iusNet Digitales Recht und Datenrecht

Schulthess Logo

Pseudonymisierung

Anonymisierung und Pseudonymisierung unter der DSGVO

Fachbeitrag
Sind Empfänger von pseudonymisierten Personendaten nach dem Entscheid der Vorinstanz des EuGH Bearbeiter von Personendaten oder von anonymisierten Daten, wenn sie keine realistische oder legale Möglichkeit haben, an den Re-Identifizierungsschlüssel zu gelangen? Nach konstanter europäischer Rechtsprechung sind vom Verantwortlichen pseudonmysierte Daten für den Datenempfänger keine personenbezogene Daten, vorausgesetzt der Empfänger kann eine betroffene Person nicht Re-Identifizieren. Wenn der Datenempfänger nicht über zusätzliche Informationen verfügt, die eine Re-Identifizierung der betroffenen Personen ermöglichte und ihm keine rechtlichen Mittel zur Verfügung stehen, um auf solche Informationen zuzugreifen, können die übermittelten Daten als anonymisiert und somit als nicht Personendaten betrachtet werden.
Denis F. Berger
iusNet DigR 25.05.2023

Was sind Personendaten nach der DSGVO?

Fachbeitrag
DSGVO
Der Europäische Gerichtshof (EuGH) befasste sich mit der Frage, ob die Fahrzeug-Identifizierungsnummer (FIN) als personenbezogenes Datum gilt. Im Fokus stand, ob Fahrzeughersteller gemäss EU-Recht die FIN unabhängigen Wirtschaftsakteuren zugänglich machen müssen. Der EuGH bestätigte, dass die FIN selbst kein personenbezogenes Datum ist, aber unter bestimmten Bedingungen, wie in der Zulassungsbescheinigung, zu einer solchen werden kann. Die Entscheidung betont, dass die Identifizierungsmöglichkeiten im Einzelfall bewertet werden müssen, und unterstützt eine differenzierte Herangehensweise zum Datenschutz. Weiterhin stellte der EuGH fest, dass die Bereitstellung der FIN an unabhängige Wirtschaftsakteure durch unionsrechtliche Bestimmungen als "rechtliche Verpflichtung" gilt, die im öffentlichen Interesse und daher legitim ist.
Denis F. Berger
iusNet DigR 30.11.2023

Anonymisierung / Pseudonymisierung – was sind die Risiken?

Fachbeitrag
DSGVO
Data Governance und Compliance
Im Zusammenhang mit Möglichkeiten der Datenbearbeitung spricht man häufig von "Pseudonymisierung". Es gibt hier aber viele Missverständnisse: Pseudonymisierung ist eine grundlegende Methode zum Mindern von Datenschutzrisiken. Die Europäische Datenschutz-Grundverordnung (DSGVO; Englisch: General Data Protection Regulation, GDPR) definiert sie sinngemäss als die Verarbeitung personenbezogener Daten in einer Weise, dass diese Daten ohne Hinzuziehen zusätzlicher Informationen nicht mehr einer bestimmten Person zugeordnet werden können. Der Unterschied zur "Anonymisierung" besteht darin, dass bei der Anonymisierung persönliche Identifikatoren entfernt werden, Daten aggregiert werden oder diese Daten so bearbeitet (im "DSGVO-Jargon": "verarbeitet") werden, dass sie nicht mehr einer bestimmten oder bestimmbaren Person zugeordnet werden können. Im Gegensatz zu anonymisierten Daten gelten pseudonymisierte Daten nach DSGVO als personenbezogene Daten. Darum ist zwischen diesen beiden Konzepten stets klar zu unterscheiden.
Alesch Staehelin
iusNet DigR 28.09.2023

Rechtsgrundlage für die Offenlegung von Daten zur Rechnungslegung im Bereich der beruflichen Vorsorge

Fachbeitrag
DSG

Art. 86a Abs. 5 lit. a und Abs. 6 BVG als Rechtsgrundlage für den Datenaustausch zwischen Pensionskassen und Dritten

Im Rahmen der Revision des DSG sind Pensionskassen gehalten, ihre Datenbearbeitungsprozesse und insbesondere auch die Rechtsgrundlage für Datenübermittlungen neu zu überprüfen. Die Pensionskassen unterstehen im Bereich der obligatorischen beruflichen Vorsorge den Datenbearbeitungsvorschriften der Bundesorgane und benötigen daher für jede Übermittlung von Personendaten eine Rechtsgrundlage, soweit sie die obligatorische berufliche Vorsorge durchführen (Art. 19 DSG und Art. 36 nDSG). Im überobligatorischen Bereich braucht es keine spezifische Rechtsgrundlage. Pensionskassen können Dritten gestützt auf Art. 86a Abs. 5 lit. a und Abs. 6 BVG sämtliche Daten als "nicht personenbezogene Daten" übermitteln, die nicht klar auf einen bestimmten Arbeitnehmer schliessen lassen und die notwendig sind, damit der Dritte im Auftrag des Arbeitgebers die zur korrekten Bilanzierung der Pensionsverpflichtungen erforderlichen aktuariellen Bewertungen vornehmen kann.
Johanna A. Moesch
Evelyn Schilter
iusNet DigR 28.02.2022

