Rechtstipp : Synthetische Daten ersparen DSGVO-Ärger
Wer Software testen oder selbstlernende Algorithmen trainieren will (Stichwort „Machine-Learning“), ist regelmäßig auf große Mengen personenbezogener Daten angewiesen. Um dem Anwendungsbereich der DSGVO zu entgehen, werden häufig anonymisierte Daten verwendet – doch das ist nicht ungefährlich.
Daten gelten als personenbezogen und unterliegen daher der DSGVO, wenn es möglich ist, die Identität des Betroffenen zu ermitteln. Der EuGH hat in der Entscheidung Breyer klargestellt, dass diese Konzept sehr weit zu verstehen ist und z. B. auch IP-Adressen umfasst.
Eine echte Anonymisierung personenbezogener Daten ist daher in der Praxis schwer möglich: Kann durch Verknüpfung zusätzlicher Informationen (z. B. öffentlicher Daten aus Social-Media-Postings) der Betroffene ermittelt werden, handelt es sich bestenfalls noch um eine Pseudonymsierung – allerdings unterliegen auch pseudonyme Daten der DSGVO.
Einer attraktiven Alternative zur Anonymisierung hat sich z. B. das Wiener Startup Mostly AI verschrieben: der Erstellung synthetischer Daten. Dafür werden mittels Machine-Learning anhand von bestehenden personenbezogenen Daten neue, synthetische Daten geschaffen. Sie haben denselben wirtschaftlichen Wert wie die Originaldaten, ohne sich jedoch auf reale Menschen zu beziehen. Sie unterliegen daher nicht mehr der DSGVO und können uneingeschränkt zum Testen von Software oder zu Forschungszwecken eingesetzt werden.
Rechtsanwalt Dr. Lukas Feiler, SSCP CIPP/E, ist Partner für IT-/IP-Recht bei Baker McKenzie in Wien, Dr. Mirjam Tercero ist Rechtsanwaltsanwärterin ebendort.