Das Datenschutzrecht und die datenschutzrechtliche Beratungspraxis stehen immer wieder vor der Herausforderung, mit neuen und technisch komplexen Entwicklungen Schritt zu halten. Das gilt nicht nur für KI-Systeme, deren Funktionsweise häufig schwer nachvollziehbar ist, sondern auch für Blockchain-Technologien, bei denen Fragen der Transparenz, Verantwortlichkeit und Betroffenenrechte besonders relevant werden. Mit solchen Technologien befasst sich auch der Europäische Datenschutzausschuss (EDSA), wenn ihnen datenschutzrechtlich besonderes Gewicht zukommt.
In unserem Beitrag vom 23. April 2025 haben wir bereits erläutert, was Blockchain ist und welche Schwerpunkte die erste Version der EDSA-Leitlinien setzte. Nun hat der EDSA die finale Version der Leitlinien zu Blockchain und Datenschutz verabschiedet. Gleichzeitig wurden zwei weitere Leitlinien angenommen: zur Anonymisierung sowie zu Web-Scraping im Zusammenhang mit generativer Künstlicher Intelligenz.
Welche Datenschutzrisiken birgt die Blockchain-Technologie?
Eine Blockchain ist eine dezentrale Datenbank, in der Informationen in Blöcken gespeichert und miteinander verkettet werden. Neue Einträge werden nicht zentral durch eine einzelne Stelle verwaltet, sondern innerhalb eines Netzwerks bestätigt und dauerhaft dokumentiert. Eine zentrale Eigenschaft dieser Technologie ist, dass einmal gespeicherte Informationen grundsätzlich nicht ohne Weiteres gelöscht oder korrigiert werden können.
Werden personenbezogene Daten in einer Blockchain gespeichert, steht diese Speicherung in einem Spannungsverhältnis zur DSGVO. Dementsprechend gilt der Grundsatz der Speicherbegrenzung. Außerdem können betroffene Personen unter bestimmten Voraussetzungen die Löschung oder Berichtigung ihrer Daten verlangen. Gerade deshalb ist bei Blockchain-Anwendungen sorgfältig zu prüfen, ob personenbezogene Daten überhaupt gespeichert werden müssen und wie Rechte betroffener Personen praktisch umgesetzt werden können.
Neueste Version der Blockchain-Leitlinie
In der finalen Version der Leitlinie macht der EDSA deutlich, dass Verantwortliche bereits vor dem Einsatz einer Blockchain-Anwendung prüfen müssen, ob diese Technologie überhaupt erforderlich ist. Soweit möglich, sollten Verantwortliche Lösungen bevorzugen, die mit geringeren Risiken für betroffene Personen verbunden sind. Insbesondere sollte vermieden werden, personenbezogene Daten direkt in einer Blockchain zu speichern.
Die Leitlinie beschreibt zunächst die technischen Grundlagen der Blockchain sowie die verschiedene Arten von Blockchains. Es wird erläutert, welche Daten innerhalb einer Blockchain verarbeitet werden können. Außerdem befasst sie sich mit Rollen und Verantwortlichkeiten, etwa der Frage, wer im konkreten Verarbeitungsvorgang als Verantwortlicher oder Auftragsverarbeiter anzusehen ist.
Im Mittelpunkt steht anschließend die datenschutzrechtliche Bewertung blockchainbasierter Verarbeitungsvorgänge. Der EDSA geht dabei auf zentrale Anforderungen der DSGVO ein. Insbesondere geht es um die Grundsätze der Datenverarbeitung, die Rechtmäßigkeit der Verarbeitung, internationale Datentransfers und Speicherfristen. Auch die Pflicht zur Durchführung einer Datenschutz-Folgenabschätzung sowie Privacy by Design and Default werden hervorgehoben.
