Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein

 

8    Modellprojekte und Studien

Das Unabhängige Landeszentrum für Datenschutz hat als Behörde der Landesbeauftragten für Datenschutz seine Aktivitäten in Initiativen im Bereich drittmittelfinanzierter Projekte und Studien fortgesetzt. Damit ist das ULD weiterhin im Bereich der Kooperation mit der Wissenschaft aktiv und erhält sich damit die Möglichkeit, proaktiv an der Erforschung datenschutzspezifischer Fragen und der Gestaltung einschlägiger Technologien und Lösungen mitzuwirken.

Im Berichtszeitraum wurden Projekte von der Europäischen Kommission und dem Bundesministerium für Bildung und Forschung (BMBF) gefördert. Beteiligungen an Projekten erfolgten weiterhin dort, wo entweder besondere datenschutzfördernde Lösungen (englisch: „Privacy-Enhancing Technologies“, kurz PETs) erforscht und entwickelt werden sollen oder wo besondere Risiken für die Rechte und Freiheiten natürlicher Personen bestehen.

Im Jahr 2022 beteiligte sich das ULD an Projekten zu aktuellen Themen in den Bereichen Privatheit und selbstbestimmtes Leben (Tz. 8.1), Datenschutz in digitalen Arbeitswelten (Tz. 8.2) sowie Datenschutz in der Technikforschung (Tz. 8.3) und setzt sein Engagement für Datenschutz, Transparenz und Einwilligungsmanagement fort (Tz. 8.4).

8.1          Plattform Privatheit: PRIDS – Privatheit, Demokratie und Selbstbestimmung

Im letztjährigen Tätigkeitsbericht hatten wir darüber berichtet, dass das „Forum Privatheit und selbstbestimmtes Leben in der digitalen Welt“ nach sieben Jahren zu Ende gegangen ist, aber wir unsere thematische Arbeit im Nachfolgeprojekt „PRIDS – PRIvatheit, Demokratie und Selbstbestimmung im Zeitalter von künstlicher Intelligenz und Globalisierung“ fortsetzen konnten (40. TB, Tz. 8.1).

Aus dem Forum Privatheit wurde nun die Plattform Privatheit, aber wer sich den Begriff „Forum Privatheit“ gemerkt hat, braucht sich nicht umzugewöhnen: Das Logo des „Forum Privatheit“ kennzeichnet weiter die Tätigkeiten im interdisziplinären Verbund von spannenden Projektpartnern, deren Arbeit an dem Thema Privatheit vom Bundesministerium für Forschung und Bildung (BMBF) gefördert wird. Man darf also von Forum Privatheit oder von Plattform Privatheit sprechen.

Im Jahr 2022 war unsere Arbeit nicht nur von wissenschaftlichen und gesellschaftlichen Themen geprägt, sondern wir haben uns auch damit beschäftigt, wie die Erkenntnisse aus diesen und weiteren Initiativen in der Praxis verortet und umgesetzt werden können. Ein wichtiges Dokument, das wir dazu ausgewertet haben, war der Koalitionsvertrag 2021-2025 der Bundesregierung, in dem wir verschiedene Ansätze zur Stärkung von Daten- und Grundrechtsschutz identifizierten. Die Ergebnisse haben wir in dem Policy Paper „Mehr Fortschritt wagen – durch Stärkung des Datenschutzes. Vorschläge zur Ausgestaltung des Koalitionsvertrags“ zusammengefasst, das unter dem folgenden Link verfügbar ist:

https://www.forum-privatheit.de/download/mehr-fortschritt-wagen-durch-staerkung-des-datenschutzes-vorschlaege-zur-ausgestaltung-des-koalitionsvertrags/
Kurzlink: https://uldsh.de/tb41-8-1a

Ein Punkt im Koalitionsvertrag des Bundes ist die Überwachungsgesamtrechnung (40. TB, Tz. 2.3). Auch damit haben wir uns im Projekt PRIDS beschäftigt und Vorschläge zu einer pragmatischen Umsetzung einer Überwachungsgesamtrechnung ausgearbeitet.

