Für Hugo Campos ist es eine Frage der Freiheit. Der US-Bürger, der in San Francisco lebt, leidet an einem Herzfehler. Zur Überwachung seines Gesundheitszustandes ist ihm ein sogenannter Kardioverter-Defibrillator eingepflanzt worden, ein etwa handtellergroßes Gerät, das seinen Herzrhythmus überwacht, bei Bedarf Campos’ Arzt alarmieren und das Herz im Notfall mit Hilfe eines elektrischen Schocks wieder zum rhythmischen Schlagen bringen kann. Permanent erzeugt das Gerät Daten über Funktion und Zustand von Campos’ Herz. Er selbst aber bekommt diese Daten nicht zu Gesicht. Sie werden über Funk abgeleitet und landen direkt beim Hersteller des Implantats. Seit Jahren kämpft Campos gemeinsam mit anderen darum, Zugriff auf die Daten zu bekommen, die doch immerhin sein eigener Körper produziert.
Wertvoll sind derartige Daten nicht nur für den einzelnen Patienten und dessen Ärzte. Sie könnten auch anderen Herzpatientinnen und -patienten nutzen. Drei Forscher vom Massachusetts Institute of Technology (MIT) und der University of Michigan konnten vor einigen Jahren beispielsweise zeigen, dass gewaltige Mengen von Elektrokardiogramm-Daten (EKG), die bislang häufig einfach weggeworfen werden, wertvolle Informationen für die weitere Gesundheitsprognose von Infarktpatienten enthalten. Drei Anomalien in den EKG-Daten, die mittels eines speziellen Computermodells ausfindig gemacht wurden, wiesen auf eine zwei- bis dreifach erhöhte Gefahr eines weiteren Infarkts binnen eines Jahres hin. Sie können nun Hochrisikopatienten identifizieren helfen, die zusätzliche Unterstützung benötigen.
Das US-Start-up Practice Fusion bekommt derartige Daten direkt von Patienten und Ärzten. Das Unternehmen, das Geld von den bedeutendsten Wagniskapitalgebern des Silicon Valley bekommen hat, bietet eine elektronische Krankenakte an, die Ärzten und Patienten schnellen und direkten Zugang zu Gesundheitsdaten bieten soll, etwa über Apps für Tablet und Smartphone. Einige der Daten, die dabei anfallen, stellt Practice Fusion der Allgemeinheit zur Verfügung – wer sich registriert, kann beispielsweise auf Informationen darüber zugreifen, welche Medikamente bei laut Practice Fusion über 110000 Ärzten, Schwestern und Pflegern, die das System nutzen, wie häufig zum Einsatz kommen, oder welche Erkrankungen in welchen Altersgruppen besonders häufig diagnostiziert werden. Das aber funktioniert nur, weil Gesundheitsdaten Hunderttausender Patienten auf den Rechnern des Unternehmens gespeichert und ausgewertet werden.
Die Beispiele rund um Gesundheitsdaten
Große Erwartungen, große Förderprogramme
Über den Wert der Datenberge herrscht auch in der Politik längst Einigkeit. "Analysten prognostizieren einen rasanten Anstieg des weltweiten Umsatzvolumens für Big-Data-Technologien auf über 15 Milliarden Euro im Jahr 2016", lässt das Bundeswirtschaftsministerium (BMWi) auf Anfrage wissen. Rund 1,6 Milliarden Euro könnten auf Deutschland entfallen. Das Ministerium warnt aber auch: "Europa und Deutschland hinken den USA bei der Anwendung von Big-Data-Technologien hinterher." Auch Bundeskanzlerin Angela Merkel hat sich schon zum Thema geäußert: "Wir müssen die Stelle finden, wo die Daten in anonymer Form mit Big Data neue sinnvolle Produkte möglich machen", sagte sie im Oktober 2014 auf dem nationalen IT-Gipfel in Hamburg. Sonst drohe die Gefahr, dass "Innovationen, die wir noch nicht kennen", durch zu viel Regulierung verhindert würden.
