Anonymisierung im Datenschutzrecht…
Anonymisierung bezeichnet den Vorgang, bei dem Daten so verändert werden, dass nicht mehr auf die betroffene Person geschlossen werden kann. Der Masstab ist aber nicht absolut: Entscheidend ist, dass der Personenbezug mit vernünftigem Aufwand nicht mehr hergestellt werden kann. Das ergibt sich aus der Definition des “Personendatums”: Die Anonymisierung ist der Vorgang, der dazu führt, dass ein bestimmtes Datum nicht mehr unter die Legaldefinition des Personendatums fällt. Dafür aber gilt auch nach der DSGVO ein relativer Masstab, wie sich insb. in Erwägungsgrund 26 zeigt:
Um festzustellen, ob eine natürliche Person identifizierbar ist, sollten alle Mittel berücksichtigt werden, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die natürliche Person direkt oder indirekt zu identifizieren.
Folglich gilt dieser relative Masstab (siehe dazu hier) auch für die Anonymisierung (auch im schweizerischen Datenschutzrecht; s. zum Begriff des Personendatums den Logistep-Entscheid und zur Anonymisierung den Entscheid VPB 70.73).
Für die Pseudonymisierung (Art. 4 Abs. 5 DSGVO) gilt im Grundsatz dasselbe, doch ist der Blickwinkel ein anderer: Ob ein Datum personenbezogen ist, wird hier nicht abstrakt, sondern aus der Perspektive bestimmter Personen betrachtet – für diejenige Person, die nicht über den Schlüssel verfügt, ist das Personendatum im Ergebnis ein jedenfalls vorläufig anonymes Datum (was im Gegensatz zur Anonymisierung allerdings noch nicht aus dem Anwendungsbereich der DSGVO hinausführt).
… und im Persönlichkeitsrecht
Das gilt im Datenschutzrecht – in der Berichterstattung der Medien gilt aber eine andere Vorstellung der Anonymisierung. Damit hatte sich der Presserat kürzlich (nicht zum ersten Mal) zu beschäftigen (Stellungnahme 32/2016):
Der «Beobachter» publizierte am 25. November 2015 einen Schwerpunkt zum Thema Anabolika. Auf neun Seiten beschrieb das Magazin, wie gross dieser Markt sei, zeigte den Zusammenhang mit der wachsenden Fitness-Industrie und informierte über die Gefährlichkeit von Anabolika und anderer Drogen. Zwei Text-Abschnitte illustrierten gestützt auf eine Anklageschrift, mit welchen Methoden ein Dealer operierte.
Dieser als Beispiel aufgeführte Mann beschwerte sich beim Presserat: Er sei im Artikel zu wenig anonymisiert worden, sein Umfeld habe erkennen können, dass er gemeint sei. Der Presserat lehnt diesen Einwand ab: Da der «Beobachter» den Vornamen änderte und vom Nachnamen nur den ersten Buchstaben nannte, respektierte er die Privatsphäre des Beschwerdeführers genügend. Damit konnte höchstens noch das nächste Umfeld erkennen, um wen es sich handelt, nicht aber Dritte, die nur durch die Medien vom Vorgang erfuhren.
[…]
Der Grund dafür liegt aber nicht – oder jedenfalls nicht alleine – darin, dass an der Tätigkeit der Medien ein öffentliches Interesse unterstellt und folglich ein anderer Masstab angelegt wird. Es geht vielmehr um einen konzeptionellen Unterschied zwischen dem Datenschutz- und dem allgemeinen Persönlichkeitsrecht:
- Eine Persönlichkeitsverletzung setzt eine gewisse Eingriffsintensität voraus oder, anders formuliert, eine konkrete Beeinträchtigung, die nur aufgrund der Umstände festzustellen ist und bei deren Beurteilung z.B. die Sozialadäquanz des zu prüfenden Verhaltens zu berücksichtigen ist (mit anderen Worten: gewisse Beeinträchtigungen sind im sozialen Nahbereich als unvermeidbar hinzunehmen).
- Das ist im Datenschutzrecht anders: Bei einer Verletzung der Bearbeitungsgrundsätze wird eine Persönlichkeitsverletzung nicht nur vermutet, sondern fingiert, wie sich in Art. 12 Abs. 2 DSG zeigt. Was im Persönlichkeitsrecht noch akzeptabel ist, ist es im Datenschutzrecht deshalb nicht unbedingt, weil eine Verletzung rascher vorliegt und die Zulässigkeit deshalb von einer Rechtfertigung abhängig ist. Es gibt hier also auf der Tatbestandsebene keine Grauzone – erst im Bereich der Rechtfertigung, was materiell auf dasselbe hinauslaufen mag; aber die Beweislast für die Tatsachen, die zu einer Rechtfertigung führen, liegt hier nicht beim Verletzten, sondern beim Verletzer. Unter anderen aus diesem Grund ist die Frage des Verhältnisses des Datenschutz- zum allgemeinen Persönlichkeitsrecht im Medienbereich eine wichtige Frage, wobei das Datenschutzrecht m.E. auf die Medien Anwendung finden sollte (vgl. dazu dieses Referat).