Anwendbarkeit der Blockchain-Technologie für Unternehmen aus Perspektive der EU-DSGVO

Dies ist bspw. bei der Blockchain der govdigital eG, einer Genossenschaft aus staatlichen IT Dienstleistern mit Sitz in Berlin, der Fall. Alle Nodes laufen auf zertifizierten Rechenzentren der öffentlichen Hand in Deutschland (https://​www.​govdigital.​de/​themen-leistungen/​blockchain, Stand: 30.09.2022). Prominenter Anwendungsfall ist das digitale Schulzeugnis.

Eine öffentlich-zulassungsfreie Blockchain bietet jedem Teilnehmer einen restriktionslosen Zugang (public) sowie allen die Möglichkeit, Transaktionen einzusehen, zu tätigen und zu validieren (permissionless). Durch den Einsatz von kryptografischen Sicherheitsmechanismen sind direkte und sichere Transaktionen unter den Teilnehmern möglich. Diese Form der Blockchain ist durch ein hohes Maß an Transparenz und Dezentralisierung ausgestaltet (z. B. Bitcoin; Rieck 2019, S. 228).

Bei der privat-zulassungsbeschränkten Blockchain existiert eine Restriktion sowohl bei der Einsicht in die Daten des Netzwerks (private), als auch bei der Möglichkeit, Transaktionen zu tätigen und zu validieren (permissioned; Fischer et al. 2019, S. 448). Oft werden bei solchen Formen des Netzwerks die Rechte innerhalb der Blockchain nur auf einen Anwender konzentriert. Dieser bündelt das Recht auf Transaktionstätigkeiten (Schreibberechtigung) sowie das Recht auf Einsicht wahlweise öffentlich oder nur für einen ausgewählten Teilnehmerkreis (z. B. Hyperledger; Aggarwal & Kumar 2021; Rieck 2019, S. 229).

Diese Form der Blockchain wird in den weiteren Ausführungen nicht weiter thematisiert, da in ihrer Grundüberlegung der sinnvolle Einsatzzweck und Nutzwert eingeschränkt und kritisch zu bewerten ist (Heim 2021, S. 125 f.). Die Funktionsweise besteht unter Voraussetzung einer offenen Registrierungsmöglichkeit darin, das Recht zu erhalten, Vertrauen für das Lesen (käuflich) erwerben zu können (sog. Schneeballsystem). Die Teilnehmer können demnach weder an einer offenen Zugänglichkeit (wie bei Public Blockchains), noch von den Sondermöglichkeiten geschlossener Systeme (wie bei Permissioned Blockchains, etwa Rollbacks) profitieren.

Ausnahmen für die Erhebung von personenbezogenen Daten greifen nach Art. 2 Abs. 2 DSGVO nur, wenn natürliche Personen diese Daten ausschließlich zur Ausübung persönlicher oder familiärer Tätigkeiten benötigen (Wybitul, 2017, S. 7). Dies sei nachfolgend nicht weiter betrachtet, da in diesem Beitrag die Verarbeitung von Daten mit wirtschaftspraktischem Hintergrund von Interesse ist.

Das weite Verständnis des Begriffs der personenbezogenen Daten wird auch mit der Auffassung der Rechtsprechung gedeckt. Der EuGH deklariert als personenbezogene Daten beispielsweise auch die Antworten von Prüfungsteilnehmern sowie die dazugehörigen Anmerkungen der Prüfer (EuGH, Rs. C-434/16, Urteil vom 20.12.2017) oder die dynamische IP-Adresse für Webseitenbetreiber (EuGH, Rs. C-582/14, Urteil vom 19.10.2016). Insbesondere durch die strenge Rechtsauffassung zu den dynamischen IP-Adressen lassen sich auch Rückschlüsse auf die Anwendbarkeit der DSGVO bei Blockchain-Systemen schließen.

Dem Verantwortlichen obliegt auch die gesetzlich bestimmte Bestellung eines Datenschutzbeauftragten (Art. 37 DSGVO), der wiederum für die Einhaltung und Überwachung der Richtlinien nach Art. 39 DSGVO zuständig ist. Gemäß Art. 26 DSGVO kann die Verantwortlichkeit auch auf zwei oder mehr Personen verteilt werden. Im Rahmen einer Vereinbarung werden dabei die Verpflichtungen der Verordnung, insbesondere bei der Wahrnehmung der Rechte von betroffenen Personen sowie bei den Informationspflichten, für beide Seiten transparent festgelegt (Art. 26 Abs. 1 DSGVO). Unabhängig von den Festlegungen in der Vereinbarung kann der Betroffene gem. Art. 26 Abs. 3 DSGVO seine Rechte gegenüber jedem einzelnen der Verantwortlichen geltend machen.