Überwachungsgesamtrechnung
Die Überwachungsgesamtrechnung basiert auf einer strukturierten Sammlung und Zusammenfassung bestehender staatlicher Überwachungsmaßnahmen. Der Gesetzgeber muss bei Einführung neuer Überwachungsmaßnahmen die Gesamtheit der verschiedenen schon vorhandenen Datensammlungen im Blick behalten. Statt reflexhaft immer neue Überwachungsinstrumente zu schaffen, ist rechtsstaatlich geboten, die bisherigen Maßnahmen zu überprüfen und gegebenenfalls wieder zurückzunehmen.

Wir sehen in einer solchen Überwachungsgesamtrechnung einen großen Vorteil für die Transparenz: Die Überwachungsgesamtrechnung soll dem Gesetzgeber und allen Interessierten als Übersicht über die bestehenden Überwachungsgesetze und die damit verbundenen Grundrechtsbeschränkungen dienen. Darauf aufbauend ermöglicht der dokumentierte Status quo eine gesellschaftliche Debatte über das akzeptable Maß der Überwachung und über notwendige Korrekturen in Umfang und Ausgestaltung. Auch die Gesetzgebung an sich, gerade in sensiblen Bereichen wie Strafverfolgung und Justiz, kann von einer derartigen Überwachungsgesamtrechnung profitieren, wenn beispielsweise Gesetzesfolgenabschätzungen vorgenommen werden, in denen auch die Evaluation und die Reversibilität der Maßnahmen eine Rolle spielen können.

Das Policy Paper „Zur Einführung einer Überwachungsgesamtrechnung“ steht unter dem folgenden Link zum Abruf bereit:

https://www.forum-privatheit.de/download/ueberwachungsgesamtrechnung/
Kurzlink: https://uldsh.de/tb41-8-1b

PRIDS und die Plattform Privatheit bieten jedes Jahr verschiedene Veranstaltungen zum Vorstellen der Ergebnisse, zum Diskutieren und zum Erarbeiten von Lösungsvorschlägen an. Das Highlight ist die Jahreskonferenz, die im Jahr 2022 zum Thema „Daten-Fairness in einer globalisierten Welt – Grundrechtsschutz und Wettbewerb für eine internationale Data Governance“ ausgerichtet wurde. Diese Veranstaltungen profitieren vom Weitblick und der interdisziplinären Rund-um-Perspektive zu Datenschutz und Privatheit, die von den Teilnehmenden engagiert eingebracht werden.

Aktuelle Informationen sind hier verfügbar:

https://www.forum-privatheit.de/
Kurzlink: https://uldsh.de/tb41-8-1c

 

8.2          Projekt EMPRI-DEVOPS – Datenschutz in digitalen Arbeitswelten

Das Projekt „Employee Privacy in Software Development and Operations” (EMPRI-DEVOPS) (40. TB, Tz. 8.2) beschäftigt sich mit dem datenschutzkonformen Einsatz von Softwaretools in der Arbeitswelt. Projektziel ist die datenschutzkonforme Gestaltung von Softwareprodukten, die typischerweise im Kontext der agilen Softwareprogrammierung und der Systemadministration zum Einsatz kommen. Lehren aus diesem speziellen Anwendungsfeld lassen sich jedoch auf den Einsatz anderer Kooperationstools und Office-Umgebungen übertragen. Das ULD beantwortete dabei Fragen des Datenschutzrechts, insbesondere des Beschäftigtendatenschutzrechts.

Bereits zuvor wurde an dieser Stelle (39. TB, Tz. 8.2) der Bedarf legislativer Klarheit im Beschäftigtendatenschutz benannt und damit ein Wunsch bekräftigt, der nicht zuletzt von Arbeitnehmervertretern, Gewerkschaften und einigen Parteien geteilt wurde. So hieß es 2017 in der Gesetzesbegründung zum BDSG: „Der Gesetzgeber behält sich vor, Fragen des Datenschutzes im Beschäftigungsverhältnis innerhalb dieser Vorschrift oder im Rahmen eines gesonderten Gesetzes konkretisierend bestimmte Grundsätze, die im Rahmen der Rechtsprechung zum geltenden Recht bereits angelegt sind, zu regeln.“ (BT-Drucksache 18/11325). Im Jahr 2022 nahm Bundesarbeitsminister Heil den Faden mit der Ankündigung auf: „Die neue Koalition will in dieser Legislatur Regelungen zum Beschäftigtendatenschutz schaffen, um Rechtsklarheit für Arbeitgeber und Beschäftigte zu erreichen und die Persönlichkeitsrechte der Beschäftigten effektiv zu schützen.“ Das lässt auf die Gestaltung eines eigenständigen Beschäftigtendatenschutzgesetzes hoffen.