Die politische Gestaltung dieses Themenbereichs spielt sich derzeit allerdings weniger in Berlin als in Brüssel und Straßburg ab. Die europäische Datenschutz-Grundverordnung, die noch 2015 in Kraft treten soll, wird die Weichen für die Zukunft des Themas Big Data in Europa stellen. Einige Bereiche der Verordnung sind nach wie vor höchst umstritten – etwa die von Merkel angerissene Frage, wie sich Daten so anonymisieren lassen, dass Auswertungen möglich, Rückschlüsse auf einzelne Betroffene aber unmöglich werden. Was wirklich anonym oder auch nur pseudonym ist, ist selbst unter Fachleuten umstritten. Die politische Debatte dreht sich deshalb nicht zuletzt um Definitionen: Wann erlaubt ein Datensatz keine Rückschlüsse auf Einzelne? Große Datenmengen ermöglichen nämlich nicht nur sinnvolle Anwendungen, sie stellen auch die Prinzipien dessen auf den Kopf, was bislang als ausreichender Datenschutz galt. Je größer der Heuhaufen, so scheint es, desto einfacher wird es, darin versteckte Nadeln zu finden.
Das BMWi sucht derzeit vor allem nach Möglichkeiten, deutsche Unternehmen in den Wachstumsbereichen Informations- und Kommunikationstechnologie zu fördern. Im November 2013 erschien eine vom BMWi in Auftrag gegebene Studie, in der Innovationspotenziale "für die neuen Technologien für das Verwalten und Analysieren von großen Datenmengen (Big Data Management)" ausgelotet werden. "Die Analyse dieser Daten wird wirtschaftliche, wissenschaftliche und gesellschaftliche Prozesse revolutionieren", heißt es darin. Die Autoren identifizieren jedoch auch eine Vielzahl von politisch-rechtlichen Problemfeldern. Fragen ergäben sich insbesondere mit Blick auf das Datenschutz-, das Urheber- und das Vertragsrecht. In der Rechtswissenschaft sei eine Diskussion im Gange, deren Ergebnis "gravierende Folgen" für die Big-Data-Branche haben dürfte: Es geht um die Frage, "ob Daten eigentumsfähig sind und, falls dies so ist, wem das Eigentum daran zusteht".
2014 hat das BMWi ein eigenes Förderprogramm aufgelegt. Unter dem Titel "Smart Data – Innovationen aus Daten" werden 13 Projekte deutscher Unternehmen und Forschungseinrichtungen in Branchen gefördert, "in denen unsere Wirtschaft komparative Vorteile besitzt und wo wir Potenziale für Forschung und Entwicklung in den nächsten 3–5 Jahren sehen", teilt das Ministerium auf Anfrage mit. Es gehe dabei auch um die Entwicklung von Standards, und zwar "sowohl technologisch als auch bei den ebenso wichtigen Aspekten des Datenschutzes und der Datensicherheit". Gerade bei personenbezogenen Daten sei "der Datenschutz unbedingt zu beachten, auch um das notwendige Vertrauen und die Akzeptanz bei Anwendern und Bevölkerung zu gewährleisten". Von 2014 bis 2017 sollen insgesamt circa 30 Millionen Euro in die Förderung gesteckt werden.
Die Projekte zeigen, wie breit das Themenfeld Big Data tatsächlich ist: Sie sind grob in die Bereiche Industrie, Mobilität, Energie und Gesundheit unterteilt; die Themen reichen von der Entwicklung von Verfahren für "die intelligente und datengetriebene Vernetzung von Logistikprozessen im Krankenhaus mit klarer Zentrierung auf den Operationssaal" über Plattformen für Energie-, Verkehrs- und Katastrophenmanagement bis hin zur Entwicklung von Methoden, mit denen "industrielle Massendaten in Echtzeit analysiert und zu entscheidungsrelevanten Informationen aufbereitet werden können". Die Bandbreite führt vor Augen, was Big Data eigentlich bedeutet: Grundsätzliche Veränderung in nahezu allen Bereichen, in denen in irgendeiner Form Technologie zum Einsatz kommt. Dies schlägt sich auch in der Anzahl der damit befassten Ressorts nieder. Neben dem Wirtschaftsministerium sind auch das Bildungs- und Forschungs-, das Verbraucherschutz- sowie das Innenministerium damit befasst.
Das Bildungs- und Forschungsministerium betreibt schon seit 2013 ein Förderprojekt mit dem Ziel, "die Forschung zum Umgang mit großen Datenmengen in Deutschland gezielt zu unterstützen und auszubauen". Konkret geht es dabei um die Förderung von Kompetenzzentren. Bislang profitieren davon zwei neue Forschungseinrichtungen: Das Berlin Big Data Center (BBDC) unter der Leitung der TU Berlin und das Competence Center for Scalable Data Services and Solutions (ScaDS) unter der Leitung der TU Dresden. Beide sollen forschen, an Lösungen für die Industrie mitarbeiten, aber durch die Ausbildung von "Data Scientists" auch dabei helfen, die nötigen Fachkräfte für das Wachstumsgebiet heranzuziehen. Dieses neue Berufsbild, irgendwo zwischen Statistiker, Softwareentwickler, Ingenieur und Datenanalyst, hat der "Harvard Business Review" einmal als "sexiest job of the 21st century" bezeichnet, in Anlehnung an ein berühmt gewordenes Zitat von Googles Chefökonom Hal Varian über den künftigen Sex-Appeal von Statistikern und Statistikerinnen.
