Jusletter IT

Es ist offensichtlich – wir leben im Informationszeitalter. Durch die Digitalisierung aller Lebensbereiche fallen immer mehr Daten an.

Hier soll stellvertretend nur auf unsere Kommunikationsgeräte, auf Internet und Social Media oder das «Internet der Dinge» und den zunehmenden Einsatz von Sensoren in Alltagsgegenständen hingewiesen werden. Alle unsere Äusserungen, überhaupt alles über uns liegt digital – in Datenbeständen abgelegt – vor. Der Datenbestand wächst exponentiell. Dieser Fundus an Daten kann für Wirtschaft und Staat höchst wertvoll sein. Nicht zu Unrecht werden die Datenbestände denn auch als «das Öl des 21. Jahrhunderts» bezeichnet.¹ Durch den technischen Fortschritt der letzten Jahre in den Bereichen Hardware/Software sowie der Übertragungstechnik ist es nun möglich, diese «Ölvorkommen» auch zu fördern, somit praktisch unbeschränkt grosse Datenbestände effizient und effektiv zu analysieren und auszuwerten.

Was die Technik hier ermöglicht, muss aber in einem gesellschaftlichen Zusammenhang gesehen werden, haben doch Speicherung und Analyse einer Vielzahl von Daten über Personen durch Wirtschaft und Staat in aller Regel² grosse Auswirkungen auf jede einzelne betroffene Person.³ Angesprochen und gefordert ist daher das Recht, insbesondere die Regelung des Schutzes der Privatsphäre.

Big Data ist nicht nur ein Thema der Wirtschaft. Auch der Staat verfügt über Schätze, die allenfalls gehoben werden wollen. Es ist offensichtlich – hier ist mit massiven Konflikten bezüglich des Datenschutzrechts zu rechnen. Es lohnt sich deshalb, einen Blick auf die Rechtslage von Big Data im öffentlichen Recht zu werfen. Da in der Schweiz den Kantonen bekanntlich in vielen Bereichen eine abschliessende Kompetenz zur Gesetzgebung zukommt, soll im Folgenden im Sinne einer Auslegeordnung geprüft werden, wie es um die Rechtslage von Big Data im öffentlichen Recht der Kantone im Hinblick auf den Datenschutz steht. Da es sich um einen Überblick in grundsätzlicher Hinsicht handelt, wird punktuell auf die Rechtslage verschiedener Kantone Bezug genommen.

Weder eine verbindliche noch eine exakte Definition von Big Data liegt vor.⁴ Im Zusammenhang mit Big Data werden üblicherweise jedoch die folgenden vier⁵ Aspekte⁶ bei der Auswertung und Analyse von Daten als zentral betrachtet⁷:

• Datenmenge: Die zu analysierenden Datenbestände können letztlich beliebig gross sein (die Auswertungstools sind in der Lage, die Datenbearbeitung auf eine Vielzahl von Rechnern zu verteilen).
• Verarbeitungsgeschwindigkeit: Diese ist in aller Regel sehr hoch (Resultate von Auswertungen können – wie etwa bei einer Google-Suche – innerhalb von Sekunden vorliegen).
• Datenheterogenität (auch: Datenvielfalt): Daten müssen nicht wie bis anhin in einem bestimmten Datenformat und strukturiert in einer Datenbank abgelegt sein, um auswertbar zu sein. Vielmehr darf es sich um beliebige Formate an beliebigen Orten handeln (somit etwa: Tabellen, Text, Bilder, Sensor-, Audio- oder Videodateien).
• Datenqualität (auch: Datenrichtigkeit): Die Datenbestände können auch «unscharfe», «ungenaue», ungesicherte oder ungeprüfte Daten enthalten (dies kann durch entsprechende Analysetools berücksichtigt und aufgefangen werden).

Im Folgenden wollen wir uns auf die datenschutzrechtlichen Aspekte von Big Data in der kantonalen⁸ Verwaltung beschränken. Nicht eingegangen wird etwa auf Fragen des Urheber-, des Straf-, des Haftungs- oder des Archivrechts.⁹

Im Bereich von Big Data stellt sich oft auch die Frage, ob die damit im Zusammenhang stehenden Datenverarbeitungen in jeder Beziehung sicher vorgenommen werden – das Thema IT-Security ist angesprochen. Allfällige Datenverarbeitungen im Rahmen von Big Data durch die Kantone haben sich an die allgemeinen kantonalen gesetzlichen Vorgaben bezüglich der Informationssicherheit zu halten. Es ist darauf zu verweisen. Auf Ausführungen bezüglich IT-Security kann hier deshalb verzichtet werden.

