Jusletter IT

Das Datenschutzgesetz ist an den Merkmalen klassischer Datenbanken orientiert: Es sind Informationen über einzelne Objekte in vordefinierten Strukturen abgelegt; die Datenbank enthält für diese Objekte verschiedene Informationselemente (Datenarten), die ihre Bedeutung aufgrund einer beim Aufbau der Datenbank festgelegten Struktur (=Metadaten) gewinnen. An dieses Strukturwissen knüpft das Datenschutzgesetz an, in dem es genau dieses zum Gegenstand des Registrierungsprozesses (und damit auch der Prüfung der Zulässigkeit) macht. Diese klassischen Datenbanklösungen setzen voraus, dass zuerst die Strukturinformationen definiert werden; erst dann kann begonnen werden, Inhalte in das System einzugeben. Das Datenschutzgesetz bezeichnet das als «Aufnahme der Verarbeitung» (§ 18 DSG 2000).

Die pro-aktive Unterstützung der Wissensarbeit, wie Sie im vorhergehenden Beitrag von Granitzer/Makolm/Ipsmiller¹ dargestellt ist, stellt eine völlig neue Herausforderung für den Datenschutz dar, weil das System genau solche Strukturinformationen dynamisch erzeugt und damit die Hypothese der «Vordefiniertheit» von Strukturinformationen erschüttert. Das System «lernt» und kann dadurch auch nicht vorgedachte (und als Datenanwendung registrierte) Strukturinformationen generieren. Pro-aktive Systeme setzen aber auch voraus, die gesamten Aktivitäten des Benutzers aufzuzeichnen, zu speichern und zu analysieren, denn nur auf Basis solcher Daten kann ein Anwendungssystem pro-aktive Unterstützung bieten.

Quelle der Kontexterkennung ist das Verhalten eines (identifizierten) Benutzers eines Anwendungssystems – im vorliegenden Zusammenhang des Systems DYONIPOS1. Es handelt sich dabei um einen geradezu typischen Anwendungsfall eines Betroffenen gemäß dem Datenschutzgesetz. Die Aufzeichnung von Benutzeraktivitäten kann durch unterschiedliche Methoden und in unterschiedlicher Intensität erfolgen; diese Kombination von Methode und Intensität wird auch entscheidend dafür sein, ob Kontexterkennung als rechtlich zulässig angesehen werden kann oder nicht.

Benutzerverhalten kann durch vielfältige technische Maßnahmen aufgezeichnet werden:

Hinsichtlich der Intensität wird zu unterscheiden sein, ob die Aufzeichnung des Benutzerverhaltens während des gesamten Arbeitsprozesses (dauernd) oder nur zeitweise erfolgt, ob die Aufzeichnung für den Benutzer ersichtlich oder geheim erfolgt und ob, bei nur partieller Aufzeichnung, die Steuerung dem System oder dem Benutzer obliegt.

Im vorliegenden Fall wurde die Entscheidung getroffen, den geringstmöglichen Eingriff in die Datensphäre eines Benutzers zu wählen:

Das System DIONYPOS ist auf die Protokollierung der Eingaben am User-Interface, d.h. die Aufzeichnungen der Tastatureingaben sowie der Mausaktionen, beschränkt. Bild- und Tonaufzeichnungen oder gar biometrische Daten werden nicht verwendet. Das System muss vom Benutzer bewusst eingeschaltet werden und zeichnet Aktivitäten nur während der Dauer der Arbeitsperiode auf; es obliegt daher der alleinigen Hoheit des Benutzers, wann bzw. wie lange sein Verhalten aufgezeichnet wird. Die Daten aus dieser Analyse stehen auch nur ihm selbst zur Verfügung und werden nicht für andere Zwecke verwendet.

