DSGVO und Blockchain: Das Recht auf Vergessenwerden

Definition

Die Datenschutz-Grundverordnung (DSGVO), ein umfassendes Rechtsrahmenwerk der Europäischen Union, regelt den Schutz personenbezogener Daten und die Privatsphäre aller Personen innerhalb der EU und des Europäischen Wirtschaftsraums. Ein Eckpfeiler der DSGVO ist Artikel 17, oft als „Recht auf Vergessenwerden“ oder „Recht auf Löschung“ bezeichnet. Dieser Artikel ermächtigt Einzelpersonen, unter bestimmten Umständen die Löschung ihrer personenbezogenen Daten zu verlangen, beispielsweise wenn die Daten für den ursprünglichen Zweck nicht mehr erforderlich sind oder wenn die Einwilligung widerrufen wird. Im Gegensatz dazu basiert die Blockchain-Technologie fundamental auf dem Prinzip der Unveränderlichkeit (Immutability), was bedeutet, dass Daten, sobald sie in einem verteilten Ledger aufgezeichnet wurden, kryptografisch mit früheren Blöcken verknüpft sind und es extrem schwierig, wenn nicht unmöglich wird, sie zu ändern oder zu entfernen. Dieses inhärente Design führt zu einem tiefgreifenden Konflikt mit dem DSGVO-Mandat zur Datenlöschung.

Das Recht auf Vergessenwerden (Artikel 17 DSGVO) gewährt Einzelpersonen das Recht, ihre personenbezogenen Daten unter bestimmten Bedingungen unverzüglich löschen zu lassen. Die Blockchain-Unveränderlichkeit bezieht sich auf die Eigenschaft einer Blockchain, dass Daten, einmal aufgezeichnet, nicht geändert oder gelöscht werden können, wodurch eine dauerhafte und überprüfbare Aufzeichnung gewährleistet wird.

Kernaussage

Das zentrale Dilemma an der Schnittstelle von DSGVO und Blockchain-Technologie liegt im grundlegenden Konflikt zwischen der rechtlichen Anforderung zur Datenlöschung und der technischen Unmöglichkeit, Daten aus einem unveränderlichen, verteilten Ledger wirklich zu löschen. Dies schafft erhebliche rechtliche und operative Herausforderungen für jede Blockchain-Anwendung, die personenbezogene Daten von EU-Bürgern verarbeitet, und erfordert innovative Lösungen oder regulatorische Klarstellungen, um diese Lücke zu schließen.

Mechanik

Um den Konflikt zu verstehen, ist es unerlässlich, die Mechanik sowohl des DSGVO-Rechts auf Vergessenwerden als auch der Blockchain-Operationen zu beleuchten. Artikel 17 der DSGVO nennt mehrere Gründe für die Löschung, darunter den Widerruf der Einwilligung durch die betroffene Person, die Nichtmehr-Erforderlichkeit der Daten für ihren ursprünglichen Zweck oder eine unrechtmäßige Verarbeitung. Wenn eine betroffene Person dieses Recht ausübt, ist der Datenverantwortliche rechtlich verpflichtet, angemessene Schritte zur Löschung der Daten zu unternehmen und andere Verantwortliche, die die Daten verarbeitet haben, über den Antrag zu informieren.

Die Blockchain-Technologie funktioniert jedoch anders. Daten, sei es ein Transaktionsdatensatz oder andere Informationen, werden in Blöcken gebündelt. Jeder Block wird kryptografisch gehasht und mit dem vorherigen verknüpft, wodurch eine Kette entsteht. Diese kryptografische Verknüpfung, kombiniert mit der dezentralen Natur des Ledgers über zahlreiche Knoten hinweg, macht es praktisch unmöglich, einen Datensatz selektiv zu löschen, ohne nachfolgende Blöcke zu invalidieren und die Zustimmung einer Mehrheit der Netzwerkteilnehmer zu erfordern, was der Integrität des Systems zuwiderläuft. Selbst wenn Daten auf der Kette verschlüsselt sind, existiert die verschlüsselte Form weiterhin, und der Schlüssel könnte kompromittiert oder die Verschlüsselung in Zukunft gebrochen werden, was bedeutet, dass die Daten nicht wirklich „gelöscht“ sind.

