Um die rechtliche Lage zu verstehen, muss man zwei Ebenen trennen, die in der Diskussion regelmäßig vermischt werden: die Erhebung der Rohdaten und die Nutzung aggregierter Auswertungen. Für beide gelten unterschiedliche Maßstäbe.
Ebene 1: Die Rohdaten sind personenbezogen
Ein Positionssignal mit Zeitstempel und einer Gerätekennung ist ein personenbezogenes Datum im Sinne der DSGVO – auch ohne Namen. Denn eine Kennung, die dauerhaft demselben Gerät zugeordnet ist, macht die Person unterscheidbar und über die Zeit wiedererkennbar. Genau das genügt für den Personenbezug.
Bei Standortdaten kommt eine Besonderheit hinzu: Sie sind selbst dann identifizierend, wenn man die Kennung entfernt. Wo ein Gerät nachts regelmäßig steht, ist mit hoher Wahrscheinlichkeit die Wohnung. Zusammen mit dem werktäglichen Aufenthaltsort ergibt sich ein Paar aus Wohn- und Arbeitsort, das für die meisten Menschen eindeutig ist. Untersuchungen zeigen seit Langem, dass wenige Raum-Zeit-Punkte ausreichen, um eine Bewegungsspur einer Person zuzuordnen.
Für die Erhebung gilt damit das volle Programm: Rechtsgrundlage, Transparenzpflichten, Betroffenenrechte, Löschkonzepte. Und weil auf Endgeräte zugegriffen wird, greift zusätzlich das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG), das für den Zugriff auf Informationen im Endgerät grundsätzlich eine Einwilligung verlangt. Was das praktisch bedeutet, behandelt Herkunft und Einwilligung.
Ebene 2: Aggregierte Kennzahlen können anonym sein
Die DSGVO gilt nicht für Daten, die keinen Personenbezug (mehr) aufweisen. Erwägungsgrund 26 stellt klar, dass die Verordnung nicht für anonyme Informationen gilt – also für Daten, die sich nicht oder nicht mehr auf eine identifizierbare Person beziehen lassen.
Genau darauf zielt die Aufbereitung von Bewegungsdaten ab. Wenn aus Millionen Einzelsignalen eine Kennzahl wie „im Mai durchschnittlich 4.800 Personen pro Tag in Abschnitt X, davon 22 % aus Kreis Y" entsteht, ist der Personenbezug aufgehoben – vorausgesetzt, die Verdichtung ist ausreichend. Das ist die entscheidende Einschränkung: Anonymisierung ist eine Eigenschaft des Ergebnisses, keine Absichtserklärung. Warum das anspruchsvoller ist, als es klingt, erklärt Anonymisierung und Aggregation.
Die Maßstäbe für echte Anonymität sind streng. Datenschutzaufsichtsbehörden und Forschungsprojekte befassen sich intensiv mit der Frage, ab wann Bewegungsdaten als anonym gelten dürfen – gerade weil die raumzeitliche Struktur dieser Daten Einzelne selbst in aggregierter Form angreifbar machen kann, wenn zu fein aufgelöst wird.
Was das für Auftraggeber bedeutet
Wer eine Auswertung beauftragt und ausschließlich aggregierte Kennzahlen erhält, verarbeitet in der Regel keine personenbezogenen Daten und benötigt dafür keine eigene Rechtsgrundlage. Das entbindet aber nicht von der Sorgfalt:
- Herkunft prüfen. Auf welcher Grundlage wurden die Rohdaten erhoben? Eine Auswertung, die auf rechtswidrig erhobenen Daten beruht, ist auch dann problematisch, wenn das Ergebnis anonym ist – rechtlich, vor allem aber für die Reputation.
- Aggregationsniveau prüfen. Verlangen Sie keine Auflösung, die zur Re-Identifikation führen könnte. Ein Geofence über ein Einfamilienhaus mit Stundenwerten ist kein Analyseraster, sondern Überwachung.
- Zweckbindung beachten. Auswertungen für Standortplanung dürfen nicht zweckentfremdet werden, etwa zur Beobachtung einzelner Personen oder Gruppen.
- Rollen klären. Wer ist Verantwortlicher, wer Auftragsverarbeiter, wer nur Empfänger anonymer Statistik? Diese Frage sollte vor Projektstart schriftlich beantwortet sein.
- Transparent kommunizieren. Besonders im öffentlichen Sektor: Erklären Sie offensiv, was ausgewertet wird und was nicht. Das erspart die Debatte hinterher.
Die p17 GmbH als Datenmittler
Wir erheben keine eigenen Bewegungsdaten und verarbeiten keine Rohdaten mit Personenbezug. Wir arbeiten mit Datenpartnern zusammen und geben ausschließlich aggregierte Auswertungen weiter. Vor jedem Projekt klären wir Herkunft, Rechtsgrundlage und Aggregationsniveau – die Fragen dazu stehen unter Prüfkriterien.
Öffentlicher Sektor: zusätzliche Anforderungen
Für Kommunen, Kammern und öffentliche Einrichtungen kommen weitere Aspekte hinzu: Vergaberecht, Dokumentationspflichten gegenüber Gremien und die berechtigte Erwartung der Bürgerinnen und Bürger, dass die öffentliche Hand besonders zurückhaltend mit solchen Daten umgeht. In der Praxis empfiehlt sich, den behördlichen Datenschutzbeauftragten früh einzubinden – nicht, weil die Nutzung anonymer Statistik problematisch wäre, sondern weil die frühzeitige Klärung späteren Diskussionen vorbeugt.
Hinweis: Diese Seite gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung im Einzelfall. Für die verbindliche Bewertung Ihres konkreten Vorhabens ziehen Sie bitte Ihre Datenschutzbeauftragten oder eine rechtsberatende Stelle hinzu.