Hamburgisches - Hamburgische Beauftragte für Datenschutz und

Eine weitere im Bereich der Statistik verwandte Methode, die Bestimmbarkeit
der Bezugspersonen aufzuheben, besteht darin, in kontrollierter Weise
Fehler in den Datenbestand einzubauen (vgl. zum Ganzen Simitis, BDSG,
7. Aufl., § 3 Rn 206 ff.).
Insbesondere bei komplexeren Datensätzen lässt sich zumeist keine absolute,
sondern nur eine faktische Anonymisierung erreichen. Wenn Daten
nicht absolut anonym sind, sondern nur im Hinblick auf den unverhältnismäßigen
Aufwand einer Personenbestimmung, so ist zu bedenken, dass
sich dieser Aufwand im Zeitverlauf verändern kann, z.B. durch nun (leichter)
verfügbares Zusatzwissen, nachträgliche Veröffentlichungen von
Daten, welche eine Zuordnung ermöglichen, oder neue automatisierte
Datenverarbeitungsverfahren. Ein Beispiel ist die Anonymität von DNA-Sequenzen:
Je verbreiteter genetische Untersuchungen nicht nur in der
Forschung, sondern auch in der (personenbezogenen) Diagnostik werden,
desto größer das Risiko, dass DNA-Vergleiche z.B. in forschenden Universitätskliniken
zu einer Identifizierbarkeit der Person führen, von der die
Probe stammt.
Nur faktisch anonymisierte Daten sind daher zwar aktuell nicht personenbezogen,
aber doch potentiell personenbezogen (vgl. Simitis, BDSG,
7. Aufl., § 3 Rn 36). Der Begriff des Anonymisierens schließt somit ein
gewisses Restrisiko der Reidentifizierung ein (vgl. Däubler/Klebe/Wedde/
Weichert, BDSG, 3. Aufl., § 3 Rn 50).
Diesem Risiko der Reidentifizierung muss durch geeignete technische und
organisatorische Maßnahmen Rechnung getragen werden. So müssen
Schutzmaßnahmen gegen unbefugten Zugang und zur Sicherung der
Integrität ergriffen werden. Getroffene technische und organisatorische
Maßnahmen müssen regelmäßig auf ihre anhaltende Wirksamkeit geprüft
werden und bei der Übermittlung oder Veröffentlichung anonymisierter Datenbestände
muss berücksichtigt werden, dass solche Datenbestände,
auch wenn sie für sich genommen anonym sind, im Verhältnis zu anderen,
ähnlich hergestellten Datenbeständen gerade das Zusatzwissen enthalten
können, das eine Identifizierung von Bezugspersonen mit geringerem Aufwand
ermöglichen kann. Die für eine statistische Datenbank oder ein sozialwissenschaftliches
Archiv verantwortliche Stelle muss daher den Umlauf
von Versionen, die im Zusammenspiel eine Bestimmbarkeit der Betroffenen
mit verhältnismäßigem Aufwand ermöglichen könnten, genau kontrollieren,
z.B. indem solche Datenbestände nur für begrenzte Zeit zur
Verfügung gestellt werden (vgl. zum Ganzen Simitis, BDSG, 7. Aufl.; § 3 Rn
36 und 211). Nicht mehr erforderliche anonymiserte Daten sollten daher
gelöscht werden, um jedwede Reidentifizierungsgefahr auszuschließen.
67