Blockchain, Einwilligung und DSGVO: Navigation durch das Datenschutzlabyrinth in einer dezentralen Welt

Blockchain, allgegenwärtig und doch komplex, ist nicht unbedingt ein zentrales Thema für alle, die sich mit Datenschutz und Einwilligungsvorschriften befassen. Mit zunehmender Reife der Blockchain-Technologie wächst jedoch auch die Aufmerksamkeit für den Umgang mit personenbezogenen Daten.

In den letzten Jahren hat sich die Blockchain vom Rückgrat von Kryptowährungen zu einer Grundlage für dezentrale Anwendungen (dApps), Transparenz in Lieferketten, Wahlsysteme und vieles mehr entwickelt. Ihre Allgegenwärtigkeit hat die Blockchain einer verstärkten regulatorischen Kontrolle unterworfen – im Zentrum dieser Kontrolle steht die Datenschutz-Grundverordnung (DSGVO) der Europäischen Union, ein umfassendes Rechtsrahmenwerk, das regelt, wie personenbezogene Daten erhoben, gespeichert und weitergegeben werden müssen – unabhängig von der verwendeten Technologie.

Was geschieht, wenn man versucht, die unveränderliche und dezentrale Struktur der Blockchain in das einwilligungsbasierte und rechteorientierte Datenmodell der DSGVO zu integrieren?

Lassen Sie uns untersuchen, wie Blockchain-Entwickler und -Organisationen die Datenschutzgesetze respektieren und gleichzeitig die einzigartigen Vorteile der Distributed-Ledger-Technologie nutzen können.

Die zentralen Vorteile der Blockchain – Unveränderlichkeit, Dezentralisierung und Transparenz – lassen sich nur schwer mit den Prinzipien der DSGVO, wie dem Recht auf Vergessenwerden, der Datenminimierung und der Zweckbindung, vereinbaren.

Merkmale der Blockchain:

Anforderungen der DSGVO:

Auf den ersten Blick scheinen diese Merkmale unvereinbar. Der Europäische Datenschutzausschuss (EDSA) trägt jedoch mit einer Reihe praktischer Leitlinien dazu bei, diese Lücke zu schließen.

Die kürzlich ratifizierten und zur öffentlichen Kommentierung freigegebenen Leitlinien des Europäischen Datenschutzausschusses für 2024 bieten detaillierte Empfehlungen für Organisationen, die Blockchain im Einklang mit den DSGVO-Grundsätzen einsetzen möchten. Einige Kernpunkte sind:

Diese Richtlinien zielen darauf ab, die technischen Stärken der Blockchain zu erhalten und gleichzeitig einen höheren Standard für die Datenverwaltung durchzusetzen.

Der erste Schritt zur Einhaltung der Datenschutzbestimmungen besteht darin, zu verstehen, woraus personenbezogene Daten bestehen und ob deren Speicherung auf der Blockchain tatsächlich notwendig ist. Bei der Verwaltung personenbezogener Daten sollten Sie unter anderem Folgendes beachten:

Vermeiden Sie die Speicherung personenbezogener Daten in der Blockchain.

Daten sollten nach Möglichkeit außerhalb der Blockchain in herkömmlichen Datenbanken oder verschlüsselten Datenspeichern abgelegt werden. Die Blockchain sollte nur Folgendes speichern:

Pseudonymisierte Daten gelten jedoch gemäß DSGVO weiterhin als personenbezogene Daten, wenn sie mithilfe zusätzlicher Informationen einer Person zugeordnet werden können. Daher ist es ratsam, alle Daten mit Vorsicht zu behandeln.

Nutzen Sie Verschlüsselung und Hashing

Das Hashing von Daten anonymisiert diese zwar nicht vollständig, bietet aber zusätzlichen Schutz. Wichtig: Lässt sich ein Hash umkehren oder mithilfe externer Daten einer Person zuordnen, gelten die Daten weiterhin als personenbezogene Daten.