Die kantonalen Datenschutzrechte sehen für die Zwecke Forschung, Planung, Wissenschaft und Statistik in der Regel besondere Vorschriften vor,¹⁰ welche diese Datenbearbeitungen privilegieren. Quelldaten sind zwar meist Personendaten und die Ergebnisse enthalten allenfalls auch noch Angaben zu bestimmten oder bestimmbaren Personen – jedoch erfolgen diese Bearbeitungen zu nicht personenbezogenen Zwecken. Rechtliche Vorgabe ist denn auch, dass jeglicher Personenbezug sobald als möglich, jedenfalls spätestens bei der Publikation, unwiderruflich entfernt wird.

Unter Beachtung der entsprechenden kantonalen Vorgaben des Datenschutz- bzw. Statistikrechts ist der Einsatz von Big Data Tools im Rahmen von Forschung, Planung, Wissenschaft und Statistik grundsätzlich zulässig.

Die kantonale öffentliche Verwaltung verfügt über umfassende Datenbestände aus den verschiedensten Lebensbereichen der Einwohnerinnen und Einwohner sowie weiterer Personen¹¹. In aller Regel haben die Daten der Verwaltung eine sehr hohe Qualität, was für Auswertungen wertvoll ist.

Einige kantonale Datenschutzstellen veröffentlichen im Internet ein Verzeichnis aller im jeweiligen Kanton geführten Datensammlungen (als «Register der Datensammlungen» bezeichnet). Dabei weisen die folgenden Kantone die folgende Anzahl unterschiedlicher Datensammlungen nach: Kanton Nidwalden ca. 115¹², Kanton Obwalden ca. 170¹³, Kanton Schwyz ca. 170¹⁴, Kanton Zug ca. 350¹⁵, Kanton St. Gallen rund 700¹⁶. Obwohl alle aufgeführten Kantone in etwa die gleichen Aufgaben zu erfüllen haben, somit ungefähr dieselbe Anzahl Datensammlungen aufweisen sollten, sind hier offensichtlich ganz erhebliche Unterschiede festzustellen. Diese lassen sich damit erklären, dass in den einen Kantonen verschiedene Datenbestände in einer einzigen Datensammlung zusammengefasst, in anderen Kantonen hingegen als separate Datensammlungen registriert werden.

Big Data ist nicht nur ein Thema, das die Wirtschaft interessiert – vielmehr kann diese Art der Datenbearbeitung zukünftig auch für kantonale Behörden eine Rolle spielen. Im Folgenden werden ein paar naheliegende mögliche Anwendungsbeispiele aufgeführt. Beim Einsatz von Big Data setzt aber nur die Phantasie die Grenzen, wird doch auf diesem Gebiet in Zukunft schlechterdings «alles» möglich sein.

Richter¹⁷ zitiert in seinen Ausführungen einen hohen deutschen Polizeibeamten, demgemäss Big Data offenbar wie folgt zum Einsatz kommen kann: Werden in einem bestimmten Wohn- oder Industriegebiet, das für Einbrecher interessant sein könnte, auffällig viele Smartphones mit ausländischen Telefonnummern und gleichzeitig unüblich viele Transportfahrzeuge mit ausländischer Immatrikulation erkannt,¹⁸ rückt die Polizei zu einem Augenschein vor Ort aus. Es wird hier somit versucht, aufgrund von Big Data zukünftiges Handeln vorherzusehen¹⁹ – «Predictive Policing» ist hier das Stichwort.²⁰

Im Jahr 2014 berichteten die Medien über eine Demonstration in Kiew.²¹ Dabei habe die Polizei Demonstrierende eingekesselt und offenbar auf elektronischem Weg deren²² Handydaten erfasst, um ihnen anschliessend per SMS mitzuteilen, dass sie nun als Teilnehmer einer gewalttätigen Demonstration registriert seien. Die ukrainischen Telekom-Unternehmen bestritten in der Folge, der Polizei Nutzerdaten geliefert zu haben.²³

Aufnahmen von Datenbrillen²⁴ oder Videoüberwachungsanlagen des öffentlichen Raums können mit Gesichtserkennung-Software analysiert und mit weiteren vorhandenen bzw. von Dritten beschafften Daten verknüpft werden.

Die Versorgung der Bevölkerung mit Strom, Gas oder Fernwärme ist eine öffentliche Aufgabe. Für die Erfassung des Energiebezugs kommt je länger je mehr «Smart Metering» zum Einsatz. Weil die Erfassungsgeräte Verbrauchsdaten kontinuierlich erfassen können, wird ein sehr aussagekräftiges Profil über das Verhalten der Haus- oder Wohnungsbewohnenden angelegt. Auch hier besteht die Möglichkeit, die Verbrauchsdaten mit Personendaten aus anderen Bereichen zu verknüpfen.²⁵

Die meisten Kantone betreiben selber Spitäler oder lassen solche in mehr oder weniger selbständiger Form führen. Bei den Krankenhäusern fallen aus den verschiedensten Bereichen grosse Mengen an Gesundheitsdaten an. Zu denken ist etwa an Krankenberichte, Laboruntersuchungen, MRI/CT/Röntgen, Forschung, Administration etc. Diese Datenbestände – insbesondere in Kombination mit Daten aus anderen Bereichen – können mit Instrumenten von Big Data analysiert bzw. erschlossen werden.

