Jusletter IT

«Big Data is high-volume, high-velocity and high-
variety information assets that demand cost-
effective, innovative forms of information processing
for enhanced insight and decision making.»¹

Big Data bezieht sich nicht nur auf den Einsatz grosser Mengen an strukturierten und unstrukturierten Daten, sondern auch auf deren Analyse durch sog. «Big Data Analytics». Mit Hilfe dieser Analysetools ist eine fortlaufende Analyse sämtlicher Daten möglich.² Im Rahmen der Verarbeitung findet eine immer stärkere Korrelation unter Daten im Lichte einer unlimitierten Menge an Informationen statt: Standen bisher das Data Mining/Data Warehousing sowie die Beantwortung von durch das Unternehmen vordefinierten Fragen im Vordergrund,³ sind moderne Analysetools nun in der Lage, auch unstrukturierte Daten miteinzubeziehen.⁴

Big Data zielt darauf ab, umfassende Bestände an Daten, die aus unterschiedlichen Quellen stammen, in Hochleistungsdatenbanken zu sammeln und auszuwerten.⁵ Die Datenberge werden automatisiert und nach unbekannten Korrelationen durchsucht, dennoch stehen die Resultate innert Sekunden zur Verfügung. Weil sich die zugrunde liegenden lernfähigen Algorithmen von selbst optimieren,⁶ hat deren Einsatz eine ständige Effizienzsteigerung zur Folge. Schliesslich sollen Big Data Analytics dazu dienen, neben den bereits heute gestellten Fragen auch neue Muster zu erkennen.⁷

Bei der umfassenden Datenverfügbarkeit geht es somit nicht mehr einfach nur um die Frage nach dem «warum», sondern um das «was»; somit führen Datenanalysen durch Big Data weg von der herkömmlichen Kausalitätsdiskussion.⁸ Die Entwicklung bewegt sich von einem Konzept der Kausalität zu einem Korrelationskonzept hin.⁹ Die Tatsache, dass das Konzept der Korrelation und nicht mehr jenes der Kausalität massgebend wird, dürfte für die traditionelle Rechtswissenschaft eine gewisse Anpassungsnotwendigkeit nach sich ziehen.

Die quantitative Veränderung der Datenverarbeitung hat ohne Zweifel auch qualitative Veränderungen zur Folge: Werden mehr Daten verarbeitet, ist es sehr wahrscheinlich, dass zusätzliche datenschutzrechtliche Risiken auftreten.¹⁰ Weil Big Data durch die modernen Datenzugriffs- und Datenauswertungsmethoden eine neue Form der Wertschöpfung etabliert hat, beziehen sich die Risiken neben der üblichen Erstverwendung vermehrt auch auf die Zweitverwendung der Daten.¹¹ Fraglich bleibt, inwieweit die relativ traditionelle Datenschutzgesetzgebung auf diese Herausforderung zu reagieren vermag.

Ausgangspunkt für die datenschutzrechtliche Beurteilung von Big Data ist die Frage, ob das hiesige Datenschutzgesetz (DSG)¹² Anwendung findet. Das DSG regelt den Schutz von Personendaten und die Einhaltung verschiedener Bearbeitungsprinzipien im Falle einer Datensammlung. Weisen gewisse Daten keinen Personenbezug auf und lässt sich ein entsprechender Bezug auch nicht herstellen, greift das DSG nicht, weil ein relevantes Schutzsubjekt fehlt.¹³ Wenn es um reine Sachdaten geht, kommt das DSG somit grundsätzlich nicht zur Anwendung.

Die Definition der Personendaten (Art. 3 lit. a DSG) sieht vor, dass ein Bezug zu einer bestimmten oder bestimmbaren Person bestehen muss. Ergibt sich die Identität einer Person aus der Information selbst, liegt Bestimmtheit im Sinne des Gesetzes vor.¹⁴ Bestimmbar ist eine Person, wenn sich ein Personenbezug ohne unverhältnismässigen Aufwand erstellen lässt und auch damit gerechnet werden muss, dass dieser potentiell erfolgt.¹⁵ Ein Aufwand erscheint als unverhältnismässig, wenn nach allgemeiner Lebenserfahrung nicht davon auszugehen ist, dass ein Datenbearbeiter diesen auf sich nehmen wird.¹⁶ Angesichts der informationstechnischen Möglichkeiten ist der Aufwand, der für die Bestimmung von Personen erforderlich ist, im Rahmen von Big Data in den meisten Fällen verhältnismässig.¹⁷ Somit drängt sich die Frage auf, wie mit Ergebnissen umzugehen ist, die unbewusst einen Personenbezug herstellen lassen.¹⁸

In diesem Kontext sind beim Vorgang der Datenbearbeitung insbesondere drei Faktoren zu berücksichtigen:¹⁹

(i) Dateninput: Daten sind strukturiert oder unstrukturiert und stammen aus unterschiedlichen Quellen, wie z.B. Instrumenten, Sensoren, click streams oder Internetauftritten.

