Auskunft ohne vorhandenen Identifikator: Muss der Verantwortliche neu zuordnen?

Ein Auskunftsbegehren setzt nicht voraus, dass jedes Unternehmen für jede Anfrage erst einen neuen Identifikator beschafft. Art. 11 DSGVO knüpft die Pflichten an die Frage, ob die betroffene Person für den konkreten Verarbeitungszweck überhaupt identifiziert werden muss. Kann der Verantwortliche eine Person trotz angemessener Prüfung nicht zuordnen, greifen die Betroffenenrechte nach den Artikeln 15 bis 20 grundsätzlich erst wieder, wenn zusätzliche Informationen eine Identifizierung ermöglichen.

Das ist keine pauschale Auskunftssperre. Ein Verantwortlicher darf eine fehlende Zuordnung nicht mit schlechter Ablage oder einer unvollständigen Suche begründen. Entscheidend sind die Daten, Mittel und Informationen, die für den Verantwortlichen tatsächlich verfügbar sind sowie die zusätzlichen Angaben, die die anfragende Person noch bereitstellen kann.

Art. 11 DSGVO gilt für Verarbeitungen, bei denen die Identifizierung der betroffenen Person für den Verarbeitungszweck nicht erforderlich ist oder nicht mehr erforderlich ist. In dieser Konstellation muss der Verantwortliche nicht allein zur Einhaltung der DSGVO zusätzliche Informationen aufbewahren, einholen oder verarbeiten, um eine Person zu identifizieren. Die Norm schützt damit eine datenminimierende Organisation und verlangt keinen künstlichen Aufbau eines Identifikationssystems.

Kann der Verantwortliche in diesem Fall nachweisen, dass er die betroffene Person nicht identifizieren kann, muss er sie darüber informieren, soweit das möglich ist. Für die Artikel 15 bis 20 gilt dann grundsätzlich: Sie finden keine Anwendung, außer die betroffene Person stellt zusätzliche Informationen bereit, die ihre Identifizierung ermöglichen. Die Prüfung endet daher nicht bei der Frage, ob ein Name in einer Datenbank fehlt.

Die erste Frage lautet, ob der konkrete Zweck eine Zuordnung zu einer natürlichen Person verlangt. Ein System kann etwa Messwerte, technische Ereignisse oder statistische Datensätze führen, ohne dass der Verantwortliche für diesen Zweck die dahinterstehende Person kennen muss. Anders liegt es, wenn die Verarbeitung auf einem Kundenkonto, einem Vertrag, einer Personalakte oder einem individuellen Nutzerprofil beruht und die Zuordnung für den Zweck benötigt wird.

Dabei kommt es auf die tatsächliche Organisation an. Ein Verantwortlicher darf die Identifizierungsschwelle nicht durch eine rein formale Bezeichnung der Daten herabsetzen. Sind Zuordnungstabellen, Kontaktdaten oder andere verfügbare Informationen vorhanden, müssen sie in die Prüfung einbezogen werden. Die Frage ist, ob mit den vorhandenen Mitteln eine vernünftige Zuordnung möglich ist, nicht ob ein bestimmtes Feld als Identifikator bezeichnet wurde.

Die Prüfung des Zwecks ist von der Identitätskontrolle der anfragenden Person zu trennen. Ein Unternehmen kann sicher wissen, wer den Antrag stellt und dennoch nicht wissen, welche pseudonymen Datensätze dieser Person zuzuordnen sind. Umgekehrt kann ein Datensatz zuordenbar sein, während der Kommunikationsweg des Antragstellers noch abgesichert werden muss.

Vor einer Antwort sollten die tatsächlich verfügbaren Zuordnungsmittel feststehen. Dazu können je nach Verarbeitung eine Kontonummer, eine getrennt gespeicherte Zuordnungstabelle, ein Nutzerkonto, ein Vertrag, eine E-Mail-Adresse, eine Gerätekennung oder eine interne Referenz gehören. Die bloße Existenz eines technischen Codes beantwortet noch nicht, ob der Verantwortliche ihn einer Person zuordnen kann.

Pseudonymisierte Daten bleiben personenbezogene Daten, wenn der Verantwortliche oder eine andere Stelle mit verfügbaren Zusatzinformationen einen Personenbezug herstellen kann. Für Art. 11 ist deshalb zu klären, ob solche Zusatzinformationen beim Verantwortlichen liegen, rechtmäßig genutzt werden dürfen und für den konkreten Zweck tatsächlich zur Verfügung stehen. Ein fehlender Name im Hauptsystem genügt als Begründung nicht, wenn eine nutzbare Zuordnung daneben vorhanden ist.