Die Mitarbeitenden der Verwaltung können durch die Analyse ihrer verschiedenen elektronischen Arbeitsgeräte – PC/Notebook, Festtelefon, Handy oder Pager – bezüglich Arbeitsweise, Effizienz, Verhalten und Compliance systematisch, exakt und permanent automatisiert überwacht werden.

Big Data Auswertungen können aber auch bei der Rekrutierung von neuen oder bei der Evaluation von bisherigen Mitarbeitenden eingesetzt werden.

Der Staat ist in vielen Bereichen auf Angaben der Bürgerinnen und Bürger angewiesen (etwa: Steuern, Soziales, Wohnsitz). Dabei muss sich der Staat oft ungeprüft darauf verlassen, dass die ihm gemachten Angaben korrekt sind. Big Data kann mächtige Instrumente zur automatisierten Kontrolle und Überwachung der unterschiedlichsten Lebenssachverhalte zur Verfügung stellen: Erscheinen die Angaben des Steuerpflichtigen insgesamt als korrekt oder meldet Big Data, dass sie durch einen Mitarbeitenden näher zu überprüfen sind?

Die meisten Kantone verfügen über zentrale verwaltungseigene Informatikdienstleister. Bei diesen können zur Gewährleistung der IT-Security ein- und ausgehende Datenströme mittels Big Data Tools analysiert werden.²⁶

Im gesamten Werk «Big Data und Recht» von Hoeren²⁷ finden sich bezüglich Big Data in der Verwaltung mit dem Hinweis auf Weichert²⁸ nur die beiden folgenden Sätze: «Öffentliche Stellen verarbeiten Daten grundsätzlich aufgabenbezogen und unterliegen dabei einem strengen Zweckbindungsgrundsatz. Insoweit kommt eine Big-Data-Auswertung durch öffentliche Stellen nur aufgrund gesetzlicher Spezialregelungen in Betracht.» Können wir das Thema Big Data im staatlichen Umfeld damit zur Seite legen? M.E. lohnt es sich, eine kleine Auslegeordnung der datenschutzrechtlichen Aspekte vorzunehmen.

Das Datenschutzrecht schützt die Persönlichkeit bzw. die Privatsphäre von Personen. Es ist somit nur dann anwendbar, wenn Daten bearbeitet werden, die einen Bezug zu einer natürlichen oder juristischen Person haben. Die Person muss bestimmt oder bestimmbar sein. Diese Regelung finden wir nicht nur im Bundesrecht,²⁹ sondern ebenso in allen kantonalen Datenschutzregelungen.³⁰

Bestimmt ist eine Person, wenn sich aus der Information selber bzw. aus dem direkten Zusammenhang ergibt, um welche Person es sich handelt.³¹ Zu denken ist etwa an Informationen, die einem Personalausweis entnommen werden können³² oder solchen aus ausgefüllten Formularen, wie etwa der Steuererklärung, einem Baugesuch oder einer Strafanzeige. In allen diesen Fällen ist direkt ersichtlich, auf welche Person sich die fraglichen Informationen bzw. Datenbearbeitungen beziehen.

Bestimmbar ist eine Person, wenn die Möglichkeit besteht, anhand von Abklärungen oder in Kombination mit anderen Daten ihre Identität festzustellen. Beispielsweise kann anhand der Adresse einer Liegenschaft ohne weiteres deren Eigentümer³³ oder anhand des Autokennzeichens der Fahrzeughalter³⁴ ermittelt werden.

Liegen Daten vor, die keinerlei Zusammenhang zu einer Person haben, handelt es sich um Sachdaten. Zu denken ist etwa an Statistiken, Strategien, Resultate von Schadstoffmessungen des Seewassers oder meteorologische Daten. Die Unterscheidung zwischen Personendaten und Sachdaten ist von grosser praktischer Bedeutung, da die Bearbeitung von Sachdaten nicht dem Datenschutzrecht³⁵ unterliegt. Im Zusammenhang mit Big Data ist zudem zu beachten, dass die kantonalen Datenschutzgesetze nur diese beiden Kategorien kennen – tertium non datur. Eine dritte Kategorie oder Zwischentöne gibt es somit im geltenden Recht nicht. Darauf wird zurückzukommen sein.³⁶

