Auf Webseiten werden Besucherdaten konstant erfasst, gespeichert und für verschiedene Zwecke verwendet. Mitunter können diese Daten auch personenbezogen sein und damit unter den Schutz spezieller Datenschutzgesetze fallen.
Es macht folglich Sinn, dass sich Unternehmen nicht nur im Sinne der Anwendung mit gesammelten Nutzerdaten beschäftigen, sondern auch damit, wie Daten besonders gut geschützt werden können. In den letzten Jahren wurde auch in der Öffentlichkeit der Umgang mit Daten stärker thematisiert. Diese Aufmerksamkeit hat bei Nutzern verstärkt dazu geführt, dass der Schutz ihrer Daten im Vordergrund steht.
Gleichzeitig verlassen sich viele Unternehmen darauf, durch personalisierte Werbung und ähnliche Strategien Marketing zu betreiben. Dafür sind teilweise personenbezogene Daten wie Standort, Alter oder IP-Adressen nötig. Einfach gesagt: Je freier ein Unternehmen Daten verwenden kann, desto erfolgreicher sind häufig die eingesetzten Werbemaßnahmen.
Dank Datenschutzgesetzen wie der DSGVO (Datenschutzgrundverordnung) der EU oder dem CCPA (California Privacy Rights Act) haben Verbraucher aber an vielen Orten mehr Rechte an Ihren Daten und die Möglichkeit, ihre Privatsphäre besser zu schützen. Unternehmen müssen also dafür sorgen, dass sie entweder keine personenbezogenen Daten sammeln oder sie diese so anonymisieren, dass sie nicht mehr personenbezogen sind.
Dieses Konzept ist der Kern der Datenanonymisierung. Wenn Daten so anonymisiert werden, dass sie nicht mehr als personenbezogen gelten, können sie auch für bestimmte Zwecke im Unternehmen angewendet werden. Wir wollen Ihnen erklären, wie das funktionieren kann und wie Sie das Konzept für sich nutzen können.
Was ist Datenanonymisierung?
Der Prozess der Datenanonymisierung ist die Verschlüsselung von sensiblen oder personenbezogenen Daten durch das Löschen oder anonymisieren von Identifikatoren, welche sensible Daten einer bestimmten Person zuordnen können. Die Daten sollen nicht mehr „personenbezogen“ sein. Daher nennt man es auch die Anonymisierung von Daten.
Personenbezogene Daten werden also so verändert, dass sie nicht wiedererkannt werden können. Unter der DSGVO und praktisch allen anderen Datenschutzgesetzen, die die Privatsphäre der Nutzer schützen sollen, brauchen Unternehmen so keine Einwilligung der Nutzer in die Verwendung der Daten.. Wenn diese durch Verschlüsselung gegeben ist, fallen sie theoretisch nicht mehr unter den Schutz dieser Gesetze.
In der Praxis wird das Konzept aber nicht immer richtig angewendet. Den Prozess der Anonymisierung unwiderruflich zu gestalten ist technisch herausfordernd, da sich Computer mit dem Prinzip des Zufalls schwer tun. Zusätzlich werden Daten manchmal nur als Schein verschlüsselt, können aber sehr leicht wieder entschlüsselt werden. Wenn die Anonymisierung von Daten nicht korrekt durchgeführt wird, besteht ein gesteigertes Risiko für Identitätsdiebstahl oder Betrug. Ein besonders hohes Risiko besteht, wenn anonymisierte Daten mit öffentlich zugänglichen Quellen kombiniert werden.
Was ist Daten-De-Identifikation?
Unter De-Identifizierung von Daten versteht man die Entfernung des Personenzugs aus einem Datensatz. Dadurch soll die Privatsphäre der Nutzer gefördert werden. De-Identifizierung ist allerdings nicht gleichbedeutend mit Anonymisierung, da eine Anonymisierung endgültig und möglichst unwiderruflich sein soll.
Die Idee hinter dem Prozess soll sein, dass Unternehmen weiter Daten verwenden und verarbeiten können, ohne dass es datenschutzrechtliche Bedenken dazu gibt. Das soll Analysen ermöglichen, ohne die Privatsphäre der Nutzer einzuschränken.
