Keine Identifizierung Betroffener um jeden Preis?
Nach Art. 10 Abs. 1 DS-GVO soll der für die Verarbeitung Verantwortliche nicht allein aus Gründen der Einhaltung der Vorschriften der DS-GVO verpflichtet sein, zusätzliche Informationen zu erheben und zu verarbeiten, wenn die bei ihm vorhandenen Daten keinen Rückschluss auf einen Betroffenen zulassen.
Die Vorgaben der Vorschrift scheinen etwas verwirrend. Denn zum einen geht sie, wie DS-GVO insgesamt, davon aus, dass personenbezogene Daten verarbeitet werden. Sonst wäre sie überhaupt nicht anwendbar. Auch in Satz 1 heißt es, dass der für die Verarbeitung Verantwortliche „personenbezogene Daten“ verarbeitet. Der Rückschluss auf eine natürliche Person muss also denklogisch möglich sein. Den für die Verarbeitung Verantwortlichen dann nicht verpflichten zu wollen, zusätzliche Informationen zusammen, um den Betroffenen identifizieren zu können, erscheint widersinnig, da diese Möglichkeit ja ohnehin besteht. Sonst würde es sich nicht um personenbezogene Daten handeln.
Die Vorschrift scheint für Fälle zu gelten, in denen bei einem für die Verarbeitung Verantwortlichen vorhandene Informationen noch nicht den Rückschluss auf eine natürliche Person zulassen. In diesem Fall soll er nicht verpflichtet werden, zusätzliche Informationen zu sammeln, damit diese nicht personenbezogenen Daten einen Personenbezug aufweisen. Ein weiterer Zweck der Vorschrift könnte sein, dass früher einmal personenbezogene Daten verarbeitet wurden, dieser Personenbezug mit der Zeit entfallen ist und in dieser Situation es dem für die Verarbeitung Verantwortlichen möglich sein soll, nicht nur um im Anwendungsbereich der Verordnung zu bleiben zusätzliche Informationen zu verarbeiten, um den Personenbezug herzustellen.
Betrachtet man in Ergänzung Erwägungsgrund 45, so spricht einiges dafür, dass Art. 10 sich gar nicht auf vorhandene personenbezogene Daten bezieht (dann stellt sich jedoch überhaupt die Frage nach der Sinnhaftigkeit der Existenz des Artikels, in einer Verordnung, die erst anwendbar ist, wenn personenbezogene Daten verarbeitet werden).
Erwägungsgrund 45 spricht nämlich nur von „Daten“ die von dem für die Verarbeitung Verantwortlichen verarbeitet werden. Wenn diese Daten keine Rückschlüsse auf eine natürliche Person zulassen, soll der für die Verarbeitung Verantwortliche nicht verpflichtet sein, zusätzliche Informationen zu erheben und zu verarbeiten, um die betroffene Person identifizieren und damit den Vorgaben dieser Verordnung entsprechen zu können.
Noch etwas verwirrender wird es, wenn man Art. 10 Abs. 2 DS-GVO betrachtet. Danach soll der für die Verarbeitung Verantwortliche, dem der Nachweis möglich ist, dass er eine betroffene Person nicht identifizieren kann, diese betroffene Person hierüber in Kenntnis setzen.
Man stellt sich freilich unweigerlich die Frage, wie die betroffene Person, die ja für den für die Verarbeitung Verantwortlichen nicht identifizierbar ist, von diesem nun informiert werden soll? Per öffentlichem Hinweis auf einer Internetseite zum Beispiel?
In einem solchen Fall sollen die Rechte der Betroffenen (etwa auf Auskunft und Berichtigung) nicht gelten, es sei denn, wenn der Betroffene gerade für den Zweck der Ausübung dieser Rechte zusätzliche Informationen zur Verfügung stellt, damit er durch den für die Verarbeitung Verantwortlichen identifiziert werden kann.
Meines Erachtens wird diese Vorschrift in der Praxis noch für einige Unstimmigkeiten und Auslegungsschwierigkeiten sorgen.