Diese Auffassung wird beispielsweise auch von der französischen Datenschutzbehörde Commission Nationale de l’Informatique et des Libertés (CNIL) vertreten, welche die Rollenzuordnung damit begründet, dass die Miner v. a. für die Validierung der Transaktion zuständig sind und daher nicht über die Zwecke und Mittel der Datenverarbeitung entscheiden (CNIL, 2018). Um zu verdeutlichen, dass die Beurteilungen der datenschutzrechtlichen Einordnung weit auseinander gehen können, soll an dieser Stelle auch darauf hingewiesen werden, dass die ungarische Datenschutzbehörde Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) in ihrer Bewertung im Januar 2018 bspw. die Miner als datenschutzrechtlich Verantwortliche deklariert (NAIH, 2018). Auch wenn eine Einordnung der deutschen Datenschutzbeauftragten auf Bundes- und Landesebene bisher nicht erfolgte, gibt es zumindest vonseiten des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) erste Ansätze hierfür. Am 08.10.2020 fand ein erster virtueller Round Table des Bundeswirtschaftsministeriums (BMWi) und des Bundesinnenministeriums (BMI) zum Thema Blockchain und Datenschutz statt (BfDI, 2020).

Generell lassen sich in diesem Zusammenhang die Ausführungen der DSGVO in Bezug auf die technischen Lösungen bei der Verarbeitung von personenbezogenen Daten kritisch anmerken. Dass beispielsweise dezentrale Datenverarbeitungssysteme wie die öffentlich-zulassungsfreie Blockchain mit dem datenschutzrechtlichen Rollenverständnis von Verantwortlichem und Auftragsverarbeiter kollidieren, wurde bereits in der alten EG-Datenschutzrichtlinie kritisiert (Krupar und Strassemeyer 2018a, S. 750). Nun wurde die EG-Datenschutzrichtlinie bereits 1995 verabschiedet und entstammt damit einer völlig anderen gesetzgeberischen Generation, als die Blockchain-Technologie, deren globale Verbreitung im Jahr 2009 mit dem Bitcoin begann. Wie im oberen Abschnitt dargelegt, postuliert die DSGVO, deren Verabschiedung sieben Jahre später im April 2016 stattfand, den Anspruch der Technologieneutralität (viertes Ziel) und wollte damit auch für moderne Datenverarbeitungsvorgänge eine datenschutzrechtliche Anspruchsgrundlage bilden. Im Hinblick auf die Akteure im Rahmen der (öffentlich)-zulassungsfreien Blockchain kann die DSGVO diesem Anspruch nicht gerecht werden.

Dies wird insbesondere bei der näheren Bestimmung des vorausgesetzten Kriteriums der Erforderlichkeit deutlich, das etwa in Art. 6 sowie Art. 9 DSGVO eine Rolle spielt (Wybitul 2017, S. 19). Die Erforderlichkeit eines Erlaubnistatbestands gemäß Art. 6 DSGVO spiegelt sich auch auf der Rechtmäßigkeit des jeweiligen Anwendungsfalls wider.

Da beide Typen die größte Verbreitung an Blockchain-Systemen vorweisen (vgl. Abschn. 2.3; Bitkom 2019, S. 20), wurde der Vergleich explizit auf zulassungsfreie sowie zulassungsbeschränkte Blockchains beschränkt.

Die Vervollständigung bezieht sich dabei nur auf die spezifische Verarbeitung. Auch beim Wortlaut gilt es zwischen Berichtigung und Ergänzung zu differenzieren. Während die Ergänzung rein additiv aufgefasst werden sollte, muss die Berichtigung als Löschung mit anschließender Ergänzung datenschutzrechtlich eingeordnet werden (Krupar & Strassemeyer, 2018b, S. 354).