Langer Weg zur Datenschutznovelle
Auch das Verbraucherschutz- und das Innenministerium beschäftigen sich mit dem Thema Big Data, beide allerdings stärker mit Blick auf künftige Regulierung, auf Fragen der informationellen Selbstbestimmung und des Datenschutzes. Beide verweisen auf Anfrage zum Thema auf die erwähnte neue Datenschutz-Grundverordnung der Europäischen Union. Wenn diese wie geplant 2015 in Kraft tritt, wird sie – anders als eine EU-Richtlinie – in allen Mitgliedsstaaten wie ein direkt anzuwendendes Gesetz Gültigkeit erlangen und bis dahin geltende nationale Datenschutzgesetze ersetzen. Entsprechend groß ist der politische Kampf um den Text. Nicht nur europäische Unternehmen und Verbände, sondern auch und insbesondere Unternehmen aus den USA versuchen zu beeinflussen, wer in der EU künftig in welcher Form Daten erheben, auswerten und verwenden darf. "Die Verordnung wird das zentrale Instrument zum Schutz persönlicher Daten in der digitalen Welt sein", heißt es aus dem Verbraucherschutzministerium.
Einige Hürden hat die neue Grundverordnung bereits passiert. Einen ersten Entwurf hatte die damalige EU-Justizkommissarin Viviane Reding schon im Januar 2012 vorgestellt.
Nach Redings Vorstellungen soll die Verordnung eine europaweit einheitliche Lösung und damit auch Rechtssicherheit für Unternehmen schaffen. Ist eine Form der Datenverarbeitung von einer EU-Datenschutzbehörde einmal genehmigt worden, soll diese Genehmigung beispielsweise auch in allen anderen EU-Staaten gelten. Gleichzeitig soll jeder, der Daten europäischer Bürgerinnen und Bürger verarbeitet, auch europäischem Datenschutzrecht unterliegen. Beim Transfer von Daten in Drittstaaten sollen zusätzliche Schutzmechanismen greifen. Generell soll die Verordnung die Rechte der Nutzer stärken: Sie sollen, analog zum deutschen Datenschutzrecht, ihre Einwilligung geben müssen, bevor ihre Daten verarbeitet werden; von Unternehmen gespeicherte Daten sollen für die Betroffenen leichter zugänglich gemacht und auf ihren Wunsch hin auch wieder gelöscht werden können. Ein weiterer wichtiger Punkt ist das Recht, persönliche Daten von einem Anbieter zum anderen ohne größeren Aufwand mitnehmen zu können. Vor allem aber sollen strenge Auflagen dafür gelten, was Unternehmen mit den Daten ihrer Kunden anstellen dürfen und wofür explizite Einwilligungen eingeholt werden müssen. Die Bildung von Nutzerprofilen auf Basis zusammengeführter Daten soll verhindert werden. Die nationalen Datenschutzbehörden sollen bei Verstößen empfindliche Strafen gegen Unternehmen verhängen können.
Brüsseler Insider berichten von einem bis dahin unbekannten Lobbydruck auf die an dem Prozess Beteiligten: Für viele Unternehmen und Verbände steht mit dem Gesetz, das auf einen Schlag EU-weit gelten wird, eine Menge auf dem Spiel. Auf der von Journalisten und Aktivisten eingerichteten Internetplattform "Lobbyplag" ist im Detail nachzulesen, welche Änderungswünsche welcher Organisationen und Unternehmen in den bearbeiteten Text der Verordnung eingegangen sind. So ist dort zum Beispiel auch nachvollziehbar, welche drei Abgeordneten sich dafür einsetzten, eine Passage aus dem Entwurf zu streichen, die eine einfache Zustimmung der betroffenen Person zu einer bestimmten Datenverarbeitung für nicht ausreichend erklärt hätte, "wenn ein bedeutsames Ungleichgewicht zwischen der Position des Datensubjekts und der des Datenverarbeiters besteht". Der Wunsch, diesen Hinweis auf möglicherweise ungleiche Machtverhältnisse zwischen datenverarbeitenden Unternehmen und Verbrauchern aus dem Entwurf zu entfernen, findet sich auch in einem detaillierten Lobbypapier mit Änderungsvorschlägen. Es stammt vom Onlinehändler Amazon.
