Der gläserne Kunde
Tracking – so nennt sich alles, mit dem Unternehmen uns als Kunden und unsere Customer Journey erfassen. Nicht nur im eCommerce durch Cookies, auch im stationären Handel durch Instore Tracking. Smarte Kameras liefern nicht nur Bewegungsprofile, sondern erkennen unsere Gesichter – und die KI bestimmt Geschlecht, Alter aber auch unsere Stimmung.
Die gesammelten Daten werden zu Kennzahlen aggregiert und in Business Intelligence Systemen mit dynamischen Datenvisualisierungen und Dashboards intelligent verarbeitet.
Je mehr Unternehmen schließlich von Ihren Kunden, Lieferanten oder Mitarbeitern wissen, desto besser lässt sich deren Verhalten bestimmen und für eine gezielte Steuerung einsetzen.
Grundrecht auf informationelle Selbstbestimmung
Jeder Mensch hat ein Grundrecht auf informationelle Selbstbestimmung. Das wurde vom BVerfG aus dem Art 1, 2 GG heraus entwickelt und ist heute anerkanntes Grundrecht.
BVerfG 65,1 vom 15.12.1983. Individuelle Selbstbestimmung [die Befugnis des Einzelnen, grundsätzlich selbst zu entscheiden, wann und innerhalb welcher Grenzen persönliche Lebenssachverhalte offenbart werde] setzt […] voraus, daß dem Einzelnen Entscheidungsfreiheit über vorzunehmende oder zu unterlassende Handlungen einschließlich der Möglichkeit gegeben ist, sich auch entsprechend dieser Entscheidung tatsächlich zu verhalten.
Datenschutz-Regeln des DSGVO
Dem Schutz des DSGVO unterliegen personenbezogene Daten, die ganz oder teilweise automatisiert verarbeitet werden, und solche, die bei einer nichtautomatisierten Verarbeitung gleichwohl in einem Dateisystem gespeichert werden sollen. (Art 2 DSGVO)
Link: BFDI
Personenbezogene Daten
Personenbezogener Daten sind Informationen
- über Menschen (natürliche Personen), nicht aber über Unternehmen oder deren Know-how.
- die Aufschluss über Merkmalen eines Menschen geben und die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
Typische Merkmale sind Telefonnummer, Wohnort, IP Adresse, Religion aber auch Einkommen, Erkrankungen, Herkunft, etc. Grundsätzlich kommen sämtliche Merkmale der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität in Betracht.
Ausreichend ist es, wenn die Informationen einer Person lediglich irgendwie zugeordnet und damit ein Personenbezug hergestellt werden kann. Als identifizierbar wird z.B. eine natürliche Person angesehen, die direkt oder indirekt mittels Zuordnung zu einer Kennung wie einem Namen, Kennnummer, Standortdaten oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann
Was unterliegt nicht dem Datenschutz
Beispielsweise Sensordaten, RFID, Maschinen-Protokolle etc, die sich eindeutig nicht Menschen, sondern Sachen zuordnen lassen, um diese z.B. zu lokalisieren, zu vernetzen oder um Fehler festzustellen.
Datenverarbeitung – Grundsatz und Ausnahme
Generell gilt bei jeder personenbezogenen Datenverarbeitung das Verbot mit Erlaubnisvorbehalt. Dies bedeutet, dass entweder eine Erlaubnis durch den Betroffenen (durch eine Einwilligung z.B. nach Art 6.1 a DSGVO) oder durch eine gesetzliche Regelung gegeben sein muss, damit eine Daten-Verarbeitung rechtmäßig ist
Telematik Daten
In der Diskussion um autonomes Fahren spielen Telematik Daten eine immer größere Rolle. Hierbei handelt es sich um Daten zur Messung des Fahrverhaltens (Geschwindigkeit, Brems- und Beschleunigung) , der Ortung von Fahrzeugen per GPS, Blickmuster, etc. Auch Telematik Daten unterliegen dem Datenschutz, wenn diese sich auf eine identifizierbare Person beziehen, z,B, weil die Person das Fahrzeug regelmäßig als Fahrer nutzt oder Halter ist.
Videoüberwachung und Gesichtserkennung
Grundsätzlich ist nach deutschem Recht des § 6b Abs. 2 BDSG eine verdeckte Überwachung unzulässig. Es muss ein klar ersichtlicher Hinweis erfolgen, dass z.B. das Geschäft videoüberwacht wird. Doch auch diese Information berechtigt allein nicht zur Datenverarbeitung, weil diese grundsätzlich eine Erlaubnis des Betroffenen erfordert.
Process-Mining
Process-Mining ist die Analyse von Prozessabläufen innerhalb von IT Systemen anhand von log files. Die Prozess Ereignisse dokumentieren immer auch den Menschen, der den jeweiligen Prozessschritt ausgeführt hat. Insofern sind im Falle des Einsatzes von Process-Mining Tools Datensätze vor der Verarbeitung zu Annonymisieren, da ansonsten Process-Mining auch zur Leistungsanalyse von Mitarbeitern genutzt werden könnte.
Privacy by Design
Privacy by Design beschreibt Ansätze, um Datenschutz und Nutzbarkeit von Daten zu vereinen – nicht zuletzt auch als Sicherungsmaßnahme im Falle von Datendiebastahl. Prinzipien des Konzepts sind u.a. Datensparsamkeit, Verschlüssellung und Annonymisierung, Aggregation zu Gruppen
Die wohl einleuchtenste Lösung ist, den Personenbezug aus den Daten vor der Speicherung zu entfernen, dh die Daten zu Annonymisieren. Hierzu gehört auch das Aggregation von Daten zu einzelnen natürlichen Personen zu eine Gruppe, damit nicht mehr auf die individuelle Datensätze geschlossen werden kann . Beim Pseudonymisieren werden dagegen Namen und andere Merkmale nicht gelöscht, sondern durch ein Pseudonym ersetzt.
Wie hat dir der Artikel gefallen?
[ratings]