DSGVO nachweisen zu können, zumal die Unternehmen – dem Accountability-Prinzip folgend – oftmals ohnehin verpflichtet sein werden, die Anonymisierung zu dokumentieren.
223
Die Nachweispflicht besteht dabei (zumindest faktisch) unabhängig von der Anfrage einer betroffenen Person, die z.B. ihre Betroffenenrechte geltend machen möchte, und kann z.B. auch von den Datenschutzaufsichtsbehörden überprüft werden.345
Praxishinweis
Für einen solchen Nachweis reicht es nach hier vertretener Ansicht aus, wenn der Verantwortliche glaubhaft macht, dass er die betroffene Person trotz entsprechender Bemühungen nicht identifizieren konnte.346 Allerdings ist auch nicht auszuschließen, dass Datenschutzaufsichtsbehörden oder Gerichte – dem Wortlaut des Art. 11 Abs. 2 S. 1 DSGVO folgend – den strengeren Nachweis verlangen, dass das Unternehmen die betroffene Person nicht identifizieren konnte, es also beweisen muss, dass alle vertretbaren Mittel zur Identifizierung erfolglos waren.347 Unternehmen müssen also durch die Einführung entsprechender organisatorischer und technischer Prozesse sicherstellen, dass die Merkmale, die die betroffene Person identifizieren, auch tatsächlich beseitigt werden, wenn sie für den Verarbeitungszweck nicht (mehr) erforderlich sind. Außerdem müssen sie die Entfernung dieser Merkmale, z.B. durch deren Löschung oder Anonymisierung, dokumentieren, um sie – wie nach Art. 11 Abs. 2 S. 2 DSGVO erforderlich – auch nachweisen zu können.
bb) Unterrichtungspflicht des Verantwortlichen
224
Kann der Verantwortliche nachweisen, dass er nicht (mehr) in der Lage ist, die betroffene Person zu identifizieren, muss er diese gem. Art. 11 Abs. 2 S. 1 DSGVO hierüber – sofern dies möglich ist – informieren.
225
Diese Verpflichtung erscheint – auch wenn sie unter dem Vorbehalt der Möglichkeit steht – zunächst widersprüchlich, da der Verantwortliche die betroffene Person i.d.R. identifizieren muss, um sie informieren zu können – wozu er in der vorliegenden Fallkonstellation ja gerade nicht (mehr) in der Lage ist. Vor diesem Hintergrund ist bisher auch noch nicht eindeutig geklärt, wann eine Informationspflicht nach Art. 11 Abs. 2 S. 1 DSGVO besteht – eine Information also möglich i.S.d. Art. 11 Abs. 2 S. 1 DSGVO ist.
226
Teilweise wird in der Literatur verlangt, dass der Verantwortliche die betroffene Person informieren muss, wenn er zunächst identifizierende Merkmale über die betroffene Person verarbeitet, er sie dann aber löschen möchte, weil sie für den mit der Verarbeitung verfolgten Zweck nicht mehr erforderlich sind. In einem solchen Fall müsse der Verantwortliche die betroffene Person vor der Löschung der identifizierenden Merkmale darüber informieren.348 Der Sinn und Zweck eines solchen Hinweises des Verantwortlichen nach Art. 11 Abs. 2 S. 1 DSGVO würde dann darin bestehen, dass die betroffene Person darüber informiert wird, dass der Verantwortliche künftig weniger Informationen über sie speichert und sie ggf. – wie unten weiter ausgeführt wird – ihre Betroffenenrechte nur noch unter bestimmten Voraussetzungen geltend machen kann.349 Angesichts des geringen Nutzens dieser Information erscheint eine solche Informationspflicht allerdings zu bürokratisch.
