Big Data und Business Intelligence. Herausforderungen für den Datenschutz

I. Inhaltsverzeichnis

II. Abkurzungsverzeichnis

1. Einleitung und Zielsetzung

2. Begriffliche Abgrenzung

2.1 Business Intelligence

2.2 Big Data

3. Anwendungsmoglichkeiten

3.1 CRM

3.2 Profiling

4. Datenschutzrechtliche Bestimmungen

4.1 Personenbezug

4.2 Einwilligung

4.3 Datensparsamkeit und Zweckbindung

4.4 Anonymisierung und Pseudonymisierung

4.5 Betroffenen Rechte

4.6 Offnungsklausel am Beispiel des Scorings

4.7 Verarbeitungsverzeichnis

4.8 Kooperation mit Cloud-Anbietern und externen Rechenzentren

4.9 VerstoB gegen datenschutzrechtliche Bestimmungen

5. Fazit

6. Literaturverzeichnis

II. Abkurzungsverzeichnis

Abbildung in dieser Leseprobe nicht enthalten

1. Einleitung und Zielsetzung

In der vorliegenden Seminararbeit werden der unternehmerische Umgang mit Business Intelligence in Verbindung mit der Verarbeitung und Auswertung groBer Datenmengen (Big Data) und die hieraus resultierenden Auswirkungen auf den Datenschutz betrachtet. Zunachst erfolgt eine Skizzierung ausgewahlter themenbezogener Datenverarbeitungs- methoden und Systeme. Nachfolgend werden relevante datenschutzrechtliche Regelun- gen beschrieben, die in Bezug zu den voraus genannten Methoden und Systemen stehen. Im Fazit werden exemplarisch hieraus entstehende Spannungsverhaltnisse aufgezeigt. Die Seminararbeit fokussiert insbesondere Unternehmen mit einem Gerichtstand in Deutschland, unter Vernachlassigung individueller Rechtsprechungen der Bundeslander sowie spezifischer betrieblicher Datenschutzvereinbarungen, und gibt mogliche Losungs- ansatze fur den datenschutzkonformen Umgang mit Big Data und Business Intelligence in der betrieblichen Praxis.

2. Begriffliche Abgrenzung

Business Intelligence und Big Data-Anwendungen weisen zahlreiche begriffliche Uber- schneidungen und inhaltliche Ubereinstimmungen auf. Im nachfolgenden werden die bei- den Bezeichnungen vereinfacht voneinander abgrenzt und in Bezug auf ihre Charakteris- tika eingeordnet.

2.1 Business Intelligence

„Der Begriff Business Intelligence beschreibt ein integriertes, betriebsindividuell zu ent- wickelndes Gesamtkonzept zur IT-Unterstutzung des Managements^¹ Innerhalb eines solchen Gesamtkonzeptes werden die Daten zunachst in einem gemeinsamen Business Warehouse abgelegt und im Anschluss von BI-Anwendungen in verschiedenen Auspra- gungsstufen weiterverarbeitet.² Die miteinander verbundenen Software-Anwendungen verfolgen mittels Datenanalyse- und Visualisierungstechniken das Ziel, das Management in den Entscheidungsfindungsprozessen zu unterstutzen.³ Zu den angewendeten Techni- ken gehoren unter anderem das OLAP- und das Data Mining-Verfahren.

Online Analytical Processing (OLAP)

Das OLAP-Verfahren greift auf Datenbestande des Data Warehouse zu und bildet die Daten in Form eines multidimensional Datenwurfels ab. Aus diesem virtuellen Wurfel konnen Datengruppierungen erstellt und komplexe Zusammenhange abgebildet werden.

Eine der zahlreichen interaktiven Analysemoglichkeiten fur das Management konnte sich beispielsweise auf eine Abfrage von Umsatzzahlen in Verbindung mit den Verkaufsregi- onen und Produktgruppen beziehen.⁴

Data Mining

Im Gegensatz zum Vergangenheitsbezug der OLAP-Methodik, zeichnet sich das Data Mining durch zukunftsbasierte statistische Prognosegenerierungen aus.⁵ Dieser explora­tive Analysecharakter ist beispielsweise vorteilhaft, um mittels Regressionsberechnungen Zusammenhange zwischen den Absatzzahlen eines Produktes und dem Wochentag oder bestimmten Werbeaktionen zu entdecken sowie Trends fruhzeitig zu erkennen.⁶

2.2 Big Data

Die Big Data Analysemethoden verwenden einen Teil von Business Intelligence-Pro- zessen, uberschreiten diese jedoch in Bezug auf die verarbeitungsfahige Datenmenge sowie die Rechenleistung.⁷ Im Gegensatz zum vergleichsweise strukturierten BI-Daten- bestand handelt sich bei Big Data um zumeist unstrukturierte und teilweise inkonsis- tente Datensatze, die mittels spezieller verteilter Datenbanklosungen, wie etwa NoSQL-

