1. Pseudonymisierung und Anonymisierung nach deutschem Recht
§ 3a Satz 2 BDSG verpflichtet den Datenverarbeiter – soweit möglich und zumutbar – zur Anonymisierung und Pseudonymisierung:
„Insbesondere sind personenbezogene Daten zu anonymisieren oder zu pseudonymisieren, soweit dies nach dem Verwendungszweck möglich ist und keinen im Verhältnis zu dem angestrebten Schutzzweck unverhältnismäßigen Aufwand erfordert.“ (§ 3a Satz 2 BDSG)
Die Pseudonymisierung (§ 3 Abs. 6a BDSG) und die Anonymisierung (§ 3 Abs. 6 BDSG) setzen voraus, dass der Datenverarbeiter Kenntnis von den „Klarnamen“ hat.
Um Pseudonymisierung und Anonymisierung geht es beispielsweise, wenn in großem Umfang Gesundheitsdaten ausgewertet werden, um die Behandlung von Krankheiten zu optimieren und Kosten zu senken. Wenn es zu einer solchen Auswertung anoymisierter bzw. pseudonymisierter Daten kommt (vgl. aktuell „How Big Data Is Changing the Whole Equation for Business“, The Wall Street Journal v. 8.3.2013), besteht die Notwendigkeit, die Daten gegen eine Re-Identifizierung zu schützen.
2. Pseudonyme und anonyme Nutzung nach deutschem Recht
§ 13 Abs. 6 Satz 1 TMG verpflichtet den Anbieter von Onlinediensten, die anonyme oder pseudonyme Nutzung des Dienstes – soweit möglich und zumutbar – zu ermöglichen:
“Der Diensteanbieter hat die Nutzung von Telemedien und ihre Bezahlung anonym oder unter Pseudonym zu ermöglichen, soweit dies technisch möglich und zumutbar ist.” (§ 13 Abs. 6 Satz 1 TMG)
Bei der pseudonymen bzw. anonymen Nutzung werden dem Diensteanbieter die „Klarnamen“ von vornherein nicht bekannt. Dies ist der grundlegende Unterschied zu § 3a Satz 2 BDSG.
Bei der pseudonymen und anoymen Nutzung von Diensten sind Persönlichkeitsrechte durch eine (theoretisch mögliche) Identifizierung allenfalls marginal gefährdet. Wesentlich problematischer ist das „diffuse Bedrohlichkeitsgefühl“ (BVerfG, Urt. v. 11.3.2010 – 1 BvR 256/08 (u.a.), CR 2010, 232 (239) Ziffer V.3.a)aa) m. Anm. Heun), das durch die heimliche Speicherung und Auswertung von „Datenspuren“ entsteht. Hier bedarf es vor allem gesetzlicher Transparenzvorschriften (vgl. Härting, „Mythen der EU-Datenschutzreform: ‚Pseudonyme Nutzung'“, CRonline Blog v. 1.2.2013).
2 Kommentare
Sehr geehrter Herr Prof. Härting,
woher nehmen Sie diese Ansicht? Warum soll § 13 Abs. 6 BDSG nicht auf die Legaldefinitionen des § 3 BDSG zurückgreifen?
Bedeutet die pseudonyme Nutzung nicht vielmehr, dass dem Diensteanbieter der Klarname oder andere personenbezogene Daten (wie z.B. nach wohl h.M. die Emailadresse) bekannt sind, der Nutzer aber gegenüber dritten Dienstenutzern unter einem Pseudonym auftritt?
Wenn dem Diensteanbieter schon keine personenbezogenen Daten bekannt sind, kommt von vornherein nur eine anonyme Nutzung in Betracht. In diesem Szenario wäre also die Formulierung des § 13 Abs. 6 TMG mit dem Abstellen auf anonyme ODER pseudonyme Nutzung unsinnig.
Pseudonymisierung ist eben etwas anderes als „Nutzung unter Pseudonym“.
Und: Die anonyme Nutzung unterscheidet sich nur graduell von der pseudonymen Nutzung, da eine De-Anonymisierung vielfach möglich ist, vgl. http://www.cr-online.de/blog/2013/03/27/viviane-reding-besorgt-bei-pseudonymitat-sorglos-bei-anonymitat/