Definition personenbezogener Daten

Question

Hallo zusammen!

Unser gemeinnütziger Verein möchte in den kommenden Monaten die Planung zur Eröffnung eines Waldkindergartens in der Umgebung beginnen. Dazu möchten wir anhand einer Online-Umfrage das Interesse sowie den Bedarf an dieser Betreuungsform bzw. Betreuungsplätzen von Familien im näheren Einzugsgebiet ermitteln. Im Rahmen der Befragung werden die Teilnehmer u.a. nach ihrem Wohnort, dem Alter ihres Kindes bzw. dem Betreuungsplatzbedarf gefragt. Dies hat zum Ziel, dass wir direkt auf Gemeinden, in denen ein hohes Interesse der Bevölkerung besteht, zugehen können. Konkrete Datensätze der Umfrage werden dabei nicht mit Dritten (z.B. einer Stadtverwaltung) geteilt.

Nach Recherche der Datenschutzregularien sind wir uns jedoch nicht sicher, ob diese Antworten als personenbezogene Daten eingestuft werden. Vor allem dieser Auszug aus dem SoSci-Anleitungsbereich sorgt für Unsicherheit:

"Wenn man einen sehr großen (z.B. alle deutschsprachigen Facebook-User) oder sehr homogenen (z.B. alle Studierenden eines Studiengangs) Kreis potenzieller Teilnehmer hat, und keine Namen und E-Mail-Adressen erfragt, dann ist der Rückschluss auf einzelne Personen in aller Regel nicht möglich."
aus: https://www.soscisurvey.de/help/doku.php/de:general:dsgvo

Mit der Umfrage sprechen wir ausschließlich eine homogene Gruppe (Familien mit Kindern) in einem relativ großen Einzugsgebiet aus ca. 30 Städten, Gemeinden und Dörfern mit bis zu 50.000, mindestens jedoch jeweils 2000 Einwohnern an. Die Befragung soll einen freien Zugang haben (kein Einladungslink --> anonym), der Link aber primär durch Familien im privaten Bekanntenkreis bzw. von Institutionen mit entsprechendem Klientel (z.B. Familienzentrum, Sportverein mit frühkindl. Angebot, etc.) geteilt werden.

Lassen diese Kriterien dennoch einen Rückschluss auf bestimmte Personen zu und sind daher als personenbezogene Daten einzustufen?
Gehe ich richtig in der Annahme, dass ein derartiger Disclaimer in Kombination mit einer Opt-In-Funktion (falls überhaupt technisch möglich) nichts an einer möglichen Einstufung ändern würde?

Ich bedanke mich für Ihre Zeit!

Answer 1

Nach Recherche der Datenschutzregularien sind wir uns jedoch nicht sicher, ob diese Antworten als personenbezogene Daten eingestuft werden.

Die wesentliche Antwort vorweg: Wenn Sie eine verbindliche und risikominimierende Aussage dazu benötigen, fragen Sie bitte einen Juristen. Ich kann hier nur eine pragmatische Einschätzung mitteilen.

Lassen diese Kriterien dennoch einen Rückschluss auf bestimmte Personen zu und sind daher als personenbezogene Daten einzustufen?

Wenn ich (so wie Juristen es gerne tun) versuchen würde, das Risiko möglichst zu minimieren, wäre meine Antwort: Es kann nicht ausgeschlossen werden, dass zumindest einzelne Personen auf Basis ihrer Daten (6 Kinder, bestimmtes Dorf ... ungewöhnliche Konstellationen eben) identifiziert werden können - insofern wäre es sinnvoll, die Daten so zu schützen als wären es generell personenbezogene Daten.

Die pragmatischere Antwort wäre: Wenn nicht gerade offene Antworten mit Namen o.ä. im Datensatz stehen, wäre der Aufwand selbst zur Identifikation einzelner Personen im Datensatz enorm. Tatsächlich wäre der Personenbezug also relativ sicher auszuschließen.

Ein Mittelweg bestünde darin, dass man solche Kategorien gleich bei der Erhebung zusammenfasst, die Extremfälle identifzieren könnten. Also z.B. "1 Kind", "2 Kinder", "3 oder mehr Kinder" statt Abfrage eine offenen Zahl. Und vielleicht muss ja auch nicht das genaue Dorf erhoben werden ... aber da muss man prüfen, was man in der Auswertung genau braucht.

Lassen diese Kriterien dennoch einen Rückschluss auf bestimmte Personen zu und sind daher als personenbezogene Daten einzustufen?

Das wird von den Antworten abhängig sein. Und noch ein pragmatischer Nachtrag: Klären Sie, wie problematisch es wäre, wenn die Daten personenbezogen wären, und wenn die vollständigen Antworten mit Namen Dritten (z.B. der Zeitung, Nachbarn, Kriminellen) zur Verfügung stünden. Manche Angaben sind sensibler als andere und müssen vielleicht besser geschützt werden.

Gehe ich richtig in der Annahme, dass ein derartiger Disclaimer in Kombination mit einer Opt-In-Funktion (falls überhaupt technisch möglich) nichts an einer möglichen Einstufung ändern würde?

Das ist korrekt.

Ich sehe anhand Ihrer Schilderung keine Notwendigkeit, personenbezogene Daten zu erheben. Entsprechen wäre meine Empfehlung, dass Sie - auch im Sinne der Datensparsamkeit - eher versuchen, die Anonymität sicherzustellen. Die Alternative bestünde darin, dass Sie die Daten von vornherein als personenbezogen betrachten und den damit verbundenen Mehraufwand leisten.