Artikel 11 DSGVO: Verarbeitung, für die eine Identifizierung der betroffenen Person nicht erforderlich ist
(1) Ist für die Zwecke, für die ein Verantwortlicher personenbezogene Daten verarbeitet, die Identifizierung der betroffenen Person durch den Verantwortlichen nicht oder nicht mehr erforderlich, so ist dieser nicht verpflichtet, zur bloßen Einhaltung dieser Verordnung zusätzliche Informationen aufzubewahren, einzuholen oder zu verarbeiten, um die betroffene Person zu identifizieren.
(2) Kann der Verantwortliche in Fällen gemäß Absatz 1 des vorliegenden Artikels nachweisen, dass er nicht in der Lage ist, die betroffene Person zu identifizieren, so unterrichtet er die betroffene Person hierüber, sofern möglich. In diesen Fällen finden die Artikel 15 bis 20 keine Anwendung, es sei denn, die betroffene Person stellt zur Ausübung ihrer in diesen Artikeln niedergelegten Rechte zusätzliche Informationen bereit, die ihre Identifizierung ermöglichen.
Wer nicht identifizieren kann, muss nicht identifizieren
Kann ein Verantwortlicher die Person hinter den Daten nicht mehr bestimmen, muss er zur Erfüllung der Verordnung keine zusätzlichen Informationen beschaffen. Das ist die Kehrseite der Datenminimierung: Wer wenig weiß, soll nicht mehr wissen müssen. Absatz 2 zieht die Folge – die Rechte aus den Artikeln 15 bis 20 entfallen, sofern der Verantwortliche nachweist, dass er nicht identifizieren kann. Der Nachweis liegt bei ihm, und er misslingt, sobald irgendwo im Haus ein Schlüssel zur Zuordnung liegt.
Erwägungsgrund 57 stellt klar, dass eine Identifizierung nicht allein zu dem Zweck erfolgen muss, die Verordnung einzuhalten.