News

Datenschutz: Pseudonymes Nutzerprofil – Identifizierung zwecks Löschung

Bearbeiter: Sabine Kriwanek

Art 4 DSGVO, Art 11 DSGVO, Art 12 DSGVO, Art 17 DSGVO

Gemäß Art 12 Abs 2 DSGVO trifft den Verantwortlichen die ausdrückliche Pflicht, der betroffenen Person ua die Ausübung des Löschungsrechts zu erleichtern. Eine Identifizierung der betroffenen Person darf dabei nur insoweit stattfinden, als sie notwendig ist, um die Berechtigung zur Ausübung des Löschungsrechts zu überprüfen.

Im Fall der (wie hier) verlangten Löschung eines pseudonymen Nutzerprofils sind dabei die gespeicherten Profildaten heranzuziehen. Ein pseudonymer Nutzer kann sich etwa durch Kenntnis der Login-Daten (User-ID, Passwort), durch Angaben zum gespeicherten Dateninhalt des Profils oder durch die nachgewiesene Verfügungsgewalt über die Mailbox, deren E-Mail-Adresse anlässlich der Registrierung angegeben worden ist, identifizieren. Neue Daten (wie Vorname, Familienname, Wohnadresse, eine Ausweiskopie oder das grafische Bild einer eigenhändigen Unterschrift) müssen aus diesem Anlass nicht erhoben werden (vgl Art 11 Abs 1 DSGVO). Diese wären im Übrigen für den angestrebten Zweck der Identitätsprüfung gar nicht geeignet, weil (hier) bei der Verantwortlichen keine Vergleichsdaten gespeichert sind, deren Identität (Übereinstimmung) mit den neu erhobenen Daten überprüft werden könnte.

Datenschutzbehörde 8. 11. 2019, DSB-D122.970/0004-DSB/2019

Bescheid rechtskräftig.

Entscheidung

Im Beschwerdefall hätte der Bf etwa durch die Beschwerdegegnerin aufgefordert werden können, beide Teile des von der Beschwerdegegnerin so bezeichneten „unique identifier“, also Vorname und registrierte E-Mail-Adresse, zu nennen.

Dadurch, dass die Beschwerdegegnerin sich damit nicht begnügt, sondern auf dem Ausfüllen eines umfangreichen Formulars (das auf den Regelfall der Verarbeitung der Daten identifizierter, nicht pseudonymer natürlicher Personen abstellt) bestanden hat, hat sie den Bf in seinem Recht auf Löschung gem Art 12 Abs 2 iVm Art 17 Abs 1 DSGVO verletzt. Dies war gem § 24 Abs 5 1. Satz DSG spruchgemäß festzustellen.

Gemäß Art 58 Abs 2 lit c DSGVO iVm § 24 Abs 5 2. Satz DSG war die Beschwerdegegnerin weiters anzuweisen, die Löschung des Nutzerprofils mit den Daten des Bf vorzunehmen. Dabei war in Rechnung zu stellen, dass der Bf bereits im Laufe des Verfahrens nachgewiesen hat, dass ihm beide Teil des „unique identifier“ bekannt sind, sodass keine entsprechende Bedingung zu setzen war. Eine Frist von zwei Wochen erscheint als angemessen und ausreichend, um eine einfache Datenverarbeitungsoperation wie die Löschung eines Nutzerprofils durchzuführen.

Artikel-Nr.
Rechtsnews Nr. 28651 vom 10.02.2020