Datenschutzrechtliche Verantwortlichkeit in Blockchain-Systemen [1. Aufl.] 9783658320492, 9783658320508

Citation preview

Juridicum – Schriften zum Medien-, Informations- und Datenrecht

Carlo Peitz

Datenschutzrechtliche Verantwortlichkeit in Blockchain-Systemen

Juridicum – Schriften zum Medien-, Informations- und Datenrecht Reihe herausgegeben von Matthias Cornils, Mainz, Deutschland Louisa Specht-Riemenschneider, Bonn, Deutschland

In der Schriftenreihe erscheinen Forschungsbeiträge zum Kommunikations- und Medienrecht in seiner vollen Breite, vom Äußerungs-, Urheber- und Kunsturheberrecht über das Daten- und Informationsrecht bis zu Fragen öffentlich-rechtlicher Medien- oder Intermediärsregulierung, einschließlich ihrer theoretischen Hintergründe. Erfasst sind insbesondere innovative akademische Qualifikationsschriften, aber auch Abhandlungen und Sammelbände von herausragendem wissenschaftlichen Wert.

Weitere Bände in der Reihe http://www.springer.com/series/16165

Carlo Peitz

Datenschutzrechtliche Verantwortlichkeit in Blockchain-Systemen

Carlo Peitz Neuss, Deutschland Zugleich Dissertation, Juristische Fakultät der Universität Passau Erstgutachten: Prof. Dr. Louisa Specht-Riemenschneider Zweitgutachten: Prof. Dr. Peter Bräutigam Disputation am 21.02.2020

ISSN 2662-9488 ISSN 2662-9496 (electronic) Juridicum – Schriften zum Medien-, Informations- und Datenrecht ISBN 978-3-658-32049-2 ISBN 978-3-658-32050-8 (eBook) https://doi.org/10.1007/978-3-658-32050-8 Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über http://dnb.d-nb.de abrufbar. © Der/die Herausgeber bzw. der/die Autor(en), exklusiv lizenziert durch Springer Fachmedien Wiesbaden GmbH, ein Teil von Springer Nature 2020 Das Werk einschließlich aller seiner Teile ist urheberrechtlich geschützt. Jede Verwertung, die nicht ausdrücklich vom Urheberrechtsgesetz zugelassen ist, bedarf der vorherigen Zustimmung des Verlags. Das gilt insbesondere für Vervielfältigungen, Bearbeitungen, Übersetzungen, Mikroverfilmungen und die Einspeicherung und Verarbeitung in elektronischen Systemen. Die Wiedergabe von allgemein beschreibenden Bezeichnungen, Marken, Unternehmensnamen etc. in diesem Werk bedeutet nicht, dass diese frei durch jedermann benutzt werden dürfen. Die Berechtigung zur Benutzung unterliegt, auch ohne gesonderten Hinweis hierzu, den Regeln des Markenrechts. Die Rechte des jeweiligen Zeicheninhabers sind zu beachten. Der Verlag, die Autoren und die Herausgeber gehen davon aus, dass die Angaben und Informationen in diesem Werk zum Zeitpunkt der Veröffentlichung vollständig und korrekt sind. Weder der Verlag, noch die Autoren oder die Herausgeber übernehmen, ausdrücklich oder implizit, Gewähr für den Inhalt des Werkes, etwaige Fehler oder Äußerungen. Der Verlag bleibt im Hinblick auf geografische Zuordnungen und Gebietsbezeichnungen in veröffentlichten Karten und Institutionsadressen neutral. Planung/Lektorat: Marija Kojic Springer ist ein Imprint der eingetragenen Gesellschaft Springer Fachmedien Wiesbaden GmbH und ist ein Teil von Springer Nature. Die Anschrift der Gesellschaft ist: Abraham-Lincoln-Str. 46, 65189 Wiesbaden, Germany

A. Inhaltsverzeichnis A.

Inhaltsverzeichnis ................................................................................V

B.

Einleitung ............................................................................................ 1 I.

Bitcoins und das Potential der Blockchain-Technologie ..................... 1

II.

Blockchains im Spannungsfeld mit dem europäischen Datenschutz ... 4

III.

Problemaufriss................................................................................. 9

IV.

Arbeitshypothese ........................................................................... 11

V.

Weiteres Vorgehen ........................................................................ 13

C.

Funktionsweise einer Blockchain ....................................................... 15 I.

Einleitung ...................................................................................... 15

II.

Grundeigenschaft von Blockchains: Datenbank mit Registerfunktion .. ...................................................................................................... 17

III.

Prinzipielle Funktionsweise von Blockchains ................................... 18 1.

Technische Grundlage: Hash-Werte........................................... 18

2.

Von der Transaktion zum Block – Speicherung von

Transaktionsdaten.............................................................................. 20 a)

Einleitung ............................................................................. 20

b)

Transaktionen als Inhalt von Datenblöcken auf einer Blockchain ............................................................................................. 21 aa)

Prinzip einer Blockchain-Transaktion ................................ 21

bb)

Technische Grundlage: Transaktionsabwicklung........... 22

(1)

Öffentlicher Schlüssel .................................................. 23

VI

A. Inhaltsverzeichnis

(2)

Privater Schlüssel......................................................... 23

(3)

Schlüsselpaar als „kryptographische Identität“ ............. 25

cc)

Ablauf einer Transaktion: Übertragung digitaler Werte ..... 26

c)

Anwendungsfall: Implementierung von Smart Contracts ....... 27

d)

Dateninhalt eines Transaktions-Datensatzes ......................... 31

e)

Stetige Bildung neuer Datenblöcke ....................................... 33

f)

Zwischenbetrachtung ........................................................... 33

3.

Vom Block zur „Block-Kette“ – Verkettung der Blöcke in der

Blockchain zur dauerhaften Speicherung ............................................ 34 a)

Einleitung ............................................................................. 34

b)

Blockchains als authentifizierte Datenstruktur ...................... 34

c)

Lückenlose Chronologie durch Hash-Kette ............................ 37

d)

Zwischenbetrachtung ........................................................... 39

4.

Von der Blockchain zum „Distributed Ledger“ – Dezentraler

Konsensprozess als Innovation der Blockchain .................................... 41 a)

Einleitung ............................................................................. 41

b)

Blockchains als “Distributed Ledger”-Technologie ................. 42 aa)

Zentraler und dezentraler Ansatz bei Blockchain-Systemen .. ........................................................................................ 42

bb)

Begriffliche Abgrenzung ............................................... 44

c)

Technische Grundlage: Peer-to-Peer-Netzwerke ................... 45

d)

Einheitlicher Informationsstand im Distributed Ledger .......... 46 aa)

Verteilung neuer Informationen im Netzwerk................... 47

bb)

Herstellung eines Konsenses im Netzwerk ................... 48

(1)

Schritt 1: Erstellung eines neuen Blocks durch Knoten.. 49

(2)

Schritt 2: Dezentrale Einigung über Erweiterung des

Registers............................................................................... 50

A. Inhaltsverzeichnis

VII

(a)

Inhaltliche Verifizierung eines neuen Blocks und

„Abstimmung“ im Netzwerk ............................................. 51 (b)

e) 5.

Verifizierungsmechanismus..................................... 53 (aa)

Proof-of-Work-Verfahren .................................. 53

(bb)

Sonstige Verfahren............................................ 56

Zwischenbetrachtung ........................................................... 58 Vom Distributed Ledger zu Blockchain-Architekturkonzepten .... 60

a)

Überblick .............................................................................. 60

b)

Ebene des „Lesezugriffs“ – zwischen Transparenz und

Vertraulichkeit ............................................................................... 61

c)

aa)

Unbeschränkter Zugang bei offenen Systemen ................. 62

bb)

Eingeschränkter Zugang bei geschlossenen Systemen .. 62

cc)

Zwischenbetrachtung ....................................................... 64 Ebene des „Schreibzugriffs“ – zwischen Sicherheit und

Geschwindigkeit ............................................................................ 65 Unbeschränkter Schreibzugang ........................................ 66

bb)

Beschränkter Schreibzugang ........................................ 66

d)

Schematisierung der Blockchain-Architekturen ..................... 67

e)

Zwischenbetrachtung ........................................................... 69

6. D.

aa)

Ausblick .................................................................................... 70

Vereinbarkeit mit dem Datenschutzrecht .......................................... 72 I.

Personenbezug im Kontext einer Blockchain ................................... 72 1.

Blockchains im Spannungsfeld des Personenbezugs im Sinne der

DSGVO ............................................................................................... 72 a)

Problem der Perspektive einer Identifizierbarkeit – objektiver

oder relativer Personenbezug? ...................................................... 74

VIII

A. Inhaltsverzeichnis

b)

Vorgeschichte: Theorienstreit des Personenbezuges

hinsichtlich EU-Datenschutzrichtlinie ............................................. 75 aa) (1)

Meinungsspektrum .......................................................... 76 Objektiver Personenbezug: Zusatzwissen jegliches

Dritten.................................................................................. 76 (2)

Subjektiver Personenbezug: Kein Zusatzwissen Dritter . 77

(3)

Vermittelnde Ansichten: Berücksichtigung von

Zusatzwissen Dritter unter bestimmten Voraussetzungen ..... 78 bb) c)

Urteil des EuGH in der Rechtssache Breyer .................. 79

Zwischenbetrachtung: Konsequenzen für Blockchain-Systeme .. ............................................................................................. 82

2.

Begriff des Personenbezuges in der DSGVO ............................... 85 a)

Grammatikalische Auslegung ................................................ 86

b)

Systematische Auslegung ...................................................... 87 aa)

Rechtsaktübergreifende Systematik der DSGVO ............... 87

bb)

Innere Systematik der DSGVO ...................................... 89

c)

Historische Auslegung........................................................... 91

d)

Teleologische Auslegung ....................................................... 94 aa)

Erw.Gr. 2.......................................................................... 95

bb)

Erw.Gr. 26 ................................................................... 96

(1)

Vom Verantwortlichen oder einer anderen Person ...... 96

(2)

Nach allgemeinem Ermessen wahrscheinlich ............... 98

(3)

Alle objektiven Faktoren ............................................ 101

(4)

Verfügbare Technologie und technologische

Entwicklungen .................................................................... 102 cc)

Erw.Gr. 30 ...................................................................... 103

dd)

Erw.Gr. 57 ................................................................. 105

A. Inhaltsverzeichnis

IX

e)

Zwischenergebnis ............................................................... 106

f)

Stellungnahme ................................................................... 109

3.

Schlussfolgerungen für Personenbezug bei Blockchains ........... 115 a)

Problemstellung: Aufzeichnung von datenschutzrelevanten

Angaben auf Blockchains?............................................................ 116 aa)

Ausgangspunkt: Möglichkeit eines Personenbezuges bei

Blockchains durch „kryptographische Identitäten“ ................... 117 (1)

Kein Bezug auf identifizierte Person ........................... 118

(2)

Kein Bezug auf identifizierbare Person? ..................... 119

bb)

Zwischenfazit: Keine Anonymität von Blockchain-Daten –

Relevanz des Personenbezuges ............................................... 121 b)

c)

Negativabgrenzung – keine Indikatoren für Personenbezug 123 aa)

Kein Personenbezug wegen Kenntnis eigener Identität ... 123

bb)

Keine „Singularisierung“ statt „Identifizierung“ .......... 124

Fallgruppen eines naheliegenden Personenbezuges ............ 125 aa)

Identifizierung mittels des öffentlichen Schlüssels .......... 126

bb)

Identifizierung mittels Zusatzinformationen ............... 128

(1)

Öffentlich verfügbare Zusatzinformationen................ 128

(2)

Private Blockchain-Systeme ....................................... 130

(3)

Nutzung Blockchain-basierter Dienste........................ 131 (a)

Know-Your-Customer-Prinzipien ........................... 131

(b)

Novellierung der 4. Geldwäsche-Richtlinie............. 132

(c)

Verbindung einer Blockchain-Adresse mit

Zusatzangaben ............................................................... 134 (4)

Zusatzinformationen bei Transaktionen ..................... 135 (a)

Kaufvertragsszenarien........................................... 136

(b)

Verifikationsinstrument für Smart Contracts ......... 136

X

A. Inhaltsverzeichnis

(5)

Rechtlicher Zugriff auf Erkenntnismöglichkeiten Dritter ... ................................................................................. 137

d) II.

Zwischenbetrachtung ......................................................... 139

Die Unveränderlichkeit von Blockchains im Spannungsfeld

datenschutzrechtlicher Prinzipien .......................................................... 142 1.

Rechtmäßigkeit von Blockchain-Datenverarbeitungen ............. 143 a)

Das datenschutzrechtliche Verbotsprinzip........................... 144

b)

Rechtmäßige Datenverarbeitung in Blockchain-Systemen ... 148

2.

aa)

Rechtmäßigkeit aufgrund Einwilligung? .......................... 149

bb)

Gesetzliche Legitimationsgrundlage? ......................... 154

(1)

Rechtfertigung gem. Art. 6 Abs. 1 S. 1 lit. b) DSGVO ... 155

(2)

Rechtfertigung gem. Art. 6 Abs. 1 S. 1 lit. f) DSGVO .... 158

Gewährleistung von Betroffenenrechten ................................. 162 a)

Selbstdatenschutz durch Berichtigungs- und

Löschungsansprüche.................................................................... 163 b)

Dilemma zwischen „Nicht-Vergessen-Können“ und „Vergessen-

Müssen“ ...................................................................................... 165 3. III.

Zwischenbetrachtung .............................................................. 168 Welcher Blockchain-Akteur ist Verantwortlicher i.S.d. Art. 4 Nr. 7

DSGVO? ................................................................................................ 171 1.

Das datenschutzrechtliche Verantwortungskonzept der DSGVO .... ............................................................................................... 172 a)

Der Verantwortliche als Adressat datenschutzrechtlicher

Pflichten ...................................................................................... 173 b)

Untersuchung des Verantwortlichen-Begriffes und

unionsautonome Auslegung......................................................... 179

A. Inhaltsverzeichnis

XI

aa)

Grammatikalische Auslegung ......................................... 181

bb)

Systematische Auslegung........................................... 182

cc)

Historische Auslegung .................................................... 187

dd)

Teleologische Auslegung............................................ 189

ee)

Schlussfolgerungen hinsichtlich der für eine

datenschutzrechtliche Verantwortlichkeit erforderlichen „Entscheidungshöhe“ .............................................................. 193 c) 2.

Zwischenbetrachtung ......................................................... 201 Datenschutzrechtliche Verantwortlichkeit im Blockchain-System... ............................................................................................... 204

a)

Verantwortung bei Datenverarbeitung außerhalb von

Blockchain-Systemen ................................................................... 206 b)

Verantwortung bei Datenverarbeitung innerhalb von

Blockchain-Systemen ................................................................... 209 aa)

Verantwortlichkeit in offenen Systemen ......................... 209

(1)

Keine Verantwortlichkeit der Softwareentwickler ...... 209

(2)

Verantwortlichkeit von Einzelnutzern ........................ 211 (a)

Keine Verantwortlichkeit der betroffenen Person für

eigene Personendaten ................................................... 212 (b)

Verantwortlichkeit des Einzelnutzers als Initiator einer

Transaktion .................................................................... 213 (3) bb) 3. E.

Verantwortlichkeit der Knotenbetreiber .................... 219 Verantwortlichkeit in geschlossenen Systemen .......... 228

Zwischenbetrachtung .............................................................. 232

Lösungsansätze................................................................................ 240 I.

Ausgangsüberlegungen................................................................ 240

XII

A. Inhaltsverzeichnis

II.

Verpflichtende Schaffung von Schnittstellen? ............................... 244

III.

Anonymisierungspflicht in dezentralen bzw. nicht redigierbaren

Systemen .............................................................................................. 246 1.

Art. 25 Abs. 1 DSGVO als Anknüpfungspunkt für

Anonymisierungspflichten ................................................................ 248 a)

Regelungssituation ............................................................. 248

b)

Regelungsadressat .............................................................. 249

2.

Blockchains als hohes Risiko für Rechte und Freiheiten ............ 250

3.

Datenschutz durch (Anonymisierungs-)Technik ....................... 252 a)

Anonymisierungspflichten in der DSGVO............................. 253

b)

Anonymisierungspflicht für dezentrale bzw. nicht redigierbare

Systeme....................................................................................... 254 4.

5.

Erforderlichkeit von Anonymisierungsstandards ...................... 257 a)

Problemstellung ................................................................. 258

b)

Lösungsmöglichkeit: Schaffung bindender Standards .......... 259 Regelung zur kurzfristigen Speicherung zwecks Anonymisierung .... ............................................................................................... 260

6.

Regulatorische Vorschläge....................................................... 263

F.

Schlussbetrachtung.......................................................................... 265

G.

Literaturverzeichnis ......................................................................... 271

B. Einleitung I.

Bitcoins und das Potential der Blockchain-Technologie

Der Begriff „Blockchain“ ist im öffentlichen Bewusstsein vor allem verknüpft mit sog. „Kryptowährungen“ wie Bitcoin und Ether – Formen von digitalem Bargeld, bei denen die Ausgabe des Geldes nicht durch eine Zentralbank, sondern durch ein dezentrales Computernetzwerk kontrolliert wird. 1 Es handelt sich dabei um eine Art von digitaler und dezentraler Währung.2 Die besondere Eigenschaft dieses Konzeptes liegt darin, dass die Benutzer einander virtuelle Geldbeträge überweisen können, ohne dass eine Bank an dem Transaktionsprozess beteiligt ist. Die digitale Währung liegt allein in den Händen der teilnehmenden Nutzer.3 Eines Mittelsmannes oder Intermediärs bedarf es nicht.4 Vielmehr wird das erforderliche Vertrauen im Wesentlichen durch Kryptographie sichergestellt.5

Angesichts des großen Erfolges insbesondere von Bitcoin hat sich die Erkenntnis verfestigt, dass das wirtschaftliche und technologische Potential der dem Bitcoin-Protokoll zugrundeliegenden Blockchain-Technologie bei Weitem noch

1

Hierzu näher beispielsweise Walport, Distributed Ledger Technology: beyond block chain – A report by the UK Government Chief Scientific Adviser, S. 33; zum Begriff der digitalen Währung Sixt, Bitcoins und andere dezentrale Transaktionssysteme, 1. Aufl. 2017, S. 69 ff. 2 Simmchen, MMR, 2017, 162. 3 Schrey/Thalhofer, NJW, 2017, 1431. 4 Barth, Legal Tech in Deutschland - zwischen Buzz Word und Anwaltsschreck, in: Hartung/Bues/Halbleib (Hrsg.), Legal Tech, 1. Aufl., 2018, S. 49, 49. 5 Blocher, AnwBl, 2016, 612, 615.

© Der/die Herausgeber bzw. der/die Autor(en), exklusiv lizenziert durch Springer Fachmedien Wiesbaden GmbH, ein Teil von Springer Nature 2020 C. Peitz, Datenschutzrechtliche Verantwortlichkeit in Blockchain-Systemen, Juridicum – Schriften zum Medien-, Informations- und Datenrecht, https://doi.org/10.1007/978-3-658-32050-8_1

2

B. Einleitung

nicht ausgeschöpft ist.6 Tatsächlich bietet diese Technologie, die den technischen Unterbau für Bitcoins bildet, den Zugang zu weitaus komplexeren Anwendungsmöglichkeiten.7

Blockchains sind dezentrale digitale Transaktionsregister – sog. „Distributed Ledger“ –, die den Erfolg dieser Geschäftsideen erst technisch möglich machten und im Vergleich zu anderen digitalen Technologien mehrere Vorteile aufweisen: unter anderem sind sie nachträglich unveränderlich, erfordern kein Vertrauen in einen Mittelsmann und sind nach ihrer Grundidee für jedermann öffentlich einsehbar und transparent.8

Zwei Aspekte machen diese neue Technologie wirtschaftlich besonders interessant:9 einerseits die Möglichkeit, auf einen vertrauenswürdigen Mittelsmann („Gatekeeper“) zu verzichten, andererseits die Verknüpfung der Blockchain-Technologie mit sog. „Smart Contracts“, also Verträgen, die durch Software geprüft und ohne menschliches Eingreifen abgewickelt werden.10 Dies veranschaulicht ein denkbarer Anwendungsfall aus dem Bereich der Versiche-

6

Vgl. hierzu nur beispielhaft den Bericht des UK Government Chief Scientific Adviser für das britische Government Office of Science in: Walport, Distributed Ledger Technology: beyond block chain, 5 f.; s. auch Burgwinkel, Blockchaintechnologie und deren Funktionsweise verstehen, in: Burgwinkel (Hrsg.), Blockchain Technology, 1. Aufl., 2016, S. 1 f. und Simmchen, MMR, 2017, 162. 7 Bechtolf/Vogt, Blockchain und Datenschutz - Recht technologisch, in: Taeger (Hrsg.), Recht 4.0 Innovationen aus den rechtswissenschaftlichen Laboren, 2017, S. 873, 874; Quiel, DuD, 2018, 566, 567; Welzel/Eckert/Kirstein/Jacumeit, Mythos Blockchain, 2017, S. 18. 8 Böhme/Pesch, DuD, 2017, 473; Bechtolf/Vogt, ZD, 2018, 66, 67; ähnl. auch Barth, Legal Tech in Deutschland - zwischen Buzz Word und Anwaltsschreck, in: Hartung/Bues/Halbleib (Hrsg.), Legal Tech, 1. Aufl., 2018, S. 49, 49. 9 Swatosch/T. Hartung, ZfV, 2018, 377; Barth, Legal Tech in Deutschland - zwischen Buzz Word und Anwaltsschreck, in: Hartung/Bues/Halbleib (Hrsg.), Legal Tech, 1. Aufl., 2018, S. 49, 49. 10 Söbbing, ITRB, 2018, 43, 44.

I. Bitcoins und das Potential der Blockchain-Technologie

3

rungswirtschaft: das Fahrzeug eines Versicherungsnehmers sendet Telemetriedaten an eine Blockchain, welche eine Smart Contract-Software wiederum ausliest und anhand der Erkenntnisse über das Fahrverhalten automatisch die KfzVersicherungsprämie anpasst, ohne dass ein Mittelsmann eingreifen bzw. tätig werden müsste.11

Vor diesem Hintergrund verwundert es nicht, dass der Blockchain-Technologie das Potential zugeschrieben wird, sämtliche Arten von Transaktionen und Registerfunktionen zu revolutionieren.12 Zahlreiche Unternehmen im Bankenund Finanzsektor hat dies dazu bewogen, Einsatzpotentiale der BlockchainTechnologie zu eruieren,13 jedoch zeigt bereits das obige Anwendungsbeispiel, dass das Thema Blockchain auch für verschiedenste andere Branchen interessant ist. Beispielhaft sind neben den Bereichen des Finanzmarktes („FinTech“) und des Versicherungsgeschäfts („InsurTech“) auch der Industriebereich für die Verwendbarkeit im sog. „Internet der Dinge“ oder juristische Dienstleistungen („LegalTech“) zu nennen.14 Selbst für den öffentlichen Bereich wird die sinnvolle Eingliederung von Blockchain-Technologien im Rahmen von EGovernment untersucht.15 Die Bundesregierung plant die Erprobung von Blockchain-Technologie, um einen geeigneten Rechtsrahmen schaffen zu können,16

11

Swatosch/T. Hartung, ZfV, 2018, 377, 378 f. Guggenberger, ZD, 2017, 49, 50. 13 Vgl. hierzu die ausführliche Übersicht der Studie: Blockchain - Chance für Energieverbraucher?, abrufbar unter https://www.pwc.de/de/energiewirtschaft/blockchain-chance-fuer-energieverbraucher.pdf (Abruf am 27.10.2018). 14 Vgl. zu diesen Begriffen beispielsweise Zunker, AnwBl, 2017, 1096, 1096 f.; einen Eindruck von dem hohen Interesse unterschiedlichster Wirtschaftsbranchen vermittelt auch die Auflistung bei Glatz, Blockchain und Smart Contracts - Eine neue Basistechnologie im Recht?, in: Hartung/Bues/Halbleib (Hrsg.), Legal Tech, 1. Aufl., 2018, S. 287, 292 f. 15 Simmchen, MMR, 2017, 162, 163; Beispiele für Anwendungsfelder im öffentlichen Sektor bei Welzel/Eckert/Kirstein/Jacumeit, Mythos Blockchain, 2017, 18 ff. 16 Bundesregierung, Koalitionsvertrag für die 19. Legislaturperiode, v. 14.03.2018, Rn. 2016. 12

4

B. Einleitung

die EU-Kommission hat sogar eine eigene Blockchain-Forschungsgruppe („EUBlockchain-Beobachtungsstelle und -Forum“) ins Leben gerufen, um die neuen Herausforderungen dieser Technologie besser einzuschätzen17.

Das starke Interesse an der Blockchain-Technologie in fast allen Bereichen der Wirtschaft und im öffentlichen Sektor legt es nahe, sich auch aus rechtlicher Sicht mit dieser neuen Technologie zu befassen und mögliche Probleme bei der weiteren Erschließung dieses technischen Gebietes zu identifizieren und zu analysieren.

Blockchain ist eine sehr junge Technologie, die naturgemäß zahlreiche rechtliche Fragen und Probleme aufwirft.18 In der vorliegenden Bearbeitung wird aus datenschutzrechtlicher Perspektive vor allem auf einen der Aspekte eingegangen, welcher der Blockchain ihren Namen gibt und sie im Vergleich zu anderen Registern abhebt: die nahezu unabänderliche Verknüpfung von öffentlich einsehbaren und in einem Netzwerk verteilten Datenblöcken.

II. Blockchains im Spannungsfeld mit dem europäischen Datenschutz Eine der Haupteigenschaften einer Blockchain ist, dass Transaktionen von allen anderen Netzwerkteilnehmern jederzeit einsehbar sind und zurückverfolgt

17

Europäische Kommission, Pressemitteilung zur Gründung einer EU-Blockchain-Beobachtungsstelle und -Forum, v. 01.02.2018, S. 2. 18 Vgl. zu den vordringlichen rechtlichen Fragestellungen zum Beispiel Specht, NJW, 2017, 3567, 3568 m.w.N.

II. Blockchains im Spannungsfeld mit dem europäischen Datenschutz

5

werden können.19 Diese vollständige Transparenz berührt potentiell datenschutzrechtlich relevante Aspekte und hat deshalb Vorgaben des einschlägigen Datenschutzrechts zu berücksichtigen und umzusetzen.20

Indes befindet sich nicht nur die Technologie im Umbruch; auch das Datenschutzrecht hat gravierende Neuerungen erfahren, und zwar durch die Einführung der Datenschutz-Grundverordnung21 (im Folgenden kurz: DSGVO), welche gem. Art. 99 Abs. 2 DSGVO seit dem 25.05.2018 unmittelbar anwendbar ist22 und die EU-Datenschutzrichtlinie23 (im Folgenden kurz: DSRL) ablöst.

Durch die DSGVO erlebt das deutsche Datenschutzrecht erhebliche Umwälzungen, denn diese zielt als „Grund“-Verordnung24 auf eine Vollharmonisierung

19

Kaulartz, CR, 2016, 474; Böhme/Pesch, DuD, 2017, 473; Hoeren, NJW, 2017, 1587, 1592. Lange-Hausstein, ITRB, 2017, 93. 21 Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG, ABl. Nr. L 119 v. 04.05.2016, S. 1 ff. 22 In Kraft getreten ist die DSGVO bereits am 24.05.2016, vgl. hierzu z.B. Gola–Piltz, DatenschutzGrundverordnung, 2. Aufl., 2018, Art. 99 Rn. 4; Ehmann/Selmayr–Ehmann, DS-GVO, 2. Aufl., 2018, Art. 99 Rn. 3; Kühling/Buchner–Kühling/Raab, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 99 Rn. 1; Sydow–Sydow, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 99 Rn. 1. 23 Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr, ABl. Nr. L 281 v. 23.11.1995, S. 31 ff. 24 Diese Wendung existiert an sich im Europarecht weder als Begriff noch als Normenkategorie, s. Auernhammer–Lewinski, DSGVO/BDSG, 6. Aufl., 2018, Einl. DSGVO Rn. 23; näher zur Bedeutung des Begriffs auch Wolff/Brink–Wolff/Brink, Beck'scher Online-Kommentar Datenschutzrecht, 29. Edition, 2019 [Stand: 03.03.2017], Einl. zur DS-GVO Rn. 20; Kühling/Buchner–Kühling/Raab, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Einf. Rn. 98. 20

6

B. Einleitung

des Datenschutzrechts in der Europäischen Union.25 Aufgrund des Prinzips des Anwendungsvorrangs sind zahlreiche nationale Regelungen neben der DSGVO nicht mehr anwendbar.26

Die DSGVO dehnt den räumlichen Anwendungsbereich des europäischen Datenschutzrechts massiv aus.27 Zwar verbleibt es wie bereits zuvor in Art. 4 Abs. 1a DSRL auch gemäß Art. 3 Abs. 1 DSGVO weiterhin beim Niederlassungsprinzip, nach welchem die Datenschutz-Grundverordnung für jeden Verantwortlichen gilt, der im Rahmen der Tätigkeiten einer Niederlassung in der Union personenbezogene Daten verarbeitet; jedoch ist dieses Prinzip ausgeweitet worden, sodass die Regelung im Gegensatz zur DSRL nunmehr auch Auftragsverarbeiter umfasst, soweit sie im Rahmen einer Niederlassung in der Union tätig werden.28 Auch wenn ein für die Verarbeitung personenbezogener Daten Verantwortlicher zwar außerhalb der EU niedergelassen, aber aufgrund Völkerrechts dem Recht eines Mitgliedsstaates unterliegt, ist die DSGVO gem. Art. 3 Abs. 3 anwendbar.

25

Erw.Gr. 13 S. 1; Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 211; Gola–Gola, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 1 Rn. 24; Kühling/Buchner–Zerdick, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 1 Rn. 3; zweifelnd am Erfolg der Vollharmonisierung beispielsweise Sydow–Sydow, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Einl. Rn. 22 ff.; Wolff/Brink–Wolff/Brink, Beck'scher Online-Kommentar Datenschutzrecht, 31. Edition, 2020 [Stand: 01.11.2019], Einl. zur DSGVO Rn. 20 m.w.N. 26 Hofmann/Johannes, ZD, 2017, 221; Sydow–Sydow, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Einl. Rn. 36; Ehmann/Selmayr–Selmayr/Ehmann, DS-GVO, 2. Aufl., 2018, Einf. Rn. 3. 27 Wybitul, BB, 2016, 1077, 1078; ähnl. Ehmann/Selmayr–Zerdick, DS-GVO, 2. Aufl., 2018, Art. 3 Rn. 3; Kühling/Buchner–Klar, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 3 Rn. 1; Gola–Piltz, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 3 Rn. 1; Schantz/Wolff (Hrsg.), Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 321. 28 Sydow–Ennöckl, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 3 Rn. 4; Gola– Piltz, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 3 Rn. 9; Kühling/Buchner–Klar, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 3 Rn. 2; Ehmann/Selmayr–Zerdick, DS-GVO, 2. Aufl., 2018, Art. 3 Rn. 9;Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 328.

II. Blockchains im Spannungsfeld mit dem europäischen Datenschutz

7

Jedoch wird der Anwendungsbereich der DSGVO noch erweitert. Neben dem Niederlassungsprinzip führt die DSGVO in Art. 3 Abs. 2 das sog. Marktortprinzip ein, nach dem die Verordnung unter bestimmten Voraussetzungen auch für Verantwortliche oder Auftragsverarbeiter ohne Niederlassung in der EU Geltung beanspruchen kann.29 Die DSGVO ist nämlich auch anwendbar auf die Verarbeitung personenbezogener Daten, wenn der Verantwortliche oder Auftragsverarbeiter zwar über keine Niederlassung in der EU verfügt, aber betroffenen Personen in der EU seine Waren oder Dienstleistungen anbietet (Art. 3 Abs. 2 lit. a) DSGVO) oder das Verhalten von betroffenen Personen in der EU beobachtet (Art. 3 Abs. 2 lit. b) DSGVO).

Es ist zu erwarten, dass die DSGVO aufgrund dieses weiten Anwendungsbereiches auch in einem großen Maße Distributed Ledger-Technologien wie zum Beispiel Blockchain betrifft: Aufgrund des Niederlassungsprinzips fallen Betreiber privater Blockchains in der EU oder im Falle einer öffentlichen Blockchain möglicherweise jeder Knotenpunkt in der EU unter die DSGVO, soweit diese als Verarbeiter personenbezogener Daten anzusehen sind.30 Nach dem Marktortprinzip sind auch in vielen Fällen außerhalb der EU bei der Verarbeitung von Blockchain-Daten die Regeln der DSGVO zu beachten. Insbesondere in Konstellationen, in denen das Angebot von Blockchain Services – gerade bei Transaktionsleistungen, dem Hauptanwendungsbereich von Blockchains – betroffene Personen in der EU ansprechen soll, wird der Anwendungsbereich der DSGVO

29 Wybitul, BB, 2016, 1077, 1079; Auernhammer–Lewinski, DSGVO/BDSG, 6. Aufl., 2018, Art. 3 Rn. 11; Kühling/Buchner–Klar, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 3 Rn. 3; Gola–Piltz, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 3 Rn. 2; Sydow–Ennöckl, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 3 Rn. 1. 30 Berberich/Steiner, EDPL, 2016, 422, 423; ähnl. Finck, EDPL, 2018, 17, 27.

8

B. Einleitung

entsprechend eröffnet sein.31 Angesichts der weltweiten Verteilung von Netzwerken dürften Blockchain-Anwendungen daher regelmäßig einen grenzüberschreitenden Bezug haben.32

Angesichts dieses Befundes ist es nicht verwunderlich, dass die datenschutzrechtliche Situation der noch im Entwicklungsstadium befindlichen BlockchainTechnologien nicht unproblematisch ist. Ihre großen Vorteile – Transparenz, Dezentralität, Unveränderlichkeit –könnten sich für sie am Ende als ihr größter Nachteil und datenschutzrechtlich als erheblicher „Hemmschuh“33 erweisen. So ließe sich argumentieren, dass Blockchain-Technologien der Verwirklichung von datenschutzrechtlichen Prinzipien „deutlich im Weg stehen“ 34, weil sie aufgrund ihrer Unveränderlichkeit und Dezentralität die Verwirklichung von Betroffenenrechten wie Informations- (Art. 12 – 15 DSGVO), Berichtigungs- und Löschungsansprüchen

(Art. 16, 17 DSGVO)

sowie

Widerspruchsrechten

(Art. 21 DSGVO) vereiteln könnten. Andererseits könnte sich Blockchain-Technologie sogar gerade als „eine große Chance“ 35 für die Verwirklichung des Datenschutzes mit der DSGVO und ihrer Forderung nach „Datenschutz durch Technik“36 (Art. 25 DSGVO) herausstellen, liegt ihr als Kerngedanke doch zugrunde, durch Verschlüsselung sowie Nutzung von Anonymisierungs- und

31

Berberich/Steiner, EDPL, 2016, 422, 423. Böhme/Pesch, DuD, 2017, 473, 478; Finck, EDPL, 2018, 17, 27; Berberich/Steiner, EDPL, 2016, 422, 423. 33 Schrey/Thalhofer, NJW, 2017, 1431, 1433. 34 Lange-Hausstein, ITRB, 2017, 93. 35 Guggenberger, ZD, 2017, 49, 50. 36 Erwägungsgrund 78 S. 2. 32

II. Blockchains im Spannungsfeld mit dem europäischen Datenschutz

9

Pseudonymisierungstechniken möglichst wenige Daten über ihre Nutzer preiszugeben. Blockchain-Technologie bewegt sich im Spannungsfeld der regulatorischen Prinzipien der DSGVO.

Die Frage, inwiefern die DSGVO im Kontext von Blockchains anwendbar ist und welche Probleme sie aufwirft, ist nicht bloß theoretischer Natur und sollte auch in der Praxis keinesfalls unterschätzt werden. Schon angesichts des Umstandes, dass die DSGVO umfangreiche Pflichten auferlegt und eine Vielzahl an Verstößen sanktioniert ist, kann eine Nichtbeachtung der DSGVO zu ernsthaften Konsequenzen für datenschutzrechtlich Verpflichtete führen. Geldbußen können je nach Art des Verstoßes bis zu 20 Mio. € oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres betragen, Art. 83 Abs. 5 DSGVO, sodass Verstöße empfindliche Konsequenzen für potentielle Anwender haben können.

Dies ist Grund genug, sich mit dem Spannungsfeld zwischen der noch jungen Blockchain-Technologie und der DSGVO näher auseinanderzusetzen und zu untersuchen, inwieweit sich diese neue Technologie in das neue datenschutzrechtliche Spielfeld wird einfügen können.

III. Problemaufriss Am Beispiel der Blockchain-Technologie tritt die vermeintliche Widersprüchlichkeit zwischen Datenschutz und dezentral vernetzter Technologie besonders anschaulich zu Tage. Denn in der Regel werden auf Blockchains Daten verarbeitet, die sich technisch mit dem dahinterstehenden Nutzer verknüpfen lassen; so können beispielsweise Bitcoin-Transaktionen mit den IP-Adressen von Zahlungsauslöser bzw. -empfänger in Verbindung gebracht werden, was zeigt,

10

B. Einleitung

dass Blockchain-Daten nur vermeintlich anonym sind und ein relevanter, das Datenschutzrecht auslösender Personenbezug häufig nicht auszuschließen ist.37

Wer hat die Vorgaben der DSGVO in einem Blockchain-System einzuhalten, wenn Datenschutzrecht anwendbar ist? Wer muss insbesondere datenschutzrechtliche Betroffenenrechte wie Informations- oder Löschungsrechte erfüllen, oder kurz: wer ist in einem dezentralen System als datenschutzrechtlich Verantwortlicher anzusehen? Als eine Form der Distributed Ledger-Technologie sind Blockchains Datenbanken, die in einem Netzwerk dezentral verteilt sind.38 Zahlreiche Stellen kommen in einem solchen Netzwerk auf unterschiedliche Weise mit Datenverarbeitungsprozessen in Berührung, während die Abstimmung eines solchen Systems größtenteils über Algorithmen abläuft, auf die ein Einzelner keinen Einfluss hat. Die technischen Abläufe machen es aus Sicht von Regulierungsbehörden wie auch Betroffenen sehr schwer, einen Regelungsadressaten und/oder Anspruchsgegner auszumachen. Unklar ist auch, inwiefern Datenschutzrecht in solchen dezentralen Netzwerken durchgesetzt werden könnte. Lässt sich kein Verantwortlicher ausmachen, drohen Blockchain-Systeme, zu einem „datenschutzrechtliche[n] Niemandsland“39 zu werden. Aber auch wenn sich ein Verantwortlicher ausmachen lässt, besteht die Herausforderung, eine Verarbeitung von Blockchain-Daten rechtmäßig durchzuführen

37

Isler, Datenschutz auf der Blockchain, S. 3; ähnl. z.B. auch Finck, EDPL, 2018, 17, 26; Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1028; Quiel, DuD, 2018, 566, 568. 38 Böhme/Pesch, DuD, 2017, 473, Fn. 2; Finck, EDPL, 2018, 17; Sixt, Bitcoins und andere dezentrale Transaktionssysteme, 1. Aufl. 2017, S. 177. 39 Isler, Datenschutz auf der Blockchain, S. 13.

III. Problemaufriss

11

und insbesondere vor dem Hintergrund der Unveränderbarkeit einen angemessenen Ausgleich zwischen dem Interesse an der Entwicklung neuer Technologien und dem Schutz von Betroffenenrechten herzustellen.

Das Grundprinzip der Blockchain-Technologie, Daten praktisch unveränderbar und öffentlich einsehbar dezentral abzuspeichern, scheint gerade hier – jedenfalls prima facie – dem Datenschutz fundamental zu widersprechen. Frei einsehbare Blockchains scheinen die „Antipode des Datenschutzes“ 40 zu sein. Datenschutz durch ein solches System mag auf den ersten Blick sogar „grotesk“ 41 erscheinen.

IV. Arbeitshypothese Ist die Blockchain-Technologie eine „große Chance“42 für den Datenschutz, oder könnte sie nicht sogar im Gegenteil eine Gefahr43 für ihn bedeuten? Diese Frage soll in der folgenden Bearbeitung anhand spezifischer Problemstellungen näher beleuchtet werden. Die Relevanz der DSGVO für Blockchain-Technologien wird vor allem davon abhängen, inwiefern Daten auf einer Blockchain als personenbezogene Daten i.S.d. Art. 4 Nr. 1 DSGVO einzustufen sind, ob diese Daten rechtmäßig (Art. 5 Abs. 1 lit. a, Art. 6 DSGVO) und unter Wahrung der Betroffenenrechte (insbesondere der Berichtigungs- und Löschungsansprüche gem. Art. 16 und Art 17 DSGVO) verarbeitet werden können und schließlich, welche Blockchain-Akteure als Verantwortliche (Art. 4 Nr. 7, Art. 26 DSGVO)

40

Isler, Datenschutz auf der Blockchain, S. 2. Guggenberger, ZD, 2017, 49. 42 So z.B. Guggenberger, ZD, 2017, 49, 50; ebenso Bechtolf/Vogt, Blockchain und Datenschutz Recht technologisch, in: Taeger (Hrsg.), Recht 4.0 - Innovationen aus den rechtswissenschaftlichen Laboren, 2017, S. 873, 885. 43 In diese Richtung z.B. Berger, DVBl, 2017, 1271, 1273; ähnl. Pesch/Sillaber, CRi, 2017, 166, 171. 41

12

B. Einleitung

anzusehen sind.44 Vor diesem Hintergrund lohnt es sich, gerade hier mit der Untersuchung der Vereinbarkeit von technischem Prinzip und rechtlichen Rahmenbedingungen anzusetzen. In diesem Kontext stellen sich folgende Fragen, die im Folgenden der Reihe nach abgearbeitet werden sollen:

x

Kann eine Verarbeitung der Daten auf einer Blockchain einen Personenbezug aufweisen?

Bejahendenfalls: Welche Auswirkungen ergeben sich aus den Spezifika der Blockchain-Technologie?

Wer ist datenschutzrechtlich verantwortlich?

Mit diesen zentralen Problemen befassen sich die Überlegungen im Folgenden. Dabei sei folgende These aufgestellt: in der Blockchain sind eine Reihe von Verarbeitungsvorgängen datenschutzrechtlich relevant. Die technischen Prinzipien der Blockchain-Technologie machen die Einhaltung der Vorgaben der DSGVO allerdings nahezu unmöglich, denn zum einen bereitet deren faktische Unveränderlichkeit Schwierigkeiten bei Ansprüchen auf Berichtigung und Löschung von Daten, zum anderen ist in den dezentralen Netzwerken von Blockchains in der Regel nahezu jeder Teilnehmer datenschutzrechtlich gemeinsam Verantwortlicher, ohne aber über ausreichend Einflussmöglichkeiten zu verfü-

44

Ähnl. bereits Berberich/Steiner, EDPL, 2016, 422, 423 ff.; Bechtolf/Vogt, ZD, 2018, 66, 69 f.; Böhme/Pesch, DuD, 2017, 473, 478 ff.; Quiel, DuD, 2018, 566, 569 ff.; ausf. Finck, EDPL, 2018, 17, 22 ff.

IV. Arbeitshypothese

13

gen, um die daraus erwachsenden Pflichten zu erfüllen. Der Grundsatz des Datenschutzes durch Technik verlangt daher, dass dezentrale bzw. nicht nachträglich veränderbare Blockchains nur in anonymisierter Form betrieben werden dürfen. Um dies wirksam umzusetzen, bedarf es flankierender Regelungen in der DSGVO.

Im gegenwärtigen technischen Entwicklungsstadium sind wenige verallgemeinerungsfähige Aussagen über sämtliche Blockchain-Varianten möglich, weil unterschiedlichste technische Gestaltungsmöglichkeiten denkbar sind.45 Gleichzeitig ist die Blockchain-Technologie schnellen Entwicklungen unterworfen.46 Die vorliegende Dissertation will daher aufzeigen, zu welchen datenschutzrechtlichen Problemen es bei der Verwendung von Blockchain-Technologien kommen kann, um einerseits technische Handlungsmöglichkeiten aufzuzeigen, andererseits aber auch rechtliche Regulierungsmöglichkeiten zu entwickeln.

V. Weiteres Vorgehen Zunächst soll eine technisch-thematische Eingrenzung anhand der grundlegenden Prinzipien einer Blockchain erfolgen. Idealtypisch handelt es sich bei Blockchains um Datenbanktypen mit der Datenstruktur einer sog. Hash-verketteten Liste mit Arbeitsnachweis47. Die Registerfunktion ist die zentrale und allen Blockchain-Technologien gemeinsame Grundeigenschaft (hierzu Kapitel C.II), die durch verschiedene technische Komponenten unterstützt oder ergänzt

45 Simmchen, MMR, 2017, 162, 163; Gervais, digma, 2017, 128; Quiel, DuD, 2018, 566, 567; Bechtolf/Vogt, ZD, 2018, 66, 67. 46 Guggenberger, ZD, 2017, 49, 50; Finck, EDPL, 2018, 17, 18. 47 Böhme/Pesch, DuD, 2017, 473, 475.

14

B. Einleitung

wird.48 Erst durch diese technischen Komponenten ergeben sich konkrete rechtliche Probleme mit Blockchains. Dabei ist hervorzuheben, dass insbesondere die Verbindung der permanenten Speicherung von Daten mit der dauerhaften öffentlichen Einsehbarkeit des Netzwerkes (hierzu Kapitel C.III) große datenschutzrechtliche Probleme mit sich bringen kann, welche sodann unter Kapitel D näher untersucht werden sollen. In Kapitel E werden die identifizierten Probleme diskutiert und Lösungsansätze entworfen.

48

Jacobs/Lange-Hausstein, ITRB, 2017, 10; Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1026.

C. I.

Funktionsweise einer Blockchain Einleitung

Bei der Untersuchung einer neuen Technologie unter juristischen Gesichtspunkten ist es erforderlich, sich zunächst mit den technischen Merkmalen und Eigenschaften auseinanderzusetzen, welche diese Technologie ausmachen. Da die Blockchain-Technologie mittlerweile vermehrt Gegenstand juristischer Untersuchungen ist, gibt es bereits zahlreiche Beschreibungen der technischen Merkmale.49 Als Grundlage der technischen Beschreibung der Blockchain-Technologie dient oft das Modell der Bitcoin-Blockchain. In diesem Zusammenhang ist es allerdings wichtig, zu verstehen, dass es nicht „die eine“ Blockchain gibt. 50 Obgleich Bitcoin gleichsam „die Wiege der Blockchain“51 ist, sind digitale Währungen und insbesondere Bitcoin keinesfalls der einzige Anwendungsbereich für die Blockchain-Technologie. Es existieren zahlreiche verschiedene Blockchain-Modelle, welche jeweils auf verschiedene Art und Weise die grundsätzlichen Vorteile der Blockchain-Technologie nutzbar machen sollen. Tatsächlich gibt es viele verschiedene Gestaltungsmöglichkeiten und Varianten, etwa im Hinblick auf Speicherort, ScriptingFähigkeiten, Zugangskontrolle und Anwendungsmöglichkeiten.52 Insoweit

49

Z.B. bei Böhme/Pesch, DuD, 2017, 473 ff.; Kaulartz, CR, 2016, 474 ff.; Martini/Weinzierl, NVwZ, 2017, 1251 ff.; Schrey/Thalhofer, NJW, 2017, 1431 ff.; Isler, Datenschutz auf der Blockchain; Simmchen, MMR, 2017, 162 ff. 50 Simmchen, MMR, 2017, 162, 163; Guggenberger, ZD, 2017, 49, 50. 51 Isler, Datenschutz auf der Blockchain, S. 4. 52 Für eine beispielhafte Darstellung der Varianten s. etwa Ploom, Blockchains - wichtige Fragen aus IT-Sicht, in: Burgwinkel (Hrsg.), Blockchain Technology, 1. Aufl., 2016, S. 123, 123.

© Der/die Herausgeber bzw. der/die Autor(en), exklusiv lizenziert durch Springer Fachmedien Wiesbaden GmbH, ein Teil von Springer Nature 2020 C. Peitz, Datenschutzrechtliche Verantwortlichkeit in Blockchain-Systemen, Juridicum – Schriften zum Medien-, Informations- und Datenrecht, https://doi.org/10.1007/978-3-658-32050-8_2

16

C. Funktionsweise einer Blockchain

scheint es sich bei dem technischen Konzept der Blockchain-Technologie zunächst um ein im Einzelnen „komplexes und vielschichtiges informatisches Konstrukt“ zu handeln.53

Der Begriff „Blockchain“ wird in verschiedenen Kontexten verwendet.54 Blockchain-Technologie ist dabei für sich genommen nicht neu, sondern lediglich eine Kombination bereits bestehender Konzepte.55 Daher überrascht es nicht, dass keine einheitliche – insbesondere in der rechtswissenschaftlichen Literatur anerkannte und einheitliche – Definition des Begriffes „Blockchain“ existiert.56 Technologie und Anwendungsszenarien sind zudem einem raschen Fortschritt unterworfen.57 Dies erschwert eine Annäherung an das Thema aus rechtlicher Sicht.

Daraus ergibt sich, dass für eine juristische Annäherung an die BlockchainTechnologie zunächst einer Auseinandersetzung mit einigen technischen Grundlagen und einer technischen Eingrenzung und Systematisierung bedarf. Dies ist vor allem auch deshalb geboten, weil Einzelheiten in den technischen Abläufen gerade im Hinblick auf Datenschutzaspekte große Unterschiede bedingen können.

53

Simmchen, MMR, 2017, 162. Vgl. Burgwinkel, Blockchaintechnologie und deren Funktionsweise verstehen, in: Burgwinkel (Hrsg.), Blockchain Technology, 1. Aufl., 2016, S. 1, 4. 55 Blocher, AnwBl, 2016, 612, 615; Simmchen, MMR, 2017, 162; Böhme/Pesch, DuD, 2017, 473 f. 56 Finck, EDPL, 2018, 17, 18; in den gerichtlichen Verfahrensvorschriften des US-Bundesstaates Vermont findet sich die Legaldefinition „[…] "blockchain technology" means a mathematically secured, chronological, and decentralized consensus ledger or database, whether maintained via Internet interaction, peer-to-peer network, or otherwise.”, vgl. Vermont Statutes Annotated, T.12, § 1913 (a). 57 Lange-Hausstein, ITRB, 2017, 93. 54

II. Grundeigenschaft von Blockchains: Datenbank mit Registerfunktion

17

II. Grundeigenschaft von Blockchains: Datenbank mit Registerfunktion Prinzipiell stellt eine Blockchain eine Datenbank58 dar, die Soft- und Hardware in bestimmter Weise kombiniert.59 Für die weitere Betrachtung der BlockchainTechnologie ist wichtig, dass die zentrale Grundfunktion der Blockchain-Architektur schlicht darin besteht, Daten dauerhaft und unabänderbar zu speichern.60 Bei allen technischen Anwendungsvarianten ist allen Blockchains letztlich jedenfalls eine Grundfunktion gemein: es handelt sich um Datenbanken mit Registerfunktion.61

Das Besondere an diesem Datenbank-Typ ist vor allem, dass dort Einträge nur hinzugefügt, im Nachhinein aber nicht mehr gelöscht oder verändert werden können („append-only“62) und dass in die Datenbanken neu hinzugefügte Einträge über einen Konsensmechanismus für gültig erklärt werden. 63 Sind Daten auf einer solchen Blockchain-Datenbank erst einmal gespeichert, können sie nicht mehr gelöscht oder überschrieben werden.64 Alle Änderungen von Daten oder sonstigen Ereignissen werden chronologisch archiviert.65

Blockchains ermöglichen es dadurch, in verteilten Dateisystemen ohne zentrale Kontrollstelle die Integrität zu erhalten.66 Im Grunde kann durch eine

58 Im Grunde also eine „bestimmte Art und Weise, Daten sicher zu speichern“, s. Schrey/Thalhofer, NJW, 2017, 1431. 59 Jacobs/Lange-Hausstein, ITRB, 2017, 10 f. 60 Vgl. Schrey/Thalhofer, NJW, 2017, 1431; Quiel, DuD, 2018, 566, 567. 61 Finck, EDPL, 2018, 17, 18; Jacobs/Lange-Hausstein, ITRB, 2017, 10. 62 „Nur-Hinzufüge-Datenspeicher“, s. Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 158; Finck, EDPL, 2018, 17. 63 Böhme/Pesch, DuD, 2017, 473; Quiel, DuD, 2018, 566, 567. 64 Jacobs/Lange-Hausstein, ITRB, 2017, 10; Bechtolf/Vogt, ZD, 2018, 66, 69. 65 Hoeren, NJW, 2017, 1587, 1592. 66 Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 230.

18

C. Funktionsweise einer Blockchain

Blockchain deshalb – ähnlich dem Grundbuch oder dem Handelsregister –manipulationssicher nachgewiesen werden, dass ein bestimmter Datenstand zu einem bestimmten Zeitpunkt in der Vergangenheit vorgelegen hat.

