Datenanonymisierung im Data Warehouse - Ein movisco-Überblick über die Anwendungsfälle und die Vorteile der DSGVO-konformen Datenanonymisierung im DWH

Die Datenschutz-Grundverordnung (DSGVO) oder General Data Protection Regulation (GDPR) ist eine Verordnung der Europäischen Union, die das Ziel hat, innerhalb der EU einheitliche Regeln für die Verarbeitung personenbezogener Daten zu schaffen. Sie ist am 25. Mai 2018 in Kraft getreten und gilt unmittelbar in allen Mitgliedsstaaten der Europäischen Union. Die DSGVO hat darüber hinaus Vorrang vor nationalen Datenschutz-Gesetzen wie etwa dem Bundesdatenschutzgesetz (BDSG) in Deutschland.

Bis zum Inkrafttreten der DSGVO regelte in Deutschland das BDSG den Schutz personenbezogener Daten. Im Zuge der Einführung der DSGVO wurde das BDSG vollständig neu gefasst. Die Neufassung des BDSG konkretisiert und ergänzt Datenschutzvorgaben der DSGVO. Dies ist immer der Fall, wenn im Gesetzestext der DSGVO eine sogenannte Öffnungsklausel vorliegt.

In Art. 5 DSGVO werden die Grundsätze für die Verarbeitung personenbezogener Daten festgehalten:

1. Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz: Daten dürfen nur rechtmäßig, in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden.
2. Zweckbindung: Daten dürfen nur für festgelegte, eindeutige und legitime Zwecke erhoben und verarbeitet werden.
3. Datenminimierung: Es dürfen nur Daten erhoben werden, die für den jeweiligen Zweck tatsächlich benötigt werden.
4. Richtigkeit: Daten müssen richtig und aktuell gehalten werden.
5. Speicherbegrenzung: Daten dürfen nicht länger gespeichert werden, als es für den jeweiligen Zweck erforderlich ist.
6. Integrität und Vertraulichkeit: Es sind angemessene Maßnahmen zu treffen, um die Sicherheit der Daten zu gewährleisten.
7. Rechenschaftspflicht: Die Verantwortlichen müssen nachweisen können, dass sie die Vorschriften der DSGVO einhalten.

Wie wir später sehen werden, sind bei der Anwendung im Data Warehouse insbesondere der Grundsatz der Zweckbindung und der Grundsatz der Speicherbegrenzung relevant.

Verstöße gegen die DSGVO können hohe Bußgelder und Strafen mit sich ziehen. So kann bei besonders gravierenden Verstößen ein Bußgeld in Höhe von 20 Mio. Euro oder 4% des weltweit erzielten Jahresumsatzes fällig werden. Darüber hinaus kann die Missachtung des Schutzes sensibler, personenbezogener Daten auch zu einem erheblichen Image- und Vertrauensverlust für das Unternehmen durch Partner und Kunden führen.

Um Datenschutz-Verstöße zu vermeiden, müssen personenbezogene Daten fristgerecht gelöscht werden. Die “triviale” Lösung ist es, den entsprechenden Datensatz komplett zu löschen. Hier kommt die Datenanonymisierung ins Spiel.

Bei der Datenanonymisierung handelt es sich um den Prozess, personenbezogene Daten so zu verändern, dass sie nicht mehr oder nur mit unverhältnismäßig großem Aufwand einer bestimmten Person zugeordnet werden können. Das Hauptziel besteht darin, die Identifizierung von Einzelpersonen aus den Daten zu verhindern, während die Daten weiterhin für Analysezwecke oder andere Geschäftsprozesse genutzt werden können. Die Wahl der Anonymisierungs-Methode hängt dabei maßgeblich von der geplanten weiteren Verwendung der Daten ab.

Ausschlaggebend ist, dass anonymisierte Datensätze laut Erwägungsgrund 26 DSGVO nicht mehr den Regeln der DSGVO unterliegen.

Interessanterweise müssen pseudonymisierte Daten gemäß Erwägungsgrund 26 DSGVO “als Informationen über eine identifizierbare natürliche Person betrachtet werden”, wodurch die pseudonymisierten Datensätze im Gegensatz zu anonymisierten Daten grundsätzlich der DSGVO unterliegen.

Die Rechtslage ist jedoch bei pseudonymisierten Daten deutlich komplexer als bei der Verarbeitung anonymisierter Daten, wie ein Urteil des Europäischen Gerichtshofes aus dem Jahr 2023 zeigt. Demnach entscheiden viele Einzelheiten, wie beispielsweise die “Perspektive” des Empfängers, ob die Daten rechtlich gesehen anonymisiert oder nur pseudonymisiert sind.

Die möglichen Anwendungsszenarien für den Einsatz von Datenanonymisierung und Datenpseudonymisierung im Data Warehouse sind vielfältig, da personenbezogene Daten in einer Vielzahl an geschäftlichen Prozessen erhoben und später in einem Data Warehouse, wie etwa SAP BW, persistiert werden. Im Folgenden werden drei mögliche alltägliche Anwendungsfälle kurz vorgestellt.