Ein weiterer kritischer Aspekt ist die Definition von „personenbezogenen Daten“ im Kontext der Blockchain. Gemäß Art. 4 Nr. 1 DSGVO sind dies alle Informationen, die sich auf eine identifizierbare natürliche Person beziehen. Auch wenn Daten auf einer öffentlichen Blockchain pseudonymisiert erscheinen (z.B. durch öffentliche Schlüssel), kann ein relativer Personenbezug hergestellt werden. Dies bedeutet, dass eine Information für denjenigen personenbezogen ist, der über das notwendige Zusatzwissen verfügt, um sie mit verhältnismäßigen Mitteln einer bestimmten Person zuzuordnen. Bei erlaubnisbasierten (permissioned) Blockchains ist dies oft einfacher, da der Emittent einer Nutzerkennung die Person hinter einem öffentlichen Schlüssel identifizieren kann. Aber auch bei öffentlichen Blockchains können durch Analyse von Transaktionsmustern, IP-Adressen oder Verknüpfung mit Off-Chain-Daten Rückschlüsse auf Personen gezogen werden, wodurch die Daten als personenbezogen gelten und somit dem Recht auf Löschung unterliegen.

Trading-Relevanz

Obwohl das Recht auf Vergessenwerden nicht direkt den täglichen Krypto-Handel betrifft, hat es erhebliche Auswirkungen auf die regulatorische Landschaft und die Infrastruktur des gesamten Krypto-Ökosystems. Für Unternehmen, die Blockchain-Lösungen entwickeln oder betreiben und dabei personenbezogene Daten von EU-Bürgern verarbeiten, entstehen erhebliche Compliance-Kosten und Rechtsunsicherheiten. Dies betrifft insbesondere Projekte im Bereich dezentraler Identitäten (DeID), Supply-Chain-Management, Gesundheitswesen oder andere Anwendungen, die sensible Nutzerdaten auf der Blockchain speichern könnten.

Die Notwendigkeit, DSGVO-konforme Lösungen zu finden, kann die Innovationsgeschwindigkeit und die Marktakzeptanz bestimmter Blockchain-Anwendungen beeinflussen. Institutionelle Investoren und große Unternehmen, die in den Krypto-Sektor eintreten möchten, legen großen Wert auf regulatorische Klarheit und Compliance. Das Fehlen einer klaren Lösung für das Recht auf Vergessenwerden auf der Blockchain kann daher die institutionelle Adoption bremsen und die Bewertung von Projekten beeinflussen, die ein hohes Risiko der Nichteinhaltung bergen. Trader sollten sich dieser grundlegenden regulatorischen Herausforderungen bewusst sein, da sie langfristig die Entwicklung und Reife des Marktes mitgestalten.

Risiken

Die Risiken, die sich aus dem Konflikt zwischen DSGVO und Blockchain ergeben, sind vielfältig und können weitreichende Konsequenzen haben. Das offensichtlichste Risiko ist die Nichteinhaltung der DSGVO, die zu erheblichen Bußgeldern führen kann. Diese können bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes eines Unternehmens betragen, je nachdem, welcher Betrag höher ist. Für Start-ups und kleinere Projekte kann dies existenzbedrohend sein.

Darüber hinaus besteht ein erhebliches Reputationsrisiko. Unternehmen, die als datenschutzrechtlich nicht konform wahrgenommen werden, können das Vertrauen ihrer Nutzer verlieren, was sich negativ auf die Akzeptanz ihrer Produkte und Dienstleistungen auswirkt. Die Rechtsunsicherheit hemmt zudem die Entwicklung innovativer Blockchain-Anwendungen, die auf die Verarbeitung personenbezogener Daten angewiesen wären. Entwickler und Unternehmen könnten davor zurückschrecken, solche Lösungen zu implementieren, solange keine klaren rechtlichen oder technischen Rahmenbedingungen existieren, die eine Vereinbarkeit mit dem Recht auf Vergessenwerden gewährleisten. Dies kann auch zu einem Fragmentierung des Marktes führen, bei dem Blockchain-Lösungen für EU-Bürger anders konzipiert werden müssen als für Nutzer in anderen Jurisdiktionen.