Allerdings können de-identifizierte Daten potentiell immer wieder identifiziert werden. Der Prozess fördert zwar die Privatsphäre, bietet aber keinen vollständigen Schutz. Die für die Re-Identifikation nötigen Daten müssen daher besonders geschützt aufbewahrt werden, um den Schutz der Nutzer zu gewährleisten. Aus diesem Grund ist die Anonymisierung von Daten datenschutzrechtlich umstritten.
De-identifizierte Daten unterliegen daher in eingeschränktem Maße der DSGVO und Nutzer müssen in die Verwendung Ihrer Daten auf diese Weise einwilligen. Das passiert im Normalfall über ein sogenanntes Cookie- oder Consent-Banner, das beim ersten Aufruf einer Website angezeigt wird. Außerdem muss zusätzlich in der Datenschutzerklärung der entsprechenden Website oder App über dieses Verfahren aufgeklärt werden.
Was ist Pseudonymisierung?
Eine Pseudonymisierung von Daten ist eine besondere Art der Anonymisierung. Hierzu werden persönliche Identifikatoren durch Pseudonyme ersetzt. Ein bekanntes Beispiel ist die Verwendung eines Decknamens oder eines Künstlernamens, um die Privatsphäre einer Person zu schützen. Im Datenverkehr werden dafür allerdings zufällig erstellte IDs verwendet. Meistens eine lange Folge an Zahlen, Buchstaben und Sonderzeichen.
Die Gefahr bei einer Pseudonymisierung liegt darin, dass die Art der Verschlüsselung aufgedeckt werden kann. Das kann dazu führen, dass Personen, die eigentlich nicht auf die verschlüsselten Daten Zugriff haben sollen, diese auslesen können. Diese Prozesse der De-Identifikation und Re-Identifikation können sehr komplex werden. Einer der ersten je gebauten Computer von Alan Turing diente dazu, die Pseudonymisierung des deutschen „unknackbaren“ Enigma Codes während des Zweiten Weltkriegs aufzuheben. Heute weis man: Kein Code der Welt ist unknackbar und so besteht immer ein Restrisiko bei der Anonymisierung von Daten auf diese Weise.
Unternehmen müssen ihre Daten daher möglichst gut verschlüsseln, um sie bestmöglich zu schützen. Dabei kommt es auf folgende Faktoren an:
- Wie wird der Prozess der Verschlüsselung gestaltet und umgesetzt?
- Wie werden die verschlüsselten Daten gespeichert?
- Wofür werden die anonymisierten Daten verwendet?
- Werden Benutzer über den Prozess der Pseudonymisierung ihrer Daten aufgeklärt?
- Muss eine Einwilligung in die Verwendung der pseudonymisierten Daten eingeholt werden?
- Mithilfe welcher Daten könnten die Daten De-Pseudonymisiert werden?
Was ist die De-Anonymisierung von Daten?
Die De-Anonymisierung ist salopp gesagt die Umkehrung der Anonymisierung von Daten. Sie wird auch als Datenreidentifizierung bezeichnet und ist eine Technik des Data Minings um verschlüsselte oder verdeckte Informationen wiederherzustellen. Dabei werden anonyme Daten mit anderen Datenquellen abgeglichen, um den Prozess der Anonymisierung rückgängig zu machen. Dadurch werden meist personenbezogene Daten aufgedeckt, die dann für weitere Zwecke genutzt werden können.
Dieser Prozess ist grundsätzlich nicht illegal. Da am Ende aber meist der Besitz personenbezogener Daten entsteht, in den die Dateneigentümer nicht eingewilligt haben, ist die De-Anonymisierung fast immer ein Instrument der Kriminalität. Die Rechtmäßigkeit der De-Anonymisierung liegt im Kontext der Prozessanwendung. Er kann auch aus rechtlichen Gründen durchgeführt werden oder für rechtmäßige Marketingzwecke erfolgen. In diesen Fällen muss aber umfassend geprüft werden, ob die Speicherung und Verwendung solcher Daten im Sinne der geltenden Datenschutzrechte umsetzbar ist.
Wichtig ist, dass anonymisierte Daten so gespeichert werden, dass die De-Anonymisierung so schwer wie möglich ist. Falls nötig, sollte nur derjenige in der Lage sein, die Daten zu entschlüsseln, der diese auch verschlüsselt hat. So ist der Datenschutz möglichst bewahrt.