Die Funktion «Kontexterkennung» begründet daher jedenfalls eine Datenanwendung, die – das Vorliegen der übrigen Voraussetzungen unterstellt – rechtlich ziemlich unproblematisch ist. Nach § 8 (1) DSG 2000 ist die Zustimmung des Betroffenen ein Grund, der das Nicht-Vorliegen schutzwürdiger Geheimhaltungsinteressen gewährleistet. Da sich systembedingt das System nur vom jeweiligen Benutzer selbst einschalten lässt, kann dessen Zustimmung nicht zweifelhaft sein.

Während bei der Kontexterkennung der Benutzer selbst, mithin ein Betroffener, unmittelbar Gegenstand der Systemaktivitäten ist, sind Personen bei der Wissenserschließung nur mittelbar beteiligt. Objekte der Wissenserschließung sind im rechtlichen Sinne «Sachen» – und zwar einerseits solche, die dem Systembetreiber selbst gehören (eigene Sachen), aber auch solche, die anderen gehören (z.B. fremde Web-Seiten, die von einem Benutzer besucht und damit zum Gegenstand der Wissenserschließung gemacht werden).

Solche für das Wissensmanagement relevante Objekte (Artefakte²) liegen in unterschiedlichen Formen vor, die in vielen Fällen selbst bereits den Charakter einer Datenanwendung haben.³ Die Daten aus diesen unterschiedlichen Quellen werden semantisch harmonisiert und durch Text-Mining Methoden angereichert. Auch aus unstrukturierten Dokumenten wie etwa dem Beitrag, den Sie gerade gelesen, können Konzepte – mithin auch solche mit Personenbezug extrahiert werden, die vorher einer Suche nicht zugänglich waren.

Dieser Beitrag ist im technischem Sinne (hoffentlich nicht inhaltlich!) unstrukturiert, weil dafür keine Metadaten («Datenarten») existieren, wie Sie das Datenschutzgesetz für eine Meldung vorschreibt (§ 19 Abs. 1 Z. 4 DSG 2000: «die Kreise der von der Datenanwendung Betroffenen und die über sie verarbeiteten Datenarten...» . Zwar kann man auch in unstrukturierten Texten suchen (sog. «Volltextsuche»), doch ist das keine Suche auf semantischer Ebene und liefert daher auch keine Ergebnisse, die einer automatisierten Verarbeitung zugänglich wären, was für eine Abfrage aus Datenbanken typisch ist. Nur wenn man weiß, dass man eine Spalte einer Tabelle durchsucht, in der Zunamen eingetragen sind, kann man davon ausgehen, dass Resultate auf eine Suche mit «Winter» auch Personen liefert, die diesen Namen tragen. Im Rahmen einer Volltextsuche ist das Suchergebnis regelmäßig unbrauchbar, weil nicht ohne einen erheblichen Aufwand menschlicher Analysearbeit tatsächlich Dokumente bzw. Dokumententeile herausgefunden werden können, die Informationen zu Personen dieses Namens enthalten; auch die «Datenart» des Gefundenen ist undefiniert und ebenfalls nur durch menschliche Analysearbeit zuordenbar.

Das frühere DSG hat daher in seiner Definition der «Datenverarbeitung» auch explizit auf das Vorhandensein solcher (personenbezogener) Metadaten für eine Suche abgestellt und nur beim Vorhandensein einer solchen Suchoption weite Teile des Datenschutzgesetzes für anwendbar erklärt. Die Bearbeitung unstrukturierter Daten wie etwa das Erstellen von Briefen mittels Textverarbeitung fiel daher nicht unter das Datenschutzgesetz. Die Frage, inwieweit sich hier durch das DSG 2000 eine Änderung ergeben hat, wird im folgenden Kapitel noch thematisiert.

Text-Mining hat jedoch zum Ziel, auch aus solchen unstrukturierten Informationen Metadaten zu gewinnen und etwa Personen, Orte und andere begriffliche Konzepte (wie etwa Deskriptoren zum Inhalt dieses Beitrages) zu erkennen – und diese dann in einer semantisch harmonisierten Weise für Suchen bereitzustellen. Damit wird jedenfalls die Grenze zur Datenanwendung überschritten – und es stellt sich die Frage, für welche Betroffenenkreise und für welche Zwecke das zulässig ist.