Der Gesetzgeber kann durch eine Novellierung der Regelungen für Rechtsklarheit und dadurch gesteigerte Rechtssicherheit sorgen, insbesondere um die zukünftige Entwicklung datenschutzfreundlicher Technikinnovationen im Soft- und Hardwarebereich zu gewährleisten. Auch die Datenschutzkonferenz (DSK) hat sich im Berichtszeitraum mit einer Entschließung inklusive konkreter Vorschläge positioniert (Tz. 2.2).

So ist es wünschenswert, die Begriffsbestimmung von Beschäftigtendaten mit dem klarstellenden Zusatz zu erweitern, dass dazu auch personenbezogene oder personenbeziehbare Beschäftigtenmetadaten zählen, die bei der Nutzung von betrieblichen Softwareanwendungen für die Erbringung der vertraglich geschuldeten Tätigkeiten oder Aufgaben automatisiert erzeugt werden oder anfallen.

Weiter kann etwa beim Verbot heimlicher oder verdeckter Verhaltens- und Leistungskontrollen klargestellt werden, dass hierbei auch die Verarbeitung von personenbezogenen oder personenbeziehbaren Metadaten unzulässig ist, die bei der Nutzung von betrieblichen Softwareanwendungen für die Erbringung geschuldeter Tätigkeiten oder Aufgaben automatisiert erzeugt werden oder anfallen.

Der Gesetzgeber könnte zudem die Chance nutzen, ein Verwertungsverbot missbräuchlich verarbeiteter Daten und Metadaten zu normieren oder jedenfalls in Kollektiv- oder Betriebsvereinbarungen verankerten Beweisverwertungsverboten im gerichtlichen Verfahren effektive Wirksamkeit einzuräumen.

https://www.datenschutzzentrum.de/projekte/empri-devops/
Kurzlink: https://uldsh.de/tb41-8-2

 

8.3          Projekt PANELFIT – Datenschutz und Ethik in der europäischen IuK-Forschung

Im Berichtsjahr 2022 endete das durch die EU-Kommission geförderte Projekt „Participatory Approaches to a New Ethical and Legal Framework for ICT“ (PANELFIT) (40. TB, Tz. 8.3). Ziel des Projektes war es, Akteuren im Bereich der Forschung zur Informations- und Kommunikationstechnik (IuK) den Weg für eine Adaption der DSGVO in ihren Bereichen zu ebnen.

Die Tätigkeit im Jahr 2022 stand im Lichte der Konsolidierung und Veröffentlichung der vorhandenen Projektergebnisse durch das Konsortium. Ausgewählte Resultate des Gesamtprojekts wurden dabei in einem Dokument zentral als Leitlinien zusammengeführt. Diese nun in fünf Sprachen verfügbaren „PANELFIT Guidelines“ richten sich an Forschende, die bei ihrer Tätigkeit personenbezogene Daten verarbeiten. Während sich PANELFIT zentral mit der Datenverarbeitung für Forschung im Bereich der Informations- und Kommunikationstechnik befasste, sind die Darstellungen der rechtlichen und ethischen Aspekte auch allgemeingültig für eine Vielzahl anderer Forschungsbereiche.