(ii) Datenprozessierung: In der Realität besteht eine Vielzahl an Plattformen, auf denen die Daten erscheinen können, welche schliesslich eine Datenbearbeitung ermöglichen.

(iii) Datenoutpout: Beim Datenoutput steht die Frage im Zentrum, ob bestimmte Daten lediglich für einen internen Zweck zur Verwendung stehen sollen oder ob ebenfalls eine Nutzung für externe Zwecke denkbar ist.

Liegen Personendaten vor, sind insbesondere die Grundsätze nach Art. 4–7 DSG zu berücksichtigen. Sobald die Anonymisierung von Daten erfolgt ist, gibt es aus Sicht des Datenschutzes indessen grundsätzlich kein Problem mehr, weil die entstandenen Sachdaten nicht in den Anwendungsbereich des DSG fallen.²⁰ Die Frage ist jedoch, ob die Anonymisierung von Daten nicht das Risiko der De-Anonymisierung nach sich zieht (bzw. dieses Risiko nicht ausschliesst) und damit die Datenbearbeitung nach einem solchen Vorgang wieder DSG-relevant wird.

Daten gelten als anonymisiert, wenn ein Bezug zu einer Person nicht (mehr) möglich ist. Damit nicht nur eine Pseudo-Anonymisierung vorliegt, muss dieser Vorgang irreversibel sein.²¹ Bei pseudo-anonymisierten Daten ist sowohl die Verknüpfung unterschiedlicher Datenbestände als auch das Herausgreifen einzelner betroffener Personen weiterhin möglich, weshalb sie mit anonymisierten Daten nicht gleichzusetzen sind.²² Wie ein Ereignis bei America On Line (AOL) exemplarisch zeigte, sind pseudo-anonymisierte Daten geeignet, eine Identifizierung zu ermöglichen.²³

Weil durch den Prozess der Anonymisierung eine Datenbearbeitung stattfindet, sind die Grundsätze des DSG anzuwenden. Der Umgang mit dem Ergebnis der Anonymisierung – den anonymisierten Daten – ist hingegen nicht mehr datenschutzrelevant.²⁴ Während also die Erfassung der Daten datenschutzrechtliche Implikationen zeitigt, ist die Datenverwendung nicht weiter DSG-relevant. Für die Bearbeitung von personenbezogenen Daten zu Zwecken, die nicht personenbezogen sind, liegt somit in der Regel ein Rechtfertigungsgrund vor.²⁵

Eine Anonymisierung von Personendaten garantiert indessen grundsätzlich nicht die Anonymität bzw. den Ausschluss einer De-Anonymisierung. In diesem Kontext weist die Artikel-29-Datenschutzgruppe der Europäischen Union ausdrücklich darauf hin, dass die technischen Verfahren zur Anonymisierung und De-Anonymisierung Gegenstand laufender Forschung sind; es habe sich bereits mehrfach gezeigt, dass (noch) keine Technik ohne Mängel sei.²⁶

Bei den technischen Verfahren zur Anonymisierung ist zwischen der Randomisierung und der Generalisierung zu unterscheiden:

(i) Unter Randomisierung sind Techniken zu verstehen, welche Daten insoweit verfälschen, als eine unmittelbare Verbindung zwischen den betroffenen Personen und ihren Daten entfernt wird. Weil bei diesem Anonymisierungsansatz jeder Datensatz nach wie vor eine einzige betroffene Person zum Gegenstand hat, besteht die Einzigartigkeit der einzelnen Datensätze fort.²⁷ Als Unterkategorien der Randomisierung sind die stochastische Überlagerung, die Vertauschung und die Differential Privacy zu nennen; sie beinhalten die nachfolgenden Merkmale:

