4. arbeitskreis „technische und organisatorische datenschutzfragen“

ten, ohne dass er den Ballast der täglich anfallenden operativen Daten wahrnimmt und dabei auf die ständige Mitwirkung
von Informatikern und Statistikern angewiesen ist.
Auch wenn DWH-Konzepte bisher fast nur im Bereich der Privatwirtschaft und auch dort zunächst nur ansatzweise anzutreffen
und die Ergebnisse noch recht bescheiden sind, halte ich die frühzeitige Betrachtung dieser neuen Technologie aus
datenschutzrechtlicher und -technischer Sicht für notwendig. Künftige Anwender sollen den möglichen Nutzen für Wirtschaft
und Verwaltung sorgfältig gegenüber dem gebotenen Schutz der Privatsphäre des Einzelnen abwägen können und im
Ergebnis dieses Prozesses die jeweils erforderlichen datenschutzfreundlichen Technologien einsetzen. Zu diesem Zweck sind
die Arbeitskreise „Technische und organisatorische Datenschutzfragen“ und „Medien“ der Konferenz der Datenschutzbeauftragten
des Bundes und der Länder gegenwärtig damit befasst, eine Orientierungshilfe zu erarbeiten, die Hinweise zum datenschutzgerechten
Betrieb von DWH geben und eine rechtliche Bewertung derartiger Konzepte ermöglichen soll.
Was demnächst in Deutschland erwartet werden kann und wie wichtig deshalb solche Hilfsmittel werden, sollen die folgenden
Beispiele zeigen.
Nach Versandhäusern und Warenhausketten erkennen zunehmend auch staatliche Stellen den Nutzen dieser neuen Technologie.
So ist das Bundesaufsichtsamt für den Wertpapierhandel dabei, für die Börsenaufsicht so genannte Softwareagenten
einzuführen, die aus den täglichen Meldungen über Käufe und Verkäufe von Aktien und Optionsscheinen verdächtige Transaktionen
herausfiltern sollen, um unerlaubte Insidergeschäfte aufzudecken.
Als eine weitere Anwendung dieser Technologie wird im Zusammenhang mit der Verbreitung bestimmter verbotener Inhalte
über das Internet beispielsweise derzeit erwogen, mit speziellen Internetsuchmaschinen rund um die Uhr systematisch danach
zu suchen. Eine Datenbank mit den so gewonnenen Informationen entspräche praktisch einem aus dem Internet gespeisten
DWH, das nach verschiedenen, jederzeit den Bedürfnissen des Fragestellers anpassbaren Kriterien durchsucht werden kann.
Nicht erwähnt wird in diesem Zusammenhang zumeist, dass mit solchen Werkzeugen auch sämtliche im Internet veröffentlichten
Äußerungen von Einzelnen systematisch erkundet und dokumentiert werden können.
Ob ein DWH, das ohne Restriktionen diese und weitere Möglichkeiten der modernen Technik nutzt, noch mit den Grundsätzen
des Volkszählungsurteils des Bundesverfassungsgerichts aus dem Jahre 1983 und mit den Zweckbindungsgrundsätzen
der Datenschutzgesetze von Bund und Ländern vereinbar ist, muss sicher hinterfragt werden.
Ein DWH, das sich datenschutzfreundlicher Technologien bedient (siehe Dritter Tätigkeitsbericht, Punkt 2.1) und beispielsweise
für vorher nicht definierbare Zwecke lediglich anonymisierte oder unter bestimmten Voraussetzungen pseudonymisierte
Daten verwendet, genügt möglicherweise datenschutzrechtlichen Anforderungen. Natürlich sind dann technische
und organisatorische Maßnahmen erforderlich, die eine Deanonymisierung verhindern oder die Zuordnung eines Pseudonyms
zu einer Person nur unter vorher festgelegten, rechtlich zulässigen Bedingungen ermöglichen.
Die Entwicklung in diesem Bereich wird weiterhin kritisch zu beobachten und zu begleiten sein, um möglichst rechtzeitig
eine datenschutzgerechte Gestaltung und Nutzung von DWH zu erreichen.
3.16.6 Prüfkriterien für datenschutzfreundliche Produkte (Common Criteria 2.0)
Ohne den Einsatz sicherer Informationstechnik (IT) ist heute ein reibungsloses Funktionieren von Wirtschaft und Verwaltung
nicht mehr vorstellbar. Sicherheit bedeutet in diesem Zusammenhang, dass die Vertraulichkeit, die Integrität, die Verfügbarkeit
und die Zurechenbarkeit automatisiert verarbeiteter Daten jederzeit gewährleistet sind. Die Nutzer der IT müssen
darauf vertrauen können, dass die hierfür notwendigen Sicherheitsfunktionen von Hard- und Software korrekt ausgeführt
werden.
Um nun die Sicherheitseigenschaften von IT-Produkten vergleichen und das Maß der Vertrauenswürdigkeit einschätzen zu
können, haben verschiedene Länder Europas und Nordamerikas zunächst unabhängig voneinander entsprechende Prüfkriterien
entwickelt. In den USA enthält beispielsweise das so genannte Orange Book seit 1985 derartige Kriterien. Für Deutschland
entwickelte das Bundesamt für Sicherheit in der Informationstechnik (BSI) solche IT-Sicherheitskriterien.
Um Handelshemmnisse aufgrund unterschiedlicher Sicherheitsstandards zu vermeiden, entschlossen sich 1989 einige europäische
Regierungen, ihre nationalen Kriterien zu harmonisieren. Auf diese Weise entstanden die so genannten Information
Technology Security Evaluation Criteria (ITSEC) – die Kriterien für die Bewertung der Sicherheit von Systemen der Informationstechnik.
Seit 1993 wird daran gearbeitet, die gemeinsamen Kriterienkataloge der USA und Kanada und die europäi-
72 Vierter Tätigkeitsbericht des Landesbeauftragten für den Datenschutz Mecklenburg-Vorpommern