Bei anonymisierten Daten handelt es sich um Daten, die ursprünglich einen Personenbezug aufwiesen, jedoch derart bearbeitet wurden, dass dieser Bezug zu einer bestimmten oder bestimmbaren Person nicht mehr besteht.³⁷ Es wird somit das Band zu einer Person durchgeschnitten. Wichtig ist dabei, dass dieser Anonymisierungsprozess vollständig, umfassend und irreversibel vorgenommen wird.³⁸ Wie im Bundesrecht³⁹ sehen übrigens die meisten älteren kantonalen Datenschutzgesetze ausdrücklich vor, dass die Anonymisierung eine gleichwertige⁴⁰ Alternative zur Löschung von Personendaten darstellt.⁴¹ Neuere kantonale Gesetze hingegen sehen am Ende des Lebenszyklus zu Recht nur noch die Alternativen Archivierung oder Vernichtung vor.⁴²

Es stellt sich die Frage, wann Personendaten rechtsgenügend anonymisiert sind, damit die Zuordnung zu einer Person aufgrund der Restdaten nicht mehr möglich ist, somit «jeder Bezug zur betroffenen Person ausgeschlossen ist».⁴³ Zuzustimmen ist Rosenthal, der fordert, dass für niemanden, somit auch für den Datenbearbeiter selber nicht mehr bekannt ist, zu welcher Person die Daten vor der Anonymisierung einen Bezug hatten.⁴⁴ Gemäss Jöhri darf selbst auch der Einsatz von «ausserordentlichem Aufwand» nicht zur Identifikation der betroffenen Person führen.^45,46

Die Lehre geht mit dem Bundesgericht⁴⁷ davon aus, dass jeweils der konkrete Einzelfall zu prüfen ist.⁴⁸ Entscheidend ist dabei einerseits, welcher Aufwand betrieben werden muss, um eine Information einer Person zuordnen zu können (objektive Komponente) und andererseits, welches Interesse der Datenbearbeiter an der Identifizierung hat, somit bereit ist, den erforderlichen Aufwand auch zu betreiben (subjektive Komponente).⁴⁹ Beim Ganzen spielt auch der Stand der Technik eine wichtige Rolle.⁵⁰

Schon immer war die Frage entscheidend, was vorzukehren ist, damit aus Personendaten rechtsgenügend anonymisierte Daten – somit Sachdaten – werden. Aufgrund von Big Data hat sie jedoch eine neue Dimension erhalten, ist doch nun die Verknüpfung von beliebigen Daten, Informationen und Formaten in einer solchen Weise möglich, dass oft wieder ein Personenbezug hergestellt werden kann.⁵¹

So zeigte eine oft zitierte Studie aus den USA auf, dass offenbar 87% der gesamten Bevölkerung der Vereinigten Staaten – somit 216 von 248 Millionen Personen – anhand der drei folgenden Kriterien identifizierbar sind: Geburtsdatum, Postleitzahl des Wohnorts und Geschlecht.⁵² Eine Untersuchung aus dem Jahr 2006 kam hingegen zum Schluss, dass nicht 87%, sondern nur gut 63% der US-Bevölkerung aufgrund dieser drei Kriterien identifizierbar sei.⁵³ Unabhängig davon, ob 63% oder 87% zutreffend sind, erstaunt doch sehr, dass jedenfalls mehr als die Hälfte der US-Bevölkerung anhand von bloss drei Kriterien identifizierbar ist. Werden somit Resultate medizinischer Studien veröffentlicht, welche diese Informationen noch enthalten – was in den USA offenbar häufig geschieht – , ist es ohne weiteres möglich, den Namen des betroffenen Patienten zu ermitteln und dadurch Zugang zu seinen Gesundheitsdaten zu erlangen.

Es stellt sich nun die Frage, ob die Verknüpfung von (vielen) anonymisierten Daten grundsätzlich (stets) eine Re-Individualisierung ermöglicht oder ob die (vermeintlich) anonymisierten Daten eben bloss nicht effektiv genug anonymisiert wurden. Würde im vorstehenden Beispiel etwa nicht das Geburtsdatum, sondern nur das Geburtsjahr – oder noch besser, Altersklassen (z.B. aggregiert aus fünf Jahrgängen) – veröffentlicht und zudem nicht die Postleitzahl, sondern bloss Angaben zum County – oder gar nur zum US-Gliedstaat – so könnte hier (wohl) kein Personenbezug mehr hergestellt werden.

Eine Re-Individualisierung kann demnach (wohl) in den meisten Fällen verhindert werden, wenn nur die Vorgaben bezüglich rechtsgenügender Anonymisierung streng genug sind. Es ist jedoch davon auszugehen, dass dies nur in der Theorie funktioniert, nicht aber in der Praxis, da beim Zugänglichmachen von anonymisierten Daten nicht bekannt ist, mit welchen anderen Daten später Verknüpfungen vorgenommen werden. Je mehr anonymisierte Daten aus den verschiedensten Bereichen zur Verfügung stehen, desto grösser ist das Risiko, dass eine Re-Individualisierung eben doch wieder möglich ist.