Die vom ULD erstellten Erläuterungen sind mit Blick auf die Zielgruppen bewusst allgemein verständlich gehalten: Zum einen eine erste Einführung in die DSGVO. Abweichend von der Mehrzahl bestehender DSGVO-Einführungen ist das Augenmerk nicht darauf beschränkt darzustellen, welche Rechte Betroffene haben oder welche Anforderungen Verantwortliche erfüllen müssen und gegebenenfalls welche Sanktionen bei Verstößen drohen. Der Leserschaft soll vielmehr vermittelt werden, warum die geforderten Schutzmaßnahmen sich im Recht etabliert haben. Die Mechanismen und Prinzipien der DSGVO werden dabei konkret auf das Machtgefälle zwischen dem Verantwortlichen und den Betroffenen zurückgeführt. Die zweite allgemein gehaltene Darstellung beschreibt die Grundprinzipien der DSGVO. Diese Darstellung folgt gleichsam dem Grundgedanken, dass das Warum der DSGVO-Prinzipien dem Ausgleich von Interessen und dem Machtgefälle dient. Die Prinzipien und deren Bezug zum Text der DSGVO werden dargestellt sowie Hinweise zu technischen und organisatorischen Maßnahmen zwecks Umsetzung der jeweiligen Prinzipien gegeben.

Weitere vom ULD zuvor erstellte und vom Projektkonsortium veröffentlichte Beiträge zum Leitfaden betreffen Datenschutz-Folgenabschätzungen (39. TB, Tz. 8.3) und Ausführungen zur Anonymisierung und Pseudonymisierung (40. TB, Tz. 8.3).

https://www.datenschutzzentrum.de/projekte/panelfit/
Kurzlink: https://uldsh.de/tb41-8-3

 

8.4          Projekt TRAPEZE – Transparenz und Einwilligungsmanagement

Das Projekt „TRAnsparency, Privacy and security for European citiZEns“ (TRAPEZE) wird von der EU-Kommission gefördert und widmet sich der Entwicklung von Lösungen für Datenschutz und Transparenz in der „Data Economy“ (40. TB, Tz. 8.4). Auf europäischer Ebene werden zurzeit die Weichen dafür gestellt, dass Daten für Forschungszwecke und Wirtschaft verstärkt verfügbar sein sollen. Gleichzeitig wird die Geltung der DSGVO nicht infrage gestellt – Datenschutz bleibt also auch weiterhin ein wichtiger Eckpfeiler der europäischen Gesetzgebung.

Abbildung: Datennutzung und -weitergabe zu anderen Zwecken

Das Projekt entwickelt eine innovative Technologie (die „TRAPEZE Platform“), die in drei Anwendungsszenarien (use cases) demonstriert wird. Eines der Interessen, die das ULD durch seine Projektarbeit verfolgt, ist, Ansätze und Komponenten zu identifizieren, die Relevanz über das Projekt hinaus haben. Solche Komponenten können dann durch geeigneten Technologietransfer einem weiteren Publikum für Datenschutz durch Technologiegestaltung (data protection by design) präsentiert werden.

In diesem Sinne bestand eine der Tätigkeiten des ULD in einer Analyse des Dashboard-Konzepts, wie es zur Erfüllung der Anforderungen der DSGVO eingesetzt werden kann. Die betrifft vor allem Transparenz und Einwilligung. Dazu hat das ULD eine detaillierte Studie der notwendigen Funktionalität und Eigenschaften eines Dashboards mit Datenschutzfunktionalität erstellt, sodass die rechtlichen Anforderungen an Transparenz und Einwilligung tatsächlich erfüllt werden können.

Privacy Dashboard
Dashboard steht wörtlich übersetzt für Armaturenbrett. Im IT-Bereich versteht man darunter eine grafische Benutzeroberfläche, die zur Visualisierung und Verwaltung von Daten oder Systemen dient. Vertraut sein dürfte etwa die Verwaltung von Berechtigungen für Apps auf Mobilgeräten. Damit eignet sich eine solche Schnittstelle, um Betroffenenrechte umzusetzen, indem Nutzerinnen und Nutzer ihre Daten einsehen, Begehren auf Auskunft, Berichtungen oder Löschungen übermitteln oder Rechte für weiter gehende Nutzungszwecke oder Übermittlungen an Dritte vergeben und entziehen zu können.

Das ULD hat dann den weitverbreiteten Anwendungsbereich der weiteren Verarbeitung für weiterführende Studien, für Technologietransfer oder andere Zwecke (Sekundärnutzung) gewählt (siehe Abbildung). In diesem Anwendungsszenario ist es besonders schwierig, Transparenz verständlich herzustellen, aber zugleich besonders wichtig. Die Analyse hat bestehende Datenschutzrisiken aufgezeigt und dargestellt, wie ein Dashboard eingesetzt werden kann, um diesen Risiken entgegenzuwirken und durch einen zentralen Zugangspunkt (Single Point of Access) auch bei einer Vielzahl von Verarbeitungstätigkeiten durch mehrere Verantwortliche die vom Gesetz geforderte Transparenz und Informationsbereitstellung realistisch umzusetzen.

