Da fasst man sich doch an den Kopf: Im Frankfurter Flughafen möchte der Betreiber Fraport per Smartphone-App und WLAN Bewegungsdaten der Besucher erfassen, speichern und auswerten. Es entstehen Bewegungsprofile. Anhand der Bewegungsdaten lässt sich nachvollziehen, ob und wie lange ein Besucher zwischen dem Check-In und der Sicherheitskontrolle das WC aufgesucht hat.

Fehlender Personenbezug und Schutz der Privatsphäre

Dass sich bei derartigen Daten Fragen des Schutzes der Privatsphäre stellen, sollte eigentlich selbstverständlich sein. Aber nein. Es werden dynamische IP-Adressen erfasst, die eine Identifizierung des Besuchers nicht ohne weiteres zulassen. Lässt sich somit argumentieren, dass es an einem Personenbezug fehlt, heißt dies für Fraport: „Carte Blanche“. Das Datenschutzrecht ist nicht anwendbar, und Fraport unterliegt keinerlei Beschränkungen beim Umgang mit den Daten. Denn alle datenschutzrechtlichen Vorschriften – ob zur Speicherungsdauer, zu Auskunftsrechten oder zur Datensicherheit – setzen einen Personenbezug der Daten voraus.

Simplify your „Datenschutz“:  Go white

Das Datenschutzrecht fußt auf dem antiquierten Verbotsprinzip und kennt daher nur Schwarz und Weiß:

• Schwarz:  Entweder bedarf jedes noch so kleine Bewegungsdatum einer Prüfung auf Herz und Nieren: Ist die Erfassung des Toilettenbesuchs wirklich erforderlich? Reicht eine Lokalisierung im 10-Minuten-Takt nicht aus? Für welche Daten gibt es auch nach dem Abflug des Besuchers noch einen rechtmäßigen Speichergrund?
• Weiß:  Oder das Datum entzieht sich geschickt dem datenschutzrechtlichen „Würgegriff“ mit der Folge, dass ein Flughafenbetreiber mit den Daten tun und lassen kann, was er möchte.

Wegen des Schwarz-Weiß-Prinzips kommt es bei der Diskussion um die Anforderungen an den Personenbezug auf jeden Zungenschlag an. Datenschutzbehörden versuchen seit langem, den Begriff sehr weit zu fassen und jede noch so banale IP-Adresse dem strengen Regiment des Datenschutzrechts zu unterwerfen.

__________
Anzeige:

__________

Mit hessischem Schwert durch den gordischen Knoten

Der Hessische Datenschutzbeauftragte ist von dieser strengen Linie abgewichen und hält das Fraport-Vorhaben für machbar, obwohl es um eine Datenbasis aus IP-Adressen geht. Dies ist durchaus bemerkenswert, wie Carlo Piltz in einem Blogbeitrag festgestellt hat (Piltz, „Hessischer Datenschutzbeauftragter: Dynamische IP-Adresse ist nicht per se ein personenbezogenes Datum“, delegedata.de v. 8.9.2015; kritisch Reto Mantz, „(Dynamische) IP-Adresse als personenbezogenes Datum – Von der Fehlinterpretation der Meldung des hessischen Datenschutzbeauftragten“, offenenetze.de v. 10.9.2015).

Warten auf Ãœberzeugungskraft

Was immer man vom Personenbezug einer IP-Adresse und von der Stellungnahme des Hessischen Datenschutzbeauftragten hält:

Dass Bewegungsprofile regulierungsfrei sein sollen überzeugt ebenso wenig wie eine Überregulierung durch das geltende Datenschutzrecht. Solange es indes bei dem schwarz-weißen Verbotsprinzip bleibt, werden uns sinnfreie Auslegungsdiskussionen weiter begleiten.

Vgl. auch Härting, „Personenbezug: Warum der Auslegungsstreit sinnleer ist“, CRonline Blog v. 3.10.2012.