Anwendungsfälle der Datenanonymisierung
Marktforschungsunternehmen, Regierungen und medizinische Einrichtungen verwenden häufig eine Anonymisierung von Daten, um vertrauliche Informationen bestmöglich zu schützen. Besonders bei medizinischen Daten muss die Speicherung unter äußerster Vorsicht erfolgen, da Patientenakten sensible Daten enthalten, die für die Privatsphäre meist wichtiger sind als z. B. einfache E-Mail-Adressen. Patientendaten müssen allerdings häufig übermittelt werden, um beispielsweise Laborergebnisse an Arztpraxen zu übermitteln. Die Anonymisierung der Daten ist hier besonders wichtig, um einen sicheren und schnellen Datenaustausch zu gewährleisten.
Im Einzelhandel oder im E-Commerce ist Datenanonymisierung ebenfalls gängig, wird allerdings weniger stringent umgesetzt. Manchmal wollen Unternehmen Daten Ihrer Website auswerten, für welche Sie die Einwilligung Ihrer Nutzer einholen müssen. Da die Daten manchmal nur aussagekräftig sind, wenn möglichst viele Datensätze vorliegen, kann die Anonymisierung dabei helfen, Analysen über Nutzerverhalten zu erstellen, die aber eigentlich ohne den Personenbezug auskommen.
Ein Beispiel hierfür sind sogenannte „Heatmaps”. Mithilfe von Heatmaps kann analysiert werden, auf welche Bereiche einer Website besonders häufig geklickt wird. Da diese Daten von einer bestimmten Person durchgeführt werden und so auch erfasst werden, handelt es sich um Daten, die indirekt personenbezogen sind. Wenn aber alle Daten außer den Klicks auf der Website verschlüsselt werden, kann die Person nicht mehr identifiziert werden. Das Unternehmen kann die Performance der Website analysieren, ohne personenbezogene Daten zu verwenden. Die Anonymisierung von Daten ist für viele eine Chance, um Daten einsehen zu können, die ihnen der Datenschutz sonst verwehren würde. Gleichzeitig werden Nutzerdaten geschützt und die Privatsphäre gewahrt: Eine „Win-win-Situation“.
Ein weiterer häufiger Anwendungsfall für Datenanonymisierung ist das Online Banking. Inzwischen führt die Mehrheit der Menschen in Europa Ihre Bankgeschäfte per Website oder App durch. Da hier die Gefahr für Betrug besonders hoch ist, ist eine sichere Anonymisierung besonders wichtig.
Die Anonymisierung von Daten wird immer dort angewendet, wo Daten verwendet werden müssen, bei denen ein besonders hohes Risiko für Betrug oder kriminelle Handlungen besteht. Da wir mehr und mehr unseres Lebens digital abwickeln, steigen auch jährlich die Anforderungen an die Anonymisierung, da das digitale Leben ähnlich gut geschützt werden soll wie das “analoge” Leben. Jährlich steigen aber auch die Fälle von Datenbetrug. Wer also anonymisierte Daten verwenden möchte, muss diesen Prozess mit kompetenten Partner gemeinsam durchführen.
Vorteile von Datenanonymisierung
Die Anonymisierung von Daten kann viele Vorteile haben. Dazu gehören:
- Verbesserte Datensicherheit
Die Anonymisierung von Daten kann die Risiken im Zusammenhang mit Datenschutzverletzungen erheblich verringern, indem sensible und/oder leicht zu identifizierende Details persönlicher Informationen wie Namen, Adressen und Sozialversicherungsnummern entfernt oder verborgen werden.
- Einhaltung von Vorschriften
Je nach Zweck der Datenverarbeitung kann die Anonymisierung von Daten für die Einhaltung der Datenschutzbestimmungen von entscheidender Bedeutung sein. Durch die Anonymisierung von Daten können Sie personenbezogene Daten legal verarbeiten, ohne Verletzungen der Privatsphäre zu riskieren.
- Aufbau von Vertrauen
Indem Sie Ihre Nutzer darüber aufklären, wie und warum Daten anonymisiert werden, bauen Sie ein stärkeres Vertrauen auf. Dadurch kann eine längere Kundenbeziehung gewährleistet werden. Zudem sichern Sie sich durch einen vertrauensvollen Umgang mit Nutzerdaten die Zukunftsfähigkeit Ihres Unternehmens.