• Stochastische Überlagerung: Mit Hilfe dieser Anonymisierungstechnik werden Merkmale in einem Datenbestand so verändert, dass sie weniger genau sind, obwohl die generelle Verteilung erhalten bleibt; im Zuge der Verarbeitung eines Datenbestandes entsteht der Eindruck präziser Werte, welcher jedoch in einem gewissen Masse täuschend ist.²⁸
• Vertauschung: Die Anonymisierungstechnik der Vertauschung basiert auf der Ersetzung von Merkmalswerten, damit eine künstliche Verknüpfung mit anderen Personen stattfindet. Ein solches Vorgehen kann sinnvoll sein, wenn die exakte Verteilung eines jeden Merkmals im Datenbestand aufrechtzuerhalten ist.²⁹
• Differential Privacy: Das Konzept der Differential Privacy ist heranzuziehen, wenn die für die Bearbeitung zuständige Stelle anonymisierte Ansichten eines Datenbestandes generiert und zugleich eine Kopie der Originaldaten aufbewahrt.³⁰

(ii) Im Gegensatz zur Randomisierung bezweckt die Generalisierung die Verallgemeinerung der Merkmale betroffener Personen durch die Veränderung von Grössenskalen und -ordnungen. Diese Form der Anonymisierung kann zwar das Herausgreifen einzelner Personen verhindern, sie ermöglicht aber nicht zwingend eine effektive Anonymisierung.³¹ Die k-Anonymität und die i-Diversität als Teil der Generalisierung vermögen für den Schutz der Offenlegung von Attributen und den Schutz der Verknüpfung von Identitäten zu sorgen. Es geht jeweils darum, dass mit Blick auf sog. k-1 Faktoren die entsprechende Person nicht mehr erkennbar ist.³²

• k-Anonymität: Die k-Anonymität zielt darauf ab, das Herausgreifen einer betroffenen Person zu verhindern, indem diese mit mindestens k anderen Personen zusammengefasst wird. Um dies zu erreichen, werden die Merkmalswerte in einem Masse verallgemeinert, dass alle k-Personen denselben Merkmalswert aufweisen.³³
• i-Diversität:³⁴ Das Konzept der i-Diversität erweitert die k-Anonymität; dabei sollen keine gleich ablaufenden Angriffe durch Inferenztechniken mehr möglich sein, indem dafür gesorgt wird, dass einzelne Merkmale in jeder Äquivalenzklasse mindestens i unterschiedliche Werte beinhalten. Eine Konkretisierung der i-Diversität stellt die t-closeness dar, die Äquivalenzklassen bildet, welche der ursprünglichen Verteilung der Werte ähnlich sind.³⁵

Ob die dargelegten technischen Verfahren der Randomisierung und der Generalisierung die Risiken einer De-Anonymisierung der Daten tatsächlich ausschliessen, erscheint indessen als (zumindest) fraglich.

Die De-Anonymisierung von Daten meint das Rückgängigmachen einer Anonymisierung.³⁶ Materiell geht es um einen Prozess, den es datenschutzrechtlich eigentlich nicht gibt (oder nicht geben sollte).³⁷ Die Anonymisierung sollte ja irreversibel sein, so dass kein Personenbezug mehr herstellbar ist.

Bei der Analyse von anonymisierten Daten ist die Menge entscheidend. Je grösser die Datenmenge ist, desto höher wird auch die Wahrscheinlichkeit, dass Daten einer bestimmten Person zugeordnet werden können.³⁸ Eine bekannte Studie aus den Vereinigten Staaten belegt, dass drei (relativ einfache) demographische Merkmale, nämlich Geschlecht, Geburtsdatum und fünf-stellige Postleitzahl – je nach Lokalisierung – es ermöglichen, zwischen 61% und 87% der amerikanischen Bevölkerung eindeutig zu identifizieren.³⁹

Zudem haben Studien im Bereich der Forschung gezeigt, dass anonyme Gen-Sequenzen, welche sich auf öffentlich zugänglichen Forschungs-Datenbanken befinden, durch Kombination mit wenigen anderen Daten eine «De-Anonymisierung» erlauben.⁴⁰ Auch gibt es Untersuchungen, die zeigen, dass man aus gewissen Sachdaten relativ gut auf den Verlauf von Krankheiten schliessen kann;⁴¹ somit müssen Big Data Analytics nicht per se negativ sein. Abgesehen vom Gesundheitsbereich gibt es weitere praktische Beispiele (z.B. die Re-Individualisierung von anonymisierten Steuerdaten), welche die Risiken einer De-Anonymisierung offenbaren.⁴²