Trotz der Lobbyschlacht gab es im Oktober 2013 schließlich einen Entwurf, dem die Abgeordneten im Innenausschuss des EU-Parlaments zustimmen konnten. Im März 2014 stimmte auch das Plenum des Europaparlaments mit einer überwältigenden Mehrheit von 621 Ja-Stimmen von 653 abgegebenen Stimmen dem von Albrecht ausgehandelten Entwurf zu.
Im Bundesinnenministerium, das bei den Verhandlungen über die neue Grundverordnung in Brüssel die Federführung innehat, sieht man das anders: "Die Pseudonymisierung von personenbezogenen Daten ist für den rechtsgutadäquaten Umgang mit Big Data eine besonders wichtige Möglichkeit. Da die Verarbeitung von pseudonymisierten Daten für die Rechte und die Interessen des Betroffenen weniger risikobehaftet ist, ist es gerechtfertigt, ihre Verarbeitung zu erleichtern, ohne sie aus dem Anwendungsbereich der Verordnung zu entlassen", teilt das Ministerium auf Anfrage mit. Mit pseudonymisierten Daten sollen Unternehmen also mehr tun dürfen als mit eindeutig personenbezogenen Daten – auch ohne die explizite Einwilligung der Betroffenen. Und das soll auch innerhalb eines einzigen Unternehmens möglich sein, wenn es nach dem Innenministerium geht: "Bei Vornahme von geeigneten technisch-organisatorischen Maßnahmen sollte die Pseudonymisierung auch innerhalb eines Datenverarbeiters möglich sein. Diese Differenzierung erlaubt dem Datenverarbeiter, der über die Zuordnungsregel verfügt, unter Einhaltung erhöhter Voraussetzungen, den Personenbezug wiederherzustellen."
Pseudo-Pseudonymisierung?
Erleichterungen für die Unternehmen im Zusammenhang mit Pseudonymisierung wünscht sich beispielsweise auch der IT-Branchenverband Bitkom. Susanne Dehmel, Mitglied der Bitkom-Geschäftsleitung, erklärt auf Anfrage via E-Mail, die Verarbeitung von pseudonymisierten Daten sei "ein bewährtes Mittel, um Analysen zu nützlichen Zwecken wie der Optimierung von Diensten zuzulassen und gleichzeitig unerwünschte Rückschlüsse auf einzelne Personen zu vermeiden". Entsprechend befürworte der Verband eine vereinfachte Nutzung solcher Daten. Laut deutschem Telemediengesetz ist es Diensteanbietern schon heute gestattet, "für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien Nutzungsprofile" zu erstellen, solange Pseudonyme verwendet werden. Der Nutzer kann dem widersprechen, explizit und vorab einwilligen muss er dafür aber nicht, solange die Nutzungsprofile "nicht mit Daten über den Träger des Pseudonyms zusammengeführt werden".
Dass Pseudonymisierung – also das Austauschen identifizierender Daten wie Name oder Telefonnummer durch Platzhalter – sich unter Umständen aushebeln lässt, ist schon vielfach gezeigt worden. Ein typisches Beispiel sind Standortdaten, wie sie beispielsweise Mobilfunkbetreibern vorliegen. Solche Daten lassen sich vielfältig anderweitig nutzen, etwa um Verkehrsstaus vorherzusagen, schließlich hat heute nahezu jeder Autofahrer ein Handy dabei. Doch ist es zulässig, Standortdaten von Mobiltelefonen – ohne personenbezogene Daten – an entsprechende Dienstleister weiterzureichen, ohne die Einwilligung der Betroffenen einzuholen? Solche Standortdaten lassen sogar völlig losgelöst von Name und Adresse des jeweiligen Handynutzers sehr rasch Rückschlüsse auf die Person dahinter zu: Etwa weil das Handy eines Bürgers, der ein Einfamilienhaus bewohnt, verlässlich jeden Abend am gleichen Ort landet und dort bleibt. Um herauszufinden, zu wem die Daten gehören, reicht dann ein Blick ins Telefonbuch.
