Schwär­zen von Daten

Lese­dau­er 3 Minu­ten

Das Schwär­zen von per­so­nen­be­zo­ge­nen Daten, auch als Daten­an­ony­mi­sie­rung oder ‑mas­kie­rung bezeich­net, ist ein zen­tra­ler Aspekt bei der Ein­hal­tung des Daten­schut­zes. Ins­be­son­de­re in einer Zeit, in der Unter­neh­men und Orga­ni­sa­tio­nen täg­lich mit sen­si­blen Infor­ma­tio­nen umge­hen, spielt die siche­re Ver­ar­bei­tung und Wei­ter­ga­be von Daten eine ent­schei­den­de Rol­le. Zu den typi­schen Anwen­dungs­fäl­len gehören:

• Anfra­gen zur Akten­ein­sicht durch Behör­den oder im recht­li­chen Kontext
• Rechts­strei­tig­kei­ten, bei denen Doku­men­te ein­zu­rei­chen sind
• Ver­öf­fent­li­chun­gen oder Berich­te, in denen per­so­nen­be­zo­ge­ne Daten zu ent­fer­nen sind

Das Schwär­zen stellt sicher, dass nur die wesent­li­chen Infor­ma­tio­nen ohne Rück­schluss auf bestimm­te Per­so­nen erhal­ten bleiben.

Arten des Schwärzens

Es gibt ver­schie­de­ne Metho­den, per­so­nen­be­zo­ge­ne Daten zu schwär­zen, abhän­gig von der Art der Doku­men­te und der sen­si­blen Informationen:

• Manu­el­les Schwär­zen: Phy­si­sches Schwär­zen, z.B. mit einem schwar­zen Mar­ker, wird oft bei Papier­do­ku­men­ten ange­wen­det. Dabei ist aller­dings dar­auf zu ach­ten, dass kei­ne les­ba­ren Res­te der Daten verbleiben.
• Digi­ta­les Schwär­zen: Die­se Metho­de ist bei elek­tro­ni­schen Doku­men­ten üblich. Text­ver­ar­bei­tungs- oder PDF-Pro­gram­me bie­ten Funk­tio­nen, um Daten zuver­läs­sig unkennt­lich zu machen. Hier muss die Schwär­zung jedoch per­ma­nent und irrever­si­bel sein, da sich ansons­ten Daten leicht wie­der­her­stel­len lassen.
• Auto­ma­ti­sier­te Tools: In vie­len Unter­neh­men kom­men Tools zur auto­ma­ti­sier­ten Schwär­zung zum Ein­satz. Die­se Soft­ware­lö­sun­gen erken­nen sen­si­ble Daten wie Namen, Adres­sen oder Geburts­da­ten und schwär­zen sie nach bestimm­ten Regeln.

Best Prac­ti­ces

Für eine daten­schutz­kon­for­me Schwär­zung ist es ent­schei­dend, dass die unkennt­lich gemach­ten Daten wirk­lich nicht mehr les­bar oder rekon­stru­ier­bar sind. Hier sind eini­ge Best Practices:

• Voll­stän­di­ge Unkennt­lich­ma­chung: Die geschwärz­ten Daten müs­sen voll­stän­dig ver­deckt sein. Bei digi­ta­len Doku­men­ten soll­te die Schwär­zung eine end­gül­ti­ge Bear­bei­tung dar­stel­len – also so, dass der ursprüng­li­che Text auch durch tech­ni­sches Aus­le­sen nicht mehr wie­der­her­stell­bar ist.
• Meta­da­ten berei­ni­gen: Häu­fig ent­hal­ten Doku­men­te zusätz­li­che Meta­da­ten, die eben­falls per­so­nen­be­zo­ge­ne Infor­ma­tio­nen ent­hal­ten kön­nen. Die­se soll­ten eben­falls ent­fernt oder ange­passt werden.
• Regel­mä­ßi­ge Über­prü­fung: Da sich Daten­schutz­an­for­de­run­gen und Schwär­zungs­tech­no­lo­gien wei­ter­ent­wi­ckeln, ist eine regel­mä­ßi­ge Über­prü­fung der ein­ge­setz­ten Tools und Ver­fah­ren emp­feh­lens­wert. Beson­ders auto­ma­ti­sche Lösun­gen soll­ten stets auf dem neu­es­ten Stand gehal­ten werden.

Her­aus­for­de­run­gen und Sicherheitsrisiken

Ins­be­son­de­re bei der digi­ta­len Schwär­zung bestehen Risi­ken, wenn die Unkennt­lich­ma­chung nicht kor­rekt aus­ge­führt wird. Bei­spie­le für tech­ni­sche Her­aus­for­de­run­gen und Risi­ken sind:

• PDF-Doku­men­te: Bei PDF-Datei­en kann die Schwär­zung pro­ble­ma­tisch sein, wenn ledig­lich eine visu­el­le Abde­ckung über den Text gelegt wird. In sol­chen Fäl­len kön­nen geschwärz­te Daten unter Umstän­den wie­der­her­ge­stellt werden.
• Bild­da­tei­en: Daten auf Bild­da­tei­en sind schwie­ri­ger zu bear­bei­ten, da sie Pixel statt Text ent­hal­ten. Hier kön­nen spe­zia­li­sier­te Bild­be­ar­bei­tungs­pro­gram­me ein­ge­setzt wer­den, um eine voll­stän­di­ge Unkennt­lich­ma­chung zu gewährleisten.

Zur Ver­mei­dung die­ser Pro­ble­me ist es sinn­voll, Schwär­zungs­tools zu nut­zen, die expli­zit für daten­schutz­kon­for­me Anony­mi­sie­rung ent­wi­ckelt wur­den und auf Schwach­stel­len hin geprüft sind.

Recht­li­che Anforderungen

Die DSGVO legt kei­ne spe­zi­fi­schen Metho­den zum Schwär­zen fest, for­dert jedoch, dass alle geeig­ne­ten tech­ni­schen und orga­ni­sa­to­ri­schen Maß­nah­men ergrif­fen wer­den, um per­so­nen­be­zo­ge­ne Daten zu schüt­zen (Art. 32 DSGVO). Unter­neh­men und Behör­den müs­sen daher sicher­stel­len, dass ihre Schwär­zungs­pro­zes­se den aktu­el­len Stan­dards ent­spre­chen und dass kei­ne unge­woll­ten Infor­ma­tio­nen preis­ge­ge­ben wer­den können.

Fazit

Das Schwär­zen von per­so­nen­be­zo­ge­nen Daten ist eine essen­zi­el­le Maß­nah­me im Rah­men des Daten­schut­zes und wird durch die DSGVO und wei­te­re daten­schutz­recht­li­che Anfor­de­run­gen gestützt. Ein daten­schutz­kon­for­mes Schwär­zen schützt sowohl die betrof­fe­nen Per­so­nen als auch die Unter­neh­men, die die Daten ver­ar­bei­ten. Daher soll­ten geeig­ne­te Ver­fah­ren und Tech­no­lo­gien ange­wen­det wer­den, um sicher­zu­stel­len, dass die Schwär­zung tat­säch­lich irrever­si­bel und sicher ist.

Also las­sen Sie sich gut beraten.