Dass Data Analytics und Data Protection untrennbar zusammengehören, und zwar nicht nur als sinnvolle sondern auch als notwendige Ergänzung, darüber war sich die Diskussionsrunde von Beginn an einig. Bis dato sind beide Disziplinen in Unternehmen allerdings häufig noch Gegenpole. Zum einen, weil die Datenschutz-Grundverordnung (DSGVO) viel Unsicherheit erzeugt hat, sodass aufgrund von Bedenken oft gar nichts in Sachen Datenanalysen unternommen wird. Zum anderen, weil der Fokus erst auf Analytics gelegt wird und der Datenschutz am Ende irgendwo noch dazu kommen muss. Keine guten Voraussetzungen also, um beide Aspekte reibungslos unter einen Hut zu bekommen.
Foto: durantelallera - shutterstock.com
Aber gerade die besonders schützenswerten Kundendaten sind für eine Analyse sehr wichtig, um die eigene Klientel besser bedienen und an das Unternehmen binden zu können. Deshalb ist es essentiell, dass Datenschutz und Datenanalysen in einer gemeinsamen Datenstrategie in Einklang gebracht werden, zum Beispiel mit einer Anonymisierung von personenbezogenen Daten.
In Europa gibt es allerdings neben dem Erwägungsgrund 26 der DSGVO nur wenig Statements dazu, was Anonymität bedeutet, wie diese erreicht werden kann und ab wann man sich rechtlich auf der sicheren Seite befindet. Die Aufsichtsbehörden der einzelnen Länder legen diese Kategorie mal strikter und mal weniger strikt aus. Das Ergebnis: Anonymisierung ist ein Graubereich.
- Dr. Christoph Hönscheid, NTT Security
„Erfolgreich ist, wer eine Gesamtstrategie zum Schutz vertraulicher Daten hat. Natürlich ist die EU-Datenschutzgrundverordnung eine unvermeidbare Herausforderung, der sich Unternehmen stellen müssen. Sie kann ein wichtiger Impuls sein, um beim Datenschutz wirklich zu handeln. Klug ist es aber, über Compliance und Regulatorik hinaus zu schauen. Ein Gesamtkonzept sollte erstens gesetzliche Vorgaben, zweitens Verpflichtungen gegenüber Partnern und drittens die ureigenen Interessen des Unternehmens, sein digitales Eigentum zu schützen, im Blick haben. Nur so entsteht eine tragfähige Grundlage, um entsprechende Technologien einzusetzen. Dazu gehören DLP, eine dateibasierte Verschlüsselung wie Digital Rights Management oder auch Tokenisierung. Eine Datenklassifizierung, die über diese Schutzmechanismen letztendlich die Entscheidung trägt, muss ein tragender Pfeiler in diesem Gesamtkonzept sein.“ - Christian Nern, KPMG
„Grundsätzlich existieren technische Lösungen oder BI-Lösungen um herauszufinden, wo der größte Schutzbedarf in Unternehmen besteht. Am wichtigsten ist aber, dass die Mitarbeiter aus den Fachbereichen nicht nur geschult werden, sondern auch wissen, was genau sie mit den Daten machen dürfen. Dies erreicht man viel besser über den Austausch über richtige oder falsche Verhaltensweisen beziehungsweise durch Beispielszenarien oder fachspezifische Templates. Auf diese Weise kommt man sukzessive in eine Qualitäts- beziehungsweise Sicherheitskultur, die jedes Unternehmen für Security by Design benötigt, um KI zielgerichtet anzuwenden.“ - Marisa Parrilla, Horn & Company
„Der kulturelle Aspekt muss über die Data Governance hinaus gehen und auch ethische Aspekte berücksichtigen. Denn nicht alles, was man laut DSGVO darf, sollte ein Unternehmen auch tun. Data Protection hat viel mit Vertrauen zu tun und man muß keine Angst haben, diese Transparenz auch nach außen zu schaffen. Vielmehr müssen Unternehmen beide Aspekte in eine Datenstrategie und somit einer Gesamtstrategie integrieren, um so langfristig Wettbewerbsvorteile aus den Daten zu erzielen.“ - Dr. Jean-Michel Lourier, Lufthansa Industry Solutions