Aufgrund der Möglichkeiten im Rahmen von Big Data sind Personendaten konsequenter und effektiver als bisher zu anonymisieren. Dadurch wird das Risiko einer Re-Individualisierung massiv gesenkt.

Da eine Re-Individualisierung in der Praxis jedoch nie ausgeschlossen werden kann, ist zu prüfen, wie diese rechtlich zu beurteilen ist.⁵⁴

Ergänzend sei hier noch auf pseudonymisierte Personendaten hingewiesen. Dabei handelt es sich um Personendaten, bei denen der Personenbezug nicht unwiderruflich entfernt wurde. Es handelt sich somit nicht um eine Anonymisierung im Sinne des Datenschutzrechts.⁵⁵ Das deutsche Bundesdatenschutzgesetz⁵⁶ definiert den Vorgang wie folgt: «Pseudonymisieren ist das Ersetzen des Namens und anderer Identifikationsmerkmale durch ein Kennzeichen zu dem Zweck, die Bestimmung des Betroffenen auszuschliessen oder wesentlich zu erschweren.» Zu denken ist etwa an Laborergebnisse, bei denen der Patientenname durch einen Code ersetzt wird. Wer zukünftig mit diesen Daten arbeitet, kennt nur den Code, kann somit keine Zuordnung zum Patienten machen. Da jedoch die Codierungsstelle nach wie vor den Bezug zu den einzelnen Patienten herstellen kann, ist diese Art der Anonymisierung nicht irreversibel. Die pseudonymisierten Daten sind daher rechtlich grundsätzlich⁵⁷ wie Personendaten, nicht wie Sachdaten zu behandeln.⁵⁸ Etwas anderes gilt nur dann, wenn die Zuordnungsinformationen irreversibel vernichtet werden und die pseudonymisierten Daten wie vorstehenden im Abschnitt 6.1.3 ausgeführt, korrekt anonymisiert sind.⁵⁹

Werden rechtmässig und vollständig anonymisierte Daten mittels Big Data analysiert und ist bezüglich der Auswertung weder ein Personenbezug geplant, noch kann sich ein solcher – selbst auch nicht unbeabsichtigt – ergeben, so besteht bei einer solchen Datenbearbeitung zu keinem Zeitpunkt ein Personenbezug. Das Datenschutzrecht kommt daher nicht zur Anwendung.

Sofern die datenbearbeitende Verwaltungsstelle auf anonymisierte Daten einer anderen kantonalen Verwaltungsstelle angewiesen ist, kommt das jeweilige kantonale Statistikrecht zur Anwendung. Je nach Datenbestand ist zu prüfen, ob allenfalls Amts- oder Berufsgeheimnis einer Datenbekanntgabe im Wege stehen.

In den Bereichen Forschung, Planung, Wissenschaft und Statistik ist nicht auszuschliessen, dass Auswertungsergebnisse vorerst noch einen Personenbezug aufweisen. Dieser ist jedoch spätestens beim Zugänglichmachen von Resultaten zu eliminieren.

Forschung, Planung, Wissenschaft und Statistik bilden jedoch nicht Gegenstand des vorliegenden Beitrags.⁶⁰

Sollen Personendaten mittels Big Data Tools mit weiteren Personen- oder Sachdaten zusammen analysiert und ausgewertet werden, um personenbezogene Ergebnisse zu erhalten, so ist dafür eine ausdrückliche formell-gesetzliche Rechtsgrundlage erforderlich, stehen doch einem solchen Vorgehen insbesondere die folgenden fundamentalen Grundsätze des Datenschutzrechts entgegen:

• Zweckgebundenheit. Die Quelldaten dürfen ausschliesslich für den gesetzlich vorgesehenen Zweck verwendet werden. Big Data Auswertungen erfolgen hingegen zu anderen, allenfalls auch ergebnisoffenen Zwecken.
• Transparenz/Erkennbarkeit für Betroffene: Jede Datenbearbeitung muss für Betroffene grundsätzlich erkennbar sein.⁶¹ Das ist bei Big Data nicht der Fall, da die Datenbearbeitung eine «Zweitauswertung» darstellt, von welcher der Betroffene nichts erfährt, da sie zu einem beliebigen späteren Zeitpunkt erfolgen kann.
• Datensparsamkeit/Verhältnismässigkeit: Das Verhältnismässigkeitsprinzip verlangt, dass die Verwaltung möglichst wenige Personendaten erhebt und bearbeitet. Verschiedene Kantone sehen das Prinzip der Datensparsamkeit in ihren Datenschutzgesetzen ausdrücklich vor.⁶² Big Data steht dem diametral gegenüber, wird doch versucht, möglichst viele Daten zu erheben, zu erschliessen und auszuwerten.
• Missachtung der Rechte Betroffener (Einsicht / Auskunft, Berichtigung): Die betroffene Person muss wissen, welche Verwaltungsstelle welche Daten über sie bearbeitet. Nur so kann sie ihre Rechte bezüglich Auskunft und Einsicht ausüben nur so kann sie überprüfen, ob die über sie vorhandenen Daten richtig sind (falls dem nicht so ist, stehen ihr entsprechende Rechtsbehelfe zur Verfügung.⁶³ Von Big Data Auswertungen haben die Betroffenen jedoch regelmässig keine Kenntnisse, ihre Rechte können sie daher nicht wahrnehmen.