Zum weiteren Verständnis des Art. 17 DSGVO muss angemerkt werden, dass innerhalb der DSGVO nicht definiert wird, was unter dem Begriff ‚Löschen‘ verstanden wird. Eine technische Lösung elektronischer Daten ist damit per se nicht beschrieben. Im Kern ging es den Verordnungsgebern darum, dass der Verantwortliche verpflichtet wird, dafür Sorge zu tragen, dass ein Auslesen der Daten unter Anwendung der üblichen Verfahren nicht mehr möglich ist. Auch das beim Art. 17 Abs. 2 DSGVO aufgenommene ‚Recht auf Vergessenwerden‘ muss hinsichtlich der anderen Stellen präzisiert werden. Der Verantwortliche steht hierbei nur in der Pflicht der Information gegenüber Dritten, eine Löschung bei diesen anderen für die Datenverarbeitung verantwortlichen Stellen muss von ihm nicht erwirkt werden (Stadler & Bichler, 2019, S. 389).

Auch bei den Ausführungen im Art. 17 Abs. 2 DSGVO stehen die Verantwortlichen der Verarbeitung der personenbezogenen Daten in einer weiteren Verpflichtung. Demnach wird vom Verantwortlichen gefordert, das Löschverlangen des Betroffenen nach Art. 17 Abs. 1 DSGVO auch an andere Stellen weiterzuleiten, die auf diese Veröffentlichung verweisen. Unter der Berücksichtigung der verfügbaren Technologie und der Implementierungskosten (auch technischer Art) sind diese anderen Stellen (weitere Verantwortliche) darüber zu informieren, dass eine betroffene Person von ihnen die Löschung aller Links zu diesen personenbezogenen Daten oder von Kopien sowie Replikationen dieser personenbezogenen Daten verlangt hat (Art. 17 DSGVO).

Um das Recht auf Löschung zu umgehen, wird von Hein et al. (2019, S. 32) ein Lösungsvorschlag angeführt, der keiner technischen Veränderung an der Blockchain bedarf. Nach ihrer Argumentation wird mit der Fortschreibung der Transaktionshistorie der eigentliche Zweck der Blockchain bereits erfüllt und demgemäß findet das Recht auf Löschung nach Art. 17 DSGVO keine Anwendung. Die aufgenommen personenbezogenen Daten sind folglich notwendig, um das System der Blockchain und seine Funktionen aufrecht zu erhalten und dürfen somit auch nicht gelöscht werden. Auch von Krupar und Strassemeyer (2018a, 2018b) werden weitere Gründe für eine Rechtfertigung angeführt, weshalb das Recht auf Löschung bei der Blockchain-Technologie keine Anwendung finden sollte. In diesem Sinne ließe sich beispielsweise die im Art. 17 Abs. 3 lit. d DSGVO aufgeführte Aufbewahrung für im öffentlichen Interesse liegende Archivzwecke auslegen. Somit könnte die Blockchain als solches in der Form eines Archives verstanden werden. Die Unveränderbarkeit ihrer Daten ist je nach Nutzungsanspruch als ein bleibender öffentlicher Wert zu fassen. Als ein weiteres Beispiel wird die Analogie zum Handelsgesetzbuch (HGB) angeführt. Demnach könnte sich die Unveränderbarkeit der Daten auf der Blockchain analog zur Anwendung des § 239 Abs. 3 HGB ergeben. Dort wird festgehalten, dass sich die Aufzeichnung oder die Eintragung in einem Handelsbuch nicht in einer solchen Weise verändern darf, dass der eigentliche Inhalt nicht mehr bestimmt werden kann. Die Blockchain könnte folglich im Sinne des Art. 17 Abs. 3 lit. b DSGVO (Unveränderbarkeit aufgrund einer rechtlichen Verpflichtung) als Handelsbuch gefasst werden: „Der Vergleich trägt, schließlich ist Sinn und Zweck in beiden Fällen derselbe: Die Unveränderbarkeit – einmal tatsächlich, einmal rechtlich – eines Registers mit Beweiswirkung“ (Krupar & Strassemeyer 2018b, S. 355).