III. Prinzipielle Funktionsweise von Blockchains 1.

Technische Grundlage: Hash-Werte

Zum Verständnis der Funktionsweise einer Blockchain ist es wichtig, sich zunächst die zugrundeliegende Funktionsweise von Hash-Kryptographie vor Augen zu führen:

Ein Hash-Wert ist grob gesprochen eine Art Prüfsumme, die rechnerisch durch eine sog. „Hash-Funktion“ ermittelt wird und mit der man überprüfen kann, ob zwei Datensätze übereinstimmen. Man kann das Prinzip in Etwa mit dem Errechnen einer Quersumme vergleichen.67

Mit einer Hash-Funktion kann man Zeichenfolgen beliebiger Länge in einer bestimmten eindeutigen Zahl ausdrücken, welche stets dieselbe Länge hat.68 Es kann also jeder beliebige Datensatz (z.B. eine Einzeltransaktion oder auch ein kompletter Datenblock) mit Hilfe einer solchen Hash-Funktion in eine Zahlenfolge umgewandelt werden.69

67

Kaulartz, CR, 2016, 474, 475. Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 89; Narayanan/Bonneau/Felten/Miller/Goldfeder, Bitcoin and cryptocurrency technologies, 1. Aufl., 2016, S. 2; Mazonka, Blockchain: Simple Explanation, S. 1. 69 Mazonka, Blockchain: Simple Explanation, S. 1. 68

III. Prinzipielle Funktionsweise von Blockchains

19

Selbst wenn nur ein Zeichen der Zeichenfolge verändert wird, ändert sich auch der Hash-Wert, sodass Zeichenfolgen durch Vergleich ihrer Hash-Werte schnell miteinander abgeglichen werden können.70 So lässt sich schnell und ohne großen Aufwand überprüfen, ob verschiedene Datensätze denselben Inhalt haben. Denn haben zwei Datensätze unterschiedliche Hash-Werte, so sind sie zwingend auch inhaltlich unterschiedlich.71

Umgekehrt kann es theoretisch allerdings sein, dass zwei unterschiedliche Datensätze denselben Hash-Wert haben – da kryptographische Hash-Funktionen nur eine bestimmte Länge zulassen, sind auch die theoretischen Möglichkeiten der Hash-Werte letztlich begrenzt.72 Soweit es allerdings praktisch nicht oder nicht effizient möglich ist, zwei unterschiedliche Zeichenfolgen mit demselben Hash-Wert zu finden, handelt es sich um eine sog. „kollisionsresistente“ und damit kryptographische Funktion.73 Diese kommen bei Blockchains zur Anwendung.

Da die Verwendung von Verschlüsselung im Rahmen des Datenschutzrechts und insbesondere der DSGVO74 relevant ist und Kryptographie durchaus eine Möglichkeit der Verschlüsselung darstellen kann75, bedarf es an dieser Stelle der Klarstellung, dass die Verwendung des Begriffes „kryptographisch“ hier

70

Kaulartz, CR, 2016, 474, 475. Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 100. 72 Kaulartz, CR, 2016, 474, 475. 73 Drescher, Blockchain Grundlagen, 1. Aufl., 2017, 90 f.; Narayanan/Bonneau/Felten/Miller/Goldfeder, Bitcoin and cryptocurrency technologies, 1. Aufl., 2016, S. 2; Mazonka, Blockchain: Simple Explanation, S. 1. 74 Der Begriff der Verschlüsselung taucht beispielsweise in der Regelung des Art. 32 Abs. 1 a) DSGVO als Maßnahme des technischen Datenschutzes auf. 75 Sydow–Mantz, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 32 Rn. 11. 71

20

C. Funktionsweise einer Blockchain

nicht bedeutet, dass ein Hash-Wert den Personenbezug zwingend vollständig ausschließt.76 Selbst eine Verschlüsselung hebt nicht die Eigenschaft eines personenbezogenen Datums als solchem auf, ist Verschlüsselung doch ausweislich Art. 32 Abs. 1 lit. a) Alt. 2 DSGVO nur eine unter mehreren technischen Maßnahmen zu Herstellung eines technischen Schutzes von personenbezogenen Daten.77

2.

Von der Transaktion zum Block – Speicherung von Transaktionsda-

ten a) Einleitung Datenblöcke stellen die Basisbestandteile des Blockchain-Protokolls dar.78 In solche Datenblöcke können je nach Art der konkreten Blockchain-Anwendung Datensätze beliebigen Inhalts aufgenommen werden79, insbesondere Transaktionsdaten80.

Ein Anwendungsgebiet für Blockchain besteht überall dort, wo die lückenlose Nachvollziehbarkeit der Herkunft und Inhaberschaft eines Handelsgutes besonders relevant ist, insbesondere bei allen geschäftlichen Prozessen, in denen

76 Zur Hash-Verschlüsselung und Blockchain-Technologie vgl. Paal/Pauly–Martini, DatenschutzGrundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 32 Rn. 34. 77 S. hierzu: Berberich/Steiner, EDPL, 2016, 422, 423; allgemein zum Begriff der Verschlüsselung auch: Gola–Piltz, Datenschutz-Grundverordnung, 1. Aufl., 2017, Art. 32 Rn. 26 f. 78 Ploom, Blockchains - wichtige Fragen aus IT-Sicht, in: Burgwinkel (Hrsg.), Blockchain Technology, 1. Aufl., 2016, S. 123, 126. 79 Weiterführend zu den unterschiedlichen Einsatzfeldern von Blockchain-Anwendungen vgl. z.B. Burgwinkel, Blockchaintechnologie und deren Funktionsweise verstehen, in: Burgwinkel (Hrsg.), Blockchain Technology, 1. Aufl., 2016, S. 1, 13 ff. 80 Drescher, Blockchain Grundlagen, 1. Aufl., 2017, 129 ff.; Schrey/Thalhofer, NJW, 2017, 1431; Kütük/Sorge, MMR, 2014, 643.

III. Prinzipielle Funktionsweise von Blockchains

21

momentan noch ein vertrauenswürdiger Intermediär für die Richtigkeit von Transaktionen einstehen muss.81

b) Transaktionen als Inhalt von Datenblöcken auf einer Blockchain Eine Blockchain zeichnet sich dadurch aus, dass darauf unter anderem Vermögenswerte – z.B. digitale Währungen, Kunstwerke, Grundstücke etc. – digital abgebildet und übertragen werden können.82 Die digitalen Werte werden auf einer Blockchain durch Datensätze in Form von Transaktionsketten dargestellt.83 Bestimmte Zuordnungsvorschriften legen fest, wie die auf der Blockchain abgebildeten Werte übertragen werden können.84

aa)

Prinzip einer Blockchain-Transaktion

Wie bereits ausgeführt, werden Werte auf einer Blockchain in Form von Transaktionsketten dargestellt, das heißt, es wird nicht ein Wert selbst, sondern seine Weitergabe in der Blockchain registriert.85 Die Inhaberschaft an einem digitalen Wert wird auf der Blockchain in der Regel nicht durch Bestandsdaten, sondern durch Transaktionsdaten ausgedrückt und belegt.86 Die Transaktionen

81

Specht, NJW, 2017, 3567, 3568. Hüther/Danzmann, BB, 2017, 834, 838. 83 Nakamoto, Bitcoin: A Peer-to-Peer Electronic Cash System, S. 2; Mazonka, Blockchain: Simple Explanation, S. 3; Kaulartz, CR, 2016, 474, 475 f. 84 Böhme/Pesch, DuD, 2017, 473, 476. 85 Vgl. Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 86; so sind insbesondere auch Bitcoins keine Münzen, sondern eine Kette digital signierter Transaktionen, s. Nakamoto, Bitcoin: A Peerto-Peer Electronic Cash System, S. 2. 86 Gola–Sebastian Schulz, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 6 Rn. 35; Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 85. 82

22

C. Funktionsweise einer Blockchain

sind über Hash-Werte miteinander verbunden87, sodass der digitale Wert eigentlich durch eine Art „Hash-Kette“ repräsentiert wird.88 Transaktionen auf einer Blockchain repräsentieren also den Wechsel der Inhaberschaft eines bestimmten Gutes.89

bb)

Technische Grundlage: Transaktionsabwicklung

Wie die Verkettung der Blöcke einer Blockchain, geschieht auch die Abwicklung von Transaktionen durch Anwendung bestimmter kryptographischer Verfahren, nämlich durch asymmetrische Verschlüsselung.90 Asymmetrische Verschlüsselung kann für zwei Szenarien eingesetzt werden, und zwar einerseits für die Verschlüsselung von Nachrichten, andererseits – für die Durchführung von Transaktionen relevant – für die Erstellung digitaler Signaturen.91

Diese Art der Verschlüsselung verwendet ein Schlüsselpaar (einen öffentlichen und einen privaten Schlüssel) und nennt sich „Public-Key-Kryptographie“.92 Das Prinzip funktioniert folgendermaßen:

87

Nakamoto, Bitcoin: A Peer-to-Peer Electronic Cash System, S. 2. Mazonka, Blockchain: Simple Explanation, S. 1. 89 Mazonka, Blockchain: Simple Explanation, S. 3. 90 Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 117; Pesch/Böhme, DuD, 2017, 93, 94; der Name rührt daher, dass bei der asymmetrischen Verschlüsselung im Gegensatz zur symmetrischen Verschlüsselung nicht lediglich ein einziger Schlüssel zur Anwendung, sondern ein Schlüsselpaar, bestehend aus einem öffentlichen und einem privaten Schlüssel, s. Kaulartz, CR, 2016, 474, 475. 91 Mazonka, Blockchain: Simple Explanation, S. 2; hierzu näher Drescher, Blockchain Grundlagen, 1. Aufl., 2017, 116 f. 92 Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 116; Mazonka, Blockchain: Simple Explanation, S. 2. 88

III. Prinzipielle Funktionsweise von Blockchains

(1)

23

Öffentlicher Schlüssel

Wie schon der Name suggeriert, ist der öffentliche Schlüssel, der sog. „public key“, entweder durch Mitteilung gegenüber dem Transaktionspartner oder durch Veröffentlichung im Internet, öffentlich bekannt und dient dem Verschlüsseln von Zeichenfolgen.93

Die Zuordnung der Transaktionen zu einem Nutzer geschieht über Anwenderkonten.94 Jeder Nutzer eines Blockchain-Systems verfügt über ein oder mehrere Profile bzw. Konten, die mit dem jeweiligen öffentlichen Schlüssel verknüpft sind.95 Der öffentliche Schlüssel kann insofern mit einer Art Kontonummer verglichen werden und ist die „Blockchain-Adresse“96 eines Nutzers.97 Die Zahl der Schlüsselpaare ist dabei in der Regel beliebig.98 Im Fall von Bitcoin können Nutzer beliebig viele Bitcoin-Adressen ähnlich wie Bankkonten verwenden.99

(2)

Privater Schlüssel

Der private Schlüssel, der sog. „private key“, ist hingegen geheim und nur seinem Inhaber bekannt.100 Nur der zum öffentlichen Schlüssel zugehörige private

93

Kaulartz, CR, 2016, 474, 475; Mazonka, Blockchain: Simple Explanation, S. 1. Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 117. 95 Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 117. 96 Hofert, ZD, 2017, 161, 163. 97 Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 117; Laschewski, WPg, 2017, 359, 360; streng genommen ist die Blockchain-Adresse allerdings nicht der öffentliche Schlüssel selbst, sondern ein Hash-Wert davon, vgl. Kaulartz, CR, 2016, 474, 475, Fn. 17; Narayanan/Bonneau/Felten/Miller/Goldfeder, Bitcoin and cryptocurrency technologies, 1. Aufl., 2016, S. 19. 98 Laschewski, WPg, 2017, 359, 360; Narayanan/Bonneau/Felten/Miller/Goldfeder, Bitcoin and cryptocurrency technologies, 1. Aufl., 2016, S. 19. 99 Kütük/Sorge, MMR, 2014, 643. 100 Kaulartz, CR, 2016, 474, 475; Mazonka, Blockchain: Simple Explanation, S. 1. 94

24

C. Funktionsweise einer Blockchain

Schlüssel erlaubt Überweisungen.101 Mit ihm kann der Inhaber Zeichenfolgen signieren und auch entschlüsseln.102 Ist eine Zeichenfolge mit einem öffentlichen Schlüssel verschlüsselt worden, kann diese später nur noch mit dem entsprechenden privaten Schlüssel wieder entschlüsselt werden. 103 Die Verschlüsselung funktioniert damit nur in eine Richtung wie eine Einbahnstraße.104

Anhand des zum privaten Schlüssel gehörigen öffentlichen Schlüssels kann verifiziert werden, ob die Signatur einer Transaktion Nachricht tatsächlich von dem Inhaber des privaten Schlüssels angelegt worden ist.105 Der private Schlüssel ist insofern vergleichbar mit einer Unterschrift, welche zu einer Transaktion berechtigt.106

Bei einer Transaktion bestätigt die in den Transaktionsdaten enthaltene Signatur, dass der Absender berechtigt war, die Transaktion durchzuführen, weil nur er selbst den privaten Schlüssel kennt und die Transaktion signieren kann. Die Verwendung eines privaten Schlüssels hat daher die Funktion, Verfügungen durch Unbefugte zu verhindern.107

101

Sorge/Krohn-Grimberghe, DuD, 2012, 479, 480. Kaulartz, CR, 2016, 474, 475. 103 Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 115; Kaulartz, CR, 2016, 474, 475. 104 Mazonka, Blockchain: Simple Explanation, 1 f. 105 Kaulartz, CR, 2016, 474, 476; näher zu technischen Einzelheiten der Überprüfung Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 123. 106 Laschewski, WPg, 2017, 359, 360. 107 Kütük/Sorge, MMR, 2014, 643. 102

III. Prinzipielle Funktionsweise von Blockchains

(3)

25

Schlüsselpaar als „kryptographische Identität“

Wie bereits oben dargestellt, ermöglichen die öffentlichen Schlüssel die Zuordnung der zu übertragenden digitalen Werte auf deren Inhaber und fungieren als Blockchain-Adressen.108

Freilich ist die Übertragung von Werteinheiten nicht personengebunden. 109 Die Weitergabe einer Werteinheit ist allerdings an den Nachweis der Kenntnis des zum öffentlichen Schlüssels gehörenden privaten Schlüssels gebunden. Damit hat letztlich der Inhaber des privaten Schlüssels die Verfügungsgewalt über die Werteinheit, das heißt, ein auf der Blockchain abgebildeter Wert „gehört“ im Ergebnis demjenigen, dem der zum öffentlichen Schlüssel zugehörige private Schlüssel bekannt ist.110

Durch die Kombination aus öffentlichem Schlüssel und privatem Schlüssel wird damit gleichsam eine „kryptographische Identität“ repräsentiert.111. Im Regelfall dürfte das der Erzeuger des Schlüsselpaars sein.112 Die Verbindung einer Realperson mit ihrer kryptographischen Identität ergibt sich in der Regel nicht

108

S. auch Ploom, Blockchains - wichtige Fragen aus IT-Sicht, in: Burgwinkel (Hrsg.), Blockchain Technology, 1. Aufl., 2016, S. 123, 127. 109 Gervais, digma, 2017, 128, 129. 110 Böhme/Pesch, DuD, 2017, 473, 476; Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 118. 111 Böhme/Pesch, DuD, 2017, 473, 476; Narayanan/Bonneau/Felten/Miller/Goldfeder, Bitcoin and cryptocurrency technologies, 1. Aufl., 2016, S. 139 („pseudo-identity“). 112 Böhme/Pesch, DuD, 2017, 473, 476; i.E. auch Narayanan/Bonneau/Felten/Miller/Goldfeder, Bitcoin and cryptocurrency technologies, 1. Aufl., 2016, S. 19.

26

C. Funktionsweise einer Blockchain

unmittelbar aus ihrem Schlüssel.113 Wie noch zu zeigen sein wird, bestehen allerdings Wege, einen Bezug zwischen kryptographischer Identität und wahrer Identität herzustellen.

cc)

Ablauf einer Transaktion: Übertragung digitaler Werte

Soll ein digitaler Wert übertragen werden, so geschieht dies, indem der Berechtigte die zu übertragende Transaktion mit dem öffentlichen Schlüssel bzw. der Blockchain-Adresse des Adressaten versieht, den Hash-Wert dieses Datensatzes mit seinem privaten Schlüssel signiert und schließlich an die Transaktionskette anfügt.114 Der Empfänger kann die Signaturen anhand der öffentlichen Schlüssel überprüfen und so sicherstellen, dass das digitale Gut von seinem wahren Inhaber übertragen worden ist.115 Aufgrund des Hashwertes kann eine bestimmte Transaktion eindeutig der ihr vorhergehenden Transaktion zugeordnet werden.116

113

Gervais, digma, 2017, 128, 129; eine Direktverbindung ist allerdings auch nicht ausgeschlossen, weil auch Klarnamen in den öffentlichen Schlüssel eingebunden werden können und z.T. auch werden, vgl. Pesch/Sillaber, CRi, 2017, 166, 168 Fn. 24 mit entsprechendem Beispiel. 114 Nakamoto, Bitcoin: A Peer-to-Peer Electronic Cash System, S. 2; Kaulartz, CR, 2016, 474, 476. 115 Nakamoto, Bitcoin: A Peer-to-Peer Electronic Cash System, S. 2. 116 Kaulartz, CR, 2016, 474, 476.

III. Prinzipielle Funktionsweise von Blockchains

27

Abbildung 1: Transaktionen werden in der Transaktionskette weitergegeben, indem der aktuelle Inhaber einer Transaktion die Transaktionskette mit dem Öffentlichen Schlüssel des Adressaten versieht und den Hash-Wert der vorigen Transaktion und dem Öffentlichen Schlüssel des Adressaten mit seinem eigenen Privaten Schlüssel signiert; Abbildung aus: Nakamoto, Bitcoin: A Peer-to-Peer Electronic Cash System, S. 2.

c)

Anwendungsfall: Implementierung von Smart Contracts

Ein besonderer Vorzug von Blockchain-Technologie ist ihre Kombinierbarkeit mit sog. „Smart Contracts“.117 Auf diesen besonderen Anwendungsfall der Blockchain-Technologie soll näher eingegangen werden, weil dieser als eine der wichtigsten technischen Weiterentwicklungen der Blockchain in den letzten Jahren gilt118, welche die Verarbeitung umfangreicher, über bloße Transaktionsdaten hinausgehende Datenmengen ermöglicht und in dieser Hinsicht datenschutzrechtlich besonders relevant sein kann.

117 118

Swatosch/T. Hartung, ZfV, 2018, 377; Söbbing, ITRB, 2018, 43, 44. Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 250.

28

C. Funktionsweise einer Blockchain

Neben der Ausführung von Zahlungsvorgängen mit Kryptowährungen wie zum Beispiel Bitcoin ermöglichen Blockchains technisch auch komplexere Arten von Transaktionen mit Programmcode.119 Zusammen mit der Möglichkeit der sicheren Durchführung von Transaktionen macht das Blockchains besonders interessant für Anwendungen im Kontext von Smart Contracts, denn diese sollen gerade den automatisierten Austausch von Leistungen und Gütern ermöglichen und dienen damit ebenfalls der Transaktionsabwicklung.120

Smart Contracts werden auch als „intelligente Verträge“ bezeichnet121, sie sind für sich genommen in der Regel jedoch keine Verträge im rechtlichen Sinne, sondern nur Programmcode122. Eine eindeutige Definition des Begriffes Smart Contracts ist indes schwierig und bislang auch noch nicht in zufriedenstellender Weise gelungen.123

Der Begriff kann zunächst negativ abgegrenzt werden. Er bezeichnet jedenfalls nicht Computeranwendungen, etwa in der anwaltlichen Beratungspraxis, welche automatisch mit Vertragsinhalten umgehen und anhand von Eingabemasken Vertragsinhalte in einer bestimmten Weise formulieren bzw. Verträge automatisch auslesen können.124

119

Gervais, digma, 2017, 128, 129; Söbbing, ITRB, 2018, 43, 44; Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 249. 120 Hüther/Danzmann, BB, 2017, 834; Jacobs/Lange-Hausstein, ITRB, 2017, 10, 12 f.; Schrey/Thalhofer, NJW, 2017, 1431. 121 Kaulartz, CR, 2016, 474. 122 Blocher, AnwBl, 2016, 612, 618; Schrey/Thalhofer, NJW, 2017, 1431; M. Müller, ZfIR, 2017, 600, 609; i.E. auch Kaulartz/J. Heckmann, CR, 2016, 618, 619 sowie Heckelmann, NJW, 2018, 504, 505; wohl auch Söbbing, ITRB, 2018, 43, 44 f. 123 Söbbing, ITRB, 2018, 43; M. Müller, ZfIR, 2017, 600, 609; ähnlich Kaulartz/J. Heckmann, CR, 2016, 618. 124 Lange-Hausstein verwendet in diesem Zusammenhang den Begriff des „Smarten Contracts“, vgl. Lange-Hausstein, ITRB, 2017, 93, 94.

III. Prinzipielle Funktionsweise von Blockchains

29

Die Grundidee von Smart Contracts ist vielmehr, dass der Eintritt bestimmter zuvor vereinbarter bzw. vorgegebener rechtlicher Bedingungen – etwa die Erbringung einer Leistung und einer Gegenleistung – nach einem „Wenn-DannSchema“ automatisch überprüft und bestimmte daran geknüpfte Rechtsfolgen automatisiert durchgesetzt werden.125 Insofern kann man eine anschauliche Parallele zu einem Warenautomaten ziehen, bei dem der Leistungsaustausch sich über die Mechanik des Automaten vollzieht.126

Das Konzept von Smart Contracts hat freilich keinen ausschließlichen Bezug zur Blockchain-Technologie.127 Smart Contracts setzen nicht zwingend das Bestehen einer Blockchain voraus.128 Jedoch wird ein großes technisches Anwendungspotential gerade bei der Blockchain-Technologie gesehen, weil eine unabhängige und vertrauenswürdige Instanz gebraucht wird, die den Smart Contract ausführen kann.129

So wäre etwa denkbar, dass eine Software bei einem Mietvertrag überprüft, ob die Miete pünktlich gezahlt worden ist und den Zugang zur Wohnung mittels Chipkarte verweigert, wenn dies nicht geschehen ist,130 eine Kfz-Versicherungs-

125

Kaulartz/J. Heckmann, CR, 2016, 618; Lange-Hausstein, ITRB, 2017, 93, 94; ähnlich Blocher, AnwBl, 2016, 612, 618 sowie Klein, Blockchains als Verifikationsinstrument für Transaktionen im IoT, in: Taeger (Hrsg.), Internet der Dinge, 2015, S. 429, 434; i.E. auch Söbbing, ITRB, 2018, 43, 44. 126 Schrey/Thalhofer, NJW, 2017, 1431; Glatz, Blockchain und Smart Contracts - Eine neue Basistechnologie im Recht?, in: Hartung/Bues/Halbleib (Hrsg.), Legal Tech, 1. Aufl., 2018, S. 287, 287 f. 127 Jacobs/Lange-Hausstein, ITRB, 2017, 10, 13. 128 Lingert/Weiler, ZAP, 2018, 557, 561. 129 Heckelmann, NJW, 2018, 504, 505; Kaulartz/J. Heckmann, CR, 2016, 618, 619; Schrey/Thalhofer, NJW, 2017, 1431. 130 Beispiel bei Schrey/Thalhofer, NJW, 2017, 1431.

30

C. Funktionsweise einer Blockchain

prämie ohne menschliches Zutun an das Fahrverhalten des Versicherungsnehmers angepasst wird131, ein „intelligenter Kühlschrank“ automatisch neue Milch für den Nutzer einkauft132 oder eine Website bei rechtzeitiger Zahlung zu einem bestimmten Zeitpunkt automatisch verkauft wird133.

Die mit der Anwendung von Smart Contracts verbundenen rechtlichen Problem- und Fragestellungen sollen in der folgenden Bearbeitung jedoch nicht vertieft im Mittelpunkt stehen, weil es sich nicht um originär Blockchain-bezogene Technologie handelt.134 Für die vorliegende datenschutzrechtliche Bearbeitung sind Smart Contracts vor allem deshalb interessant, weil in vielen Geschäftsmodellen gerade das Potential der Blockchain zur Ausführung solcher Smart Contracts ausgenutzt werden soll.

und diese einen Input von externen Datenquellen erfordern, die über reine Transaktionsdaten weit hinausgehen, sodass größere Datenmengen für die Identifizierbarkeit einer bestimmten Person zur Verfügung stehen. Denn Smart Contracts ermöglichen nicht nur die Überprüfung der Identität bzw. das Pseudonym eines Vertragspartners.135 Geschäftsmodell-Konzepte für Smart

131

Swatosch/T. Hartung, ZfV, 2018, 377, 378 f. Heckelmann, NJW, 2018, 504; Lingert/Weiler, ZAP, 2018, 557, 562. 133 M. Müller, ZfIR, 2017, 600, 609. 134 Dies soll indes nicht den Blick dafür verstellen, dass abgesehen von der bislang noch im Anfangsstadium stehenden technischen Seite auch für Smart Contracts noch viele interessante Fragen auf rechtlicher Seite ungeklärt sind. Um die Problematik zu veranschaulichen, seien hier nur beispielhaft Fragen im Zusammenhang mit dem zustande gekommenen Schuldverhältnis, vor allem der Mangelhaftung und des Schadensersatzrechts bei Pflichtverletzungen sowie Fragen der Anwendung und Einbeziehung allgemeiner Geschäftsbedingungen zu nennen, vgl. hierzu z.B. die Ausführungen bei Söbbing, ITRB, 2018, 43, 44 ff., Heckelmann, NJW, 2018, 504, 505 ff. und Scholtka/Martin, RdE, 2017, 113, 116 ff. 135 Klein, Blockchains als Verifikationsinstrument für Transaktionen im IoT, in: Taeger (Hrsg.), Internet der Dinge, 2015, S. 429, 435. 132

III. Prinzipielle Funktionsweise von Blockchains

31

Contracts bedingen häufig nicht nur die Abfrage reiner Transaktionsdaten, sondern von Daten aus der Realwelt mittels sog. „Oracles“ als Schnittstellen zwischen Blockchain und Lebenswirklichkeit, beispielsweise in Form der Überwachung eines Türschlosses mit intelligenten Schlössern136 oder einer permanenten Auslesung von Telemetrie-Daten des Fahrzeugs eines Versicherungsnehmers zu Beschleunigung, Drehzahl, Kraftstoffverbrauch etc.137.

Auf der Blockchain gespeicherte Smart-Contract-Daten können in dieser Hinsicht nähere Details zu den Vertragsparteien offenbaren, welche die potentiellen Möglichkeiten erweitern einen datenschutzrechtlich relevanten Personenbezug herzustellen.138

d) Dateninhalt eines Transaktions-Datensatzes Wie bereits eingangs des Kapitels erwähnt, sind Datenblöcke die Basisbestandteile einer Blockchain. Jede Transaktion ist eigentlich eine Transaktionskette und beinhaltet Daten über die vorangegangene Transaktion, sowie den Absender und den Empfänger.139 Die Transaktion ist ein Datensatz, in welchem neben der zu übertragenden Wertmenge grundsätzlich zumindest

1.) der Hashwert der vorhergehenden Transaktion an den Absender, 2.) der öffentliche Schlüssel des neuen Adressaten, 3.) der öffentliche Schlüssel des Absenders und 4.) die Signatur des Absenders

136

M. Müller, ZfIR, 2017, 600, 610 f. Swatosch/T. Hartung, ZfV, 2018, 377, 378 f. 138 Vgl. Pesch/Sillaber, CRi, 2017, 166, 168. 139 Jacobs/Lange-Hausstein, ITRB, 2017, 10, 11. 137

32

C. Funktionsweise einer Blockchain

enthalten sind.140 Wenn weitere Bedingungen für die Durchführung der Transaktion (beispielsweise zu Voraussetzungen bei der Berechtigung zur Weitergabe) festgelegt werden sollen – dies ist besonders relevant für Smart Contracts –, sind im Block noch zusätzliche Skript-Informationen gespeichert.141

Theoretisch können sogar Transaktions-irrelevante Daten wie illegale Bilder und Texte in die Blockchain-Blöcke eingebettet und die permanente Speicherfähigkeit von Blockchains missbraucht werden.142 Schon hier lässt sich also festhalten, dass durchaus ein legitimes Interesse daran bestehen kann, Daten aus der Blockchain-Historie zu entfernen.

Wie noch näher auszuführen sein wird, sendet ein Teilnehmer eines Blockchain-Systems, der über einen dort digital abgebildeten Vermögenswert verfügen will, anstatt eine Transaktion über einen Mittelsmann durchzuführen, seinen Transaktionsdatensatz in ein Netzwerk, wo die Transaktionsdaten sodann in Datenblöcken gesammelt werden. Das bedeutet aber gleichzeitig auch, dass auf einer Blockchain unter anderem die öffentlichen Schlüssel der Transaktionsteilnehmer – und damit Hinweise zu deren kryptographischen Identitäten – für alle Netzwerkteilnehmer potentiell einsehbar abgespeichert sind.143

140

Sorge/Krohn-Grimberghe, DuD, 2012, 479, 480; Kaulartz, CR, 2016, 474, 476; vgl. auch Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 88. 141 Kaulartz, CR, 2016, 474, 476. 142 Goger, MMR, 2016, 431 auch m.w.N. unter Fn. 4; dies ist auch bei Bitcoin als sog. „Null Data transaction“ möglich, s. Tschorsch/Scheuermann, Bitcoin and Beyond: A Technical Survey on Decentralized Digital Currencies, S. 19. 143 Gervais, digma, 2017, 128, 129; konkret für das Beispiel der Bitcoin-Blockchain Pesch/Böhme, DuD, 2017, 93, 94.

III. Prinzipielle Funktionsweise von Blockchains

33

e) Stetige Bildung neuer Datenblöcke Die Bildung eines wie oben144 beschriebenen Datenblocks geschieht in bestimmten zeitlichen Abständen.145 Auf einer Blockchain werden im Prinzip – ähnlich einem digitalen Kontenbuch – die in einem bestimmten Zeitraum erfolgten Transaktionen jeweils in Datenblöcken zusammengefasst und aufgezeichnet.146

f)

Zwischenbetrachtung

Im vorliegenden Abschnitt wurde gezeigt, dass Datenblöcke der Grundbestandteil – gleichsam das „Herz“147 – von Blockchains sind. Sie enthalten sämtliche Transaktionen, die in einem bestimmten Zeitraum erfolgt sind und geben diesen Transaktionen einen Zeitstempel, damit die chronologische Reihenfolge der Transaktionen festgelegt ist und kein Nutzer eine Transaktion doppelt durchführen kann.148

Aus datenschutzrechtlicher Sicht ist in diesem Zusammenhang vor allem die Erkenntnis wichtig, dass bei den gespeicherten Transaktionen auch Informationen zu den öffentlichen Schlüsseln der an einer Transaktion beteiligten Nutzern, also einer Verbindung zur kryptographischen Identität dieser Blockchain-

144

Abschnitt C.III.2.b). Kaulartz, CR, 2016, 474, 476; bei der Bitcoin-Blockchain wird ca. alle 10 Minuten ein neuer Block generiert, vgl. Ploom, Blockchains - wichtige Fragen aus IT-Sicht, in: Burgwinkel (Hrsg.), Blockchain Technology, 1. Aufl., 2016, S. 123, 126. 146 Ploom, Blockchains - wichtige Fragen aus IT-Sicht, in: Burgwinkel (Hrsg.), Blockchain Technology, 1. Aufl., 2016, S. 123, 126; Jacobs/Lange-Hausstein, ITRB, 2017, 10, 11. 147 Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 86. 148 Nakamoto, Bitcoin: A Peer-to-Peer Electronic Cash System, S. 2. 145

34

C. Funktionsweise einer Blockchain

Nutzer, abgelegt sind, damit die Transaktionen eindeutig dem jeweiligen Inhaber zugeordnet werden können.

3.

Vom Block zur „Block-Kette“ – Verkettung der Blöcke in der Block-

chain zur dauerhaften Speicherung a) Einleitung Im Kern besteht die Aufgabe der Blockchain-Datenstruktur darin, sämtliche Transaktionen im Blockchain-Netzwerk in chronologischer Abfolge zu speichern und auf diese Weise den aktuellen Stand der Zuordnung der Transaktionen zu den jeweiligen Nutzern abzusichern.149 Das geschieht über eine Verkettung der Datenblöcke, in denen die Transaktionsdaten eines bestimmten Zeitraums zusammengefasst sind.

b) Blockchains als authentifizierte Datenstruktur Ihre besondere Fälschungssicherheit und Dauerhaftigkeit erlangen Blockchains vor allem wegen der Struktur ihrer Datenspeicherung150:

Blockchain-Datenbanken sind sog. „authentifizierte Datenstrukturen“, welche sich aus der Datenstruktur der „verketteten Liste“ ableiten.151 Verkettet sind

149

Ähnl. Drescher, Blockchain Grundlagen, 1. Aufl., 2017, 129 f. Dabei soll nicht unerwähnt bleiben, dass Blockchains nicht die einzige informationstechnische Datenstruktur sind, mit denen Daten chronologisch und sicher abgespeichert werden können, vgl. Böhme/Pesch, DuD, 2017, 473, Fn. 3; nicht alle Distributed Ledgers speichern die Daten in Blöcken ab, Finck, EDPL, 2018, 17, 18; eine Alternative ist beispielsweise das sog. „Directed-acyclic-graphModell“, s. Keding, WM, 2018, 64, 66. 151 Narayanan/Bonneau/Felten/Miller/Goldfeder, Bitcoin and cryptocurrency technologies, 1. Aufl., 2016, S. 11; Gervais, digma, 2017, 128; Böhme/Pesch, DuD, 2017, 473, 474. 150

III. Prinzipielle Funktionsweise von Blockchains

35

solche Listen dadurch, dass jedes Listenelement einen Zeiger mit Informationen zum vorhergehenden Listenelement enthält, sodass eine sequentielle Datenstruktur entsteht, in der neue Elemente ohne Änderung von bestehenden Elementen angehängt und nur mit geringem Aufwand angefügt, aber nicht geändert werden können.152 Diese Art der Datenstrukturierung ist besonders sinnvoll, wenn neue Daten – wie im Falle von Transaktionsdaten im BlockchainNetzwerk – nach und nach in die Datenstruktur eingebunden werden.153

Bei Blockchains sind die Listenelemente in der Regel die Datenblöcke, in denen die Transaktionsdaten aus dem Netzwerk abgespeichert sind.154 Hier ist das Prinzip der verketteten Liste in der Weise weiterentwickelt, dass die Blöcke jeweils den Wert einer Prüfsumme – des Hash-Wertes – der vorhergehenden Blöcke als Zeiger verwenden (sog. „Hash-verkettete Liste“).155

Die Blöcke sind dadurch miteinander verbunden, dass der Hash-Wert der Datensätze aus dem vorherigen in den Hash-Wert des nächsten Blockes einbezogen wird.156 Das geschieht über den sog. „Block-Header“, einem Informationsbereich eines Blockes, in welchem der Hash-Wert des vorhergehenden Blockes

152

Böhme/Pesch, DuD, 2017, 473, 474; s. auch Narayanan/Bonneau/Felten/Miller/Goldfeder, Bitcoin and cryptocurrency technologies, 1. Aufl., 2016, S. 11 f. 153 Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 104. 154 Nakamoto, Bitcoin: A Peer-to-Peer Electronic Cash System, S. 2; Mazonka, Blockchain: Simple Explanation, S. 2. 155 Böhme/Pesch, DuD, 2017, 473, 474; zur Funktionsweise der Hash-verketteten Liste vgl. auch Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 104. 156 Ploom, Blockchains - wichtige Fragen aus IT-Sicht, in: Burgwinkel (Hrsg.), Blockchain Technology, 1. Aufl., 2016, S. 123, 126; Narayanan/Bonneau/Felten/Miller/Goldfeder, Bitcoin and cryptocurrency technologies, 1. Aufl., 2016, S. 11.

36

C. Funktionsweise einer Blockchain

und des aktuellen Blockes miteinander kombiniert werden.157 So sind die einzelnen Blöcke wie die (Daten-)Glieder einer Kette miteinander verbunden.158 Es entsteht also (insoweit ähnlich der Kette der abgespeicherten Transaktionen, s.o.159) eine Art „Hash-Kette“ aller Datenblöcke160, daher auch der Name „Blockchain“161.

Die zeitliche Reihenfolge ist dadurch abgesichert, dass die aus den Transaktionsdaten zusammengesetzten Datenblöcke mit einem Zeitstempel versehen sind.162 Da regelmäßig neue Blöcke angehängt werden, handelt es sich um ein stetig wachsendes Register.

157

Bechtolf/Vogt, ZD, 2018, 66, 67; Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 156. Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 104. 159 Vgl. Mazonka, Blockchain: Simple Explanation, S. 1. 160 Begriff bei Mazonka, Blockchain: Simple Explanation, S. 2; s. auch Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 139. 161 Gervais, digma, 2017, 128. 162 Burgwinkel, Blockchaintechnologie und deren Funktionsweise verstehen, in: Burgwinkel (Hrsg.), Blockchain Technology, 1. Aufl., 2016, S. 1, 5. 158

III. Prinzipielle Funktionsweise von Blockchains

37

Abbildung 2: Die Verkettung der Listenelemente (Blöcke) durch Hash-Werte; Abbildung aus: Böhme/Pesch, DuD 2017, 473, 474.

c)

Lückenlose Chronologie durch Hash-Kette

Wie soeben dargestellt, sind alle Blöcke einer Blockchain über Hash-Werte miteinander verbunden.163 Entsprechend dem Prinzip der verketteten Liste (s.o.) geschieht dies, indem ein Datenblock neben den Datensätzen – wie beispielsweise Transaktionsdaten – eine Referenz auf den Hash-Wert, das heißt die Prüfsumme, des vorangegangenen Blockes enthält.164 Dadurch lässt sich eine

163

Ploom, Blockchains - wichtige Fragen aus IT-Sicht, in: Burgwinkel (Hrsg.), Blockchain Technology, 1. Aufl., 2016, S. 123, 126; Jacobs/Lange-Hausstein, ITRB, 2017, 10, 11. 164 Böhme/Pesch, DuD, 2017, 473, 474; Nakamoto, Bitcoin: A Peer-to-Peer Electronic Cash System, S. 2.

38

C. Funktionsweise einer Blockchain

Historie von Transaktionen oder sonstigen Zuordnungen lückenlos nachvollziehen.165

Werden in der Blockchain Daten auch nur in einem einzigen Block verändert, stimmen die Hash-Werte der daran anknüpfenden Blöcke nicht mehr mit dem Hash-Wert dieses Blockes überein.166 Die Referenz aus dem nachfolgenden Block wäre nunmehr falsch167 und die Kette wäre quasi „gerissen“168.

Um dies zu korrigieren, müssten die Hash-Werte des nächsten, dann wiederum des nächsten und somit aller folgenden Blöcke ebenfalls angepasst, das heißt mit der entsprechenden Rechenleistung, neu berechnet werden.169 Das Verändern eines Blockes würde somit Berechnungsaufwand und damit verbundene Kosten verursachen.170

So entsteht eine lückenlose Chronologie aller bis zum aktuellen Zeitpunkt durchgeführten Transaktionen, die – ähnlich einem öffentlichen Register wie einem Grundbuch oder einem Handelsregister – das Vertrauen eines Erwerbers darin stützt, dass der Veräußernde über das jeweilige Gut verfügen darf.171

165

Jacobs/Lange-Hausstein, ITRB, 2017, 10, 11. Mazonka, Blockchain: Simple Explanation, S. 1. 167 Vgl. hierzu eingehend Drescher, Blockchain Grundlagen, 1. Aufl., 2017, 144 ff. 168 Kaulartz, CR, 2016, 474, 476. 169 Mazonka, Blockchain: Simple Explanation, S. 1; Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 147. 170 Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 109. 171 Jacobs/Lange-Hausstein, ITRB, 2017, 10, 11. 166

III. Prinzipielle Funktionsweise von Blockchains

39

Abbildung 3: Verkettung der Blöcke über den Hash-Wert des vorherigen Blocks (hier mit Bitcoin-Transaktionen); Abbildung aus: Welzel u.a., Mythos Blockchain - Herausforderung für den öffentlichen Sektor, S. 13.

d) Zwischenbetrachtung Im vorliegenden Abschnitt wurde gezeigt, dass Blockchains eine besondere Datenstruktur verwenden, bei welcher die im letzten Abschnitt vorgestellten Blöcke mit Transaktionsdaten in chronologischer Reihenfolge miteinander verkettet werden. Auf diese Weise wird die Integrität der dort abgespeicherten Daten gewährleistet.172

Die Verkettung der Blöcke sowie der darin befindlichen Transaktions-Datensätze funktioniert im Wesentlichen mit sog. „hash-basierter Kryptographie“, das

172

Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 36.

40

C. Funktionsweise einer Blockchain

heißt, zur Verbindung der verarbeiteten Daten werden sog. „Hash-Werte“ gebildet.173 Bildlich lässt sich dieses Verhältnis beschreiben als „innere“ Hash-Ketten (die jeweiligen Transaktionsketten), die jeweils gebündelt in einer „äußeren“ Hash-Kette (der Blockchain) enthalten sind.174

Durch diese Datenstruktur entsteht eine lückenlose Chronologie aller Transaktionsdaten, die den aktuellen Stand der Zuordnung der Transaktion zu den jeweiligen Nutzern wiedergibt.

Aus datenschutzrechtlicher Sicht ist in diesem Zusammenhang wichtig, dass Einträge in der Blockchain praktisch nur dadurch abgeändert werden können, indem man die abzuändernden sowie sämtliche darauf aufbauenden Blöcke einer Blockchain unter Aufbringung von Rechenleistung neu berechnet.175 Löschen kann man einmal erzeugte Einträge allerdings nicht mehr.176 Dies ist durchaus nicht unproblematisch, weil durchaus legitime Interessen an der Änderung einer Blockchain-Historie bestehen können. So können in die Blockchain eingebettete illegale Inhalte (s.o.) nicht ohne Weiteres entfernt werden.

173

Vgl. Sorge/Krohn-Grimberghe, DuD, 2012, 479. Mazonka, Blockchain: Simple Explanation, S. 3; ähnl. Narayanan/Bonneau/Felten/Miller/Goldfeder, Bitcoin and cryptocurrency technologies, 1. Aufl., 2016, S. 35. 175 Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 154; Nakamoto, Bitcoin: A Peer-to-Peer Electronic Cash System, S. 3. 176 So lassen sich selbst nachträglich als ungültig anerkannte Blöcke physisch nicht mehr aus der Blockchain entfernen, sondern lediglich als ungültig markieren, vgl. Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 176 Fn. 2. 174

III. Prinzipielle Funktionsweise von Blockchains

41

Aber auch sonstige – möglicherweise aus datenschutzrechtlicher Sicht gebotene – nachträgliche Modifizierungen der Daten wären also mit viel Aufwand verbunden.177

4.

Von der Blockchain zum „Distributed Ledger“ – Dezentraler Konsen-

sprozess als Innovation der Blockchain a) Einleitung Weiter oben178 war bereits die Rede davon, dass die Blockchain-Datenstruktur in der Lage ist, Transaktionsdaten in chronologischer Reihenfolge sicher abzuspeichern. Dies ist die Grundvoraussetzung dafür, um ein großes Problem bei Transaktionen digitaler Güter zu begegnen, das bis zur Beschreibung der theoretischen Grundlagen des Bitcoin unter dem Pseudonym Satoshi Nakamoto179 nicht gelöst werden konnte:180

Da ein Schlüsselinhaber beliebig oft Transaktionen signieren kann, hätte er theoretisch die Möglichkeit, über denselben Gegenstand mehrmals zu verfügen.181 Der Empfänger einer Transaktion kann also nicht vollkommen sicher sein, dass

177

Transaktionen im Bitcoin-System werden nach sechs Blöcken aufgrund der für eine Änderung theoretisch notwendigen Rechenleistung sogar als „endgültig“ betrachtet, vgl. Böhme/Pesch, DuD, 2017, 473, 475; Heckelmann, NJW, 2018, 504, 506. 178 Abschnitt C.III.3.c). 179 Nakamoto, Bitcoin: A Peer-to-Peer Electronic Cash System, 1 ff. 180 Blocher, AnwBl, 2016, 612, 615. 181 Ausführlich zum Problem digital kopierbarer Güter Glatz, Blockchain und Smart Contracts - Eine neue Basistechnologie im Recht?, in: Hartung/Bues/Halbleib (Hrsg.), Legal Tech, 1. Aufl., 2018, S. 287, 289.

42

C. Funktionsweise einer Blockchain

der Absender einen digital abgebildeten Wert nicht schon zuvor an jemand anders übertragen hat (sog. Problem des „double spending“).182 Es bedarf also eines Systems, in dem Transaktionen veröffentlicht werden und in dem die Teilnehmer sich auf eine bestimmte Chronologie der Transaktionen einigen.183

Hier kommt ein weiterer technischer Aspekt der Blockchain-Technologie ins Spiel: über einen Konsens-Algorithmus kann man mit Blockchains sicherstellen, dass sämtliche Transaktionen in einem Peer-to-Peer-Netzwerk-System überprüft und erst dann dauerhaft auf der Blockchain protokolliert werden.184

b) Blockchains als “Distributed Ledger”-Technologie Nach den bisherigen Ausführungen kann zunächst festgehalten werden, dass Blockchains im Kern Datenbanksysteme sind, welche aus Hash-Ketten bestehen; jedoch gibt es verschiedene Ansätze, dieses System zu organisieren.185 Vor diesem Hintergrund müssen für die weitere Betrachtung von Blockchains vorab einige Begrifflichkeiten geklärt werden:

aa)

Zentraler und dezentraler Ansatz bei Blockchain-Systemen

Da Blockchains Datenbanken sind, ließen sie sich theoretisch auf einem einzigen Rechner als Einzelinstanz und ohne jegliche Netzwerkverbindung einsetzen

182

Nakamoto, Bitcoin: A Peer-to-Peer Electronic Cash System, S. 2; Blocher, AnwBl, 2016, 612, 615; eingehend zum „double spending“-Problem auch Drescher, Blockchain Grundlagen, 1. Aufl., 2017, 69 ff. 183 Nakamoto, Bitcoin: A Peer-to-Peer Electronic Cash System, S. 2; vgl. auch Böhme/Pesch, DuD, 2017, 473, 475. 184 Quiel, DuD, 2018, 566, 567; Bechtolf/Vogt, ZD, 2018, 66, 67; Nakamoto, Bitcoin: A Peer-to-Peer Electronic Cash System, S. 1. 185 Mazonka, Blockchain: Simple Explanation, S. 2.

III. Prinzipielle Funktionsweise von Blockchains

43

(etwa in einem unternehmensinternen Archiv auf einem Einzelrechner bzw. in einem geschlossenen organisationsinternen Netzwerk).186

Würde man eine Blockchain lediglich zentral – also auf nur einem einzigen Rechner – betreiben, würde der Nutzen der Registerfunktion freilich über eine bloße kontinuierliche Datensammlung nicht hinausgehen.187 Der große innovative Nutzen einer Blockchain offenbart sich deshalb erst dann, wenn diese dezentral, das heißt auf mehr als einem Rechner und in einem Netzwerk188 – zumeist im Internet189 –, betrieben wird.190

Die Datenhaltung geschieht dabei in einem verteilten System, das heißt, vollständige Kopien der Daten werden auf allen dem Netzwerk zugehörigen Rechnern aufbewahrt.191 Alle Netzwerk-Teilnehmer halten stets eine eigene aktuelle Kopie der Blockchain-Datenbank vor, sodass der aktuelle Stand der Inha-

186

Jacobs/Lange-Hausstein, ITRB, 2017, 10, 11; Ploom, Blockchains - wichtige Fragen aus IT-Sicht, in: Burgwinkel (Hrsg.), Blockchain Technology, 1. Aufl., 2016, S. 123, 123; Burgwinkel, Blockchaintechnologie und deren Funktionsweise verstehen, in: Burgwinkel (Hrsg.), Blockchain Technology, 1. Aufl., 2016, S. 1, 6. 187 Jacobs/Lange-Hausstein, ITRB, 2017, 10, 11. 188 Jacobs/Lange-Hausstein, ITRB, 2017, 10, 11. 189 Heckelmann, NJW, 2018, 504, 507. 190 Hofert, ZD, 2017, 161; Glatz, Blockchain und Smart Contracts - Eine neue Basistechnologie im Recht?, in: Hartung/Bues/Halbleib (Hrsg.), Legal Tech, 1. Aufl., 2018, S. 287, 287. 191 Burgwinkel, Blockchaintechnologie und deren Funktionsweise verstehen, in: Burgwinkel (Hrsg.), Blockchain Technology, 1. Aufl., 2016, S. 1, 6; in Abgrenzung zu Clouds, bei denen die Daten unter mehreren Computersystemen aufgeteilt werden, s. Kaulartz, CR, 2016, 474, 475.

44

C. Funktionsweise einer Blockchain

berschaft digital abgebildeter Werte einheitlich abgebildet ist. Werden Blockchains als solche „dezentralen Register“ eingesetzt, sind sie eine Variante der sog. „distributed ledger“-Technologien.192

So verwundert es nicht, dass in der aktuellen Diskussion die Blockchain-Technologie ganz überwiegend in ihrer Form als „dezentrales“ System dargestellt wird.193 Diese Betrachtungsweise ist so etabliert, dass die Begriffe „Blockchain“ und „Distributed Ledger“ teils sogar synonym verwendet werden.194

bb)

Begriffliche Abgrenzung

Auch wenn also in der Theorie bei dem Begriff „Blockchain“ zwischen zentralem und dezentralem Ansatz zu unterscheiden ist, so ist der dezentrale Ansatz praktisch die einzige Variante der Blockchain-Technologie, die aktuell diskutiert wird.195

192

Specht, NJW, 2017, 3567, 3568; der Begriff „distributed ledger“ bezeichnet die Situation „dezentralisierter Verzeichnisse“, s. Blocher, AnwBl, 2016, 612; neben Blockchains gibt es allerdings auch andere Formen von Distributed Ledgers, vgl. Böhme/Pesch, DuD, 2017, 473, Fn. 2 sowie Finck, EDPL, 2018, 17, 18; ein Distributed Ledger ist beispielsweise das sog. „Directed-acyclic-graph-Modell“, Keding, WM, 2018, 64, 66. 193 Vgl. nur Bechtolf/Vogt, ZD, 2018, 66, 67; Schrey/Thalhofer, NJW, 2017, 1431; Hofert, ZD, 2017, 161, 162; Simmchen, MMR, 2017, 162; dagegen verweisen beispielsweise Jacobs/Lange-Hausstein, ITRB, 2017, 10, 11 zutreffend darauf, dass bei Blockchains zumindest in der Theorie strukturell zwischen zentralem und dezentralem Ansatz zu unterscheiden ist. 194 So etwa ausdrücklich bei Böhme/Pesch, DuD, 2017, 473, Fn. 2; beispielsweise auch bei Kaulartz, CR, 2016, 474, 475; Geiling, BaFin Journal, 28, 29. 195 So beispielsweise bei Glatz, Blockchain und Smart Contracts - Eine neue Basistechnologie im Recht?, in: Hartung/Bues/Halbleib (Hrsg.), Legal Tech, 1. Aufl., 2018, S. 287, 287; Kaulartz, CR, 2016, 474, 476; Welzel/Eckert/Kirstein/Jacumeit, Mythos Blockchain, 2017, S. 5; Böhme/Pesch, DuD, 2017, 473; Isler, Datenschutz auf der Blockchain, S. 2; Bechtolf/Vogt, ZD, 2018, 66, 67; Pesch/Sillaber, CRi, 2017, 166, 167; unter Hinweis auf die Möglichkeit eines zentralen oder dezentralen Betriebs ebenfalls Jacobs/Lange-Hausstein, ITRB, 2017, 10, 11.

III. Prinzipielle Funktionsweise von Blockchains

45

Der dezentrale Ansatz ist in der öffentlichen und rechtswissenschaftlichen Diskussion von so hohem Interesse, weil er insbesondere bei Bitcoin gezeigt hat, dass er für alle beteiligten Netzwerkteilnehmer dezentrales Vertrauen schaffen kann.196 Bitcoin hat gezeigt, dass Blockchains vor allem als Distributed Ledgers enorm erfolgreich sein können.197 Wie noch zu zeigen sein wird, ist es auch gerade der dezentrale Ansatz, welcher zahlreiche datenschutzrechtliche Fragestellungen aufwirft und welcher deshalb näherer Auseinandersetzung bedarf.