Wie festgestellt gibt es verschiedenste Bereiche, in welchen die Anonymisierung instabil ist,⁴³ wenn Big Data Analytics betrieben wird. Probleme können insbesondere auftauchen in Bezug auf Personendaten durch den sog. «Zufallsfund», mit Blick auf die personenbezogene Zwecksetzung und im Kontext der Bekanntgabe anonymer Daten.⁴⁴ Angesichts der Analysedaten und der Möglichkeit von Data Sharing (Austausch von Daten) besteht in vielen Bereichen ein nicht zu unterschätzendes Risiko der De-Anonymisierung.

Die Bekanntgabe anonymer Daten fällt nicht unter das DSG.⁴⁵ Ist hingegen mit einer De-Anonymisierung zu rechnen, handelt es sich nicht um anonyme Daten im Sinne des Gesetzes. Im Kontext der Big Data Analytics ist indessen mit einer immer höheren Wahrscheinlichkeit damit zu rechnen, dass es zu einer De-Anonymisierung von anonymen Daten kommt.⁴⁶ Um die Wahrscheinlichkeit möglichst tief zu halten, ist es notwendig, die im konkreten Fall passende Anonymisierungstechnik zu wählen. Im Zusammenhang mit den technischen Verfahren der Anonymisierung sind namentlich drei Risiken von zentraler Bedeutung:⁴⁷

• Herausgreifen von Datensätzen: Das Risiko des Herausgreifens besteht darin, dass sich in einem Datenbestand bestimmte Datensätze isolieren lassen, mit der Folge, dass die Identifizierung einer Person potentiell möglich wird.
• Inferenz: Dieses Risiko bezieht sich auf die Möglichkeit, den Wert eines Merkmals mit einer Wahrscheinlichkeitsanalyse von den Werten einer Reihe mit anderen Merkmalen abzuleiten.
• Verknüpfbarkeit: Dieses Risiko berücksichtigt die Verknüpfung mindestens zweier Datensätze (in derselben Datenbank oder in zwei verschiedenen Datenbanken), welche dieselbe Person oder Personengruppe betreffen. Ist ein Interessent fähig – z.B. durch eine Korrelationsanalyse – festzustellen, dass zwei Datensätze dieselbe Personengruppe betreffen, ohne aber einzelne Personen in dieser Gruppe herauszugreifen, bietet die entsprechende Technik keinen Schutz vor Verknüpfbarkeit.

Die Risiken einer De-Anonymisierung unterscheiden sich je nach gewählter Anonymisierungstechnik. Weil eine diesbezüglich vertiefende Analyse den Rahmen des vorliegenden Beitrages sprengen würde, ist auf die Ausführungen der Artikel-29-Datenschutzgruppe der Europäischen Union zu verweisen.⁴⁸

Soweit ersichtlich, gibt es derzeit keine Gesetzgebung, der es gelungen ist, die Phänomene von Big Data und deren Risiken in den Griff zu bekommen. Diese Tatsache soll jedoch nicht bedeuten, dass der Gesetzgeber zwingend in rascher Weise neue Regelungen zu erlassen hätte; festhalten lässt sich nur, dass die traditionelle Datenschutzgesetzgebung keine besonderen Instrumente zur Verfügung stellt.

Auf europäischer Ebene hat die Artikel-29-Datenschutzgruppe der Europäischen Union im Jahr 2007 eine Stellungnahme zum Konzept der personenbezogenen Daten abgegeben.⁴⁹ Darauf aufbauend hat diese Expertengruppe die bereits mehrfach erwähnte Stellungnahme zu Big Data vom 10. April 2014 erlassen. Die Vielzahl der Überlegungen zu den technischen Verfahren scheinen zwar für die Praxis wertvoll zu sein, doch sind die Empfehlungen für Juristen insofern ernüchternd, weil sie fast keinen rechtlichen Inhalt aufweisen. Die Hinweise beziehen sich vielmehr auf die technische Geeignetheit der Verfahren sowie auf kontextuelle und allgemein auf der Technik basierende Elemente.

