unter der DSGVO für die relative Ansicht, insbesondere der Verlust der Identifizierbarkeit als Abgrenzungsmerkmal bei Zugrundelegung des absoluten Ansatzes bei der Bestimmung des sachlichen Anwendungsbereichs der DSGVO und die damit einhergehende schwindende Möglichkeit, personenbezogene Daten zu anonymisieren, weil Verantwortliche nie rechtssicher feststellen könnten, ob eine Individualisierbarkeit der verarbeiteten Informationen nicht doch theoretisch möglich wäre (obwohl es für den Verantwortlichen unmöglich ist).85
36
Es ist auch nicht ersichtlich, warum die DSGVO auf Datenverarbeitungen Anwendung finden sollte, die kein reales Gefahrenpotenzial für das Recht auf informationelle Selbstbestimmung von natürlichen Personen haben.86
37
Der EuGH hat im Breyer-Urteil festgestellt, dass neben faktischen (inkl. technischen Mitteln, also z.B. Zugriff auf Server eines Vertragspartners, Datenanalysetools, Weisungsrechte gegenüber einer Tochtergesellschaft) auch rechtliche Mittel im Hinblick auf das Zusatzwissen von Dritten berücksichtigt werden müssen.87 Unklar ist jedoch, ob die Tatbestandsvoraussetzungen von etwaigen Auskunftsansprüchen tatsächlich vorliegen müssen oder nicht.88 Diese dürften beispielsweise dann nicht vorliegen, wenn Informationen zu Zwecken erhoben werden, die eine Einschaltung der Staatsanwaltschaft oder entsprechender Aufsichtsbehörden nicht nach sich ziehen können (etwa reine Nutzungsanalysezwecke). Die Argumentation des EuGH legt dabei zunächst nahe, dass bereits die abstrakte Möglichkeit von Auskunftsverlangen ausreiche, wenn er darauf abstellt, dass solche rechtlichen Mittel nach deutschem Recht bestehen.89 Demgegenüber klingt in der das EuGH-Urteil umsetzenden Entscheidung des BGH an, dass jedenfalls auf den konkreten Kontext abzustellen sei. So statuiert der BGH, dass der Beklagte im Falle einer bereits eingetretenen Schädigung Strafanzeige erstatten oder im Falle der drohenden Schädigung die zur Gefahrenabwehr zuständigen Behörden einschalten kann.90
38
Zwar scheint der BGH dabei keine tatsächliche Prüfung einer solchen Schadenslage zur Bejahung eines Personenbezugs für erforderlich zu halten.91 Gleichwohl statuiert er weiter, dass „[...] die für die Verfolgung von Straftaten oder Ordnungswidrigkeiten zuständigen Behörden zu diesem Zweck von Internetzugangsanbietern bei Vorliegen bestimmter Voraussetzungen Auskunft verlangen [können]“.92 Demgemäß spricht dies dafür, dass der konkrete, vom jeweiligen Verantwortlichen verfolgte Verarbeitungs- und Speicherzweck bei der Bewertung, ob ihm entsprechende rechtliche Mittel zur Verfügung stehen, jedenfalls zu berücksichtigen ist. Richtigerweise wird daher auf den konkreten Einzelfall abzustellen sein, mithin, ob eine Nutzung der rechtlichen Mittel nach allgemeinem Ermessen wahrscheinlich ist, z.B. Speicherung der IP-Adressen zur Ahndung von Urheberrechtsverletzungen93 oder Abwehr von Cyber-Angriffen.94
(4) Identifizierbarkeit bei Personengruppen
39
Interessant ist die Frage der Identifizierbarkeit bei Personengruppen, wenn mehrere natürliche Personen als Bezugspunkt der Information in Frage kommen. Eine dynamische IP-Adresse ändert sich beispielsweise beim Einsatz eines Routers grundsätzlich nicht beim Ein-/Ausschalten des Computers oder beim Abmelden der Nutzer, sondern nur alle 24 Stunden oder wenn der Router neu gestartet wird. Theoretisch können somit mehrere Nutzer mit der gleichen dynamischen IP-Adresse im Internet surfen oder z.B. illegal Musik herunterladen, was insbesondere auch bei offenen WLAN, Anonymisierungsdiensten und Internetcafés95 relevant wird. Sofern nicht durch das Hinzuziehen weiterer Informationen (z.B. Verhaltensmuster oder Zeitstempel) klar eine Person als Nutzer zuordenbar ist, ist eine Identifizierbarkeit hier zu verneinen.96
d) Foto- und Videoaufnahmen/Abgrenzung zum KUG
40