Für die folgende Bearbeitung ist daher auch dieses Begriffsverständnis maßgebend. Wird allgemein von „Blockchain“ gesprochen, so ist damit die Blockchain im dezentralen Ansatz – also Blockchains als Distributed Ledger – gemeint.

c)

Technische Grundlage: Peer-to-Peer-Netzwerke

Der dezentralen Blockchain liegt in der Regel ein sog. „Peer-to-Peer-Netzwerk“ zugrunde.198 Dieser Begriff bezeichnet ein verteiltes Netzwerk-System, bei dem die Einzelcomputer der Netzwerkteilnehmer – idealerweise über das Internet – miteinander verbunden sind und ihre Rechenressourcen direkt zur Verfügung stellen, ohne dass es eine zentrale, verwaltende Stelle gibt.199

196

Vgl. Blocher, AnwBl, 2016, 612, 615. Pesch/Sillaber, CRi, 2017, 166, 167. 198 Kaulartz, CR, 2016, 474, 475; Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 43; Glatz, Blockchain und Smart Contracts - Eine neue Basistechnologie im Recht?, in: Hartung/Bues/Halbleib (Hrsg.), Legal Tech, 1. Aufl., 2018, S. 287, 287. 199 Kaulartz, CR, 2016, 474, 475; vgl. hierzu auch Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 42 und Sixt, Bitcoins und andere dezentrale Transaktionssysteme, 1. Aufl. 2017, S. 13. 197

46

C. Funktionsweise einer Blockchain

Kopien der Blockchain werden auf allen dem Netzwerk angeschlossenen Rechnern – diese werden als „Knoten“200 bzw. „nodes“201 bezeichnet – aufbewahrt.202

Ein solches Netzwerk ist technisch nicht auf einen bestimmten Nutzerkreis beschränkt. Dem Netzwerk können beliebig viele Endgeräte beitreten und es auch wieder verlassen.203 Um als Knoten teilzunehmen, muss ein Teilnehmer nur einen sog. „Full Client“ auf seinem Computer installieren.204

Durch die verteilte Datenhaltung ist der Bestand einer Blockchain nicht von der Funktion eines einzelnen Rechners abhängig, was die Blockchain-Infrastruktur sehr widerstandsfähig und zuverlässig macht.205 Anders als in zentralen Netzwerkstrukturen gibt es keine Einzelschwachstelle, bei welcher der Ausfall eines Einzelelementes den Ausfall des Gesamtsystems zur Folge haben kann („single point of failure“).206

d) Einheitlicher Informationsstand im Distributed Ledger Blockchains halten fest, dass Transaktionen in einer bestimmten chronologischen Reihenfolge abgelaufen sind und bilden dadurch ab, über welche bzw.

200

Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 42; Böhme/Pesch, DuD, 2017, 473, 475. Sixt, Bitcoins und andere dezentrale Transaktionssysteme, 1. Aufl. 2017, S. 12. 202 Kaulartz, CR, 2016, 474, 475. 203 Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 163; Böhme/Pesch, DuD, 2017, 473, 475. 204 Bechtolf/Vogt, ZD, 2018, 66, 67. 205 Jacobs/Lange-Hausstein, ITRB, 2017, 10, 11. 206 Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 32. 201

III. Prinzipielle Funktionsweise von Blockchains

47

wie viele Transaktionen ein bestimmter Blockchain-Teilnehmer aktuell verfügen darf.207 Blockchains geben den aktuellen Stand der Inhaberschaft von Transaktionen wieder. Aus diesem Grunde haben alle Beteiligten eines Blockchain-Systems grundsätzlich jeweils eine eigene Kopie einer Blockchain.208

Über die Frage, welcher Stand der richtige ist, muss allerdings zwischen allen Knoten im Peer-to-Peer-Netzwerk Einigkeit herrschen. Damit zwischen allen Netzwerk-Knoten ein konsistenter gemeinsamer Datenzustand besteht, müssen sie alle ihre Blockchain-Versionen immer auf dem aktuellen Stand halten209 und untereinander Einigkeit über diesen Zustand erzielen210.211

aa)

Verteilung neuer Informationen im Netzwerk

Eine Blockchain wächst stetig weiter. Einzelne Nutzer speisen neue Transaktionen in das Netzwerk ein und es entstehen neue Blöcke, die es an die Blockchain anzuhängen gilt. Damit all diese Änderungen im Netzwerk durch die Knoten Berücksichtigung finden, werden sie untereinander mittels „Rundrufen“ (sog. „broadcasts“) verbreitet, bis die Daten schließlich bei jedem Knoten angekommen sind.212

207

Vgl. Böhme/Pesch, DuD, 2017, 473, 476. Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 161. 209 Hierzu Abschnitt C.III.4.d)aa). 210 Hierzu Abschnitt C.III.4.d)bb). 211 Vgl. Böhme/Pesch, DuD, 2017, 473, 475 f. 212 Achenbach/Baumgart/Rill, DuD, 2017, 673, 674; Mazonka, Blockchain: Simple Explanation, S. 3; zur Kommunikation der Knoten im Netzwerk näher Drescher, Blockchain Grundlagen, 1. Aufl., 2017, 164 f. 208

48

C. Funktionsweise einer Blockchain

Beabsichtigte Transaktionen (genauer: die beabsichtigte Weitergabe von Transaktionsketten vom Berechtigten an einen neuen Adressaten, s.o.213) werden vom Benutzer, neue Blöcke mit den bestätigten Transaktionen von den Knoten in das Netzwerk eingespeist und dort von den Knoten untereinander weiter-“veröffentlicht“.214 Dieses System ist die Grundvoraussetzung für die Schaffung einer verlässlichen Transaktionshistorie, durch die der Transaktionsadressat sicher sein kann, eine Transaktion vom Berechtigten erhalten zu haben, ohne dass es zu einem „double spending“ (s.o.) gekommen ist.215

bb)

Herstellung eines Konsenses im Netzwerk

Peer-to-Peer-Netzwerke haben keine Kontrollinstanz, die eine Einigung der Netzwerkknoten über den „richtigen“ Stand der Transaktionshistorie koordinieren könnte.216 Blockchains sind das technische Mittel, um die Integrität eines dezentralen Peer-to-Peer-Netzwerk-Systems ohne zentrale Kontrollstellen abzusichern.217

Das Anfügen neuer Datenblöcke mit Informationen erfolgt über einen KonsensAlgorithmus.218 In einem sog. „Mining“-Prozess fügen bestimmte Knoten – sie

213

Abschnitt C.III.2.b)aa). Nakamoto, Bitcoin: A Peer-to-Peer Electronic Cash System, S. 2; zum Ablauf am Beispiel Bitcoin Welzel/Eckert/Kirstein/Jacumeit, Mythos Blockchain, 2017, 10 f. 215 Nakamoto, Bitcoin: A Peer-to-Peer Electronic Cash System, S. 2. 216 Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 162. 217 Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 43. 218 Narayanan/Bonneau/Felten/Miller/Goldfeder, Bitcoin and cryptocurrency technologies, 1. Aufl., 2016, S. 33 f. 214

III. Prinzipielle Funktionsweise von Blockchains

49

werden als „Miner“219 bezeichnet – die ins Blockchain-Netzwerk eingespeisten Daten in einem neuen Datenblock zusammen, der sodann durch das Netzwerk überprüft und – falls im Netzwerk Einigkeit besteht, dass die Blöcke konsistent sind – an die Blockchain angehängt wird.220

In einem ersten Schritt prüft jeder einzelne Knoten, der sich am Mining-Prozess beteiligt, die empfangenen Transaktionen und erzeugt daraus jeweils einen neuen Block.221 Weil auf eine Einzelinstanz, welche den aktuellen Zustand kontrollieren und festlegen könnte, gerade verzichtet werden soll, übernimmt in einem zweiten Schritt222 ein verteilter Konsens-Mechanismus die Aufgabe, zu entscheiden, mit welchem Block die Blockchain auf allen Knoten fortgeschrieben wird.223

(1)

Schritt 1: Erstellung eines neuen Blocks durch Knoten

Jeder Netzwerkknoten eines Miners sammelt die im Netzwerk veröffentlichten neuen Transaktionsdaten in einem Posteingang und wählt aus, welche davon in einem Block verarbeitet werden.224 Sodann überprüft er diese Transaktionsdaten auf ihre Gültigkeit (das heißt insbesondere darauf, ob diese den Anforderungen des Blockchain-Systems entsprechen und ob eine Autorisierung der

219

Bechtolf/Vogt, ZD, 2018, 66, 67; die Bezeichnung stammt aus einer Analogie zum Goldschürfen, wenn bei der Erschaffung neuer Blöcke neue Kryptowährung geschaffen wird, vgl. Nakamoto, Bitcoin: A Peer-to-Peer Electronic Cash System, S. 4; vereinzelt werden synonym auch deutsche Begriffe wie „Registrars“ (Hofert, ZD, 2017, 161, 162, Fn. 12) oder „Mineure“ (Erbguth/Fasching, ZD, 2017, 560, 561) verwendet, welche sich aber bislang anscheinend nicht durchgesetzt haben. 220 Vgl. zum Mining-Prozess in der Bitcoin-Blockchain Böhme/Pesch, DuD, 2017, 473, 476. 221 Abschnitt C.III.4.d)bb)(1). 222 Abschnitt C.III.4.d)bb)(2). 223 Böhme/Pesch, DuD, 2017, 473, 475. 224 Erbguth/Fasching, ZD, 2017, 560, 563 f.; Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 175.

50

C. Funktionsweise einer Blockchain

Transaktion durch den Inhaber vorliegt225) und fasst die gültigen Transaktionen in einem neuen Block zusammen.226 Diesen Block sendet der Knoten sodann ins Netzwerk, s.o. Auf dieselbe Weise verfahren auch andere Knoten, die sich an dem Prozess der Erstellung neuer Blöcke beteiligen und treten in eine Art Wettlauf, wer als erster einen neuen konsistenten Block erstellt.227

Damit die Inhaber der Netzwerkknoten einen Anreiz für die rechenintensive Erstellung neuer Blöcke haben, kommt auf vielen Blockchains ein Belohnungssystem für die erfolgreiche Erstellung eines solchen konsistenten Blocks in Form von Kryptowährung zum Einsatz.228 Derjenige Knoten, der zuerst einen validen Block geschaffen hat, erhält einen bestimmten Betrag Kryptowährung gutgeschrieben.229

(2)

Schritt 2: Dezentrale Einigung über Erweiterung des Registers

Ist ein neuer Block mit den aktuellen Transaktionen im Netzwerk weitergereicht worden, stellt sich für alle Beteiligten die Frage: Sind die dort enthaltenen Transaktionen korrekt und gibt er dadurch die Transaktionshistorie richtig wieder?

225

Näher zu den Validierungsregeln Drescher, Blockchain Grundlagen, 1. Aufl., 2017, 86 f. sowie 171 f. und Narayanan/Bonneau/Felten/Miller/Goldfeder, Bitcoin and cryptocurrency technologies, 1. Aufl., 2016, S. 33 f. 226 Vgl. Martini/Weinzierl, NVwZ, 2017, 1251, 1252. 227 Drescher, Blockchain Grundlagen, 1. Aufl., 2017, 173 f. 228 Welzel/Eckert/Kirstein/Jacumeit, Mythos Blockchain, 2017, S. 12; dieses Prinzip kommt z.B. bei Bitcoin zum Einsatz, vgl. Blocher, AnwBl, 2016, 612, 615; zum Konzept auch Nakamoto, Bitcoin: A Peer-to-Peer Electronic Cash System, S. 4. 229 Blocher, AnwBl, 2016, 612, 615; Narayanan/Bonneau/Felten/Miller/Goldfeder, Bitcoin and cryptocurrency technologies, 1. Aufl., 2016, S. 39.

III. Prinzipielle Funktionsweise von Blockchains

51

Um das festzustellen, wird ein Datenblock mit den zusammengefassten Daten erst an die Blockchain angehängt, wenn er durch einen Konsens-Algorithmus im gesamten Netzwerk verifiziert und als gültig akzeptiert worden ist:

(a) Inhaltliche Verifizierung eines neuen Blocks und „Abstimmung“ im Netzwerk Zunächst überprüfen sämtliche Netzwerkknoten die in einem neuen Block gespeicherten Daten darauf, ob die enthaltenen Transaktionen gültig sind und mit den in den vorhergehenden Blöcken gespeicherten Daten übereinstimmen.230

Die Gültigkeit der Transaktionskette kann anhand der in den Transaktionen festgehaltenen öffentlichen Schlüssel leicht überprüft werden.231 Widerspricht also etwa eine im Block enthaltene Transaktion den vorhergehenden Blockchain-Daten, wird der fehlerhafte Block vom Netzwerk nicht akzeptiert und stattdessen der Block eines anderen Miners der Prüfung unterzogen.232 Seine Akzeptanz drückt ein Knoten wiederum dadurch aus, dass er den neuen Block seiner eigenen Kopie der Blockchain anfügt.233

230 Nakamoto, Bitcoin: A Peer-to-Peer Electronic Cash System, S. 3; Jacobs/Lange-Hausstein, ITRB, 2017, 10, 11; Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 174; vgl. auch Erbguth/Fasching, ZD, 2017, 560, 561. 231 Blocher, AnwBl, 2016, 612, 615; Kaulartz, CR, 2016, 474, 476. 232 Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 174. 233 Nakamoto, Bitcoin: A Peer-to-Peer Electronic Cash System, S. 3; Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 176.

52

C. Funktionsweise einer Blockchain

Dadurch, dass sie eine Kette mit einem bestimmten Block fortsetzen, „stimmen“ alle Knoten also gemeinsam über die maßgebliche Version der Transaktionshistorie ab.234 Auf diese Weise entsteht bei allen Knoten eine Kette mit der Transaktionshistorie, über die ein gemeinsamer Konsens besteht und an welche die Miner neue Transaktionen anhängen können.

Durch Laufzeitunterschiede im Netzwerk kann es mitunter dazu kommen, dass unter den Knoten unterschiedliche Blöcke als aktuell akzeptiert werden und sich die Blockchain kurzzeitig „gabelt“ (sog. „forking“).235 In diesem Fall sorgt der Konsens-Algorithmus dafür, dass alle Knoten früher oder später an dem längeren „Ast“ der Blockchain weiterarbeiten.236 Dies basiert auf der Grundannahme, dass die längste Kette die meiste Rechenkraft auf sich vereint und damit auch die Mehrheit der Knoten hinter sich hat.237 Auf diese Weise ist sichergestellt, dass über kurz oder lang im Netzwerk eine gemeinsame Transaktionshistorie feststeht.238

Ist ein neuer Block angefügt, beginnt die Erstellung der Blöcke durch die Miner mit den mittlerweile eingetroffenen neuen Transaktionsinformationen von Neuem.

234

Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 184; Guggenberger, ZD, 2017, 49. Böhme/Pesch, DuD, 2017, 473, 475; zum Begriff Bechtolf/Vogt, ZD, 2018, 66, 70. 236 Nakamoto, Bitcoin: A Peer-to-Peer Electronic Cash System, S. 3; vgl. auch Mazonka, Blockchain: Simple Explanation, S. 3. 237 Nakamoto, Bitcoin: A Peer-to-Peer Electronic Cash System, S. 3. 238 Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 182. 235

III. Prinzipielle Funktionsweise von Blockchains

53

(b) Verifizierungsmechanismus Es existieren unterschiedliche Arten von Verifizierungsmechanismen, mit welchen der Konsens im Netzwerk abgesichert wird.239 Im Wesentlichen kommen dabei das sog. „Proof-of-Work-Verfahren“ und das „Proof-of-Stake-Verfahren” zum Einsatz240, aktuell befinden sich jedoch auch zahlreiche andere KonsensModelle in der Entwicklung241.

Durch das Bitcoin-System ist das sog. „Proof-of-Work-Verfahren“ für die Generierung eines neuen Blocks am geläufigsten. Bei diesem Verfahren belegen die verifizierenden Teilnehmer ihr Interesse an der Richtigkeit der Blockchain durch einen „Arbeitsbeweis“ in Form von Rechenleistung.242 Die Verbindung der Datenblöcke über einen Arbeitsbeweis gilt als Idealtyp für Blockchains.243 Dies verwundert nicht, denn gerade die Verbindung über einen Arbeitsbeweis macht – bildlich gesprochen – die Verbindungen der Blöcke einer Blockchain besonders robust. Das „Proof-of-Work“-Verfahren ist bis heute bei den großen Blockchain-Netzwerken verbreitet.244

239 Keding, WM, 2018, 64, 66, Fn. 26 ; vgl. hierzu auch Sixt, Bitcoins und andere dezentrale Transaktionssysteme, 1. Aufl. 2017, S. 10 sowie Glatz, Blockchain und Smart Contracts - Eine neue Basistechnologie im Recht?, in: Hartung/Bues/Halbleib (Hrsg.), Legal Tech, 1. Aufl., 2018, S. 287, 290. 240 Laschewski, WPg, 2017, 359, 361. 241 Jacobs/Lange-Hausstein, ITRB, 2017, 10, 12. 242 Jacobs/Lange-Hausstein, ITRB, 2017, 10; Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 109. 243 Böhme/Pesch, DuD, 2017, 473, 475. 244 Glatz, Blockchain und Smart Contracts - Eine neue Basistechnologie im Recht?, in: Hartung/Bues/Halbleib (Hrsg.), Legal Tech, 1. Aufl., 2018, S. 287, 290.

54

C. Funktionsweise einer Blockchain

Der Arbeitsbeweis besteht im Grunde in der Lösung eines algorithmisch schwierigen „Hashpuzzles“.245 Das Blockchain-Protokoll schreibt vor, dass der Hash-Wert jedes neuen Block-Headers (s.o.) mit einer bestimmten Anzahl an Nullen („führenden Nullen“) beginnen muss.246 Die Lösung dieses Puzzles lässt sich nur durch Ausprobieren finden247 und erfordert daher einen nicht unerheblichen Aufwand von Rechenleistung, kostet also viel Zeit und Energie248.

Die Aufgabe der Errechnung solcher neuen Blöcke übernehmen die Miner, welche häufig auch eine Belohnung für die erfolgreiche „Entdeckung“ der neuen Datenblöcke erhalten.249 Hat ein Miner das Hash-Puzzle gelöst, so fügt er die Lösung des Puzzles, eine sog. „nonce“250, zusammen mit den Transaktionsdaten und dem Block-Header des vorherigen Blockes in einen neu erstellten Block und sendet diesen ins Peer-to-Peer-Netzwerk.251 Die anderen an das Netzwerk angeschlossenen Knoten akzeptieren einen neuen Block nur dann, wenn er einen Arbeitsbeweis in Form einer korrekten Lösung des Hash-Puzzles enthält.252

245

Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 107; Narayanan/Bonneau/Felten/Miller/Goldfeder, Bitcoin and cryptocurrency technologies, 1. Aufl., 2016, S. 41. 246 Blocher, AnwBl, 2016, 612, 615; Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 154. 247 Saive, CR, 2018, 186, 187; diesem Prozedere liegt das mathematische Prinzip des sog. „BernoulliVersuchs“ zugrunde, s. Narayanan/Bonneau/Felten/Miller/Goldfeder, Bitcoin and cryptocurrency technologies, 1. Aufl., 2016, S. 43. 248 Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 109. 249 Insbesondere bei Kryptowährungen wie Bitcoin erhalten erfolgreiche Miner einen bestimmten Betrag dieser Währung als Belohnung, s. Blocher, AnwBl, 2016, 612, 615. 250 Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 107; Sixt, Bitcoins und andere dezentrale Transaktionssysteme, 1. Aufl. 2017, S. 13. 251 Böhme/Pesch, DuD, 2017, 473, 475; Sixt, Bitcoins und andere dezentrale Transaktionssysteme, 1. Aufl. 2017, S. 39; für eine nähere Erläuterung des Arbeitsbeweises am Beispiel der Bitcoin-Blockchain Blocher, AnwBl, 2016, 612, 615. 252 Schrey/Thalhofer, NJW, 2017, 1431, 1432; Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 174.

III. Prinzipielle Funktionsweise von Blockchains

55

Aufgrund des Arbeitsbeweises lassen sich frühere Blöcke nicht mehr mit vertretbarem Aufwand nachträglich unbemerkt verändern und manipulieren.253 Ein Angreifer müsste zur rückwirkenden Abänderung der Blockchain nicht nur einen einzigen Block, sondern sämtliche darauffolgenden Blöcke inklusive passenden Hash-Werten und Arbeitsbeweisen neu berechnen254 und damit im Ergebnis so viel Rechenleistung in die Änderung der Blockchain investieren, wie die Erstellung der Blockchain selbst gekostet hat255.

Für einen potentiellen Angreifer wäre es also im Ergebnis lohnenswerter, sich den ehrlichen Knoten anzuschließen und seine Rechenkraft in die Erstellung neuer Blöcke zu investieren, um die Belohnung zu erhalten. 256 Die Sicherheit des Arbeitsbeweises beruht daher nicht auf kryptographischen Sicherheitsmechanismen, sondern auf ökonomischen Annahmen, wie ein potentieller Angreifer seine Rechenleistung aus wirtschaftlich-rationaler Sicht einsetzen würde.257

Je „tiefer“ ein Block in die Blockchain eingefügt ist, desto umständlicher und rechenintensiver wäre es, diesen Block zu verändern258, sodass die auf einer

253

Ploom, Blockchains - wichtige Fragen aus IT-Sicht, in: Burgwinkel (Hrsg.), Blockchain Technology, 1. Aufl., 2016, S. 123, 131; Glatz, Blockchain und Smart Contracts - Eine neue Basistechnologie im Recht?, in: Hartung/Bues/Halbleib (Hrsg.), Legal Tech, 1. Aufl., 2018, S. 287, 290. 254 Böhme/Pesch, DuD, 2017, 473, 475; Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 157. 255 Böhme/Pesch, DuD, 2017, 473, 475; Ende 2017 kostete der Betrieb der Blockchain jährlich schätzungsweise etwa 32,4 Terawattstunden, was nahezu dem Strombedarf der gesamten dänischen Volkswirtschaft entspricht, s. Stromverbrauch für Kryptogeld: Warum der Bitcoin-Boom die globale Energiewende bedroht - SPIEGEL ONLINE - Wirtschaft, abrufbar unter http://www.spiegel.de/wirtschaft/unternehmen/bitcoin-stromverbrauch-bedroht-globale-energiewende-a-1182234.html (Abruf am 15.03.2018). 256 Nakamoto, Bitcoin: A Peer-to-Peer Electronic Cash System, S. 4. 257 Achenbach/Baumgart/Rill, DuD, 2017, 673, 676. 258 Bei Bitcoin wird ein Block als endgültig angesehen, wenn er durch sechs nachfolgende Blöcke „bestätigt“ ist, vgl. Böhme/Pesch, DuD, 2017, 473, 475.

56

C. Funktionsweise einer Blockchain

Blockchain abgelegten Transaktionsdaten derzeit als unveränderbar gelten259. Der hohe Rechenaufwand ist jedoch gleichzeitig ein großer Kritikpunkt bei diesem Konsensverfahren, weil die damit verbundenen Kosten die Anzahl der verifizierbaren Transaktionen begrenzen.260

Neben dem Proof-of-Work-Verfahren existieren mehrere andere Verifizierungsmechanismen, die weniger Rechenaufwand erfordern.261

Eines davon ist das sog. „Proof-of-Stake“262-Verfahren. Bei der Erstellung eines neuen Blockes kommt es anders als beim Proof-of-Work nicht auf die schnellste kryptographische Leistung an, sondern auf eine nach bestimmten Kriterien zufällig ausgewählte Stichprobe von Netzwerkteilnehmern, die dann neue Blocks erstellen dürfen.263

Diese Kriterien orientieren sich am Interesse des Netzwerkteilnehmers am Bestand des Blockchain-Systems, können also etwa den Gesamtanteil an digitalen Währungseinheiten oder die Haltedauer berücksichtigen – im Wesentlichen entscheiden also die „Mehrheitseigner“.264 Nur die festgelegte Gruppe von

259

Saive, CR, 2018, 186, 187. Schrey/Thalhofer, NJW, 2017, 1431, 1432; Jacobs/Lange-Hausstein, ITRB, 2017, 10, 11. 261 Jacobs/Lange-Hausstein, ITRB, 2017, 10, 11. 262 Also ein „Beteiligungsnachweis“, s. Geiling, BaFin Journal, 28, 30. 263 Laschewski, WPg, 2017, 359, 361; Sixt, Bitcoins und andere dezentrale Transaktionssysteme, 1. Aufl. 2017, S. 114; Achenbach/Baumgart/Rill, DuD, 2017, 673, 675. 264 Kienzler, Hyperledger – eine offene Blockchain Technologie, in: Burgwinkel (Hrsg.), Blockchain Technology, 1. Aufl., 2016, S. 111, 115; Sixt, Bitcoins und andere dezentrale Transaktionssysteme, 1. Aufl. 2017, S. 113; Narayanan/Bonneau/Felten/Miller/Goldfeder, Bitcoin and cryptocurrency technologies, 1. Aufl., 2016, S. 209. 260

III. Prinzipielle Funktionsweise von Blockchains

57

Teilnehmern darf neue Blöcke an die Blockchain anhängen.265 Das Prinzip dieses Verifizierungsmechanismus stützt sich im Wesentlichen auf die Überlegung, dass ein Teilnehmer mit dem höchsten Anteil auch das größte Interesse an Erhalt und Attraktivität einer Blockchain hat.266 Obwohl beim Proof-of-Stake das Problem des Ressourcenaufwandes gelöst ist, hat dieses Verfahren ebenfalls seine Schwächen und ist im Vergleich zum Proof-of-Work insbesondere weniger robust, weil es eine permanente Teilnahme am System voraussetzt.267 Ob es sich in der Manipulationssicherheit maßgeblich vom Proof-of-Work unterscheidet, ist derzeit noch ungeklärt.268

Nicht unerwähnt bleiben soll, dass auch zahlreiche weitere experimentelle Verifizierungs-Konzepte existieren. Nur beispielhaft können hier Konzepte wie der sog. „Proof-of-Burn“, „Proof-of-Stake-Velocity“, „Proof-of-Bandwith“ genannt werden269, ferner der „Proof-of-Elapsed-Time”270 oder das „Ripple“-Protokoll271.

265

Achenbach/Baumgart/Rill, DuD, 2017, 673, 675. Laschewski, WPg, 2017, 359, 361; European Union Agency For Network And Information Security, Distributed Ledger Technology & Cybersecurity – Improving information security in the financial sector, v. 18.01.2017, S. 34; Narayanan/Bonneau/Felten/Miller/Goldfeder, Bitcoin and cryptocurrency technologies, 1. Aufl., 2016, S. 208. 267 Laschewski, WPg, 2017, 359, 361; Sixt, Bitcoins und andere dezentrale Transaktionssysteme, 1. Aufl. 2017, S. 114. 268 Achenbach/Baumgart/Rill, DuD, 2017, 673, 676. 269 Laschewski, WPg, 2017, 359, 362. 270 European Union Agency For Network And Information Security, Distributed Ledger Technology & Cybersecurity, S. 11; Kienzler, Hyperledger – eine offene Blockchain Technologie, in: Burgwinkel (Hrsg.), Blockchain Technology, 1. Aufl., 2016, S. 111, 115. 271 European Union Agency For Network And Information Security, Distributed Ledger Technology & Cybersecurity, S. 34; Jacobs/Lange-Hausstein, ITRB, 2017, 10, 11, Fn. 2. 266

58

C. Funktionsweise einer Blockchain

Die Wirksamkeit alternativer Konsensmechanismen hängt davon ab, dass sie keine spieltheoretischen Fehler aufweisen – der formale Beweis dafür ist aber häufig schwierig.272 Ohne auf diese Verfahren im Einzelnen eingehen zu können, ist jedenfalls festzuhalten, dass all diese Verifizierungsverfahren eine Alternative zum Netzwerk-Konsens durch Arbeitsbeweis nach der Proof-ofWork-Methode anstreben und jeweils bestimmte Netzwerkteilnehmer einen Konsens erzielen, der sodann dem Netzwerk mitgeteilt wird und für jeden Teilnehmer verifizierbar ist.273

e) Zwischenbetrachtung Im vorliegenden Kapitel wurde gezeigt, dass Blockchains als Datenbankstruktur ihre besondere Wirkung insbesondere dann entfalten, wenn sie als dezentrale Transaktionsverzeichnisse in Peer-to-Peer-Netzwerken eingesetzt werden (Distributed Ledgers). Als Distributed Ledgers bieten sie die informatische Grundlage, um in einem Netzwerk aus untereinander unbekannten und einander nicht vertrauenden Netzwerkknoten ein „anonymes Vertrauen“ zu schaffen, ohne eine Kontrollinstanz einschalten zu müssen.274 Blockchains ermöglichen das Konzept eines „trustless trust“, das heißt sie ersetzen die Rolle einer vertrauenswürdigen, zentralen Kontrollinstanz durch technische Sicherheit.275

272

Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 249. Laschewski, WPg, 2017, 359, 362. 274 Ploom, Blockchains - wichtige Fragen aus IT-Sicht, in: Burgwinkel (Hrsg.), Blockchain Technology, 1. Aufl., 2016, S. 123, 130. 275 Blocher, AnwBl, 2016, 612; Lange-Hausstein, ITRB, 2017, 93. 273

III. Prinzipielle Funktionsweise von Blockchains

59

Aus datenschutzrechtlicher Sicht ist die Erkenntnis wichtig, dass Peer-to-PeerNetzwerke grundsätzlich keine Kontrollinstanz haben, sodass auch keine zentrale Koordinierung der Teilnehmer stattfindet.276

Stattdessen nehmen die Netzwerkknoten in mehrfacher Hinsicht eine „entscheidende“ Rolle ein277: zum einen sind sie für den unabhängigen Bestand einer Blockchain wichtig, weil sie alle eine eigene Kopie der Blockchain vorhalten. Zum anderen sorgen sie über einen verteilten Entscheidungs- bzw. Konsensprozess dafür, dass die Blockchain fortgeführt wird und über einen einheitlichen Zustand Konsens besteht – nämlich über die Transaktionshistorie und die damit verbundenen Verfügungsrechte der Teilnehmer. Auch beim Konsensprozess selbst kommt den Knoten nicht nur eine Rolle zu, denn einerseits beteiligen sie sich selbst als Miner an der Erstellung neuer Blöcke, andererseits entscheiden sie jedoch auch über die Richtigkeit der Blöcke anderer Knoten, die sich als Miner betätigen.278

Aus der Perspektive des Datenschutzrechts könnte das Fehlen einer zentralen Kontrollinstanz zum Problem werden, weil unklar ist, ob beziehungsweise welcher Blockchain-Teilnehmer Adressat der DSGVO sein kann. Dies wird im Folgenden zu untersuchen sein.

276

Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 162. Saive, CR, 2018, 186, 187. 278 Saive, CR, 2018, 186, 187. 277

60

5.

C. Funktionsweise einer Blockchain

Vom Distributed Ledger zu Blockchain-Architekturkonzepten

Das vorige Kapitel befasste sich mit dem Idealtyp von Blockchains als Distributed Ledgers mit einer praktisch unveränderbaren und öffentlichen Einsehbarkeit der gesamten Transaktionshistorie. Dabei hat sich bereits an mehreren Stellen angedeutet, dass der dort dargestellte Idealtyp in gewisser Weise auf Kollisionskurs mit Prinzipien des Datenschutzrechts steht. Denn eine idealtypische Blockchain steht im Spannungsverhältnis zwischen Transparenz und Vertraulichkeit bzw. Sicherheit und Geschwindigkeit. 279

Im vorliegenden Abschnitt wird daher ein etwas genauerer Blick auf verschiedene informatische Architekturvarianten gerichtet, die verteilte BlockchainSysteme haben können. Denn die zahlreichen Adaptionen der BlockchainTechnologie, welche nach dem Erfolg von Bitcoin entwickelt werden, machen sich in unterschiedlicher Weise die Vorteile einer auf verschiedene Netzwerkknoten verteilten Datenbank zu Nutze.280

Für eine rechtliche Untersuchung der Blockchain-Technologie ist es daher erforderlich, sich mit den verschiedenen Ausprägungen dieses Konzeptes vertraut zu machen.

a) Überblick Es gibt verschiedene Ebenen des Zugriffs auf eine Blockchain, insbesondere zählen dazu das Lesen von bereits erfolgten Transaktionen, die Initiierung einer

279 280

Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 225. Isler, Datenschutz auf der Blockchain, S. 4.

III. Prinzipielle Funktionsweise von Blockchains

61

neuen Transaktion sowie die Erstellung neuer Datenblöcke mit neuen Transaktionen.281 Die oben genannten Konflikte zwischen Transparenz und Vertraulichkeit bzw. Sicherheit und Geschwindigkeit lassen sich auf diese beiden Ebenen des Blockchain-Systems zurückführen, nämlich den Ebenen des Lesens und des Schreibens von Transaktionsdaten.282

Da aus der Perspektive des Datenschutzrechts einerseits besonders interessant ist, wer auf Daten der Blockchain zugreifen und damit potentiell einen datenschutzrechtlichen Personenbezug herstellen könnte, andererseits, wer diese Daten erstellt und damit möglicherweise als datenschutzrechtlich Verantwortlicher einzustehen hat, erscheint es auch vor diesem Hintergrund sinnvoll, eine Systematisierung nach „Zugang zu den Blockchain-Transaktionen“ und „Zugang auf den Konsensprozess“, also gewissermaßen nach „Lesezugriff“ und „Schreibzugriff“ vorzunehmen.283

b) Ebene des „Lesezugriffs“ – zwischen Transparenz und Vertraulichkeit Ähnlich der Unterscheidung zwischen Internet und Intranet284 lassen sich Blockchain-Netzwerke anhand der Nutzungs- und Leserechte grob in öffentliche und private Blockchains unterteilen.285

281

BitFury Group Limited/Garzik, Public versus Private Blockchains – Part 1: Permissioned Blockchains, S. 10. 282 Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 226. 283 Eine Differenzierung nur nach dem Gesichtspunkt des Lesezugriffs nehmen beispielsweise Böhme/Pesch, DuD, 2017, 473 vor; ähnlich wie hier aber beispielsweise Saive, CR, 2018, 186, 187; Welzel/Eckert/Kirstein/Jacumeit, Mythos Blockchain, 2017, S. 15 und Isler, Datenschutz auf der Blockchain, S. 4. 284 Welzel/Eckert/Kirstein/Jacumeit, Mythos Blockchain, 2017, S. 15. 285 Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 227; Welzel/Eckert/Kirstein/Jacumeit, Mythos Blockchain, 2017, S. 15; BitFury Group Limited/Garzik, Public versus Private Blockchains, S. 10; Kaulartz, CR, 2016, 474, 475.

62

aa)

C. Funktionsweise einer Blockchain

Unbeschränkter Zugang bei offenen Systemen

Ein Blockchain-System kann frei zugänglich sein. Eine solche öffentliche, sog. „public“286 Blockchain steht einem breiten Nutzerkreis zur Verfügung. Theoretisch kann jedermann an der Blockchain-Infrastruktur teilnehmen, indem er die entsprechende – frei zugängliche – Blockchain-Software auf seinem Computer installiert.287 Die Teilnahme an Public Blockchains ermöglicht beliebigen Teilnehmern, die angebotenen Dienste in Anspruch zu nehmen,288 insbesondere also Transaktionen an andere Blockchain-Nutzer zu initiieren.289 Diese Zugriffsart ist in dieser Hinsicht vergleichbar mit einer Internetseite, die im Internet öffentlich zugänglich ist.290 Eine Public Blockchain entspricht dem Idealtyp einer Blockchain und kommt in der Praxis beispielsweise bei Kryptowährungen wie Bitcoin291 oder Ethereum292 zum Einsatz.

bb)

Eingeschränkter Zugang bei geschlossenen Systemen

Nicht jedes Blockchain-Netzwerk muss für einen beliebigen Nutzerkreis offenstehen, sondern kann als sog. „private“ 293 Blockchain auch technisch zugangsbeschränkt sein.

286

Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 227; Saive, CR, 2018, 186, 187. Kaulartz, CR, 2016, 474, 475; Jacobs/Lange-Hausstein, ITRB, 2017, 10, 11. 288 Welzel/Eckert/Kirstein/Jacumeit, Mythos Blockchain, 2017, S. 15. 289 Isler, Datenschutz auf der Blockchain, S. 4. 290 Burgwinkel, Blockchaintechnologie und deren Funktionsweise verstehen, in: Burgwinkel (Hrsg.), Blockchain Technology, 1. Aufl., 2016, S. 1, 34. 291 https://bitcoin.org/de/. 292 https://ethereum.org/. 293 Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 227; Saive, CR, 2018, 186, 187. 287

III. Prinzipielle Funktionsweise von Blockchains

63

Der Lesezugriff auf die Blockchain und das Recht zur Initiierung von Transaktionen sind auf einen bestimmten und bekannten Personenkreis beschränkt.294 Eine besondere Berechtigung ist notwendig, um als Anwender bzw. Knoten an einer solchen Private Blockchain teilnehmen zu können.295

Über den Zugang und die Berechtigungen innerhalb der Private Blockchains entscheidet eine zentrale Instanz.296 Private Blockchains sind insofern vergleichbar mit einem Intranet, welches innerhalb eines Unternehmens verwendet wird.297 Hier spielt weniger der Aspekt des dezentralen Vertrauens, sondern eher die Integritätssicherung einer Datenbank die Hauptrolle. 298

Diese Blockchain-Variante bietet sich daher an, wo die Kenntnis der Identität der Netzwerk-Nutzer wichtig ist, etwa bei Angeboten von Banken für Banküberweisungen.299 Der Architekturtyp der Private Blockchains wird derzeit unter anderem für die schnellere Abwicklung von Geschäften in Zusammenschlüssen von Banken bzw. Versicherungen erforscht300, beispielsweise wird unter dem Namen „R3 CEV“ eine geschlossene Blockchain-Umgebung für den Zusammenschluss zahlreicher Banken entwickelt.301 Aber auch im öffentlichen

294 Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 227; Isler, Datenschutz auf der Blockchain, S. 4. 295 Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 227; Kaulartz, CR, 2016, 474, 475. 296 Saive, CR, 2018, 186, 187; Chainfrog Oy, Blockchain and GDPR, S. 5. 297 Burgwinkel, Blockchaintechnologie und deren Funktionsweise verstehen, in: Burgwinkel (Hrsg.), Blockchain Technology, 1. Aufl., 2016, S. 1, 34. 298 Vgl. Böhme/Pesch, DuD, 2017, 473, 474 und Isler, Datenschutz auf der Blockchain, S. 4. 299 Vgl. Kaulartz, CR, 2016, 474, 480. 300 Isler, Datenschutz auf der Blockchain, S. 4. 301 Hofert, ZD, 2017, 161, 162; Sixt, Bitcoins und andere dezentrale Transaktionssysteme, 1. Aufl. 2017, S. 178.

64

C. Funktionsweise einer Blockchain

Sektor werden Anwendungsfelder für Private Blockchains erforscht, so zum Beispiel bei der Durchführung von Wahlen.302

cc)

Zwischenbetrachtung

Festzuhalten ist somit der Grundsatz, dass eine öffentliche Blockchain keine Zugangsberechtigung erfordert und öffentlich zugänglich ist, während eine private Blockchain nur von bestimmten zugelassenen Nutzern verwendet werden kann.303

Der Vollständigkeit halber soll aber nicht unerwähnt bleiben, dass auch Mischformen aus beiden Varianten existieren, das heißt, es gibt „hybride“ Blockchains, bei denen autorisierte und nicht autorisierte Benutzergruppen kombiniert sind.304 Technisch bestehen zudem weitere Möglichkeiten, Leserechte speziell einzuschränken.305

Auf diese Varianten soll hier allerdings nicht weiter eingegangen werden, weil einerseits die konkrete Mischform sehr einzelfallabhängig ist und sich andererseits die datenschutzrechtlichen Implikationen der Blockchain-Technologie besonders deutlich an den hier vorgestellten Kategorien herausstellen lassen.

302

Welzel/Eckert/Kirstein/Jacumeit, Mythos Blockchain, 2017, S. 21. Vgl. auch Kaulartz, CR, 2016, 474, 475. 304 Vgl. hierzu Kienzler, Hyperledger – eine offene Blockchain Technologie, in: Burgwinkel (Hrsg.), Blockchain Technology, 1. Aufl., 2016, S. 111, 112. 305 Welzel/Eckert/Kirstein/Jacumeit, Mythos Blockchain, 2017, S. 15. 303

III. Prinzipielle Funktionsweise von Blockchains

c)

65

Ebene des „Schreibzugriffs“ – zwischen Sicherheit und Geschwindigkeit

Idealtypischerweise kann jedermann in einem Blockchain-Netzwerk als Knoten teilnehmen und Transaktionen durchführen sowie sich als Miner bei der Erstellung neuer Blöcke beteiligen.306 Insbesondere bei einer öffentlichen Blockchain verfügt der Nutzerkreis daher sowohl über Lese- als auch Schreibrechte und kann am Konsensprozess zur Validierung neuer Datenblöcke teilnehmen.307 Da sich die Nutzer untereinander nicht kennen, muss der Konsensprozess dann allerdings durch einen rechenintensiven Arbeitsbeweis (s.o.) abgesichert werden.308

Wie der Zugang zu einer bestimmten Blockchain (vgl. private Blockchains weiter oben309) kann allerdings auch die Berechtigung beschränkt sein, wer die Blockchain überhaupt ergänzen darf, sprich: wer überhaupt berechtigt ist, als Netzwerkknotenpunkt neue Datenblöcke zu verifizieren und gegebenenfalls an die Blockchain anzuhängen.310 Daher können Blockchain-Systeme auch nach der Art des Schreibzugriffes unterschieden werden als „permissionless“ bzw. „permissioned“ Blockchains311:

306

Vgl. Martini/Weinzierl, NVwZ, 2017, 1251, 1252. Merz, Einsatzpotenziale der Blockchain im Energiehandel, in: Burgwinkel (Hrsg.), Blockchain Technology, 1. Aufl., 2016, S. 51, 55. 308 Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 227. 309 Abschnitt C.III.5.b)bb). 310 Burgwinkel, Blockchaintechnologie und deren Funktionsweise verstehen, in: Burgwinkel (Hrsg.), Blockchain Technology, 1. Aufl., 2016, S. 1, 35. 311 Diese Begriffe verwenden etwa Welzel/Eckert/Kirstein/Jacumeit, Mythos Blockchain, 2017, S. 15 sowie Isler, Datenschutz auf der Blockchain, 4 ff. und BitFury Group Limited/Garzik, Public versus Private Blockchains, S. 10; Burgwinkel, Blockchaintechnologie und deren Funktionsweise verstehen, in: Burgwinkel (Hrsg.), Blockchain Technology, 1. Aufl., 2016, S. 1, 35; einige Publikationen nehmen eine an Lese- und Schreibrechten orientierte Abgrenzung nicht vor und verwenden das Begriffspaar un-/permissioned zur Abgrenzung der Zugangsberechtigung, so etwa Kaulartz, CR, 2016, 474, 475. 307

66

aa)

C. Funktionsweise einer Blockchain

Unbeschränkter Schreibzugang

Blockchains, bei denen sämtliche Nutzer bzw. Knoten berechtigt sind, Transaktionen zu prüfen, daraus Blöcke zu bilden und diese an die Blockchain anzuhängen, werden als sog. „permissionless Blockchains“ bezeichnet.312 Für die Teilnahme ist keine spezielle Berechtigung erforderlich313 und die Identität der Knoten ist in der Regel nicht bekannt314. So sind auch die KryptowährungsBlockchains Bitcoin und Ethereum Beispiele für Permissionless Blockchains.315

bb)

Beschränkter Schreibzugang

Blockchains, die eine Teilnahmeberechtigung erfordern, werden „permissioned“ Blockchains genannt.316 Bei Permissioned Blockchains sind nur bestimmte, definierte Teilnehmer bzw. Knoten berechtigt, am Konsensprozess und der Bildung neuer Blöcke teilzunehmen.317 Diese Teilnehmer erhalten ihre Schreibrechte nach Überprüfung in einem Beitrittsverfahren durch eine zentrale Instanz und dürfen erst dann selbst Transaktionen überprüfen und Blöcke an die Blockchain anfügen.318 Die Identität dieser Teilnehmer ist daher in der

312

Wüst/Gervais, Do you need a Blockchain?, v. 27.04.2017, S. 1; Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 228; Isler, Datenschutz auf der Blockchain, S. 5. 313 European Union Agency For Network And Information Security, Distributed Ledger Technology & Cybersecurity, S. 12. 314 Sixt, Bitcoins und andere dezentrale Transaktionssysteme, 1. Aufl. 2017, S. 14. 315 Welzel/Eckert/Kirstein/Jacumeit, Mythos Blockchain, 2017, S. 15; Wüst/Gervais, Do you need a Blockchain?, S. 2. 316 Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 228; Welzel/Eckert/Kirstein/Jacumeit, Mythos Blockchain, 2017, S. 15. 317 Welzel/Eckert/Kirstein/Jacumeit, Mythos Blockchain, 2017, S. 15. 318 Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 228; Wüst/Gervais, Do you need a Blockchain?, S. 2; Isler, Datenschutz auf der Blockchain, S. 5; Geiling, BaFin Journal, 28, 30.

III. Prinzipielle Funktionsweise von Blockchains

67

Regel bekannt.319 Eine derartige Schreibbeschränkung ist besonders für Anwendungen im Finanz- und Versicherungsbereich interessant und wird bei Blockchains in Projekten wie „R3 CEV“ „3Bi“ verwendet.320

d) Schematisierung der Blockchain-Architekturen Fasst man die Möglichkeiten bei Lese- und Schreibrechten zusammen, so können Blockchain-Versionen grob in das folgende Raster von Berechtigungsmodellen eingeordnet werden:

Abbildung 4: Varianten einer Blockchain, aus: Welzel u.a., Mythos Blockchain - Herausforderung für den öffentlichen Sektor, S. 15.

319 Sixt, Bitcoins und andere dezentrale Transaktionssysteme, 1.

Aufl. 2017, S. 13; Isler, Datenschutz auf der Blockchain, S. 5; daher nutzen solche Systeme zur Verifizierung in der Regel den Proof-ofStake-Mechanismus, s. Geiling, BaFin Journal, 28, 30. 320 Isler, Datenschutz auf der Blockchain, S. 4 Fn. 17.

68

C. Funktionsweise einer Blockchain

Eine Public Permissionless Blockchain ist die offenste Blockchain-Architektur und entspricht dem bisher dargestellten Idealtyp der Blockchain.321 Sie ist sinnvoll, wenn Parteien miteinander Transaktionen austauschen wollen, ohne einander zu vertrauen.322 Auch die Bitcoin- und die Ethereum-Blockchain mit ihren Kryptowährungen gehören zu dieser Kategorie.323

Eine Public Permissioned Blockchain ist zwar für jeden zugänglich, aber nur ein begrenzter Personenkreis kann als Knoten die Blockchain ergänzen. 324 Eine Private Permissionless Blockchain hat einen begrenzten Teilnehmerkreis, in welchem aber wiederum jeder einzelne Teilnehmer Schreibrechte hat.325 Zwar bewegen sich Anwendungsfälle für Blockchains in der Praxis eher im Bereich der Public Permissionless und der Private Permissioned Blockchains326, als Anwendungsfall einer Public Permissioned Blockchain wäre aber beispielsweise ein digitales Rechtemanagement-System denkbar, bei dem alle Teilnehmer Einblick in die Rechte nehmen, aber nur bestimmte Knoten die entsprechenden Einträge ändern könnten.327 Ein Anwendungsfall der Private Permissionless Blockchain könnte eine Art „Whistleblowing“-Plattform innerhalb eines Unternehmens sein, bei der jeder Teilnehmer Beschwerden oder Mitteilungen machen kann, ohne dass diese öffentlich sichtbar sind.328

321 Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 228; vgl. auch Böhme/Pesch, DuD, 2017, 473, 474. 322 Gervais, digma, 2017, 128, 131. 323 Isler, Datenschutz auf der Blockchain, S. 5; vgl. auch Pesch/Sillaber, CRi, 2017, 166, 168. 324 Saive, CR, 2018, 186, 187. 325 Saive, CR, 2018, 186, 187. 326 Vgl. Gervais, digma, 2017, 128, 131. 327 Chainfrog Oy, Blockchain and GDPR, S. 6.; Projekte wie das Blockchain-Plattform-Projekt Hyperledger von IBM (https://www.hyperledger.org/) oder das globale Finanz-Transaktionssystem Ripple (https://ripple.com/) gehören zur Kategorie der Public Permissioned Blockchain, vgl. Isler, Datenschutz auf der Blockchain, S. 5; Wüst/Gervais, Do you need a Blockchain?, S. 5 ff. 328 Chainfrog Oy, Blockchain and GDPR, S. 6.

III. Prinzipielle Funktionsweise von Blockchains

69

Dem gegenüber steht die Private Permissioned Blockchain als restriktivste Variante, die nur einem eingeschränkten Teilnehmerkreis offensteht und nur von ausgewählten Teilnehmern ergänzt werden kann.329 Diese Variante kommt vor allem für kommerzielle Projekte in Frage, weil mit ihr Transaktionen schneller verarbeitet und sie nicht von Unbefugten eingesehen werden kann.330 Diese Variante wird vor allem von Banken und Versicherungen in zahlreichen Projekten zur effizienteren Transaktionsabwicklung geprüft.331

e) Zwischenbetrachtung In diesem Kapitel wurde gezeigt, dass die Blockchain-Technologie ihre besonderen Vorzüge der permanenten Speicherung eines Transaktionsregisters unter Verzicht auf einen Intermediär letztlich ihren Besonderheiten beim Leseund Schreibzugriff verdankt:

Wie soeben gezeigt, können auf der Blockchain grundsätzlich Daten beliebig gelesen und geschrieben, die Daten aber später nicht mehr abgeändert oder gelöscht werden, wenn sie erst einmal dort abgelegt sind. Änderungen an dort abgelegten Daten werden vielmehr als neue Daten zur Blockchain hinzugefügt, sodass alle Zustände oder Versionen einer Information dauerhaft einsehbar bleiben und eine lückenlose Historie bestimmter Ereignisse oder Veränderungen entsteht.332

329

Saive, CR, 2018, 186, 187. Drescher, Blockchain Grundlagen, 1. Aufl., 2017, S. 228; Gervais, digma, 2017, 128, 131. 331 Isler, Datenschutz auf der Blockchain, S. 4. 332 Jacobs/Lange-Hausstein, ITRB, 2017, 10; Böhme/Pesch, DuD, 2017, 473, 476; Bechtolf/Vogt, ZD, 2018, 66, 67. 330

70

C. Funktionsweise einer Blockchain

Andererseits bestehen verschiedene Möglichkeiten, durch Lese- und Schreibrechte den Datenzugriff zu beschränken, insbesondere hinsichtlich der Teilnahmemöglichkeiten von Nutzern an Blockchains und andererseits hinsichtlich der Beteiligung am Konsensprozess, mit dem die Blockchain fortgeführt wird.

Aus dem Blickwinkel des Datenschutzrechts gibt es damit zahlreiche Ansatzpunkte, um die Vereinbarkeit der Blockchain-Technologie mit dem Datenschutzrecht – genauer gesagt: der Datenschutz-Grundverordnung (DSGVO) – näher zu untersuchen. Die Ausgestaltung der Leserechte wird sich aus rechtlicher Sicht vor allem auf die Frage nach dem Personenbezug auswirken, die Schreibrechte werden eine Rolle spielen bei der Frage, wer Einfluss auf den Vorgang der Datenverarbeitung auf der Blockchain hat und als datenschutzrechtlich Verantwortlicher im Sinne der DSGVO in Betracht kommt.

6.

Ausblick

Die vorigen Abschnitte haben sich mit den technischen Grundlagen der Blockchain-Technologie beschäftigt. Dabei hat sich herausgestellt, dass sich bestimmte technische Aspekte jeweils als konkrete Probleme für das Datenschutzrecht erweisen könnten:

-

Auch wenn Blockchains aufgrund ihrer Pseudonymität auf den ersten Blick als datenschutzrechtlich unbedenklich erscheinen mögen, könnte die öffentliche Speicherung von Transaktionsdaten in Datenblöcken zusammen mit kryptographischen Identitäten zu einer Identifizierbarkeit der dahinterstehenden Nutzer und damit zu einer Anwendbarkeit des Datenschutzrechts führen; wäre Datenschutzrecht

III. Prinzipielle Funktionsweise von Blockchains

71

anwendbar, so wäre fraglich, ob eine rechtmäßige Datenverarbeitung ohne weiteres möglich ist;

-

Sodann wirft die dezentrale Organisation eines Blockchain-Systems die Frage auf, wen in diesem Kontext die Vorgaben des Datenschutzrechts treffen;

-

Schließlich könnten nicht nur die Schwierigkeit, in einem dezentralen System einen Verantwortlichen zu identifizieren, sondern auch die grundsätzlich permanente und unabänderliche Speicherung (personenbezogener) Transaktionsdaten dazu führen, dass datenschutzrechtliche Betroffenenrechte nicht wirksam ausgeübt und durch Blockchain-Technologie ausgehebelt würden.

Den hinter diesen technischen Aspekten stehenden rechtlichen Fragestellungen soll in den folgenden Abschnitten nachgegangen werden.

D. Vereinbarkeit mit dem Datenschutzrecht I.

Personenbezug im Kontext einer Blockchain

Da die DSGVO gem. Art. 1 Abs. 1 DSGVO nur für „personenbezogene Daten“ anwendbar ist, entscheidet (auch) das Merkmal des Personenbezuges grundlegend darüber, welche Daten nach der DSGVO verarbeitet werden müssen.333 Die Beurteilung, ob hinsichtlich verarbeiteter Daten ein Personenbezug vorliegt oder nicht, ist sehr relevant, da die DSGVO abhängig vom Merkmal des Personenbezuges ihren Schutz bzw. ihre Verpflichtungen entweder ganz oder gar nicht entfaltet.334 So ist das Vorliegen von Personenbezug beispielsweise Voraussetzung für die Zuständigkeit der Aufsichtsbehörden und die Ermächtigung, Bußgelder zu verhängen.335 1.