Geschichte und Beispiele

Die DSGVO trat im Mai 2018 in Kraft, während die Blockchain-Technologie mit Bitcoin bereits 2009 ihren Anfang nahm. Die ursprünglichen Designs von Blockchains wurden ohne Berücksichtigung von Datenschutzgesetzen wie dem Recht auf Löschung konzipiert, da die Idee der Unveränderlichkeit als Kernmerkmal galt. Dies führte zu einer nachträglichen Konfrontation, als die DSGVO die Notwendigkeit der Datenlöschung in den Vordergrund rückte.

Seitdem wurden verschiedene Ansätze zur Minderung dieses Konflikts vorgeschlagen und teilweise implementiert. Ein gängiger Ansatz ist die Off-Chain-Speicherung personenbezogener Daten. Dabei werden nur Hashes oder Referenzen der Daten auf der Blockchain gespeichert, während die eigentlichen personenbezogenen Daten in einer traditionellen, zentralisierten Datenbank abgelegt werden, die gelöscht werden kann. Ein weiteres Konzept sind Zero-Knowledge Proofs (ZKP), die es ermöglichen, die Gültigkeit einer Aussage zu beweisen, ohne die Aussage selbst preiszugeben. Dies reduziert die Menge der auf der Kette gespeicherten personenbezogenen Daten erheblich. Auch die Entwicklung von datenschutzfreundlichen Blockchains oder die Integration von Homomorpher Verschlüsselung wird erforscht, um Daten auf der Kette zu verarbeiten, ohne sie zu entschlüsseln. Bislang gibt es jedoch keine universelle, rechtlich anerkannte Lösung, und die Debatte zwischen Juristen und Technikern hält an, wie die Arbeiten von Martini/Weinzierl (2017) zeigen, die das Dilemma zwischen „Nicht-Vergessen-Können und Vergessen-Müssen“ beleuchten.

Häufige Missverständnisse

Ein weit verbreitetes Missverständnis ist, dass Daten auf einer Blockchain, die nur als Pseudonyme oder öffentliche Schlüssel erscheinen, nicht als personenbezogen gelten und somit nicht der DSGVO unterliegen. Dies ist oft falsch. Wie bereits erwähnt, kann durch die Verknüpfung mit externen Daten oder durch Analyse von Transaktionsmustern ein relativer Personenbezug hergestellt werden. Die DSGVO unterscheidet zwischen Anonymisierung (nicht rückführbar) und Pseudonymisierung (rückführbar mit Zusatzwissen), wobei letztere weiterhin als personenbezogen gilt.

Ein weiteres Missverständnis ist die Annahme, dass das Unzugänglichmachen oder Verschlüsseln von Daten auf der Blockchain dem Löschen gleichkommt. Das Recht auf Löschung erfordert jedoch die tatsächliche Entfernung der Daten. Wenn Daten lediglich verschlüsselt oder die Schlüssel vernichtet werden, existieren die ursprünglichen Daten immer noch auf dem Ledger, auch wenn sie derzeit unlesbar sind. Dies entspricht nicht der Definition von Löschung im Sinne der DSGVO. Schließlich glauben einige, dass die DSGVO aufgrund der dezentralen Natur von Blockchains nicht anwendbar sei. Dies ist ebenfalls falsch; die DSGVO gilt für jede Verarbeitung personenbezogener Daten von Personen in der EU, unabhängig davon, wo die Daten verarbeitet oder gespeichert werden, solange ein Bezug zu EU-Bürgern besteht.

Zusammenfassung

Der Konflikt zwischen der Unveränderlichkeit der Blockchain-Technologie und dem Recht auf Vergessenwerden der DSGVO stellt eine der größten regulatorischen Herausforderungen für die Akzeptanz und Entwicklung dezentraler Anwendungen dar. Während die Blockchain eine revolutionäre Technologie für Transparenz und Sicherheit bietet, kollidiert ihre inhärente Permanenz mit dem grundlegenden Datenschutzrecht auf Löschung. Lösungen erfordern eine Kombination aus technologischen Innovationen wie Off-Chain-Speicherung und Zero-Knowledge Proofs sowie eine Weiterentwicklung der rechtlichen Auslegung oder Anpassung der Regulierung. Für Unternehmen und Entwickler, die im Krypto-Sektor tätig sind, ist es unerlässlich, diese Herausforderung proaktiv anzugehen, um Compliance zu gewährleisten und das Vertrauen der Nutzer zu erhalten.