Auf die Verwendung echter Daten muss hingegen dringend verzichtet werden. Denn mit der Verwendung von echten Daten wird grundsätzlich der DSGVO-Grundsatz der Zweckbindung verletzt.

Die Verwendung wäre jedoch erlaubt, wenn die Nutzung der erhobenen Daten in einem Testsystem innerhalb der Datenschutzerklärung als Zweck aufgeführt würde. Es existieren auch weitere Ausnahmen, die eine derartige Verwendung möglich machen. Allerdings ist dies abhängig von vielen individuell zu prüfenden Faktoren und geht oftmals mit einem beträchtlichen organisatorischen Mehraufwand einher, um die „Vereinbarkeit“ des neuen Zwecks mit dem alten Zweck darzulegen oder eine „Erforderlichkeit“ der Verarbeitung rechtfertigen zu können.

Die Schulung von Mitarbeitern im Umgang mit neuen Programmen und Tools ist ein wichtiger Beitrag zur Entwicklung von Mitarbeitern im Unternehmen. Einige Anwendungen wie beispielsweise Microsoft Analysis for Office beziehen dabei ihre Daten aus dem Data Warehouse.

Auch hier ist es natürlich wichtig, dass die präsentierten Daten, mit denen die Schulungsteilnehmer das neue Programm kennenlernen, möglichst realistisch und plausibel sind. Der größte Lerneffekt kann nur dann erzielt werden, wenn Teilnehmer in einer möglichst repräsentativen Umgebung geschult werden.

Ähnlich wie im Anwendungsfall der Datenanonymisierung in Testsystemen besteht hier bei der Verwendung von echten Daten ein Konflikt mit dem Grundprinzip der Zweckbindung. Erschwerend kommt in diesem Anwendungsbeispiel hinzu, dass die Ausnahmen hinsichtlich der Vereinbarkeit und Erforderlichkeit, die die Verwendung von Echtdaten in Testumgebungen rechtlich möglich machen, im Falle von Schulungen wohl kaum zutreffen.

Auch in Produktivsystemen kann die Anonymisierung von Daten zum eigenen Vorteil eingesetzt werden. Personenbezogene Daten müssen nach Erreichen der geschäftlichen Notwendigkeit gemäß dem Grundsatz der Speicherbegrenzung gelöscht werden. Da gemäß Art. 17 DSGVO das “Recht auf Vergessenwerden” besteht, kann in einigen Fällen auch eine außerplanmäßige vorzeitige Löschung der personenbezogenen Daten notwendig sein. Bei einer Löschung der betroffenen Datensätze gehen so jedoch wertvolle historische Daten verloren.

Mithilfe von Datenanonymisierung können im Data Warehouse Datensätze fristgerecht anonymisiert werden, wodurch die Löschung der Datensätze verhindert werden kann. So können wesentliche Informationen aus historischen Daten auch weiterhin beispielsweise für Analysezwecke oder fürs Reporting auswertbar bleiben. Die zu verwendende Anonymisierungs-Methode wird auf Grundlage der Anforderungen an die Granularität der anonymisierten Daten gewählt.

Die drei präsentierten Beispiele zeigen auf, wie Datenanonymisierung im Data Warehouse in verschiedenen alltäglichen Szenarien eingesetzt werden kann und dabei rechtlich sowie fachlich viele Vorteile gegenüber alternativen Ansätzen mit sich bringt.

Die konkreten Anforderungen an ein Datenanonymisierungs-Tool hängen von vielen individuellen Faktoren ab. Dennoch sollten die folgenden drei Punkte in jedem Fall erfüllt sein:

Das Werkzeug muss…

• Logische Konsistenz bewahren: Die referenzielle Integrität der Datensätze sollte in jedem Fall gewährleistet sein, um Inkonsistenzen auszuschließen. Beispiel: In einem Einzelhandels-Unternehmen werden in den Stammdaten Nutzerkennungen anonymisiert. Wenn “maxmuster” zu “johndoe” anonymisiert wird, sollten die Transaktionen, die “maxmuster” betreffen, ebenfalls zu “johndoe” abgeändert werden und nicht zu einem anderen zufälligen Wert. Anonymisierte Daten sollten immer noch weitestgehend realitätsgetreu bleiben. Beispiel: Eine Adresse sollte nicht aus einer zusammengewürfelten Zeichenkombination bestehen, sondern aus realen oder real erscheinenden Werten bestehen. Je nach Anwendungsfall sollten anonymisierte Daten in der gleichen Kohorte bzw. Größenordnung wie die Originaldaten liegen, um eine möglichst akkurate Analyse zu ermöglichen.
• Re-Identifizierung verhindern: Damit anonymisierte Daten nicht mehr der DSGVO unterliegen, muss die Anonymisierung in einer Art und Weise erfolgen, die sicherstellt, dass eine Rückverfolgung der betroffenen Person ausgeschlossen ist.
• Flexibilität gewährleisten: Bei der Implementierung eines Tools zur Datenanonymisierung sind die fachlichen und technischen Anforderungen und Gegebenheiten dringend zu beachten. Jedes System und jeder Anwendungsfall bringt unterschiedliche Anforderungen hinsichtlich des Lösungsdesigns mit sich.