Blockchains im Spannungsfeld des Personenbezugs im Sinne der

DSGVO Auch für Blockchain-Anwendungen gelten die Regelungen der DSGVO nur dann, wenn bei ihrer Verwendung personenbezogene Daten verarbeitet werden. Die mit dem Betrieb eines Blockchain-Netzwerkes verbundenen Daten-

333

Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 271; Albrecht/Jotzo, Das neue Datenschutzrecht in der EU, 1. Aufl., 2017, S. 58; vgl. auch Kühling/Buchner–Klar/Kühling, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 1; Sydow–Ziebarth, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Rn. 3; Paal/Pauly–Ernst, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 4 Rn. 3. 334 Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 272; ähnl. Schwartmann/Jaspers/Thüsing/Kugelmann–Schwartmann/Mühlenbeck, DSGVO/BDSG, 2018, Art. 4 Nr. 1 Rn. 7; Kühling/Buchner–Klar/Kühling, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 1; Plath–Schreiber, DSGVO/BDSG, 3. Aufl., 2018, Art. 4 Rn. 1; Sydow–Ziebarth, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Rn. 3. 335 Art. 55 ff. DSGVO; vgl. auch Hofmann/Johannes, ZD, 2017, 221, 222.

© Der/die Herausgeber bzw. der/die Autor(en), exklusiv lizenziert durch Springer Fachmedien Wiesbaden GmbH, ein Teil von Springer Nature 2020 C. Peitz, Datenschutzrechtliche Verantwortlichkeit in Blockchain-Systemen, Juridicum – Schriften zum Medien-, Informations- und Datenrecht, https://doi.org/10.1007/978-3-658-32050-8_3

I. Personenbezug im Kontext einer Blockchain

73

verarbeitungen wie etwa die Speicherung und Übermittlung der Daten unterfielen in diesem Fall der DSGVO und bedürften insbesondere auch einer hinreichenden Verarbeitungsgrundlage.336 Spiegelbildlich wäre eine datenschutzrechtliche Betrachtung der Blockchain-Technologie nicht zielführend, wenn die Anwendung der DSGVO bezüglich Blockchains von vornherein völlig ausgeschlossen wäre.

Konkret geht es also um die Frage, ob bei Blockchains die „Trennlinie“337 zum Personenbezug überschritten wird. Von entscheidender Bedeutung ist, ob über Blockchains personenbezogene Daten im Sinne der Art. 1 und 2 DSGVO verarbeitet werden oder ob ein Personenbezug generell ausgeschlossen ist. Dieses Problem wird dadurch verschärft, dass die DSGVO jedenfalls ihrem Wortlaut nach nicht eindeutig die Frage beantwortet, aus wessen Perspektive ein Personenbezug herstellbar sein muss. Es ist unklar, ob es für die Herstellbarkeit eines Personenbezuges bei der DSGVO nur auf die Möglichkeiten des Datenverarbeiters selbst (subjektive Sichtweise) oder zusätzlich auf die Möglichkeiten jeder dritten Person (objektive Sichtweise) ankommt, oder ob ein Mittelweg zwischen diesen beiden Extrempositionen (vermittelnde Sichtweise) zu beschreiten ist.

336 Martini/Weinzierl, NVwZ, 2017, 1251; vgl. auch Schrey/Thalhofer, NJW, 2017, 1431, 1433 f.; Berger, DVBl, 2017, 1271, 1273; Isler, Datenschutz auf der Blockchain, S. 9 ff. 337 Martini/Weinzierl, NVwZ, 2017, 1251, 1252.

D. Vereinbarkeit mit dem Datenschutzrecht

74

a) Problem der Perspektive einer Identifizierbarkeit – objektiver oder relativer Personenbezug? Art. 4 Nr. 1 DSGVO definiert „personenbezogene Daten“ als solche Daten, die sich auf eine „identifizierte oder identifizierbare natürliche Person“ 338 beziehen. Ist eine Person nicht identifiziert – d.h. etwa namentlich benannt339 –, so ist sie gem. Art. 4 Nr. 1 Hs. 1 DSGVO jedenfalls identifizierbar, wenn sie „direkt oder indirekt“ durch Hinzuziehung und Kombination340 zusätzlicher Kriterien, insbesondere mittels Zuordnung zu einer „Kennung“ oder „besonderen Merkmalen“, identifiziert werden kann.341 Aber aus wessen Sicht ist zu beurteilen, ob eine natürliche Person identifiziert werden kann?

In der DSGVO fehlen Anhaltspunkte dazu, für wen ein Personenbezug herstellbar sein muss, damit eine Information als personenbezogenes Datum nach der DSGVO angesehen werden kann. Damit hängt unmittelbar die Frage zusammen, welche Erkenntnisquellen für die Beurteilung der Identifizierbarkeit einer betroffenen Person berücksichtigt werden müssen.

338

Damit wird das in der DSRL verwendete Begriffspaar der „bestimmten oder bestimmbaren“ Person ersetzt, vgl. Ehmann/Selmayr–Klabunde, DS-GVO, 2. Aufl., 2018, Art. 4 Rn. 15; Plath–Schreiber, DSGVO/BDSG, 3. Aufl., 2018, Art. 4 Rn. 7; Paal/Pauly–Ernst, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 4 Rn. 3. 339 Auernhammer–Eßer, DSGVO/BDSG, 6. Aufl., 2018, Art. 4 Rn. 17; Ehmann/Selmayr–Klabunde, DS-GVO, 2. Aufl., 2018, Art. 4 Rn. 15; Kühling/Buchner–Klar/Kühling, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 18; Gola–Gola, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 4 Rn. 4;Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 291. 340 Auernhammer–Eßer, DSGVO/BDSG, 6. Aufl., 2018, Art. 4 18 f.; Kühling/Buchner–Klar/Kühling, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 19 ff.; Plath–Schreiber, DSGVO/BDSG, 3. Aufl., 2018, Art. 4 Rn. 7; Gola–Gola, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 4 Rn. 5. 341 Das Kriterium der Identifizierbarkeit ist damit zirkulär definiert, vgl. hierzu die Kritik von Schneider, Datenschutz, 2019, S. 55.

I. Personenbezug im Kontext einer Blockchain

75

Es zeichnet sich ab, dass sich hinsichtlich der DSGVO ein Meinungsstreit darüber fortsetzen wird, ob eine Identifizierbarkeit nach objektiven oder subjektiven Kriterien zu beurteilen ist. Bereits unter Geltung der DSRL war diese Frage umstritten und spaltete die Meinungsvertreter im Wesentlichen in die Lager einer absoluten und einer relativen Theorie.

Da die DSGVO hinsichtlich des Personenbezuges einen ähnlichen Wortlaut verwendet wie die DSRL, ist der Hintergrund des Theorienstreits auch für die vorliegende Frage der Auslegung des Personenbezuges bei der DSGVO von Interesse342 und soll im Folgenden kurz skizziert werden, bevor auf den Begriff des Personenbezuges in der DSGVO343 eingegangen wird.

b) Vorgeschichte: Theorienstreit des Personenbezuges hinsichtlich EU-Datenschutzrichtlinie Die Frage, welche Erkenntnisquellen für die Identifizierbarkeit einer Person – also der Herstellung einer Beziehung zwischen verarbeiteten Daten und einer spezifischen natürlichen Person – herangezogen bzw. berücksichtigt werden müssen, wurde bereits bezüglich des BDSG a.F. sowie der EU-Datenschutzrichtlinie als den Vorgängern der DSGVO unterschiedlich beurteilt.

Der Streit entzündete sich vor allem an der Frage des Personenbezuges von dynamischen IP-Adressen, welcher die Literatur im Wesentlichen in das Lager eines objektiven und eines subjektiven Personenbezuges spaltete und letztlich

342

So bereits z.B. Kartheuser, ITRB, 2016, 267; Keppeler, CR, 2016, 360, 364; Plath–Schreiber, DSGVO/BDSG, 3. Aufl., 2018, Art. 4 Rn. 8; Hofmann/Johannes, ZD, 2017, 221, 225 m.w.N. 343 Abschnitt D.I.2.

D. Vereinbarkeit mit dem Datenschutzrecht

76

auch Anlass für den EuGH war, in der Rechtssache Breyer344 hierzu näher Stellung zu nehmen.

aa)

Meinungsspektrum

Zwar bestand Einigkeit, dass ein Datum personenbezogen ist, wenn der Verantwortliche selbst den Bezug herstellen kann, jedoch waren nach einer weiten Sichtweise (sog. absoluter/objektiver Personenbezug) zusätzlich auch die Möglichkeiten jedes Dritten zu berücksichtigen, während es nach einer restriktiveren Lesart (sog. relativer/subjektiver Personenbezug) nur auf die Möglichkeiten des Verantwortlichen selbst ankam.345 Zwischen diesen beiden Extrempositionen hatte sich ein Spektrum an vermittelnden Ansichten gebildet.

(1)

Objektiver Personenbezug: Zusatzwissen jegliches Dritten

Nach dem Verständnis eines objektiven bzw. absoluten Personenbezuges sollte für den Personenbezug eines Datums bereits die Möglichkeit genügen, dass irgendein Dritter mit den ihm zur Verfügung stehenden Daten und Erkenntnismöglichkeiten in der Lage sei, einen Personenbezug herzustellen346, oder negativ ausgedrückt: ein Personenbezug sollte nur dann nicht vorliegen,

344

EuGH, Urt. v. 19.10.2016 – Rs. C-582/14, ECLI:EU:C:2016:779 – Breyer. Sydow–Ziebarth, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 34 f.; s. auch den Überblick bei Specht/Müller-Riemenschneider, ZD, 2014, 71, 72 sowie Kaulartz, CR, 2016, 474, 479; die Begriffspaare absolut/relativ und objektiv/subjektiv bzw. abstrakt/subjektiv werden dabei synonym verwendet, vgl. Gola–Gola, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 4 Rn. 17. 346 Gola–Gola, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 4 Rn. 17; Voigt/von dem Bussche, EU-Datenschutz-Grundverordnung (DSGVO), 1. Aufl., 2018, S. 14; Auernhammer–Eßer, DSGVO/BDSG, 6. Aufl., 2018, Art. 4 Rn. 20; Schwartmann/Jaspers/Thüsing/Kugelmann–Schwartmann/Mühlenbeck, DSGVO/BDSG, 2018, Art. 4 Nr. 1 Rn. 23; Keppeler, CR, 2016, 360, 361 m.w.N. 345

I. Personenbezug im Kontext einer Blockchain

77

wenn sich dieser völlig ausschließen lasse.347 Einzig „rein hypothetische“ Möglichkeiten sollten unbeachtlich sein.348 Ein Datum wäre also bereits dann personenbezogen, wenn dieses anhand des „gesamten Weltwissens“ einer natürlichen Person zugeordnet werden könnte.349 Nach diesem Ansatz würde die bloß hypothetische Möglichkeit einer beliebigen Stelle genügen, die hinter einer einzelnen Angabe stehende Person identifizieren zu können.350

(2)

Subjektiver Personenbezug: Kein Zusatzwissen Dritter

Bei einem subjektiven bzw. relativen Personenbezug wird im Gegensatz dazu nur auf die Perspektive des datenschutzrechtlich Verantwortlichen selbst abgestellt.351 Es soll damit für die Frage des Personenbezuges eines Datums im Grundsatz nur auf die tatsächlichen Kenntnisse bzw. Erkenntnismöglichkeiten der konkreten speichernden Stelle ankommen.352 Kenntnisse Dritter sollen daher grundsätzlich unberücksichtigt bleiben.353 Inwiefern eine Information personenbezogen ist, hinge davon ab, ob die konkrete speichernde Stelle ohne

347

Härting, Datenschutz-Grundverordnung, 2016, Rn. 267. Vgl. Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, S. 277; in diese Richtung auch Wolff/Brink–Schild, Beck'scher Online-Kommentar Datenschutzrecht, 31. Edition, 2020 [Stand: 01.02.2020], Art. 4 Rn. 18. 349 Keppeler, CR, 2016, 360, 361; Schantz, NJW, 2016, 1841, 1842 f.; Auernhammer–Eßer, DSGVO/BDSG, 6. Aufl., 2018, Art. 4 Rn. 20. 350 Schrey/Thalhofer, NJW, 2017, 1431, 1433; dies entspricht wohl auch dem bisherigen Personenbezugsverständnis der deutschen Datenschutzbehörden, vgl. zum Personenbezug von IP-Adressen Düsseldorfer Kreis, Beschluss der obersten Aufsichtsbehörden für den Datenschutz im nicht-öffentlichen Bereich am 26./27. November 2009 in Stralsund; nähere Ausführungen hierzu finden sich bei Keppeler, CR, 2016, 360, 361 unter Fn. 20 m.w.N. 351 Bergt, ZD, 2015, 365, 366; Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 278; Schwartmann/Jaspers/Thüsing/Kugelmann–Schwartmann/Mühlenbeck, DSGVO/BDSG, 2018, Art. 4 Nr. 1 Rn. 23. 352 Bergt, ZD, 2015, 365, 366. 353 Vgl. Nachweise bei Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 278 sowie bei Specht/Müller-Riemenschneider, ZD, 2014, 71, 72. 348

D. Vereinbarkeit mit dem Datenschutzrecht

78

Weiteres in der Lage wäre, Daten einer bestimmten Person zuzuordnen.354 Im Gegensatz zur absoluten Theorie kann ein Datum damit für einen Datenverarbeiter anonym sein, während es für einen anderen personenbezogen ist.355

(3)

Vermittelnde Ansichten: Berücksichtigung von Zusatzwissen Dritter

unter bestimmten Voraussetzungen Da beide Theorien unterschiedliche Nachteile mit sich bringen – auf der einen Seite eine zu große Ausweitung der Anwendung des Datenschutzrechts, auf der andere Seite eine zu große Einschränkung des Betroffenendatenschutzes –, haben sich zwischen diesen beiden Extremen vermittelnde Ansichten gebildet.356

Zusatzwissen sowie Recherchemöglichkeiten sollen allenfalls soweit Berücksichtigung finden, wie sie „vernünftigerweise“ in Betracht kommen, während Informationsquellen, die aufgrund des damit verbundenen Aufwandes praktisch nicht genutzt werden, nicht zu berücksichtigen sein sollen. 357 Die vermittelnden Ansichten lassen sich wiederum graduell danach unterscheiden, wie

354

Schrey/Thalhofer, NJW, 2017, 1431, 1433; ähnl. Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 278. 355 Sydow–Ziebarth, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 36; Auernhammer–Eßer, DSGVO/BDSG, 6. Aufl., 2018, Art. 4 Rn. 20; Gola–Gola, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 4 Rn. 18. 356 Beispielhaft etwa Specht/Müller-Riemenschneider, ZD, 2014, 71, 74 (beschränkt-objektive Theorie); Keppeler, CR, 2016, 360, 361, weist darauf hin, dass sich aufgrund zahlreicher Nuancen zwei trennscharfe Theorien kaum ausmachen und sich die Meinungen eher in einer Art stufenlosen Skala beschreiben lassen; eingehend zum Meinungsspektrum: Bergt, ZD, 2015, 365, 366 ff. 357 Voigt/von dem Bussche, EU-Datenschutz-Grundverordnung (DSGVO), 1. Aufl., 2018, 14 f.; Wolff/Brink–Schild, Beck'scher Online-Kommentar Datenschutzrecht, 31. Edition, 2020 [Stand: 01.02.2020], Art. 4 Rn. 18; Keppeler, CR, 2016, 360, 361; Specht/Müller-Riemenschneider, ZD, 2014, 71, 74; i.E. wohl auch Artikel-29-Datenschutzgruppe, Stellungnahme 4/2007 zum Begriff „personenbezogene Daten“ - WP 136, v. 20.06.2007, S. 18.

I. Personenbezug im Kontext einer Blockchain

79

hoch die Schwelle anzusetzen sein soll, ab der die Mittel eines Dritten mitberücksichtigt werden müssen.358

bb)

Urteil des EuGH in der Rechtssache Breyer

Der EuGH hat sich in der Rechtssache Patrick Breyer ./. Bundesrepublik Deutschland359 anlässlich der Frage der Personenbezogenheit dynamischer IPAdressen zu der Frage, welche Erkenntnisquellen für einen Personenbezug heranzuziehen sind, geäußert.

In der Sache ging es darum, dass der Kläger Patrick Breyer mehrere Websites von Einrichtungen der Bundesrepublik Deutschland abgerufen hatte, bei denen aus Sicherheitsgründen unter anderem auch die IP-Adresse des zugreifenden Computers abgespeichert wurde. Herr Breyer begehrte, der Bundesrepublik Deutschland zu untersagen, die IP-Adressen über das Ende des Zugriffs hinaus zu speichern, auch wenn diese dynamisch waren (sich also bei jeder neuen Internetverbindung ändern).

Weil die IP-Adressen ohne entsprechende Zusatzinformationen des Internetzugangsanbieters für die Bundesrepublik Deutschland als Anbieterin von Online-Mediendiensten keinen unmittelbaren Rückschluss auf die Identität der hinter der IP-Adresse stehenden Person ermöglichten, war hier die Frage erheblich, ob es sich bei dynamischen IP-Adressen um personenbezogene Daten im Sinne des Art. 2 lit. a) DSRL handelte.

358

Hierzu näher Keppeler, CR, 2016, 360, 361; insbesondere ist umstritten, inwieweit illegale Erkenntnismöglichkeiten mit zu berücksichtigen sind. 359 EuGH, Urt. v. 19.10.2016 – Rs. C-582/14, ECLI:EU:C:2016:779 – Breyer.

80

D. Vereinbarkeit mit dem Datenschutzrecht

Der EuGH führt hierzu aus, es sei bei der Frage der Bestimmbarkeit einer Person nicht erforderlich, dass sich alle zur Identifizierung erforderlichen Informationen bei einer einzigen Person befänden.360 Nach dem EuGH kommt es insbesondere unter Berücksichtigung von Erwägungsrund 26 der DSRL entscheidend darauf an, ob eine Möglichkeit, die eigenen Daten mit den Zusatzinformationen Dritter zu verknüpfen, „vernünftigerweise“ zur Bestimmung der betroffenen Person eingesetzt werden könne und ein Mittel sei nicht „vernünftigerweise“ einsetzbar, „[…] wenn die Identifizierung der betroffenen Person gesetzlich verboten oder praktisch nicht durchführbar wäre, z.B. weil sie einen unverhältnismäßigen Aufwand an Zeit, Kosten und Arbeitskräften erdordern würde, so dass das Risiko einer Identifizierung de facto vernachlässigbar erschiene[…]“.361

Aufgrund dessen nahm der EuGH an, dass eine dynamische IP-Adresse für den Anbieter von Online-Mediendiensten jedenfalls dann ein personenbezogenes Datum im Sinne der DSRL sei, wenn dieser über rechtliche Mittel verfüge, die es ihm erlaubten, die betreffende Person anhand der Zusatzinformationen des Internetzugangsanbieters bestimmen zu lassen. Im konkreten Fall kamen als rechtliche Mittel die Möglichkeiten in Betracht, die Identität der Betroffenen beim Zugangsanbieter zu erfragen oder durch Strafverfolgungsbehörden ermitteln zu lassen.362

360

EuGH, Urt. v. 19.10.2016 – Rs. C-582/14, ECLI:EU:C:2016:779, Tz. 43 – Breyer. EuGH, Urt. v. 19.10.2016 – Rs. C-582/14, ECLI:EU:C:2016:779, Tz. 46 – Breyer. 362 EuGH, Urt. v. 19.10.2016 – Rs. C-582/14, ECLI:EU:C:2016:779, Tz. 48 – Breyer; ähnl. Sydow– Ziebarth, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 37. 361

I. Personenbezug im Kontext einer Blockchain

81

Die Rezeption des Urteils fiel unterschiedlich aus: Während viele in der Entscheidung des EuGH ein Bekenntnis zur relativen Theorie sahen und den Streit damit als erledigt betrachteten,363 werteten andere das Urteil als die Anwendung eines weitgehend objektiven Maßstabes364 oder als Ausdruck eines zumindest beschränkt-objektiven Verständnisses365.

Dies Erkenntnis ist umso wichtiger, als aufgrund der ähnlichen Formulierung in Art. 2 lit. a) DSRL und Art. 4 Nr. 1 DSGVO dem Urteil des EuGH eine gewisse Vorgreiflichkeit auf das Verständnis des Personenbezuges unter Geltung der DSGVO bescheinigt wird.366 So unterschiedliche Schlüsse aus der Entscheidung des EuGH im Einzelnen gezogen worden sein mögen, so wenig wird sich die Rechtssache Breyer bei der Betrachtung des Personenbezuges in der DSGVO ignorieren lassen.367 Ihre Grundsätze werden im Wege unionsrechtskonformer

363

So beispielsweise Schrey/Thalhofer, NJW, 2017, 1431, 1433; Martini/Weinzierl, NVwZ, 2017, 1251, 1252 f.; Schwartmann/Jaspers/Thüsing/Kugelmann–Schwartmann/Mühlenbeck, DSGVO/BDSG, 2018, Art. 4 Nr. 1 Rn. 27; Voigt/von dem Bussche, EU-Datenschutz-Grundverordnung (DSGVO), 1. Aufl., 2018, S. 15; Auernhammer–Eßer, DSGVO/BDSG, 6. Aufl., 2018, Art. 4 Rn. 26; Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 289. 364 So etwa Schneider, Datenschutz, 2019, S. 57; Plath–Schreiber, DSGVO/BDSG, 3. Aufl., 2018, Art. 4 Rn. 8 („weit auszulegen“). 365 Vgl. Specht, GRUR Int., 2017, 1040, 1042; Sydow–Ziebarth, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 37. 366 Keppeler, CR, 2016, 360, 364; Voigt/von dem Bussche, EU-Datenschutz-Grundverordnung (DSGVO), 1. Aufl., 2018, S. 15; Plath–Schreiber, DSGVO/BDSG, 3. Aufl., 2018, Art. 4 Rn. 8; Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 289; Sydow–Ziebarth, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 37; vgl. auch Wolff/Brink–Schild, Beck'scher Online-Kommentar Datenschutzrecht, 31. Edition, 2020 [Stand: 01.02.2020], Art. 4 Rn. 19. 367 So bereits Isler, Datenschutz auf der Blockchain, S. 10; ähnl. auch Hofmann/Johannes, ZD, 2017, 221, 224; Herbst, NVwZ, 2016, 902, 903; Kühling/Buchner–Klar/Kühling, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 25; Sydow–Ziebarth, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 37; Specht, GRUR Int., 2017, 1040, 1042 Fn. 14 m.w.N.

D. Vereinbarkeit mit dem Datenschutzrecht

82

Auslegung auch künftig zu berücksichtigen sein, baut doch die DSGVO auf der bisherigen DSRL368 auf.

c)

Zwischenbetrachtung: Konsequenzen für Blockchain-Systeme

Die Frage des Personenbezuges ist für Blockchains durchaus relevant, denn die maßgebliche Perspektive für die Identifizierbarkeit kann einen großen Unterschied ausmachen:

Würde man den Personenbezug in der Tradition der absoluten/objektiven Theorien verstehen, könnten Daten auf Blockchains theoretisch bereits dann personenbezogen sein, wenn irgendein Dritter eine natürliche Person anhand dieser Daten identifizieren könnte. Dann spräche viel dafür, bereits bei abgespeicherten Nutzerkennungen – wie etwa Inhaber- und Adressatenadressen für Transaktionen bei der Bitcoin-Blockchain – stets einen Personenbezug anzunehmen.369

Vor allem in Konstellationen, in denen eine Schnittstelle zwischen hoheitlichem Geldsystem und Kryptowährungen bestehen, etwa virtuellen Wechselstuben oder multilateralen Handelsplattformen, können die hinter Blockchain-Adressen stehenden natürlichen Personen in aller Regel ermittelt werden durch Wechselstuben und Handelsplattformen, sodass zumindest diese über die not-

368 369

Vgl. Erw.Gr. 3 und Erw.Gr. 9 S. 3. Berberich/Steiner, EDPL, 2016, 422, 423; Hofert, ZD, 2017, 161, 163.

I. Personenbezug im Kontext einer Blockchain

83

wendigen Mittel zur Identifizierung der Inhaber der Blockchain-Adressen verfügen und nach der objektiven Theorie konsequenterweise ein Personenbezug für jedermann anzunehmen wäre.370

Dies würde möglicherweise darauf hinauslaufen, dass jede Blockchain personenbezogene Daten enthält, denn in Zeiten von Big Data371 bestehen immer häufiger Zweifel daran, ob Daten tatsächlich vollkommen anonym, also komplett ohne die Möglichkeit eines Personenbezuges, verarbeitet werden können.372

Weitreichende Konsequenzen könnte diese Theorie vor allem aus praktischer Sicht haben, denn letztlich wäre ein Datenverarbeiter mit der Unsicherheit konfrontiert, ob nicht irgendein Dritter einen Personenbezug herstellen könnte und konsequenterweise müssten vorsichtshalber letztlich alle auf Blockchains abgelegten Daten als personenbezogene Daten im Sinne der DSGVO behandeln.373

370 Hofert, ZD, 2017, 161, 163; vgl. auch Erbguth/Fasching, ZD, 2017, 560, 562; ebenso i.E. Quiel, DuD, 2018, 566, 568. 371 D.h. der Auswertung großer, aus einer Vielzahl unterschiedlicher Quellen stammender unstrukturierter Daten zur Gewinnung neuer Informationen und Erkenntnisse, s. Gola–Sebastian Schulz, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 6 Rn. 254; ähnl. Schwartmann/Jaspers/Thüsing/Kugelmann–Schwartmann, DSGVO/BDSG, 2018, Art. 6 Rn. 228 m.w.N. 372 Schantz weist darauf hin, dass mit den Fähigkeiten zur Analyse großer Datenmengen das Risiko einer Re-Identifikation wächst und Anonymität damit allgemein immer weniger möglich erscheint, vgl. Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 300; ebenfalls in diese Richtung Brisch/Pieper, CR, 2015, 724, 726 sowie Hofmann/Johannes, ZD, 2017, 221, 225 m.w.N., während andere die Gewährleistung von Anonymität mit Blockchain-Technologien weiterhin für möglich halten, vgl. De Filippi, The Interplay between Decentralization and Privacy – The Case of Blockchain Technologies, v. 17.10.2016, S. 11; Böhme/Pesch, DuD, 2017, 473, 481. 373 Einen ähnlichen Schluss zieht auch Härting, Datenschutz-Grundverordnung, 2016, S. 285, der dazu rät, im Zweifel stets von einem weiten Verständnis des Personenbezuges auszugehen; ähnl. auch Sydow–Ziebarth, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 40.

D. Vereinbarkeit mit dem Datenschutzrecht

84

Würde man die relative bzw. subjektive Theorie als Gegenpol der absoluten Theorie in ihrer reinsten Form konsequent zu Ende denken, würden in Blockchain-Systemen Daten – insbesondere Blockchain-Adressen – nur dann Personenbezug aufweisen, wenn der Datenverarbeiter selbst Möglichkeiten hat, mit den Blockchain-Daten eine dahinterstehende Person zu identifizieren.

Bei Zugrundelegung vermittelnder Ansichten käme es bei der Beantwortung der Frage des Personenbezuges insbesondere darauf an, ob im Verhältnis zur verantwortlichen Stelle und mit etwaigem Zusatzwissen realistischerweise ein solcher Bezug hergestellt werden kann.374 Insoweit hinge das Ergebnis freilich vor allem auch davon ab, welche Einzelvoraussetzungen man für eine Hinzuziehung von Drittwissen im Einzelnen verlangt. Das Ergebnis wäre damit einzelfallabhängig.

Es bleibt festzuhalten, dass sich die Ergebnisse der verschiedenen Theorien durchaus unterscheiden können: während eine streng absolute/objektive Theorie im Ergebnis immer einen Personenbezug annehmen würde, sobald nur irgendjemand anhand einer Blockchain eine natürliche Person identifizieren könnte, würde es bei einer streng relativen Theorie auf den Verantwortlichen selbst, bei vermittelnden Theorien jeweils auf den Einzelfall ankommen.375 Insoweit bedarf es also einer näheren Betrachtung des Personenbezugsbegriffes unter der DSGVO.

374 375

Kaulartz, CR, 2016, 474, 479; ähnl. Erbguth/Fasching, ZD, 2017, 560, 562. Einschränkend Quiel, DuD, 2018, 566, 568 („keine tragende Rolle“).

I. Personenbezug im Kontext einer Blockchain

2.

85

Begriff des Personenbezuges in der DSGVO

Die DSGVO vermeidet eine klare Festlegung, ob der Personenbezug absolut oder relativ zu verstehen ist.376 Der Begriff bedarf daher der Auslegung. Im Vorfeld der Auslegung des Personenbezugs-Begriffes – genauer: der „personenbezogenen Daten“ – ist zu beachten, dass Regelungen und Begriffe in europäischen Rechtsakten in der Regel unionsautonom, also einheitlich aus sich selbst heraus und losgelöst von einzelstaatlichem Recht, auszulegen sind, wenn der Unionsgesetzgeber eigene Definitionen liefert.377 In Bezug auf den Begriff des Personenbezuges ist dies in Form von Art. 4 Nr. 1 DSGVO der Fall. Der Begriff des Personenbezuges der DSGVO ist daher als unionsrechtliche Vorschrift unionsautonom, d.h. aus sich selbst heraus auszulegen.378

Ausgehend von den traditionellen Auslegungskriterien379 sind dabei grammatikalische, systematische, historisch-genetische und teleologische Aspekte zu berücksichtigen.380

376 Wybitul–Pötters/Böhm, Handbuch EU-Datenschutz-Grundverordnung, 2017, Art. 4

Rn. 6 weisen zu Recht darauf hin, dass der EU-Gesetzgeber hier eine Chance zur Schaffung von mehr Rechtssicherheit für die Praxis vertan habe; ähnl. im Zusammenhang mit Blockchain auch Pesch/Sillaber, CRi, 2017, 166, 171. 377 Riesenhuber (Hrsg.), Europäische Methodenlehre, 3. Aufl., 2015, S. 201; Hofmann/Johannes, ZD, 2017, 221; vgl. auch F. Müller/Christensen, Juristische Methodik, 3. Aufl., 2012, Rn. 40; Calliess/Ruffert–Wegener, EUV/AEUV, 5. Aufl., 2016, Art. 19 EUV Rn. 13 m.w.N. 378 Hofmann/Johannes, ZD, 2017, 221. 379 Pragmatische Überlegungen, welche Position die Datenschutzbehörden möglicherweise einnehmen werden, sind außer Acht zu lassen – das bloße faktische Verhalten einer Behörde darf nicht die Auslegung eines Rechtsbegriffes beeinflussen. Bei einer rechtsberatenden Sichtweise spielen diese Aspekte hingegen gewiss eine Rolle, vgl. Härting, Datenschutz-Grundverordnung, 2016, S. 73. 380 Zu der üblichen Einteilung der Auslegungskriterien Riesenhuber (Hrsg.), Europäische Methodenlehre, 3. Aufl., 2015, S. 204 ff.; Calliess/Ruffert–Wegener, EUV/AEUV, 5. Aufl., 2016, Art. 19 EUV Rn. 13 ff.; ähnl. F. Müller/Christensen, Juristische Methodik, 3. Aufl., 2012, Rn. 8 ff.

86

D. Vereinbarkeit mit dem Datenschutzrecht

a) Grammatikalische Auslegung Der Begriff des Personenbezuges ist nicht als Verweisung auf nationales Recht, sondern autonom-unionsrechtlich zu verstehen. Die unterschiedlichen nationalstaatlichen Sprachfassungen von Unionsrechtsakten stehen dabei grundsätzlich gleichrangig nebeneinander.381

Für die Auslegung eines Begriffes kann insbesondere auch der sprachliche Zusammenhang Aufschlüsse geben.382 Nach Art. 4 Nr. 1 DSGVO sind Daten im Sinne der DSGVO „personenbezogene Daten“, die sich auf eine „betroffene Person“, das heißt, eine „identifizierte oder identifizierbare natürliche Person“, beziehen. Der Wortlaut von Art. 4 Nr. 1 DSGVO gibt keine konkreten Anhaltspunkte für eine bestimmte Perspektive des Personenbezuges. 383

Das Fehlen einer ausdrücklichen Regelung könnte indes für ein weites Verständnis des Personenbezuges sprechen384, andererseits ließe sich aber ebenso gut zugunsten eines engeren Verständnisses argumentieren, dass die Einbeziehung von Sonderwissen Dritter einer ausdrücklichen Regelung bedürfte385 und dass bei einem streng objektiven Verständnis die Fallgruppen „identifizierte“

381

Riesenhuber (Hrsg.), Europäische Methodenlehre, 3. Aufl., 2015, S. 205; Hofmann/Johannes, ZD, 2017, 221; F. Müller/Christensen, Juristische Methodik, 3. Aufl., 2012, Rn. 41. 382 Riesenhuber (Hrsg.), Europäische Methodenlehre, 3. Aufl., 2015, S. 207; Hofmann/Johannes, ZD, 2017, 221, 222 m.w.N. 383 So auch beispielsweise Piltz, K&R, 2016, 557, 561; Schantz, NJW, 2016, 1841, 1843; Hofmann/Johannes, ZD, 2017, 221, 222; Buchner, DuD, 2016, 155, 156; D. Heckmann, Kapitel 9: Datenschutz, in: Heckmann (Hrsg.), jurisPK-Internetrecht, 6. Aufl., 2019 [Stand: 20.03.2020], Rn. 103; Schwartmann/Jaspers/Thüsing/Kugelmann–Schwartmann/Mühlenbeck, DSGVO/BDSG, 2018, Art. 4 Nr. 1 Rn. 24. 384 Hofmann/Johannes, ZD, 2017, 221, 222. 385 Vgl. für § 3 BDSG a.F. Specht/Müller-Riemenschneider, ZD, 2014, 71, 73.

I. Personenbezug im Kontext einer Blockchain

87

und „identifizierbare“ Person faktisch nicht mehr sinnvoll unterscheidbar wären386. Der Wortlaut schließt weder eine absolute noch eine relative Sichtweise ausdrücklich aus.

Durch einen Umkehrschluss lässt sich an Art. 4 Nr. 1 DSGVO aber jedenfalls ablesen, dass Daten immer dann keinen Personenbezug haben, wenn sie sich nicht auf eine identifizierte oder identifizierbare Person beziehen, sodass der Wortlaut zumindest insoweit der Auslegung gewisse Grenzen setzt.387

b) Systematische Auslegung Im Rahmen der systematischen Auslegung einer Vorschrift ist der sprachliche Gesamtkontext, also der Gesamtzusammenhang einer Vorschrift (Systematik innerhalb eines Rechtsaktes) sowie ihr Zusammenhang mit anderen europäischen Regelungen (rechtsaktsübergreifende äußere Systematik) entscheidend.388

aa)

Rechtsaktübergreifende Systematik der DSGVO

Ein Vergleich mit europäischen Parallelvorschriften mit datenschutzrechtlichem Bezug gibt indes keine näheren Aufschlüsse. Die DSGVO verweist in

386

Schwartmann/Jaspers/Thüsing/Kugelmann–Schwartmann/Mühlenbeck, DSGVO/BDSG, 2018, Art. 4 Nr. 1 Rn. 26. 387 Hofmann/Johannes, ZD, 2017, 221, 222; ähnl. Sydow–Ziebarth, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 36 f.; Schwartmann/Jaspers/Thüsing/Kugelmann– Schwartmann/Mühlenbeck, DSGVO/BDSG, 2018, Art. 4 Nr. 1 Rn. 9. 388 Vgl. Riesenhuber (Hrsg.), Europäische Methodenlehre, 3. Aufl., 2015, S. 208; ähnl. F. Müller/Christensen, Juristische Methodik, 3. Aufl., 2012, Rn. 58.

88

D. Vereinbarkeit mit dem Datenschutzrecht

Erw.Gr. 17 S. 1 auf die Verordnung (EG) Nr. 45/2001389. Diese wiederholt jedoch in Art. 2 lit. a) lediglich den Wortlaut des Art. 2 lit. a) DSRL – also des Vorgängers des Art. 4 Nr. 1 DSGVO – und gibt damit keine Hinweise hinsichtlich des absoluten oder relativen Personenbezuges.390 Auch die in Erw.Gr. 19 S. 3 erwähnte Richtlinie (EU) 2016/680391 wiederholt in Art. 3 Nr. 1 den Wortlaut des Art. 4 Nr. 1 DSGVO, ohne jedoch eine Aussage zur Perspektive des Personenbezuges zu ermöglichen.392 Auch der Entwurf der „ePrivacy-Verordnung“393 der Europäischen Kommission greift in Art. 4 Nr. 1 lit. a) auf die Regelung in Art. 4 Nr. 1 der DSGVO zurück und gibt keine weiteren Hinweise.394

389

Verordnung (EG) Nr. 45/2001 des Europäischen Parlaments und des Rates vom 18. Dezember 2000 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe und Einrichtungen der Gemeinschaft und zum freien Datenverkehr, ABl. Nr. L 8 v. 12.01.2001, S. 1 ff. 390 Hofmann/Johannes, ZD, 2017, 221, 222; die Verordnung 45/2001/EG wurde wohl auch aus Kapazitätsgründen nicht in die DSGVO integriert, s. Albrecht/Jotzo, Das neue Datenschutzrecht in der EU, 1. Aufl., 2017, S. 64. 391 Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates, ABl. Nr. L 119 v. 04.05.2016, S. 89 ff. 392 Die Begriffsbestimmungen orientieren sich auf Drängen des Europäischen Parlaments an denen der DSGVO, s. Albrecht/Jotzo, Das neue Datenschutzrecht in der EU, 2017, 1. Aufl., S. 140. 393 Europäische Kommission, Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates über die Achtung des Privatlebens und den Schutz personenbezogener Daten in der elektronischen Kommunikation und zur Aufhebung der Richtlinie 2002/58/EG (Verordnung über Privatsphäre und elektronische Kommunikation) – COM (2017) 10 final, v. 10.01.2017; Albrecht, CR, 2016, 88. 394 So bereits Hofmann/Johannes, ZD, 2017, 221, 222.

I. Personenbezug im Kontext einer Blockchain

bb)

89

Innere Systematik der DSGVO

Betrachtet man den inneren Regelungszusammenhang der DSGVO, so lassen sich für eine nähere Betrachtung des Personenbezuges vor allem Gesichtspunkte zu Regelungen der Anonymität und Pseudonymität – also Fällen, in denen gerade kein Personenbezug gegeben ist – heranziehen.

Für einen eher relativen Ansatz spricht das Verständnis der DSGVO von Anonymisierung. Aus einem Umkehrschluss zu der Definition des Personenbezuges folgt, dass Daten anonym sind, wenn sie sich nicht auf eine identifizierte oder identifizierbare Person beziehen.395 Art. 89 Abs. 1 DSGVO, welcher die privilegierte Verarbeitung personenbezogener Daten regelt, greift diesen Zusammenhang auf: Wenn der privilegierende Zweck einen Personenbezug nicht mehr voraussetzt, so entfällt die Berechtigung zur Verarbeitung personenbezogener Daten und gem. Art. 89 Abs. 1 S. 4 DSGVO müsste dann möglichst ohne Personenbezug – sprich: mit Anonymisierung396 – weitergearbeitet werden. Würde aber die DSGVO im Sinne der absoluten Theorie auf alle erdenklichen Möglichkeiten sämtlicher Menschen zur Identifizierung abstellen, so bestünde angesichts des technischen Fortschritts bei Big Data-Anwendungen die Möglichkeit einer Anonymisierung letztlich kaum noch.397 Das Rechtsinstitut der Anonymisierung würde praktisch ausgehebelt.398 So kann die DSGVO aber

395

Vgl. Erw.Gr. 26 S. 5. Vgl. hierzu auch Albrecht, CR, 2016, 88, 91; Sydow–Hense, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 89 Rn. 11; Wolff/Brink–Eichler, Beck'scher Online-Kommentar Datenschutzrecht, 31. Edition, 2020 [Stand: 01.05.2019], Art. 89 Rn. 15; Paal/Pauly–Pauly, DatenschutzGrundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 89 Rn. 12. 397 Hofmann/Johannes, ZD, 2017, 221, 223. 398 Schwartmann/Jaspers/Thüsing/Kugelmann–Schwartmann/Mühlenbeck, DSGVO/BDSG, 2018, Art. 4 Nr. 1 Rn. 26. 396

90

D. Vereinbarkeit mit dem Datenschutzrecht

nicht gemeint sein. Der Begriff der Anonymisierung hat nur dann einen relevanten Anwendungsbereich, wenn der Personenbezug als sein Gegenstück nicht absolut, sondern aus einem eher relativen Blickwinkel ausgelegt wird.399

Gegen einen relativen Ansatz sprechen wiederum die Regelungen zur Pseudonymisierung. Art. 4 Nr. 5 DSGVO definiert letztere als eine „Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können“, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und bestimmten technischen und organisatorischen Maßnahmen unterliegen. Erw.Gr. 26 S. 2 stellt hierzu klar, dass Daten ungeachtet ihrer Pseudonymisierung einen Personenbezug aufweisen können, was zeigt, dass das Wissen Dritter für den Personenbezug eine Rolle spielen muss und eher gegen einen relativen Ansatz spricht.400

Dies könnte umgekehrt sogar für einen absoluten Ansatz sprechen, denn pseudonyme Daten können als personenbezogene Daten im Sinne des Art. 4 Nr. 1 DSGVO gewertet werden, obgleich nicht jeder, der solche pseudonymen Daten verarbeitet, dadurch auch zwingend einen Personenbezug wird herstellen können.401 Dagegen lässt sich wiederum anführen, dass diesem Argument ein zu weites Verständnis von pseudonymen Daten zu Grunde liegt:

399

Vgl. Marnau, DuD, 2016, 428, 430; ähnl. Auernhammer–Eßer, DSGVO/BDSG, 6. Aufl., 2018, Art. 4 Rn. 72; Sydow–Ziebarth, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 39. 400 Marnau, DuD, 2016, 428, 430; anders Roßnagel, ZD, 2018, 243, 244, der zwischen Art. 4 Nr. 5 DSGVO und Erw.Gr. 26 S. 2 einen Widerspruch sieht. 401 Plath–Schreiber, BDSG/DSGVO, 2. Aufl. (Voraufl.), 2016, Art. 4 Rn. 9, der sich jedoch einem (vermittelnden) relativen Personenbezugsverständnis anschließt.

I. Personenbezug im Kontext einer Blockchain

91

Nach der Definition des Art. 4 Nr. 5 DSGVO ist eine Pseudonymisierung die Verarbeitung personenbezogener Daten in einer Weise, dass diese „ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können“, wobei sichergestellt sein muss, dass die zusätzlichen Informationen so aufbewahrt werden, dass eine Zuordnung nicht erfolgt. Erw.Gr. 26 S. 2 wiederum zeigt, dass pseudonymisierte Daten trotz dieser Trennung personenbezogen sind, wenn sie durch Heranziehung zusätzlicher Informationen einer identifizierbaren natürlichen Person zugeordnet werden „könnten“.402 Insoweit reicht also die bloße Möglichkeit aus, an identifizierendes Zusatzwissen zu gelangen – jemand, der andererseits nicht tatsächlich über das nötige Zusatzwissen verfügt, könnte in der Regel auch niemanden identifizieren.403 Ein solches Verständnis würde wiederum nahelegen, dass die DSGVO von einem eher relativen Ansatz ausgeht, weil danach von Bedeutung wäre, wer über Zusatzinformationen verfügt und wem eine Zuordnung zu einer Person tatsächlich möglich ist.404

c)

Historische Auslegung

Bei einer historischen bzw. genetischen Auslegung stehen Vorgeschichte und Entstehungsgeschichte eines Rechtsbegriffes im Vordergrund und es ist grundsätzlich das Ziel, den Willen des Gesetzgebers zu ermitteln. 405

402

Hofmann/Johannes, ZD, 2017, 221, 223. Hofmann/Johannes, ZD, 2017, 221, 223. 404 Hofmann/Johannes, ZD, 2017, 221, 223; Roßnagel, ZD, 2018, 243, 245; ähnl. auch Specht/Müller-Riemenschneider, ZD, 2014, 71, 73 zu der Regelung der Pseudonymisierung gem. § 3 Abs. 6 BDSG a.F. 405 Riesenhuber (Hrsg.), Europäische Methodenlehre, 3. Aufl., 2015, S. 211 f.; Calliess/Ruffert–Wegener, EUV/AEUV, 5. Aufl., 2016, Art. 19 EUV Rn. 14. 403

92

D. Vereinbarkeit mit dem Datenschutzrecht

Ausweislich Erw.Gr. 9 S. 1406 behält die DSGVO die Ziele und Grundsätze der DSRL bei. Die DSGVO bezweckt im Interesse des Grundrechtsschutzes den Schutz natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten407 auf einem möglichst hohen Niveau durch die Schaffung eines möglichst einheitlichen Rechtsrahmens innerhalb der EU408. Jedoch beanspruchen die Ziele und Grundsätze der DSRL als Vorgängerregelung auch in der DSGVO Gültigkeit.409 Vor diesem Hintergrund hat sich der Unionsgesetzgeber für die Begriffsdefinitionen im Wesentlichen die Bestimmungen der DSRL zum Vorbild genommen410, bei der freilich die Frage der Perspektive des Personenbezuges nicht abschließend geklärt war411.

Im Vergleich zur DSRL fällt zwar auf, dass sich der Wortlaut der Definition in Art. 4 Nr. 1 DSGVO im Vergleich zur DSRL insoweit geändert hat, als eine Person anders als noch in Art. 2 lit. a) DSRL nicht mehr auf eine „bestimmte oder bestimmbare“, sondern auf eine „identifizierte oder identifizierbare“ Person

406

Zur Bedeutung der Erwägungsgründe bei der Ermittlung des Gesetzgeberwillens Riesenhuber (Hrsg.), Europäische Methodenlehre, 3. Aufl., 2015, S. 214; F. Müller/Christensen, Juristische Methodik, 3. Aufl., 2012, Rn. 76. 407 Vgl. Erw.Gr. 2 S. 1. 408 Vgl. Erw.Gr. 10 S. 1; Erw.Gr. 13. 409 Erw.Gr. 9 S. 1. 410 S. hierzu die Vorschlagserläuterungen bei Europäische Kommission, Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung) – COM/2012/11/final, v. 25.01.2012, S. 8. 411 Hierzu beispielsweise Karg, DuD, 2015, 520, 525; Hofmann/Johannes, ZD, 2017, 221, 225; a.A. Albrecht/Jotzo, Das neue Datenschutzrecht in der EU, 1. Aufl., 2017, S. 58, die auch bei der DSRL von einem absoluten Ansatz ausgehen.

I. Personenbezug im Kontext einer Blockchain

93

abstellt. Da aber insbesondere die Wortwahl in der englischen und der französischen Sprachfassung unverändert geblieben ist, ist davon auszugehen, dass es sich hier lediglich um eine redaktionelle Anpassung handelt.412

Die Regelung bezüglich der Definition personenbezogener Daten war im Gesetzgebungsprozess im Vergleich zum 1. Entwurfstext der DSGVO nur geringfügigen Veränderungen unterworfen.413 Dabei war der Gedanke leitend, dass der Geltungsbereich durch die Definition keine Einschränkung erfahren, sondern vielmehr die Grundstruktur der Definition „in ihrem Kern“ gestärkt werden sollte.414 Im Gesetzgebungsprozess wurde eine „Einführung subjektiver Elemente bei den Bemühungen, die die für die Verarbeitung Verantwortlichen unternehmen sollten, um personenbezogene Daten zu erkennen“ explizit abgelehnt; stattdessen sollte der Begriff durch objektive Kriterien konkreter gefasst werden.415

Neu im Vergleich zur Definition in Art. 2 lit. a) DSRL ist die Aufzählung von Namen, Online-Kennungen und genetischer Identität.416 Im Zusammenhang mit Kennungen fällt auf, dass der finale Text der DSGVO gewisse Einschränkungen

412

Krügel, ZD, 2017, 455, 455 f.; Auernhammer–Eßer, DSGVO/BDSG, 6. Aufl., 2018, Art. 4 Rn. 16; ähnl. Kühling/Buchner–Klar/Kühling, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 2; Schwartmann/Jaspers/Thüsing/Kugelmann–Schwartmann/Mühlenbeck, DSGVO/BDSG, 2018, Art. 4 Nr. 1 Rn. 7 f.; Paal/Pauly–Ernst, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 4 Rn. 3. 413 Hofmann/Johannes, ZD, 2017, 221, 225. 414 Albrecht, CR, 2016, 88, 91. 415 Dies belegen die Ausführungen des Ausschuss für bürgerliche Freiheiten, Justiz und Inneres, Bericht über den Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (allgemeine Datenschutzverordnung), (COM(2012)0011 – C7-0025/2012 – 2012/0011(COD)) – Dokument-Nr. A7-0402/2013, v. 21.11.2013, S. 236. 416 Hofmann/Johannes, ZD, 2017, 221, 225; Buchner, DuD, 2016, 155, 156.

94

D. Vereinbarkeit mit dem Datenschutzrecht

im Vergleich zum Kommissionsentwurf417 und zum Ratsentwurf418 nicht mehr enthält, was für ein weites Personenbezugsverständnis sprechen könnte.419 Allerdings finden sich in den Gesetzgebungsunterlagen keinerlei belastbaren Anhaltspunkte dafür, dass der Wegfall dieser Klarstellungen tatsächlich eine inhaltlich-regelnde Bedeutung und nicht schlicht redaktionelle Gründe gehabt haben könnte.420

d) Teleologische Auslegung Ausgangspunkt einer nach teleologischen Aspekten ausgerichteten europarechtlichen Auslegung ist der historische Gesetzeszweck, also die Vorstellungen des Unionsgesetzgebers.421 Auch hier spielen insbesondere die Erwägungsgründe für die spezifische Regelung eine wichtige Rolle.422

417

„Kennnummern, Standortdaten, Online-Kennungen oder sonstige Elemente als solche“ sollten „nicht zwangsläufig und unter allen Umständen“ personenbezogene Daten sein, vgl. Erw.Gr. 24, Europäische Kommission, Verordnungsvorschlag v. 25.01.2012. 418 Informationen sollten nur dann personenbezogen sein, wenn mit diesen eine natürliche Person bestimmt oder bestimmbar gemacht werden konnte, vgl. Erw.Gr. 24, Rat der Europäischen Union, Vermerk über den Kompromisstext der DSGVO gemäß der allgemeinen Ausrichtung des Rates der Europäischen Union vom 11.06.2015 – Dokument-Nr. 9565/15, v. 11.06.2015. 419 Buchner, DuD, 2016, 155, 156. 420 Hofmann/Johannes, ZD, 2017, 221, 225; gegen eine Regelungsabsicht sprechen jedenfalls Überlegungen in den Beratungen des Ausschusses der Ständigen Vertreter, die darauf hindeuten, dass eine Kennung gerade nicht in jedem Falle zu einem Personenbezug führen sollte, vgl. Ausschuss der Ständigen Vertreter des Rates der Europäischen Union, Darlegung der Ergebnisse der Beratungen des Ausschusses der Ständigen Vertreter auf der Tagung vom 9. Juni 2015 – Dokument-Nr. 9788/15, v. 11.06.2015, S. 86 Fn. 122. 421 Riesenhuber (Hrsg.), Europäische Methodenlehre, 3. Aufl., 2015, S. 215; ähnl. Calliess/Ruffert– Wegener, EUV/AEUV, 5. Aufl., 2016, Art. 19 EUV Rn. 16. 422 Riesenhuber (Hrsg.), Europäische Methodenlehre, 3. Aufl., 2015, S. 215; ähnl. F. Müller/Christensen, Juristische Methodik, 3. Aufl., 2012, Rn. 102 m.w.N.

95

I. Personenbezug im Kontext einer Blockchain

aa)

Erw.Gr. 2

Die DSGVO will beitragen zu einer „Vollendung eines Raums der Freiheit, der Sicherheit und des Rechts und einer Wirtschaftsunion, zum wirtschaftlichen und sozialen Fortschritt, zur Stärkung und zum Zusammenwachsen der Volkswirtschaften innerhalb des Binnenmarkts sowie zum Wohlergehen natürlicher Personen“.423 Auch wenn ihr Ziel ein möglichst wirksamer Schutz des Grundrechts auf Schutz bei der Verarbeitung personenbezogener Daten ist, beabsichtigt die DSGVO keinen absoluten Schutz, sondern stellt das Recht unter den Vorbehalt der Verhältnismäßigkeit und der Vereinbarkeit mit anderen Grundrechten.424 Ein Interesse am Umgang mit personenbezogenen Daten kann von unterschiedlichen Grundrechten geschützt sein, wie zum Beispiel der unternehmerischen Entscheidungsfreiheit (Art. 16 GRCh), der Wissenschaftsfreiheit (Art. 13 GRCh)

oder

der

Presse-

bzw.

