Fallen NFC-Tags unter das Datenschutzrecht?
Ein leerer Tag mit einer Adresse darauf ist kein personenbezogenes Datum und erzeugt keine Pflicht. Das System dahinter tut es: ein Eintrag darüber, wer wann was angetippt hat, oder eine Kennung, die sich mit einer Person verbinden lässt. Die Regeln folgen dem Eintrag, nicht dem Gegenstand, der ihn auslöst.
Der Gegenstand ist selten das Problem
Ein Tag, der eine Adresse, eine Netzwerkkennung oder einen Text über ein Produkt trägt, ist kein personenbezogenes Datum und wird auch keines dadurch, dass er auf einem Tag steht.
Ein Tag kann natürlich personenbezogene Daten tragen, und dann sind es personenbezogene Daten auf einem Gegenstand, den jeder lesen kann, der ihn in die Hand nimmt, was ein Thema für sich ist.
Ob ein bestimmtes Rollout unter einen bestimmten Rahmen fällt, welcher Rahmen gilt und wo die Schwellen liegen, hängt vollständig von der Rechtsordnung und von der Art der Verarbeitung ab. Maßgeblich sind das nationale Recht und Ihre eigene Beratung, nicht diese Seite.
Allgemein sagen lässt sich, wo das Risiko sitzt, und es sitzt nicht auf dem Tag.
Der Eintrag ist es meistens
Eine Kennung, die sich mit einer Person verbinden lässt, wird im Allgemeinen als personenbezogenes Datum behandelt, auch wenn die Kennung selbst wie eine bedeutungslose Zahl aussieht.
Eine Ausweiskennung neben einem Namen, eine Adresse je Tag neben einer Sitzung, oder ein Protokoll der Antippvorgänge neben einem Konto sind demnach alle Einträge über Menschen.
Die Kennung eines Tags ist genau ein solcher Wert. Für sich benennt sie einen Gegenstand, verbunden mit irgendetwas über eine Person benennt sie die Person.
Rollouts machen das falsch, indem sie über den Tag nachdenken statt über die Verbindung, und an der Verbindung erscheint die Pflicht.
Die Fälle, die überraschen
Anwesenheit und Zutritt, wo ein Eintrag darüber, wer wann wo war, als Nebenwirkung davon entsteht, dass das System überhaupt arbeitet.
Adressen je Tag in einem öffentlichen Rollout, die Standortdaten über Besucher erzeugen, ohne dass jemand entschieden hätte, Standorte zu erheben.
Systeme, die auf Beschäftigte zeigen, wo das Machtgefälle verändert, was als Einwilligung gilt, und wo die Pflichten meist schwerer wiegen.
Und die Aufbewahrung, der Ausfall, den niemand bemerkt: ein System, das alles behält, weil das Löschen nie festgelegt wurde.
Was dagegen zu tun ist
Entscheiden Sie vor dem Bau, was das Rollout festhalten muss, und halten Sie das fest statt alles, was die Technik hergibt.
Schreiben Sie auf, wie lange jeder Eintrag bleibt und was ihn löscht, denn eine Aufbewahrungsregel, die nur als Absicht besteht, besteht nicht.
Behandeln Sie Daten je Tag intern wie Standortdaten, denn diese Rahmung führt zu vernünftigen Entscheidungen, ohne für jede ein Rechtsgutachten zu brauchen.
Und holen Sie Rat für alles, was Beschäftigte, Zutrittskontrolle oder ein großes öffentliches Rollout betrifft, denn dort hängt die Antwort von der Rechtsordnung ab und ein Irrtum kostet wirklich.
Häufige Fragen
Ist die Kennung eines Tags ein personenbezogenes Datum?
Für sich benennt sie einen Gegenstand. Mit irgendetwas über eine Person verbunden benennt sie die Person, und an dieser Verbindung entstehen die Pflichten.
Erzeugt ein Tag auf einem Plakat Pflichten?
Nicht der Tag. Das Ziel tut es, denn dort wird ein Besuch festgehalten.
Welcher Rahmen gilt für mich?
Das hängt von der Rechtsordnung und davon ab, was Sie verarbeiten. Maßgeblich sind das nationale Recht und Ihre eigene Beratung, nicht ein allgemeiner Leitfaden.
Was ist der häufigste Fehler?
Die Aufbewahrung. Systeme behalten alles, weil das Löschen nie festgelegt wurde, und das ist der Ausfall, den niemand bemerkt.