Gerade im Rahmen von Auskunftsersuchen in Verbindung mit einer Datenkopie nach Art. 15 Abs. 3 DSGVO stehen Verantwortliche häufig vor der Frage, wie sie die personenbezogenen Daten Dritter, die in den herauszugebenden Unterlagen enthalten sind, datenschutzkonform entfernen bzw. unkenntlich machen können. Meist werden die entsprechenden Stellen dann geschwärzt. Das Entfernen oder Unkenntlichmachen ist insbesondere vor dem Hintergrund relevant, dass, jedenfalls nach der weiten Auffassung zum Begriff der Datenkopie, sämtliche Schriftstücke herauszugeben sind, die einen Bezug zur auskunftssuchenden Person aufweisen.

Fehler beim Schwärzen vermeiden

Beim Schwärzen unterlaufen Verantwortlichen zuweilen Fehler, welche die Verletzung der Persönlichkeitsrechte von Dritten zur Folge haben können. In solchen Fällen kann auch eine meldepflichtige Datenpanne im Sinne von Art. 33 DSGVO vorliegen.

Aus diesem Anlass hat die Sächsische Datenschutz- und Transparenzbeauftragte (SDTB) einen Leitfaden veröffentlicht, an dem sich Verantwortliche orientieren und ihre Beschäftigten entsprechend sensibilisieren können.

1. Digitale Schwärzung

Zwar bieten PDF- und Office-Anwendungen häufig die Möglichkeiten, Schwärzungen vorzunehmen. Dies ändert nach Darlegung der SDTB jedoch in vielen Fällen nichts an dem Umstand, dass die Dokumente weiterhin vollständig ausgelesen und geschwärzte Stellen so wieder lesbar gemacht werden können. Es ist daher von elementarer Bedeutung, die relevanten Textstellen nicht nur optisch, sondern auch technisch unkenntlich zu machen.

Hierbei rät die SDTB vor der Bearbeitung der Dokumente zunächst dazu, eine Sicherungskopie der Datei zu erstellen, um weiterhin auf das Original zugreifen zu können. Zudem sollte sich der Benutzer mit dem Programm vertraut machen, sofern Unsicherheit dahingehend besteht, ob es sich bei der verwendeten Schwärzungsfunktion tatsächlich um eine technische und nicht nur um eine optische Schwärzung handelt. Hierzu können die Bedienerhinweise zum jeweiligen Programm herangezogen werden.

Des Weiteren rät die SDTB zur Vorsicht bei Anwendungen, die den Upload der relevanten Dokumente erfordern, um diese mit den entsprechenden Werkzeugen anschließend schwärzen zu können. Dies geht häufig mit datenschutzrechtlichen Risiken einher, da der Softwareanbieter in vielen Fällen Zugriff auf die Dokumente erhält. Dementsprechend wäre vorab in jedem Fall zu prüfen, wie der Softwareanbieter mit den übermittelten Daten umgeht. Nach unserer Auffassung dürfte es sich zudem i. d. R. um einen Fall der Auftragsverarbeitung handeln, weshalb ein entsprechender Vertrag nach Art. 28 Abs. 3 DSGVO zu schließen ist.

2. Händische Schwärzung

Sollte dem Verantwortlichen bzw. dessen Beschäftigten keine Anwendung zur Verfügung stehen, die eine elektronische Schwärzung ermöglicht, so können die Dokumente ausgedruckt und händisch geschwärzt werden. Sofern der Betroffene eine Auskunft in elektronischem Format wünscht, müssen die Unterlagen anschließend wieder eingescannt werden.

Doch Vorsicht: Bei der händischen Schwärzung sollte unbedingt darauf geachtet werden, dass der verwendete Stift die Schrift tatsächlich gänzlich unleserlich macht. Andernfalls genügt es nach den Darlegungen der SDTB häufig, das Schriftstück gegen eine Lampe zu halten oder mittels Software den Kontrast des Dokuments zu erhöhen, um die vermeintlich geschwärzten Passagen wieder lesbar zu machen.

3. Schwärzung von Fotoaufnahmen

Bei der Unkenntlichmachung von Bildern wird häufig mit Verpixelungen oder der Reduzierung der Auflösung in den relevanten Bereichen gearbeitet. Hier weist die SDTB darauf hin, dass dies in vielen Fällen unsicherer ist als eine Schwärzung. Denn insbesondere mithilfe von Künstlicher Intelligenz (KI) sei es oftmals möglich, die verpixelten Inhalte zu rekonstruieren. Um dies zu vermeiden, sollte aus unserer Sicht eine unwiderrufliche Schwärzung bevorzugt werden.

Wichtig ist auch hier, dass das bearbeitete Bild in einem Dateiformat abgelegt wird, bei dem sich die Originalversion nicht wiederherstellen lässt.

4. Metadaten

Im Rahmen einer datenschutzkonformen Schwärzung ist des Weiteren zu berücksichtigen, dass es sich auch bei den Metadaten einer (Bild-)Datei, wie bspw. Urheber, Erstellungs-/Änderungsdatum, um personenbezogene Daten handeln kann. Möglicherweise können bei Office-Dateien auch Vorgängerversionen und ausgeblendete Kommentare angezeigt werden. Die Metadaten sollten entsprechend gelöscht und die Datei dahingehend vor dem Versand geprüft werden.

Zudem sollte insbesondere eine Word-Datei (.docx) vor dem Versand in ein PDF-Format umgewandelt werden, um die Änderungshistorie effektiv zu entfernen. Sollte ausnahmsweise eine editierbare Version erforderlich sein, so sollte der anonymisierte Dokumententext kopiert und eine neue Datei eingefügt werden. Auch so ist sichergestellt, dass die Historie nicht mehr im Dokument enthalten ist.

Fazit

Grundsätzlich gibt es verschiedene Möglichkeiten, die herauszugebenden Unterlagen datenschutzkonform zu schwärzen, sodass keine schutzwürdigen Daten Dritter enthalten sind. Hierbei ist jedoch sowohl bei einer digitalen als auch bei einer händischen Schwärzung darauf zu achten, dass die geschwärzten personenbezogenen Daten tatsächlich nicht mehr ausgelesen bzw. rekonstruiert werden können. Des Weiteren sollten bei digitalen Dateien nur Formate verwendet werden, die keine Metadaten mit Informationen über Dritte enthalten. Verantwortliche sollten ihren internen Prozess zur Dokumentenherausgabe daher prüfen und ihre Beschäftigten entsprechend den Vorgaben der SDTB sensibilisieren.