KINOTE 01.2021

10 01 | 2021 01 |

10 01 | 2021 01 | Personenbezogene Daten mit Klartextnamen Name Geb.-Tag Geschlecht PLZ Arbeitgeber Meier, Franz 18.11.65 M 50670 A Schmitz, Heinz 03.05.65 M 50672 B Becker, Karl 23.08.65 M 50678 C Wilms, Toni 14.01.76 M 51931 D May, Josef 25.10.76 M 51939 E Esser, Andrea 11.07.81 W 51105 F Schulte, Willi 13.03.81 M 51145 F Quelle: LDI NRW. 02 | Pseudonyme Daten: Name wird durch eindeutige Nummer ersetzt Name Geb.-Tag Geschlecht PLZ Arbeitgeber 1000 18.11.65 M 50670 A 1001 03.05.65 M 50672 B 1002 23.08.65 M 50678 C 1003 14.01.76 M 51931 D 1004 25.10.76 M 51939 E 1005 11.07.81 W 51105 F 1006 13.03.81 M 51145 F Quelle: LDI NRW. 03 | Anonymisierung durch Entfernung der identifizierenden Attribute Geb.-Tag Geschlecht PLZ Arbeitgeber Quelle: LDI NRW. 1965 M 5067? A 1965 M 5067? B 1965 M 5067? C 1976 M 5193? D 1976 M 5193? E 1981 * 511?? F 1981 * 511?? F Geschlecht und das Kürzen der Postleitzahl um die letzten 1 bis 2 Ziffern eine 2­Anonymität hergestellt werden. Bei genauerer Betrachtung fällt aber auf, dass für Geburtsjahr = 1981 und Postleitzahl = 511?? in beiden Fällen der gleiche Arbeitgeber F hinterlegt ist. Derartige Homogenitätsangriffe können die Anonymisierung aufheben. Ebenfalls ist zu berücksichtigen, dass durch spezifisches Hintergrundwissen (z. B.: die 1976 geborene männliche Person aus dem Postleitzahlenbereich 5193? arbeitet nicht bei Arbeitgeber D) unter Umständen Rückschlüsse auf das konkrete Attribut (hier: Arbeitgeber ist E) möglich werden. Homogenitätsangriffe werden erschwert, wenn für eine k­anonymisierte Tabelle sichergestellt ist, dass sie aus verschiedenen Datengruppen besteht, die alle mindestens l „gut repräsentierte Werte“ enthalten. In diesem Fall wird die Tabelle als l­divers bezeichnet.