Informationsfreiheit

(Art. 11 Abs. 2 GRCh).425

Dies streitet für eine relative Betrachtungsweise: Eine Anwendung der Regeln der DSGVO in einem Fall, in welchem von einem Datenverarbeiter mangels realistischer Identifizierungsmöglichkeiten keine Gefahr ausgeht, erschiene angesichts der Ziele der DSGVO und der Grundrechte anderer unverhältnismäßig.426

423

Erw.Gr. 2 S. 2. Erw.Gr. 4 S. 2. 425 Hofmann/Johannes, ZD, 2017, 221, 225; ähnl. Pesch/Sillaber, CRi, 2017, 166, 171 m.w.N.; die DSGVO erstrebt gem. Erw.Gr. 4 Satz 3 ausdrücklich einen Einklang mit diesen Grundrechten. 426 Hofmann/Johannes, ZD, 2017, 221, 225; in diese Richtung auch Auernhammer–Eßer, DSGVO/BDSG, 6. Aufl., 2018, Art. 4 Rn. 20. 424

D. Vereinbarkeit mit dem Datenschutzrecht

96

Einer rein relativen Betrachtungsweise steht allerdings entgegen, dass der Datenverarbeiter es letztlich selbst in der Hand hätte, ob und wann ein Datum personenbezogen wird und damit die Regeln des Datenschutzes ausgelöst werden – er könnte bis zu diesem Zeitpunkt frei und unkontrolliert über die Daten verfügen.427 Die DSGVO kann aber nicht so gemeint sein, dass der Schutz personenbezogener Daten letztlich in der Hand des Datenverarbeiters liegt. Ausweislich Erw.Gr. 7 S. 2 sollen nämlich die Betroffenen selbst es sein, die Kontrolle über ihre eigenen Daten haben.

bb)

Erw.Gr. 26

Zu der Frage, wann die DSGVO Daten als personenbezogene Daten ansieht, verhält sich insbesondere Erw.Gr. 26. Verschiedene Aspekte der Begründungserwägungen geben Anhaltspunkte für den Personenbezug, die im Folgenden nacheinander untersucht werden sollen.428

(1)

Vom Verantwortlichen oder einer anderen Person

Nach Erw.Gr. 26 S. 3 sollen für die Feststellung, ob eine Person identifizierbar ist, „alle Mittel berücksichtigt werden, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die natürliche Person direkt oder indirekt zu identifizieren, wie beispielsweise das Aussondern.“.

427

Ähnlich die Argumentation in der Rechtssache Breyer vom Generalanwalt beim EuGH SánchezBordona, Schlussantrag v. 12.05.2016 – Rs. C-582/14, ECLI:EU:C:2016:339 2016, 76 – Rechtssache C-582/14 - Breyer. 428 Zur Unterteilung des Erw.Gr. 26 in seine wesentlichen Elemente vgl. Hofmann/Johannes, ZD, 2017, 221, 223 f.

I. Personenbezug im Kontext einer Blockchain

97

Berücksichtigt man den Bezugspunkt, welchem die Identifizierungsmittel zur Verfügung stehen müssen, so fällt auf, dass es nach der DSGVO nicht allein auf den Verantwortlichen selbst ankommt, sondern daneben auch auf die Möglichkeiten von „anderen Personen“. Die DSGVO stellt damit einen Dritten semantisch gleichwertig neben den Verantwortlichen und verleiht ersterem eine gewisse Selbständigkeit. Anders als bei einer relativen Sichtweise ist nicht primär auf den Verantwortlichen, sondern gleichbedeutend auch auf die Sicht einer „anderen Person“ abzustellen. Bei einem relativen Ansatz würde die Bezugnahme auf eine „andere Person“ unverständlich – denn wäre der Dritte nur unselbständige Hilfsperson, so käme es nicht darauf an, welche Mittel nach Erw.Gr. 26 S. 3 von ihm selbst „nach allgemeinem Ermessen wahrscheinlich“ eingesetzt würden.429 Er wäre nicht Bezugspunkt für die Frage, welche Mittel er vermutlich verwendet, sondern vielmehr selbst nur unselbständiges „Mittel“.

Diese Lesart wird auch durch Formulierungen in anderen – bei der Interpretation europäischer Normen in gleicher Weise zu berücksichtigenden430 – Sprachfassungen des Erw.Gr. 26 S. 3 gestützt, die sogar noch weiter gefasst sind als die deutsche Übersetzung und „irgendeine“ andere Person genügen lassen.431 Da nach dem Willen des Gesetzgebers für den Personenbezug auch das Wissen

429

Für die ähnliche Formulierung in der DSRL bereits Herbst, NVwZ, 2016, 902, 904. Riesenhuber (Hrsg.), Europäische Methodenlehre, 3. Aufl., 2015, S. 205; F. Müller/Christensen, Juristische Methodik, 2012, Rn. 42. 431 So für die französische und spanische Sprachfassung Hofmann/Johannes, ZD, 2017, 221, 223. 430

D. Vereinbarkeit mit dem Datenschutzrecht

98

Dritter selbständig zu berücksichtigen ist, spricht dies für einen eher objektiven Ansatz.432

(2)

Nach allgemeinem Ermessen wahrscheinlich

Andererseits lässt sich argumentieren, dass es für die DSGVO zwar nicht ausschließlich auf die Kenntnis des Datenverarbeiters selbst ankommt; umgekehrt ist das Wissen Dritter aber auch nicht immer, sondern nur unter bestimmten Voraussetzungen relevant – nämlich nur dann, wenn dieses Wissen „nach allgemeinem Ermessen wahrscheinlich“ genutzt wird. Der Umstand, dass die bloße abstrakte Nutzungsmöglichkeit von identifizierenden Mitteln für einen Personenbezug offenbar nicht ausreicht, spricht mehr für einen subjektiven Ansatz.433

Freilich hängt dies maßgeblich davon ab, wie die Nutzungswahrscheinlichkeit verstanden wird.434 Für ein objektives Verständnis könnte sprechen, dass die deutsche Fassung der DSGVO gerade hier Änderungen im Wortlaut erfahren hat und solche Mittel berücksichtigen will, welche „nach allgemeinem Ermessen

wahrscheinlich“

(anstelle

von

„vernünftigerweise“

gem.

Erw.Gr. 26 S. 2 DSRL) herangezogen werden. Dies könnte darauf hindeuten,

432

So auch Krügel, ZD, 2017, 455, 456; Wójtowicz/Cebulla, PinG, 2017, 186, 187; Brink/Eckhardt, ZD, 2015, 205, 209; Albrecht/Jotzo, Das neue Datenschutzrecht in der EU, 1. Aufl., 2017, S. 58; Feiler/Forgó–Feiler/Forgó, EU-DSGVO, 2017, Art. 4 Rn. 3; ähnl. Kühling/Buchner–Klar/Kühling, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 26; Schwartmann/Jaspers/Thüsing/Kugelmann–Schwartmann/Mühlenbeck, DSGVO/BDSG, 2018, Art. 4 Nr. 1 Rn. 24; in diese Richtung auch Plath–Schreiber, DSGVO/BDSG, 3. Aufl., 2018, Art. 4 Rn. 8. 433 Schwartmann/Jaspers/Thüsing/Kugelmann–Schwartmann/Mühlenbeck, DSGVO/BDSG, 2018, Art. 4 Nr. 1 Rn. 24; Hofmann/Johannes, ZD, 2017, 221, 224; so i.E. wohl auch Marnau, DuD, 2016, 428, 430; Wójtowicz/Cebulla, PinG, 2017, 186, 188. 434 Piltz, K&R, 2016, 557, 561.

I. Personenbezug im Kontext einer Blockchain

99

dass der EU-Gesetzgeber hier eine Neubewertung vorgenommen hat, die einen strengeren Maßstab verlangt.435

Viel spricht allerdings dafür, dem Passus „nach allgemeinem Ermessen“ keine solche Bedeutung beizumessen und weiterhin im Sinne von „vernünftigerweise“ zu deuten.436 Obgleich Erw.Gr. 26 S. 2 DSRL noch ausdrücklich auf „vernünftigerweise“ einzusetzende Mittel abstellte, bestehen keine Anhaltspunkte, für die DSGVO nicht auch ähnliche Maßstäbe anzusetzen.437 Weder aus dem Normtext noch aus den Erwägungsgründen ergibt sich, dass der EU-Gesetzgeber vom bisherigen Begriffsverständnis hat abweichen wollen.438 Das legen auch die Gesetzesmaterialien nahe, in denen zunächst noch die Wendung „aller Voraussicht nach“ verwendet worden war.439 Zudem finden sich in anderen Sprachfassungen des Erw.Gr. 26 S. 2 DSGVO Formulierungen, die sich durchaus als „vernünftigerweise“ übersetzen lassen, wie beispielsweise die englische („means reasonably likely to be used“), die französische („des moyens raisonnablement susceptibles d'être utilisés“) oder die spanische („medios, […] que razonablemente pueda utilizar“).

435

Vgl. Krügel, ZD, 2017, 455, 459 im Zusammenhang mit der Berücksichtigung illegaler Erkenntnismöglichkeiten beim Personenbezug. 436 Kühling/Buchner–Klar/Kühling, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 20; Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 280; Wolff/Brink–Schild, Beck'scher Online-Kommentar Datenschutzrecht, 31. Edition, 2020 [Stand: 01.02.2020], Art. 4 Rn. 18; Hofmann/Johannes, ZD, 2017, 221, 224; i.E. wohl auch Krügel, ZD, 2017, 455, 456; Roßnagel, ZD, 2018, 243, 245. 437 Piltz, K&R, 2016, 557, 561; Plath–Schreiber, BDSG/DSGVO, 2. Aufl. (Voraufl.), 2016, Art. 4 Rn. 7. 438 Plath–Schreiber, BDSG/DSGVO, 2. Aufl. (Voraufl.), 2016, Art. 4 Rn. 7. 439 Vgl. jeweils Erw.Gr. 23 in den Entwurfstexten bei Europäische Kommission, Verordnungsvorschlag v. 25.01.2012; Europäisches Parlament, Standpunkt des Europäischen Parlaments festgelegt in erster Lesung am 12. März 2014 im Hinblick auf den Erlass der Verordnung (EU) Nr. …/2014 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung) – Dokument TA/2014/212/P7, v. 12.03.2014; Rat der Europäischen Union, Vermerk v. 11.06.2015.

100

D. Vereinbarkeit mit dem Datenschutzrecht

Da nicht nur die Erwägungsgründe, sondern auch die Definitionen des Personenbezuges in DSGVO und DSRL sprachlich sehr ähnlich sind, lassen sich auch die Ausführungen des EuGH in der Rechtssache Breyer440 bei der Auslegung der DSGVO heranziehen.441 In dieser Entscheidung hat der EuGH ausgeführt, es sei zwar nicht erforderlich, dass „sich alle zur Identifizierung der betreffenden Person erforderlichen Informationen in den Händen einer einzigen Person befinden“442, jedoch könne ein Mittel dann nicht „vernünftigerweise“ eingesetzt werden, wenn die Identifizierung entweder „[…] gesetzlich verboten oder praktisch nicht durchführbar wäre […], so dass das Risiko einer Identifizierung de facto vernachlässigbar erschiene [...]“443. Damit hat der EuGH die objektive Theorie – welche die Berücksichtigung von Drittwissen nicht vom Vorbehalt der Verhältnismäßigkeit abhängig machen würde – jedenfalls formal klar abgelehnt.444

Andererseits wird der Personenbezug vom EuGH so weit verstanden, dass letztlich auch theoretisches Wissen Dritter zugerechnet werden könnte: Nach dem

440

EuGH, Urt. v. 19.10.2016 – Rs. C-582/14, ECLI:EU:C:2016:779 – Breyer. Wybitul–Pötters/Böhm, Handbuch EU-Datenschutz-Grundverordnung, 2017, Art. 4 Rn. 6; Kühling/Buchner–Klar/Kühling, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 20 ff.; Plath–Schreiber, DSGVO/BDSG, 3. Aufl., 2018, Art. 4 Rn. 8; Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 282; i.E. auch Sydow–Ziebarth, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 37; Schwartmann/Jaspers/Thüsing/Kugelmann– Schwartmann/Mühlenbeck, DSGVO/BDSG, 2018, Art. 4 Nr. 1 Rn. 27; Paal/Pauly–Ernst, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 4 Rn. 11; Hofmann/Johannes, ZD, 2017, 221, 224; einschränkend Krügel, ZD, 2017, 455, 459. 442 EuGH, Urt. v. 19.10.2016 – Rs. C-582/14, ECLI:EU:C:2016:779, Tz. 43 – Breyer. 443 EuGH, Urt. v. 19.10.2016 – Rs. C-582/14, ECLI:EU:C:2016:779, Tz. 46 – Breyer. 444 Sydow–Ziebarth, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 37; i.E. auch Kühling/Buchner–Klar/Kühling, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 26; Schwartmann/Jaspers/Thüsing/Kugelmann–Schwartmann/Mühlenbeck, DSGVO/BDSG, 2018, Art. 4 Nr. 1 Rn. 27; Hofmann/Johannes, ZD, 2017, 221, 223 f. 441

I. Personenbezug im Kontext einer Blockchain

101

Urteil des EuGH ist ein Webseitenbetreiber nämlich auch dann Adressat des Datenschutzrechts, wenn er eine Person nur mit Daten eines Dritten, also eines Internet-Providers, identifizieren kann.445 Der Webseitenbetreiber muss indes keinen „direkten“ Anspruch auf Offenlegung gegen den Internet-Provider haben,446 sodass für die Identifizierbarkeit wiederum letztlich allein die abstrakte Möglichkeit des Rückgriffes ausreicht. Dies spricht eher für eine objektive Tendenz.447

Vor dem Hintergrund der Erwägungen des EuGH spricht im Ergebnis also viel dafür, auch für die DSGVO zumindest einen „weitgehend objektiven Maßstab“ anzunehmen.448

(3)

Alle objektiven Faktoren

Für die Feststellung, welche Mittel nach allgemeinem Ermessen wahrscheinlich genutzt werden, sollen laut Erw.Gr. 26 S. 4 „alle objektiven Faktoren“ herangezogen werden. Wenn es auf „alle objektiven Faktoren“ ankommt, streitet dies

445

EuGH, Urt. v. 19.10.2016 – Rs. C-582/14, ECLI:EU:C:2016:779, Tz. 49 – Breyer. EuGH, Urt. v. 19.10.2016 – Rs. C-582/14, ECLI:EU:C:2016:779, Tz. 47 – Breyer. 447 Ähnlich i.E. wohl auch Sydow–Ziebarth, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 37, der in dem Urteil des EuGH eine faktische Annäherung an die absolute Theorie sieht; vgl. auch Schwartmann/Jaspers/Thüsing/Kugelmann–Schwartmann/Mühlenbeck, DSGVO/BDSG, 2018, Art. 4 Nr. 1 Rn. 28; Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 282; zweifelnd D. Heckmann, Kapitel 9: Datenschutz, in: Heckmann (Hrsg.), jurisPK-Internetrecht, 6. Aufl., 2019 [Stand: 20.03.2020], Rn. 125. 448 Schneider, Datenschutz, 2019, S. 57; ähnl. Schwartmann/Jaspers/Thüsing/Kugelmann–Schwartmann/Mühlenbeck, DSGVO/BDSG, 2018, Art. 4 Nr. 1 Rn. 28; Plath–Schreiber, DSGVO/BDSG, 3. Aufl., 2018, Art. 4 Rn. 8; a.A. bspw. Hofmann/Johannes, ZD, 2017, 221, 224, die argumentieren, dass für den Verarbeiter oder Dritten zumindest die Heranziehung des Wissens unbekannter Personen gänzlich unwahrscheinlich sei und dem Urteil daher ein relatives Verständnis zugrunde liege; in diese Richtung auch Erbguth/Fasching, ZD, 2017, 560, 562; Kartheuser, ITRB, 2016, 267; Kühling/Buchner–Klar/Kühling, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 26; Sydow–Ziebarth, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 37; Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 282. 446

102

D. Vereinbarkeit mit dem Datenschutzrecht

zunächst für einen objektiven Maßstab, bei dem auch Sonderwissen Dritter zu berücksichtigen ist.449 Das Gebot in Erw.Gr. 26, alle objektiven Faktoren zu berücksichtigen, kann aber auch so zu verstehen sein, dass sämtliche objektiven „Aufwandfaktoren“ in Bezug auf die subjektiven Möglichkeiten des Datenverarbeiters – also aus einem relativen Blickwinkel – heranzuziehen sind.450

(4)

Verfügbare Technologie und technologische Entwicklungen

Einer der nach Erw.Gr. 26 S. 4 bei der Nutzungswahrscheinlichkeit zu berücksichtigenden Faktoren sind die „zum Zeitpunkt der Verarbeitung verfügbare Technologie und technologische Entwicklungen“.

Da nicht klar ist, für wen die Technologie verfügbar sein muss, könnte dies im Sinne von „zugänglich“ – also relativ – verstanden werden, wenn man eine Parallele zum Topos der verfügbaren Techniken im europäischen Umweltrecht zieht, bei dem es auf die Möglichkeiten eines konkreten Betreibers ankommt.451 Indes kann ein Rechtsbegriff im Unionsrecht in verschiedenen Rechtsakten durchaus unterschiedliche Bedeutung haben, wenn nicht ein „Systembildungswille und Kohärenzanspruch“ des Unionsgesetzgebers im Hinblick auf diesen Begriff erkennbar ist (sog. Relativität der Rechtsbegriffe).452 Dafür,

449

Härting, Datenschutz-Grundverordnung, 2016, S. 284; ähnl. für die DSRL Specht/Müller-Riemenschneider, ZD, 2014, 71, 73 f. 450 Hofmann/Johannes, ZD, 2017, 221, 224; ähnl. Roßnagel, ZD, 2018, 243, 244; Karg, DuD, 2015, 520, 525; Kühling/Buchner–Klar/Kühling, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 23; Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 280; Sydow–Ziebarth, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 23. 451 Hofmann/Johannes, ZD, 2017, 221, 224 f.; zu der Frage, ob auch die „technologische Entwicklung“ unter dem Vorbehalt der Verfügbarkeit steht, s. Krügel, ZD, 2017, 455, 456. 452 Riesenhuber (Hrsg.), Europäische Methodenlehre, 3. Aufl., 2015, S. 207 ff.; ähnl. F. Müller/Christensen, Juristische Methodik, 3. Aufl., 2012, Rn. 61, die jedoch i.E. einen Systembildungswillen als den Regelfall ansehen.

I. Personenbezug im Kontext einer Blockchain

103

dass der Gesetzgeber die DSGVO und umweltrechtliche Regelungen als Teil eines übergeordneten „Regelungsganzen“453 gesehen hat, ergeben sich jedoch keine greifbaren Anhaltspunkte.

Vielmehr ließen sich verfügbare Technologie und technologische Entwicklungen begrifflich auch unabhängig von einer konkreten Datenverarbeitung berücksichtigen und insofern als Ausdruck eines absoluten Standes der Technik verstehen454, was eher einem weiten Personenbezug entspräche.455

cc)

Erw.Gr. 30

Die Formulierungen in Erw.Gr. 30456, welcher sich mit bestimmten Identifizierungsmethoden beschäftigt, sowie in Art. 4 Nr. 1 Hs. 2 DSGVO selbst457 ließen sich durchaus so lesen, dass jede „Kennung“ – mithin auch etwa eine IP-Adresse – „per se“ einen Personenbezug haben soll. Eine Bitcoin-Adresse wäre beispielsweise bereits aus sich selbst heraus personenbezogen, ohne dass es einer Verknüpfung mit weiteren Angaben bedürfte.458

453

Riesenhuber (Hrsg.), Europäische Methodenlehre, 3. Aufl., 2015, S. 209. Krügel, ZD, 2017, 455, 456. 455 A.A. Hofmann/Johannes, ZD, 2017, 221, 225, die argumentieren, dass jedenfalls die Berücksichtigung technologischer Entwicklung nicht erforderlich wäre, wenn es für die Frage des Personenbezuges ohnehin auf sämtliche technologischen Entwicklungsmöglichkeiten ankäme; diese Argumentation setzt allerdings voraus, dass in Erw.Gr. 26 S. 4 der „aktuelle Stand der Technik“ angesprochen ist, was aber keineswegs zwingend ist, vgl. hierzu Krügel, ZD, 2017, 455, 456. 456 Härting, Datenschutz-Grundverordnung, 2016, S. 279. 457 Härting, Datenschutz-Grundverordnung, 2016, S. 279; ähnl. Buchner, DuD, 2016, 155, 156. 458 Vgl. Isler, Datenschutz auf der Blockchain, S. 10. 454

104

D. Vereinbarkeit mit dem Datenschutzrecht

Einer solchen Lesart lässt sich allerdings Erw.Gr. 30 S. 2 entgegenhalten, welcher klarstellt, dass Kennungen Spuren hinterlassen „können“, die zur Identifizierung benutzt werden „können“ – offenbar geht der Gesetzgeber selbst davon aus, dass Kennungen zwar eine Möglichkeit für eine Identifizierung bieten, nicht aber automatisch mit einem Personenbezug gleichzusetzen sind.459 Dies belegen auch die Entwurfsfassungen der Kommission460, des EU-Parlaments461 und des Rates462, in denen jeweils noch ausdrücklich klargestellt worden war, dass Kennungen nicht „als solche“ personenbezogen seien.463 Keinesfalls ist damit also gesagt, dass solche Kennungen automatisch zu einem Personenbezug führen.464 Sie genügen lediglich als Mittel zur Identifizierung und sind damit als Kriterium bei der Bestimmung eines Personenbezuges heranzuziehen, ohne diesen Begriff jedoch vollkommen zu ersetzen.465

Gegen einen „Personenbezug kraft Kennung“ streitet auch folgende Überlegung: Würde bereits jede Kennung für sich genommen als personenbezogenes Datum per se gelten, so wäre diese Einstufung vollkommen losgelöst von der

459

Schantz, NJW, 2016, 1841, 1843; ähnl. Hofmann/Johannes, ZD, 2017, 221, 225. Europäische Kommission, Verordnungsvorschlag v. 25.01.2012, Erw.Gr. 23 S. 3. 461 Europäisches Parlament, Standpunkt v. 12.03.2014, Erw.Gr. 24. 462 Rat der Europäischen Union, Vermerk v. 11.06.2015, Erw.Gr. 24 S. 3. 463 A.A. Buchner, DuD, 2016, 155, 156, der den Wegfall dieser Klarstellung in der finalen Fassung der DSGVO als Hinweis auf ein absolutes Verständnis sieht; dies kann indes auch bloß redaktionelle Gründe gehabt haben, vgl. Hofmann/Johannes, ZD, 2017, 221, 225. 464 Rosenthal, digma, 2017, 198, 202; in diese Richtung auch Feiler/Forgó–Feiler/Forgó, EU-DSGVO, 2017, Art. 4 Rn. 4. 465 Ähnl. Kühling/Buchner–Klar/Kühling, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 19; Paal/Pauly–Ernst, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 4 Rn. 18; Karg, DuD, 2015, 520, 523; Schantz, NJW, 2016, 1841, 1843; Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 291 m.w.N.; in diese Richtung auch Isler, Datenschutz auf der Blockchain, S. 10, der einen Personenbezug aufgrund bloßer Singularisierung jedoch ablehnt. 460

I. Personenbezug im Kontext einer Blockchain

105

Definition des Art. 4 Nr. 1 DSGVO und müsste streng genommen sogar Kennungen umfassen, bei denen eine Identifizierung der dahinterstehenden Person für niemand möglich wäre. Dies kann vom EU-Gesetzgeber, der ausweislich Erw.Gr. 4 DSGVO keinen absoluten Schutz personenbezogener Daten beabsichtigt hat, so nicht gemeint gewesen sein.

dd)

Erw.Gr. 57

Erw.Gr. 57 könnte dafürsprechen, dass der EU-Gesetzgeber bei der Schaffung der DSGVO von einem absoluten Denkansatz ausging:

Die Begründungserwägung verhält sich zu den Regelungen in Art. 11 DSGVO, in denen es darum geht, dass ein Verantwortlicher nicht zur Aufbewahrung, Einholung oder Verarbeitung identifizierender Daten verpflichtet ist, nur um bestimmte Pflichten, etwa solche gem. Art. 15 - 20 DSGVO, zu erfüllen. Erw.Gr. 57 S. 1 besagt nun, dass ein Verantwortlicher nicht verpflichtet sein sollte, zur bloßen Einhaltung einer Vorschrift der DSGVO zusätzliche Daten zur Identifizierung einer betroffenen Person einzuholen, wenn er anhand der von ihm verarbeiteten personenbezogenen Daten die entsprechende Person nicht identifizieren könne. Der EU-Gesetzgeber geht also davon aus, dass es personenbezogene Daten und damit eine betroffene Person auch dann geben kann, wenn der Verantwortliche selbst anhand der Daten keine Identifizierung vornehmen – also keinen Personenbezug herstellen – könnte.466 Dies ist aber gerade der Ausgangspunkt eines absoluten Personenbezugsansatzes, bei dem es

466

Zu der strukturell ähnlichen Konstellation beim Verhältnis von Art. 4 Nr. 5 DSGVO und Erw.Gr. 26 S. 2 DSGVO Roßnagel, ZD, 2018, 243, 244.

106

D. Vereinbarkeit mit dem Datenschutzrecht

ebenfalls nicht darauf ankommt, ob der Verantwortliche selbst einen Personenbezug herstellen kann.

e) Zwischenergebnis Es existieren zahlreiche Argumente sowohl für ein objektives als auch ein subjektives Verständnis des Personenbezugs. Die Auslegung zeigt aber, dass weder ein absoluter noch ein relativer Personenbezug sich dogmatisch widerspruchsfrei mit der Konzeption der DSGVO vereinbaren ließe. Der DSGVO lässt sich kein Bekenntnis zu einer der beiden Theorien in ihrer Reinform entnehmen.467

Ein rein relatives Verständnis des Personenbezuges unter der DSGVO scheidet aus, denn es würde bedeuten, dass für die Identifizierbarkeit ausschließlich auf den Datenverarbeiter selbst abgestellt werden müsste. Dies ist aber gerade nicht der Fall. Wie sich aus Erw.Gr. 26 S. 3 DSGVO („dem Verantwortlichen oder einer anderen Person“) ergibt, ist gerade auch das Wissen Dritter zu berücksichtigen und jedenfalls ein streng relativ verstandener Personenbezug, der nur auf den Verarbeiter abstellt, damit ausgeschlossen.468 Zudem ist eine streng

467

So auch D. Heckmann, Kapitel 9: Datenschutz, in: Heckmann (Hrsg.), jurisPK-Internetrecht, 6. Aufl., 2019 [Stand: 20.03.2020], Rn. 103; Kühling/Buchner–Klar/Kühling, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 26; Sydow–Ziebarth, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 37 ff.; Schwartmann/Jaspers/Thüsing/Kugelmann– Schwartmann/Mühlenbeck, DSGVO/BDSG, 2018, Art. 4 Nr. 1 Rn. 28; Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 281; i.E. auch Wolff/Brink–Schild, Beck'scher Online-Kommentar Datenschutzrecht, 31. Edition, 2020 [Stand: 01.02.2020], Art. 4 Rn. 18; Hofmann/Johannes, ZD, 2017, 221, 225. 468 Krügel, ZD, 2017, 455, 456; Hofmann/Johannes, ZD, 2017, 221, 223; ähnl. Plath–Schreiber, DSGVO/BDSG, 3. Aufl., 2018, Art. 4 Rn. 8; Kühling/Buchner–Klar/Kühling, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 26; Sydow–Ziebarth, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 37.

I. Personenbezug im Kontext einer Blockchain

107

relative Sichtweise abzulehnen, weil sie verkennt, dass der Verantwortliche unter Umständen je nach Motivation, wirtschaftlichen Aussichten und technischen Möglichkeiten einen erheblichen Anreiz haben kann, auf Zusatzwissen Dritter zuzugreifen.469 Insofern kann der DSGVO kein rein relatives Personenbezugsverständnis zu Grunde liegen.

Aber auch gegen ein rein absolutes Verständnis sprechen gewichtige Gründe. Laut Erw.Gr. 26 S. 3 DSGVO sollen nämlich bei der Feststellung, ob eine natürliche Person identifizierbar sei, „alle Mittel berücksichtigt werden, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die natürliche Person direkt oder indirekt zu identifizieren […]“. Diese Formulierung zeigt, dass der Aufwand einer Identifizierung bei der Frage, ob ein Personenbezug vorliegt, zu berücksichtigen ist. Dies schließt ein rein absolutes Verständnis des Personenbezuges aus, denn danach wäre der Aufwand einer Identifizierung gerade irrelevant.470 Wenn es auf eine Nutzungswahrscheinlichkeit ankommt, kann auch nicht pauschal auf die Erkenntnismöglichkeiten jedes Dritten abgestellt werden, so wie es die absolute Theorie tut.471

Einem objektiven Ansatz ist freilich zuzugeben, dass es für eine betroffene Person keinen Unterschied macht, ob der Verantwortliche ihn selbständig oder

469

Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 278. Härting, Datenschutz-Grundverordnung, 2016, S. 74; Hofmann/Johannes, ZD, 2017, 221, 223; Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 280; ähnl. Sydow–Ziebarth, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 37; Kühling/Buchner–Klar/Kühling, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 26. 471 Hofmann/Johannes, ZD, 2017, 221, 224; Kühling/Buchner–Klar/Kühling, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 26; Schwartmann/Jaspers/Thüsing/Kugelmann– Schwartmann/Mühlenbeck, DSGVO/BDSG, 2018, Art. 4 Nr. 1 Rn. 24. 470

108

D. Vereinbarkeit mit dem Datenschutzrecht

unter Zuhilfenahme eines Dritten identifizieren kann, was durchaus ein Argument wäre, den Anwendungsbereich der DSGVO mittels des Personenbezugsbegriffes weit zu ziehen.472 Allerdings wäre dann letztlich nicht erklärlich, weshalb Datenverarbeitungen unter die DSGVO fallen sollen, die auch abstrakt kein Gefahrenpotential für die informationellen Selbstbestimmungsrechte des konkreten Grundrechtsträgers darstellen.473 Eine solche Lesart des Personenbezuges würde bedeuten, dass selbst in Situationen ohne Gefahr für Rechte und Interessen eines Betroffenen474 die strengen Regeln der DSGVO zu berücksichtigen wären.475 Beispielsweise müssten selbst verschlüsselte Daten konsequenterweise als personenbezogene Daten im Sinne der DSGVO behandelt werden, soweit irgendwo auf der Welt der Schlüssel vorhanden ist, obgleich der Verantwortliche selbst nicht über den Schlüssel verfügt und daher nicht einmal beurteilen könnte, ob er überhaupt Daten mit Personenbezug verarbeitet oder nicht.476 Dem Verantwortlichen würde damit unbilligerweise das „gesamte Weltwissen“ zugerechnet und er wäre in der Praxis einer erheblichen Rechtsunsicherheit über die Anwendbarkeit der DSGVO ausgesetzt, was nicht im Sinne des EU-Gesetzgebers sein kann.477 Ebenso unangemessen erschiene

472

Wybitul–Pötters/Böhm, Handbuch EU-Datenschutz-Grundverordnung, 2017, Art. 4 Rn. 6. Plath–Schreiber, BDSG/DSGVO, 2. Aufl. (Voraufl.), 2016, Art. 4 Rn. 10; vgl. auch Specht/MüllerRiemenschneider, ZD, 2014, 71, 73 für § 3 Abs. 1 BDSG a.F. 474 In Abgrenzung zum „Betroffenen“ würde es sich bei einer „betroffenen Person“ um eine natürliche Person handeln, die bereits identifiziert oder identifizierbar ist, Art. 4 Nr. 1 DSGVO. 475 Ähnl. Schwartmann/Jaspers/Thüsing/Kugelmann–Schwartmann/Mühlenbeck, DSGVO/BDSG, 2018, Art. 4 Nr. 1 Rn. 26; Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 277; Wolff/Brink–Schild, Beck'scher Online-Kommentar Datenschutzrecht, 31. Edition, 2020 [Stand: 01.02.2020], Art. 4 Rn. 18; Hofmann/Johannes, ZD, 2017, 221, 225. 476 Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 277; ähnl. auch Marnau, DuD, 2016, 428, 430. 477 Vgl. Schwartmann/Jaspers/Thüsing/Kugelmann–Schwartmann/Mühlenbeck, DSGVO/BDSG, 2018, Art. 4 Nr. 1 Rn. 26; Sydow–Ziebarth, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 39; ähnl. bereits Generalanwalt beim EuGH Sánchez-Bordona, Schlussantrag v. 12.05.2016 – Rs. C-582/14, ECLI:EU:C:2016:339 2016, Tz. 67 – Rechtssache C-582/14 - Breyer f. 473

I. Personenbezug im Kontext einer Blockchain

109

es, einen gesamten pseudonymen Datenbestand als personenbezogen anzusehen, obwohl zur grundsätzlichen Identifizierung einzelner dort enthaltener Personendatensätze noch wesentliche Zwischenschritte erforderlich wären.478

Ein absoluter Personenbezugsbegriff käme damit im Ergebnis einem absoluten Schutz personenbezogener Daten gleich.479 Dies ist von der DSGVO aber gerade nicht beabsichtigt. Erw.Gr. 4 S. 2 stellt eindeutig klar, dass der Schutz personenbezogener Daten kein uneingeschränktes Recht sein soll und damit nicht absolut geschützt, sondern gegen andere Grundrechte abzuwägen ist. Maßgeblich gegen die Adaption eines streng objektiven Ansatzes spricht nicht zuletzt auch, dass eine fast uneingeschränkte Bedeutung des Schutzes personenbezogener Daten sogar befürchten ließe, dass so viele Datenverarbeitungen datenschutzrechtlich relevant würden, dass sie letztlich als selbstverständlich hingenommen würden und so der Zweck der DSGVO verwässert würde.480

Vor diesem Hintergrund bleibt festzuhalten, dass überzeugende Argumente maßgeblich gegen ein rein objektives wie auch ein rein subjektives Verständnis des Personenbezuges sprechen.

f)

Stellungnahme

Die DSGVO verfolgt eine doppelte Zweckrichtung, nämlich den effektiven Schutz des in der EU-Grundrechtecharta in Art. 8 Abs. 1 verbürgten Rechts auf

478

Sydow–Ziebarth, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 37. Hofmann/Johannes, ZD, 2017, 221, 225; ähnl. Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 227. 480 Ähnl. bereits Keppeler, CR, 2016, 360, 364. 479

110

D. Vereinbarkeit mit dem Datenschutzrecht

Datenschutz481 einerseits, andererseits aber auch die Förderung des digitalen Binnenmarktes.482 Da sich beide Ziele weder mit einem rein absoluten noch mit einem rein relativen Ansatz erreichen lassen, deutet sich an, dass der Gesetzgeber beim Personenbezug einen Mittelweg einschlagen wollte.483 Viel spricht daher für eine vermittelnde Position zwischen den Extremen der beiden Theorieansätze zum Personenbezug.

Auch innerhalb dieses Spektrums kann die Perspektive freilich eher zu einem objektiven oder relativen Personenbezugsverständnis tendieren.484 Einerseits könnte man im Ansatz auf den Verarbeiter selbst abstellen und für einen Personenbezug das Zusatzwissen Dritter nur dann heranziehen, wenn und soweit „vernünftigerweise“ mit dessen Nutzung zu rechnen ist.485 Andererseits könnte

481

Gersdorf/Paal–Gersdorf, Beck´scher Online-Kommentar Informations- und Medienrecht, 2020 [Stand: 01.05.2019], Art. 8 GRCh Rn. 12; Calliess/Ruffert–Kingreen, EUV/AEUV, 5. Aufl., 2016, Art. 8 GRCh Rn. 2; Jarass–Jarass, Charta der Grundrechte der Europäischen Union, 3. Aufl., 2016, Art. 8 GRCh Rn. 2; D. Heckmann, Kapitel 9: Datenschutz, in: Heckmann (Hrsg.), jurisPK-Internetrecht, 6. Aufl., 2019 [Stand: 20.03.2020], Rn. 14. 482 Art. 1 DSGVO; so unter Verweis auf Art. 16 AEUV auch Sydow–Sydow, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Einl. Rn. 4 sowie Albrecht/Jotzo, Das neue Datenschutzrecht in der EU, 1. Aufl., 2017, S. 39; Wolff/Brink–Schantz, Beck'scher Online-Kommentar Datenschutzrecht, 31. Edition, 2020 [Stand: 01.02.2019], Art. 1 Rn. 2; Paal/Pauly–Ernst, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 1 Rn. 1. 483 So bereits Specht/Müller-Riemenschneider, ZD, 2014, 71, 74; Hofmann/Johannes, ZD, 2017, 221, 223, sehen in der allgemeinen Zielrichtung der DSGVO indes eine Tendenz zu einer relativen Sichtweise. 484 Vgl. zu den zahlreichen Spielarten Herbst, NVwZ, 2016, 902, 904. 485 Beschränkt-subjektive Theorie; so etwa Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 280; Kühling/Buchner–Klar/Kühling, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 26; D. Heckmann, Kapitel 9: Datenschutz, in: Heckmann (Hrsg.), jurisPK-Internetrecht, 6. Aufl., 2019 [Stand: 20.03.2020], Rn. 113; Schwartmann/Jaspers/Thüsing/Kugelmann– Schwartmann/Mühlenbeck, DSGVO/BDSG, 2018, Art. 4 Nr. 1 Rn. 28; Hofmann/Johannes, ZD, 2017, 221, 224; Brisch/Pieper, CR, 2015, 724, 726; Keppeler, CR, 2016, 360, 364; wohl auch Sydow– Ziebarth, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 37 (Möglichkeiten „im Rahmen des vernünftig Erwartbaren“).

I. Personenbezug im Kontext einer Blockchain

111

man aber im Grundsatz auch auf die Möglichkeiten eines objektiven Dritten in der Position des Verarbeiters abstellen.486

Die Ansätze sind letztlich sehr ähnlich;487 denn unabhängig von der “Richtung“, aus der sie kommen, berücksichtigen sie die Möglichkeit eines Verantwortlichen, Wissen Dritter heranzuziehen,488 und dürften daher in den meisten Fällen zu vergleichbaren Ergebnissen führen.489 Ein spezifischer Unterschied kann sich aber dort ergeben, wo ein Dritter eine eigene Rolle einnimmt und auch aus eigenem Antrieb und im Eigeninteresse auf die Identifizierung eines Betroffenen hinwirken kann.490 Bei einem eher relativen Verständnis wäre nur auf die Motive und Handlungsweise des Verantwortlichen abzustellen.491

486

Beschränkt-objektive Theorie; so bereits Specht/Müller-Riemenschneider, ZD, 2014, 71, 74; ebenfalls Gola–Gola, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 4 Rn. 18 („absoluter Ansatz mit relativen Elementen“); wohl auch Albrecht/Jotzo, Das neue Datenschutzrecht in der EU, 1. Aufl., 2017, S. 59; Plath–Schreiber, DSGVO/BDSG, 3. Aufl., 2018, Art. 4 Rn. 8 („weit auszulegen“). 487 Z.T. dürften die vermittelnden Theorien trotz ihrer unterschiedlichen Namensgebung sogar das Gleiche meinen; so verwendet beispielsweise Gola–Gola, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 4 Rn. 18 den Begriff „relativer Ansatz“ und „absoluter Ansatz mit relativen Elementen“ synonym. 488 So schon Herbst, NVwZ, 2016, 902, 905, der nicht zu Unrecht darauf hinweist, dass die Heftigkeit der Auseinandersetzung zwischen relativem und absolutem Verständnis aufgrund dessen schwer nachzuvollziehen sei. 489 So ausdrücklich bereits Bergt, ZD, 2015, 365, 368 zum Theorienstreit unter Geltung der DSRL; i.E. auch Sydow–Ziebarth, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 40. 490 Weitere Unterschiede können im Einzelnen bei der Frage entstehen, inwieweit unrechtmäßige Erkenntnisquellen zu berücksichtigen sind. So will Sydow–Ziebarth, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 37 unrechtmäßiges Verhalten einbeziehen, soweit damit „nach allgemeinem Ermessen aller Voraussicht nach zu rechnen sei“; dagegen nur für rechtmäßige Quellen etwa Gola–Gola, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 4 Rn. 19; dieses Kriterium findet sich jedoch sowohl bei Vertretern relativer wie auch objektiver Ansätze und ist daher kein spezifisches Unterscheidungsmerkmal, vgl. Keppeler, CR, 2016, 360, 361 Fn. 23 m.w.N. 491 Herbst, NVwZ, 2016, 902, 905; wobei auch dies kein ganz trennscharfer Faktor ist: Hofmann/Johannes, ZD, 2017, 221, 224 berücksichtigen auch die Identifizierungsinteressen Dritter, obgleich sie sich im Ergebnis einer relativen Sichtweise anschließen.

112

D. Vereinbarkeit mit dem Datenschutzrecht

Vor allem die Begründungserwägungen zeigen, dass der EU-Gesetzgeber zumindest im Grundsatz von einer objektiven Sichtweise ausging, denn in den Begründungserwägungen ist der Dritte gleichberechtigt neben dem Verantwortlichen Bezugspunkt für die Bestimmung des Identifizierungsmittels.492 Wäre der Dritte für den EU-Gesetzgeber bloß Hilfsperson der verantwortlichen Stelle gewesen, so wäre es sinnlos, darauf abzustellen, welche Mittel vom Dritten genutzt würden.493

Eine beschränkt-objektive Sichtweise passt auch zu dem gesetzgeberischen Anliegen, den Grundrechtsschutz von Betroffenen zu stärken; denn der Schutzbereich für personenbezogene Daten ist dadurch weniger von den Möglichkeiten eines einzelnen Verantwortlichen abhängig, der sich womöglich bewusst bestimmter Möglichkeiten verschließt, um die Anwendbarkeit der DSGVO zu verhindern. Dafür sprechen außerdem die Ausführungen des EuGH, nach denen für das Vorliegen eines Personenbezuges in der im Vergleich zur DSGVO ähnlich gefassten DSRL im letzter Konsequenz schon die abstrakte rechtliche Möglichkeit genügt, die für eine Identifizierung relevanten Daten von einem Dritten zu erhalten.494 Vor dem Hintergrund, dass häufig abstrakte Möglichkeiten bestehen, den Betroffenen zu ermitteln oder ermitteln zu lassen (Informationsansprüche gegen öffentliche Stellen nach dem Informationsfreiheitsgesetz 495, Erlangung identifizierender Daten von nicht-öffentlichen Stellen mittels Heraus-

492

So für die DSRL bereits Specht/Müller-Riemenschneider, ZD, 2014, 71, 74. Herbst, NVwZ, 2016, 902, 904. 494 EuGH, Urt. v. 19.10.2016 – Rs. C-582/14, ECLI:EU:C:2016:779, Tz. 47 f. – Breyer. 495 Sydow–Ziebarth, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 37. 493

I. Personenbezug im Kontext einer Blockchain

113

gabe von Verbindungsdaten in staatsanwaltschaftlichen Ermittlungsverfahren496 oder mittels Übernahme oder Verschmelzung der nicht-öffentlichen Stelle497) ist das Urteil des EuGH so weit formuliert, dass sich dessen Personenbezugsbegriff faktisch einer eher objektiven Sichtweise annähert.498 Zudem hat der EuGH für Zusatzwissen Dritter, das „vernünftigerweise“ herangezogen werden könnte, eine Breite an Erkenntnismöglichkeiten ausreichen lassen und nur Grenzen hinsichtlich eines Identifizierungsrisikos gezogen, welches „de facto vernachlässigbar“499 sei. Beim Maßstab des „de facto“ Vernachlässigbaren schwingt ein verhältnismäßig strenger Maßstab bei der Beurteilung von potentiellen Identifizierungsmöglichkeiten mit.500 Auch dies spricht dafür, den Ansatzpunkt des Personenbezuges tendenziell weiter zu ziehen und einer beschränkt-objektiven Theorie den Vorzug zu geben. Gleichzeitig lässt sich bei einer solchen Sichtweise ein angemessener Ausgleich mit den grundrechtlich geschützten Interessen anderer an der Verarbeitung von Personendaten herstellen durch das Korrektiv, dass der Identifizierungsaufwand im Einzelfall in die Beurteilung einfließt und man nur solche Mittel berücksichtigt, die „nach allgemeinem Ermessen wahrscheinlich genutzt“ werden.501

496

Keppeler, CR, 2016, 360, 362. Sydow–Ziebarth, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 37. 498 Schwartmann/Jaspers/Thüsing/Kugelmann–Schwartmann/Mühlenbeck, DSGVO/BDSG, 2018, Art. 4 Nr. 1 Rn. 28; Sydow–Ziebarth, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 37; ähnl. Plath–Schreiber, DSGVO/BDSG, 3. Aufl., 2018, Art. 4 Rn. 8; einschränkend D. Heckmann, Kapitel 9: Datenschutz, in: Heckmann (Hrsg.), jurisPK-Internetrecht, 6. Aufl., 2019 [Stand: 20.03.2020], Rn. 125. 499 EuGH, Urt. v. 19.10.2016 – Rs. C-582/14, ECLI:EU:C:2016:779, Tz. 46 – Breyer. 500 Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 282. 501 Vgl. Albrecht/Jotzo, Das neue Datenschutzrecht in der EU, 1. Aufl., 2017, S. 59; Krügel, ZD, 2017, 455, 459; in diese Richtung wohl auch Plath–Schreiber, DSGVO/BDSG, 3. Aufl., 2018, Art. 4 Rn. 8; Hofmann/Johannes, ZD, 2017, 221, 224 f. sehen hingegen in der Berücksichtigung des Aufwandes ein wesentliches Argument für einen beschränkt-subjektiven Ansatz; da diese aber ebenfalls die Möglichkeiten eines Dritten „aus dem Verkehrskreis des zu beurteilenden Verantwortlichen“ heranziehen, dürften sich die Ansätze im Ergebnis nicht unterscheiden. 497

114

D. Vereinbarkeit mit dem Datenschutzrecht

Eine gewisse Rechtsunsicherheit lässt sich bei einer einzelfallbezogenen Sichtweise in der Anwendung der DSGVO freilich nicht vollkommen vermeiden,502 muss aber als Konsequenz der Entscheidung des EU-Gesetzgebers – und der Rechtsprechungstendenz des EuGH – letztlich hingenommen werden. Ein zu restriktiver Datenschutz, bei dem in Zeiten von fortgeschrittenen Analysetechniken und Big Data-Anwendungen letztlich alle Daten einen Personenbezug haben, wird dadurch wirksam vermieden.503 Ein beschränkt-objektives Personenbezugsverständnis ist somit letztlich die konsequente Fortführung des gesetzgeberischen Ziels, den Datenschutz allgemein zu stärken, ohne die Grundrechte Dritter im Einzelfall unverhältnismäßig zu beeinträchtigen. Dies entspricht dem europarechtlichen Auslegungsgrundsatz des effet utile, bei dem es gilt, ein Regelungsziel so weit wie möglich zu erreichen.504 Die gesetzgeberischen Anliegen lassen sich bei einem beschränkt-objektiven Denkansatz in optimaler Weise miteinander vereinbaren.

Nach alldem ist im Ergebnis einer beschränkt-objektiven Theorie zu folgen. Auf diese Weise ist es möglich, dogmatisch überzeugend den systematischen Re-

502

So auch Härting, Datenschutz-Grundverordnung, 2016, S. 73; ähnl. für die DSRL bereits Specht/Müller-Riemenschneider, ZD, 2014, 71, 75. 503 Albrecht/Jotzo, Das neue Datenschutzrecht in der EU, 1. Aufl., 2017, S. 59; a.A. Schneider, Datenschutz, 2019, S. 54, der angesichts stetig wachsender Erkenntnismöglichkeiten durch Big DataTechniken das Kriterium eines Personenbezuges für „weitgehend überholt“ hält, weil letztlich praktisch jede Datensammlung eine Identifizierung ermögliche; krit. hinsichtlich eines weiten Anwendungsbereiches i.E. wohl auch Sydow–Ziebarth, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 40, der potentiellen Verantwortlichen rät, zum Selbstschutz die Anwendbarkeit des Datenschutzrechts durch Anonymisierung möglichst auszuschließen. 504 Calliess/Ruffert–Wegener, EUV/AEUV, 5. Aufl., 2016, Art. 19 EUV Rn. 19; Riesenhuber (Hrsg.), Europäische Methodenlehre, 3. Aufl., 2015, S. 217; F. Müller/Christensen, Juristische Methodik, 3. Aufl., 2012, Rn. 439 m.w.N.

I. Personenbezug im Kontext einer Blockchain

115

gelungszusammenhang der DSGVO weitestgehend zu erklären sowie andererseits die weite Auslegung des Personenbezuges durch den EuGH einzubinden und mit den gesetzgeberischen Zielen in Einklang zu bringen. Bei Berücksichtigung der Vorgaben des EuGH, wonach ein Zusatzwissen von Dritten im Sinne der DSRL nicht „vernünftigerweise“ eingesetzt werde, wenn dies gesetzlich verboten oder praktisch nicht möglich sei, sollte bei der DSGVO ein Personenbezug in solchen Fällen angenommen werden, in denen die Identifizierung durch einen Verantwortlichen oder Dritten nicht nur theoretisch sondern „praktisch möglich“505 und „nicht ganz unwahrscheinlich“506 ist.

3.

Schlussfolgerungen für Personenbezug bei Blockchains

Art. 4 Nr. 1 DSGVO definiert „personenbezogene Daten“ als solche Daten, die sich auf eine „identifizierte oder identifizierbare natürliche Person“ beziehen. In den derzeit bekannten Blockchain-Modellen werden bei Transaktionen jedoch keine persönlichen Angaben wie etwa Namen oder E-Mailadressen aufgezeichnet.507

505

Krügel, ZD, 2017, 455, 459; ähnl. Voigt/von dem Bussche, EU-Datenschutz-Grundverordnung (DSGVO), 1. Aufl., 2018, S. 15 sowie Gola–Gola, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 4 Rn. 19. 506 Herbst, NVwZ, 2016, 902, 905; ähnl. wohl auch Paal/Pauly–Ernst, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 4 Rn. 12 („[…] potenziell personenbezogene Daten sind […] als Daten über bestimmbare Personen zu behandeln“). 507 Kaulartz, CR, 2016, 474, 479; Hofert, ZD, 2017, 161, 163; Bechtolf/Vogt, Blockchain und Datenschutz - Recht technologisch, in: Taeger (Hrsg.), Recht 4.0 - Innovationen aus den rechtswissenschaftlichen Laboren, 2017, S. 873, 879; Schrey/Thalhofer, NJW, 2017, 1431, 1433; Pesch/Böhme, DuD, 2017, 93, 95.

D. Vereinbarkeit mit dem Datenschutzrecht

116

Vor diesem Hintergrund stellt sich die Frage, welche Auswirkungen ein beschränkt-objektives Personenbezugsverständnis auf die Geltung von Datenschutzrecht bei Blockchains hat bzw. haben kann.

a) Problemstellung: Aufzeichnung von datenschutzrelevanten Angaben auf Blockchains? Gerade weil sie es ermöglicht, spezifische Daten nur selektiv preiszugeben, könnte man Blockchain unter bestimmten Voraussetzungen als eine Mustertechnologie für das Prinzip des Datenschutzes durch Technikgestaltung sehen.508 So verwundert es nicht, wenn Blockchain-Transaktionen zuweilen als anonym beschrieben werden509 oder ihnen zumindest eine „Pseudo- bis Anonymität“510 bescheinigt wird. Trotz ihrer Öffentlichkeit und Transparenz wird Blockchain-Technologie deshalb in gewisser Weise sogar die „Verkörperung“ des in Art. 25 Abs. 1 DSGVO ausgedrückten sog. „Privacy by Design“-Grundsatzes attestiert.511

Wären auf Blockchains abgespeicherte Daten stets anonym, so würden diese Daten insgesamt nicht den Regelungen der DSGVO unterfallen, weil in diesem Fall auch kein Teilnehmer identifizierbar wäre.

508

Zur Vereinbarkeit von Blockchain mit den fundamentalen Prinzipien des Privacy by Design Guggenberger, ZD, 2017, 49 f.; Quiel, DuD, 2018, 566, 570 f. 509 Vgl. Glatz, Blockchain und Smart Contracts - Eine neue Basistechnologie im Recht?, in: Hartung/Bues/Halbleib (Hrsg.), Legal Tech, 1. Aufl., 2018, S. 287, 288; Kaulartz, CR, 2016, 474, 479; für die Bitcoin-Blockchain: Kuhlmann, CR, 2014, 691, 693. 510 Guggenberger, ZD, 2017, 49; Sixt, Bitcoins und andere dezentrale Transaktionssysteme, 1. Aufl. 2017, S. 33. 511 Guggenberger, ZD, 2017, 49; krit. Quiel, DuD, 2018, 566, 571.

