Alles verboten? Die Migration personenbezogener Daten

Anbieter zum Thema

Rittal GmbH & Co. KG

VON ZUR MÜHLEN'SCHE GmbH

EPS Rechenzentrum Infrastruktur GmbH

Die DSGVO enthält in Art. 4 mehrere Grundsätze, die die Migration betreffen. So dürfen Daten nur auf rechtmäßige Weise und nur so verarbeitet werden, dass ihre Integrität und Vertraulichkeit stets gewahrt sind. Hinter dem Grundsatz der Rechtmäßigkeit steht ein Satz, der als Überschrift über die ganze DSGVO geschrieben werden könnte: Die Verarbeitung von personenbezogenen Daten ist verboten!

Im Ergebnis bedeutet Artikel 4 der DSGVO, das Verantwortliche zunächst immer erst einmal davon ausgehen sollten, dass die konkret beabsichtigte Verarbeitung nicht erlaubt ist. Im zweiten Schritt muss dann geschaut werden, ob sich eine gesetzliche Regelung, zum Beispiel die Verarbeitung zur Erfüllung eines Vertrages (Art. 6 I b DSGVO) oder die Einwilligung (Art. 6 I a DSGVO)) finden lässt, die die gewünschte Verarbeitung erlaubt.

Der zweite Grundsatz, Integrität und Vertraulichkeit, soll sichern, dass die Daten nicht durch Unberechtigte eingesehen, verändert oder gelöscht werden können. Dieser Grundsatz wird in Art. 25 DSGVO konkretisiert, der Verantwortlichen vorschreibt, dass sie unter Berücksichtigung des Standes der Technik und der Kosten geeignete technische und organisatorische Maßnahmen, so genannte TOM´s, ergreifen müssen, um die Verwirklichung der Grundsätze der DSGVO, zum Beispiel Integrität und Vertraulichkeit, zu garantieren.

Im heutigen Artikel wollen die Autoren darstellen - wie sich diese Grundsätze im Rahmen der Datenmigration umsetzen lassen.

Was bedeutet Datenmigration?

IT-Systeme, die die operativen Geschäftsprozesse von Unternehmen unterstützen, enthalten in der Regel große Mengen an personenbezogenen Daten und gehören heute zum Alltag. Diese Daten werden immer häufiger gesammelt, analysiert und verarbeitet.

Sie werden auch oft mit anderen Unternehmen und Forschungsorganisationen geteilt. Beispielsweise verfügen Krankenhäuser heute über eine sehr große Menge an persönlichen Patientendaten, die für Forschungszwecke von enormer Bedeutung sind.

In den meisten Fällen bedeutet die Analyse von Daten und ihre gemeinsame Nutzung mit externen Organisationen, dass ein Teil dieser Daten aus der ursprünglichen Quelle extrahiert, transformiert und in ein anderes IT-System, ein Data Warehouse oder eine Cloud übertragen wird. Dies wird als Datenmigration bezeichnet. Dasselbe gilt natürlich auch, wenn Unternehmen beispielsweise ein neues IT-System einführen und die Daten zu Testzwecken aus dem alten System abziehen möchten.

Sorge für den Schutz personenbezogener Daten

Wie oben beschrieben, tragen die Firmen die Verantwortung dafür, dass die Daten nur in rechtmäßiger Weise verarbeitet und ausreichend geschützt werden. Dies bedeutet in Bezug auf die oben beschriebene Situation, dass Daten „entpersonalisiert“ werden müssen, bevor sie die virtuellen Grenzen der Organisation verlassen dürfen. Insbesondere muss verhindert werden, dass die freigegebenen Daten später zu den betroffenen Personen zurückverfolgt werden können.

Es gibt verschiedene Ansätze, wie man sensible Daten modifizieren kann, um sie für die Analyse- und Testzwecke in breiter Maße öffentlich zugänglich machen zu dürfen. Der erste Ansatz ist als Anonymisierung bekannt. Die Anonymisierung von Personendaten bedeutet, diese so zu reduzieren, dass sie nicht mehr einer Person zugeordnet werden können. Die anonymisierten Daten unterliegen dann nicht mehr dem DSGVO, da sie nicht mehr „personenbezogen“ sind.

Es ist jedoch zu beachten, dass die Daten ausreichend, aber nicht zu stark reduziert werden sollen. Sie sollten weiterhin für die Analysezwecke verwendbar bleiben.

Unter Pseudonym

Der zweite Ansatz heißt Pseudonymisierung. Bei der Pseudonymisierung wird zum Beispiel der Name oder ein anderer Identifikationsschlüssel, wie eine Rentenversicherungsnummer, durch ein Pseudonym , oft ein generierter Code, oder Nickname ersetzt. Dadurch wird verhindert, dass Personen, die den Schlüssel nicht kennen, die Identität der betreffenden Personen feststellen können.

Analog zur Anonymisierung bleibt auch hier die Kernfrage, welche Felder welcher Geschäftsobjekte verändert werden sollten, um eine ausreichende Pseudonymisierung zu erreichen. Die Antwort lautet - dies hängt davon ab.

Der dritte der am häufigsten bekannten Ansätze zur Datenmodifikation heißt „Differential Privacy“. Auch hier ist das Ziel, sensible persönliche Daten veröffentlichen zu dürfen, ohne die Privatsphäre des Einzelnen zu verletzen. Der Unterschied zur Anonymisierung oder Pseudonymisierung besteht jedoch darin, dass Datensätze selektiv verfälscht werden.

Diese Technik verhindert, dass potenzielle Angreifer unterscheiden können, ob eine bestimmte Person in einer Datenbank enthalten ist oder nicht. Für Forschungszwecke reicht es aus, dass die statistischen Verteilungen in den veröffentlichen Daten nicht weit von der ursprünglichen Realität abweichen.

Unsere Empfehlung

Eines sollte jedoch nie vergessen werden: Es gibt keine absolute Sicherheit. Es wäre eine Illusion zu glauben, dass die modifizierten Daten unter keinen Umständen auf die tatsächliche Person zurückgeführt werden können. Es handelt sich immer um einen Wettbewerb zwischen den Angreifern und den Datenschützern.

Nichts zum Schutz personenbezogener Daten zu tun, ist daher sicherlich keine Lösung. Unsere Empfehlung wäre: „Immer nach dem neuesten Stand der Technik handeln!“ Heute kann beispielsweise eine künstliche Intelligenz persönliche Daten in Datenbanken, Dokumenten und Datenströmen viel schneller, genauer und viel billiger als ein Mensch aufspüren und „entpersonalisieren“.

Der wohl einfachste Weg, das Risiko deutlich zu reduzieren, ist die Freigabe nur einer kleinen, aber ausreichenden Datenmenge. Die Kunst besteht dann darin, zu erkennen, welche und wie viele Daten ausreichend sind.

* Dr. Andreas Martens, CEO und Co-Founder von Qurix Technology, ist IT-Berater mit den Schwerpunkten Datenanalyse und Daten-Management und sein Co-Autor Dr. Alexander Scharf ist zertifizierter Datenschutzbeauftragter und Datenschutzauditor, Fachanwalt für Arbeitsrecht bei Rechtsanwälte Scharf & Wolter PartGmbB.

(ID:46412201)