➧ Was hat sich ereignet?
Ein Abfallentsorger erhielt den Auftrag, Sperrmüll abzuholen. Er teilte dem Auftraggeber das Datum für die Abholung mit. Einen Tag davor stellte der Auftraggeber den Sperrmüll zum Abtransport bereit. Kurz vor der Abholung ließ der Abfallentsorger den Sperrmüll durch sein Außendienstpersonal mit dem Handy fotografieren. Das wunderte den Auftraggeber sehr. Er witterte einen Datenschutzverstoß und wandte sich deshalb an die Datenschutzaufsicht.
➧ Was ist die erste Frage der Datenschutzaufsicht?
Als erstes befasst sich die Datenschutzaufsicht damit, ob es hier überhaupt um Datenschutz geht. Konkret: Ist die Datenschutz-Grundverordnung (DSGVO) hier anwendbar? Das wäre der Fall, wenn das Fotografieren des Sperrmülls eine Verarbeitung personenbezogener Daten darstellt.
➧ Wie ist digitales Fotografieren einzuordnen?
Das Fotografieren mit einer Digitalkamera ist eindeutig als Verarbeitung von Daten anzusehen. Denn dabei werden Daten automatisiert gespeichert. Dies erwähnt Art. 4 Nr.2 DSGVO ausdrücklich als Beispiel einer Verarbeitung.
➧ Wie verwandeln sich Sachdaten in Personendaten?
Jedenfalls zunächst sind Fotos von Sperrmüll nicht auf eine bestimmte Person bezogen. Bei Sperrmüll handelt es sich um eine Ansammlung von Gegenständen, die entsorgt werden sollen. Fotos davon liefern für sich gesehen ausschließlich Informationen über diese Gegenstände, aber nicht Informationen über eine Person. Damit enthalten die Fotos bloße Sachdaten und keine personenbezogenen Daten.
Das ändert sich allerdings, sobald das Foto einer bestimmten Person zugeordnet wird. Genau das tat der Abfallentsorger mit den Fotos. In seinem Kundenmanagementsystem verknüpfte er sie nämlich mit dem Abholauftrag. Dies geschah, um bei etwaigen Reklamationen auf die Fotografien zurückgreifen zu können.
➧ Was bewirkt die Verknüpfung mit einer bestimmten Person?
Aus diesem Vorgehen zog die Datenschutzaufsicht messerscharf folgenden Schluss: „In dem Moment, in dem das Bild der Gegenstände dem Kundenauftrag zugeordnet und mit diesem verknüpft wird, erhält das Sachdatum einen Personenbezug im Sinne des Art. 4 Nr. 1 DS-GVO.“ Dies hat zur Folge, dass die DSGVO anwendbar ist.