I. Personenbezug im Kontext einer Blockchain

aa)

117

Ausgangspunkt: Möglichkeit eines Personenbezuges bei Block-

chains durch „kryptographische Identitäten“512 Tatsächlich werden auf Blockchains keine direkt identifizierenden persönlichen Daten wie Klarnamen, E-Mailadressen oder ähnliches abgelegt, sondern lediglich die Hash-Summen der Transaktionsdaten abgespeichert und als Nutzerkennungen die public keys von Sender bzw. Empfänger einer Transaktion verwendet513. Die Adresse von Absender und Empfänger einer Transaktion ist eine ID, die selbst in aller Regel noch keinen direkten Rückschluss auf die betreffende Person zulässt.514

Indes können auch Hash-Werte, aus denen Blockchain-Adressen bestehen, unter bestimmten Umständen Rückschlüsse auf die dahinterstehende Person zulassen und damit personenbezogen sein.515 So sind Blockchain-Adressen als Identifikationsnummern typischerweise einer einzigen Person zuordenbar.516 Sie werden in aller Regel nur von einem einzigen Nutzer verwendet und stellen damit ein einzigartiges und unterscheidbares Merkmal des jeweiligen Nutzers

512

Begriff bei Böhme/Pesch, DuD, 2017, 473, 476. Martini/Weinzierl, NVwZ, 2017, 1251, 1252; Böhme/Pesch, DuD, 2017, 473, 476; Bechtolf/Vogt, Blockchain und Datenschutz - Recht technologisch, in: Taeger (Hrsg.), Recht 4.0 - Innovationen aus den rechtswissenschaftlichen Laboren, 2017, S. 873, 879; vgl. auch Narayanan/Bonneau/Felten/Miller/Goldfeder, Bitcoin and cryptocurrency technologies, 1. Aufl., 2016, S. 19. 514 Kaulartz, CR, 2016, 474, 479; Böhme/Pesch, DuD, 2017, 473, 478; Martini/Weinzierl, NVwZ, 2017, 1251, 1252; Isler, Datenschutz auf der Blockchain, S. 10; 515 Voitel, DuD, 2017, 686, 687; Gola–Gola, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 4 Rn. 21; Paal/Pauly–Martini, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 32 Rn. 34. 516 Berberich/Steiner, EDPL, 2016, 422, 423; Böhme/Pesch, DuD, 2017, 473, 476; ähnl. Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1028; wohl auch Quiel, DuD, 2018, 566, 568. 513

D. Vereinbarkeit mit dem Datenschutzrecht

118

dar.517 Auf diese Weise entstehen zu den jeweiligen Blockchain-Adressen entsprechende Profile.518 Durch die Kombination der Blockchain-Adresse – des öffentlichen Schlüssels – mit dem privaten Schlüssel entstehen letztlich „kryptographische Identitäten“519, denen die Verfügungsgewalt über auf der Blockchain dargestellten Werteinheiten zusteht. In der Regel bezieht sich diese auf den Erzeuger des Schlüsselpaars.520 Die Klarnamen der Nutzer sind durch öffentliche Schlüssel ersetzt.

(1)

Kein Bezug auf identifizierte Person

Da sich aus diesen Daten zumindest nicht unmittelbar die Identität konkreter Personen ergibt, beziehen sich diese Daten jedenfalls in der Regel521 nicht auf eine „identifizierte“ Person im Sinne des Art. 4 Nr. 1 Alt. 1 DSGVO.522 Daten sind indes schon dann personenbezogen, wenn sie sich auf eine zumindest identifizierbare natürliche Person beziehen, Art. 4 Nr. 1 Alt. 2 DSGVO. Weil die DSGVO in ihren Rechtsfolgen nicht zwischen einer identifizierten oder identifi-

517

Hofert, ZD, 2017, 161, 164; ähnl. Finck, EDPL, 2018, 17, 24; Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1028; Bechtolf/Vogt, Blockchain und Datenschutz - Recht technologisch, in: Taeger (Hrsg.), Recht 4.0 - Innovationen aus den rechtswissenschaftlichen Laboren, 2017, S. 873, 880. 518 Hofert, ZD, 2017, 161, 163; Böhme/Pesch, DuD, 2017, 473, 476; ähnl. Quiel, DuD, 2018, 566, 568. 519 Böhme/Pesch, DuD, 2017, 473, 476; Quiel, DuD, 2018, 566, 568 Fn. 26. 520 Böhme/Pesch, DuD, 2017, 473, 476. 521 Eine direkte Identifikation wäre tatsächlich denkbar in Fällen, in denen ein Nutzer für seine kryptographische Identität eine Hash-Adresse mit seinem integrierten Klarnamen verwendet; dies ist technisch durchaus möglich, vgl. Pesch/Sillaber, CRi, 2017, 166, 168, Fn. 24. 522 Pesch/Sillaber, CRi, 2017, 166, 168; Pesch/Böhme, DuD, 2017, 93, 95; Martini/Weinzierl, NVwZ, 2017, 1251, 1252; Isler, Datenschutz auf der Blockchain, S. 9; Finck, EDPL, 2018, 17, 24.

I. Personenbezug im Kontext einer Blockchain

119

zierbaren Person unterscheidet, ist für die Personenbezogenheit von Blockchain-Daten letztlich allein die Frage entscheidend, ob eine Person im konkreten Fall zumindest identifizierbar ist oder nicht.523

(2)

Kein Bezug auf identifizierbare Person?

Lassen sich Einzelangaben einer dahinterstehenden Person nicht oder nicht mehr zuordnen, so ist diese auch nicht identifizierbar im Sinne des Art. 4 Nr. 1 DSGVO. Daten, die sich weder auf eine identifizierte noch auf eine identifizierbare Person beziehen, sind anonym.524

Wenngleich der Begriff der Anonymität – anders als im BDSG525 – in der DSGVO nicht ausdrücklich definiert ist, folgt dies aus Erw.Gr. 26 S. 5 DSGVO, denn danach sind Daten anonym, wenn sie sich entweder schon gar nicht auf eine betroffene Person beziehen, oder wenn personenbezogene Daten in einer Weise anonymisiert wurden, dass eine betroffene Person nicht oder nicht mehr identifiziert werden kann. Ist Anonymität gewährleistet, so ist ein Personenbezug im Sinne der DSGVO ausgeschlossen und die DSGVO ist nicht anwendbar.

523

Böhme/Pesch, DuD, 2017, 473, 478; die Zuordnung zu einem bestimmten Nutzer muss dabei nicht vollkommen sicher sein – es genügt für eine Identifizierung, dass diese nicht komplett „aus der Luft gegriffen“ ist, vgl.: Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 294; ähnl. Sydow–Ziebarth, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 14; Wolff/Brink–Schild, Beck'scher Online-Kommentar Datenschutzrecht, 31. Edition, 2020 [Stand: 01.02.2020], Art. 4 Rn. 16. 524 Erw.Gr. 26 S. 5; hierzu auch Schwartmann/Jaspers/Thüsing/Kugelmann–Schwartmann/Mühlenbeck, DSGVO/BDSG, 2018, Art. 4 Nr. 1 Rn. 24; Paal/Pauly–Ernst, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 4 Rn. 9; Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 297; zu Einzelfragen der Anonymisierung Sydow–Ziebarth, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 24 ff. 525 § 3 Abs. 6 BDSG a.F.; Plath–Schreiber, DSGVO/BDSG, 3. Aufl., 2018, Art. 4 Rn. 21; Schwartmann/Jaspers/Thüsing/Kugelmann–Schwartmann/Mühlenbeck, DSGVO/BDSG, 2018, Art. 4 Nr. 5 Rn. 63; s. auch Simitis/Dammann/Arendt–Dammann, Bundesdatenschutzgesetz, 8. Aufl., 2014, § 3 BDSG a.F. Rn. 196.

120

D. Vereinbarkeit mit dem Datenschutzrecht

In der Praxis dürften anonyme Blockchains derzeit allerdings die Ausnahme bilden und gängige Blockchain-basierte Anwendungen die Möglichkeit der Anonymität nicht unterstützen.526 Blockchain-Systeme sind in der Regel nicht anonym. Dies ist häufig auch nicht gewünscht, denn dezentrale Systeme sollen Vertrauen schaffen und gewähren daher eine möglichst hohe Transparenz durch umfassende Überprüfbarkeit.527

Überwiegend wird deshalb technisch nur auf eine Pseudonymisierung zurückgegriffen, d.h. der einzelne Blockchain-Nutzer agiert nicht unter einem Klarnamen, sondern unter seinem öffentlichen Schlüssel. Den Schlüsselpaaren kommt somit die Funktion von Pseudonymen zu, mit denen die Inhaber sich in Blockchain-Systemen bewegen können.528 Die Einbindung von Pseudonymen schließt einen Personenbezug im Sinne der DSGVO indes nicht aus. Art. 4 Nr. 5 DSGVO definiert, dass Daten pseudonymisiert sind, wenn sie einem Betroffenen nicht mehr ohne eine zusätzliche Information zugeordnet werden können. Da ein Personenbezug damit aber grundsätzlich möglich bleibt, handelt es sich bei den einer Pseudonymisierung unterzogenen Daten weiterhin

526

De Filippi, The Interplay between Decentralization and Privacy, S. 11; ähnl. Böhme/Pesch, DuD, 2017, 473, 481; Finck, EDPL, 2018, 17, 24; Quiel, DuD, 2018, 566, 568. 527 Zur Überprüfbarkeit als wesentlicher Komponente für dezentrales Vertrauen am Beispiel Bitcoin vgl. Nakamoto, Bitcoin: A Peer-to-Peer Electronic Cash System, S. 2 sowie Blocher, AnwBl, 2016, 612, 616 f.; in diese Richtung auch Quiel, DuD, 2018, 566, 568. 528 Böhme/Pesch, DuD, 2017, 473, 476; Finck, EDPL, 2018, 17, 24; Bechtolf/Vogt, Blockchain und Datenschutz - Recht technologisch, in: Taeger (Hrsg.), Recht 4.0 - Innovationen aus den rechtswissenschaftlichen Laboren, 2017, S. 873, 880.

I. Personenbezug im Kontext einer Blockchain

121

um personenbezogene Daten, die damit in vollem Umfang der DSGVO unterfallen, wie sich auch aus Erw.Gr. 26 S. 2 DSGVO ergibt. Pseudonyme Daten haben nach der DSGVO stets Personenbezug.529

bb)

Zwischenfazit: Keine Anonymität von Blockchain-Daten – Relevanz

des Personenbezuges Oft wird bei Blockchain-Anwendungen die Bedeutung von „Anonymität“ zu Unrecht mit „Pseudonymität“ gleichgesetzt.530 Von einer Anonymität von Blockchains, die einen Personenbezug und damit die Anwendbarkeit der DSGVO ausschließen würde, darf aber keinesfalls pauschal ausgegangen werden.531 Diese dürfte sogar eher den Ausnahmefall darstellen.532

Festzuhalten bleibt vielmehr, dass Blockchain-Daten potentiell mit natürlichen Personen in Verbindung gebracht werden können.533 Wo kryptographische

529

Erw.Gr. 26 S. 2 DSGVO; Härting, Datenschutz-Grundverordnung, 2016, S. 78; Wolff/Brink– Schild, Beck'scher Online-Kommentar Datenschutzrecht, 31. Edition, 2020 [Stand: 01.02.2020], Art. 4 Rn. 78; Paal/Pauly–Ernst, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 4 Rn. 40; Schwartmann/Jaspers/Thüsing/Kugelmann–Schwartmann/Mühlenbeck, DSGVO/BDSG, 2018, Art. 4 Nr. 5 Rn. 62; Quiel, DuD, 2018, 566, 568; Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 303. 530 De Filippi, The Interplay between Decentralization and Privacy, S. 11; ähnl. Finck, EDPL, 2018, 17, 22 f. 531 Isler, Datenschutz auf der Blockchain, S. 4; Bechtolf/Vogt, Blockchain und Datenschutz - Recht technologisch, in: Taeger (Hrsg.), Recht 4.0 - Innovationen aus den rechtswissenschaftlichen Laboren, 2017, S. 873, 879 f.; Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1028. 532 Beispiele zum Einsatz von Anonymisierungstechniken in Blockchain-Anwendungen bei Böhme/Pesch, DuD, 2017, 473, 481; Finck, EDPL, 2018, 17, 25. 533 Finck, EDPL, 2018, 17, 24; Bechtolf/Vogt, ZD, 2018, 66, 69; Pesch/Sillaber, CRi, 2017, 166, 168; Böhme/Pesch, DuD, 2017, 473, 478; Isler, Datenschutz auf der Blockchain, S. 10; Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1028; Quiel, DuD, 2018, 566, 568 m.w.N.; a.A. Schrey/Thalhofer, NJW, 2017, 1431, 1433, die einen Personenbezug bei öffentlichen Blockchains schon deshalb verneinen, weil die Teilnehmer ihre Identitäten im Netzwerk nicht offenlegen müssen.

122

D. Vereinbarkeit mit dem Datenschutzrecht

Identitäten gespeichert sind, eröffnet sich grundsätzlich auch die Möglichkeit, die dahinterstehende natürliche Person zu identifizieren, sodass auf der Blockchain abgelegte Daten konsequenterweise als personenbezogene Daten im Sinne der DSGVO zu gelten haben.534

Vor dem Hintergrund der Fragestellung nach dem Personenbezug bei Blockchain-Systemen ist die Frage, ob bei der DSGVO dem absoluten Personenbezugsbegriff gefolgt und damit potentiell jede Blockchain als personenbezogen angesehen werden muss, beantwortet: eine Anwendung des absoluten Personenbezugsbegriffes ist abzulehnen, weil zahlreiche Argumente zeigen, dass die DSGVO für den Begriff des Personenbezuges gerade nicht das „gesamte Weltwissen“ berücksichtigt wissen will, sondern durchaus eine einzelfallbezogene Betrachtung zulässt und verlangt. Da der Begriff des Personenbezuges gem. Art. 4 Nr. 1 DSGVO nicht streng absolut zu verstehen ist, bedeutet dies andererseits aber auch, dass Daten auf Blockchains durch die potentielle Identifizierbarkeit von Nutzern nicht per se personenbezogen sind.

Für den Personenbezug bei Blockchains ist also zu differenzieren: weder sind Blockchains per se personenbezogen noch per se anonym.535 Entsprechend eines eingeschränkt-objektiven Verständnisses richtet sich dieser bei BlockchainDaten nach den Umständen des Einzelfalls, also danach, ob eine Identifizierung

534

Dies wird man umso mehr für auf der Blockchain gespeicherte weitergehende Daten annehmen müssen, sofern diese im Einzelfall ebenfalls auf der Blockchain gespeichert werden, s. Finck, EDPL, 2018, 17, 22 f.; Quiel, DuD, 2018, 566, 568. 535 I.E. ähnl. Bechtolf/Vogt, ZD, 2018, 66, 69; Pesch/Sillaber, CRi, 2017, 166, 168; Hofert, ZD, 2017, 161, 163; Böhme/Pesch, DuD, 2017, 473, 478; Finck, EDPL, 2018, 17, 24 f.

I. Personenbezug im Kontext einer Blockchain

123

für einen Verantwortlichen oder Dritte praktisch möglich und nicht ganz unwahrscheinlich ist. Da die auf einer Blockchain archivierten Daten mit Pseudonymen verknüpft sind, sind sie dann personenbezogene Daten, wenn ein Verantwortlicher in irgendeiner gem. Art. 4 Nr. 1 DSGVO relevanten Weise über Zusatzwissen zur Identifizierung einer natürlichen Person verfügt.536

b) Negativabgrenzung – keine Indikatoren für Personenbezug Bei der weiteren Untersuchung sind bestimmte Fallgruppen im Wege einer Negativabgrenzung zunächst auszuschließen. Bestimmte Aspekte, die im Zusammenhang mit einer Identifizierbarkeit bei Blockchains diskutiert werden, stellen für sich genommen noch keinen hinreichenden Personenbezug her:

aa)

Kein Personenbezug wegen Kenntnis eigener Identität

Ein Personenbezug ließe sich allein schon deshalb in Betracht ziehen, weil jedenfalls der Adressinhaber selbst seine Identität kennt.537 In diesem Fall wären alle Absender- und Adressatendaten einer Blockchain personenbezogen, weil zumindest dem Inhaber selbst seine Identität bekannt ist.538 Aber aus der Systematik der DSGVO folgt, dass betroffene Person und datenschutzrechtlich

536 Vgl. Kaulartz, CR, 2016, 474, 479; Spindler/Bille, WM, 2014, 1357, 1368; Pesch/Sillaber, CRi, 2017, 166, 168 f. 537 Vgl. Spindler/Bille, WM, 2014, 1357, 1368 sowie Kaulartz, CR, 2016, 474, 479. 538 Spindler/Bille, WM, 2014, 1357, 1368.

124

D. Vereinbarkeit mit dem Datenschutzrecht

Verantwortlicher personenverschieden sein müssen.539 Da das Datenschutzrecht nicht die betroffene Person vor sich selbst schützen soll, genügt es für einen Personenbezug nicht, wenn eine Person sich selbst identifizieren kann.540

Kann davon ausgegangen werden, dass nur die betroffene Person sich selbst identifizieren kann, so handelt es sich bei seiner Blockchain-Adresse grundsätzlich um ein sog. „selbst generiertes Pseudonym“ ohne Personenbezug541 und die Blockchain-Daten bleiben für den Datenverarbeiter bloße Sachdaten542.

bb)

Keine „Singularisierung“ statt „Identifizierung“543

Die Regelung des Art. 4 Nr. 1 Hs. 2 DSGVO lässt es für einen Personenbezug genügen, wenn eine natürliche Person „mittels Zuordnung zu einer Kennung […] identifiziert werden kann“, woraus man den Schluss ziehen könnte, ein Personenbezug liege bereits dann vor, wenn eine natürliche Person mittels einer „Kennung“ identifiziert werden könne. Denkt man diesen Ansatz weiter, so könnte dies wiederum bedeuten, dass Blockchain-Adressen ebenfalls als Kennungen nach der DSGVO einzustufen und Blockchain-Daten konsequenterweise schlechthin als personenbezogen einzustufen wären.544

539 Sydow–Raschauer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 119; Wolff/Brink–Schild, Beck'scher Online-Kommentar Datenschutzrecht, 31. Edition, 2020 [Stand: 01.02.2020], Art. 4 Rn. 28; in diese Richtung auch Gola–Piltz, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 26 Rn. 2; Kühling/Buchner–J. Hartung, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 7. 540 Explizit für die Bitcoin-Blockchain: Erbguth/Fasching, ZD, 2017, 560, 562; ähnl. Schrey/Thalhofer, NJW, 2017, 1431, 1433. 541 Schrey/Thalhofer, NJW, 2017, 1431, 1433; Kaulartz, CR, 2016, 474, 479 f. m.w.N.; zum Begriff des „selbst vergebenen Pseudonyms“ Wolff/Brink–Schild, Beck'scher Online-Kommentar Datenschutzrecht, 31. Edition, 2020 [Stand: 01.02.2020], Art. 4 Rn. 74. 542 Isler, Datenschutz auf der Blockchain, S. 10. 543 Begriffe bei Isler, Datenschutz auf der Blockchain, S. 10. 544 Für das Beispiel Bitcoin: Isler, Datenschutz auf der Blockchain, S. 10.

I. Personenbezug im Kontext einer Blockchain

125

Wie bereits oben545 ausgeführt, sprechen die besseren Argumente aber dafür, das bloße Vorliegen einer Kennung für einen Personenbezug nicht genügen zu lassen. Der EU-Gesetzgeber hatte nicht die Absicht, Kennungen schlechthin als personenbezogen einzustufen. Blockchain-Daten sind nicht bereits aufgrund des Vorhandenseins eindeutiger Blockchain-Adressen schlechthin personenbezogen, selbst wenn über die Blockchain-Adresse der dahinterstehende Nutzer theoretisch von anderen Nutzern klar abgrenzbar und darin eine (Online-)Kennung nach Art. 4 Nr. 1 DSGVO zu sehen sein mag. Für einen Personenbezug ist vielmehr die Verknüpfung mit weiteren identifizierenden Daten zu fordern.546

c)

Fallgruppen eines naheliegenden Personenbezuges

Der Personenbezug von Blockchains hängt damit vor allem davon ab, ob auf der betreffenden Blockchain konkret Daten gespeichert werden, die sich mit einer bestimmten Person verknüpfen lassen.547 Da sich Blockchain-Anwendungen im Einzelnen stark unterscheiden können, lassen sich keine pauschalen Aussagen treffen; jedoch soll versucht werden, den Personenbezug bei Blockchains anhand bestimmter Fallgruppen einzugrenzen. Tatsächlich lassen sich mehrere Fallgruppen identifizieren, die einen Personenbezug bei Blockchains ermöglichen oder begünstigen.

545

Abschnitt D.I.2.d)cc). Isler, Datenschutz auf der Blockchain, S. 10; so jedenfalls i.E. auch Pesch/Sillaber, CRi, 2017, 166, 168; Finck, EDPL, 2018, 17, 24; Bechtolf/Vogt, ZD, 2018, 66, 69; Böhme/Pesch, DuD, 2017, 473, 478. 547 Berberich/Steiner, EDPL, 2016, 422, 423; ähnl. Martini/Weinzierl, NVwZ, 2017, 1251, 1253 Fn. 19, die darauf hinweisen, dass die Herstellung eines Personenbezuges auch vom konkreten technischen Blockchain-Einsatzszenario abhängt; zumindest i.E. ähnl. auch Bechtolf/Vogt, ZD, 2018, 66, 69; Pesch/Sillaber, CRi, 2017, 166, 168; Hofert, ZD, 2017, 161, 163; Böhme/Pesch, DuD, 2017, 473, 478; Finck, EDPL, 2018, 17, 24 f. 546

D. Vereinbarkeit mit dem Datenschutzrecht

126

Dabei kann ein Blockchain-Teilnehmer sowohl durch seinen öffentlichen Schlüssel selbst als auch aufgrund von Zusatzinformationen bestimmbar sein:

aa)

Identifizierung mittels des öffentlichen Schlüssels

Nutzer können unter bestimmten Voraussetzungen ohne ihr unmittelbares Zutun identifiziert werden.

Denn es ist teilweise bereits möglich, die – nach dem Urteil des EuGH in der Rechtssache Breyer zweifelsohne personenbezogenen – IP-Adressen der Rechner von Blockchain-Teilnehmer zu ermitteln548, und zwar häufig sogar dann, wenn Verschleierungsmethoden eingesetzt werden549. Über Big-Data-Analysen550 und die Anwendung von Heuristiken551 können Blockchain-Teilnehmer technisch immer leichter identifiziert werden.552

548

So für das Beispiel der Bitcoin-Blockchain Biryukov/Khovratovich/Pustogarov, Deanonymisation of Clients in Bitcoin P2P Network sowie P. Koshy/D. Koshy/McDaniel, An Analysis of Anonymity in Bitcoin Using P2P Network Traffic; s. auch Isler, Datenschutz auf der Blockchain, S. 3 m.w.N. 549 Erbguth/Fasching, ZD, 2017, 560, 563 m.w.N. 550 Martini/Weinzierl, NVwZ, 2017, 1251, 1253 nennen beispielsweise frei verfügbare Analysetools. 551 Pesch/Böhme, DuD, 2017, 93, 95; Bechtolf/Vogt, Blockchain und Datenschutz - Recht technologisch, in: Taeger (Hrsg.), Recht 4.0 - Innovationen aus den rechtswissenschaftlichen Laboren, 2017, S. 873, 880. 552 Eingehend zu De-Anonymisierungsmöglichkeiten in Bezug auf Bitcoin-Adressen mittels Verfahren der „transaction graph analysis“ sowie „network layer deanonymization“ Narayanan/Bonneau/Felten/Miller/Goldfeder, Bitcoin and cryptocurrency technologies, 1. Aufl., 2016, S. 144 ff.

I. Personenbezug im Kontext einer Blockchain

127

Ist erst einmal eine kryptographische Identität offengelegt, das heißt einem bestimmten Nutzer zugeordnet, so erweitern sich die Möglichkeiten der Identifizierbarkeit auch auf weitere Nutzerkonten.553 So ist durch Analyse von Transaktionen auf der Bitcoin-Blockchain unter bestimmten Vorbedingungen möglich, verschiedene Konten in Zusammenhang zu bringen und auf diese Weise festzustellen, ob hinter mehreren Konten dieselbe Person steckt und so umfassendere Erkenntnisse von einem Nutzer zu bekommen.554 Durch Heuristiken lassen sich auf technisch immer einfachere Weise mehrere Nutzerkonten demselben Nutzer zuordnen.555

Nicht zuletzt können Blockchain-Konten auch mit weiteren Daten außerhalb der Blockchain verknüpft werden, wie etwa im E-Commerce.556 So wäre es beispielsweise bei Online-Käufen, bei denen ein Betrag durch eine Bitcoin-Transaktion bezahlt wird, ohne Weiteres möglich, die Rechnungs- und Lieferanschrift des Online-Käufers mit seinem öffentlichen Schlüssel abzugleichen. Die Blockchain-Adresse eröffnet ein schier unüberblickbares Feld an weiteren Möglichkeiten, einen Personenbezug herzustellen.

553

Erbguth/Fasching, ZD, 2017, 560, 562; Böhme/Pesch, DuD, 2017, 473, 478. Erbguth/Fasching, ZD, 2017, 560, 562; Pesch/Böhme, DuD, 2017, 93, 95; Narayanan/Bonneau/Felten/Miller/Goldfeder, Bitcoin and cryptocurrency technologies, 1. Aufl., 2016, S. 145. 555 Erbguth/Fasching, ZD, 2017, 560, 562 weisen darauf hin, dass solche Analysen mittlerweile sogar „ohne technische Vorbedingungen oder Beihilfe Dritter möglich und als Cloud-Dienstleistungen verfügbar“ sind. 556 Hofert, ZD, 2017, 161, 164; ähnl. Bechtolf/Vogt, Blockchain und Datenschutz - Recht technologisch, in: Taeger (Hrsg.), Recht 4.0 - Innovationen aus den rechtswissenschaftlichen Laboren, 2017, S. 873, 880; Quiel, DuD, 2018, 566, 568. 554

D. Vereinbarkeit mit dem Datenschutzrecht

128

bb)

Identifizierung mittels Zusatzinformationen

Neben diesen vom jeweiligen Nutzer nicht steuerbaren Erkenntnismöglichkeiten kann ein Blockchain-Teilnehmer jedoch auch identifizierbar sein durch mehr oder weniger freiwillige Selbstoffenbarung557 der eigenen Identität. Denn in vielen Fällen können Blockchain-Nutzer quasi von sich aus Daten preisgeben, die wiederum zu ihrer Identifizierung führen können.

Es bestehen verschiedene Möglichkeiten, bei denen die jeweiligen BlockchainNutzer anhand von Zusatzinformationen identifiziert werden können:

(1)

Öffentlich verfügbare Zusatzinformationen

Lässt sich eine hinter der Blockchain-Adresse stehende natürliche Person ohne größeren Aufwand durch frei zugängliche zusätzlich verfügbare Daten (wie z.B. die Veröffentlichung einer eigenen Bitcoin-Adresse im Internet für Spendenaufrufe558) identifizieren, kann der Nutzer letztlich durch jeden – selbst von außerhalb des Blockchain-Systems stehenden Dritten – identifiziert werden und es lässt sich von einer Personenbeziehbarkeit für jedermann sprechen.559 Denn auch frei zugängliche Daten sind im Sinne des Erw.Gr. 26 S. 3 DSGVO jedenfalls Mittel, die für eine Identifikation „nach allgemeinem Ermessen wahrscheinlich genutzt werden“.560

557

Martini/Weinzierl, NVwZ, 2017, 1251, 1253; ähnl. Finck, EDPL, 2018, 17, 24. Narayanan/Bonneau/Felten/Miller/Goldfeder, Bitcoin and cryptocurrency technologies, 1. Aufl., 2016, S. 149; Finck, EDPL, 2018, 17, 24; Pesch/Sillaber, CRi, 2017, 166, 168. 559 Böhme/Pesch, DuD, 2017, 473, 478; Pesch/Sillaber, CRi, 2017, 166, 168 m.w.N. 560 Böhme/Pesch, DuD, 2017, 473, 478; ähnl. Finck, EDPL, 2018, 17, 24; vgl. auch zur Berücksichtigung von leicht erreichbaren Informationen für die Nutzungswahrscheinlichkeit eines Mittels bei den objektiven Faktoren Hofmann/Johannes, ZD, 2017, 221, 224. 558

I. Personenbezug im Kontext einer Blockchain

129

Was unter einem größeren Aufwand zu verstehen ist, ist freilich einzelfallabhängig: gem. Erw.Gr. 26 S. 4 DSGVO hängt der Aufwand nämlich von einer Berücksichtigung aller „objektiven Faktoren“ unter Beachtung der verfügbaren Technologie bzw. technologischer Entwicklungen – sprich: einer Risikoabwägung561 – ab.

Andererseits ist bei einer solchen Abwägung das Identifizierungsinteresse zumindest mit zu berücksichtigen und an einer Identifizierung kann ein hohes wirtschaftliches Interesse bestehen.562 Im Einzelfall kann hier schnell ein Personenbezug anzunehmen sein, denn je nach Informationsstand ist der Identifizierungsaufwand gemessen am Identifizierungsinteresse nicht hoch.563

In diesem Zusammenhang ist auch zu berücksichtigen, dass nach der Rechtsprechung des EuGH in der Rechtsache Breyer keine allzu hohen Anforderungen an eine Identifizierbarkeit über Dritte zu stellen sind. Dadurch ist der Kreis der Mittel, die für die Identifikation von Blockchain-Teilnehmern zu berücksichtigen sind, weit gezogen.564

561

Kühling/Buchner–Klar/Kühling, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 22 f. („Identifizierungswahrscheinlichkeit unter Verhältnismäßigkeitsgesichtspunkten“); ähnl. Schwartmann/Jaspers/Thüsing/Kugelmann–Schwartmann/Mühlenbeck, DSGVO/BDSG, 2018, Art. 4 Nr. 1 Rn. 22; Hofmann/Johannes, ZD, 2017, 221, 224; Wolff/Brink–Schild, Beck'scher Online-Kommentar Datenschutzrecht, 31. Edition, 2020 [Stand: 01.02.2020], Art. 4 Rn. 18. 562 Hofmann/Johannes, ZD, 2017, 221, 224; insb. beim Austausch von digitalen Gütern besteht regelmäßig ein hohes gegenseitiges Identifikationsinteresse, vgl. Quiel, DuD, 2018, 566, 568, ebenso bei der Markt- oder Risikoanalysen, vgl. Pesch/Sillaber, CRi, 2017, 166, 168. 563 Isler, Datenschutz auf der Blockchain, S. 10; ähnl. Hofert, ZD, 2017, 161, 163 f. 564 Ähnl. Isler, Datenschutz auf der Blockchain, S. 10; Hofert, ZD, 2017, 161, 163; Bechtolf/Vogt, ZD, 2018, 66, 69; Finck, EDPL, 2018, 17, 24; Pesch/Sillaber, CRi, 2017, 166, 169.

D. Vereinbarkeit mit dem Datenschutzrecht

130

Ein Personenbezug liegt dabei besonders nahe bei Blockchains, soweit diese in irgendeiner Weise Zahlungsdaten speichern oder Nutzungsprofile führen, weil dort oft ein hohes Identifizierungsinteresse bestehen kann.565 Vor diesem Hintergrund ist festzuhalten, dass der Kreis der zu berücksichtigenden Mittel für eine Identifikation so weit gezogen ist, dass bereits aufgrund von öffentlichen Angaben eine Identifizierbarkeit oft nicht ausgeschlossen sein wird.

(2)

Private Blockchain-Systeme

Auch im Falle eines Blockchain-Systems mit eingeschränktem Benutzerkreis, der sich vor Teilnahme gegenüber dem Betreiber identifizieren muss (sog. private Blockchains, s. oben566) dürften die hinter den Blockchain-Adressen stehenden Nutzer für die Blockchain-Betreiber in den meisten Fällen identifizierbar sein.567

Wer im Rahmen der Schlüsselverwaltung die Nutzerkennungen vergibt, kann auch die hinter dem öffentlichen Schlüssel verborgenen Nutzer identifizieren und auf diese Weise einen Personenbezug herstellen.568

565

So bereits Hofert, ZD, 2017, 161, 163. Abschnitt C.III.5.b)bb). 567 Martini/Weinzierl, NVwZ, 2017, 1251, 1253; Isler, Datenschutz auf der Blockchain, S. 6; Kaulartz, CR, 2016, 474, 480 mit der Einschränkung, dass dies auf die Implementierung ankomme; i.E. wohl auch Schrey/Thalhofer, NJW, 2017, 1431, 1433; Quiel, DuD, 2018, 566, 568. 568 Martini/Weinzierl, NVwZ, 2017, 1251, 1253; Schrey/Thalhofer, NJW, 2017, 1431, 1433. 566

I. Personenbezug im Kontext einer Blockchain

(3)

131

Nutzung Blockchain-basierter Dienste

Eine Identifizierung von Nutzern wird auch durch eine Verknüpfung mit Nutzerkonten ermöglicht, die im Kontext von Blockchain-bezogenen Diensten stehen:

(a) Know-Your-Customer-Prinzipien Staatliche Regulierung der Schnittstellen von digitalem Geld und Buchgeld kann die Identifizierung einer natürlichen Person erleichtern.569 Eine Identifizierbarkeit wird in diesem Zusammenhang oftmals aufgrund des Faktors der sog. „Know-Your-Customer-Prinzipien“ wahrscheinlich570:

Handelsplattformen für Kryptowährungen sind in der Regel als Kredit- oder Finanzdienstleistungsinstitute im Sinne des KWG Verpflichtete gem. § 2 GwG und müssen in Bezug auf ihre Kunden interne Sorgfaltspflichten erfüllen (sog. „Customer Due Diligence“) und diese insbesondere gem. §§ 3, 4, 11 GwG identifizieren und Anonymität verhindern.571 Selbst wenn es also – gegebenenfalls erst im Laufe technologischer Fortschritte – technisch ohne Weiteres möglich sein sollte, so dürfte eine Blockchain in diesen Fällen gar nicht anonym und unter Ausschluss eines Personenbezuges betrieben werden.

569

Narayanan/Bonneau/Felten/Miller/Goldfeder, Bitcoin and cryptocurrency technologies, 1. Aufl., 2016, S. 142; Finck, EDPL, 2018, 17, 24; Pesch/Böhme, DuD, 2017, 93, 95. 570 Guggenberger, ZD, 2017, 49; Finck, EDPL, 2018, 17, 24; speziell für das Beispiel Bitcoin auch Narayanan/Bonneau/Felten/Miller/Goldfeder, Bitcoin and cryptocurrency technologies, 1. Aufl., 2016, S. 149 sowie Pesch/Böhme, DuD, 2017, 93, 95. 571 Hildner, BKR, 2016, 485, 493; Hofert, ZD, 2017, 161, 163; hierzu eingehender: Spindler/Bille, WM, 2014, 1357, 1367.

132

D. Vereinbarkeit mit dem Datenschutzrecht

Für Tauschbörsen sind aufgrund ihrer Nutzerinformationen die Blockchain-Daten ihrer Kunden personenbeziehbar und eine Identifizierung der Nutzer ist bereits zum gegenwärtigen Stand zumindest bei Tauschbörsen der Regelfall.572 Gerade bei solchen Schnittstellen dürfte die Möglichkeit einer Identifizierung der Nutzer daher in der Regel zu unterstellen sein.573

(b) Novellierung der 4. Geldwäsche-Richtlinie In europarechtlicher Dimension wird nicht nur die Entwicklung des Personenbezugsbegriffes nach der DSGVO einen Einfluss auf das Datenschutzrecht haben, sondern auch eine Novellierung der 4. Geldwäsche-Richtlinie. Die 5. Geldwäscherichtlinie ist am 09.07.2018 in Kraft getreten und bis zum 10.01.2020 von den EU-Mitgliedsstaaten umzusetzen.574 Sie umfasst insbesondere auch virtuelle Währungen575 und würde dadurch aller Voraussicht nach Dienste im Zusammenhang mit Krypto-Währungen betreffen und den Anwendungsbereich der Know-Your-Customer-Prinzipien deutlich erweitern.576 Durch die neue Richtlinie würden weitere Dienste-Anbieter im Bereich virtueller Währungen (beispielsweise Umtauschbörsen – soweit sie nicht ohnehin bereits unter

572

Bechtolf/Vogt, Blockchain und Datenschutz - Recht technologisch, in: Taeger (Hrsg.), Recht 4.0 - Innovationen aus den rechtswissenschaftlichen Laboren, 2017, S. 873, 880; Finck, EDPL, 2018, 17, 24; vgl. bezüglich Bitcoin-Tauschbörsen Erbguth/Fasching, ZD, 2017, 560, 562; Pesch/Böhme, DuD, 2017, 93, 95. 573 Hofert, ZD, 2017, 161, 163; ähnl. Bechtolf/Vogt, Blockchain und Datenschutz - Recht technologisch, in: Taeger (Hrsg.), Recht 4.0 - Innovationen aus den rechtswissenschaftlichen Laboren, 2017, S. 873, 880; Pesch/Sillaber, CRi, 2017, 166, 169. 574 S. hierzu die Richtlinie (EU) 2018/843 des Europäischen Parlaments und des Rates vom 30. Mai 2018 zur Änderung der Richtlinie (EU) 2015/849 zur Verhinderung der Nutzung des Finanzsystems zum Zwecke der Geldwäsche und der Terrorismusfinanzierung und zur Änderung der Richtlinien 2009/138/EG und 2013/36/EU; weiterführend Frey, CCZ, 2018, 170, 171; Krais, NZWiSt, 2018, 321; in Deutschland ist die für Kryptowerte relevante Umsetzung zum 01.01.2020 im Kreditwesengesetz (KWG) erfolgt, s. hierzu Zöllner, BKR 2020, 117, 118 m.w.N. 575 S. hierzu insbesondere Art. 1 Nr. 1 lit. c) der Änderungs-Richtlinie. 576 Pesch/Böhme, DuD, 2017, 93, 95; Frey, CCZ, 2018, 170, 177.

I. Personenbezug im Kontext einer Blockchain

133

das GwG fielen – sowie Anbieter elektronischer Geldbörsen, sog. WalletDienste) in den Pflichtenkreis der geldwäscherechtlichen Sorgfalts- und Identifizierungspflichten aufgenommen.577

Zudem sollen automatisierte Mechanismen zur raschen Identifizierung der Inhaber von Bank- und Zahlungskonten eingerichtet werden.578 Dadurch würde es künftig leichter, Nutzerkonten einer virtuellen Währung über den public key dem Konteninhaber zuzuordnen.579

Für die Tauschbörsen und sonstigen Dienstleister sind die Blockchain-Daten ihrer Kunden damit häufig personenbezogen.580 Bei ihnen sind in der Regel bestimmte Blockchain-Adressen mit einem eindeutigen Nutzerkonto und somit entweder mit identifizierenden Angaben, möglicherweise sogar einem Klarnamen,581 verbunden.

577

Krais, NZWiSt, 2018, 321; Frey, CCZ, 2018, 170, 177 m.w.N.; Hildner, BKR, 2016, 485, 493 und Erbguth/Fasching, ZD, 2017, 560, 562. 578 Art. 1 Nr. 15 lit. b) der Änderungs-Richtlinie; Frey, CCZ, 2018, 170, 173. 579 Hildner, BKR, 2016, 485, 493. 580 Erbguth/Fasching, ZD, 2017, 560, 562; Bechtolf/Vogt, Blockchain und Datenschutz - Recht technologisch, in: Taeger (Hrsg.), Recht 4.0 - Innovationen aus den rechtswissenschaftlichen Laboren, 2017, S. 873, 880; ähnl. Pesch/Böhme, DuD, 2017, 93, 95; Finck, EDPL, 2018, 17, 24. 581 Für das Beispiel Bitcoin Pesch/Böhme, DuD, 2017, 93, 95.

134

D. Vereinbarkeit mit dem Datenschutzrecht

(c) Verbindung einer Blockchain-Adresse mit Zusatzangaben Aber auch unabhängig von etwaigen gesetzlichen Verpflichtungen besteht für eine Stelle oft bereits aus wirtschaftlichen Gründen ein Interesse daran, Geschäfte zu strukturieren und ihre Kunden582 bzw. beim Austausch digitaler Güter ihre Vertragspartner583 zu identifizieren.

Daher werden bei auf Blockchain-Systemen aufsetzenden Anwendungen die entsprechenden Nutzerkonten mit einer bestimmten Blockchain-Adresse und häufig mit Klarnamen oder sonstigen identifizierenden Angaben des Nutzers verbunden.584

Als Beispiel lassen sich – abgesehen von den bereits erwähnten Marktplätzen und Geldbörsen – jegliche Schnittstellen zwischen Geldsystem und Kryptowährungen anführen, wie etwa Blockchain-Dienstleister, welche Blockchain-Daten für die Marktforschung585, forensiche Untersuchungen586 sowie Risikoanalyse587 aufbereiten und analysieren. Der Nutzer ist für solche Dienste-Anbieter seiner Blockchain-Adresse zuordenbar.

582

Merz, Einsatzpotenziale der Blockchain im Energiehandel, in: Burgwinkel (Hrsg.), Blockchain Technology, 1. Aufl., 2016, S. 51. 583 Quiel, DuD, 2018, 566, 568; Hofert, ZD, 2017, 161, 164. 584 Pesch/Böhme, DuD, 2017, 93, 95; ähnl. Erbguth/Fasching, ZD, 2017, 560, 562. 585 Pesch/Sillaber, CRi, 2017, 166, 168. 586 Pesch/Böhme, DuD, 2017, 93, 95 f. ; Finck, EDPL, 2018, 17, 24 m.w.N. 587 Pesch/Sillaber, CRi, 2017, 166, 168; Böhme/Pesch, DuD, 2017, 473, 479; zur Zusammenführung von Bitcoin-Adressen durch externe Dienstleister auch Erbguth/Fasching, ZD, 2017, 560, 562.

I. Personenbezug im Kontext einer Blockchain

(4)

135

Zusatzinformationen bei Transaktionen

Gerade die Einsatzmöglichkeit von Blockchains als Transaktionsregister bedingt es in aller Regel, dass auf Blockchains neben den Schlüsseln auch Daten mit spezifischem Bezug auf natürliche Personen als Rechteinhaber, Eigentümer oder Vertragspartei abgelegt sind.588

Bei Blockchain-basierten Transaktionen werden häufig Blockchain-Adressen zwischen den Beteiligten ausgetauscht werden müssen und auf diese Weise eine Identifizierung möglich, weil solche Geschäfte gewöhnlich spezifische Daten bezüglich der Rechteinhaber erforderlich machen.589 So muss eine Verbindung zwischen pseudonymen Blockchain-Daten und einer natürlichen Person nahezu zwingend möglich sein bei Blockchain-Transaktionen, die Güter außerhalb der Blockchain betreffen (wie beim Erwerb von Waren oder Dienstleistungen oder bei Eigentums- und Zuordnungsregistern) und bei denen die Transaktionsparteien deshalb genau bekannt sein müssen.590 Dies dürfte voraussichtlich vor allem auch Handelstransaktionen im E-Commerce betreffen, etwa wenn Zahlungen vorgenommen werden591 oder ein Verkäufer zur Versendung einer Ware die Adresse oder Identität eines Kunden kennen muss592.

588

Berberich/Steiner, EDPL, 2016, 422, 423; ähnl. Finck, EDPL, 2018, 17, 22 f.; Quiel, DuD, 2018, 566, 568; Schrey/Thalhofer, NJW, 2017, 1431, 1433. 589 Berberich/Steiner, EDPL, 2016, 422, 423; speziell für Bitcoin Narayanan/Bonneau/Felten/Miller/Goldfeder, Bitcoin and cryptocurrency technologies, 1. Aufl., 2016, S. 139. 590 Berberich/Steiner, EDPL, 2016, 422, 424; i.E. ähnl. Quiel, DuD, 2018, 566, 568; Schrey/Thalhofer, NJW, 2017, 1431, 1433. 591 Hofert, ZD, 2017, 161, 163; konkret für Bitcoin-Adressen Pesch/Böhme, DuD, 2017, 93, 95; Pesch/Sillaber, CRi, 2017, 166, 168. 592 Bechtolf/Vogt, Blockchain und Datenschutz - Recht technologisch, in: Taeger (Hrsg.), Recht 4.0 - Innovationen aus den rechtswissenschaftlichen Laboren, 2017, S. 873, 880; für das Beispiel Bitcoin Erbguth/Fasching, ZD, 2017, 560, 562.

136

D. Vereinbarkeit mit dem Datenschutzrecht

(a) Kaufvertragsszenarien In Kaufvertragsszenarien im Online-Geschäft, bei denen Ware gekauft und an den Käufer versandt werden soll, liegt die wechselseitige Offenlegung der Identitäten der Vertragsparteien besonders nahe.593 Hier werden die Möglichkeiten einer Identifizierung durch Verbindung eines Nutzers mit seiner Blockchain-Adresse sowohl auf Verkäufer- als auch Käuferseite sehr anschaulich deutlich:

Will ein Verkäufer Zahlungen von Kryptowährungen wie Bitcoins erhalten, muss er dem Käufer seine Blockchain-Adresse mitteilen, der dadurch die hinter dieser Adresse stehende Person identifizieren kann; hat wiederum ein Käufer Kryptowährung über seine Blockchain-Adresse an den Verkäufer überwiesen, kann dieser gleichfalls diese Blockchain-Adresse mit der Person des Käufers – und unter Umständen sogar mit der Versandadresse des Käufers – verknüpfen.594 Ist eine solche Verknüpfung erst einmal erfolgreich, ist es möglich, nicht nur die Zahlung selbst einem Nutzer zuordnen, sondern auch alle weiteren Aktivitäten dieses Nutzerkontos auf der Blockchain.595

(b) Verifikationsinstrument für Smart Contracts Indes wird ein besonders wichtiger Anwendungsfall der Identifizierbarkeit voraussichtlich dort liegen, wo Transaktionen automatisiert abgewickelt werden, vor allem im derzeit stark wachsenden Bereich der sog. Smart Contracts, also

593

Kaulartz/J. Heckmann, CR, 2016, 618, 620; ähnlich Spindler/Bille, WM, 2014, 1357, 1368. Erbguth/Fasching, ZD, 2017, 560, 562; Bechtolf/Vogt, Blockchain und Datenschutz - Recht technologisch, in: Taeger (Hrsg.), Recht 4.0 - Innovationen aus den rechtswissenschaftlichen Laboren, 2017, S. 873, 880; ähnl. Pesch/Sillaber, CRi, 2017, 166, 168. 595 Erbguth/Fasching, ZD, 2017, 560, 562; Hofert, ZD, 2017, 161, 164. 594

I. Personenbezug im Kontext einer Blockchain

137

Transaktionsprotokollen, welche ohne menschliches Zutun Vertragsbedingungen über eine Blockchain ausführen (hierzu bereits oben596). Auch bei Smart Contracts wird nämlich in der Regel die Kenntnis der Vertragspartner erforderlich sein.597 Dies gilt allein schon deshalb, weil für den Leistungsaustausch letztlich bekannt sein muss, an wen die Leistung erbracht werden soll, auch wenn dies automatisiert über einen Smart Contract-Code erfolgt, denn für den einem Smart Contract-Code letztlich zugrundeliegenden Vertragsschluss müssen alle essentialia negotii vereinbart und damit in der Regel beide Vertragsparteien zumindest bestimmbar sein.598

Eine Identifizierung der Vertragsparteien wäre aber ohnehin auch schon deshalb sinnvoll, weil anderenfalls die Rechtsdurchsetzung – vor allem bei Gewährleistungsrechten – praktisch kaum möglich wäre.599 Eines der wesentlichen Anwendungsgebiete von Smart Contracts liegt daher in Konstellationen, in denen Vertragsparteien identifiziert oder identifizierbar sind.600

(5)

Rechtlicher Zugriff auf Erkenntnismöglichkeiten Dritter

Die bislang aufgeführten Erkenntnismöglichkeiten betrafen mehr oder weniger Mittel, die einem Verantwortlichen oder einer anderen Person selbst potentiell zur Verfügung stehen. Jedoch sind entsprechend einem weiten Verständnis des

596

Abschnitt C.III.2.c). I.E. ähnl. Quiel, DuD, 2018, 566, 568; Kaulartz/J. Heckmann, CR, 2016, 618, 620; Finck, EDPL, 2018, 17, 23 mit Betrachtung datenschutzfreundlicher Smart-Contract-Ansätze. 598 Vgl. grundsätzlich zur Abgabe von Willenserklärungen bei der Zuhilfenahme von Computerprogrammen etwa Klein, Blockchains als Verifikationsinstrument für Transaktionen im IoT, in: Taeger (Hrsg.), Internet der Dinge, 2015, S. 429. 599 Kaulartz/J. Heckmann, CR, 2016, 618, 620; ähnl. Schrey/Thalhofer, NJW, 2017, 1431, 1433. 600 So bereits Kaulartz/J. Heckmann, CR, 2016, 618, 620. 597

138

D. Vereinbarkeit mit dem Datenschutzrecht

Personenbezuges nicht nur eigene Erkenntnismöglichkeiten, sondern auch diejenigen von Dritten einzubeziehen; das Urteil des EuGH in der Rechtssache Breyer hat in diesem Zusammenhang den Grundstein dafür gelegt, auch Erkenntnismöglichkeiten Dritter einzubeziehen, wenn bereits die abstrakte Möglichkeit eines Zugriffes darauf mit rechtlichen Mitteln besteht.601

Eine gewisse Hürde bietet dabei freilich die Frage der tatsächlichen Erreichbarkeit eines solchen Dritten.602 Indes kann in vielen Fällen eine Blockchain-Adresse mit einer IP-Adresse in Verbindung gebracht und über diesen Weg – sollte nicht schon aufgrund der IP-Adresse selbst der dahinter stehende Nutzer identifizierbar sein603 – ein Blockchain-Dienstleister, wie etwa eine Bitcoin-Tauschbörse, in Erfahrung gebracht werden.604

Ist diese Hürde erst einmal genommen und ein Dritter mit den potentiell identifizierenden Zusatzinformationen bekannt, sind nicht zuletzt aufgrund der weiten Rechtsprechung des EuGH bei der Bestimmung des Personenbezuges auch potentiell in Bezug auf diesen Dritten zur Verfügung stehende rechtliche Mittel, welche die Identifizierung einer natürlichen Person gestatten, zu berücksichtigen.

601

EuGH, Urt. v. 19.10.2016 – Rs. C-582/14, ECLI:EU:C:2016:779, Tz. 47 f. – Breyer. Anderenfalls wären nach dem EuGH diese Dritten als Mittel für den Personenbezug wohl nicht zu berücksichtigen, weil die Identifizierung de facto nicht durchführbar wäre, vgl. EuGH, Urt. v. 19.10.2016 – Rs. C-582/14, ECLI:EU:C:2016:779, Tz. 46 – Breyer; hierzu näher Krügel, ZD, 2017, 455, 459; ähnl. Kühling/Buchner–Klar/Kühling, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 26; D. Heckmann, Kapitel 9: Datenschutz, in: Heckmann (Hrsg.), jurisPK-Internetrecht, 6. Aufl., 2019 [Stand: 20.03.2020], Rn. 112 f.; Schwartmann/Jaspers/Thüsing/Kugelmann– Schwartmann/Mühlenbeck, DSGVO/BDSG, 2018, Art. 4 Nr. 1 Rn. 24. 603 Finck, EDPL, 2018, 17, 24; Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1028; Martini/Weinzierl, NVwZ, 2017, 1251, 1253. 604 Erbguth/Fasching, ZD, 2017, 560, 562; ähnl. Pesch/Sillaber, CRi, 2017, 166, 168 f. 602

I. Personenbezug im Kontext einer Blockchain

139

Reichen in Fortsetzung der Argumentationslinie des EuGH allein potentielle Rechtsansprüche aus, so wird dies in Konsequenz bedeuten, dass letztlich fast jedes Datum Personenbezug aufweisen wird, weil ein potentieller Rechtsanspruch auf Herausgabe von Zusatzinformationen fast immer bestehen wird.605

Sowohl potentielle Anspruchsinhaber als auch der Staat selbst können unter gewissen Voraussetzungen die Preisgabe von Zusatzinformationen erreichen, mit denen dann eine Identifizierung eines Blockchain-Teilnehmers möglich ist, etwa zur Aufklärung von Straftaten oder zur Durchsetzung von Ansprüchen.606 Auskunftsansprüche könnten beispielsweise aus § 14 Abs. 2 TMG folgen.607

d) Zwischenbetrachtung Bisher wurde gezeigt, dass auch unter der DSGVO des Begriffes der personenbezogenen Daten weit zu verstehen ist. Gezeigt wurde auch, dass es für den Anwendungsbereich von Blockchain-Systemen zahlreiche Einfallstore gibt, über welche Blockchain-Adressen von Teilnehmern mit natürlichen Personen

605

Sydow–Ziebarth, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 37; ähnl. Schwartmann/Jaspers/Thüsing/Kugelmann–Schwartmann/Mühlenbeck, DSGVO/BDSG, 2018, Art. 4 Nr. 1 Rn. 28. 606 Martini/Weinzierl, NVwZ, 2017, 1251, 1253; Erbguth/Fasching, ZD, 2017, 560, 562; ähnl. Sydow– Ziebarth, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 37. 607 Martini/Weinzierl, NVwZ, 2017, 1251, 1253 Fn. 23.