- Risikominimierung
Gut verschlüsselte Daten verringern die Chance, dass Ihre Daten von Dritten zweckentfremdet und gestohlen werden. Dadurch schützen Sie sich vor möglichen rechtlichen Konsequenzen und Ihre Kunden vor Betrugsfällen im Falle eines Datenlecks.
Nachteile der Datenanonymisierung
Neben allen positiven Aspekten der Anonymisierung hat diese natürlich auch Nachteile.
- Schlechtere Datenqualität
Bei der Anonymisierung gehen Daten verloren. Es ist wichtig zu wissen, wann eine Anonymisierung Sinn macht und wo sie eventuell die gesammelten Daten unbrauchbar macht. Es muss immer abgewogen werden, inwieweit eine Anonymisierung der Daten sinnvoll im Sinne des Datenschutzes ist oder ob die Daten dadurch ihren Wert verlieren. Im Zweifel macht es aus Unternehmerperspektive manchmal Sinn, die Einwilligung in die Verwendung der nicht-anonymisierten Daten einzuholen.
- Einschränkung der Anwendungsfälle
Unternehmen wollen Daten häufig für Marketingzwecke einsetzen. Je mehr der Daten anonymisiert sind, desto eingeschränkter sind allerdings die Möglichkeiten der Anwendungen. Häufig ist es der Fall, dass durch den fehlenden Personenbezug kein erfolgreiches Remarketing mehr möglich ist.
- Kein vollständiger Schutz der Privatsphäre
Die Anonymisierung der Daten bietet keinen absoluten Schutz vor böswilligen Absichten. Keine Verschlüsselung ist unlösbar und so können auch in bester Absicht verschlüsselte Daten für kriminelle Zwecke verwendet werden. Allerdings ist der einzige Weg, sich vor digitaler Kriminalität zu schützen, der komplette Rückzug aus dem Netz. Denn ganz egal wie konform und sicher man sich im digitalen Raum bewegt, ein Restrisiko besteht immer.
- Die Zusammenarbeit mit Drittanbietern wird schwieriger
Integrationen in digitalen Plattformen leben häufig von Datenbank-Abgleichen. Beispielsweise kann entlang einer Customer Journey analysiert werden, wie ein Nutzer erst über eine Google Anzeige auf die Seite kam und später aber nach dem Klick auf eine Facebook Anzeige einen Kauf getätigt hat. Wenn die Nutzerdaten zwischen diesen Schritten verschlüsselt werden, ist es schwer, diese Wege nachzuvollziehen.
Welche Daten sollten anonymisiert werden?
Nicht alle Daten müssen anonymisiert werden, um die Privatsphäre der Nutzer zu schützen oder um den Datenschutz einzuhalten. Sie müssen für sich und Ihr Unternehmen festlegen, welche Daten Sie unbedingt brauchen und welche verschlüsselt werden sollten. Es gilt dabei abzuwägen, welche Risiken Sie eingehen wollen und wo Sie besonderen Wert auf den Schutz Ihrer Nutzer legen wollen.
In der Praxis führen Compliance-Standards und Unternehmensrichtlinien in der Regel dazu, dass personenbezogene Daten als sensible Daten eingestuft und möglichst anonymisiert werden sollten. Was personenbezogene Daten sind, gibt der Gesetzgeber vor. Es handelt sich um Daten wie:
- Name
- Adresse
- Identifikatoren wie Daten aus dem Personalausweis oder Steuerdaten
- IP-Adressen
- Biometrische Informationen
- Telefonnummern
- Kreditkartennummern oder Bankdaten
Wie trägt die Anonymisierung von Nutzerdaten zum Schutz der Privatsphäre bei?
Datenschutz und Privatsphäre sind ein wachsendes Anliegen der Verbraucher und Endnutzer. Den meisten Menschen ist aber nicht bewusst, wie viele Daten sie im Internet hinterlassen. Geschichten aus Bekanntenkreisen zu Themen wie Identitätsdiebstahl oder Kreditkartenbetrug können zudem Ängste im Bezug auf die digitale Privatsphäre fördern. Die Verantwortung für den Schutz der Privatsphäre und der Sicherheit liegt jedoch nicht allein bei den Verbrauchern. Datenschutzgesetze und unternehmerische Verantwortung müssen dafür sorgen, dass die Verantwortung über die Nutzerdaten möglichst von den Stellen übernommen wird, an denen die Daten gespeichert werden.