Der Entwurf für eine EU-Datenschutzgrundverordnung⁵⁰ sieht vor, eine angepasste Bestimmung für Zweckänderungen zu erlassen. Danach soll eine Verarbeitung der Daten mit Personenbezug möglich sein, auch wenn keine Kompatibilität mit dem ursprünglichen Zweck der Datenerhebung besteht; es ist lediglich vorausgesetzt, dass eine vertragliche Grundlage oder ein anderer Rechtfertigungsgrund, wie z.B. eine Einwilligung, vorliegt.⁵¹ Dieses Modell würde eine Abkehr vom derzeit geltenden Modell bedeuten, wonach eine Verarbeitung von personenbezogenen Daten nur erlaubt ist, wenn diese in einer mit dem ursprünglichen Zweck zu vereinbarenden Art und Weise stattfindet.⁵² Die Artikel-29-Datenschutzgruppe steht dem Vorschlag in der EU-Datenschutzgrundverordnung kritisch gegenüber und fordert die Streichung der Regelung.⁵³

In England gibt es verschiedene Richtlinien, welche vom lokalen Information Commissioner’s Office (ICO) erarbeitet worden sind. Im Jahr 2007 hat die ICO in Reaktion auf die Stellungnahme der Artikel-29-Datenschutzgruppe der Europäischen Union eine erste «Guidance» erlassen.⁵⁴ Vor zwei Jahren hat dieselbe Behörde zuhanden der Unternehmen einen Code erarbeitet, welcher inhaltlich mit der Stellungnahme 5/2014 der Artikel-29-Datenschutzgruppe vergleichbar ist.⁵⁵ Weil es sich bei diesen Richtlinien nicht um ein Gesetz handelt, ist die Nichtbeachtung dieser Codes durch den Staat jedoch nicht sanktionierbar.⁵⁶

Mit Bezug auf die Datenverwaltung und die Datenprozessierung scheint es unumgänglich, im Bereich von Big Data eine sachgerechte Governance einzuführen. Diese kann verschiedene Schritte betreffen, wie z.B. die Risikoanalyse, die Festlegung der Strategie, die Festlegung der eigentlichen Bearbeitungspolitik sowie prozessuale Verfahren, die dem Datenschutzumfeld gerecht werden:⁵⁷

• Risikoanalyse: Im Rahmen der Risikoanalyse hat das Big Data Management insbesondere die Quellen der Daten zu eruieren. Ferner ist zu analysieren, für welche Zwecke die Organisation die Daten benötigt. Es ist auch zu beurteilen, ob sich die Big Data Analyse ausserhalb von vertrags- oder lizenzrechtlichen Bestimmungen bewegt, zu welchen sich das Unternehmen verpflichtet hat. Schliesslich sind die Erkenntnisse in einem Massnahmenplan festzuhalten.
• Festlegung der Strategie: Um die Strategie festlegen zu können, ist die Risikoanalyse als Grundlage heranzuziehen. Die Strategie sollte rationale Ziele und eine gute Governance für Big Data vorsehen; sodann sind die rechtlichen Risiken zu würdigen und die weiteren für eine Strategie notwendigen Punkte zu berücksichtigen.
• Festlegung der Bearbeitungspolitik: Im Rahmen der Bearbeitungspolitik ist ein detaillierter Projektplan zu erstellen. Dieser Projektplan sollte die Tools nennen, die für eine sachgemässe Anonymisierung der relevanten personenbezogenen Daten sorgen können. Darauf aufbauend ist festzulegen, wie die gewählten Verfahren implementiert werden können.
• Einführung adäquater Verfahren: In diesem vierten Stadium sind detaillierte Prozesse und Verfahren zu erarbeiten, welche den Umgang mit Big Data festhalten. Unternehmen wie auch der Staat müssen dafür sorgen, die für ihre Umgebung gewählten Richtlinien tatsächlich zu implementieren, einschliesslich der Einführung von (internen) Beschwerdeverfahren.

