Willkommen bei den Webwissenschaften

Einleitung

Der ausgewählte Artikel thematisiert eine Möglichkeit, eigene Daten zu schützen und Verfahren im Internet datenschutzfreundlich zu gestalten. Pseudonymisierung soll als Schutzmaßnahme für die Datenverarbeitung durch Dritte und den Personenbezug ausschließen. Was aber Pseudonymisierung in Hinblick auf Auftragsdatenverarbeitung, Outsourcing und Cloud-Computing leisten kann und soll, werde ich im Folgenden erläutern.

Pseudonyme im Datenschutzrecht

Relativ spät, erst 2001 wurde eine Gesetzesdefinition von "Pseudonymisierung" in das Bundesdatenschutzgesetz (BDSG) Deutschlands  aufgenommen. Anfangs stand das Interesse der Pseudonymisierung ausschließlich für den Eigenschutz der Nutzer mit getrennten Identitäten im Netz auftreten zu können, ohne dass diese zusammengeführt werden - Schutz gegen Profilbildung, gegen die dienstübergfreifende Nachvollziehbarkeit der Nutzerverhaltens. Des weiteren dient die Pseudonymisierung zur Datensparsamkeit, weil bei der Datenverarbeitung dadurch nur so viele personenbezogene Daten gesammelt werden, wie für die jeweilige Anwendung unbedingt notwendig sind.

Heute wird im BDSG vielmehr der entstehende Interessenskonflikt z.B. beim Einsatz von Cloud-Diensten oder bei der Auslagerung von Datenverarbeitungen an Dritte geregelt.

Datenschutzrechtliche Wirkung der Pseudonymisierung

Pseudonymisierungsformen:

Es gibt einige Unterschiede zwischen den einzelnen Pseudonymisierungsformen, vorallem in der Qualität. Ein Pseudonym kann gegenüber Dritten, die die Zuordnungsregel nicht kennen, die Qualität einer faktischen Anonymisierung besitzen. Es kann aber auch nur zu einer bloßen Erschwerung der Zuordnung führen, welche mit gewissen Aufwand beinahe von jedem überwunden werden kann.

Ein weitere Unterschied liegt darin, wer das Pseudonym erstellt und wer die Zuordnungsfunktion verwaltet oder kennt. Das kann der Pseudonym-Ersteller selbst sein, aber auch ein vertrauenswürdiger Dritter, ein Treuhänder oder die verantwortliche Stelle sein.

Zu unterscheiden sind auch Pseudonyme, welche als Selbstschutzmechanismus den Betroffenen anonymisieren sollen und solche, die durch eine verarbeitende Stelle völlig unabhängig und eventell sogar in Unkenntnis des Betroffenen verwendet werden.

Anonymisierung und Verschlüsselung:

Oft wird zur Vereinfachung Anonymisierung und Pseudonymisierung gleichgesetzt. Tatsächlich sind anonymisierte Daten selbst von der anonymisierenden Stelle nicht wieder zuordenbar. Die Anonymität stellt sozusagen den Gegenpol zum Personenbezug dar und wird damit zur Anwendungsgrenze von Datenschutzrecht, wohingegen pseudonyme Daten immer noch für mindestens eine Stelle auf eine Person zuordenbar sind.

Die Verschlüsselung zur Ersetzung der Identifizierungsmerkmalen ist schlicht ein Pseudonymisierungswerkzeug. Bei verschlüsselten Daten hält der Dritte überhaupt keine verwendbare Daten in Händen, wohingegen bei pseudonymisierte Daten ein Dritter sehrwohl verarbeitungsfähige Einzelangaben erhält, aber ohne Personenbezug.

Personenbezug:

Hier gibt es unterschiedliche Ansichten unter den Experten.  Beim absolute Personenbezug kommt es nicht darauf an, ob die betrachtete Stelle, die im Besitz von personenbezogenen Daten ist, tatsächlich selbst in der Lage ist, den Bezug herzustellen.

Der relative Personenbezug zielt darauf ab, dass Daten als anonym gelten, wenn der betrachtenden Stelle eine Zuordnung nur mit unverhältnismäßigen Aufwand möglich wäre.

Durch die verschiedenen Ansichten und Ansätze werden das Entstehen von Schutzlücken mit Blick auf die Betroffenen befürchtet.

Derzeitige Wirkung:

Die aktuelle rechtliche Wirkung der Pseudonymisierung im Falle einer Auslagerung und Weitergabe an Dienstleiter und vor allem in eine Cloud führt dazu, dass der Cloudnutzer die von ihm ausgehende Weitergabe der Daten datenschutzrechtlich beurteilen muss. Die datenschutzrechtliche Prüfung erfolgt also aus seiner Perspektive.

Nun ergeben sich folgende Fragen: Bedarf die Weitergabe einer Rechtsgrundlage und einer Einwilligung bzw. ist ein Auftragsdatenverarbeitungsvertrag erforderlich?

Die Pseudonymisierung hat hier letztlich die Funktion einer Sicherheitsmaßnahme. Der Dienstleister kann im Idealfall die Daten keiner bestimmten Person zuordnen, obwohl dies auch nicht immer auszuschließen ist, wenn z.B. selten individuelle Daten nahezu nur einer Stelle zuzuordnen sind.

Bis heute ist die Wirkung der Pseudonymisierung eher gering, weil belastbare Regelungen fehlen.

Mögliche Wirkungen:

Die Auftragsdatenverarbeitung ist als Instrument vielfach überfordert, den Betroffenenschutz realistisch zu gewährleisten. Vorallem im Cloud Computing gibt es hier einen erheblichen Kontrollverlust. Man betrachte nur entstehende Vertragsketten beim Einsatz von Unterauftragnehmern, die Problematik der Verarbeitung außerhalb Europas oder bestehender Supportzugriffe von verbundenen Unternehmen.

Fazit:

Anonymität schützt, vielmehr kann die Privatsphäre sensible Daten und vor Cyber-Kriminalität schützen. Denn wie sooft sind Schutzmechanismen und Datenschutzgesetze lückenhaft und unvollständig. Die Pseudonymisierung ist durchaus ein geeignetes Instrument, um beim Cloud Computing den Ausgleich zwischen den bestehenden Kontrollverlusten und den Betroffeneninteressen zu steuern. Leider fehlen hier aber exakte Regelungen, die die Pflichten der pseudonymisierenden Stellen festlegen. Andererseits sollte die Verarbeitung pseudonymisierter Daten erleichtert werden.

Anonymität im Internet ist ein zweischneidiges Schwert. Auf der einen Seite kann ein Nutzer tatsächlich unerkannt handeln, es entsteht allerdings der Verdacht, dass jemand etwas zu verbergen hat. Von rechtsstaatlicher Seite versucht man daher eine vollständige Anonymisierung zu unterbinden um die strafrechtliche Verfolgung nicht zu verhindern. Daher ist es schwierig hier die richtige Balance zu finden und deswegen sind Gesetze und Schutzmechanismen wie die Pseudonymisierung nur lückenhaft. Es stellt sich die Frage, ob es hier überhaupt eine zufriedenstellende Lösung geben kann.  

Quelle:

 SpringerLink, Michael Kopp, DuD - Datenschutz und Datensicherheit, 8/2015, S. 527-530

In meinem Beitrag gehe ich auch auf das Thema der Verschlüsselung ein, als einen datenschutzrechtlichen Aspekt in Bezug auf die RFID-Technologie, wofür technische Schutzmaßnahmen benötigt werden, vor allem wenn es um das abhörsichere Auslesen von RFID-Tags geht.