Zukünftige Arbeiten sollen dazu beitragen, das Konzept eines Dashboards in die weitere Praxis zu bringen und damit durch geeignete Technikgestaltung die Transparenz und damit das Datenschutzniveau anzuheben.

https://www.datenschutzzentrum.de/projekte/trapeze/
Kurzlink: https://uldsh.de/tb41-8-4

 

8.5         Projekt AnoMed – Kompetenzcluster Anonymisierung für medizinische Anwendungen

Im November 2022 startete das Kompetenzcluster „Anonymisierung für medizinische Anwendungen“ (AnoMed). Ziel des vom Bundesministerium für Bildung und Forschung (BMBF) geförderten Projekts ist es, die Forschung an Technologien, Verfahren und Methoden zur Pseudonymisierung und Anonymisierung zu bündeln. Im Verbund soll unter Leitung der Universität zu Lübeck die Grundlage für eine Test- und Evaluationsplattform für Anonymisierungslösungen im Bereich medizinischer Anwendungen gestaltet werden. Die Plattform soll eine Reihe medizinischer Referenzaufgaben einschließlich passender Referenzdatensätze für die Tests enthalten. Parallel werden in AnoMed Angriffsverfahren zur Re-Identifikation entwickelt und neue, sogenannte Differentially-Private-Anonymisierungsverfahren als erste Pilotlösungen für die zu testenden Anonymisierungslösungen auf der Plattform erforscht.

Die Aufgaben des ULD im AnoMed-Kompetenzcluster bestehen darin, einerseits den datenschutzrechtlichen Hintergrund darzustellen und andererseits Lösungsansätze zur Pseudonymisierung und Anonymisierung zu evaluieren und zusammen mit den Forschungspartnern der Universität zu Lübeck den bekannten und klassischen Anonymisierungslösungen gegenüberzustellen. Eine hinreichende Anonymisierung im Verständnis der DSGVO geht fast zwingend mit einem erheblichen Informationsverlust einher, der erforderlich ist, um den Personenbezug hinreichend zu beseitigen und eine Re-Identifikation auszuschließen. Das verringert indes zugleich den für die Forschung oft nötigen Informationsgehalt der Daten.

Die vom Projektkonsortium unter datenschutzrechtlicher Begleitung des ULD zu betrachtenden alternativen Lösungsvorschläge zielen darauf ab, die Daten derart zu verändern, dass einerseits eine Re-Identifikation zuverlässig verhindert wird und andererseits die jeweils nötigen Informationen erhalten bleiben.

Kann der von der DSGVO für eine Anonymisierung vorausgesetzte Schutz vor einer Identifikation nicht erreicht werden, gelten die Daten weiterhin als personenbezogen. Dann sind flankierende technische und organisatorische Maßnahmen und eine enge Zweckbindung für die Forschungsdaten sowie mittelfristig legislative Lösungen erforderlich. Solche Gesetze können einerseits den notwendigen Schutz definieren und andererseits klarstellend bestimmte Verarbeitungen in ausgewählten und klar beschriebenen Szenarien gestatten. Solche rechtlichen Aspekte werden gegenwärtig etwa im Rahmen der Entwürfe für einen Europäischen Raum für Gesundheitsdaten (European Health Data Space, EHDS) erörtert.

Weitere Informationen zu AnoMed:
https://www.datenschutzzentrum.de/projekte/anomed/
Kurzlink: https://uldsh.de/tb41-8-5

Was ist zu tun?
Gesundheitsdaten zu Forschungszwecken zu verarbeiten ist wichtig, doch es ist nötig, die Risiken für die betroffenen Personen mittels technischer, organisatorischer und rechtsgestaltender Maßnahmen einzudämmen.

 

Zurück zum vorherigen Kapitel

Zum Inhaltsverzeichnis

Zum nächsten Kapitel