„Bei Datenschutz muss man zwei Dinge unterscheiden: Security und Privacy. Während man beim ersten gut aufgestellt ist, herrscht bei letzteren bei vielen noch sehr große Unsicherheit. Durch die Schwammigkeit der DSGVO weiß man oft nicht genau wie weit man gehen muss, um wirklich compliant zu sein – und das ist das Problem. Das führt dazu, dass man immer versucht, auf der sicheren Seite zu sein, wodurch man sich viele Chancen für Data Analytics entgehen lässt.“ - Stefan Zsegora, Telefónica Germany NEXT
„Wenn zehn Data Scientists gleichzeitig beim Datenschützer nachfragen, ob das was sie tun ok ist, dauert es vermutlich zwei Jahre, bis das geklärt ist. Von daher braucht es zum einen eine Umgebung, in der der Data Scientist eine Use-Case-unabhängige Rechtssicherheit hat. Dafür haben wir zum Beispiel eine spezielle Anonymisierungsplattform entwickelt, die genau diese Sicherheit gibt. Zum anderen braucht es Zertifizierungsstellen, die für jeden transparent bescheinigen, dass das, was mit den Daten gemacht wird, rechtlich in Ordnung ist. Denn gerade im Kundengeschäft hat man keine Chance, wenn da auch nur ein Hauch von Schabernack in der Luft liegt.“ - Dominik Koch, Teradata
„Data Analytics und Data Protection schließen sich nicht aus, sondern gehen immer Hand in Hand. Data Scientists müssen sich daher unbedingt mit den allgemeinen und branchenspezifischen Richtlinien für Datenschutz und Datensicherheit auskennen. Um zu wissen, mit welchen Daten sie arbeiten dürfen und mit welchen nicht, müssen sie entsprechend geschult sein. Dafür müssen sie eng mit IT-Security-Spezialisten zusammenarbeiten und in komplexen Fällen auf deren Knowhow zurückgreifen können.“
Anonym ist nicht gleich anonym
So wie man beim Datenschutz zwischen Security und Privacy unterscheiden muss, so muss man auch in Sachen Anonymität differenzieren: Bei der absoluten Anonymität gibt es absolut keine Möglichkeit, die Daten auf eine Person zurückzuführen. Bei der faktischen Anonymität herrscht das Prinzip, dass der Aufwand, um in das System auszuhebeln und doch hinter die Identität einer bestimmten Person zu kommen, größer sein muss als die Erkenntnis, die man daraus gewinnt. Natürlich müssen dafür sehr sichere technische Maßnahmen ergriffen werden. Auch die Verteilung der Datenverarbeitung auf unterschiedliche organisatorischen Einheiten erschwert beispielsweise einen Angriff.
Informationen zu Partner-Paketen der Studie "Data Analytics & Data Protection" finden Sie hier
Entscheidend aber ist, dass Unternehmen für sich selbst ein passendes Schutzniveau festlegen, welches vom eigentlichen Ziel ausgeht. Wer weiß, was er genau erreichen will, kann gezielt darauf hinarbeiten, Technik und Governance-Regeln entsprechend auslegen. Weil aber heute noch zu selten das Schutzniveau von der Geschäftsführung festgelegt wird, entstehen Unsicherheiten darüber, was man mit den Daten nun machen darf und was nicht. Klare Regelwerke, Templates und Schulungen können hier weiterhelfen. Der Schutz von Personendaten ist dabei nur eine Sache. Erfolgreich ist, wer die Klassifizierung von Schutzmechanismen in einem Gesamtkonzept in Einklang bringt und den Standard nicht nur nach innen festlegt, sondern auch nach außen kommuniziert, um das Vertrauen der Kunden zu gewinnen.
Ohne Zweck keine Compliance
Als erstes das Ziel zu definieren und danach den Handlungsrahmen, mag bei der Anwendung von Robotics noch relativ einfach sein. Da auch der Roboter Algorithmen ableitet und auf einem Berechtigungskonzept arbeitet, müssen seine Anbindung festgelegt und die Rahmenparameter für den Datenschutz definiert sein. Mit anderen Worten: Auch die Anwendung von KI muss verstanden werden und darf nicht in einer als Blackbox enden, in der Algorithmen werkeln, die keiner mehr versteht.
