare entweder ignoriert oder die Diskussion auf Nebenschauplätze zu ziehen versucht, auf denen Du meintest, auftrumpfen zu können – einen „präpubertären Stil“, dürfte man Dir oft genug selbst vorgehalten haben, so daß Du das jetzt einfach mal weiterzutreten versuchst.
Das ist hier aber kein Forum, in dem es um Informationelle Selbstbestimmung geht, sondern eines von Spacken, die offensichtlich ein opportunistisches Niedertrampeln von eigentlich zu mehrenden Freiheitsrechten in der blauen Bucht oben feiern wollen. Das ist schade, erklärt aber vermutlich, warum meine Kommentare inzwischen erst mit einwöchiger Verspätung freigeschaltet werden. Ich habe überhaupt keinen Zweifel daran, daß insbesondere Dich, tante, Deine Geistfeindlichkeit irgendwann einholen wird.
Habe dann wohl herausgefunden, was hier rauszufinden war.
jedes, wirklich jedes deiner Kommentare landet in der Spamqueue. Ich habe jedenfalls kein Bock mehr dich ständig da rauszufischen. Du nervst also immer doppelt
Achso, weil ich zu meinem Realnamen und der immerselben eMail@dresse auch in der dafür von Euch sogar vorgesehenen Zeile „Website“ vollkommen post-privacy meinen Background zur Informationellen Selbstbestimmung verlinke, gelte ich bei Euch als nervender Spammer – ich hatte wirklich gehofft, hier passiert irgendetwas geistreiches, und ich wollte gar nicht über Euch lachen, jetzt auch egal 😀
Viel Spaß noch!
Da Du hier offensichtlich nur trollen und mich beleidigen möchtest, werde ich ab jetzt Deine Kommentare wenn sogar ein Algorithmus sie als SPAM betrachtet, nicht mehr händisch freischalten. Des weiteren sehe ich wenig Sinn darin, mich mit Dir als Menschen mit ausgesucht schlechter Erziehung und kommunikativer Inkompetenz auseinanderzusetzen.
Das hier ist nicht „mein“ Blog sondern das der Spackeria, aber in den Posts, die ich schreibe, nehme ich mir ein gewisses Hausrecht heraus. Wenn Dich jemand der anderen freischalten und kommentieren will, gerne, aber mir ist meine Zeit zu schade, um durch die Freischaltung Deiner Beleidigungen und persönlichen Angriffe weiterhin das Netz zu verschmutzen. Geh woanders hin trollen, ich persönlich kann auf eine solche Art des Umgangs miteinander verzichten.
Pingback: Aktuelles 8. Juni 2011
Pingback: Das personenbezogene Datum | tante's blog
Pingback: high.noon « monstropolis
Wer hat denn die anderen 2 Kommentare „datengeschützt“? Oben steht 7, ich seh nur 5.
Vielleicht etwas irritierend — die Pingbacks werden mitgezählt.