Datenbanken, ausgewertet und bearbeitet werden konnen.⁸ Nach der Definition von Gartner zeichnet sich Big Data durch drei wesentliche Charakteristika aus:

Velocity (Geschwindigkeit)

Durch Big Data unterstutzende Technologien sind fur die anfallenden Datenstrome um- fassende Berichte und Korrelationsanalysen mit daraus folgenden Prognosen in Echtzeit moglich. Dementsprechend mussen Unternehmen bei der Nutzung von Big Data Tech­nologien fahig sein, entsprechende Geschwindigkeiten in der Datenverarbeitung zu un- terstutzen und zu nutzen.⁹

Volume (Volumen)

Die Verarbeitung und Speicherung groBer Datenmengen, beginnend im Terrabytebereich, setzt entsprechende Speicherkapazitat voraus. Haufig werden hierfur auch skalierbare Cloud-Services genutzt, um ein wirtschaftlich sinnvollen Betrieb der Rechen- und Spei- cherleistung zu gewahrleisten.¹⁰

Variety (Vielfalt)

Unter anderem fuhren die wachsende Speicher- und Datenverfugbarkeit sowie die Viel- zahl an unterschiedlicher Datenquellen, wie zum Beispiel Social Media-Plattformen oder Messsensoren, zu unzahligen differenten Datensatzen. Diese sind gekennzeichnet durch zum Teil inkompatible, strukturierte wie auch unstrukturierte Datenformate. Dieser Effekt wird zudem durch die stetig steigende Menge an offentlich zuganglicher heteroge- ner Daten verstarkt.¹¹

3. Anwendungsmoglichkeiten

Im Folgenden werden ausgewahlte Anwendungsmoglichkeiten und Methoden von Big Data und Business Intelligence-Systemen skizziert.

3.1 CRM

Klassische Customer-Relationship-Management Systeme nutzen oftmals Bl-Prozesse, um Marketingaktivitaten zielgruppenspezifisch auszugestalten. Die CRM-Anwendungen klassifizieren hierfur zum Beispiel Kunden nach bestimmten Merkmalen, wie dem Ge- schlecht, dem Wohnort, dem Einkaufsverhalten, etc., und bieten Segmentierungsmog- lichkeiten, um etwa zielgerichtete Werbeaktionen zu planen und somit Cross- und Up­Selling MaBnahmen durchzufuhren. Neben Kundendaten konnen zum Beispiel auch aus Marktforschungsprozessen gewonnene Erkenntnisse in entsprechenden Datenbanken hinterlegt werden.¹² In Verbindung mit Big Data konnen CRM-Systeme unter anderem in die Lage versetzt werden, Kundenpraferenzen in Echtzeit zu analysieren und zu prog- nostizieren sowie geeignete Verkaufs- und WerbemaBnahmen individueller, schneller und genauer zu berechnen.¹³

3.2 Profiling

Anders als Data Mining orientierte Verfahren, welche sich mittels Analysetechniken auf strukturierte Bestandsdaten und definierte Kriterien beziehen, findet die Profiling-Me- thode insbesondere im Kontext von Big Data ihre Anwendung. Hierbei werden Daten- satze aus unterschiedlichsten Quellen auf Korrelationen ausgewertet und automatisiert innerhalb von Datenprofilen zusammengefasst. Ein Profil kann in mehreren Ebenen, wie zum Beispiel in Gruppen oder Einzelpersonen, abgebildet werden und einen hohen De- tailierungsgrad aufweisen. Komplexe Algorithmen sind bei einer groBen Datenbasis bei- spielsweise fahig, eine auBerst genaue Profilabbildung von Personen und deren bisheriges sowie mogliches zukunftiges Verhalten zu liefern.¹⁴

Mogliche Ziele des Profiling sind unter anderem:

- Bestimmung des Kaufinteresses von bestimmten Produkten
- Bestimmung von wirtschaftlichen Verhaltnissen
- Kriminalitatsbekampfung
- Wahrscheinlichkeitsermittlung von Krankheiten

Neben der zuvor beschriebenen Allgemeindefinition existiert auch eine rechtliche Be- griffsdefinition. Nach der DS-GVO handelt es sich bei dem Profiling um:

„jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte personliche As- pekte, die sich auf eine naturliche Person beziehen, zu bewerten, insbesondere um As- pekte bezuglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, personliche Vorlie- ben, Interessen, Zuverlassigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser na- turlichen Person zu analysieren oder vorherzusagen“.¹⁵