140

D. Vereinbarkeit mit dem Datenschutzrecht

in Verbindung gebracht werden und somit deren kryptographische Identitäten gelüftet werden können.608

Blockchain-Daten und insbesondere die dort abgelegten kryptographischen Identitäten lassen sich potentiell auf natürliche Personen beziehen, und insofern bestehen durchaus Mittel im Sinne des Erw.Gr. 26 S. 3 DSGVO, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich zur Identifizierung eines Betroffenen eingesetzt werden könnten. Wendet man die Grundsätze des Urteils des EuGH in der Rechtssache Breyer auf die DSGVO an und lässt auch potentielle Auskunftsansprüche gegen Dritte als Erkenntnismittel für den Personenbezug ausreichen, so wird ein Personenbezug bei Blockchains letztlich wohl der Regelfall sein.609

Nach dem derzeitigen technischen Erkenntnisstand kann eine Identifizierung von Blockchain-Teilnehmern anhand von Blockchain-Daten im Grundsatz nicht sicher ausgeschlossen werden. Letztlich dürfte ein Personenbezug kaum und

608

So auch Finck, EDPL, 2018, 17, 22 ff.; Pesch/Sillaber, CRi, 2017, 166, 168 f.; Bechtolf/Vogt, Blockchain und Datenschutz - Recht technologisch, in: Taeger (Hrsg.), Recht 4.0 - Innovationen aus den rechtswissenschaftlichen Laboren, 2017, S. 873, 880; Böhme/Pesch, DuD, 2017, 473, 478; Martini/Weinzierl, NVwZ, 2017, 1251, 1253; i.E. wohl auch Quiel, DuD, 2018, 566, 568; a.A. wohl: Schrey/Thalhofer, NJW, 2017, 1431, 1433, welche für public Blockchains einen Personenbezug ausschließen. 609 I.E. ähnl. bereits Finck, EDPL, 2018, 17, 26; Bechtolf/Vogt, Blockchain und Datenschutz - Recht technologisch, in: Taeger (Hrsg.), Recht 4.0 - Innovationen aus den rechtswissenschaftlichen Laboren, 2017, S. 873, 880; Hofert, ZD, 2017, 161, 164; wohl auch Quiel, DuD, 2018, 566, 568; a.A. wohl z.B. Kaulartz, CR, 2016, 474, 480 und Schrey/Thalhofer, NJW, 2017, 1431, 1434, die jedenfalls für öffentliche Blockchains im Regelfall keinen Personenbezug sehen.

I. Personenbezug im Kontext einer Blockchain

141

jedenfalls nur dann abwendbar sein, wenn technische Möglichkeiten der Anonymisierung bestehen.610 Dies wird vor allem eine Frage der künftigen technologischen Entwicklung sein.

Technologische Entwicklung kann allerdings nicht nur für die Einschränkung, sondern auch die Ausweitung der Herstellung eines Personenbezuges sorgen. So wird teilweise aufgrund bereits jetzt existierender Big Data-Analysemöglichkeiten das „Ende der Anonymität“ befürchtet und im Ergebnis alle Daten als personenbezogen eingestuft.611 Je nachdem, welchen Weg die technische Entwicklung einschlagen wird, wird ein Personenbezug damit entweder weniger wahrscheinlich, oder sogar noch wahrscheinlicher und könnte damit einer Nutzung der Blockchain-Technologie im Ergebnis im Wege stehen.

Aber auch rechtlichen Entwicklungen wird zum Teil eine potentielle Behinderung der Blockchain-Technologie in ihrer jetzigen Form nachgesagt. So hat der Vorschlag für die Einführung einer „e-Privacy-Verordnung“612 bereits Befürchtungen geweckt, dass selbst ungeachtet eines Personenbezuges bald Abwicklungssysteme wie Blockchains, die vollkommen auf Transparenz aufbauen,

610

So weisen Berberich/Steiner, EDPL, 2016, 422, 424 Fn. 15, darauf hin, dass bei Transaktionen ohne Bezugspunkte außerhalb der Blockchain selbst eine Anonymisierung möglicherweise durch Verschlüsselung technisch möglich sein könnte und Martini/Weinzierl, NVwZ, 2017, 1251, 1253Fn. 19, erwägen den Einsatz von Tor- oder VPN-Netzwerken zur Vermeidung eines Personenbezuges; auch Jacobs/Lange-Hausstein, ITRB, 2017, 10, 15 gehen davon aus, dass Blockchain-Gestaltungen möglich sind, in denen ein Personenbezug für die verantwortliche Stelle technisch ausgeschlossen werden; weitere Ansätze zum technischen Datenschutz bei Blockchains bei European Union Agency For Network And Information Security, Distributed Ledger Technology & Cybersecurity, S. 21 sowie Martini/Weinzierl, NVwZ, 2017, 1251, 1256 und Finck, EDPL, 2018, 17, 25. 611 Beispielsweise Boehme-Neßler, DuD, 2016, 419; ähnl. auch Paal/Pauly–Ernst, DatenschutzGrundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 4 Rn. 50; D. Heckmann, Kapitel 9: Datenschutz, in: Heckmann (Hrsg.), jurisPK-Internetrecht, 6. Aufl., 2019 [Stand: 20.03.2020], Rn. 109. 612 Europäische Kommission, Verordnungsvorschlag v. 10.01.2017 (Dok.-Nr. COM (2017) 10 final).

D. Vereinbarkeit mit dem Datenschutzrecht

142

nicht mehr möglich sein werden.613 Auch hier bleiben die weiteren Entwicklungen abzuwarten.

Zusammenfassend ist damit festzuhalten, dass bei Blockchains potentiell in sehr vielen Anwendungsfällen zahlreiche Ansatzpunkte bestehen, um einen Personenbezug herzustellen – ein Personenbezug dürfte damit bei Blockchains oft zu unterstellen sein. Mit den zahlreichen Fällen, in denen ein Personenbezug hergestellt werden kann, geht gleichzeitig die Anwendbarkeit der DSGVO einher, sodass deren Regelungen beachtet werden müssen. Zu diesen Regelungen gehört insbesondere die Rechtmäßigkeit der Verarbeitung von personenbezogenen Daten sowie die Gewährleistung von Betroffenenrechten. Den sich in diesem Kontext ergebenden Fragen soll im nächsten Kapitel nachgegangen werden.

II. Die Unveränderlichkeit von Blockchains im Spannungsfeld datenschutzrechtlicher Prinzipien Steht fest, dass personenbezogene Daten verarbeitet werden, so stellen sich datenschutzrechtliche Fragen insbesondere im Hinblick auf die Legitimationsgrundlage für die Verarbeitung von Personendaten einerseits, andererseits für die Gewährleistung von Betroffenenrechten.614 Denn beide Themenkomplexe können jeweils eine nachträgliche Veränderung einer Blockchain erforderlich

613

Isler, Datenschutz auf der Blockchain, S. 11. Schrey/Thalhofer, NJW, 2017, 1431, 1434; ähnl. Böhme/Pesch, DuD, 2017, 473, 479 f.; Quiel, DuD, 2018, 566, 570 f. 614

II. Die Unveränderlichkeit von Blockchains im Spannungsfeld …

143

machen und zeigen damit einen möglichen Widerspruch auf zwischen technischer Unabänderlichkeit einerseits und rechtlicher Änderungspflicht andererseits.

1.

Rechtmäßigkeit von Blockchain-Datenverarbeitungen

Werden auf einer Blockchain personenbezogene Daten verarbeitet, stellt sich die Frage nach der Legitimation für die Erhebung und Verwendung der Daten. Bereits an dieser Stelle können datenschutzrechtliche Grundsätze mit spezifischen technischen Eigenschaften der Blockchain-Technologie kollidieren.615 Denn jede Verarbeitung personenbezogener Daten bedarf eines Rechtsgrundes; kann eine Datenverarbeitung nicht auf eine hinreichende Legitimationsgrundlage – eine gesetzliche oder gewillkürte (Einwilligung) Erlaubnis – gestützt werden, ist die Verarbeitung unzulässig (sog. datenschutzrechtliches Verbotsprinzip, hierzu sogleich). Fehlt eine solche hinreichende Grundlage, drohen nicht nur empfindliche Geldbußen von Seiten der Aufsichtsbehörden gem. Art. 83 Abs. 5 lit. a) DSGVO und Schadensersatzansprüche von Seiten der betroffenen Person gem. Art. 82 Abs. 1 DSGVO, sondern kann die betroffene Person unter Berufung auf Art. 17 Abs. 1 lit. d) DSGVO die Löschung der entsprechenden personenbezogenen Daten verlangen.616 Dies scheint in diametralem Gegensatz zu der permanenten Unveränderlichkeit der Blockchain zu stehen und verdient nähere Untersuchung.

615 Ähnl. Quiel, DuD, 2018, 566, 571; Hofert,

ZD, 2017, 161, 163; Schrey/Thalhofer, NJW, 2017, 1431, 1434. 616 Gola–Sebastian Schulz, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 6 Rn. 267; Sydow– Reimer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 6 Rn. 80; Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 1213; Ehmann/Selmayr–Heberlein, DS-GVO, 2. Aufl., 2018, Art. 5 Rn. 35 ff.

144

D. Vereinbarkeit mit dem Datenschutzrecht

Auch wenn das Kriterium der Rechtmäßigkeit von rechtlichen Erlaubnistatbeständen und vertraglichen Vereinbarungen abhängen und somit naturgemäß starken Einzelfallbezug haben mag,617 lohnt sich eine nähere Betrachtung des Zusammenspiels zwischen Blockchain-Technologie und datenschutzrechtlichem Verbotsprinzip.

a) Das datenschutzrechtliche Verbotsprinzip Für die europäische Gemeinschaft ist das Recht auf Schutz personenbezogener Daten so fundamental, dass es als Grundrecht durch Art. 8 GRCh und Art. 16 AEUV verbürgt ist.618 Die in diesem Recht zum Ausdruck kommenden Grundsätze werden von der DSGVO aufgegriffen und die Wertenscheidungen des Art. 8 GRCh als allgemeine Grundsätze für die Personendatenverarbeitung weiter konkretisiert.619

In Art. 5 Abs. 1 DSGVO sind die Grundsätze für die Verarbeitung personenbezogener Daten niedergelegt. Sie umfassen die Grundsätze der Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz (Art. 5 Abs. 1 lit. a) DSGVO),

617

Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1027; Erbguth/Fasching, ZD, 2017, 560, 564. 618 Albrecht/Jotzo, Das neue Datenschutzrecht in der EU, 1. Aufl., 2017, S. 50; Gersdorf/Paal–Gersdorf, Beck´scher Online-Kommentar Informations- und Medienrecht, 2020 [Stand: 01.05.2019], Art. 8 GRCh Rn. 1; Jarass–Jarass, Charta der Grundrechte der Europäischen Union, 3. Aufl., 2016, Art. 8 GRCh Rn. 1 f.; näher zum Verhältnis der beiden Regelungen Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 35 ff. 619 Roßnagel, ZD, 2018, 339 f.; Albrecht/Jotzo, Das neue Datenschutzrecht in der EU, 1. Aufl., 2017, S. 50; vgl. auch Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 382; Kühling/Buchner–Buchner, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 1 Rn. 17; krit. Veil, NVwZ, 2018, 686, 692 mit dem Argument, dass individuelle Schutzgüter in der DSGVO nicht hinreichend konkret benannt würden.

II. Die Unveränderlichkeit von Blockchains im Spannungsfeld …

145

Zweckbindung (lit. b), Datenminimierung (lit. c), Richtigkeit (lit. d), Speicherbegrenzung (lit. e), Integrität und Vertraulichkeit (lit. f). Wie der EuGH bereits in seinen Entscheidungen zur DSRL deutlich gemacht hat, sind diese Grundsätze keine bloßen programmatischen Ziele, sondern geben – insbesondere aufgrund ihrer primärrechtlichen Herleitung – verbindliche Vorgaben für die Auslegung datenschutzrechtlicher Bestimmungen vor.620 Art. 8 GRCh und die DSGVO verlangen von sämtlichen Datenverarbeitern die Beachtung umfassender Präventivpflichten.621

Art. 5 Abs. 1 lit. a) Var. 1 DSGVO schreibt vor, dass personenbezogene Daten „auf rechtmäßige Weise“ verarbeitet werden, eine Datenverarbeitung ohne einen solchen Rechtsgrund also verboten ist. Wie sich bereits an der prominenten Verortung am Anfang des Grundsatzkataloges ablesen lässt, ist die Rechtmäßigkeit der Datenverarbeitung ein fundamentales Prinzip der DSGVO.622 Sie konkretisiert insofern den datenschutzrechtlichen Erlaubnisvorbehalt des

620 EuGH,

Urt. v. 20.05.2003 – Rs. C-465/00, ECLI:EU:C:2003:294, EuR 2004, Tz. 65 – Österreichischer Rundfunk; Urt. v. 01.10.2015 – Rs. C-201/14, ECLI:EU:C:2015:638, ZD 2015, Tz. 30 – Bara; vgl. für die DSGVO auch Auernhammer–Kramer, DSGVO/BDSG, 6. Aufl., 2018, Art. 5 Rn. 4; Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 381 f.; Albrecht/Jotzo, Das neue Datenschutzrecht in der EU, 1. Aufl., 2017, S. 50; Roßnagel, ZD, 2018, 339. 621 Veil, NVwZ, 2018, 686, 689; Auernhammer–Lewinski, DSGVO/BDSG, 6. Aufl., 2018, Einf. Rn. 18 („Vorfeldschutz-Kaskade“). 622 Ähnl. Ehmann/Selmayr–Heberlein, DS-GVO, 2. Aufl., 2018, Art. 5 Rn. 8 („grundlegendes Prinzip einer demokratischen Gesellschaft“); Paal/Pauly–Frenzel, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 5 Rn. 17 („Gerade der Verwirklichung dieses Grundsatzes dienen die meisten weiteren Bestimmungen der DS-GVO“); Sydow–Reimer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 5 Rn. 13 („programmatischer Auftakt“).

146

D. Vereinbarkeit mit dem Datenschutzrecht

Art. 8 Abs. 2 S. 1 GRCh.623 Die DSGVO führt hiermit den gesetzgeberischen Ansatz des „Verbotsprinzips“ fort, d.h. eine Personendatenverarbeitung ist nicht grundsätzlich erlaubt, sondern unerwünscht, soweit sich der Verarbeiter nicht auf einen Erlaubnistatbestand stützen kann.624 Die DSGVO verlangt, dass ein Datenverarbeiter eine legitimierende Grundlage für die mit der Verarbeitung stets verbundene Einwirkung auf die jeweiligen personenbezogenen Daten hat.625 In seiner Wirkung ist das Verbotsprinzip insofern vergleichbar mit einem präventiven Verbot mit Erlaubnisvorbehalt.626

623

Ehmann/Selmayr–Heberlein, DS-GVO, 2. Aufl., 2018, Art. 5 Rn. 8; Sydow–Reimer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 6 Rn. 2; Auernhammer–Kramer, DSGVO/BDSG, 6. Aufl., 2018, Art. 5 Rn. 10; ähnl. Jarass–Jarass, Charta der Grundrechte der Europäischen Union, 3. Aufl., 2016, Art. 8 GRCh Rn. 12; Calliess/Ruffert–Kingreen, EUV/AEUV, 5. Aufl., 2016, Art. 8 GRCh Rn. 14; Gersdorf/Paal–Gersdorf, Beck´scher Online-Kommentar Informations- und Medienrecht, 2020 [Stand: 01.05.2019], Art. 8 GRCh Rn. 22 ff.; Roßnagel, ZD, 2018, 339, 340. 624 Härting, Datenschutz-Grundverordnung, 2016, S. 80; Gola–Sebastian Schulz, DatenschutzGrundverordnung, 2. Aufl., 2018, Art. 6 Rn. 1 f.; Kühling/Buchner–Buchner/Petri, DatenschutzGrundverordnung/BDSG, 2. Aufl., 2018, Art. 6 Rn. 1; Sydow–Reimer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 6 Rn. 1; Ehmann/Selmayr–Heberlein, DS-GVO, 2. Aufl., 2018, Art. 5 Rn. 8; vgl. auch Erw.Gr. 40. 625 Härting, Datenschutz-Grundverordnung, 2016, S. 84; die Forderung einer „Ermächtigungsgrundlage“ für privates Handeln ist nach deutschem Verständnis eher untypisch, s. Gola–Pötters, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 5 Rn. 7, jedoch nicht völlig neu, s. Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 390; krit. zu dieser Regelungstechnik daher Veil, NVwZ, 2018, 686, 688 („verarbeitungsfeindlich“); vertiefend zur Kritik am Verbotsprinzip Kühling/Buchner–Buchner/Petri, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 6 Rn. 14. 626 Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 389; Auernhammer–Kramer, DSGVO/BDSG, 6. Aufl., 2018, Art. 5 Rn. 10; Ehmann/Selmayr–Heberlein, DS-GVO, 2. Aufl., 2018, Art. 6 Rn. 1; Kühling/Buchner–Buchner/Petri, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 6 Rn. 1; Sydow–Reimer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 6 Rn. 1; Veil, NVwZ, 2018, 686, 688; vgl. auch Härting, Datenschutz-Grundverordnung, 2016, S. 80; anders als bei einem klassischen verwaltungsrechtlichen Erlaubnisvorbehalt ist jedoch die Genehmigung einer Behörde nicht erforderlich, s. hierzu auch Roßnagel, ZD, 2018, 339, 340 sowie Albrecht/Jotzo, Das neue Datenschutzrecht in der EU, 1. Aufl., 2017, S. 51 m.w.N. bei Fn. 12.

II. Die Unveränderlichkeit von Blockchains im Spannungsfeld …

147

Art. 6 DSGVO regelt Fragen der Rechtmäßigkeit einer Datenverarbeitung.627 Personendaten dürfen nur dann zulässigerweise verarbeitet werden, wenn dies von einer gewillkürten oder gesetzlichen Erlaubnis,628 also der Einwilligung der betroffenen Person oder einer sonstigen Rechtsgrundlage aus dem Katalog des Art. 6 Abs. 1 DSGVO abgedeckt ist.629 Eine Datenverarbeitung muss auf einen der im Folgenden stichwortartig angegebenen Erlaubnistatbestände des Art. 6 Abs. 1 S. 1 DSGVO gestützt werden können, nämlich lit. a) lit. b) lit. c) lit. d) lit. e) lit. f)

627

Einwilligung; Vertrag/Vorvertrag; rechtliche Verpflichtung; Schutz lebenswichtiger Interessen; öffentliches Interesse; berechtigte Interessen.

Zum Verhältnis der Art. 5 Abs. 1 lit. a) Var. 1 und Art. 6 DSGVO Paal/Pauly–Frenzel, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 5 Rn. 14 ff.; Ehmann/Selmayr–Heberlein, DS-GVO, 2. Aufl., 2018, Art. 5 Rn. 8; Sydow–Reimer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 6 Rn. 1; Kühling/Buchner–Herbst, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 5 Rn. 8 ff. 628 Begriffspaar bei Auernhammer–Kramer, DSGVO/BDSG, 6. Aufl., 2018, Art. 5 Rn. 10. 629 Erw.Gr. 40; Roßnagel, ZD, 2018, 339, 340; Gola–Pötters, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 5 Rn. 6; Ehmann/Selmayr–Heberlein, DS-GVO, 2. Aufl., 2018, Art. 6 Rn. 1; Kühling/Buchner–Buchner/Petri, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 6 Rn. 1; Auernhammer–Kramer, DSGVO/BDSG, 6. Aufl., 2018, Art. 6 Rn. 5; Sydow–Reimer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 6 Rn. 1.

148

D. Vereinbarkeit mit dem Datenschutzrecht

Während lit. c)630, d)631 und e)632 auf überwiegend im öffentlichen Interesse liegende Datenverarbeitungen zugeschnitten sind, spielen im Kontext einer durch private Stellen betriebenen Blockchain – wie noch näher auszuführen sein wird – vor allem die Rechtfertigungsgründe lit. a) (Einwilligung), lit. b) (Vertrag/Vorvertrag) und lit. f) (berechtigte Interessen) eine wichtige Rolle.633

b) Rechtmäßige Datenverarbeitung in Blockchain-Systemen Vor dem Hintergrund der bisherigen Ausführungen setzt eine rechtmäßige Erhebung, Verwendung und Nutzung von personenbezogenen Daten in einem Blockchain-System für den Verantwortlichen entweder eine wirksame Einwilligung des Betroffenen oder eine gesetzliche Erlaubnis voraus.

630

Vgl. Kühling/Buchner–Buchner/Petri, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 6 Rn. 87 m.w.N. („[…] jedenfalls typischerweise […] klassische Staatsaufgaben“); ähnl. Ehmann/Selmayr–Heberlein, DS-GVO, 2. Aufl., 2018, Art. 6 Rn. 16; Sydow–Reimer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 6 Rn. 24; die Rechtsgrundlage für die Verpflichtung muss ein im öffentlichen Interesse liegendes Ziel verfolgen, vgl. Art. 6 Abs. 3 S. 2, 4 DSGVO. 631 Erw.Gr. 46 S. 3 zeigt, dass lebenswichtige und öffentliche Interessen aus Sicht des EU-Gesetzgebers thematisch eng beieinander liegen; vgl. auch Gola–Sebastian Schulz, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 6 Rn. 45; Kühling/Buchner–Buchner/Petri, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 6 Rn. 108; ohnehin ist es öffentliche Aufgabe, lebenswichtige, höchstpersönliche Rechtsgüter vor Gefahren zu schützen, s. Paal/Pauly–Frenzel, DatenschutzGrundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 6 . 632 Ehmann/Selmayr–Heberlein, DS-GVO, 2. Aufl., 2018, Art. 6 Rn. 20 f.; Gola–Sebastian Schulz, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 6 Rn. 48; Kühling/Buchner–Buchner/Petri, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 6 Rn. 111; Sydow–Reimer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 6 Rn. 38 ff.; Auernhammer–Kramer, DSGVO/BDSG, 6. Aufl., 2018, Art. 6 Rn. 39 f. 633 Ähnl. bereits Quiel, DuD, 2018, 566, 571 f.; Hofert, ZD, 2017, 161, 164 f.; Schrey/Thalhofer, NJW, 2017, 1431, 1434; Böhme/Pesch, DuD, 2017, 473, 477; Erbguth/Fasching, ZD, 2017, 560, 564; vgl. für das BDSG Kaulartz, CR, 2016, 474, 480.

II. Die Unveränderlichkeit von Blockchains im Spannungsfeld …

aa)

149

Rechtmäßigkeit aufgrund Einwilligung?

Eine Datenverarbeitung ist vor allem dann rechtmäßig, wenn die betroffene Person ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten gegeben hat, Art. 6 Abs. 1 S.1 lit. a) DSGVO, und diese Einwilligung wirksam ist. Die Einwilligung ist Ausdruck des informationellen Selbstbestimmungsrechts des Betroffenen.634 Daher liegt es nahe, zunächst danach zu fragen, ob eine Einwilligung in eine Datenverarbeitung innerhalb eines Blockchain-Systems überhaupt denkbar und praktisch durchführbar ist.

Eine ausdrückliche Einwilligung in die Datenverarbeitung wird seitens der Blockchain-Teilnehmer üblicherweise nicht erklärt635, insbesondere nicht bei Absendung einer Transaktionsanweisung ins Blockchain-Netzwerk636. In der Regel dürfte eine ausdrückliche Einwilligung unabhängig von der konkreten Blockchain-Architektur bereits an praktischen Problemen scheitern:

Eine Einwilligung muss gem. Art. 4 Nr. 11 DSGVO „in informierter Weise“ abgegeben werden, was gem. Erw.Gr. 42 S. 4 DSGVO voraussetzt, dass die betroffene Person mindestens weiß, „wer der Verantwortliche ist und für welche Zwecke ihre personenbezogenen Daten verarbeitet werden sollen“. Gerade das

634

Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 470; Gola–Sebastian Schulz, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 6 Rn. 21; Piltz, K&R, 2016, 557, 562; vgl. auch Kühling/Buchner–Buchner/Petri, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 6 Rn. 17; Albrecht/Jotzo, Das neue Datenschutzrecht in der EU, 1. Aufl., 2017, S. 51. 635 Schrey/Thalhofer, NJW, 2017, 1431, 1434; i.E. wohl auch Quiel, DuD, 2018, 566, 571 sowie Isler, Datenschutz auf der Blockchain, S. 14; zur Kritik am nicht an neuartige Technologien wie Blockchain angepassten „one size fits all“-Ansatz Gola–Sebastian Schulz, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 6 Rn. 5. 636 So ausdrücklich Hofert, ZD, 2017, 161, 164; ähnl. Pesch/Sillaber, CRi, 2017, 166, 171 Fn. 47 m.w.N.

150

D. Vereinbarkeit mit dem Datenschutzrecht

ist aber bei dezentralen Netzwerken bereits problematisch, weil letztlich nicht eine einzige Person mit den Blockchain-Daten in Kontakt kommt. Bei öffentlichen Blockchains ist einem Teilnehmer nicht einmal die Identität der verarbeitenden Stellen bekannt.637 Bei zugangsbeschränkten privaten Blockchains wäre der Kreis der potentiellen Teilnehmer zwar eingeschränkt; eine Einwilligung müsste theoretisch aber gegenüber jedem einzelnen Teilnehmer erklärt werden, was praktisch kaum umsetzbar sein dürfte.638

Zudem müsste eine Einwilligung auch die Verarbeitung durch die später dem Netzwerk beitretenden Teilnehmer – die ja ebenfalls die personenbezogenen Blockchain-Daten empfangen werden – umfassen, was jedoch ebenfalls nicht möglich ist.639 Eine ausdrückliche Einwilligung scheidet als Rechtfertigungsgrund damit aus.

Grundsätzlich lässt die DSGVO zu, dass eine betroffene Person eine die Datenverarbeitung rechtfertigende Einwilligung auch konkludent, also durch schlüssiges Verhalten, erklärt.640 Die Erteilung einer Einwilligung bedarf keiner besonderen Form. Insofern könnte sich eine konkludente Einwilligung eignen, zumindest eine Rechtfertigung zu liefern für die Verbreitung und Verarbeitung von

637

Schrey/Thalhofer, NJW, 2017, 1431, 1434; Pesch/Sillaber, CRi, 2017, 166, 170; ähnl. Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1028. 638 Schrey/Thalhofer, NJW, 2017, 1431, 1434; vgl. auch Berger, DVBl, 2017, 1271, 1273; Pesch/Sillaber, CRi, 2017, 166, 171 schlagen die Implementierung eines Einwilligungs-Tools vor. 639 Schrey/Thalhofer, NJW, 2017, 1431, 1434; ähnl. Böhme/Pesch, DuD, 2017, 473, 479. 640 Gola–Sebastian Schulz, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 7 Rn. 42; Kühling/Buchner–Buchner/Kühling, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 7 Rn. 27; Ehmann/Selmayr–D. Heckmann/Paschke, DS-GVO, 2. Aufl., 2018, Art. 7 Rn. 37; Sydow–Ingold, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 7 Rn. 23; Auernhammer–Kramer, DSGVO/BDSG, 6. Aufl., 2018, Art. 7 Rn. 12.

II. Die Unveränderlichkeit von Blockchains im Spannungsfeld …

151

Blockchain-Daten durch die beteiligten Knoten (mangels Erkennbarkeit aber nicht für eine Erhebung und Verarbeitung durch beliebige Dritte).641 Gegen die Möglichkeit einer Einwilligung durch schlüssiges Verhalten in Blockchain-Systemen sprechen indes zahlreiche Argumente:

Für eine konkludente Einwilligung käme die Versendung einer Transaktionsanweisung ins Blockchain-Netzwerk in Frage.642 Eine Einwilligung nach der DSGVO erfordert aber – auch wenn sie konkludent erfolgt – jedenfalls eine eindeutig bestätigende Handlung.643 Die bloße Erteilung einer Transaktionsweisung an das Netzwerk lässt einen solch eindeutigen Erklärungsgehalt mit einer solchen Tragweite – der Anweisende würde sich immerhin seines Schutzes durch das datenschutzrechtliche Verbotsprinzip begeben – nicht erkennen.

Aber auch wenn man darin eine eindeutige Erklärung sehen wollte, würde dies auf

Schwierigkeiten

stoßen.

Eine

Einwilligungserklärung

setzt

gem. Art. 4 Nr. 11 DSGVO voraus, dass diese „freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich“ abgegeben wird. Angesichts der vielfältigen Einsatzmöglichkeiten und technischen Details bei Blockchain-An-

641

Böhme/Pesch, DuD, 2017, 473, 479; Bechtolf/Vogt, ZD, 2018, 66, 69. Diese stellt zumindest keine ausdrückliche datenschutzrechtliche Einwilligung dar, vgl. Hofert, ZD, 2017, 161, 164. 643 Kühling/Buchner–Buchner/Kühling, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 11 Rn. 9; Ehmann/Selmayr–D. Heckmann/Paschke, DS-GVO, 2. Aufl., 2018, Art. 7 Rn. 69; Gola– Gola, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 4 Rn. 84; Sydow–Ingold, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 11 Rn. 170; Auernhammer–Eßer, DSGVO/BDSG, 6. Aufl., 2018, Art. 4 Rn. 94. 642

152

D. Vereinbarkeit mit dem Datenschutzrecht

wendungen erscheint es schwer vorstellbar, eine Einwilligung in vollständig informierter Weise abgeben zu können.644 Es kann nicht davon ausgegangen werden, dass durchschnittlich kundige Blockchain-Teilnehmer die Reichweite der Datenverarbeitungen auf einer Blockchain so umfassend überblicken, dass sie angemessen über ihre Rechte aus Art. 8 GRCh verfügen könnten.645

Daran vermag auch der Einwand nichts zu ändern, dass eine betroffene Person ihre Daten bewusst ins Blockchain-Netzwerk gibt und sich damit eines gewissen Einflusses mehr oder minder wissentlich begibt.646 Zwar mag eine besondere Zweckbindung nach Art. 9 Abs. 2 lit. e) DSGVO entfallen, jedoch ändert das nichts an der Geltung der allgemeinen Schutzvorschriften des Art. 6 DSGVO und entlastet den Verantwortlichen nicht.647

Unklar ist zudem, inwieweit eine Einwilligung im Blockchain-System überhaupt „freiwillig“ i.S.d. Art. 4 Nr. 11 DSGVO erteilt werden könnte. Freiwilligkeit setzt nämlich voraus, dass eine Einwilligung ohne jeglichen Druck oder Zwang abgegeben, aber auch ohne Nachteile wieder zurückgenommen werden kann.648 Eine nicht nachteilige Rücknahme der Einwilligung würde es damit jedenfalls

644

So auch Quiel, DuD, 2018, 566, 571; Schrey/Thalhofer, NJW, 2017, 1431, 1434; Böhme/Pesch, DuD, 2017, 473, 479; in diese Richtung wohl ebenfalls Isler, Datenschutz auf der Blockchain, S. 14 f.; für § 4 Abs. 1 BDSG a.F. bereits Hofert, ZD, 2017, 161, 164; für den Fall von Bitcoins: Spindler/Bille, WM, 2014, 1357, 1368. 645 Ebenso Quiel, DuD, 2018, 566, 571; Hofert, ZD, 2017, 161, 165. 646 Anders kann die Sache etwa im schweizerischen Datenschutzrecht liegen, das mehr Gewicht auf die Eigenverantwortung betroffener Personen legt, vgl.: Isler, Datenschutz auf der Blockchain, S. 14. 647 Kühling/Buchner–Weichert, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 9 Rn. 77; Gola–Sebastian Schulz, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 9 Rn. 25; Wolff/Brink– Albers/Veit, Beck'scher Online-Kommentar Datenschutzrecht, 31. Edition, 2020 [Stand: 01.11.2019], Art. 9 Rn. 64; Isler, Datenschutz auf der Blockchain, S. 14. 648 Erw.Gr. 42 S. 5.

II. Die Unveränderlichkeit von Blockchains im Spannungsfeld …

153

erforderlich machen, dass die entsprechenden Blockchain-Daten gelöscht werden könnten, weil sie anderenfalls schlicht mit jeder neuen Transaktion in der Datenkette mitverarbeitet würden.649 Bei den verteilt abgespeicherten und nachträglich nicht mehr veränderbaren Blockchain-Transaktionen ist eine Rücknahme jedoch technisch nicht angelegt, eine Einwilligung wäre nach dem Maßstab der DSGVO also nicht freiwillig.650

Dieser Befund wird auch gestützt durch das in Art. 7 Abs. 4 DSGVO statuierte Koppelungsverbot. Die Koppelung von vertraglichen Leistungen mit einer für die Vertragserfüllung an sich nicht erforderlichen datenschutzrechtlichen Einwilligung ist nach der DSGVO zwar nicht absolut verboten, jedoch ein starkes Indiz für die Unfreiwilligkeit einer erteilten Einwilligung.651 Fasst man in einem Blockchain-System die Verarbeitung von Transaktionsanweisungen zwecks Transaktionsdurchführung als vertragliche Leistung auf, wäre eine Speicherung im Grunde schon dann nicht mehr erforderlich, wenn der zu transferierende Wert an jemand anders weiterübertragen worden ist. Zumindest eine zeitlich unbegrenzte Speicherung wäre jedenfalls nicht erforderlich.

Im Übrigen kann auch eine konkludente Einwilligung allenfalls über formale Fehler hinweghelfen; sie beseitigt aber nicht die Gründe, die bereits zuvor ge-

649

So auch bereits Quiel, DuD, 2018, 566, 571. Vgl. Quiel, DuD, 2018, 566, 571; Böhme/Pesch, DuD, 2017, 473, 479. 651 Ehmann/Selmayr–D. Heckmann/Paschke, DS-GVO, 2. Aufl., 2018, Art. 7 Rn. 98; Gola–Sebastian Schulz, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 7 Rn. 26; Kühling/Buchner–Buchner/Kühling, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 7 Rn. 46; ähnl. Sydow–Ingold, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 7 Rn. 33. 650

D. Vereinbarkeit mit dem Datenschutzrecht

154

gen die Möglichkeit einer ausdrücklichen Einwilligung vorgebracht wurden, sodass sie auch aus diesem Grund als Rechtfertigungsgrund letztlich ausscheidet.652

Somit ist festzuhalten, dass eine Einwilligung als Rechtfertigungsgrund für eine Datenverarbeitung nicht in Betracht kommt.653 Zahlreiche Gründe widersprechen der Möglichkeit einer Einwilligung zur Datenverarbeitung auf Blockchains. Ohnehin stünde einer Einwilligung wohl konzeptionell entgegen, dass eine abgegebene

Einwilligung

später

widerrufen

werden

kann,

Art. 7 Abs. 3 S. 1 DSGVO.654 Da aber Daten, die erst einmal in den Blöcken einer Blockchain eingefügt sind, nicht mehr nachträglich entfernt werden können, bedarf es ohnehin einer gesetzlichen Verarbeitungsgrundlage, welche nicht auf dem Konzept der datenschutzrechtlichen Einwilligung beruht.

bb)

Gesetzliche Legitimationsgrundlage?

Kommt Art. 6 Abs. 1 S. 1 lit. a) DSGVO als Rechtfertigungsgrund praktisch nicht in Frage, so stehen mehrere weitere allgemeine Legitimationstatbestände der

652

Schrey/Thalhofer, NJW, 2017, 1431, 1434; vgl. auch Erw.Gr. 42 Satz 5. So auch Schrey/Thalhofer, NJW, 2017, 1431, 1434; Böhme/Pesch, DuD, 2017, 473, 479; Bechtolf/Vogt, ZD, 2018, 66, 69; Hofert, ZD, 2017, 161, 164; Berger, DVBl, 2017, 1271, 1273; Spindler/Bille, WM, 2014, 1357, 1368; a.A. wohl Erbguth/Fasching, ZD, 2017, 560, 564, welche den einzelnen Nutzer als Verantwortlichen sehen und die Möglichkeit von datenschutzrechtlichen Einwilligungen bei Blockchains jedenfalls nicht kategorisch ausschließen; Pesch/Sillaber, CRi, 2017, 166, 171 schlagen die Implementierung eines Einwilligungs-Tools vor. 654 Ähnl. Quiel, DuD, 2018, 566, 571. 653

II. Die Unveränderlichkeit von Blockchains im Spannungsfeld …

155

DSGVO zur Verfügung.655 Freilich hängt eine Rechtfertigung vom Einzelfall und dem jeweiligen Blockchain-Geschäftsmodell ab.656 In erster Linie kommen die Rechtfertigungsgründe des Art. 6 Abs. 1 S. 1 lit. b) sowie lit. f) DSGVO in Frage.657

(1)

Rechtfertigung gem. Art. 6 Abs. 1 S. 1 lit. b) DSGVO

Bei der Frage nach der Rechtmäßigkeit einer Datenverarbeitung ist in einem ersten Schritt zunächst zu differenzieren, welche Daten von wem verarbeitet werden. Soweit es um die Vollziehung von Transaktionsanweisungen eines Blockchain-Teilnehmers durch das Peer-to-Peer-Netzwerk geht, kommt eine Rechtfertigung nach Art. 6 Abs. 1 S. 1 lit. b) DSGVO in Betracht, wenn die Verarbeitung zur Erfüllung eines Vertrages mit der betroffenen Person erforderlich ist oder zur Durchführung vorvertraglicher Maßnahmen auf Anfrage der betroffenen Person erfolgt.658 Jede Datenverarbeitung auf Grundlage von

655

Ein Rückgriff auf gesetzliche Erlaubnistatbestände des TMG scheidet aus, weil der Anwendungsbereich der vollharmonisierenden DSGVO die datenschutzrechtlichen Regelungen des TMG verdrängt, sodass sich Datenverarbeitungen ausschließlich nach den Vorgaben der DSGVO zu richten haben; vgl. Marosi, Das TMG vor und nach der DSGVO - was bleibt, was kommt, in: Becker/LauberRönsberg/Specht (Hrsg.), Medienrecht im Medienumbruch, 2017, S. 225, 238 ff.; Conrad/Hausen, § 36, in: Auer-Reinsdorff/Conrad (Hrsg.), Handbuch IT- und Datenschutzrecht, 2019, Rn. 21; Piltz, K&R, 2016, 557, 560; Hennemann, ZUM, 2017, 544, 545 f.; eine Anwendung des TMG schiede zudem aus, weil Blockchains mit ihrer dezentralen Ausrichtung nicht in dessen auf einem AnwenderNutzer-Verhältnis basierenden Regelungskonzept passen, vgl. Schrey/Thalhofer, NJW, 2017, 1431, 1434, und es an einem zentralen Diensteanbieter fehlen würde, vgl. Spindler/Bille, WM, 2014, 1357, 1368; Kaulartz, CR, 2016, 474, 480 Fn. 89; diesbezgl. a.A. Saive, CR, 2018, 186, 188. 656 Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1027; Gola–Sebastian Schulz, DatenschutzGrundverordnung, 2. Aufl., 2018, Art. 6 Rn. 35; Spindler/Bille, WM, 2014, 1357, 1368. 657 Schrey/Thalhofer, NJW, 2017, 1431, 1434; Quiel, DuD, 2018, 566, 571 f.; noch für die Rechtslage nach § 28 Abs. 1 a.F. Böhme/Pesch, DuD, 2017, 473, 479; Kaulartz, CR, 2016, 474, 480 sowie Spindler/Bille, WM, 2014, 1357, 1368. 658 Jacobs/Lange-Hausstein, ITRB, 2017, 10, 15; Schrey/Thalhofer, NJW, 2017, 1431, 1434; Erbguth/Fasching, ZD, 2017, 560, 565; eingehender zur alten Rechtslage nach § 28 Abs. 1 Satz 1 Nr. 1 BDSG a.F. Hofert, ZD, 2017, 161, 164 f.

156

D. Vereinbarkeit mit dem Datenschutzrecht

Art. 6 Abs. 1 S. 1 lit. b) DSGVO muss erforderlich sein, das heißt in einem unmittelbaren Zusammenhang mit dem konkreten Zweck des Vertragsverhältnisses, stehen.659

Dies dürfte regelmäßig der Fall sein in Konstellationen, in denen eine private Blockchain betrieben wird und der Blockchain-Betrieb selbst eine Vertragserfüllung darstellen könnte,660 sowie bei der Versendung einer Transaktionsanweisung mit der Blockchain-Adresse des Vertragspartners ins Netzwerk durch einen Netzwerkteilnehmer661 oder auch in Fällen von Blockchain-bezogenen Dienstleistungen, in denen etwa ein Verantwortlicher auf Betreiben des Betroffenen für die ihm zugeordneten Werteinheiten eine Risikobewertung durchführen soll662.

Die bloße Mitgliedschaft im Netzwerk dürfte für sich genommen hingegen kein rechtfertigender Umstand i.S.d. Art. 6 Abs. 1 S. 1 lit. b) DSGVO sein. Noch unter Geltung des BDSG a.F. gab es hierzu Überlegungen, dass Blockchain-Mitglieder sich kraft der Zugangssoftware der dezentralen Verwaltung von Block-

659

Gola–Sebastian Schulz, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 6 Rn. 38; Sydow–Reimer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 6 Rn. 58; ähnl. Ehmann/Selmayr–Heberlein, DS-GVO, 2. Aufl., 2018, Art. 6 Rn. 28 (die mit der Datenverarbeitung verbundene Einschränkung muss sich auf „das absolut Notwendige beschränken“) sowie Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 646 („notwendig für die Erreichung der berechtigten Interessen“). 660 So erwägen Berberich/Steiner, EDPL, 2016, 422, 426 unter anderem, ob die Grundfunktion der permanenten Speicherung als „Erfüllung eines Vertrags“ zu sehen sein kann; in diesem Sinne auch Gola–Sebastian Schulz, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 6 Rn. 35 sowie Quiel, DuD, 2018, 566, 572. 661 Erbguth/Fasching, ZD, 2017, 560, 565; ähnl. Quiel, DuD, 2018, 566, 572. 662 Böhme/Pesch, DuD, 2017, 473, 479.

II. Die Unveränderlichkeit von Blockchains im Spannungsfeld …

157

chain-Netzwerken unterwerfen und damit in einer faktischen Organisation verbunden seien.663 Art. 28 Abs. 1 S. 1 Nr. 1 BDSG a.F. erlaubte eine Personendatenverarbeitung im Rahmen von „rechtsgeschäftsähnlichen“ Schuldverhältnissen und umfasste auch mitgliedschaftliche Verhältnisse in Organisationen wie etwa Vereinsmitgliedschaften.664

Anders als noch das BDSG a.F. stellt Art. 6 Abs. 1 S. 1 lit. b) Alt. 2 DSGVO jedoch klar, dass eine Datenverarbeitung sich auf vorvertragliche Maßnahmen beziehen muss, also Maßnahmen im Vorfeld des Abschlusses eines Vertragsverhältnisses.665 Damit ist jedoch klargestellt, dass insbesondere auch mitgliedschaftliche Beziehungen nicht mehr unter diese Regelung fallen und als nicht vorvertragliche Maßnahme allenfalls noch nach Art. 6 Abs. 1 S. 1 lit. f) DSGVO gerechtfertigt werden können.666

Bei

offenen

Blockchains

dürfte

eine

Rechtfertigung

über

Art. 6 Abs. 1 S. 1 lit. b) Alt. 1 DSGVO demgegenüber – zumindest beim Idealtyp einer öffentlichen Blockchain mit Proof-of-Work-Verfahren – häufig gerade nicht möglich sein. Der Anweisende hat mit den an der Durchführung der Transaktions-Anweisung und Erstellung neuer Blöcke beteiligten Knotenpunkten keinen unmittelbaren Kontakt und die Knotenpunkte setzen die Weisungen

663

Hofert, ZD, 2017, 161, 165. Plath–Plath, BDSG/DSGVO, 2. Aufl. (Voraufl.), 2016, § 28 BDSG Rn. 43 f. 665 Kühling/Buchner–Buchner/Petri, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 6 Rn. 34 f.; Ehmann/Selmayr–Heberlein, DS-GVO, 2. Aufl., 2018, Art. 6 Rn. 14; Gola–Sebastian Schulz, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 6 Rn. 30; Sydow–Reimer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 6 Rn. 20. 666 Gola–Sebastian Schulz, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 6 Rn. 31; ähnl. Kühling/Buchner–Buchner/Petri, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 6 Rn. 29, die jedoch den Fall des rechtsgeschäftsähnlichen Schuldverhältnisses unter den Begriff des Vertrages gem. Art. 6 Abs. 1 lit. b) Alt. 1 DSGVO fassen. 664

158

D. Vereinbarkeit mit dem Datenschutzrecht

vorwiegend deshalb um, damit sie eine Belohnung durch das Netzwerk erhalten.667 Es fehlt an einem rechtsgeschäftlichen Schuldverhältnis zwischen Knotenpunkten und sonstigen Blockchain-Nutzern668 und damit ein notwendiger unmittelbarer Zusammenhang zwischen Datenverarbeitung und Schuldverhältnis.

(2)

Rechtfertigung gem. Art. 6 Abs. 1 S. 1 lit. f) DSGVO

Eine Datenverarbeitung ließe sich auch über Art. 6 Abs. 1 S. 1 lit. f) DSGVO rechtfertigen, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist. Die Regelung fordert eine Interessenabwägung zwischen den berechtigten Interessen des Verantwortlichen oder Dritten mit den Interessen oder Grundrechten und Grundfreiheiten der betroffenen Person. Naturgemäß hängt das Ergebnis einer solchen Abwägung vom Einzelfall ab, zumal der Tatbestand nicht bereichs- oder problemspezifisch konkretisiert ist.669 Jedoch zeichnen sich im Zusammenhang mit Blockchains zwei Problembereiche ab, die die Rechtmäßigkeit der Verarbeitung von Daten durch Dritte bzw. von Dritten betreffen:

667

Hofert, ZD, 2017, 161, 165. Hofert, ZD, 2017, 161, 165; in diese Richtung wohl auch Quiel, DuD, 2018, 566, 572, der bei den Vertragszwecken auf die konkreten Vertragsbestimmungen abstellt; a.A. Gola–Sebastian Schulz, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 6 Rn. 35, der die Aufrechterhaltung und Fortführung des Blockchain-Netzwerkes als Vertragsgegenstand für ausreichend hält. 669 Ehmann/Selmayr–Heberlein, DS-GVO, 2. Aufl., 2018, Art. 6 Rn. 32 („Maß an Flexibilität“); zur Kritik aufgrund des weiten Interpretationsspielraums z.B. Kühling/Buchner –Buchner/Petri, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 6 Rn. 142 ff. („Problem der Rechtsunsicherheit“); Gola–Sebastian Schulz, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 6 Rn. 60 („fehlende Rechtssicherheit“); Sydow–Reimer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 6 Rn. 59 („Konkretisierungsauftrag an die zur Rechtsbeurteilung berufenen Stellen“). 668

II. Die Unveränderlichkeit von Blockchains im Spannungsfeld …

159

Bei einer Verarbeitung durch Dritte (d.h. durch am Blockchain-System nicht Beteiligte) ist bei der Interessenabwägung auf den Erwartungshorizont der betroffenen Person, das heißt ihre vernünftigen Erwartungen, abzustellen. Kann eine Person vernünftigerweise mit der Verarbeitung ihrer Daten rechnen, ist dies ein Indiz für das Überwiegen der Interessen des Verantwortlichen.670 Umgekehrt kann es gegen die Rechtmäßigkeit sprechen, wenn eine Verarbeitung zu diesem Zweck nicht bekannt war,671 was etwa der Fall wäre, wenn ein Anbieter eine Blockchain ohne Wissen eines Betroffenen einsetzen würde. Hat eine Person Daten selbst öffentlich gemacht, verdient sie grundsätzlich geringeren Schutz.672

Für eine Rechtmäßigkeit der Datenverarbeitung durch Dritte spricht daher etwa, wenn einem Blockchain-Teilnehmer bewusst sein muss, dass seine Daten in einem sich permanent erweiternden Netzwerk verarbeitet werden und er keinen Einfluss darauf nehmen kann.673 Eine systematische Nutzung von Blockchain-Daten durch an der Blockchain nicht beteiligte Dritte ist für eine betroffene Person allerdings nicht erkennbar und damit im Ergebnis unzulässig.674 Die Rechtfertigung von Datenverarbeitungen wie etwa der Bildung von Profilen

670

Erw.Gr. 47 S. 2; Auernhammer–Kramer, DSGVO/BDSG, 6. Aufl., 2018, Art. 6 Rn. 54; vgl. auch Piltz, K&R, 2016, 557, 565. 671 Erw.Gr. 47 S. 5; Ehmann/Selmayr–Heberlein, DS-GVO, 2. Aufl., 2018, Art. 6 Rn. 28; Kühling/Buchner–Buchner/Petri, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 6 Rn. 152; Auernhammer–Kramer, DSGVO/BDSG, 6. Aufl., 2018, Art. 6 Rn. 54 ff.; einschränkend Gola–Sebastian Schulz, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 6 Rn. 61 („nicht unmittelbar indiziert“). 672 Gola–Sebastian Schulz, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 6 Rn. 59; ähnl. Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 655 ff. 673 Vgl. Böhme/Pesch, DuD, 2017, 473, 479 sowie Isler, Datenschutz auf der Blockchain, S. 14. 674 Isler, Datenschutz auf der Blockchain, S. 15.

160

D. Vereinbarkeit mit dem Datenschutzrecht

oder der Auswertung von Transaktionen zu Werbezwecken stoßen insofern auf datenschutzrechtliche Zulässigkeitsprobleme.675

Daneben darf auch nicht außer Betracht gelassen werden, dass bei der Umsetzung von Transaktionen durch das Netzwerk unweigerlich Daten von unbeteiligten Dritten in den neuen Blöcken mitverarbeitet werden.676 In der gem. Art. 6 Abs. 1 S. 1 lit. f) DSGVO durchzuführenden Interessenabwägung ist zu Gunsten des Verabeiters zu berücksichtigen, dass die Blockchain-Daten wegen eines „rechtsgeschäftsähnlichen“ Schuldverhältnisses im Interesse jedes Netzwerkmitglieds vorgehalten werden (s.o.).677 Auch in dieser Konstellation spielt bei der Interessenabwägung die Erwartung des Betroffenen eine besondere Rolle. Dritte, die Teilnehmer eines Blockchain-Netzwerkes sind und die insofern zwar nicht selbst die konkrete Datenverarbeitung veranlassen, aber doch durch Einrichtung eines Nutzerkontos freiwillig Teil des Blockchain-Systems sind, müssen vor diesem Hintergrund vernünftigerweise mit der Verarbeitung ihrer Daten auf der Blockchain rechnen.678 Eine Verarbeitung ihrer Daten auf der Blockchain dürfte regelmäßig den Erwartungen des Nutzers eines BlockchainNetzwerkes entsprechen und gerechtfertigt sein.679 Zudem sind die Daten der

675

Kaulartz, CR, 2016, 474, 480.

676 Böhme/Pesch, DuD, 2017, 473, 479; Schrey/Thalhofer, NJW, 2017, 1431, 1434; solche

Drittdaten können beispielsweise die Bitcoin-Adressen der Empfänger einer Transaktion sein, vgl. Erbguth/Fasching, ZD, 2017, 560, 565. 677 Zur Rechtslage nach dem BDSG a.F.: Hofert, ZD, 2017, 161, 165. 678 Ähnl. Böhme/Pesch, DuD, 2017, 473, 479. 679 A.A. Schrey/Thalhofer, NJW, 2017, 1431, 1434, nach denen das „natürliche Interesse“ von nicht an einer Transaktion beteiligten Dritten am Unterbleiben einer permanenten Speicherung ihrer Daten überwiegt; zumindest Zweifel haben auch Böhme/Pesch, DuD, 2017, 473, 479.

II. Die Unveränderlichkeit von Blockchains im Spannungsfeld …

161

Nutzer in der Regel pseudonymisiert, was in einer Interessenabwägung ebenfalls zu Gunsten des Verantwortlichen zu berücksichtigen ist.680 Schließlich können IT- und Netzsicherheit auch ein berücksichtigungsfähiges berechtigtes Interesse für eine Verarbeitung darstellen.681 Erhebliches Gewicht hat deshalb auch der Aspekt, dass die permanente Speicherung ein technisch notwendiger Bestandteil der Sicherheit von Blockchain-Technologie ist und als solche einen wesentlichen Faktor zu Gunsten der Rechtmäßigkeit bildet.682

Sprechen auch zahlreiche Aspekte für eine Zulässigkeit der Datenverarbeitung auf einer Blockchain, darf dies wiederum nicht zu einer pauschalen Rechtfertigung führen, bei der im Ergebnis die Interessen des Betroffenen stets ausgehebelt würden und dessen Rechte in einer Abwägung praktisch wertlos wären. Dies widerspräche dem Anliegen der DSGVO, möglichst keine Daten zu speichern, die für den verfolgten Zweck der Transaktionsdurchführung letztlich entbehrlich sind.683

Obwohl Blockchain-Daten grundsätzlich frei abrufbar und für jedermann einsehbar sind, können schutzwürdige Interessen des Betroffenen die Interessen des Verantwortlichen überwiegen und eine Verarbeitung dadurch unzulässig sein.684 Zu weitgehend und nicht sachgerecht wäre es aber, eine Datenverarbeitung auf der Blockchain gem. Art. 6 Abs. 1 S. 1 lit. f) DSGVO allein wegen der

680

Vgl. Voigt/von dem Bussche, EU-Datenschutz-Grundverordnung (DSGVO), 1. Aufl., 2018, S. 19. Feiler/Forgó–Feiler/Forgó, EU-DSGVO, 2017, Art. 6 Rn. 7; s. auch Artikel-29-Datenschutzgruppe, Stellungnahme 06/2014 zum Begriff des berechtigten Interesses des für die Verarbeitung Verantwortlichen gemäß Artikel 7 der Richtlinie 95/46/EG - WP 217, v. 09.04.2014, S. 32. 682 Berberich/Steiner, EDPL, 2016, 422, 426. 683 Vgl. Art. 5 Abs. 1 lit. c) DSGVO. 684 Böhme/Pesch, DuD, 2017, 473, 479. 681

162

D. Vereinbarkeit mit dem Datenschutzrecht

permanenten Speicherung der Transaktionsdaten als generell unzulässig anzusehen.685 Um dem vom Gesetzgeber vorgesehenen Abwägungserfordernis gerecht zu werden, bedarf es einer differenzierenden Betrachtungsweise. Ein Kriterium könnte sein, nach der Sensibilität der zu verarbeitenden Daten zu differenzieren. Denn diese spielt bei der Abwägung eine wichtige Rolle.686 Werden auf Blockchains sensible Daten – beispielsweise wirtschaftliche Daten – abgespeichert, kommt dem Schutzinteresse eines Beteiligten ein größeres Gewicht bei der Interessenabwägung zu.687 In einem solchen Fall wird eine Datenverarbeitung nur unter sehr strengen Einschränkungen zulässig sein.688

2.