Zudem werden bei Big Data in aller Regel auch besonders schützenswerte Personendaten bearbeitet bzw. sind Zusammenstellungen von Informationen, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit natürlicher Personen erlauben («Persönlichkeitsprofile»). In diesen Fällen verlangen die kantonalen Datenschutzrechte, dass solche Datenbearbeitungen in einem formellen Gesetz zu regeln sind.

Alle kantonalen Datenschutzrechte lassen Datenbearbeitungen (u.a.) dann zu, wenn die betroffene Person diesbezüglich ihre Einwilligung bzw. Zustimmung erteilt.⁶⁴ Es stellt sich somit die Frage, ob der Betroffene (vorgängig) seine Einwilligung für (spätere) Big Data Auswertungen erteilen kann. Aus den folgenden Gründen ist dies u.E. nicht zulässig:

(1) Das kantonale Datenschutzrecht sieht in aller Regel vor, dass die Einwilligung vorgängig, nur im Einzelfall und zudem nur ausdrücklich abgegeben werden kann. Dies setzt die Informiertheit des Betroffenen bezüglich der zu erwartenden Datenbearbeitungen voraus. Der Betroffene muss die Folgen seiner Einwilligung überblicken können. Bei Big Data ist jedoch im Vorfeld meist gerade nicht klar, was mit den vorhandenen Daten gemacht wird, welche Datenbearbeitungen bzw. Auswertungen vorgenommen werden.

Da es sich bei Big Data um den Einsatz einer eigentlichen «Carte blanche» handelt, kann der Betroffene u.E. somit grundsätzlich nicht vorgängig seine Einwilligung erteilen.

(2) Die Einwilligung Betroffener ist im öffentlichen Recht grundsätzlich äusserst kritisch zu beurteilen,⁶⁵ widerspricht sie doch letztlich dem Legalitätsprinzip⁶⁶: Ist die Verwaltung für ihre Aufgabenerfüllung auf Daten angewiesen, ist dies in den entsprechenden Rechtserlassen so vorzusehen bzw. sind die erforderlichen gesetzlichen Grundlagen zu schaffen. Gibt es jedoch keine gesetzliche Grundlage für die Datenbeschaffung, ist letztere grundsätzlich auch nicht zulässig. Hier nun die Figur der Einwilligung des Betroffenen aus dem Hut zu zaubern, ist u.E. grundsätzlich⁶⁷ nicht sachgerecht, werden damit doch Datenbearbeitungen ermöglicht, für die es keine gesetzlichen Grundlagen⁶⁸ gibt, die somit auch nicht rechtmässig sind. In der Praxis nimmt die Verwaltung jedoch oft Zuflucht zum Instrument der Zustimmung.⁶⁹ Zu bedenken ist auch, dass Verwaltung und Betroffener sich nicht auf gleicher Augenhöhe begegnen, somit in aller Regel von Freiwilligkeit keine Rede sein kann.⁷⁰

Soweit ersichtlich, gibt es bis anhin keine kantonalen gesetzlichen Grundlagen, die Datenbearbeitungen im Bereiche von Big Data ausdrücklich zulassen.

Hingegen gibt es eine neue Bestimmung im Energierecht des Kantons Zug, die Big Data mit Absicht grundsätzlich verhindert, hat doch der Zuger Gesetzgeber beim Einsatz von Smart Metering – sehenden Auges⁷¹ – vorgegeben, dass die Energieverbrauchsdaten im Smart Meter selber, somit in den Räumlichkeiten der Kunden, während eines Monats zu aggregieren sind und nur diese aggregierten Daten am Ende des Monats durch den Netzbetreiber dem Energielieferanten für die Rechnungsstellung zugestellt bzw. übertragen werden dürfen.⁷² Im Übrigen ist jede Weitergabe von Verbrauchs- oder Kundendaten ausdrücklich untersagt.⁷³ Diese Regelung verhindert die Erfassung durch bzw. die Übertragung von Verbrauchswerten im 5-Minuten-Takt an den Energieversorger – wie sonst üblich – und schützt dadurch die Privatsphäre der Energiebezüger.⁷⁴ Zu Recht sind davon abweichende vertragliche Vereinbarungen zwischen Netzbetreiber/Energieversorger und Energiebezüger möglich⁷⁵ – zu denken ist hier in erster Linie an Unternehmen, die detaillierte und strukturierte Verbrauchs- bzw. Lastdaten benötigen.

