Der schmale Grat zwischen Mehrwert und Datenschutz

Auswertung personenbezogener Daten

Die Auswertung schutzwürdiger und personenbezogener Daten enthält viele Stolpersteine, aber auch entsprechendes Gold. Das letzte Wort hat aber der Datenschutz.

Im Zeitalter der Digitalisierung, der Sensoren und der zunehmenden Kundenkommunikation werden immer mehr Daten gesammelt, erhoben und verarbeitet – teilweise anonymisiert, personenbezogen und mit oder ohne dem direkten Einverständnis der Nutzer.    

Beispiele für die statistische Auswertung solcher Messdaten gibt es viele – so werden anonymisierte GPS-Koordinaten von Navigationsgeräten für die Verkehrs- und Infrastrukturplanung genutzt und dienen zur täglichen Stau-Erkennung. Online-Webshops nutzen die aggregierten Nutzer-Daten (Klick-Verhalten) zur Optimierung ihrer Webseite und zur Verringerung von Kaufabbrüchen.

Dabei stehen die schutzwürdigen und personenbezogenen Daten im Fokus der Nutzer und der Unternehmen – nicht zuletzt aufgrund der neuen EU-Datenschutz-Grundverordnung (DSGVO). Konkret handelt sich um alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu gehören Kennungen wie ein Name, eine Kennnummer (Personalnummer), Standortdaten, Online-Kennung (Browser-ID) oder besondere Merkmale wie psychische, wirtschaftliche, kulturelle oder soziale Identität.

Eine Möglichkeit zur Umsetzung der Datenschutz-Anforderungen ist die Anonymisierung. Webseiten wenden dieses Verfahren auf die IP-Adresse der Nutzer an, sodass diese anonym und daher nicht zurückführbar ist. Grundsätzlich geht es meistens um statistische Auswertungen des Verhaltens, der Gewohnheiten und der Vorlieben einer bestimmten Gruppe. Mittels Data Mining und Big Data Analytics werden Muster und Trends in den Daten identifiziert und auf dieser Basis statische Entscheidungshilfen geliefert, welche zu Prozess-Optimierungen im Hinblick auf das Kundenverhalten führen.

Eine Alternative zur Nutzung von anonymisierten Daten ist die Verarbeitung von personenbezogenen Daten mittels Pseudonymisierung, welche eine Rückschlüsselung der Daten ermöglicht. Die DSGVO sieht hier im Vergleich zu personenbezogenen Daten deutlich weniger strenge Standards vor, da die Pseudonymisierung eine geeignete Maßnahme zum Schutz der Rechte, Freiheiten und legitimen Interessen darstellt. Erlaubt ist laut dem DSGVO beispielsweise die Durchführung eines Profilings und die Vorhersage des Verhaltens: „jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten“. Eine Entscheidung auf Basis einer automatisieren Verarbeitung ist (Bspw. Kreditantrag) aber ausgeschlossen.

Ein weiterer Punkt, den man bei der Auswertung berücksichtigen muss ist die Zusammenführung mehrere Datenbestände und eine somit durchgeführte Rückführung auf die jeweilige natürliche Person (Bspw. Browser-ID zur Kundendatenbank).

Außerdem ist beim Reporting darauf zu achten, dass keine Rückschlüsse mittels Ausschlussverfahren getroffen werden können. Wenn zum Beispiel in einem Personalreport eine Kennzahl das weibliche Durchschnittsalter in einer bestimmten Abteilung mit 54 Jahren beschreibt, in dieser Abteilung aber nur eine Frau arbeitet, ist diese Auswertung nicht zulässig. Um im Rahmen der Auswertung keine Rückschlüsse zu ermöglichen, müssen daher entsprechend Gruppengrößen beachtet beziehungsweise definiert werden – beispielsweise dürfen einige Kennzahlen erst ab einer Anzahl von drei MitarbeiterInnen angezeigt werden.

Am Ende sollte man bei der Auswertung von personenrelevanten Daten noch die Datenvermeidung und Datensparsamkeit zum Ziel haben.

Fazit

Es bleibt eine Gratwanderung: Mit Wirksamkeit der neuen Datenschutz-Grundverordnung muss EU-weit ein Verwendungszweck von personenbezogenen Daten angegeben werden. Damit sollten Unternehmen im Hinblick auf gewünschte Auswertungsmethoden bereits immer die Sinnhaftigkeit und den erzielten Mehrwert bei der Datenerhebung berücksichtigen. Pseudonymisierung kann ein geeignetes Mittel sein, um entsprechende Daten zu verwenden. Allerdings sollte man hier, genauso wie bei der Anonymisierung, regelmäßig auf eine fehlende Rückverfolgung prüfen.

 

Begriffsbestimmung im DSGVO https://dsgvo-gesetz.de/art-4-dsgvo/

Autor: Rico Pommerenke

Autor

Rico Pommerenke