Die Besonderheit des Text-Mining ist es, dass der Kreis von Betroffenen a priori nicht angegeben werden kann; es ist nicht von vorneherein planmäßig einschränkbar, welche Webseite etwa zur Lösung einer bestimmten Problemstellung nützlich ist oder gar nur in Betracht kommt; ebenso wenig ist vor dem Aufruf und damit vor der Verarbeitung durch DYONIPOS absehbar, ob darin überhaupt personenbezogene Daten enthalten sein werden. Selbst wenn ein Benutzer nach dem Studium der Inhalte personenbezogene Inhalte erkennen kann, muss dies immer noch nicht für die Text-Mining-Software gelten. Umgekehrt kann es auch sein, dass ein Personenbezug fälschlicherweise dort erkannt wird, wo er gar nicht existiert.

Im angesprochenen Projekt wurde das Problem durch «Selbstbeschränkung» gelöst; d.h. es wird der Personenbezug nur für Betroffene semantisch (d.h. durch Generierung von Metadaten) gebildet, von denen eine Zustimmung vorliegt, entweder weil es sich um im System bekannte Benutzer handelt oder um Personen, die, wie etwa der Autor dieses Beitrages, durch die Veröffentlichung ihre Zustimmung zur Verwendung der damit in Zusammenhang stehenden Daten erteilt haben. Es ist daher datenschutzrechtlich unbedenklich, die Autoren und die Themen ihrer veröffentlichten Beiträge in einer Datenbank zu sammeln – und daher auch, diese Informationen durch Text-Mining aus einem veröffentlichten Beitrag automatisch zu generieren. Die Schlussfolgerung, dass sich der Autor eines Beitrages zum Thema «Datenschutzrechtliche Implikationen semantischer Wissenserschließung» mit den Themen Datenschutz und Semantische Systeme beschäftigt, war zwar bisher nicht automatisiert erzeugbar, sondern in der Regel durch von Menschen vergebene Stichworte ergänzt worden, ändert aber nichts an der (datenschutzrechtlichen) Beurteilung.

Die Anwendung von Text-Mining auf Personen wird daher – aus technischer Sicht künstlich – beschränkt; nur Personen, die aufgrund einer anderen (bereits registrierten) Datenanwendung dem System bereits bekannt sind bzw. aufgrund einer veröffentlichten Quelle anzugeben sind, werden auch aus neuen, unstrukturierten Dokumenten als «Person» erkannt. Alle vermeintlichen Personen, die nicht in dieser Positivliste («Whitelist») vorgefunden werden, werden vom System erst gar gespeichert und gehen daher nie in die Datenbasis des Systems ein.

Da also die technischen Möglichkeiten nur dazu genutzt werden, Personenbezüge bereits im System bekannter Personen, die der Anwendung des Systems zugestimmt haben (und diese Zustimmung jederzeit widerrufen können) zu bisher unstrukturierten Artefakten herzustellen, erscheint diese Anwendung des Text-Mining rechtlich ziemlich unproblematisch. Die Betroffenen wissen daher um Ihre Eigenschaft als Betroffene; für die sonstigen Betroffenen träfe dies wohl überwiegend nicht zu. Die Nutzung von sonstigen personenbezogenen Wissenskonzepten in anonymer Form bleibt auch in jenen Fällen möglich, in denen von DYONIPOS keine personenbezogenen Metadaten generiert werden und ist in vielen Fällen auch ausreichend, weil das zur Lösung erforderliche Wissen personenunabhängig ist.