Um die Risiken einer De-Anonymisierung von anonymisierten Daten zu senken, ist es somit unabdingbar, adäquate Massnahmen zu ergreifen. Zentral erscheinen insbesondere rechtliche, organisatorische und technische Sicherheitsmassnahmen.⁵⁸ Wie bereits im Rahmen der Risikoanalyse gezeigt, spielen rechtliche Abklärungen im Rahmen des Big Data Managements eine herausragende Rolle. In diesem Kontext sind u.a. die Herausforderungen bei der Durchsetzung von Datennutzungsrichtlinien im Falle von auftretenden Risiken der De-Anonymisierung im Auge zu behalten.⁵⁹

Die unterschiedlichen Niveaus, auf welchen sich eine solche Big Data Governance auszuwirken vermag, sind anhand der vorhandenen Umgebung zu identifizieren. Zudem sind folgende Fragestellungen zu beantworten: Welche Massnahmen erscheinen im Bereich Plattform/Infrastruktur als unvermeidlich und was gilt es im Kontext der Informationsarchitektur zu erledigen? In welcher Art und Weise ist es möglich, die rechtlichen Vorgaben einzuhalten und welche Grundsätze sind im Bereich Informationsmanagement/Informationssicherheit zu beachten?⁶⁰

Eine gute Governance in den Unternehmen erscheint als notwendig, um dem Big Data Phänomen und seinen Risiken Herr zu werden. Zusätzlich sind aber weitere Massnahmen zu bedenken, welche zu einer Risikominderung bei der Datenbearbeitung beitragen können.

Im Kontext von Big Data Analytics ist das Risiko zu minimieren, von anonymisierten Daten mögliche Rückschlüsse auf Personen ziehen zu können. Diesbezüglich sind gesetzliche Regelungen denkbar, die unterschiedliche Verwertungsregeln statuieren: Möglich wäre die Pflicht des Datenbearbeiters, Daten sofort zu löschen, sobald erstellt ist, dass einmal anonymisierte Daten wieder Rückschlüsse auf Personen zulassen. Zudem ist auch die Frage aufzuwerfen, inwieweit im Kontext der Verwertung eine neue (nachträgliche) Einwilligung des Datenherrn einzuholen ist.⁶¹

Weil die Bekanntgabe anonymisierter Daten keine Beschränkung von Verwertung und Auswertung kennt, wäre es möglich, die Bekanntgabe von anonymisierten Daten im Rahmen eines umfassenden Datenrechts zu regulieren.⁶² Weiter wäre auch denkbar, ein grundsätzliches Verbot der Anonymisierung von gewissen Daten ins Auge zu fassen; dieser Lösungsansatz hätte zur Folge, dass die Anonymisierung nicht mehr aus dem Anwendungsbereich des DSG fallen könnte. Dieses mögliche Konzept scheint jedoch insofern als wenig überzeugend, weil der Schwerpunkt auf der Verbesserung von technischen Verfahren gelegt werden sollte, um eine mögliche De-Anonymisierung auszuschliessen.

Im privatrechtlichen Bereich setzt Big Data die vorhandene Einwilligung als Rechtfertigungsgrund voraus, sofern mit einer De-Anonymisierung zu rechnen ist.⁶³ Diesbezüglich ist zu analysieren, was der Rechtfertigungsgrund der Einwilligung (Art. 13 DSG) eigentlich bedeutet. Genuin-juristisch setzt die Einwilligung voraus, dass das Individuum sich bewusst ist, wozu die Zustimmung erfolgt; eine Einwilligung hat also transparent zu erfolgen.⁶⁴ Bei Big Data ist diese Anforderung wohl in aller Regel nicht erfüllt.

Die Problematik rund um die Einwilligung zeigt sich exemplarisch anhand verschiedenster Websites von Anbietern, die ihre Allgemeinen Geschäftsbedingungen (AGB) und Datenschutzerklärungen zur Verfügung stellen; diese Dokumente sind oft derart unübersichtlich gestaltet, dass das einwilligende Individuum kaum wissen kann, wozu es einwilligt. In der Praxis wird der Konsument zudem seine Einwilligung oft geben, ohne die entsprechenden Erklärungen genau gelesen zu haben. Somit ist eine frühe Einwilligung kein gutes Mittel, um das Einverständnis des entsprechenden Datensubjekts zu begründen; wenn überhaupt müsste die Einwilligung gestaffelt erfolgen.⁶⁵ Die Individuen sollten also mehrmals die Möglichkeit haben, ihre Einwilligung (transparent) erteilen zu können. Auch wenn dies in der Praxis umständlich sein mag, scheint ein solches Vorgehen bei Beibehaltung dieses Rechtfertigungsgrundes das einzige Mittel zu sein, eine «echte» Einwilligung annehmen zu können.

