Daten nicht mehr herstellbar ist. Der materielle Schutz personenbezogener Daten der von der Datenverarbeitung betroffenen Person wird somit gestärkt.
10
Hat der Verantwortliche die betroffene Person nicht identifiziert, so erscheint es zunächst einmal schwierig in Kontakt mit ihr zu treten. Eine Interaktion zur Erfüllung von Pflichten oder Wahrnehmung von Rechten ist damit mindestens erschwert. Gleichwohl ist die Möglichkeit zur Identifizierung nicht zwingend für eine funktionierende Kommunikation erforderlich. So kann auch ein mittelbarer Kontakt, etwa über Dritte, die Bereitstellung der Transparenzinformationen nach Art. 12–14 ermöglichen.[6]
4. Informationspflicht bei Bildaufnahmen
11
Für die Fotografie außerhalb des Journalismus hat der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) eine juristische Bewertung abgegeben.[7] Da Bildaufnahmen personenbeziehbare Daten darstellen, bedarf es hierfür i.S.d. Art. 5 Abs. 1 lit. a sowohl der Rechtmäßigkeit als auch der Transparenz. Gerade das Bereitstellen von Informationspflichten wird nahezu unmöglich sein, da dafür regelmäßig erst einmal die Identität der Betroffenen festgestellt werden müsste. Die Informationspflicht darf nach Auffassung des HmbBfDI auf Grundlage des Art. 11 Abs. 1 entfallen, wenn der Verantwortliche dafür die betroffene Person erst identifizieren müsste. Die Identifizierung der betroffenen Person durch den Verantwortlichen sei nach Auffassung des HmbBfDI in solchen Fällen nicht oder nicht mehr erforderlich. Der einzelne Fotograf habe im Regelfall weder ein Interesse daran noch die Möglichkeit, die auf dem Bild abgebildeten Personen ohne erheblichen Aufwand zu identifizieren. Eine solche Identifizierung würde dann allein aus dem Grund erfolgen, dass die Anforderungen der Art. 13 und 14 erfüllt werden können. Dies solle aber gerade durch die Regelung des Art. 11 verhindert werden, da in solchen Fällen die Identifizierung zur reinen Bereitstellung der Informationspflichten dem Betroffenen keine Stärkung seiner Rechte verschaffen würde, sondern diese Maßnahme vielmehr eine Erhöhung der Eingriffsintensität in sein Persönlichkeitsrecht darstellen würde.[8]
a) Nachweispflicht
12
Sofern der Verantwortliche in Fällen gem. Abs. 1 nicht in der Lage ist, die betroffene Person zu identifizieren, so muss er hierüber grundsätzlich einen Nachweis beibringen. Über diesen Umstand, dass trotz vorhandener personenbezogener Daten der betroffenen Person die Identifizierung nicht möglich ist, trägt der Verantwortliche die Beweislast.
13
Damit verhindert der Verordnungsgeber, dass der Verantwortliche sich pauschal seiner Verpflichtungen entledigt und der Betroffene Kenntnis besitzt, welche Daten er zur Identifizierung beibringen müsste.[9]
14
Wem gegenüber dieser Nachweis zu leisten ist, lässt die Vorschrift tatsächlich undefiniert.[10] In Frage kommen als Adressaten die zuständige Aufsichtsbehörde in Form entsprechender Dokumentation[11] und die davon betroffene Person[12]. Um sowohl der Rechenschaftspflicht, als auch der grundsätzlich verlangten Transparenz gegenüber der betroffenen Person Rechnung zu tragen, ist der Nachweis beiden Akteuren gegenüber zu erbringen.
15
Der Nachweispflicht kann die verantwortliche Stelle z.B. durch Auskünfte jeder Art, Aussagen von Mitarbeitern des Verantwortlichen, Urkunden und Akten oder Inaugenscheinnahme nachkommen.[13]
aa) Pflicht für den Verantwortlichen
16
Nach Abs. 2 S. 1 obliegt dem Verantwortlichen in allen Fällen des Abs. 1 eine Informationspflicht gegenüber der betroffenen Person. Dieser muss dem Betroffenen grundsätzlich über den Umstand informieren, dass er nicht mehr in der Lage ist, das Datensubjekt zu identifizieren. Die damit verfolgte Schaffung von Transparenz zugunsten des Betroffenen verlangt detaillierte Informationen, welche Vorschriften nicht eingehalten werden können und aufgrund welcher fehlenden Daten dies der Fall ist, da die betroffene Person nur so entscheiden kann, ob sie dem Verantwortlichen die fehlenden Daten noch bereitstellen soll.[14]
17
In der Praxis werden davon wohl Datenpools betroffen sein, bei denen der Verantwortliche personenbezogene Daten des Betroffenen verarbeitet, aber nicht mehr feststellen kann, welche Datensätze jeweils der einzelnen Person zuzuordnen sind; dies wird bei der selbst vom Verantwortlichen durchgeführten Pseudonymisierung und daran anschließenden Datenverarbeitung der Fall sein.[15]
bb) Form der Information
18
Die formalen Anforderungen an die Unterrichtung sind in Abs. 2 nicht beschrieben. Wie in Art. 12 Abs. 4 wird an dieser Stelle von einer Unterrichtung gesprochen. Damit handelt es sich um eine eigenständige Informationspflicht für einen spezifischen Sachverhalt.[16] Der Verantwortliche muss dem Betroffenen gegenüber individuell die Informationspflicht erfüllen. Es steht ihm frei die Information mündlich, schriftlich, elektronisch, fernmündlich, digital, analog oder in welcher Form auch immer zu erteilen.[17]
cc) Ausnahmen
19
Ausnahmen von der Informationspflicht bestehen nur in Fällen der Unmöglichkeit. Nicht möglich ist die Unterrichtung, wenn dem Verantwortlichen, etwa aufgrund exorbitant hohen Aufwands, kein Kontakt zum Betroffenen gelingt.[18] In diesem Fall könnte er die individuell erforderte Information schließlich nicht erteilen.
2. Wahrnehmung von Betroffenenrechten (Abs. 2 S. 2)
20
Gemäß Abs. 2 S. 2 finden die Betroffenenrechte Art. 15–20 keine Anwendung, sofern ein Fall nach Abs. 1 vorliegt, die betroffene Person nach Abs. 2 S. 1 hierüber informiert wurde bzw. dies unmöglich ist und dass die betroffene Person daraufhin keine zusätzlichen Informationen bereitgestellt hat.[19] Die Vorschrift bringt zum Ausdruck, allein