Österreichischen Datenschutzbehörde befindet Google Analytics als nicht DSGVO-konform

Rechtsprechung
DSGVO
Die Organisation None Of Your Business (NOYB) veröffentlichte am 13. Januar 2022 einen Entscheid der österreichischen Datenschutzbehörde vom 22. Dezember 2021, wonach die Nutzung von Google Analytics gegen die Datenschutz-Grundverordnung verstösst. Die Aufsichtsbehörde kam zum Ergebnis, dass die Übermittlung von Daten an Google LLC mit Sitz in den USA, nicht dem Schutzniveau der DSGVO entspricht. Die zusätzlich zu den Standardvertragsklauseln implementierten vertraglichen, organisatorischen und technischen Massnahmen genügten nicht, um Überwachungs- und Zugriffsmöglichkeiten durch US-Nachrichtendienste zu beseitigen.
iusNet DigR 28.02.2022

Neue Rechtsprechung zur Anonymisierung und Pseudonymisierung von Personendaten

Kommentierung
Data Governance und Compliance
DSG
DSGVO
Sowohl in der schweizerischen als auch in der europäischen Rechtsprechung wird der Begriff von Personendaten sehr weit verstanden. Die technischen Anforderungen an die Anonymisierung und Pseudonymisierung sind sehr hoch und entsprechend durch den Verantwortlichen zu beweisen. Der Europäischen Datenschutzausschuss hält in seinem vor kurzem ergangenen Entscheid gegen WhatsApp fest, dass die Motivation, vermeintlich pseudonymisierte oder anonymisierte Daten nicht reidentifizieren zu wollen, nicht relevant sei.
iusNet DigR 23.11.2021

Mangelhaft pseudonymisierte Daten bleiben Personendaten

Rechtsprechung
DSG
Data Governance und Compliance
Datenschutzverletzungen

Handelsgericht Zürich (HG190107-O) v. 04.05.2021

Gegenstand des Urteils des Handelsgerichts Zürich vom 4. Mai 2021 war die geplante Übermittlung von pseudonymisierten Bankkundendaten, genauer von wirtschaftlich Berechtigten Personen, an US-Behörden. Auslöser der geplanten Datenübermittlung war die Teilnahme der beklagten Bank am vom US Department of Justice (DoJ) eingerichteten «Program for Non-Prosecution Agreements or Non-Target Letters for Swiss Banks» (DoJ Program) aus dem Jahre 2013 bzw. im Januar 2016 abgeschlossenen «Non-Prosecution Agreement» (NPA). Die Kläger wollten mit der Klage am Handelsgericht diese Datenübermittlung verhindern.
iusNet DigR 23.11.2021

Pseudonymisierung von Bankkundendaten

Fachbeitrag
Die Rechtsnatur pseudonymisierter Bankkundendaten ist lange unklar geblieben. Nach jüngster Rechtsprechung sind solche Daten prinzipiell aus Sicht des Empfängers weder vom DSG noch vom Bankgeheimnis geschützt, sofern die Pseudonymisierung die Wiedererkennung der betroffenen Kunden wirksam verhindert. Angesichts der einschlägigen Rechtsprechung sind jedoch bestimmte Vorsichtsmassnahmen (namentlich eine gründliche Risikobewertung) vor der Weitergabe pseudonymisierter Bankkundendaten empfehlenswert.
digma 4/2020

Löschen und doch nicht löschen

Fachbeitrag

Werden Personendaten nicht mehr benötigt, sind sie zu löschen. In der Praxis bereitet das enorme Schwierigkeiten.

Die Pflicht zu Löschen ist unbestritten. Doch was bedeutet «Löschen» wirklich? Die Antwort liefert der Begriff des «Personendatums»: Löschen bedeutet nicht, dass es unter keinen Umständen mehr möglich ist, an die gelöschten Daten zu gelangen. Es genügt bereits, wenn sich Personendaten nur noch mit unverhältnismässigen Mitteln wiederherstellen lassen. Eine Anonymisierung von Personendaten genügt damit ebenso wie andere Verfahren, bei denen mit aller Wahrscheinlichkeit verhindert wird, dass die betroffenen Personen re-identifiziert werden können. Das wiederum hängt davon ab, wie hoch das Interesse an einer Re-Identifikation ist und welche Methoden hierfür zur Verfügung stehen. Dies wiederum hängt zum Beispiel davon ab, wie sensitiv die Daten sind. Sind Daten in einem System zwar noch vorhanden, kann das Unternehmen (und wer sonst noch Zugang dazu hat) aber mit verhältnismässigem Aufwand nicht mehr an sie gelangen, gelten sie als gelöscht. Es ist von einer «logischen» Löschung die Rede.
digma 4/2019