Die Artikel-29-Datenschutzgruppe der Europäischen Union hat in einem Papier aus dem Jahre 2013 festgehalten, dass im Kontext von Big Data eine spezifische Einwilligung verlangt werden müsste, wenn sich eine Analyse auf bestimmbare Personen bezieht. Zudem empfiehlt die Expertengruppe, im Bereich von Online-Datenerhebungen leicht zugängliche und bedienungsfreundliche «Multi-Layer-Privacy-Notices» bereitzustellen.⁶⁶ Folglich gibt es einzelne Möglichkeiten und Bestrebungen, um die Beachtung datenschutzrechtlicher Regelungen zu verbessern. Gesamthaft gesehen erscheint es jedoch als sinnvoller, die organisatorischen Vorkehren der Unternehmen zu überprüfen; das diesbezügliche Stichwort lautet «Accountability».⁶⁷

Der Begriff Accountability ist kaum zu übersetzen; angesichts des lateinischen Wortes «accomptare» steht insbesondere die Rechenschaftspflicht der Unternehmer im Zentrum,⁶⁸ doch ist auch ihre Verantwortung angesprochen. Somit ist eine verstärkte Eigenkontrolle der Unternehmer, die als Datennutzer fungieren, zentral.⁶⁹ Weil die Analysemethoden im Kontext von Big Data geheim sind, umfasst Accountability auch die Pflicht zur Transparenz und zur Einhaltung der DSG-Grundsätze.⁷⁰ Zusätzlich sind gesetzliche Vorgaben denkbar, welche je nach Art der Verwendung eine bestimmte Datennutzung nur mit minimen oder gar ohne Datenschutzanforderungen zulassen könnten.⁷¹

In Zukunft wird es wohl immer schwieriger werden, Personendaten und Sachdaten zu unterscheiden. Aus diesem Grunde wäre es sinnvoll, einzelne spezialgesetzliche Regelungen auszuarbeiten, um bestimmte Sachbereiche zu erfassen.⁷² Im Bereich E-Health sind die Vorteile und Risiken von Big Data besonders ausgeprägt. Denkbar wären auch Vorschläge, welche auf die Frage abzielen, inwieweit die Bekanntgabe von anonymisierten Daten nicht möglich sein soll, weil das Risiko für eine De-Anonymisierung als sehr hoch eingeschätzt wird.

Um das Informationsgefälle zwischen dem Datenbearbeiter und den Individuen zu verringern, scheint es zentral zu sein, in Form einer angepassten Einwilligung und einem implementierten Accountability-Standard grössere Transparenz zu schaffen. Sobald keine Ungleichgewichte mehr bestehen, ist eine adäquate Einwilligung auch eher möglich. Schliesslich ist für ein stärkeres «Identity Centric»-Konzept zu plädieren, damit Individuen (wieder) vermehrt die Kontrolle über ihre Daten erlangen. Sofern eine Kontrollmöglichkeit besteht, ist es auch einfacher, Daten selbst zu löschen.

Die Datenschutzrevisionsüberlegungen, wie sie bisher angestellt worden sind, decken wohl nicht die Bedürfnisse und Notwendigkeiten ab, die sich in der Zukunft stellen; die Perspektive ist somit zu verbreitern. Insbesondere dürfte es auch im Interesse der Unternehmen sein, mehr Ressourcen für die Sicherheit der Daten zu investieren, um den Ausschluss der De-Anonymisierung einmal anonymisierter Daten zu gewährleisten. In Zukunft könnte Datenschutz zu einem Reputationslabel für Unternehmen werden. Nicht auszuschliessen ist gar ein Konditionenwettbewerb zwischen den Unternehmen, dessen Parameter die Höhe des Datenschutzniveaus festlegen.

Sollte ein solcher Wettbewerb stattfinden, könnten sich die bestehenden Probleme bis zu einem gewissen Grad von selbst erübrigen. Tatsache ist jedenfalls, dass die Einwilligung, wie sie heute in Art. 13 DSG vorgesehen ist, sich nicht mehr als geeignet erweist, die Big Data-Sachverhalte aus dem 21. Jahrhundert sachgemäss abzudecken.

---

 

Prof. Dr. iur. Rolf H. Weber ist Ordinarius für Privat-, Wirtschafts- und Europarecht an der Universität Zürich, Visiting Professor an der Hong Kong University und praktizierender Rechtsanwalt in Zürich.

 

MLaw Dominic Oertly ist Assistent und Doktorand am Lehrstuhl von Prof. Dr. iur. Rolf H. Weber.