Big Data und Datenschutz Wie muss mit sensiblen Daten umgegangen werden?

Der Schutz der Privatsphäre bei der Analyse großer Datenmengen, wie dies in Big Data geschieht, kann zu einer Herausforderung werden, wenn Vorschriften und Interessen scheinbar unvereinbar sind. Dabei scheint eine dem Datenschutz genügende Herangehensweise durchaus machbar, wenn entsprechende Maßnahmen bereits frühzeitig in Systeme integriert werden.

Anbieter zum Thema

Weiss Technik GmbH

t & p Triestram & Partner GmbH

GUS LAB GmbH

Fraunhofer-Institut für Sichere Informations- technologie SIT

Unter Big Data wird das Erheben, Speichern, Zugreifen und Analysieren von großen und teilweise heterogenen, strukturierten und unstrukturierten Datenmengen verstanden. Durch neue Algorithmen, die selbstständig Muster und Zusammenhänge in Daten erkennen können, und durch neue Hardware-Lösungen, die in der Lage sind, eine große Datenmenge zeitnah zu verarbeiten, werden die Möglichkeiten für Datenanalysen erheblich vervielfältigt. Allerdings führt Big Data auch zu neuen Herausforderungen im Umgang mit Daten. Gerade bei dem Umgang mit sensiblen Daten, z.B. Krankenakten oder klinische Laborergebnisse, besteht in der Bevölkerung ein Unbehagen bzgl. des Umgangs mit diesen. Konzepte, die ursprünglich als ausreichend zum Schutz der Privatsphäre betrachtet wurden, weichen auf, weil immer mehr Daten miteinander verknüpft werden können. Große Mengen unterschiedlicher Daten werden zusammengefügt, um neue Methoden der Wertschöpfung zu realisieren, ohne dabei von Anfang an auch Aspekte des Datenschutzes zu berücksichtigen.

Dabei sind Daten nicht gleich Daten, was ihr notwendiges Schutzniveau betrifft. Es muss zwischen personenbezogenen und maschinell erzeugten nicht personenbezogenen Daten unterschieden werden. Erstere unterliegen dem Bundesdatenschutzgesetz. Ihre Verwendung unterliegt somit einer ganzen Reihe von Regeln, die im Folgenden kurz umrissen werden.

Personenbezogene und maschinelle Daten

Personenbezogene Daten sind alle Daten, die auf eine bestimmbare Person hinweisen oder ihr zugeordnet sind. Einfache Beispiele sind körperliche Merkmale der Person, aber auch ihre Telefonnummer oder ihr Wohnort. Als nicht personenbezogene Daten werden solche Daten verstanden, für die (auch in Zukunft) keine Zuordnung zu handelnden oder betroffenen Personen möglich ist. Das gilt unter anderem für Daten, die sich ausschließlich auf Geräte und Produkte, nicht aber auf ihre Nutzer beziehen, wie beispielsweise Sensordaten zur Ortung von Transportgütern in der automatisierten Logistik.

Eine klare Trennung von personenbezogenen und nicht personenbezogenen Daten ist insbesondere im Bezug auf Big Data jedoch nicht immer realistisch. Durch die Verknüpfung von immer mehr Datenbanken, können auch per se nicht personenbezogene Daten zu personenbezogenen Informationen führen.

Bundesdatenschutzgesetz und Big Data

Das Bundesdatenschutzgesetz (BDSG) ist die Grundlage der rechtlichen Anforderungen an den Einsatz von Big-Data-Lösungen, die auf personenbezogene Daten zurückgreifen. Datensparsamkeit, Zweckbindung, Einwilligung und Auskunftsrecht sowie Eingriffsrecht werden für Systeme gefordert, welche auf entsprechende Daten zurückgreifen oder diese erfassen.

Die Datensparsamkeit verlangt nur so viele Daten zu erheben – und diese nach Möglichkeit bereits anonymisiert oder pseudonymisiert – wie für den Verwendungszweck gerade nötig ist. Mittels der Zweckbindung soll die Verwendung von Daten für andere als den ursprünglich vorgesehen Zweck unterbunden werden.

Das Einwilligungsrecht besagt, dass jede Person über die Erhebung der eigenen persönlichen Daten informiert sein und seine/ihre Zustimmung darüber gegeben haben muss. Mit dem Auskunftsrecht ist es jeder Person möglich eine Antwort auf die Frage, welche persönlichen Daten erhoben wurden und gespeichert sind, zu verlangen. Unter dem Eingriffsrecht versteht man das Recht auf Löschung und Sperrung bestimmter oder Korrektur falscher persönlicher Informationen.

Prinzipiell fortschrittlich, ist jedes dieser Rechte jedoch mit Ausnahmen versehen, bei denen das Recht verweigert werden kann, weil beispielsweise eine entsprechende technische Lösung noch nicht weit verbreitet ist, oder weil durch den Schutz wirtschaftliche Interessen gefährdet werden.

Darunter fällt auch und insbesondere das Grundrecht auf informationelle Selbstbestimmung, das jeder Person zusichert, selbst bestimmen zu dürfen, welche personenbezogenen Informationen von den Systemen erfasst, gespeichert und analysiert werden. Gerade dies liefert jedoch immer wieder Beispiele dafür, dass sich die Schutzziele, ausgehend vom BDSG, mit den ökonomischen Zielen der Systeme die Big-Data-Lösungen betreiben nicht immer einfach vereinbaren lassen.

(ID:43602364)