Ein weiterer Schwerpunkt liegt auf den Betroffenenrechten. Die Leitlinie erläutert, wie beispielsweise Informationspflichten, Löschrechte und der Schutz vor ausschließlich automatisierten Entscheidungen bei Blockchain-Anwendungen zu berücksichtigen sind. Gerade diese Rechte können bei unveränderbaren oder dezentralen Strukturen besondere praktische Herausforderungen aufwerfen.
Leitlinie zu Anonymisierung
Die Leitlinie zur Anonymisierung soll zur Einordnung dienen, wann Daten tatsächlich als anonym gelten und wann weiterhin ein Personenbezug besteht. Das ist praktisch besonders relevant, weil anonymisierte Daten nicht mehr unter die DSGVO fallen, während pseudonymisierte oder re-identifizierbare Daten weiterhin datenschutzrechtlich geschützt sind.
Die Leitlinie unterscheidet zunächst zwischen der rechtlichen und der technischen Analyse. In der rechtlichen Bewertung geht es darum, ob Informationen sich auf eine natürliche Person beziehen und ob diese Person identifiziert oder identifizierbar ist. Ergänzend behandelt die Leitlinie Fälle, in denen Datensätze sowohl anonyme als auch personenbezogene Daten enthalten. Außerdem stellt sie klar, dass auch der Prozess der Anonymisierung selbst datenschutzkonform erfolgen muss, solange noch personenbezogene Daten verarbeitet werden.
Im technischen Teil beschreibt der EDSA, wie man die Wirksamkeit einer Anonymisierung bewerten kann. Dies soll durch Kriterien, wie keine Datensatzisolation, keine Datenverknüpfung und keine Möglichkeit zur Schlussfolgerung auf eine Person durch gegebene Daten, gewährleistet werden. Die Kriterien müssen im jeweiligen Kontext geprüft und dokumentiert werden.
Leitlinien zu Web-Scraping
Der EDSA hat außerdem eine Leitlinie zum Webscraping im Zusammenhang mit generativer KI verabschiedet. Sie erklärt zunächst, was unter Webscraping zu verstehen ist und welche datenschutzrechtlichen Risiken entstehen können, wenn personenbezogene Daten automatisiert aus öffentlich zugänglichen Webseiten ausgelesen und weiterverarbeitet werden.
Im Mittelpunkt steht die Anwendung der DSGVO auf solche Verarbeitungsvorgänge. Die Leitlinie behandelt ebenfalls die Rollen von Verantwortlichen, gemeinsam Verantwortlichen und Auftragsverarbeitern sowie die Grundsätze der Datenverarbeitung. Zudem geht der EDSA auf besondere Kategorien personenbezogener Daten ein, die beim Webscraping ebenfalls erfasst werden können und deshalb besonders strengen Anforderungen unterliegen.
Fazit
Die neuen EDSA-Leitlinien schaffen mehr Orientierung für Unternehmen, die mit technisch komplexen Datenverarbeitungen arbeiten. Sie helfen insbesondere dabei, Blockchain-Technologien datenschutzkonform einzuordnen, anonymisierte Daten rechtlich besser von personenbezogenen Daten abzugrenzen und Anonymisierungsprozesse sauber umzusetzen.
Eine unmittelbare Umsetzungspflicht folgt aus den Leitlinien zwar nicht. Unternehmen sollten sie dennoch als wichtige Auslegungshilfe nutzen, wenn sie Blockchain-Anwendungen, Anonymisierungstechniken oder Webscraping-Prozesse einsetzen oder planen. Ihr Datenschutzbeauftragter kann Sie dabei unterstützen, denn gerade bei neuen Technologien zeigt sich erneut: Datenschutz muss frühzeitig mitgedacht, dokumentiert und technisch wie organisatorisch abgesichert werden.
Bereit, die Verantwortung an einen externen Datenschutzbeauftragten zu übergeben?
Kontaktieren Sie uns noch heute, um zu erfahren, wie wir Ihr Unternehmen in Fragen des Datenschutzes und der Datenschutz-Compliance unterstützen können.