227
Zudem wird in der datenschutzrechtlichen Literatur für die Informationspflicht nach Art. 11 Abs. 2 DSGVO auch der Beispielsfall genannt, dass ein Verantwortlicher u.a. Kontaktdaten verarbeitet, mittels derer er die betroffene Person kontaktieren, sie aber selbst nicht identifizieren kann.350
228
Teilweise wird der Hauptanwendungsfall der Informationspflicht nach Art. 11 Abs. 2 DSGVO auch darin gesehen, dass eine betroffene Person ihre Betroffenenrechte nach Art. 15ff. DSGVO geltend macht und einen entsprechenden Antrag beim (vermeintlich) Verantwortlichen stellt, der aber dann den entsprechenden Datensatz mangels Verarbeitung von identifizierenden Merkmalen der Person nicht bestimmen kann.351 Im letzteren Fall folgt eine Informationspflicht aber auch (schon) aus Art. 12 Abs. 4 DSGVO.352
229
Jedenfalls sollten Unternehmen (möglicherweise) betroffene Personen auch (schon) im Rahmen der nach Art. 13 bzw. Art. 14 DSGVO zu erteilenden Informationen über die ggf. eingeschränkte Möglichkeit zur Geltendmachung der Betroffenenrechte nach Art. 15–20 DSGVO und über den Zeitpunkt informieren, ab dem der Verantwortliche die betroffene Person nicht mehr identifizieren kann, z.B. weil die identifizierenden Merkmale gelöscht wurden.353
Praxishinweis
Unternehmen, die die identifizierenden Merkmale der betroffenen Personen löschen oder nur Kontaktdaten der betroffenen Person (ohne entsprechende Identifizierungsmerkmale) verarbeiten, sollten sich ggf. überlegen, zur Haftungsvermeidung bis auf Weiteres die betroffenen Personen nach Maßgabe von Art. 11 Abs. 2 S. 1 DSGVO zu informieren. Allerdings sollten sie zuvor prüfen, ob die Datenschutzaufsichtsbehörden in der Zwischenzeit Hinweise erteilt haben bzw. Rechtsprechung ergangen ist, die für mehr Klarheit bei der Auslegung von Art. 11 Abs. 2 S. 1 DSGVO sorgen/sorgt. Gegebenenfalls könnte es für besonders betroffene Unternehmen auch überlegenswert sein, das Vorgehen mit der zuständigen Datenschutzaufsichtsbehörde abzustimmen.
Sind Unternehmen nach Art. 11 Abs. 2 S. 1 DSGVO zur Information der betroffenen Person verpflichtet, sollten sie zudem rechtzeitig geeignete Verfahren einführen, um die Erfüllung dieser Pflicht sicherzustellen.
cc) Befreiung des Verantwortlichen von der Pflicht, die Betroffenenrechte gem. Art. 15–20 DSGVO einzuhalten
230
Allerdings wird der Verantwortliche nach Art. 11 Abs. 2 DSGVO nicht nur mit der soeben dargestellten Nachweis- und Informationspflicht belastet. Sind die Voraussetzungen des Art. 11 Abs. 1 DSGVO erfüllt, ist also für die Zwecke, für die ein Verantwortlicher personenbezogene Daten verarbeitet, die Identifizierung der betroffenen Person nicht oder nicht mehr erforderlich, und kann der Verantwortliche nachweisen, dass er nicht mehr in der Lage ist, die betroffene Person zu identifizieren,354 und hat der Verantwortliche die betroffene Person hierüber nach Maßgabe von Art. 11 Abs. 2 S. 1 DSGVO – sofern möglich – informiert, entbindet ihn Art. 11 Abs. 2 S. 2 DSGVO dann auch konsequenterweise davon, den in Art. 15–20 DSGVO enthaltenen Betroffenenrechten (z.B. Auskunfts-, Berichtigungs- und Löschungsrecht) nachkommen zu müssen.355
231
Diese Privilegierung verschafft dem Verantwortlichen aber nur dann einen Vorteil, wenn die von ihm verarbeiteten Daten (immer noch) als personenbezogen zu qualifizieren sind, da andernfalls der sachliche Anwendungsbereich der DSGVO gar nicht eröffnet wäre und der Verantwortliche die Betroffenenrechte ohnehin nicht erfüllen müsste.
232
Auch wenn der Verantwortliche nachweislich nicht (mehr) in der Lage ist, die betroffene Person zu identifizieren, die Löschung/Anonymisierung der identifizierenden Angaben (an sich) aber nicht nachweisen kann, ist er nach hier vertretener Ansicht von der Erfüllung der Betroffenenrechte nach Art. 15–20 DSGVO befreit.
233
Nicht erfasst werden von Art. 11 Abs. 2 S. 2 DSGVO die Informationspflichten gem. Art. 13 und 14 DSGVO gegenüber der betroffenen Person. Mithin ist der Verantwortliche nach hier vertretener Ansicht nicht von der Erfüllung der Informationspflichten gem. Art 13 bzw. 14 DSGVO befreit, wenn der Verantwortliche (nur) nicht (mehr) in der Lage ist, die betroffene Person zu identifizieren. Vielmehr kommt eine Befreiung von den Informationspflichten gem. Art. 13 bzw. 14 DSGVO nach hier vertretener Auffassung erst dann in Betracht, wenn er die betroffene Person tatsächlich nicht (mehr) kontaktieren kann.356
dd) Ausweitung der Befreiung des Verantwortlichen, die Betroffenenrechte