01 | 2021 11 Es gibt mehrere Möglichkeiten, „gut repräsentierte Werte“ zu erreichen. Eine besteht darin, das sensible Attribut unter (l­1) Attributen zu „verstecken“. Einfache Anonymisierungsmechanismen kommen oft an ihre Grenzen Welche Werte für k und l mindestens gewählt werden müssen, damit auch im datenschutzrechtlichen Sinn eine Anonymisierung vorliegt, ist im Einzelfall unter Berücksichtigung des Risikos für die Rechte und Freiheiten der betroffenen Personen zu bestimmen. In vielen Fällen kommen einfache Anonymisierungsmechanismen dabei an ihre Grenzen. Ein Ausweg kann darin bestehen, wie im Differential­Privacy­Ansatz jeden einzelnen Datensatz zu „verrauschen“, idealerweise bereits bei der Erhebung. Diese Ungenauigkeiten können aus einer statistischen Auswertung in einem gewissen Rahmen wieder herausgerechnet werden. Sollte jedoch ein Datensatz nachträglich einer konkreten Person zugeordnet werden können, unterliegen die einzelnen Attribute weiterhin der Verrauschung, sodass ein Rückschluss auf die Person nur eingeschränkt möglich ist. Bei geeigneter Konzeption von Erhebung und Verrauschung der Attribute kann die betroffene Person mindestens glaubhaft abstreiten, eine Aussage getätigt zu haben. Ob der Vorgang der Anonymisierung selbst der DS­GVO unterliegt, ist umstritten. Höchstrichterliche Rechtsprechung fehlt. Aufgrund des weiten Verständnisses des Verarbeitungsbegriffs und der nicht abschließenden Aufzählung von Beispielen in Art. 4 Nr. 2 DS­GVO könnte die Anonymisierung als eine der DS­GVO unterfallende Verarbeitung zu verstehen sein. Die Anonymisierung stellt zwar, eine die Risiken für die betroffene Person, reduzierende Maßnahme dar (vgl. Art. 5 Abs. 1 lit. e DS­GVO, 25 Abs. 1 DS­GVO). So ist z. B. auch bei einer zweckändernden Anonymisierung im Rahmen des Art. 6 Abs. 4 DS­GVO zu berücksichtigen, dass die Daten danach nicht mehr personenbezogen sind. Würde die Anonymisierung aber als keine der DS­GVO unterfallende Verarbeitung bewertet, könnte dies dem zentralen Verbotsprinzip der DS­GVO zuwiderlaufen. Auch würde diese Bewertung den Fällen nicht gerecht, in denen die betroffene Person ebenso wie bei der Löschung und Vernichtung der Daten schutzwürdige Interessen hat, dass ihre Daten erhalten bleiben (vgl. auch Art. 18 DS­GVO). Weiterhin gilt zu bedenken, dass der Personenbezug anonymisierter Daten in Abhängigkeit fortschreitender technischer Entwicklung wiederhergestellt werden kann. Anforderungen an die Verarbeitung personenbezogener Daten Bei der Verarbeitung personenbezogener Daten sind insbesondere folgende Aspekte zu beachten: Die Gewährleistung der Rechtmäßigkeit der Verarbeitung obliegt dem Verantwortlichen im Sinne des Art. 4 Nr. 7 DS­GVO. Entscheidend ist, wer über die Zwecke und Mittel der Datenverarbeitung entscheidet. Beim Einsatz von KI kann zwischen dem Entwickler der KI­Anwendung, dem Dienstleister bzw. Hersteller des KI­Programms, dem Unternehmen, das die KI auf den Markt bringt, sowie dem Betreiber der KI­Anwendung unterschieden werden. Auch wenn KI­Anwendungen mittels selbstlernender Algorithmen eigenständige Lösungen für noch unbekannte Probleme finden, verbleibt die datenschutzrechtliche Verantwortung bei der Stelle, die sich für den Einsatz der KI im eigenen organisatorischen Hoheitsbereich entscheidet. Die DS­GVO unterscheidet zwischen eigenständig Verantwortlichen, gemeinsam für die Verarbeitung Verantwortlichen (Art. 26 DS­GVO) und Auftragsverarbeitern (Art. 28 DS­GVO). Jede Verarbeitung personenbezogener Daten bedarf einer Rechtsgrundlage nach Art. 6 Abs. 1 S. 1 DS­GVO; bei besonderen Datenkategorien ist Art. 9 DS­GVO zu beachten. In der Praxis kommen für die Entwicklung und den Einsatz von KI insbesondere die Einwilligung gemäß Art. 6 Abs. 1 S. 1 lit. a DS­GVO, die Vertragserfüllung gemäß Art. 6 Abs. 1 S. 1 lit. b DS­GVO und die berechtigten Interessen gemäß Art. 6 Abs. 1 S. 1 lit. f DS­GVO in Betracht. Sind Daten besonderer Kategorien betroffen, ist eine Datenverarbeitung nur bei Vorliegen einer der in Art. 9 Abs. 2 DS­GVO aufgelisteten Ausnahmen möglich. Für Forschungszwecke eröffnet Art. 9 Abs. 2 lit. j DS­GVO in Verbindung mit nationalen Normen, wie z. B. § 27 Abs. 1 BDSG, den Weg zur erforderlichen Abwägungsentscheidung. Im Übrigen stellt die Einwilligung nach Art. 9 Abs. 2 lit. a DS­GVO die wesentliche Rechtsgrundlage für die Verarbeitung besonderer Datenkategorien bei der Entwicklung und dem Einsatz von KI dar. Werden ursprünglich zu einem anderen Zweck erhobene Daten im Nachhinein für KI verwendet, und erfolgt die neue Verarbeitung weder aufgrund einer Einwilligung noch aufgrund