Per definitionem liegt der Fokus des Profiling somit auf den Datenanalyse- und Daten- auswertungsverfahren, die naturlichen Personen betreffen.¹⁶

Screening

Die Methode des „Screenings“ bezeichnet die systematische Auswertung groBer unter- schiedlicher Datenmengen hinsichtlich bestimmter Attribute, wie zum Beispiel auBerge- wohnlicher Standortdaten. Das Screening kann unter anderem zur individualisierten Pro- duktvermarktung angewendet werden und ist ein Bestandteil des Profiling.¹⁷

Scoring

Mittels einer algorithmischen Datenanalyse konnen Informationen zu den wirtschaftli- chen und personlichen Verhaltnissen von Personen ausgewertet und Prognosen abgeleitet werden. Das Scoring bezeichnet hierbei die Bewertung in unterschiedlichen Klassen-

oder Punktesystemen. Haufig werden Scoring-Verfahren im Bereich des Finanzwesens eingesetzt, um die Kreditwurdigkeit und das Kreditausfallsrisiko zu ermitteln.¹⁸ Das Sco­ring ist ebenfalls ein Bestandteil des Profiling.

4. Datenschutzrechtliche Bestimmungen

Anders als bei der Datensicherheit, worunter samtliche MaBnahmen zur vollstandigen und korrekten Datenbereitstellung verstanden werden, handelt es sich bei dem Daten- schutz um betriebliche und gesetzliche Regelungen und deren hieraus abgeleiteten MaB­nahmen zum Schutz von Daten und Personlichkeitsrechten.¹⁹ Zu den gesetzlichen Ver- ordnungen gehoren neben dem Bundesdatenschutzgesetz, zahlreiche Datenschutzgesetze der einzelnen Bundeslander und der am 25.05.2018 EU-weit anzuwendenden Daten- schutzgrundverordnung. Die Regelungen des BDSG und der Bundeslander werden zum GroBteil durch die Anwendung der DS-GVO abgelost. Ausgenommen sind einige Teil- bereiche, zu denen die Datenschutzgrundverordnung mittels Offnungsklauseln nationale Konkretisierungsrechte ermoglicht. Diese werden im neuen Bundesdatenschutzgesetz (BDSG-neu) geregelt.²⁰ In der nachfolgenden Betrachtung finden primar die ab Mai 2018 in Kraft tretenden Bestimmungen Berucksichtigung.

4.1 Personenbezug

Die Verarbeitung und Auswertung von Daten im Sinne von Big Data und Business Intelligence erfolgt in Unternehmen innerhalb verschiedener Softwarekomponenten, wie beispielsweise CRM-Systemen oder anderen Datenanalyse-Tools, und ist aus der daten- schutzrechtlichen Perspektive in der Regel unkritisch, sofern keine personenbezogenen Daten verarbeitet werden. In der Praxis bilden personenbezogene Daten jedoch einen we- sentlichen Bestandteil des relevanten Datenbestandes.

[...]

¹ Hansen, H. R. u. a. (2015), S. 279.

² Vgl. Fels, G. (2015), S. 255 ff.

³ Vgl. Grunwald, M., Taubner, D. (2009), S. 398 ff.

⁴ Vgl. Laudon, K. C. u. a. (2010), S. 307 f.; Leuber, W. (2011), S 45 ff.

⁵ Vgl. Grunwald, M., Taubner, D. (2009), S. 398.

⁶ Vgl. Hansen, H. R. u. a. (2015), S. 291 f.

⁷ Vgl. Gronwald, K.-D. (2017), S. 54; Hansen, H. R. u. a. (2015) S. 479 f.

⁸ Vgl. Harting, N. (2016), S. 8; Grunwald, M., Taubner, D. (2009), S. 401.

⁹ Vgl. Laney, D. (2001), S. 1 ff.

¹⁰ Vgl. Nasser, T., Tariq, R. S. (2015), S. 1 ff.

¹¹ Vgl. Gadatsch, A., Landrock, H. (2017), S. 2; . Ulbricht, M. (2017), S. 271 ff.

¹² Vgl. Winkelmann, P. (2008), S. 180 ff.

¹³ Vgl. Gronwald, K.-D. (2017), S. 54 ff.

¹⁴ Vgl. Heuberger-Gotsch, O. (2016), S. 85 ff.

¹⁵ DS-GVO (2016), Art. 4, Abs. 4.

¹⁶ Vgl. Harting, N. (2016), S. 149.

¹⁷ Vgl. Barwald, W. (2009), S. 279 ff.

¹⁸ Vgl. Dittert, K. (2017), S. 3 ff.

¹⁹ Vgl. Hansen, H. R. u. a. (2015), S. 39.

²⁰ Vgl. o.V. Bitkom e.V (2016), S. 5.