Umstritten ist, unter welches Regelungsregime die Nutzung von Foto- und Videoaufnahmen fällt, auf denen natürliche Personen abgebildet sind. Insofern besteht die Besonderheit, dass (jedenfalls) die Verbreitung und öffentliche Zurschaustellung von Foto- und Videoaufnahmen als sog. Bildnisse auch durch die §§ 22ff. KUG geregelt wird. Fraglich ist daher, ob die Vorschriften des KUG als speziellere Vorschriften für einerseits die Verbreitung und öffentliche Zurschaustellung sowie andererseits auch die Erstellung und Speicherung von Bildnissen Anwendung finden und somit die DSGVO verdrängen.97
41
Dies ist insoweit relevant, da etwa eine Einwilligungserklärung nach § 22 KUG erheblich geringeren Anforderungen unterliegt, als etwa eine Einwilligung nach Maßgabe der DSGVO. So werden entsprechende (konkludente) Einwilligungen oftmals durch den Abschluss von Nutzungsverträgen erteilt.98 Bei einer Anwendbarkeit der DSGVO auch auf solche Sachverhalte wäre insoweit fraglich, ob diese Einwilligungen bzw. Nutzungsverträge den Anforderungen von Art. 4 Nr. 11 und Art. 7 DSGVO entsprechen müssen oder andere Erlaubnistatbestände der DSGVO greifen können. Darüber hinaus wäre zu eruieren, ob die Informationspflichten nach Art. 13, 14 DSGVO gegenüber dem Abgebildeten zu erfüllen sind. In der Praxis kann dies je nach Umständen des Einzelfalls jedoch nahezu unmöglich sein, etwa im Falle von Veranstaltungsfotos.99
42
Teilweise wird in einem pragmatischen Ansatz angeführt, dass die Vorlage der Voraussetzungen einer rechtmäßigen Verwendung nach §§ 22, 23 KUG indiziere, dass auch die Vorgaben der DSGVO erfüllt seien.100 Zutreffend erscheint jedenfalls, davon ausgehen zu können, dass soweit die Verbreitung bzw. öffentliche Zurschaustellung des Bildnisses auf einem Ausnahmetatbestand des § 23 KUG beruht, in aller Regel auch die Voraussetzungen einer rechtmäßigen Datenverarbeitung nach Art. 6 Abs. 1 lit. f DSGVO vorliegen sollten.101 Ein derart angenommener Gleichlauf der Regime stößt jedoch schnell an seine Grenzen: So ist etwa zu beachten, dass eine Einwilligung nach § 22 KUG nach der Rechtsprechung des BGH nur aufgrund eines wichtigen bzw. plausiblen Grundes widerrufen werden kann,102 während nach Art. 7 Abs. 3 DSGVO grundsätzlich jederzeit ein freier Widerruf möglich bleibt.103 Ungelöst bliebe ferner das Problem der fehlenden Belehrung der Betroffenen nach Art. 13, 14 DSGVO. Die Frage nach dem Anwendungsvorrang zwischen DSGVO und KUG kann somit nicht dahinstehen.
43
Zu beachten ist dabei, dass die Regelungen der §§ 22ff. KUG lediglich die Verbreitung bzw. öffentliche Zurschaustellung von Bildnissen regeln, nicht jedoch deren Erstellung und Speicherung. Demgemäß besteht weitgehend Konsens, dass das KUG die Vorschriften der DSGVO (wenn überhaupt) auch nur insoweit verdrängen könne; die Erstellung und Speicherung von Bildnissen unterfiele daher ausschließlich der DSGVO.104
44
Eine Ansicht geht dabei von einem umfassenden Anwendungsvorrang der DSGVO aus. Diesbezüglich wird angeführt, dass die DSGVO als Verordnung gemäß Art. 288 AEUV Anwendungsvorrang genießt und der DSGVO eine dem § 1 Abs. 3 BDSG a.F. vergleichbare Öffnungsklausel fehle.105 Danach solle Maßstab der Datenverarbeitung weiterhin der Katalog an Rechtsgründen nach Art. 6 Abs. 1 DSGVO bleiben.106 In Konsequenz wären auch grundsätzlich die Informationspflichten nach Art. 13, 14 DSGVO zu erfüllen.107
45
Eine ausschließliche Anwendbarkeit des KUG für die Verbreitung bzw. öffentliche Zurschaustellung von Foto- und Videoaufnahmen wird von einer anderen Ansicht mit Verweis auf die Regelung von Art. 85 DSGVO vertreten, wonach die Mitgliedstaaten das Recht auf den Schutz personenbezogener Daten nach der DSGVO und das Recht auf freie Meinungsäußerung und Informationsfreiheit in Einklang bringen sollen.108 Innerhalb der für die Anwendung des KUG plädierenden Ansicht ist jedoch weiter umstritten, ob die Anwendbarkeit des KUG einer Beschränkung auf bestimmte Nutzungszwecke unterliegt. Rechtlicher Hintergrund ist dabei die Frage, ob die Öffnungsklausel zugunsten der Meinungs- und Informationsfreiheit (und damit die §§ 22 KUG ff.) dem Anwendungsbereich von Art. 85 Abs. 1 oder Abs. 2 DSGVO zuzuordnen ist. Sofern Art. 85 Abs. 2 DSGVO einschlägig wäre, hätte dies zur Folge, dass das KUG lediglich für die Verarbeitung von Bildnissen zu journalistischen, wissenschaftlichen, künstlerischen oder literarischen Zwecken