Geodaten und die DSGVO – ein Spannungsfeld

Wann fallen Geodaten unter den Schutz der neuen EU-Datenschutzgrundverordnung? Diese Fragestellung ist zentral fĂŒr alle Branchen, die Geodaten einsetzen, vor allem in den B2C-Bereichen. Zu einem eindeutigen Ergebnis kommt dabei Rechtsanwalt Björn Schmidt von der Kanzlei Schmidt & Partner.

Seit nunmehr zwei Jahren beschĂ€ftigt die am 25. Mai 2016 in Kraft getretene und genau zwei Jahre spĂ€ter wirksam gewordene EU-Datenschutzgrundverordnung (DSGVO) Unternehmen in ganz Europa. Gerade im Bereich von Datenbanken, die Informationen ĂŒber Verbraucher und Kunden enthalten, wurden Schutzmaßnahmen verstĂ€rkt. Trotzdem gibt es noch einige Unklarheiten rund um die DSGVO. So auch bei Anwendungen von Geodaten, die auf Konsumenten oder andere Einzelpersonen zielen.

Die zentralen Fragen, die sich hier stellen, lauten: Fallen auch Geodaten unter den Schutz der DSGVO? Und wenn ja, wann? Sind sie reine Sachdaten oder haben sie auch per se einen Personenbezug?

Rechtsanwalt Björn Schmidt von der Kanzlei Schmidt & Partner findet darauf eine klare Antwort: Alle Daten – also auch Geodaten – sind dann vom Schutzbereich der Datenschutzgesetze umfasst, wenn ein Bezug zu einer natĂŒrlichen Person hergestellt werden kann. „Dabei bezeichnet der Ausdruck ‚personenbezogene Daten‘ alle Informationen, die sich auf eine identifizierte oder identifizierbare natĂŒrliche Person beziehen“, sagt Schmidt mit Verweis auf die DSGVO Art. 4 Nr.1.

Relativer oder absoluter Personenbezug?

Obwohl sich diese Definition in der Theorie simpel anhört, existieren in der Praxis erhebliche Abrenzungsschwierigkeiten: So gab es – und gibt es nach wie vor – unter Experten Streit darĂŒber, ob lediglich eine relative oder aber eine absolute Bestimmbarkeit vorliegen muss, um einen Personenbezug herstellen zu können. „Dabei kommt es darauf an, ob lediglich ein Unternehmen, das Daten speichert, durch diese Daten eine natĂŒrliche Person mithilfe eigener Mittel identifizieren kann, denn dann liegt ein relativ bestimmbarer Personenbezug vor. Oder ob es schon ausreichend ist, wenn irgendein Dritter dazu in der Lage ist, also ein absolut bestimmbarer Personenbezug vorherrscht“, so Schmidt. Das wĂ€re zum Beispiel schon der Fall, wenn man einem Straßennamen nebst Hausnummer die Daten des Einwohnermeldeamtes zusĂ€tzlich zugrunde legt. Und dies unabhĂ€ngig davon, ob ein legaler Zugang zu diesen Daten gegeben ist.

Bisher wurde ĂŒber diese Unterscheidung leidenschaftlich und ergebnisoffen diskutiert. Die DSGVO ist als Unionsrecht jedoch autonom, d.h. aus sich selbst heraus, auszulegen.

Über die Person und
die Expertise der Kanzlei
Björn Schmidt, geboren 1975, studierte von 1996 bis 2001 Rechtswissenschaften an der UniversitĂ€t Konstanz, danach Referendariat am Landgericht Ellwangen. Seit 2003 ist er als Rechtsanwalt am Landgericht Stuttgart zugelassen. Von 2003 bis 2008 angestellter Rechtsanwalt bei SozietĂ€t GĂ€rtner StĂŒber Baumann, anschließend bis 2015 Partner bei GĂ€rtner Baumann RechtsanwĂ€lte. GrĂŒndung der auf Datenschutzrecht spezialisierten Kanzlei Schmidt und Partner RechtsanwĂ€lte Partmbd. Zu den Mandanten gehören namhafte Unternehmen aus dem Geomarketing. Foto: Schmidt und Partner RechtsanwĂ€lte

Damit sind die bisher zum alten Bundesdatenschutzgesetz vorgenommenen Auslegungen nicht mehr ĂŒbertragbar. Vielmehr hat sich die Auslegung an den vom EuGH hierzu entwickelten Methoden zu orientieren. Danach stellt die DSGVO sowohl nach einer systematischen wie auch teleologischen Auslegung lediglich auf einen relativen Personenbezug ab. Daraus folgt, dass sich der Personenbezug in Bezug auf den jeweiligen Verarbeiter bestimmt. Damit können potenziell personenbezogene Daten bei dem einen Verarbeiter im Anwendungsbereich der DSGVO liegen, bei dem anderen nicht. Beispielweise bei der Nutzung von IP-Adressen. Ein absoluter Personenbezug liegt demnach dann vor, wenn „irgendein Dritter“ in der Lage ist, den Personenbezug herzustellen. Dies wĂ€re grundsĂ€tzlich immer der Fall, denn ein Personenbezug ließe sich mit unverhĂ€ltnismĂ€ĂŸigem Aufwand und unter Einbezug von illegalen Methoden fast immer herstellen.