Die Anonymisierung der Daten hilft dabei, eine weitere Barriere gegen potentielle bösartige Verwendungszwecke zu schaffen. Auch wenn der Prozess nicht perfekt ist, kann diese Barriere den Unterschied zwischen einer kleinen Datenpanne mit gesicherten Daten und einem millionenfachen Bankbetrug ausmachen. Es ist wichtig, dass Unternehmen die Daten ihrer Kunden und Nutzer möglichst schützen, da nur so ein vertrauensvolles Miteinander im Internet ermöglicht wird. Eine sichere Anonymisierung ist hierfür essenziell.
Wie können Daten anonymisiert werden?
Da die Anonymisierung nicht neu ist, haben sich über die Jahre viele Möglichkeiten entwickelt, wie die Sicherheit von personenbezogenen Daten gewährleistet werden kann. Diese unterscheiden sich vor allem im Aufwand und dadurch in der daraus resultierenden Sicherheit. Da eine aufwändige Verschlüsselung teuer sein kann, muss abgewogen werden, wie Daten effizient geschützt werden können. Einige Beispiele dafür sind:
- Datenmaskierung
Hier werden den Daten lediglich Ersatzwerte zugewiesen, die recht einfach entschlüsselt werden können. So werden Buchstaben durch Sonderzeichen ersetzt o. ä.. Da die Entschlüsselung sehr einfach ist, spricht man hierbei nicht von einer „echten“ Anonymisierung.
- Verallgemeinerung
Hierbei werden Daten so verändert, dass der Personenbezug wegfällt. Bei einer Adresse könnten zum Beispiel die Straße und die Hausnummer entfernt werden. So ist die Adresse nicht mehr auf die Person zurückzuführen. Dadurch können die Daten auch nachträglich nicht wieder entschlüsselt werden.
- Datenaustausch
Dieser Prozess wird auch „Mischen“ oder „Permutation“ genannt. Die Daten werden hierbei neu geordnet und können in ihrer veränderten Form nicht mehr ausgelesen werden. Auch hier ist allerdings eine Entschlüsselung nicht besonders schwer.
- Datenstörung
Die Daten werden bei dieser Methode um zufällige Werte ergänzt. Wenn die Störwerte unbekannt sind, sind auch die Daten unlesbar. Allerdings ist es sehr schwer, zufällige Muster mit einem Computer zu erzeugen, was dazu führt, dass die Daten mit etwas Aufwand eventuell doch entschlüsselt werden können.
- Synthetische Daten
Dies ist die einzige Anonymisierungs-Methode, die laut der DSGVO zugelassen ist. Dabei werden künstliche Datensätze erstellt, die wie das Original aussehen und auch die gleichen Eigenschaften aufweisen. In der Datenschutz-Grundverordnung wird nicht ausdrücklich auf synthetische Daten eingegangen, aber es heißt dort, dass die Verordnung nur für Daten gilt, die eine Verbindung zu „einer identifizierbaren natürlichen Person“ haben, was bei synthetischen Daten nicht der Fall ist, selbst wenn sie echte Nutzerinformationen nachahmen.
Datenanonymisierung laut der DSGVO
Die DSGVO definiert anonyme Daten als solche, die „sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen oder auf anonymisierte personenbezogene Daten“, so dass „die betroffene Person nicht oder nicht mehr identifizierbar ist“. Das bedeutet, dass die Datenschutz-Grundverordnung nicht für Daten gilt, die durch Anonymisierungstechniken wie Verschlüsselung oder Entfernung personenbezogener Informationen verändert wurden.
Die Politik der EU zur Anonymisierung von Daten ist jedoch unklar. Dies kann zu Herausforderungen für Organisationen führen, die die DSGVO (im Ausland GDPR) einhalten wollen. In Erwägungsgrund 26 der Datenschutz-Grundverordnung wird die Anonymisierung zwar erwähnt, aber es fehlt eine klare Anleitung, was eine effektive Anonymisierung in der Praxis ausmacht.