Zu Recht weist Baeriswyl darauf hin, dass es nicht möglich sein sollte, aus anonymisierten Daten wieder einen Personenbezug herzustellen,⁷⁶ gibt das Datenschutzrecht doch vor, dass die Anonymisierung von Personendaten gerade so vorzunehmen ist, dass es eben nicht mehr möglich ist, auf die betroffene Person zu schliessen (s. dazu die Ausführungen vorne im Abschnitt 6.1.3 zur Anonymisierung). Ist die Schaffung eines Personenbezugs doch möglich, ist zu prüfen, ob die gesetzlichen Vorgaben bezüglich Anonymisierung eingehalten sind. Ist dies nicht der Fall, sind die Daten durch entsprechende Reduktion von Personenmerkmalen stärker zu anonymisieren.

In vielen Fällen ermöglicht es Big Data jedoch, selbst aus rechtskonform anonymisierten Daten nachträglich wieder einen Personenbezug herzustellen. Das ist insbesondere dann der Fall, wenn anonymisierte Daten aus einer genügend grossen Anzahl unterschiedlicher Quellen und Bereiche ausgewertet werden. Bei einer solchen Re-Individualisierung – somit dem Herstellen eines Bezugs zu den ursprünglich betroffenen Personen – handelt es sich um die Bearbeitung von Personendaten. Diese Bearbeitung unterliegt ohne weiteres dem Datenschutzrecht und deren Rechtmässigkeit ist aufgrund der anwendbaren kantonalen Datenschutzbestimmungen zu beurteilen.

Sofern der Datenbearbeiter der Quelldaten seine Pflichten bezüglich der rechtmässigen Anonymisierung erfüllt hat, liegt es u.E. – jedenfalls im hier zu diskutierenden kantonalen Umfeld – nicht mehr in seiner Verantwortung, wie allfällige kantonale Verwaltungsstellen später mit seinen rechtskonform anonymisierten Daten umgehen. Verantwortlicher Datenbearbeiter ist diesfalls nun diejenige Verwaltungsstelle, die aufgrund von Big Data-Analysen einen Personenbezug herstellt.

Soweit Sachdaten oder anonymisierte Daten publiziert bzw. frei zugänglich sind, darf die Verwaltungsstelle solche für allfällige Big Data Analysen heranziehen.⁷⁷ Zu denken ist etwa an veröffentlichte statistische Daten oder «Open Government Data»⁷⁸.

Verfügt die Verwaltungsstelle intern über eigene Datenbestände an Sachdaten oder anonymisierten Daten, darf sie diese zur Erfüllung ihrer gesetzlich vorgeschriebenen Aufgaben für allfällige Big Data Analysen nutzen.

Anders sieht es bezüglich Personendaten aus. Diese dürfen nur dann für Big Data Analysen verwendet werden, wenn die Nutzung dem ursprünglichen Erhebungszweck entspricht oder eine entsprechende ausdrückliche gesetzliche Grundlage dies zulässt. In allen übrigen Fällen dürfen selbst amtsintern vorhandene Personendaten nicht für Big Data Auswertungen genutzt werden.

Soweit nicht Amts-, Berufs- oder Spezialgeheimnisse⁷⁹ bzw. Schweigepflichten dem entgegenstehen, dürfen Sachdaten und anonymisierte Daten – nicht aber Personendaten – anderer kantonsinterner Verwaltungsstellen für allfällige Big Data Analysen herangezogen werden.

Sachdaten und anonymisierte Daten – nicht aber Personendaten – von Bund bzw. von anderen Kantonen dürfen für Big Data Auswertungen übernommen werden, sofern die fraglichen externen Stellen zur Datenbekanntgabe befugt sind.

In- oder ausländische Unternehmen verfügen über beliebige Bestände an Kundendaten. Daten aus verschiedenen Sachbereichen könnten auch für die Verwaltung von grossem Interesse sein. Zu denken ist etwa an Kommunikationsdaten. Darf die Verwaltung Sach- oder Personendaten auf dem «Datenmarkt» kaufen?⁸⁰ Dazu ein Beispiel aus den Niederlanden: Im Jahr 2011 kauften regionale und lokale niederländische Polizeibehörden von der Firma TomTom – dem weltweit grössten Navigationsgerätehersteller – Bewegungsprofile von niederländischen TomTom-Kunden, um Verkehrskontrollen zu optimieren.^81,82

Insbesondere müssen die beiden folgenden Voraussetzungen erfüllt sein: Die Unternehmung muss berechtigt sein, über die fraglichen Daten entsprechend verfügen zu dürfen und die Verwaltungsstelle darf den Datenbezug nur für die Erfüllung ihrer gesetzlich vorgesehenen Aufgaben nutzen.