Wie schafft man es aber in der Arbeitsumgebung eines kreativ denkenden Data Scientists, dass dieser nicht nach jedem Use-Case nachsehen muss, ob er denn noch compliant ist? Viele Unternehmen stellen Data Scientists ein, um explorativ mit Daten zu arbeiten. Das bedeutet oft, dass Ziel und Zweck der Analyse im Vorfeld noch nicht definiert sind. Und wenn der Zweck der Datenverarbeitung nicht definiert ist, wie soll der Datenschützer dann seine Freigabe dafür geben? Zwangsläufig werden irgendwann alle Daten anonymisiert werden müssen.
Doch Vorsicht: Eine Anonymisierung macht man nicht nur einmal und schließt sie dann ab. Nein, Datenschutz und Anonymisierung sind ein begleitender Prozess. So muss nach einer Datenanalyse immer geprüft werden, ob es nicht doch Möglichkeiten gibt, Rückschlüsse auf die Daten oder den Algorithmus zu ziehen. Wichtig ist auch die Frage, wo man überhaupt analysiert: Alles in einem Data Lake zusammenwerfen ist nicht der richtige Ansatz, denn personenbezogene Daten müssen nicht nur zweckgebunden analysiert sondern auch zweckgebunden gespeichert werden. Wie geht man dann zum Beispiel mit Daten um, die nur zu Testzwecken verwendet wurden?
Mit Awareness und Verständnis zum Mehrwert
Um wirklich immer auf der sicheren Seite zu sein, ist die Kenntnis der Datenflüsse essenziell. Viele Unternehmen sind von diesem Wissen aber noch weit entfernt, stehen sie aktuell doch noch vor der Herausforderung, ihre Daten überhaupt zu finden. Kundendaten, die beispielsweise ungeschützt in der Poststelle liegen, sind kein Einzelfall. Ein Datenkatalog kann Unternehmen die notwendige Transparenz darüber vermitteln, über welche Daten sie verfügen und in welcher Qualität sie vorliegen.
Auch sollte in so einem Katalog geregelt sein, wie die verschiedenen Daten verwendet werden dürfen, denn: Die Unternehmen haben zwar aus der DSGVO gelernt, dass sie verschiedene Mechanismen implementieren müssen, die Regulatorik geht aber immer noch an der Praxis vorbei. Nach wie vor werden Kundendaten per Mail verschickt. Was fehlt sind die Awareness und die Motivation auf Seiten der Mitarbeiter.
Informationen zu Partner-Paketen der Studie "Data Analytics & Data Protection" finden Sie hier
So kann man dem angstgetriebenen Datenschutz von oben auch dadurch begegnen, indem man sich Gedanken darüber macht, welchen Nutzen der Datenschutz für denjenigen bringt, der die Daten verarbeitet. Ohne Nutzen schwindet die Motivation, sich über den Schutz von Daten Gedanken zu machen.
Darüber hinaus gilt es, ein Bewusstsein für die Domäne des anderen zu entwickeln. Ein Datenschützer, der in Schulungen immer nur sagt, was man nicht darf, gilt bei den Data Scientists schnell als Spielverderber. Von daher muss man dem Datenschützer auch den Raum und die Zeit geben, die Inhalte und Ziele von Data Analytics zu verstehen. Nur dann kann er auch eine Umgebung schaffen, in der sich der Data Scientist frei entfalten kann, damit am Ende aus seiner Arbeit tatsächlich ein Mehrwert entsteht.
Gemeinsam zur richtigen Datenstrategie
Bei der Entwicklung einer Datenstrategie sollen Unternehmen den Datenschutz durch drei Brillen betrachten:
die vom Staat vorgeschriebene Regulatorik,
die Verpflichtungen gegenüber Dritten und
die eigenen Unternehmensinteressen.
Transparenz über Datenbestände und deren Schutzanforderungen zu schaffen, funktioniert aber nur, wenn Datenschützer und Data Scientists gemeinsam nach Lösungen suchen. Noch ist den Managern nicht bewusst, dass es interdisziplinäre Teams braucht, um Data Analytics und Data Protection strategisch zu vereinen. Schließlich kann man einem Data Scientist nicht zumuten, dass er sich juristisch so tief auskennt wie jemand vom Datenschutz.
Der Druck, dass es in den Teams - auch in den höheren Ebenen - Personen mit unterschiedlichen Fachkenntnissen geben muss, muss auch von den IT Security-Abteilungen kommen. Mit der Rolle eines Chief Data Officers würde ein Unternehmen zum Beispiel ein Zeichen setzen, dass es den Datenschutz ernst nimmt und ihm damit die Durchschlagskraft verleihen, durch die er auch gelebt wird.