Ein anderes Beispiel von wohl noch größerer Tragweite publizierten Wissenschaftler Ende Januar 2014 im Wissenschaftsmagazin "Science": Das Team um Yves-Alexandre de Montjoye vom MIT zeigte, dass sich auch um alle Personenbezüge bereinigte Kreditkartendaten eindeutige Rückschlüsse auf einzelne Nutzer zulassen, wenn man nur einige wenige Zusatzinformationen hat. Weiß man zum Beispiel, dass eine bestimmte Person an einem Tag bei einem bestimmten Bäcker und an drei weiteren Tagen in anderen Geschäften eingekauft hat, lässt sich die Kreditkarte dieser Person mit 90-prozentiger Wahrscheinlichkeit aus einem gigantischen Datensatz mit Informationen über 1,1 Millionen Kartennutzern herausfiltern. Die Pseudonymisierung ist damit aufgehoben, für den Auswerter läge die gesamte Einkaufshistorie der betroffenen Person offen zutage. "Dass ein Datensatz keine Namen, Adressen, Telefonnummern oder andere offensichtlich identifizierende Information enthält, macht ihn weder anonym, noch kann es als sicher betrachtet werden, ihn der Öffentlichkeit oder Drittparteien zur Verfügung zu stellen", so die Forscher.
In der erwähnten, vom BMWi in Auftrag gegebenen Studie heißt es zum gleichen Thema: "Vielfach erfolgt bei Big Data-Anwendungen ein Umgang mit anonymisierten Daten, so dass vermeintlich kein Personenbezug vorliegt. Dabei steigt mit der Menge an vorhandenen Daten auch die Wahrscheinlichkeit der Identifizierbarkeit einer bestimmten Person."
Weiterer Regelungsbedarf
Die Autoren der BMWi-Studie führen eine ganze Reihe weiterer bislang ungeklärter Rechtsfragen auf. Etwa ob Daten jemandem gehören können, ob sie also "eigentumsfähig" sind. Lars Klingbeil, der netzpolitische Sprecher der SPD-Bundestagsfraktion, ist beispielsweise der Meinung, dass man mittelfristig auch "über Eigentumsrechte an Daten" diskutieren müsse, wie es am Beispiel von sogenannten Smart Cars – also Autos, die dank einer Netzverbindung ständig ortbar sind – in Ansätzen bereits geschehe. Diskutiert werde hier etwa die Frage, "wem die Daten eigentlich gehören, dem Hersteller oder dem Autofahrer, und ob es beispielsweise einer Art ‚Zeugnisverweigerungsrecht‘ für Autos bedarf, damit ein Autofahrer sich nicht selbst belasten muss", so Klingbeil via E-Mail.
Eine weitere zentrale Frage im Zusammenhang mit der Verarbeitung personenbezogener Daten betrifft die laut deutschem Recht und auch laut Entwurf der EU-Verordnung notwendige Einwilligung des Betroffenen. Solche Einwilligungen, die etwa Nutzer von Smartphone-Apps derzeit mit einem einfachen Fingertippen abgeben, entwickelten sich zu einer Art "Handelsgut", heißt es in der BMWi-Studie. Die meisten Dienste seien keineswegs kostenlos, sondern würden "im Rahmen eines Tauschgeschäfts (Einwilligung gegen Dienstleistung) abgewickelt". Zukünftige Forschung werde klären müssen, "inwieweit ein solches Tauschgeschäft mit der Idee der Freiwilligkeit der Einwilligung vereinbar ist".
Die derzeitige deutsche Rechtslage ist kompliziert. Der Gesetzgeber unterscheidet zum Beispiel zwischen Inhalts-, Nutzungs- und Bestandsdaten; die Rechte der Verbraucher und Unternehmen werden vom Bundesdatenschutzgesetz (BDSG) und dem Telemediengesetz geregelt. Als Beispiel für die Komplexität der Materie sei eine Passage aus einer 33-seitigen "Orientierungshilfe zu den Datenschutzanforderungen an App-Entwickler und App-Anbieter" des sogenannten Düsseldorfer Kreises zitiert, dem Beratungsgremium der deutschen Datenschützer. Es geht um das Bestellen einer Pizza mittels einer Smartphone-App: Ob die bei der Bestellung angegebenen Daten durch den Pizzadienst erhoben und ausgewertet werden dürfen, "ist nach dem BDSG zu bewerten, da die Umsetzung der Bestellung offline ausgeführt wird", doch "Daten über z.B. den Zeitpunkt des Aufrufs der App oder das Klickverhalten in der App" sind Nutzungsdaten im Sinne des Telemediengesetzes.
Die gesamte Bandbreite rechtlicher Probleme und Fragestellungen abzubilden, die sich aus der Big-Data-Thematik ergeben, würde den Rahmen dieses Artikels sprengen.