Gibt es keine verfügbare Verbindung und ist die Identifizierung für den Zweck nicht erforderlich, verlangt Art. 11 keinen nachträglichen Abgleich nur wegen eines Betroffenenbegehrens. Eine Organisation muss ihre Datenminimierung nicht rückgängig machen, um neue personenbezogene Informationen zu erzeugen. Das Ergebnis dieser Prüfung gehört jedoch nachvollziehbar in die Bearbeitungsdokumentation.

Eine allgemeine Pflicht, für jedes Auskunftsbegehren neue Identifikatoren zu beschaffen oder getrennte Datensätze nachträglich zusammenzuführen, folgt aus Art. 11 DSGVO nicht. Die Vorschrift stellt gerade klar, dass zusätzliche Informationen zur Identifizierung nicht allein zur bloßen Einhaltung der Verordnung aufbewahrt, eingeholt oder verarbeitet werden müssen, wenn die Identifizierung für den Zweck nicht erforderlich ist.

Diese Grenze erlaubt keine selbst herbeigeführte Unkenntnis. Wenn die Daten aufgrund der normalen Verarbeitung mit angemessenem Aufwand zugeordnet werden können, ist die vorhandene Information zu berücksichtigen. Ebenso darf ein Unternehmen nicht bloß auf eine unzureichende Suchroutine, einen verspätet eingebundenen Fachbereich oder eine getrennte Ablage verweisen. Organisatorische Unordnung ersetzt den Nachweis fehlender Identifizierbarkeit nicht.

Für die Praxis hilft eine klare Trennung: Erstens wird geprüft, welche Informationen beim Verantwortlichen vorhanden und nutzbar sind. Zweitens wird ermittelt, welche begrenzte Zusatzinformation die betroffene Person liefern könnte. Drittens wird dokumentiert, ob die Zuordnung danach möglich ist. Nur der erste Schritt darf nicht durch eine freiwillige Neukonstruktion eines Identifikators ersetzt werden.

Stellt die betroffene Person zusätzliche Informationen bereit, die eine Identifizierung ermöglichen, ist die Art.-11-Ausgangslage neu zu bewerten. Die Angaben müssen einen konkreten Bezug zu den gespeicherten Daten herstellen können. Eine bloße Behauptung, die Daten gehörten zu einer Person, ersetzt die erforderliche Zuordnung nicht.

Die Rückfrage sollte deshalb genau beschreiben, welche Verbindung fehlt. Je nach Fall kann es um ein früher verwendetes Kundenkonto, einen Zeitraum, eine Transaktionsreferenz oder einen bereits bekannten Kommunikationskanal gehen. Die Anfrage darf auf das Erforderliche begrenzt bleiben. Eine pauschale Ausweiskopie ist nicht automatisch der passende nächste Schritt.

Ermöglichen die Zusatzangaben die Identifizierung, sind die Betroffenenrechte nach den Artikeln 15 bis 20 anhand des konkreten Begehrens zu prüfen. Das bedeutet nicht, dass jede gewünschte Information automatisch herauszugeben ist. Umfang, Rechte anderer Personen, Ausnahmen und die verständliche Antwort bleiben gesondert zu bewerten.

Art. 11 DSGVO verlangt bei nachgewiesener fehlender Identifizierbarkeit eine Information der betroffenen Person, soweit dies möglich ist. Diese Mitteilung sollte die konkrete Grenze erklären: Welche Daten konnten geprüft werden, welche Zuordnung fehlt und welche zusätzlichen Angaben könnten eine neue Prüfung ermöglichen? Eine formelhafte Antwort ohne tatsächlichen Befund hilft der anfragenden Person nicht.

Für ein als Betroffenenbegehren erkennbares Schreiben sind außerdem die allgemeinen Modalitäten aus Art. 12 DSGVO zu beachten. Der Eingang, die erste Zuordnungsprüfung, jede Rückfrage und die spätere Antwort sollten mit Zeitstempel festgehalten werden. Eine Organisation sollte die Monatsfrist nicht erst dann betrachten, wenn sie die Anfrage intern an die richtige Stelle weitergeleitet hat.

Ob eine Rückfrage die weitere Bearbeitung beeinflusst, hängt vom konkreten Sachverhalt und davon ab, welche Angaben für die Identifizierung wirklich erforderlich sind. Eine zusätzliche Information darf nicht als pauschaler Friststopp eingesetzt werden. Entscheidend ist eine dokumentierte, verhältnismäßige Prüfung des Eingangs und des weiteren Ablaufs.

