2. Ausnahme bei mangelnder Identifizierbarkeit
44
Hat die betroffene Person einen Antrag zur Wahrnehmung ihrer Rechte gestellt, so hat der Verantwortliche diesen grundsätzlich zu bearbeiten und insbesondere zu prüfen ob und inwieweit er diesem nachkommt. Eine Verweigerung des Tätigwerdens ist nur zulässig, wenn der Verantwortliche glaubhaft macht, dass er die betroffene Person nicht identifizieren kann und ein Fall des Art. 11 Abs. 2 vorliegt.
45
Ein Fall des Art. 11 Abs. 2 liegt vor, wenn der Verantwortliche in Fällen des Art. 11 Abs. 1 nachweisen kann, dass er nicht in der Lage ist, die betroffene Person zu identifizieren. Daher ist über die Nicht-Identifizierbarkeit hinaus erforderlich, dass für die Zwecke der Datenverarbeitung eine Identifizierung des Betroffenen nicht (mehr) erforderlich ist. Andernfalls wird der Verantwortliche in der Regel ohnehin von sich aus weitere Daten erheben oder anfordern, um den Betroffenen identifizieren zu können und so die Betroffenenrechte zur Anwendung bringen.
46
Der Verantwortliche ist zur Identifizierung außerstande, wenn er mittels der ihm vorliegenden Informationen die Identität des Betroffenen nicht bestimmen kann. Identifizierbarkeit setzt voraus, dass der Verantwortliche in der Lage ist, mittels der vorhandenen Informationen die Identität des Betroffenen zu bestimmen, dass er mithin die Daten einer bestimmten Person zuordnen kann. Dabei muss der Verantwortliche zwar die ihm möglichen und zumutbaren Maßnahmen zur Identifizierung (erfolglos) ergriffen haben, indes gehört zu diesen Maßnahmen, wie Art. 11 Abs. 1 zeigt, nicht die Anforderung weiterer Informationen. Denn diese soll gerade nicht verpflichtend sein.
47
Berücksichtigt werden müssen vielmehr (nur) solche Mittel, die nach allgemeinem Ermessen von dem Verantwortlichen oder von Dritten wahrscheinlich zur Identifizierung genutzt werden[79]. Dies wiederum bestimmt sich nach objektiven Kriterien, insbesondere dem zeitlichen und finanziellen Aufwand.
48
Identifizierbar ist der Betroffene bspw. dann, wenn seine Daten bei dem Verantwortlichen in pseudonymisierter Form vorliegen und der Verantwortliche zudem über die zur Zuordnung zu dem Betroffenen erforderlichen weiteren Informationen, bspw. eine Pseudonymisierungstabelle, verfügt.[80]
49
Dagegen ist der Betroffene für den Verantwortlichen nicht identifizierbar, wenn er über dessen Daten nur in anonymisierter Form verfügt[81], da aus diesen keinerlei Rückschlüsse auf die Identität des Betroffenen möglich sind. Einer Person zugeordnete Kennungen (Cookies, IP-Adressen) können hingegen nur in Verbindung mit weiteren Informationen die Identifizierbarkeit begründen. Auch wenn diese Kennungen u.U. ein Aussondern einer abstrakten Person aus einer Menge von Personen ermöglichen können, so ist eine Zuordnung zu einer konkreten Person für den Verantwortlichen regelmäßig gerade nicht möglich.
50
Hat der Verantwortliche nachgewiesen, dass er den Betroffenen nicht identifizieren kann, so muss er dies, anders als der letzte Hs. in Abs. 2 S. 2 suggeriert, nicht zusätzlich glaubhaft machen. Denn in der englischen und französischen Sprachfassung des Art. 11 Abs. 2 und Art. 12 Abs. 2 S. 2 ist eine solche begriffliche Differenzierung nicht vorgesehen. Der abweichende Wortlaut in der deutschen Fassung ist allein der Übersetzung geschuldet und sollte nicht etwa dazu führen, dass Art. 12 Abs. 2 S. 2 insoweit ein über Art. 11 Abs. 2 hinausgehendes Erfordernis aufstellt[82].
V. Unterrichtung über Abhilfemaßnahmen i.R.d. Rechtewahrnehmung (Abs. 3)
51
Zur Erleichterung der Rechtswahrnehmung gehört ein effizientes Zeitmanagement beim Verantwortlichen. Daher muss er den Betroffenen über den Stand des Antrags und die geplanten Maßnahmen unterrichten. Dies stellt eine über Art. 13, 14 hinausgehende, eigenständige Informationspflicht dar. Denn ohne Informationspflicht bedürfte es auch keiner Frist, innerhalb derer diese zu erfüllen ist.
52
Es handelt sich nicht um eine Pflicht zur Bearbeitung des Antrags binnen einer bestimmten Frist, sondern lediglich um eine Pflicht zur Unterrichtung über die auf den Antrag des Betroffenen hin von dem Verantwortlichen ergriffenen Maßnahmen[83]. Die Bearbeitung oder Abhilfe selbst kann längere Zeit in Anspruch nehmen.
53
Die Pflicht zur Unterrichtung ist unverzüglich nach Eingang des Antrags des Betroffenen, spätestens jedoch innerhalb eines Monats zu erfüllen. Zwar kann der europarechtliche Begriff der „unverzüglichen“ Unterrichtung grundsätzlich nicht vom deutschen Recht her interpretiert werden, wird aber im Ergebnis ebenfalls ein Tätigwerden ohne schuldhaftes Zögern erfordern[84]. Zur Fristberechnung kann wiederum auf die allgemeinen Vorschriften der §§ 186 ff. BGB zurückgegriffen werden, wobei der Eingang des Antrags bei dem Verantwortlichen als fristauslösendes Ereignis zu qualifizieren ist, sodass es sich bei der Monatsfrist des Art. 12 Abs. 3 um eine Ereignisfrist handeln dürfte.[85]
54
In der Praxis wird es sich jedenfalls in der elektronischen Kommunikation anbieten, mit sog. Ticketsystemen zu arbeiten, bei denen Anfragen betroffener Personen systematisch erfasst werden und diese automatisiert über den weiteren Fortgang der Bearbeitung informiert werden können.
55
Die Frist des Abs. 3 S. 1 kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Komplexität umfasst sowohl die rechtliche Prüfung als auch die Aufarbeitung des Sachverhaltes[86]. Demgegenüber sind mit der Anzahl von Anträgen alle bei dem Verantwortlichen eingehenden Anträge gemeint. Der Wortlaut deutet dabei auf die Notwendigkeit eines kumulativen Vorliegens dieser beiden Gründe hin[87]. Da sich jedoch sowohl aus der Komplexität als auch aus der Anzahl der Anträge unabhängig voneinander ein erheblicher Aufwand für den Verantwortlichen ergeben kann, werden keine zu hohen Anforderungen zu stellen sein, wenn jedenfalls eines der Merkmale erfüllt ist, um von dem Verantwortlichen keine praktisch unmögliche Bearbeitungszeit zu verlangen. Das zeigt bereits die Formulierung „unter Berücksichtigung“, die indiziert, dass beide Faktoren in eine einheitliche Abwägung einzubeziehen sind. Im Ergebnis läuft es also auf eine Einzelfallbetrachtung hinaus, sodass routinemäßige Fristverlängerungen jedenfalls nicht den Anforderungen des Abs. 3 S. 1 genügen.[88]
56
Der Verantwortliche hat den Betroffenen über die Fristverlängerung bis spätestens zum Ablauf der Monatsfrist