Arbeitspapier zu Telemetrie

Was sind Telemetrie- und Diagnosedaten?

Telemetrie ist in der heutigen Welt allgegenwärtig. Unsere Apps und Betriebssysteme sammeln eine Fülle von Informationen über unsere Nutzungsgewohnheiten, oft ohne, dass wir es merken. Häufig haben diese Daten einen wirtschaftlichen Wert und dienen Unternehmen als zusätzliche Einnahmequelle. Als Telemetrie- und Diagnosedaten zählen zum Beispiel Angaben darüber, wie oft bestimmte App-Funktionen genutzt werden oder zu welchen Zeiten und an welchen Orten dies geschieht. Selbst Erkenntnisse über die Häufigkeit und Art von Systemabstürzen werden erhoben.

Datenschutzrechtlichen Relevanz

Bei all diesen Arten von Informationen kann es sich um personenbezogene Daten handeln. Das gilt unabhängig davon, ob der Zweck der Datenerhebung rein technischer Natur ist (z. B. Performanceverbesserung oder Troubleshooting) oder sich auf die Entwicklung neuer Anwendungen und Geräte bezieht. Selbst bei einer Pseudonymisierung ohne Absicht der Identifizierung, sind datenschutzrechtliche Grundsätze einzuhalten. Nur auf Informationen, die dem primären Zweck des Geräts dienen (z. B. bei einem Herzschrittmacher), bezieht sich das Arbeitspapier zu Telemetrie nicht.

Herausgearbeitete Risiken

Die IWGDPT hat verschiedene Risiken identifiziert, die eine Gefahr für die Datensicherheit bedeuten könnten. Zunächst seien viele Hersteller sich schon gar nicht bewusst, dass die erhobenen Daten überhaupt einen Personenbezug aufweisen. Laut der Berlin Group befolgen sie dementsprechend auch keinerlei datenschutzrechtlichen Regeln

Bei der Erhebung der Daten werden oft Informationspflichten über das Sammeln, die Art und die bezweckte Nutzung der Daten außer Acht gelassen. Auf der Gegenseite seien sich auch die Nutzer häufig weder über die Erhebung noch über deren Umfang bewusst. Das führe zu fehlender Transparenz, die es dem Nutzer ermöglichen könne, der Datensammlung zu widersprechen. Selbst wenn eine entsprechende Information stattfinde, gäbe es keine (ausreichenden) Möglichkeiten für die Nutzer die Datenerhebung zu limitieren oder zu verhindern. Auch wenn es technische Möglichkeiten gäbe, die Sammlung zu minimieren, komme es sehr selten vor, dass sie komplett verweigert werden könne.

Weiterhin würden oft Daten provisorisch und in großen Mengen erhoben. Das führe zu einer Verletzung des Grundsatzes der Datenminimierung und verstoße gegen die Zweckbindung. Parallel dazu gebe es auch keine zeitlichen Aufbewahrungsgrenzen.

Zuletzt würden die Maßnahmen zur Sicherung der Vertraulichkeit der Daten immer wieder nicht den gesetzlichen Anforderungen genügen.

Datenschutzfreundlichere Lösung

Die Berlin Group appelliert, dass man sich bewusst machen muss, dass auch in diesen Fällen die Grundsätze des Datenschutzes zu beachten sind. Dabei erkennt sie die Bedeutung dieser Datengruppe für die Qualitätssicherung an. Trotzdem müssten Gesetzgeber entsprechende gesetzliche Regeln sicherstellen und ggf. sogar geeignete Standards einführen. Auf der Seite der Hersteller müsse das Sammeln von personenbezogenen Daten anerkannt, dokumentiert und die Nutzer entsprechend informiert werden. Man müsse die Datenerhebung angepasst an die Zwecke in Art, Umfang und Zeit limitieren. Automatisch dürfe man nur Daten erheben, die per Gesetz einwilligungsfrei erhoben werden können. Weiterhin fordert sie flexible Einstellungsmöglichkeiten für die Nutzer hinsichtlich der Datenerhebung. Man müsse zudem Systeme einrichten, um die Daten zu pseudonymisieren und um die Sicherheit der Daten zu gewährleisten.

Fazit

Die Funktionen der Telemetrie sind entscheidend für eine verlässliche Qualitätssicherung. Nichtsdestotrotz werden auch hierbei persönliche Daten erhoben, denen ein entsprechender Schutz zu kommen muss. Die Realität zeigt, dass in vielen Anwendungen datenschutzrechtliche Vorkehrungen fehlen oder zumindest nicht hinreichend ausgestaltet sind. Das Arbeitspapier zu Telemetrie zeigt, dass es möglich ist, diese Analysesysteme datenschutzkonform zu gestalten, ohne dabei den Nutzen der Funktionen zu vernachlässigen. Herstellern solcher Anwendungen wird empfohlen auch hier datenschutzrechtliche Vorgaben zu befolgen, um das Risiko von Bußgeldern zu minimieren.