Den Prototyp für diese veränderbare Form der Blockchain hat sich das Beratungsunternehmen Accenture patentieren lassen. Deren Ansatz basiert auf dem Modell einer privat-zulassungsbeschränkten (permissioned) Blockchain, bei der die Änderungen nur durch bestimmte Administratoren durchgeführt werden können, die zugleich auch den privaten Schlüssel verwalten (Bechtolf und Vogt 2017, S. 884 ff.). Nach Saive (2018, S. 766) könnte die Redactable Blockchain jedoch auch auf eine öffentlich-zulassungsfreie (permissionless) Blockchain angewandt werden. Dabei würde der Schlüssel für den jeweiligen Chameleon-Hash entweder allen Nutzern (Nodes) oder einer bestimmten Anzahl an vertrauenswürdigen Nutzern zur Verfügung stehen. Ob eine Veränderung vorgenommen werden soll, kann wiederum nach dem bekannten Konsensmechanismus unter den Nutzern entschieden werden (vgl. ebd.).

Neben dieser Lösung in Form einer zukünftigen Überarbeitung der Verordnung (‚de lege ferenda‘) existieren bereits regulatorische Lösungsmöglichkeiten (‚de lege lata‘). Im Kern geht es um die im Art. 23 Abs. 1 lit. e DSGVO in Verbindung mit dem Erwägungsgrund 73 DSGVO eröffneten Möglichkeiten für EU-Mitgliedsstaaten, für staatliche Blockchain-Systeme einen abweichenden Rechtsrahmen zu schaffen. Demzufolge sind beim ‚Führen öffentlicher Register aus Gründen des allgemeinen öffentlichen Interesses‘ Abweichungen bei der Erfüllbarkeit der Betroffenenrechte zulässig (Bilski 2019, S. 106). Die mitgliedstaatliche Beschränkung der Betroffenenrechte kann v. a. dann gerechtfertigt werden, wenn der so erzeugte Nutzen die berührten Persönlichkeitsinteressen überwiegt. Von dieser Öffnungsklausel könnten viele potenzielle staatliche Blockchain-Systeme, etwa im öffentlichen Gesundheitswesen oder der sozialen Sicherheit, profitieren. Mithilfe von Blockchain-Lösungen könnten im öffentlichen Sektor nicht nur Kosten durch den Wegfall von Schnittstellen eingespart, sondern auch Verwaltungsprozesse beschleunigt und synchronisiert werden (Martini & Weinzierl, 2017, S. 16).

Als eine aktuelle Umsetzungsidee im öffentlichen Gesundheitswesen lässt sich hier etwa die Entwicklung eines digitalen Corona-Gesundheitszertifikats anführen. Mit diesem ‚digitalen Corona-Impfpass‘ könnten nützliche Nachweise in vielfältigen Situationen, etwa in Form einer Arbeitserlaubnis für systemrelevante Einrichtungen, resultieren (Schreier 2020).

Private Blockchain-Systeme entsprechen nicht den normativen Anforderungen des Art. 23 Abs. 1 DSGVO und können demzufolge nicht von der Öffnungsklausel für die Mitgliedstaaten profitieren. Für regulatorische Spielräume beziehungsweise Lösungsansätze ist hier der Unionsgesetzgeber gefragt.

Das Anfang 2018 ins Leben gerufene EU Blockchain Observatory and Forum hatte beispielsweise bereits im Oktober 2018 einen Bericht mit dem Titel Blockchain and the GDPR (Finck, 2018) veröffentlicht und darauf hingewiesen, dass es einen datenschutzrechtlichen Dissens in Bezug auf öffentlich-zulassungsfreie Blockchain-Systeme gibt. Des Weiteren hat der wissenschaftliche Dienst der Europäischen Kommission in seiner erst kürzlich veröffentlichten Ausarbeitung Blockchain Now and Tomorrow (Anderberg et al., 2019) vermerkt, dass Konflikte zwischen bestimmten Blockchain-Architekturen und der DSGVO eine breitere Debatte erfordern.

Ein möglicher Lichtblick: Im Laufe des Jahres 2021 will die EU mit der ePrivacy-Verordnung (ePVO) vorhandene Regelungslücken des DSGVO-Rahmenwerks schließen und Zweifel an widersprüchlichen Formulierungen aufklären. Die ePVO bedarf keiner Umsetzung in nationales Recht; sie wird sofort nach ihrem Inkrafttreten in allen Mitgliedsstaaten wirksam. Sie soll damit die E-Privacy-Richtlinie ablösen, dessen Bestimmungen der deutsche Gesetzgeber in das Telemediengesetz (TMG) und das Telekommunikationsgesetz (TKG) hatte einfließen lassen.