Als spezifisches Sonderproblem hat sich dann aber die Frage herauskristallisiert, ob bzw. wie denn nun diese Datenanwendung zu melden sei. Wie bereits einleitend ausgeführt, sind die Standards der Registrierung dem Muster von Datenbanken nachgebildet und gehen von einem festen System von Metadaten aus, auf denen eine Anwendung aufbaut. Zwar fand sich auch in der früheren Definition des DSG beim Begriff der «Datenverarbeitung» kein Verweis auf den Begriff der «Datenbank» – aber die Definition in § 3 Z. 5 DSG (alt) beschrieb eindeutig das, was allgemein als Datenbankanwendung verstanden wird:

Durch das DSG 2000, das auf einer entsprechenden Richtlinie der EU7 basiert, findet sich eine neue Definition für den Begriff der «Datenanwendung» (§ 4 Z. 7 DSG 2000)

Es fällt auf, dass der der EU-Richtlinie nachgebildeten Definition der Datenanwendung das Merkmal der «Auswählbarkeit von personenbezogenen Daten» fehlt – und damit ein wesentliches Merkmal, das Datenbanken von anderen (datenschutzrechtlich weniger bedrohlichen) «Trivialanwendungen» abzugrenzen half. Die Erläuterungen zur Regierungsvorlage⁴ führen dazu aus:

Diese Aussage trägt nicht wirklich zur Klarheit bei. Sind nun – wie bisher – nur Datenbanken Gegenstand einer Datenanwendung (arg. «entspricht im Prinzip dem bisherigen Begriff») oder ergibt sich durch den Wegfall der Bezugnahme auf die Strukturiertheit eine völlige Auflösung des Abgrenzungskriteriums und eine Unterstellung jeglicher elektronischer Verarbeitung unter das Datenschutzgesetz?. Sind das die «gewissen Probleme» – oder bestehen die Probleme darin, die bishere Abgrenzung, die beibehalten werden soll, nun zu begründen?

Ersteres scheinen die Kommentatoren zum DSG 2000 anzunehmen, wenn Sie schreiben:

Letzteres der OGH, wenn er ausführt:

Zusätzlich zur Definition der Datenanwendung gibt es nämlich eine zweite Definition, die der Datei: (§ 4 Z. 6 DSG 2000)

Wenn man berücksichtigt, dass es das Ziel der EU-Richtlinie war, den Datenschutz nach dem Grundsatz der Technikneutralität⁸ zu gestalten, erscheint es angebracht, die Definition dessen, was eine Datei grundsätzlich ausmacht (auch, aber nicht nur bei manueller Verarbeitung), beim Verständnis des Begriffs der Datenanwendung nicht unberücksichtigt zu lassen. Aus dieser Sicht ist daher der Ansicht des OGH eindeutig der Vorrang einzuräumen.

Die Datenschutzkommission scheint jedoch der anderen Interpretation den Vorrang einzuräumen: In der Entscheidung zur Installation eines Videoüberwachungssystems in den Wiener Linien⁹ wurde es als ausreichend erkannt, dass die Aufzeichnung der Bildinformationen mittels Digitaltechnik erfolgen sollte. Der Zweck, aufgezeichnete Personen, wenn auch nur im Bedarfsfall, zu identifizieren, sollte ausreichen, um eine Datenanwendung zu begründen. Es ist der Entscheidung nicht zu entnehmen, dass die Automatisationsunterstützung sich auf diese Identifikationsaufgabe erstreckt hätte. Wäre die Aufzeichnung mit nicht elektronischen Kameras erfolgt, so wäre das Vorliegen einer Datenanwendung (im Umweg über § 58) zu verneinen. Die geforderte Technikneutralität ist durch diese Interpretation gerade nicht gegeben. Folgte man der Rechtsansicht des OGH, dann wäre diese gegeben, weil auch im Falle einer digitalen Aufzeichung sich die Automatisationsunterstützung nur auf die Durchführung der Aufzeichnung beschränken würde und es an der Zugänglichkeit der Information nach einem (personenbezogenen) Suchkriterium mangeln würde. Diese Interpretation würde daher die beabsichtige Technikneutralität gewährleisten – allerdings keine Handhabe gegen den Einsatz von Videoaufzeichnungen bieten.