WĂŒrde man nun also die Frage, wann ein Personenbezug bei Geodaten gegeben ist, allein auf die absolute Bestimmbarkeit reduzieren, brĂ€uchte man schlicht nicht mehr nach sach- und personenbezogenem Datum zu unterscheiden. Genau diese Abgrenzung hat der Gesetzgeber jedoch mit der DSGVO auch weiterhin vorgenommen.

Geodaten: Wann sind sie nur Sachdaten und wann haben sie auch einen Personenbezug?

Besitzen Geodaten einen relativen Personenbezug, sollte eine natĂŒrliche Person identifizierbar sein, wobei dazu alle Mittel berĂŒcksichtigt werden, die „nach allgemeinem Ermessen wahrscheinlich genutzt werden können“, so Schmidt. Ob dies der Fall ist, sollte anhand objektiver Faktoren, etwa Kosten oder Zeitaufwand, belegt werden. Ob Geodaten also reine Sachdaten sind oder dieser Personenbezug nach Ermessung des Aufwands vorliegt, ist eine ebenso strittige Frage.

Denn bei Geodaten besteht das Problem, dass ein Personenbezug zu einer georeferenzierten Ortsangabe oder Adresse meist ohne großen Aufwand und fĂŒr jedermann zugĂ€nglich ĂŒber das Internet hergestellt werden kann – etwa ĂŒber Google Street View. Diesen Fall – den relativen Fall des Personenbezugs bei Geodaten – nennt Schmidt Doppelbezug. Ob die Geodaten mit diesem Doppelbezug als personenbezogene Daten eingestuft werden, hĂ€ngt, so der Rechtsanwalt, entscheidend vom jeweiligen Verarbeitungszusammenhang ab.

Somit fallen Geodaten, die eine Sache identifizieren, nur dann in den Schutzbereich der DSGVO, wenn sie auch eine Person-Sach-Beziehung charakterisieren. „Beschreiben die Daten aber eine Sache, zu der nur zufĂ€llig auch natĂŒrliche Personen in Beziehung stehen, zu denen die Verarbeitung der Sachdaten aber in keinerlei Zusammenhang steht, handelt es sich um Sachdaten“, so der Rechtsanwalt.

Ermessungsspielraum beim Geomarketing

Anwendungen im Bereich Geomarketing bilden die Schnittstelle zwischen raumbezogenen Sachdaten und personenbezogenen Daten in besonderem Maße ab. Raumbezogene Sachverhalte wie Bebauung, Klima oder Topographie können naturgemĂ€ĂŸ in vielfĂ€ltige Beziehung zu natĂŒrlichen Personen gesetzt werden. Heute sind Daten am Markt verfĂŒgbar, die sehr kleingliedrig sind und bis auf Hausebene detailliert und strukturiert sind. Solche kleingliedrigen statistischen Angaben – teilweise bis auf Hausebene heruntergebrochen – gibt es heute zu vielen Fragestellungen mit den dazugehörigen Informationen ĂŒber Lebensstandard, Interessen oder Konsumverhalten. „Das heißt, ein Personenbezug in Form der Identifizierbarkeit einer natĂŒrlichen Person wĂ€re ohne weiteres herstellbar“, so Schmidt.

ABER: WĂŒrde man alle Geodaten per se dem Personenbezug zuordnen, wĂ€re grundsĂ€tzlich der Fall des absoluten Bezuges hergestellt. Man wĂŒrde also grundsĂ€tzlich jenseits des Ermessensspielraums davon ausgehen, dass der Personenbezug ohne großen Geld- oder Zeitaufwand recherchierbar wĂ€re. „Dies wĂŒrde die vom Gesetzgeber angegebene Unterscheidung ad absurdum fĂŒhren“, so Schmidt.

Freilich dĂŒrfen auch solche Geodaten nicht in einem Anwendungsfall mit direktem Personenbezug verarbeitet werden. Dies wĂ€re in etwa der Fall, wenn soziodemographische Daten den Wohnort betreffen, bei der BonitĂ€tsprĂŒfung einer Kreditvergabe automatisiert herangezogen werden. Sofern aber kein bewusster personenbezogener Verarbeitungszusammenhang besteht, fallen Geodaten nicht unter die DSGVO. Dazu hat die neue Gesetzesfassung lediglich fĂŒr mehr Klarheit als bisher gesorgt.