Erwägen Sie private oder genehmigungspflichtige Blockchains

Im Gegensatz zu öffentlichen Blockchains (z. B. Bitcoin, Ethereum) bieten private oder genehmigungspflichtige Blockchains mehr Kontrolle darüber, wer auf Daten zugreifen kann und wie diese verwaltet werden. Sie eignen sich besser für DSGVO-konforme Anwendungen, da der Zugriff eingeschränkt und die Knoten zur Rechenschaft gezogen werden können.

Eine der Säulen der DSGVO ist die Anforderung, dass Organisationen vor der Verarbeitung personenbezogener Daten die freiwillige, informierte und spezifische Einwilligung der Nutzer einholen müssen. Doch wie funktioniert das in der Blockchain?

Blockchain-spezifische Herausforderungen bei der Einwilligung

Bewährte Verfahren für die Einwilligung

1. Einwilligungsgateways
   Bevor Daten in die Blockchain geschrieben werden, sollten Nutzer ein Gateway durchlaufen, das erklärt, welche Daten gespeichert werden, und ihre ausdrückliche Einwilligung einholt. Diese Schnittstelle sollte transparent und verständlich gestaltet sein und den gängigen Verfahren des Einwilligungsmanagements entsprechen.
2. Zeitlich begrenzte Einwilligung
   Smart Contracts sollten nach Möglichkeit so strukturiert werden, dass die Verarbeitung personenbezogener Daten zeitlich oder inhaltlich begrenzt ist.
3. Einwilligungsdatensätze extern speichern
   Speichern Sie die eigentlichen Einwilligungsdatensätze der Nutzer in einer sicheren, herkömmlichen Datenbank. Greifen Sie in der Blockchain ausschließlich über nicht-identifizierende Hashwerte auf diese Datensätze zu.
4. Modulare Smart Contracts
   Entwerfen Sie Verträge, die Identität und Funktionalität trennen und so eine einwilligungsbasierte Zugriffskontrolle für datenbezogene Operationen ermöglichen.

Kritiker argumentieren, die DSGVO könne Blockchain-Innovationen durch unpraktische Auflagen für Entwickler ersticken. Der Europäische Datenschutzausschuss (EDSA) betont jedoch, dass es nicht darum gehe, die Blockchain einzuschränken, sondern sicherzustellen, dass sie die Grundrechte des Einzelnen respektiert.

Dieses Spannungsverhältnis zwischen Regulierung und Dezentralisierung ist nicht auf die DSGVO beschränkt. Weltweit werden ähnliche Rahmenwerke geprüft, wie beispielsweise der California Consumer Privacy Act (CCPA) und das brasilianische LGPD, die ebenfalls strenge Regeln für den Umgang mit personenbezogenen Daten vorschreiben.

Die Lösung besteht nicht darin, die Blockchain aufzugeben oder Datenschutzgesetze zu umgehen – sondern darin, intelligentere und ethischere Technologien für den Umgang mit Datenschutz und Einwilligung zu entwickeln.

Das Potenzial der Blockchain liegt in ihrer Fähigkeit, vertrauenslose Systeme zu schaffen. Das bedeutet jedoch nicht, dass sie ohne Verantwortlichkeit funktionieren sollte. Wie die Richtlinien des Europäischen Datenschutzausschusses (EDPB) betonen, muss Datenschutz von Anfang an berücksichtigt werden.

Für Entwickler, Regulierungsbehörden und Unternehmen ist die Herausforderung klar: Dezentralisierung nutzen und gleichzeitig die Privatsphäre der Nutzer schützen. Das bedeutet, Datenschutz-Folgenabschätzungen (DSFA) durchzuführen, personenbezogene Daten in der Blockchain zu minimieren, Verantwortlichkeiten zu klären und – am wichtigsten – eine informierte und detaillierte Einwilligung einzuholen.

Datenschutz ist kein Hindernis für Innovation. Richtig umgesetzt, ist er die Grundlage für Technologien, die das Vertrauen der Nutzer gewinnen, regulatorische Verpflichtungen erfüllen und das volle Potenzial der Blockchain verantwortungsvoll ausschöpfen.