Aus Sicht des Projekts DYONIPOS sind die Konsequenzen gerade umgekehrt. Wenn jegliches System, auch wenn es nur im «Akten und Aktensammlungen..., die nicht nach bestimmten Kriterien strukturiert sind¹⁰...»¹¹ enthält, ohnehin schon eine Datenanwendung darstellt, dann stellt die Anwendung semantischer Technologien auf diese Daten nur ein Mehr an Automatisationsunterstützung dar, das im Sinne der datenschutzrechtlichen Definition irrelevant ist.

Das hat dann zur Konsequenz, dass sich durch den Einsatz semantischer Technologien keine Änderung ergibt, solange die Daten aus bereits gemeldeten Datenanwendungen stammen bzw. aus öffentlichen Quellen entnommen werden, da derartige Datenanwendungen gemäß § 17 Abs. 2 Z. 1 DSG 2000 von der Meldepflicht ausgenommen sind.

Folgt man dagegen der hier vertretenen Rechtsansicht, dann stellen im technischen Sinne unstrukturierte Dokumente, d.h. solche, bei denen keine Metadaten existieren bzw. nur solche, die keinen Personenbezug aufweisen, keine Datenanwendung dar.

Die Anwendung semantischer Technologien auf solche unstrukturierten Dokumente («Akten») führt zur Erzeugung von Metadaten – auch von solchen mit Personenbezug – und konstituiert damit das Vorliegen einer Datenanwendung. Der Einsatz von Text-Mining-Software wird damit auch «offenbar» – was im Hinblick auf das Potenzial solcher Werkzeuge für die Gefährdung von Datenschutzinteressen sehr wünschenswert erscheint.

Wissensmanagementsysteme, die auf semantischen Technologien aufbauen und dazu Methoden der Kontextanalyse und Wissenserschließung, insb. Text-Mining einsetzen, implizieren ein erhebliches Gefährdungspotenzial in datenschutzrechtlicher Hinsicht.

Hinsichtlich des Problembereichs der Kontextanalyse ist eine Lösung auf technischer Ebene umsetzbar; das Softwaresystem kann in einer Weise gestaltet werden, in der die datenschutzrechtliche Zulässigkeit relativ zweifelsfrei beurteilt werden kann.

Hinsichtlich der Beurteilung der Methoden des Text-Mining besteht erhebliche Rechtsunsicherheit, die sich insbesondere auf den zweifelhaften Inhalt des Begriffs der «Datenanwendung» gemäß DSG 2000 zurückführen lässt.

Die Tendenz der Rechtsprechung der Datenschutzkommission scheint dahin zu gehen, den Begriff ausweitend zu verstehen und damit jegliches elektronische Informationssystem als Datenanwendung zu sehen. Das scheint auf den ersten Blick für den Datenschutz positiv zu sein. Auf den zweiten Blick scheint es aber eher als Gefahr – nämlich die einer «Verwässerung» des Datenschutzes. Wenn Text-Mining-Software unkontrollierbar, weil datenschutzrechtlich irrelevant, auf «Akten» eingesetzt werden könnte, dann wird daraus eine völlig neue Bedrohung entstehen. Viele Benutzer gehen heute relativ sorglos mit ihnen «harmlos» erscheinenden Anwendungen und posten eine Vielzahl persönlicher Informationen in Social-Web-Plattformen. Dieses Verhalten ist an sich schon problematisch; noch um Potenzen größere Probleme sind aber zu erwarten, wenn solche Quellen sowie die riesigen Datenmengen bei Suchmaschinen durch Text-Mining und Bilderkennungsmethoden mit personenbezogenen Metadaten angereichert werden dürfen und damit personenbezogen verknüpfbar gemacht werden. Diese Gefährdung wird umso größer, wenn man die sehr unterschiedlichen Regelungsstandards für Datenschutz außerhalb der EU in Betracht zieht – und dem die Grenzenlosigkeit von Text-Mining-Software gegenüberstellt.

Johannes Kepler Universität Linz, AT
johann.hoeller@jku.at