Im vorstehenden Beispiel aus den Niederlanden stand denn (wohl zu Recht) nicht die Polizei in der Kritik, sondern das private Unternehmen, das nicht berechtigt war, die fraglichen Daten in dieser Art und Weise den Behörden zu verkaufen, hatte es doch die Kundschaft diesbezüglich weder informiert, noch deren ausdrückliche Einwilligung erhalten.

Big Data in der kantonalen Verwaltung

a) ist zulässig, wenn

• ausschliesslich Sachdaten bearbeitet werden (und es sich auch bei allfälligen späteren Verknüpfungen ausschliesslich um Sachdaten handelt)
• eine ausdrückliche formell-gesetzliche Regelung vorhanden ist
• (allenfalls: die informierte und ausdrückliche Zustimmung sämtlicher Betroffenen liege vor und der Eingriff in die Privatsphäre wiege nicht schwer. S. dazu jedoch die kritischen Ausführungen vorne⁸³)

b) kann zulässig sein im Bereich von

• Forschung, Planung, Wissenschaft und Statistik
• Strafverfolgung

c) ist in allen übrigen Fällen unzulässig bzw. benötigt:

• eine ausdrückliche formell-gesetzliche Rechtsgrundlage

Es ist davon auszugehen, dass früher oder später auch kantonale Behörden auf die Analyse-Möglichkeiten von Big Data zugreifen wollen. Sind dabei Personendaten tangiert,⁸⁴ ist diesbezüglich eine explizite formell-gesetzliche Rechtsgrundlage erforderlich, handelt es sich doch einerseits um Ausnahmeregelungen zum Datenschutzrecht,⁸⁵ andererseits werden in aller Regel auch besonders schützenswerte Personendaten bzw. Persönlichkeitsprofile bearbeitet.

Nicht empfehlenswert ist die Schaffung eines allgemeinen und umfassenden kantonalen «Big Data Gesetzes». Ein solches müsste zu abstrakt formuliert werden, die erforderliche Konkretisierung des Regelungsgegenstandes bzw. der zulässigen Datenbearbeitungen würde fehlen.

Vielmehr müsste Big Data u.E. in den betroffenen Rechtsgebieten besonders geregelt – allenfalls auch ausdrücklich ausgeschlossen⁸⁶ – werden. Explizit zu regeln wären insbesondere: Zweck der Datenbearbeitung, Herkunft bzw. Bezug⁸⁷ von Daten, Einsichtsrechte Betroffener sowie Nutzung, Weitergabe bzw. Veröffentlichung von Auswertungen.

Der Staat darf bei einer allfälligen gesetzlichen Regelung von Big Data nicht alles zulassen, was technisch möglich ist. Vielmehr ist er, wie stets, an die verfassungsmässigen Grundprinzipien, insbesondere an das Verhältnismässigkeitsprinzip gebunden.

Aus grundsätzlichen Überlegungen hat der Staat im vorliegenden Bereich grundsätzlich grosse Zurückhaltung an den Tag zu legen, ist doch der Schutz der Privatheit der Bürgerinnen und Bürger in einem freiheitlichen demokratischen Staat von zentraler Bedeutung.

Es ist zudem erforderlich, die Aspekte von Big Data im Rahmen eines kantonalen Gesamtkonzepts bzw. einer Strategie zukunftsgerichtet anzugehen und dabei insbesondere auch die datenschutzrechtlichen Aspekte bzw. Risiken genauer zu beleuchten und zu bewerten.

Gibt es in Zeiten von Big Data noch «harmlose», frei zu verwendende Informationen? Anders gefragt: Ist die im Gesetz festgelegte scharfe Trennung – mit den entsprechenden rechtlichen Konsequenzen – von Personendaten und Sachdaten im Hinblick auf Big Data noch sachgerecht?⁸⁸ Oder besteht letztlich das grundsätzlich gleiche Schutzbedürfnis für sämtliche Daten, unabhängig davon, ob wir zu einem bestimmten Zeitpunkt einen Bezug zu einer Person machen können oder nicht?

Diese Frage müsste im Rahmen der geplanten Revision des Datenschutzrechts des Bundes näher untersucht und geklärt werden.⁸⁹

---

 

Dr. iur René Huber, Datenschutzexperte, Inhaber der Firma Recht + Informatik in Zürich, von 1999 bis 2014 Datenschutzbeauftragter des Kantons Zug, Autor von Fachbeiträgen (u.a. Basler Kommentar zum Datenschutzgesetz, Kommentator der Art. 26–32 DSG).