Eine Consent Management Platform (CMP) wie Usercentrics Web CMP oder Usercentrics App CMP kann Ihrem Unternehmen dabei helfen, die Nutzer zu informieren und die Zustimmung zur Erhebung und Nutzung personalisierter Daten einzuholen. Auch wenn die Daten anonymisiert werden, bleibt die Einwilligung eine Voraussetzung für verschiedene Verwendungen.
Best Practices in der Datenanonymisierung
Die Anonymisierung von Daten kann eine effektive Strategie für den Schutz Ihrer Nutzerdaten und für die Einhaltung von Datenschutzgesetzen sein. Allerdings ist unklar, welche Methoden der Anonymisierung sicher und vor allem durch den jeweiligen Gesetzgeber abgesegnet sind. Es gibt allerdings einige Wege, wie Sie die Anonymisierung erfolgreich angehen können:
- Verstehen Sie Ihre Daten
Bevor Sie daran denken, wie Sie am Besten Ihre Daten anonymisieren können, sollten Sie sich Ihrer Daten bewusst machen. Klären Sie, welche Daten erhoben werden, wie diese Daten verwendet und wie sie gespeichert werden. Auf dieser Basis können Sie bessere Entscheidungen in Bezug auf Anonymisierung treffen.
- Priorisieren Sie, welche Daten anonymisiert werden sollen
Nicht alle Daten benötigen den gleichen Grad an Anonymisierung. Ermitteln Sie die spezifischen Verwendungszwecke für Ihre Daten und setzen Sie entsprechende Prioritäten. Für einige Zwecke ist es außerdem erforderlich, dass die Daten intakt bleiben, z. B. für personalisiertes Marketing. Für andere Anwendungen können die Daten nicht anonymisiert werden, so dass alle anderen rechtlichen und sicherheitstechnischen Anforderungen für die Datenerfassung, -speicherung und -verwendung eingehalten werden müssen.
- Ermitteln Sie die für Sie geltenden rechtlichen Anforderungen
In verschiedenen Regionen und Branchen gelten spezifische Vorschriften für den Datenschutz und die Datennutzung, die auch die Anonymisierung umfassen sollten. Stellen Sie die Einhaltung von Gesetzen wie der DSGVO, CCPA/CPRA und anderen sicher, wenn Ihre Nutzer aus diesen Regionen stammen oder Sie dort aktiv sind. Richten Sie Ihre Anonymisierungspraktiken nach den gesetzlichen Standards, um potentielle Strafen zu vermeiden.
- Führen Sie eine Datenermittlung und -klassifizierung durch
Führen Sie einen gründlichen Datenermittlungsprozess durch (z. B. als Teil eines Datenaudits), um alle direkten und indirekten Identifikatoren in Ihrem Datensatz zu ermitteln. Dazu gehören personenbezogene Daten wie Namen, Adressen und Sozialversicherungsnummern sowie indirekte Identifikatoren.
Behalten Sie immer die Balance aus Datensicherheit und Anwendbarkeit Ihrer Daten im Hinterkopf und machen Sie sich bewusst, welche Konsequenzen bei Nichteinhaltung der Gesetzeslage folgen könnten. Am Ende sollte ein vertrauensvoller Umgang mit Ihren Nutzern und deren Daten an erster Stelle stehen.
Die Zukunft der Datenanonymisierung
Die zunehmende Häufigkeit von Datenschutzverletzungen und Verschärfungen von Datenschutzbestimmungen unterstreichen die Notwendigkeit für Unternehmen, dem Datenschutz höchste Priorität einzuräumen.
Unabhängig davon, ob neue Maßnahmen eingeleitet oder bestehende verbessert werden – Unternehmen, die auf Nutzerdaten angewiesen sind, verpflichten sich, ihre Kunden zu schützen und gleichzeitig Transparenz durch leicht zugängliche Datenschutzerklärungen zu gewährleisten.
Solange Unternehmen diese grundlegenden Schritte proaktiv angehen, können sie Abläufe stärken, Vertrauen bei ihren Kunden aufbauen und die sich entwickelnde Landschaft des Datenschutzes weiterhin mit Widerstandsfähigkeit und Integrität navigieren.