Für viele Unternehmen ist es ein Albtraum: Durch eine erfolgreiche Cyberattacke konnten die Hacker personenbezogene Daten verschlüsseln und stehlen. Solche sogenannten Data Breaches kommen häufig vor. Manchmal werden sie durch die IT-Verantwortlichen entdeckt und manchmal bleiben sie im Verborgenen. Ein solcher Cyberangriff kommt den meisten Unternehmen teuer zu stehen. Neben den finanziellen Verlusten ist die Reputation bei ihren Kunden, Geschäftspartner und in der Öffentlichkeit schwer geschädigt. Andererseits gibt es strenge Regelungen, wie diese Unternehmen entsprechende Daten wie sogenannte persönlich identifizierbaren Informationen (englisch für Personally Identifiable Information oder kurz PII) oder auch personenbezogene Daten verarbeiten müssen. Die Unternehmen stehen vor einer doppelten Herausforderung: Einerseits müssen sie die Daten vor Hackern schützen und auf der anderen Seite müssen sie eine Datenschutz-konforme Speicherung und Verarbeitung gewährleisten. Wie Unternehmen ihren Kunden dennoch eine reibungslose Customer Journey gewährleisten können, lesen Sie hier:
Definition der Personally Identifiable Information (PII)
Persönlich identifizierbare Informationen sind grundsätzlich alle Daten, die eine bestimmte Person einwandfrei identifizieren können. Generell sind dies beispielsweise die Steuer-Identifikationsnummer, Bankdaten, IP-Adressen oder andere Kennnummern.
Innerhalb der Kategorie PII lassen sich zudem sensible Informationen als auch nicht-sensible Informationen unterscheiden. So fügen nicht nicht-sensible Informationen der Person erst einmal keinen Schaden zu, sollten diese in die „falschen“ Hände geraten. Beispiele für solche Daten sind alle öffentlich zugänglichen Informationen wie Unternehmensverzeichnisse, Telefonbücher und Webseiten. Die Übertragung und Speicherung solcher Daten kann meist auch unverschlüsselt erfolgen.
Anders verhält es sich mit sensiblen Daten im Bereich PII. Mit diesen können den Personen nach einer Enthüllung Schaden zugefügt werden. Deswegen sollten solche Daten immer verschlüsselt werden, was sowohl für die Übertragung und die Speicherung dieser Informationen gilt. Hierzu zählen biometrische Merkmale, Informationen aus dem medizinischen Bereich und andere unverwechselbare Daten.
Ähnlich unterscheidet auch das National Institute of Standards and Technology (NIST) die zwei Kategorien im Bereich PII. So gibt es verknüpfbare Informationen, die eine Person nur dann identifizieren können, wenn diese mit weiteren zusätzlichen Informationen verbunden werden. Beispiele hierfür sind Geschlecht, Ethnie, Arbeitsstelle und Position oder auch gängige Vornamen wie Maier.
Verknüpfbare Daten hingegen sind die Informationen, die als sensible und einzigartig gelten wie Sozialversicherungsnummer, Bankdaten oder auch Cookies.
Non-PII sind Daten, mit denen Personen nicht eindeutig identifiziert werden können und stellen somit das Gegenteil von PII dar. Darunter fallen beispielsweise anonymisierte Statistiken zur Nutzung von Produkten und Dienstleistungen oder (teil-)maskierte IP-Adressen.
Allerdings ist die Unterscheidung zwischen PII und Non-PII nicht immer klar trennbar und die Abgrenzungen verschwimmen. Innerhalb der Europäischen Union steht dies aber im Widerspruch zu den geltenden Regelungen über personenbezogene Daten in der DSGVO.
Die wichtigsten Regularien zu personenbezogenen Daten
Personenbezogene Daten werden durch die DSGVO definiert und gelten somit als juristischer Terminus. Laut Art. 4 Nr. 1 DSGVO sind alle Daten personenbezogen, die sich auf eine natürliche Person beziehen und diese identifizieren können. Anders als bei verknüpften oder verknüpfbaren Informationen unterscheidet die Regelung in der DSGVO nicht: Alle Daten, die eine Person direkt oder indirekt identifizieren, sind personenbezogene Daten und demnach schützenswert.
So sind alle Daten personenbezogen, die einen Einblick in die physische, physiologische, genetische, psychische, wirtschaftliche, kulturelle oder soziale Identität von natürlichen Personen ermöglichen. Aber auch Metadaten können unter diese Kategorie fallen. Es ist zum Beispiel möglich durch die Arbeitsstrecke einer Person darauf zurückzuschliessen, in welchem Radius diese ihren Wohnsitz hat.
Die DSGVO legt ausserdem fest, dass jedes Unternehmen, das Daten mittel- und unmittelbar verarbeitet, die allgemeinen Grundsätze des Datenschutzes sowie die spezifischen Regelungen anwenden. Darunter fallen die Rechtmässigkeit der Verarbeitung, die Verarbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung, die Richtigkeit der Datenverarbeitung, Speicherbegrenzung sowie die Integrität und Vertraulichkeit.
Datenschutz während der Customer Journey
Die Datenbearbeitung und -verarbeitung hilft Unternehmen allerdings wichtige Erkenntnisse über ihre Kunden zu gewinnen. So lassen sich via Cookies (Datenpakete), die von Webbrowsern und Internetseiten erzeugt werden, individuelle Informationen über die Nutzer sammeln. Auch wenn diese Textdateien seit Jahren immer wieder in die Kritik durch Datenschützer geraten sind, machen sie Onlineshopping und auch Onlinebanking erst möglich. Es gibt also zwei Seiten einer Medaille.
Nach dem Europäischen Gerichtshof und der DSGVO dürfen Cookies, die für die Grundfunktion einer Webanwendung bestimmt sind, erst aktiviert werden, wenn der User ausdrücklich eingewilligt hat. Aber Unternehmen haben durchaus ein „berechtigtes Interesse“ Daten zu sammeln und zum Zwecke der Direktwerbung zu verarbeiten. So muss im Einzelfall abgewägt werden, ob sich das Datensammeln über Cookies am Grundsatz der Datensparsamkeit orientiert.
Um den Prozess reibungslos für beide Seiten zu gestalten, eignet sich auch das sogenannte Opt-In-Verfahren. Das bedeutet, dass Cookies nicht zu Anfang einer Internetsitzung gesetzt werden, sondern der User den Cookies aktiv zugestimmt hat. So kann der Webseitenbetreiber sicher sein, dass er DSGVO-konform handelt und die Einwilligung zur Datenspeicherung und -verarbeitung erhalten hat. So haben beide Seiten eine Win-Win-Situation: Der User erhält eine reibungslose Customer Journey, während das Unternehmen auf die Produkt- und Dienstleistungswünsche des Nutzers genauer eingehen kann und Idealfall seinen Gewinn erhöht.