Für den Nachweis genügt ein interner Satz wie „kein Identifikator vorhanden“ meist nicht. Sinnvoll ist ein kurzer Suchvermerk mit Verarbeitungszweck, betroffenen Datenbeständen, verwendeten Suchmerkmalen, vorhandenen Zuordnungstabellen und dem Ergebnis. Daraus muss hervorgehen, ob bestimmte Quellen nicht existieren, nicht mehr verfügbar sind oder für den Zweck nicht genutzt werden dürfen.

Die Dokumentation soll die betroffene Person nicht mit internen technischen Einzelheiten überladen. Sie muss intern aber erkennen lassen, warum eine Zuordnung möglich, nicht möglich oder erst nach einer Zusatzangabe möglich war. Auch eine spätere Änderung der Einschätzung sollte mit dem auslösenden neuen Umstand festgehalten werden.

So lässt sich die Anfrage von anderen Auskunftsfragen abgrenzen. Die bestehende Übersicht zu Identität, Frist und Datenkopie behandelt den allgemeinen Ablauf eines Auskunftsbegehrens. Bei Daten Dritter kann zusätzlich die Prüfung von Schwärzungen erforderlich sein.

Art. 11 DSGVO betrifft die Identifizierbarkeit für den Verarbeitungszweck. Davon zu unterscheiden ist die Frage, ob das Unternehmen die Person hinter dem aktuellen Antrag ausreichend abgesichert hat. Eine sichere Kommunikation schützt vor einer Offenlegung an die falsche Person, stellt aber nicht automatisch eine Zuordnung pseudonymer Daten her.

Auch eine echte Anonymisierung ist anders zu beurteilen als eine bloße Pseudonymisierung. Bei anonymen Daten fehlt der Personenbezug; bei pseudonymen Daten kann er mit verfügbaren Zusatzinformationen fortbestehen. Für die Abgrenzung hilft die Einordnung von Anonymisierung und Pseudonymisierung. Bei technischen Identitätsverfahren ist die Prüfung von Videoidentifizierung und biometrischen Daten ein gesondertes Thema.

Die Antwort sollte diese Ebenen nicht vermischen. Ein Unternehmen kann eine Zusatzangabe für die Zuordnung benötigen, ohne eine biometrische Identifizierung einzusetzen. Umgekehrt kann ein sicher verifizierter Antragsteller keine Auskunft über Daten verlangen, die der Verantwortliche auch nach sorgfältiger Prüfung keiner Person zuordnen kann.

Muss ein Unternehmen für jede Anfrage einen neuen Identifikator anlegen? Nein. Art. 11 DSGVO verpflichtet den Verantwortlichen nicht dazu, zusätzliche Informationen allein zur Identifizierung und zur bloßen Einhaltung der Verordnung aufzubewahren, einzuholen oder zu verarbeiten, wenn die Identifizierung für den Verarbeitungszweck nicht erforderlich ist.

Reicht ein fehlender Name im System für eine Ablehnung? Nein. Es muss geprüft werden, ob andere verfügbare Informationen eine Zuordnung ermöglichen. Eine unvollständige Suche oder eine schlechte interne Ablage ersetzt den Nachweis fehlender Identifizierbarkeit nicht.

Was kann die betroffene Person tun, wenn die Zuordnung fehlt? Sie kann zusätzliche Informationen bereitstellen, die eine Identifizierung ermöglichen. Welche Angabe geeignet ist, hängt von den vorhandenen Daten und dem konkreten Verarbeitungszweck ab.

Gilt Art. 11 nur für Auskunftsbegehren? Nein. Art. 11 bezieht sich auf die Identifizierung bei der Verarbeitung und nennt die Betroffenenrechte nach den Artikeln 15 bis 20 als Rechtsfolge der fehlenden Identifizierbarkeit.

Muss bei fehlender Identifizierbarkeit immer eine Ausweiskopie verlangt werden? Nein. Zusätzliche Informationen dürfen auf die erforderliche Identifizierung begrenzt werden. Eine Ausweiskopie ist weder automatisch notwendig noch für jede Datenverarbeitung passend.

Bei einem Auskunftsbegehren ohne vorhandenen Identifikator kommt es auf den Verarbeitungszweck, die tatsächlich verfügbaren Zuordnungsmittel und die Angaben der anfragenden Person an. Wir prüfen, ob Art. 11 DSGVO einschlägig ist, ob die Suche ausreichend dokumentiert wurde und welche begrenzte Zusatzinformation eine neue Bewertung ermöglichen kann. Übermitteln Sie den Antrag, die vorhandene Kommunikation und den internen Suchvermerk, damit der weitere Ablauf gezielt festgelegt werden kann.