PERSONS - Personenbezug von Sachdaten

Projekt:

Das Projekt „PERSONS“ dient der Klärung datenschutzrechtlicher Fragen bei Verarbeitung von Personen- und Sachdaten in komplexen Umgebungen distribuierter Verarbeitung im Bereich der Risikoanalyse. Hintergrund sind Analysesysteme, bei denen eine Vielzahl Nutzer hinsichtlich konkreter Objekte bestimmte Eigenschaften oder Vorkommnisse vermerken können, welche zu diesen Objekten gespeichert werden und bei Bedarf durch andere Nutzer später abgerufen werden können. Sie können dann als Grundlage für die Bestimmung von Risikopotentialen zu dienen.

Das Gutachten klärt zunächst die hierfür grundlegende Frage zur Abgrenzung von Personen- und Sachdaten, insbesondere, unter welchen Umständen bestimmte Eigenschaften eines Objekts oder Vermerke über Vorkommnisse an diesem Objekt, personenbezogene Daten von Betroffenen sein können, welche mit diesem Objekt rechtlich oder tatsächlich in Verbindung standen, stehen oder stehen werden. Insbesondere von Bedeutung sind insoweit Mehrpersonenverhältnisse, wobei die Bezugspunkte zwischen Objekt und verschiedenen eventuell Betroffenen variieren und gleichzeitig zeitlich bedingt die relevanten Personenkreise verschiedene Änderungen erfahren können.

Die so gewonnenen Erkenntnisse werden sodann auf die drei (voneinander unabhängigen) Stufen der Verarbeitung übertragen: Eingabe, Speicherung und Abruf. Hierbei gilt besonderes Augenmerk den eventuell bestehenden Wechselwirkungen, welche trotz Trennung der verschiedenen autonomen Verarbeitungsstufen bestehen und unter Umständen Risikopotentiale für eventuelle Betroffene erzeugen kann, welche rechtlich Berücksichtigung erfahren müssen.

Auf Grundlage dieser Ergebnisse untersucht das Gutachten schließlich, welche Betroffenenrechte bestehen. Kernfrage in dieser Hinsicht ist neben der Frage des jeweiligen Personenbezuges vormaliger Sachdaten in einem konkreten Zeitpunkt auch das Verhältnis einzelner Betroffenenrechte verschiedener Betroffener zueinander. Dies gilt insbesondere in Bezug auf Auskunftsrechte, da bestimmte Objektdaten bei Eingabe in das System ggf. Personenbezug nur zu einer Person, bei späterem Abruf aber auch zu (u.U. zusätzlich) zu einer anderen Person aufweisen können. In derartigen Konstellationen können folglich Auskunftsrechte mit Geheimhaltungsinteressen kollidieren.

Am Ende des Projektes steht die Entwicklung einer „good practice“ für derartige Risikoanalysesysteme. In dieser Hinsicht sind insbesondere Anforderungen an dessen Gestaltung im Sinne von „privacy by design“ (Systemdatenschutz) entwickelt worden, wie auch Schemata, unter welchen Voraussetzungen welche eventuell Betroffenen zu welchem Zeitpunkt benachrichtigt werden müssen oder Auskunftsrechte wahrnehmen dürfen.