Gewährleistung von Betroffenenrechten

Die Unveränderlichkeit von Blockchains lässt sich nicht nur als das Folgeproblem einer unzulässigen Datenverarbeitung auffassen, sondern letztlich als datenschutzrechtliches Risiko bei sämtlichen Betroffenenrechten, die auf eine Korrektur oder Veränderung von Blockchain-Einträgen abzielen und damit deren Veränderung erforderlich machen.689 Namentlich sind damit die Ansprüche

685

A.A. Schrey/Thalhofer, NJW, 2017, 1431, 1434; zweifelnd auch Gola–Sebastian Schulz, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 6 Rn. 35; einschränkend Quiel, DuD, 2018, 566, 572 („nur schwer rechtfertigen“). 686 Gola–Sebastian Schulz, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 6 Rn. 59; Sydow–Reimer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 6 Rn. 61; Kühling/Buchner– Buchner/Petri, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 6 Rn. 150 f.; ähnl. Auernhammer–Kramer, DSGVO/BDSG, 6. Aufl., 2018, Art. 6 Rn. 49; Ehmann/Selmayr–Heberlein, DSGVO, 2. Aufl., 2018, Art. 6 Rn. 28. 687 Ähnl. Hofert, ZD, 2017, 161, 163, 165 f. im Zusammenhang mit der Abwägung beim Personenbezug sowie zur Rechtmäßigkeit gem. § 29 Abs. 1 S. 1 Nr. 2 BDSG a.F. 688 Vgl. zu der Abwägung bei sensiblen Blockchain-Daten Hofert, ZD, 2017, 161, 166, der vorschlägt, angelehnt an das TMG die Verarbeitung von solchen Daten unter den Vorbehalt einer Pseudonymisierungspflicht und eines Zusammenführungsverbotes zu stellen. 689 So bereits Bechtolf/Vogt, ZD, 2018, 66, 69; Isler, Datenschutz auf der Blockchain, S. 15; Sydow– Peuker, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 17 Rn. 37; Kühling/Buchner–Herbst, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 17 Rn. 39.

II. Die Unveränderlichkeit von Blockchains im Spannungsfeld …

163

auf Berichtigung gem. Art. 16 DSGVO sowie auf Löschung gem. Art. 17 DSGVO gemeint.690 Bei diesen Rechten handelt es sich um Interventionsrechte des Betroffenen, welche die Verhinderung bestimmter Datenverarbeitungen ermöglichen.691

a) Selbstdatenschutz durch Berichtigungs- und Löschungsansprüche Insbesondere das in Art. 17 Abs. 1 DSGVO als „Kernrecht“ verbürgte Löschungsrecht soll eine weitreichende Kontrolle des Betroffenen über seine eigenen Daten gewährleisten und ihm – flankiert von einer Informationspflicht gem. Art. 17 Abs. 2 DSGVO692 – einen sog. „Selbst-Datenschutz“ ermöglichen.693 Dies soll der Entwicklung Rechnung tragen, dass eine stetig wachsende Menge personenbezogener Daten von Betroffenen offengelegt und damit für letztere immer größere Folgen verbunden sein können.694

690

Isler, Datenschutz auf der Blockchain, S. 15; Bechtolf/Vogt, ZD, 2018, 66, 69; Berger, DVBl, 2017, 1271, 1273; Schrey/Thalhofer, NJW, 2017, 1431, 1435; vgl. bezogen auf das Löschungsrecht auch Böhme/Pesch, DuD, 2017, 473, 480; Martini/Weinzierl, NVwZ, 2017, 1251, 1254. 691 Franck, RDV, 2016, 111, 113 f.; Gola–Reif, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 16 Rn. 1; ähnl. Piltz, K&R, 2016, 629, 632. 692 Wie beide Aspekte in Bezug zum in der amtlichen Überschrift des Art. 17 DSGVO benannten Recht auf Vergessenwerden stehen, ist nicht ganz eindeutig; letzteres ließe sich als umfassenden Oberbegriff für Löschungsrecht und Informationspflicht begreifen (in diese Richtung etwa Ehmann/Selmayr–Kamann/Braun, DS-GVO, 2. Aufl., 2018, Art. 17 Rn. 2; wohl auch Paal/Pauly–Paal, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 17 Rn. 32), könnte aber auch Synonym für die Informationspflicht sein (so z.B. Gola–Nolte/Werkmeister, DatenschutzGrundverordnung, 2. Aufl., 2018, Art. 17 Rn. 1; Auernhammer–Stollhoff, DSGVO/BDSG, 6. Aufl., 2018, Art. 17 Rn. 7), oder ein aus politischen Gründen begrifflich aufgewertetes Synonym für das Löschungsrecht, (so Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 1210). 693 Wolff/Brink–Worms, Beck'scher Online-Kommentar Datenschutzrecht, 31. Edition, 2020 [Stand: 01.11.2019], Art. 17 Rn. 22; ähnl. Gola–Reif, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 16 Rn. 2; Ehmann/Selmayr–Kamann/Braun, DS-GVO, 2. Aufl., 2018, Art. 17 Rn. 8 m.w.N. 694 Gola–Nolte/Werkmeister, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 17 Rn. 2; D. Heckmann, Kapitel 9: Datenschutz, in: Heckmann (Hrsg.), jurisPK-Internetrecht, 6. Aufl., 2019 [Stand: 20.03.2020], Rn. 352 f.; Paal/Pauly–Paal, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 17 Rn. 6 m.w.N.

164

D. Vereinbarkeit mit dem Datenschutzrecht

Der Berichtigungsanspruch ist in seiner Wirkung ein Unterlassungsanspruch hinsichtlich der Verarbeitung unrichtiger Daten695 und ist insofern ebenfalls ein Ausdruck des Selbst-Datenschutzes.696 Wie auch das Verbotsprinzip (s.o.) sind sowohl das Recht auf Vergessenwerden697 als auch der Berichtigungsanspruch698 ein Ausdruck des Grundrechts auf Schutz personenbezogener Daten gem. Art. 8 GRCh.

Beide Ansprüche erfordern die Einwirkung auf Daten: Der Löschungsanspruch des Rechts auf Vergessenwerden gem. Art. 17 Abs. 1 DSGVO ist gerichtet auf eine effektive Einwirkung auf die Daten in einer Weise, dass die verkörperte Information nicht mehr im üblichen Verfahren aus den verarbeiteten Daten gewonnen werden kann;699 der Berichtigungsanspruch gem. Art. 16 DSGVO fordert die Bearbeitung eines Datensatzes zur Änderung des Aussagegehalts, was

695

Franck, RDV, 2016, 111, 115; Schwartmann/Jaspers/Thüsing/Kugelmann–Keber/Keppeler, DSGVO/BDSG, 2018, Art. 16 Rn. 3; Wolff/Brink–Worms, Beck'scher Online-Kommentar Datenschutzrecht, 31. Edition, 2020 [Stand: 01.11.2019], Art. 16 Rn. 40 sieht eine strukturelle Ähnlichkeit zu einem öffentlich-rechtlichen Folgenbeseitigungsanspruch. 696 Ehmann/Selmayr–Kamann/Braun, DS-GVO, 2. Aufl., 2018, Art. 16 Rn. 1; Gola–Reif, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 16 Rn. 1; Wolff/Brink–Worms, Beck'scher OnlineKommentar Datenschutzrecht, 31. Edition, 2020 [Stand: 01.11.2019], Art. 16 Rn. 2; ähnl. Schwartmann/Jaspers/Thüsing/Kugelmann–Keber/Keppeler, DSGVO/BDSG, 2018, Art. 16 Rn. 3. 697 EuGH, Urt. v. 13.05.2014 – C-131/12, ECLI:EU:C:2014:317, NJW 2014, Tz. 68 f. – Google Spain; Gola–Nolte/Werkmeister, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 17 Rn. 4; Ehmann/Selmayr–Kamann/Braun, DS-GVO, 2. Aufl., 2018, Art. 17 Rn. 8; Auernhammer–Stollhoff, DSGVO/BDSG, 6. Aufl., 2018, Art. 17 Rn. 6. 698 Gola–Reif, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 16 Rn. 3; Kühling/Buchner– Herbst, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 16 Rn. 3; Ehmann/Selmayr– Kamann/Braun, DS-GVO, 2. Aufl., 2018, Art. 16 Rn. 2 m.w.N. 699 Ehmann/Selmayr–Kamann/Braun, DS-GVO, 2. Aufl., 2018, Art. 17 Rn. 34 f.; ähnl. Auernhammer–Stollhoff, DSGVO/BDSG, 6. Aufl., 2018, Art. 17 Rn. 9; Gola–Nolte/Werkmeister, DatenschutzGrundverordnung, 2. Aufl., 2018, Art. 17 Rn. 10; Kühling/Buchner–Herbst, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 17 Rn. 37 (faktische „Unmöglichkeit, die […] verkörperte Information wahrzunehmen“).

II. Die Unveränderlichkeit von Blockchains im Spannungsfeld …

165

häufig ebenfalls mit einer vollständigen oder teilweisen Datenlöschung verbunden ist700.

Hier liegt der Kern des Problems: Sind Einträge erst einmal validiert, lassen sie sich nach einer Karenzzeit von etwa sechs Blöcken praktisch nicht mehr aus der Blockchain tilgen.701 Dies kann sich schnell zu einem Problem auswachsen: Ein Verstoß gegen die entsprechenden Pflichten kann – neben der Durchsetzung über den Weg des Primärrechtsschutzes – insbesondere auch Schadensersatzansprüche der betroffenen Personen gem. Art. 82 Abs. 1 DSGVO sowie empfindliche Geldbußen gem. Art. 83 Abs. 5 lit. b) DSGVO nach sich ziehen.702

b) Dilemma zwischen „Nicht-Vergessen-Können“ und „Vergessen-Müssen“703 Die DSGVO kennt keine Ausnahmetatbestände für Betroffenenrechte bei extrem großen, heterogenen Datenmengen.704 Löschungsrecht und Löschungspflicht erstrecken sich auf sämtliche Daten mit Personenbezug. Dies umfasst

700 Ehmann/Selmayr–Kamann/Braun, DS-GVO, 2. Aufl., 2018, Art. 16 Rn. 31; vgl. auch Gola–Reif, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 16 Rn. 7; Kühling/Buchner–Herbst, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 16 Rn. 18; Schwartmann/Jaspers/Thüsing/Kugelmann–Keber/Keppeler, DSGVO/BDSG, 2018, Art. 16 Rn. 4. 701 Sixt, Bitcoins und andere dezentrale Transaktionssysteme, 1. Aufl. 2017, S. 43; Bechtolf/Vogt, ZD, 2018, 66, 69. 702 Vgl. in Bezug auf Art. 17 DSGVO z.B. Auernhammer–Stollhoff, DSGVO/BDSG, 6. Aufl., 2018, Art. 17 Rn. 69 f.; Gola–Nolte/Werkmeister, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 17 Rn. 79 f. 703 Formulierung bei Martini/Weinzierl, NVwZ, 2017, 1251. 704 Sydow–Peuker, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 17 Rn. 37; Gola– Nolte/Werkmeister, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 17 Rn. 33 f.

166

D. Vereinbarkeit mit dem Datenschutzrecht

auch Blockchain-Daten, die sich an diesen Grundsätzen messen lassen müssen.705

Im Falle eines Blockchain-Systems, dessen Erfolg wesentlich auf der praktischen Unveränderbarkeit der gespeicherten Daten beruht, weil diese die Möglichkeit eines double spending von digitalen Vermögenswerten wie Bitcoins verhindert und gerade dadurch ein erhöhtes Vertrauen genießt,706 könnte es zunächst naheliegen, im Rahmen der Privatautonomie generell einen Verzicht jedes Blockchain-Teilnehmers auf änderungsbezogene Betroffenenrechte anzunehmen. Die DSGVO sieht hierzu keine ausdrückliche Regelung vor. Indes kann eine Heranziehung von § 6 Abs. 1 BDSG a.F. weiterführen: diese Vorschrift sah vor, dass u.a. die Rechte auf Berichtigung und Löschung „nicht durch Rechtsgeschäft ausgeschlossen oder beschränkt werden“ konnten. Dieser Regelungsgehalt war nicht zuletzt aus den Vorschriften des Art. 8 Abs. 2 GRCh und Art. 16 AEUV sowie Art. 8 EMRK herleitbar, welche diese Rechte garantierten und Einschränkungen nur durch die Ausnahmetatbestände der seinerzeit geltenden DSRL zuließen.707

705 D. Heckmann, Kapitel 9: Datenschutz, in: Heckmann (Hrsg.), jurisPK-Internetrecht, 6. Aufl., 2019 [Stand: 20.03.2020], Rn. 383; Sydow–Peuker, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 17 Rn. 37 m.w.N. unter Fn. 79; vgl. auch Kühling/Buchner–Herbst, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 17 Rn. 39. 706 Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1030; Bechtolf/Vogt, ZD, 2018, 66, 69; Böhme/Pesch, DuD, 2017, 473; Nakamoto, Bitcoin: A Peer-to-Peer Electronic Cash System, S. 5. 707 Wolff/Brink–Schmidt-Wudy, Beck'scher Online-Kommentar Datenschutzrecht, 28. Edition, 2019 [Stand: 01.05.2019], § 6 BDSG a.F. Rn. 6; vgl. auch Simitis/Dammann/Arendt–Dix, Bundesdatenschutzgesetz, 8. Aufl., 2014, § 6 BDSG a.F. Rn. 66 Fn. 117; EuGH, Urt. v. 13.05.2014 – C-131/12, ECLI:EU:C:2014:317, NJW 2014, Tz. 70 – Google Spain.

II. Die Unveränderlichkeit von Blockchains im Spannungsfeld …

167

Die Ziele und Grundsätze der DSRL besitzen nach dem Willen des DSGVO-Gesetzgebers indes nach wie vor Gültigkeit.708 Mit der DSGVO sollten die Betroffenenrechte gestärkt und die Pflichten der Verantwortlichen erweitert werden.709 Dem EU-Gesetzgeber war es dabei ein besonderes Anliegen, in Fällen eines Verstoßes gegen Datenschutzbestimmungen bei Datenspeicherungen für die Betroffenen ein Recht auf Berichtigung sowie ein „Recht auf Vergessenwerden“ zu gewährleisten.710 Da auch die DSGVO die Betroffenenrechte zwingend regelt und Ausnahmen für rechtsgeschäftliche Vereinbarungen nicht vorsieht, ist anzunehmen, dass die Betroffenenrechte unabdingbar bleiben sollen.711 Die Betroffenenrechte stehen nicht zur Disposition des Einzelnen.712 Für dieses Ergebnis spricht auch Erw.Gr. 15 S. 1, nach dem der EU-Gesetzgeber eine Umgehung der DSGVO-Vorschriften vermeiden und unabhängig von technologischen Gegebenheiten ausgestalten wollte.713

Damit sind die auf eine nachträgliche Abänderung hinauslaufenden Betroffenenrechte letztlich nicht vereinbar mit einer der Eigenschaften, mit der Block-

708

Erw.Gr. 9 S. 1. Erw.Gr. 11; s. auch Piltz, K&R, 2016, 629. 710 Erw.Gr. 65 S. 1. 711 Schrey/Thalhofer, NJW, 2017, 1431, 1435; seinerzeit noch in Bezug auf den DSGVO-Kommissionsvorschlag vom 25.01.2012 Simitis/Dammann/Arendt–Dix, Bundesdatenschutzgesetz, 8. Aufl., 2014, § 6 BDSG a.F. Rn. 66; ähnl. wohl auch Wolff/Brink–Schmidt-Wudy, Beck'scher Online-Kommentar Datenschutzrecht, 28. Edition, 2019 [Stand: 01.05.2019], § 6 BDSG a.F. Rn. 6; einschränkend Auernhammer–Stollhoff, BDSG, 4. Aufl., 2014, § 6 BDSG a.F. Rn. 29. 712 Wolff/Brink–Worms, Beck'scher Online-Kommentar Datenschutzrecht, 31. Edition, 2019 [Stand: 01.11.2019], Art. 16 Rn. 4; Ehmann/Selmayr–Kamann/Braun, DS-GVO, 2. Aufl., 2018, Art. 17 Rn. 8; Berger, DVBl, 2017, 1271, 1273; so auch bereits explizit Schrey/Thalhofer, NJW, 2017, 1431, 1435 („kein dispositiver Charakter“). 713 So auch Berger, DVBl, 2017, 1271, 1273 Fn. 24. 709

D. Vereinbarkeit mit dem Datenschutzrecht

168

chain-Technologie den Verzicht auf einen Mittelsmann ermöglicht: der Unveränderbarkeit.714 Datenschutzrechtliche Korrekturansprüche und das Recht auf Vergessenwerden stellen einen Verantwortlichen bei Blockchains als nachträglich nicht veränderbaren Datenbanken vor erhebliche Probleme.715

3.

Zwischenbetrachtung

In diesem Kapitel wurde die Unveränderlichkeit von Blockchains mit den datenschutzrechtlichen Grundsätzen des Verbotsprinzips sowie der Gewährleistung der Betroffenenrechte (Selbstdatenschutz) abgeglichen. Dabei zeigte sich, dass hier ein Spannungsverhältnis besteht. Denn beide Prinzipien können jeweils eine nachträgliche Veränderung einer Blockchain erforderlich machen und zeigen damit einen möglichen Widerspruch auf zwischen technischer Unabänderlichkeit einerseits und rechtlicher Änderungspflicht andererseits:

Anhand des Verbotsprinzips wurde gezeigt, dass es nicht zuletzt die Unveränderlichkeit von Blockchains ist, die einer Einwilligung in die Datenverarbeitung entgegensteht. Da eine Einwilligung in eine einmal erfolgte Datenverarbeitung technisch nicht mehr effektiv widerrufen werden kann, kann sie nach den Maß-

714

So auch Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1030; Böhme/Pesch, DuD, 2017, 473, 480. 715 Ebenso Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1030 f.; Pesch/Sillaber, CRi, 2017, 166, 170 f.; Böhme/Pesch, DuD, 2017, 473, 479; Bechtolf/Vogt, ZD, 2018, 66, 69; Martini/Weinzierl, NVwZ, 2017, 1251, 1254 ff.; zu weiteren gefährdeten Betroffenenrechten s. Schrey/Thalhofer, NJW, 2017, 1431, 1434 sowie eingehend zum Überprüfungsrecht bei automatisierter Einzelfallenscheidung gem. Art 22 DSGVO und dem Recht auf Datenportabilität gem. Art. 20 DSGVO Isler, Datenschutz auf der Blockchain, 16 f.

II. Die Unveränderlichkeit von Blockchains im Spannungsfeld …

169

stäben der DSGVO nicht freiwillig erfolgen – es bedarf eines gesetzlichen Legitimationsgrundes.716 Oftmals dürfte eine Datenverarbeitung auf der Blockchain im Rahmen einer Vertragserfüllung gem. Art. 6 Abs. 1 S. 1 lit. b) DSGVO gerechtfertigt sein. Gerade bei offenen Blockchains dürfte eine Rechtfertigung über Art. 6 Abs. 1 S. 1 lit. b) DSGVO allerdings – zumindest beim Idealtyp einer öffentlichen Blockchain mit Proof-of-Work-Verfahren – häufig gerade nicht möglich sein.717 Transaktionsanweisungen werden hier nicht zur Vertragserfüllung umgesetzt, sondern um eine Belohnung durch das Netzwerk zu erhalten. Eine Legitimation kommt in diesen Konstellationen nur noch über die Wahrung berechtigter Interessen gem. Art. 6 Abs. 1 S. 1 lit. f) DSGVO in Frage.718 Die Unveränderlichkeit der Blockchain schließt die Zulässigkeit der Datenverarbeitung zwar nicht generell aus,719 ist aber im Rahmen der Abwägung besonders zu berücksichtigen. Die Verarbeitung von sensiblen Daten wird nur unter strengen Voraussetzungen möglich sein.720

Auch die Gewährleistung der Betroffenenrechte wird durch die Unveränderlichkeit von Blockchains vor große Herausforderungen gestellt. Das unionsrechtlich gem. Art. 8 GRCh verbürgte Recht auf Schutz personenbezogener Daten setzt einer Technologie mit unabänderlicher Transaktionshistorie deutliche

716

So bereits Quiel, DuD, 2018, 566, 571; Schrey/Thalhofer, NJW, 2017, 1431, 1434; Böhme/Pesch, DuD, 2017, 473, 479; Bechtolf/Vogt, ZD, 2018, 66, 69; Hofert, ZD, 2017, 161, 164; Berger, DVBl, 2017, 1271, 1273; Spindler/Bille, WM, 2014, 1357, 1368 717 Ähnl. Hofert, ZD, 2017, 161, 165. 718 So i.E. auch Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1033; bereits im Kontext von § 28 Abs. 1 S. 1 Nr. 1 BDSG a.F. Hofert, ZD, 2017, 161, 165 sowie Böhme/Pesch, DuD, 2017, 473, 479. 719 A.A. Schrey/Thalhofer, NJW, 2017, 1431, 1434; zweifelnd auch Gola–Sebastian Schulz, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 6 Rn. 35; einschränkend Quiel, DuD, 2018, 566, 572 („nur schwer rechtfertigen“). 720 Ähnl. Hofert, ZD, 2017, 161, 165.

D. Vereinbarkeit mit dem Datenschutzrecht

170

Grenzen.721 Die Ansprüche auf Berichtigung (Art. 16 DSGVO) und Löschung (Art. 17 DSGVO) als Ausfluss des EU-Grundrechts auf Schutz personenbezogener Daten (Art. 8 GRCh) sind für den Betroffenen nicht disponibel. Als auf eine nachträgliche Abänderung hinauslaufende Rechte sind sie in letzter Konsequenz mit der Blockchain-Technologie nicht vereinbar.

Nachträgliche Löschpflichten konterkarieren die Leitidee von Blockchain-Technologie ebenso wie datenschutzfreundliche Modifizierungen zugunsten einer nachträglichen Änderbarkeit.722 Eine technische Neukonzeption, etwa in Gestalt einer änderbaren („redactable“) Blockchain würde möglicherweise in technischer Hinsicht der Lösung dieses Widerspruches näherkommen; dies ginge jedoch auf Kosten der Vertrauenswürdigkeit der Blockchain.723 Diese würde von ihren Vorteilen so weit entkleidet, dass sie kaum Vorteile im Vergleich zu herkömmlichen Datenbanken hätte.

Durch die Unveränderbarkeit der Blockchain gerät die Technologie und mit ihr der datenschutzrechtlich Verantwortliche in ein Dilemma zwischen „NichtVergessen-Können“

und

datenschutzrechtlich

gebotenem

„Vergessen-

Müssen“724. Hier tun sich gravierende Folgeprobleme auf, die im Ergebnis nicht nur zugangsbeschränkte, sondern auch unbeschränkte Blockchain-Systeme

721

So ausdrücklich Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1034 f.; Berger, DVBl, 2017, 1271, 1273. 722 Sydow–Peuker, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 17 Rn. 37; Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1034 f.; ähnl. Isler, Datenschutz auf der Blockchain, S. 15. 723 Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1030 f. 724 Begriffspaar bei Martini/Weinzierl, NVwZ, 2017, 1251.

II. Die Unveränderlichkeit von Blockchains im Spannungsfeld …

betreffen

können.

Ob

die

Grundsätze

des

171

Datenschutzes

durch

Technikgestaltung insoweit bestimmte Vorkehrungen verlangen, wird zu untersuchen sein.

III. Welcher Blockchain-Akteur ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO? Werden

auf

Blockchains

personenbezogene

Daten

im

Sinne

von

725

Art. 4 Nr. 2 DSGVO Daten verarbeitet , so ist der sachliche Anwendungsbereich gem. Art. 2 Abs. 1 DSGVO eröffnet. Das Vorhandensein von Datenschutzgrundsätzen wird jedoch nicht zum Erfolg verhelfen, wenn es im BlockchainSystem keinen Passivlegitimierten, d.h. niemanden gibt, der für deren Einhaltung einzustehen hat und in die Pflicht genommen werden kann. Aber wer hat dafür einzustehen, dass in dem jeweiligen Blockchain-System die Bestimmungen der DSGVO eingehalten werden?

Dieser Frage soll im Folgenden nachgegangen werden. Zunächst soll dabei das Prinzip der datenschutzrechtlichen Verantwortlichkeit näher beleuchtet werden, um sodann einzugehen auf die spezifischen Fragestellungen, die sich für die Verantwortlichkeit in Blockchain-Systemen stellen.

725 Näher zum Tatbestandsmerkmal der „Verarbeitung“ im Zusammenhang mit Blockchains: Isler, Datenschutz auf der Blockchain, S. 11.

172

1.

D. Vereinbarkeit mit dem Datenschutzrecht

Das datenschutzrechtliche Verantwortungskonzept der DSGVO

Die Grundidee des Regelungskonzeptes der DSGVO ist, jeden einzelnen Datenverarbeitungsvorgang einer Rechtsperson zuzuweisen, welche die datenschutzrechtliche Verantwortung für diesen Vorgang übernehmen und gewährleisten muss, dass die Daten gesetzeskonform verarbeitet werden.726

Die Regelungssystematik der DSGVO will dabei die „gängige Rollenverteilung“ 727

einer Datenverarbeitung abbilden und kennt als Akteure eines Verarbei-

tungsvorganges im Wesentlichen die betroffene Person, den Verantwortlichen und den Auftragsverarbeiter, Art. 4 Nr. 1, 7 und 8 DSGVO.728 Für die Einhaltung der Regelungen der DSGVO hat grundsätzlich der Verantwortliche729 (sog. „controller“) im Sinne der Art. 4 Nr. 7, Art. 24 ff. DSGVO zu sorgen.

Der DSGVO liegt dabei das Prinzip der Eigenverantwortlichkeit730 zugrunde: Gem. Art. 5 Abs. 2 DSGVO hat der Verantwortliche nicht nur die in

726 Kühling/Buchner–J. Hartung, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 5; Sydow–Raschauer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 121; Albrecht/Jotzo, Das neue Datenschutzrecht in der EU, 1. Aufl., 2017, S. 61. 727 Sydow–Raschauer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 119. 728 Vgl. insofern auch die Definition gem. Art. 4 Nr. 10 DSGVO sowie Sydow–Raschauer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 119; Kühling/Buchner–J. Hartung, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 7; Schwartmann/Jaspers/Thüsing/Kugelmann–Schwartmann/Mühlenbeck, DSGVO/BDSG, 2018, Art. 4 Nr. 7 Rn. 104; Albrecht/Jotzo, Das neue Datenschutzrecht in der EU, 1. Aufl., 2017, S. 91. 729 Dadurch wird der in der DSRL verwendete Begriff des „für die Verarbeitung Verantwortlichen“ abgelöst, s. Sydow–Raschauer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 115; Kühling/Buchner–J. Hartung, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 3 f.; Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 356. 730 D. Heckmann, Kapitel 9: Datenschutz, in: Heckmann (Hrsg.), jurisPK-Internetrecht, 6. Aufl., 2019 [Stand: 20.03.2020], Rn. 203; Ehmann/Selmayr–Heberlein, DS-GVO, 2. Aufl., 2018, Art. 5 Rn. 29; Wolff/Brink–Schantz, Beck'scher Online-Kommentar Datenschutzrecht, 31. Edition, 2020 [Stand: 01.02.2019], Art. 5 Rn. 38; Paal/Pauly–Frenzel, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 5 Rn. 52.

III. Welcher Blockchain-Akteur ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO?

173

Art. 5 Abs. 1 DSGVO zum Ausdruck kommenden Datenschutzgrundsätze umzusetzen sondern muss dies auch nachweisen können, sog. Rechenschaftspflicht.731

a) Der Verantwortliche als Adressat datenschutzrechtlicher Pflichten Der Verantwortliche ist die Rechtsperson, der sich die Verarbeitung der personenbezogenen Daten datenschutzrechtlich zuordnen lässt und ist primärer Regelungsadressat der DSGVO.732 Ihm kommen dabei zwei wichtige wesentliche Aufgaben im datenschutzrechtlichen System der DSGVO zu, denn er ist: -

der Anspruchsgegner für datenschutzrechtliche Ansprüche betroffener Personen und

-

Ansprechpartner der zuständigen Datenschutzbehörde.733

731 Ehmann/Selmayr–Heberlein, DS-GVO, 2. Aufl., 2018, Art. 5 Rn. 29; Gola–Pötters, DatenschutzGrundverordnung, 2. Aufl., 2018, Art. 5 Rn. 30 f.; Sydow–Reimer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 5 Rn. 53; Kühling/Buchner–Herbst, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 5 Rn. 78 f.; Auernhammer–Kramer, DSGVO/BDSG, 6. Aufl., 2018, Art. 5 Rn. 45 f.; Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 449. 732 Kühling/Buchner–J. Hartung, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 24 Rn. 6; Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 356; Paal/Pauly–Martini, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 24 Rn. 1; Gola–Piltz, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 24 Rn. 7 f. 733 Wybitul–Pötters/Böhm, Handbuch EU-Datenschutz-Grundverordnung, 2017, Art. 4 Rn. 28; Sydow–Raschauer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 120; Albrecht/Jotzo, Das neue Datenschutzrecht in der EU, 1. Aufl., 2017, S. 91; Paal/Pauly–Martini, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 24 Rn. 11 („Verantwortung und Haftung“ für jedwede Datenverarbeitung); vgl. auch Artikel-29-Datenschutzgruppe, Stellungnahme 1/2010 zu den Begriffen „für die Verarbeitung Verantwortlicher“ und "Auftragsverarbeiter“ - WP 169, v. 16.02.2010, S. 38.

174

D. Vereinbarkeit mit dem Datenschutzrecht

Die Rolle des Verantwortlichen dient also insbesondere dazu, die Gewährleistung des Datenschutzes sicherzustellen und Rechte datenschutzrechtlich Betroffener effektiv durchsetzen zu können.734

Gem. Art. 4 Nr. 7 DSGVO handelt es sich bei dem Verantwortlichen um die „natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet“. Festzuhalten ist also bereits an dieser Stelle, dass datenschutzrechtliche Verantwortlichkeit einen gewissen bestimmenden Einfluss auf die Datenverarbeitung voraussetzt. Gegenstand der Verantwortlichkeit ist die konkrete Datenverarbeitung – das System der DSGVO kennt keine „unverantworteten Tätigkeiten“735 und richtet nahezu sämtliche Schutzinstrumente an den Verantwortlichen736. Das bedeutet aber nicht, dass der Verantwortliche selbst zwingend an der Durchführung der Verarbeitung beteiligt sein muss. Weder muss er im direkten Kontakt zur betroffe-

734 Kühling/Buchner–J. Hartung, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 6; Schwartmann/Jaspers/Thüsing/Kugelmann–Schwartmann/Mühlenbeck, DSGVO/BDSG, 2018, Art. 4 Nr. 7 Rn. 106; Paal/Pauly–Martini, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 24 Rn. 11; Gola–Piltz, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 24 Rn. 7; Plath–Plath, DSGVO/BDSG, 3. Aufl., 2018, Art. 24 Rn. 1 („Verwirklichung des Schutzzwecks der DSGVO“). 735 Sydow–Raschauer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 121. 736 Wybitul–Pötters/Böhm, Handbuch EU-Datenschutz-Grundverordnung, 2017, Art. 4 Rn. 32; s. auch Wolff/Brink–Schmidt/Brink, Beck'scher Online-Kommentar Datenschutzrecht, 31. Edition, 2020 [Stand: 01.11.2019], Art. 24 Rn. 18; Albrecht/Jotzo, Das neue Datenschutzrecht in der EU, 1. Aufl., 2017, S. 91; die umfassende Haftung des Verantwortlichen zeigt sich z.B. deutlich daran, dass er der Adressat der Betroffenenrechte in Kapitel III der DSGVO ist sowie an der Schadensersatzregelung in Art. 82 Abs. 2 S. 1 DSGVO.

III. Welcher Blockchain-Akteur ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO?

175

nen Person stehen noch sich selbst im Besitz der Daten befinden oder die physische Herrschaft über den Verarbeitungsprozess haben.737 Solange er es ist, der über die Zwecke und Mittel der Datenverarbeitung entscheidet, sind ihm grundsätzlich alle Hilfsorgane, die unter seiner Entscheidungsgewalt Schritte der Datenverarbeitung durchführen, funktionell zuzurechnen, insbesondere dessen unter seiner unmittelbaren Verantwortung stehenden Beschäftigten738, aber auch seiner Auftragsverarbeiter.739

Verarbeitet ein Dritter Daten weisungsgebunden, so ist er nicht selbst Verantwortlicher mit den damit verbundenen Verpflichtungen, sondern sog. „Auftragsverarbeiter“ (sog. „processor“) des Verantwortlichen im Sinne des Art. 4 Nr. 8 DSGVO.740 Beispiele sind etwa Cloud-Computing-Anbieter oder Betreiber von Rechenzentren.741 Wenn der Verantwortliche bei der Datenverarbeitung Dienstleister einschaltet, ändert sich an der Zuweisung der daten-

737 Sydow–Raschauer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 125; Ehmann/Selmayr–Klabunde, DS-GVO, 1. Aufl., 2017, Art. 4 Rn. 27; Plath–Schreiber, DSGVO/BDSG, 3. Aufl., 2018, Art. 4 Rn. 30; vgl. auch Kühling/Buchner–J. Hartung, DatenschutzGrundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 13. 738 Vgl. Art. 4 Nr. 10 DSGVO; s. auch Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 359; Albrecht/Jotzo, Das neue Datenschutzrecht in der EU, 1. Aufl., 2017, S. 61. 739 Sydow–Raschauer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 124 f.; Kühling/Buchner–J. Hartung, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 7 ff.; D. Heckmann, Kapitel 9: Datenschutz, in: Heckmann (Hrsg.), jurisPK-Internetrecht, 6. Aufl., 2019 [Stand: 20.03.2020], Rn. 208. 740 Schwartmann/Jaspers/Thüsing/Kugelmann–Kremer, DSGVO/BDSG, 2018, Art. 28 Rn. 33; Gola– Gola, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 4 Rn. 74; Auernhammer–Thomale, DSGVO/BDSG, 6. Aufl., 2018, Art. 28 Rn. 19; Sydow–Ingold, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 8 Rn. 146. 741 Voigt/von dem Bussche, EU-Datenschutz-Grundverordnung (DSGVO), 1. Aufl., 2018, S. 24.

176

D. Vereinbarkeit mit dem Datenschutzrecht

schutzrechtlichen Verantwortlichkeit also grundsätzlich nichts – die Datenverarbeitung ist dem Verantwortlichen weiterhin zurechenbar.742 Gegen den weisungsgebunden handelnden Auftragsverarbeiter können betroffene Personen und Behörden bei Datenschutzverstößen – zumindest grundsätzlich – nicht vorgehen.743 Er unterliegt vielmehr primär den schuldrechtlichen Pflichten aus dem Auftragsverhältnis mit dem Verantwortlichen.744

Bei modernen Datenverarbeitungsprozessen haben nicht selten mehrere Beteiligte Einfluss auf die Datenverarbeitung. Solche Prozesse werden oft nicht nur von einer Stelle gesteuert, sondern basieren auf arbeitsteiligem Zusammenwirken mehrerer Stellen, die durchaus die Zwecke und Mittel der Datenverarbeitung mitbeeinflussen, aber – im Unterschied zu Auftragsverarbeitern – untereinander nicht weisungsgebunden sind.745 Der damit nicht selten verbundenen Undurchsichtigkeit solcher Konstellationen für Außenstehende (und

742 Sydow–Raschauer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 124; Kühling/Buchner–J. Hartung, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 13; Albrecht/Jotzo, Das neue Datenschutzrecht in der EU, 1. Aufl., 2017, S. 91. 743 Vgl. Art. 28 Abs. 10 DSGVO; Albrecht/Jotzo, Das neue Datenschutzrecht in der EU, 1. Aufl., 2017, S. 91; Sydow–Ingold, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 28 Rn. 12; Plath–Plath, DSGVO/BDSG, 3. Aufl., 2018, Art. 28 Rn. 9; dies bedeutet indes nicht, dass den Auftragsverarbeiter überhaupt keine eigenen Rechtspflichten und Rechtsfolgen träfen, vgl. hierzu nur Kühling/Buchner–J. Hartung, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 8 Rn. 4. 744 Albrecht/Jotzo, Das neue Datenschutzrecht in der EU, 1. Aufl., 2017, S. 96. 745 Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 368; Kühling/Buchner–J. Hartung, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 12; Beispiele finden sich bei Artikel-29-Datenschutzgruppe, Stellungnahme 1/2010, S. 22 ff. sowie Voigt/von dem Bussche, EUDatenschutz-Grundverordnung (DSGVO), 1. Aufl., 2018, S. 24.

III. Welcher Blockchain-Akteur ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO?

177

der damit verbundenen Gefahr, dass Betroffene oder Behörden die datenschutzrechtlichen Regeln nicht effektiv geltend machen könnten) begegnet die DSGVO mit dem Konzept „gemeinsamer Verantwortlichkeit“.746

In einem solchen Fall sind die beteiligten Stellen „gemeinsam Verantwortliche“ gem. Art. 26 Abs. 1 DSGVO (Rechtsfigur der sog. „joint control“747). Gem. Art. 4 Nr. 7, Art. 26 Abs. 1 S. 1 DSGVO sind datenverarbeitende Stellen gemeinsam Verantwortliche, wenn diese die Zwecke der und die Mittel zur Personendatenverarbeitung „gemeinsam“ festlegen. Anders als die Auftragsverarbeitung ist die gemeinsame Verantwortlichkeit nicht durch ein Hierarchieverhältnis geprägt, sondern zeichnet sich durch ein grundsätzlich gleichberechtigtes Verhältnis der Beteiligten untereinander aus, bei welchem die Beteiligten eigene Interessen verfolgen können.748 Da solche Konstellationen von außen allerdings schwer durchschaubar sein können, verlangt die DSGVO in

746

Vgl. Erw.Gr. 79; Paal/Pauly–Martini, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 26 Rn. 41; Plath–Plath, DSGVO/BDSG, 3. Aufl., 2018, Art. 26 Rn. 1; Ehmann/Selmayr–Bertermann, DS-GVO, 1. Aufl., 2017, Art. 26 Rn. 5; Voigt/von dem Bussche, EU-DatenschutzGrundverordnung (DSGVO), 1. Aufl., 2018, S. 43; Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 368; insofern wurden entsprechende Forderungen der Artikel-29-Datenschutzgruppe umgesetzt, Artikel-29-Datenschutzgruppe, Stellungnahme 1/2010, S. 22 ff.; s. hierzu auch Albrecht/Jotzo, Das neue Datenschutzrecht in der EU, 1. Aufl., 2017, S. 91, Fn. 3. 747 Wolff/Brink–Spoerr, Beck'scher Online-Kommentar Datenschutzrecht, 31. Edition, 2020 [Stand: 01.02.2020], Art. 26 , Einl.; Auernhammer–Thomale, DSGVO/BDSG, 6. Aufl., 2018, Art. 26 Rn. 1; Kühling/Buchner–J. Hartung, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 26 Rn. 2; D. Heckmann, Kapitel 9: Datenschutz, in: Heckmann (Hrsg.), jurisPK-Internetrecht, 6. Aufl., 2019 [Stand: 20.03.2020], Rn. 209. 748 Paal/Pauly–Martini, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 26 Rn. 3; Wybitul–Pötters/Böhm, Handbuch EU-Datenschutz-Grundverordnung, 2017, Art. 4 Rn. 30; Kühling/Buchner–J. Hartung, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 26 Rn. 13 f.; Plath–Plath, DSGVO/BDSG, 3. Aufl., 2018, Art. 26 Rn. 8; Wolff/Brink–Spoerr, Beck'scher Online-Kommentar Datenschutzrecht, 31. Edition, 2020 [Stand: 01.02.2020], Art. 26 Rn. 16; Gola–Piltz, Datenschutz-Grundverordnung, 2017, Art. 26 Rn. 3 ff.; Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, 370 f.; Albrecht/Jotzo, Das neue Datenschutzrecht in der EU, 1. Aufl., 2017, S. 91.

178

D. Vereinbarkeit mit dem Datenschutzrecht

Art. 26 Abs. 1 S. 2 von den gemeinsam Verantwortlichen die Offenlegung der Verhältnisse in Form einer für Betroffene transparenten Vereinbarung über die Erfüllung und Aufteilung der datenschutzrechtlichen Pflichten untereinander.749

Trotzdem bleiben beide Verantwortliche im Verhältnis zum Betroffenen750 einzeln verantwortlich und haften als Gesamtschuldner für die Einhaltung der Betroffenenrechte (Art. 26 Abs. 3 DSGVO) sowie für etwaige Schadensersatzansprüche (Art. 82 Abs. 4 DSGVO) und können nur im Innenverhältnis Regress nehmen.751

Die gemeinsame Verantwortlichkeit führt also zu einer erheblichen Erhöhung des Risikos, für fremde Datenschutzverletzungen in Anspruch genommen zu werden.752

Grundsätzlich lässt sich damit zusammenfassen:

749 Paal/Pauly–Martini, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 26 Rn. 4; D. Heckmann, Kapitel 9: Datenschutz, in: Heckmann (Hrsg.), jurisPK-Internetrecht, 6. Aufl., 2019 [Stand: 20.03.2020], Rn. 211 f.; Plath–Plath, DSGVO/BDSG, 3. Aufl., 2018, Art. 26 Rn. 11 f.; Gola–Piltz, Datenschutz-Grundverordnung, 2017, Art. 26 Rn. 11 f.; Schneider, Datenschutz, 2019, S. Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 372; Albrecht/Jotzo, Das neue Datenschutzrecht in der EU, 1. Aufl., 2017, S. 61. 750 Aufsichtsbehörden haben die Vereinbarung bei ihren Maßnahmen hingegen mitzuberücksichtigen, vgl. Wybitul–Tinnefeld/Hanßen, Handbuch EU-Datenschutz-Grundverordnung, 2017, Art. 26 Rn. 22; Kühling/Buchner–J. Hartung, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 26 Rn. 31; Sydow–Ingold, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 26 Rn. 10. 751 Kühling/Buchner–J. Hartung, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 26 Rn. 29; Sydow–Ingold, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 26 Rn. 10; Wybitul–Tinnefeld/Hanßen, Handbuch EU-Datenschutz-Grundverordnung, 2017, Art. 26 Rn. 23; Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 377; Albrecht/Jotzo, Das neue Datenschutzrecht in der EU, 1. Aufl., 2017, S. 91. 752 Schneider, Datenschutz, 2019, S. 281.

III. Welcher Blockchain-Akteur ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO?

1.

179

datenschutzrechtliche Verantwortlichkeit bei Entscheidung über Zwecke und Mittel einer Personendatenverarbeitung;

2.

gemeinsame Verantwortlichkeit bei gleichrangiger Stellung;

3.

Auftragsverarbeitung bei vereinbarter und eingehaltener Hierarchie753.

b) Untersuchung des Verantwortlichen-Begriffes und unionsautonome Auslegung Die Zuweisung der datenschutzrechtlichen Verantwortlichenstellung richtet sich danach, wer über die Zwecke und Mittel einer Datenverarbeitung entscheidet. „Zweck“ ist dabei zu verstehen als ein „von definierten Beweggründen getragenes, erwartetes und beabsichtigtes“ Ergebnis des Verantwortlichen bei der Datenverarbeitung, „Mittel“ als die „Art und Weise“, dieses Ergebnis zu erreichen.754 Ein Verantwortlicher muss während der Datenverarbeitung „Herr der Daten“755 bleiben. Die Entscheidungsgewalt über Zwecke und Mittel der Verarbeitung personenbezogener Daten ist also das entscheidende Abgren-

753

Zusammenfassung angelehnt an Schneider, Datenschutz, 2019, S. 283. Paal/Pauly–Martini, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 26 Rn. 19; Schwartmann/Jaspers/Thüsing/Kugelmann–Schwartmann/Mühlenbeck, DSGVO/BDSG, 2018, Art. 4 Nr. 7 Rn. 121; Wagner, ZD, 2018, 307, 308; ähnlich bereits Artikel-29Datenschutzgruppe, Stellungnahme 1/2010, S. 16. 755 Sydow–Raschauer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 123. 754

180

D. Vereinbarkeit mit dem Datenschutzrecht

zungskriterium für die Eigenschaft als datenschutzrechtlich Verantwortlicher.756 Sie ist gleichsam das „Scharnier“, welches die Verbindung zwischen einer datenverarbeitenden Stelle und der datenschutzrechtlichen Verantwortlichkeit herstellt und ihr kommt insofern erhebliche Bedeutung zu. Dies gilt besonders angesichts der komplexen dezentralen Struktur der Blockchain, in welcher es idealtypischerweise keine bestimmte Person oder Einrichtung gibt, welche allein über die Verarbeitung der Daten entscheidet.

Für die Bestimmung des datenschutzrechtlich (Mit-)Verantwortlichen gilt es daher zu ermitteln, wer die Entscheidungsgewalt über Zweck und Mittel der Verarbeitung der personenbezogenen Daten hat, sodass es auch maßgeblich darauf ankommt, wie eine solche Entscheidungsgewalt beschaffen sein muss. Wie die Kontrollmöglichkeiten eines datenschutzrechtlich Verantwortlichen beschaffen sein müssen, ist durch Auslegung zu ermitteln. Dabei ist zunächst festzuhalten, dass der Begriff des Verantwortlichen in der DSGVO ausdrücklich definiert ist und der Unionsgesetzgeber somit die Bedeutung des Begriffes selbst bestimmen wollte.757 Daher ist auch der Begriff des Verantwortlichen unionsautonom aus sich selbst heraus und unabhängig von nationalem Recht auszulegen.

756 Sydow–Raschauer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 123 f.; Kühling/Buchner–J. Hartung, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 13; Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 356; Wybitul– Pötters/Böhm, Handbuch EU-Datenschutz-Grundverordnung, 2017, Art. 4 Rn. 29; Ehmann/Selmayr–Klabunde, DS-GVO, 2. Aufl., 2018, Art. 4 Rn. 36. 757 Zur Vorfrage der unionsautonomen Auslegung s. Riesenhuber (Hrsg.), Europäische Methodenlehre, 3. Aufl., 2015, S. 201; vgl. auch Hofmann/Johannes, ZD, 2017, 221; F. Müller/Christensen, Juristische Methodik, 3. Aufl., 2012, Rn. 40.

III. Welcher Blockchain-Akteur ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO?

aa)

181

Grammatikalische Auslegung

Ausgehend vom Wortlaut der Regelung in ihrer deutschen Fassung stellt die Definition des Verantwortlichen gem. Art. 4 Nr. 7 DSGVO auf einen „Verantwortlichen“ ab, der über „Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet“. Da es lediglich um eine „Entscheidung“ geht, könnte dies auf eine verhältnismäßig niedrige Schwelle für die Bestimmung der Verantwortlichkeit hindeuten und für ein sehr weites Verständnis des Begriffes des Verantwortlichen sprechen.

Indes sind bei europarechtlichen Regelungen auch andere Sprachfassungen gleichermaßen zu berücksichtigen, ohne dass einer davon der Vorrang zukäme.758 Die französische Fassung verwendet an dieser Stelle die Wendung „détermine les finalités et les moyens du traitement“, was mehr Gewicht auf die Möglichkeit des Verantwortlichen zu einer bindenden Festlegung („détermine“) von Zwecken und Mitteln der Datenverarbeitung legt und im Vergleich zur deutschen Fassung („entscheidet“) ein engeres Begriffsverständnis des Verantwortlichen nahe legt. Auch die spanische Fassung („determine los fines y medios del tratamiento“) und die englische Fassung („determines the purposes and means of the processing of personal data“) stützen ein Verständnis, nach welchem der Verantwortliche bestimmenden Einfluss auf Zwecke und Mittel der Datenverarbeitung haben muss. Der englische Begriff des „controller“ legt ebenfalls nahe, dass für die Stellung eines datenschutzrechtlich Verantwortlichen der Aspekt der Kontrolle bzw. Herrschaft über den Datenverarbeitungsvorgang eine große Rolle spielt.

758 Riesenhuber

(Hrsg.), Europäische Methodenlehre, 3. Aufl., 2015, S. 205; Hofmann/Johannes, ZD, 2017, 221, 222; F. Müller/Christensen, Juristische Methodik, 3. Aufl., 2012, Rn. 42.

D. Vereinbarkeit mit dem Datenschutzrecht

182

All dies deutet darauf hin, dass die Entscheidung über Zwecke und mittel der Datenverarbeitung im Sinne einer „Festlegung“ zu verstehen ist.759 Dieses Verständnis

wird

auch

durch

den

Wortlaut

der

Regelung

in

Art. 26 Abs. 1 S. 1 DSGVO gestützt, der auf eine gemeinsame Festlegung der Zwecke und Mittel der Datenverarbeitung abstellt.760

Dass der Wortlaut die Verantwortlichkeit nicht von einer gesetzlichen Befugnis oder Zuständigkeit abhängig macht, spricht dafür, dass es insofern – wie auch bereits bei der DSRL – maßgeblich darauf ankommt, wer tatsächlich die Entscheidung zur Datenverarbeitung getroffen hat.761

bb)

Systematische Auslegung

In systematischer Hinsicht fällt auf, dass die DSGVO neben dem Verantwortlichen und der betroffenen Person auch weitere Beteiligte des Datenverarbeitungsvorganges kennt, insbesondere den „Auftragsverarbeiter“ gem. Art. 4 Nr. 8 DSGVO und den „gemeinsam Verantwortlichen“ gem. Art. 4 Nr. 7, Art. 26 Abs. 1 DSGVO.

759

So auch Wybitul–Pötters/Böhm, Handbuch EU-Datenschutz-Grundverordnung, 2017, Art. 4 Rn. 29, die darin eine über den Wortlaut hinausgehende Auslegung sehen. 760 Ähnl. Schwartmann/Jaspers/Thüsing/Kugelmann–Kremer, DSGVO/BDSG, 2018, Art. 26 Rn. 14. 761 Vgl. Albrecht/Jotzo, Das neue Datenschutzrecht in der EU, 1. Aufl., 2017, S. 61 mit Verweis auf Artikel-29-Datenschutzgruppe, Stellungnahme 1/2010, 10 ff.; so auch Sydow–Raschauer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 125 sowie Paal/Pauly–Martini, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 26 Rn. 19.

III. Welcher Blockchain-Akteur ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO?

183

Bei dem Auftragsverarbeiter handelt es sich gemäß dieser Vorschrift um eine Stelle, die personenbezogene Daten „im Auftrag des Verantwortlichen verarbeitet“. Er ist gem. Art. 29 DSGVO den Weisungen des Verantwortlichen im Rahmen eines Auftragsverhältnisses unterworfen und wird auch nur auf dessen Weisung tätig.762

Daraus folgt, dass der Verantwortliche einerseits nicht die einzige Stelle sein muss, die Daten verarbeitet und auch nicht den Datenverarbeitungsvorgang technisch beherrschen muss. Andererseits folgt daraus, dass ein gewisses Maß an Kontrolle notwendig ist, um datenschutzrechtliche Verantwortung innezuhaben.

Dies beginnt bereits mit der eigentlichen Entscheidung, die Datenverarbeitungstätigkeiten nicht intern durchzuführen, sondern per Auftrag an eine externe Stelle zu delegieren.763 Den Verantwortlichen treffen aber gem. Art. 28 Abs. 1 DSGVO unter anderem auch Pflichten bei der Wahl eines geeigneten Auftragsverarbeiters und mangels expliziter anderweitiger Regelung in der DSGVO vermittelt er in vielen Fällen an den Auftragsverarbeiter die Rechtsgrundlage für Auftragsverarbeitungen, sodass er das „ob“ der Datenverarbeitung maßgeblich beeinflusst764; zudem stellt Art. 28 Abs. 3 DSGVO inhaltliche Vorgaben für das „wie“ der Auftragsverarbeitung auf, die der Verantwortliche bei der Ausgestaltung des Auftragsverhältnisses zu beachten hat765.

762

Albrecht/Jotzo, Das neue Datenschutzrecht in der EU, 1. Aufl., 2017, S. 61; Sydow–Ingold, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 8 Rn. 146; Gola–Gola, DatenschutzGrundverordnung, 2. Aufl., 2018, Art. 4 Rn. 75. 763 Voigt/von dem Bussche, EU-Datenschutz-Grundverordnung (DSGVO), 1. Aufl., 2018, S. 24. 764 Sydow–Ingold, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 28 Rn. 32 f. 765 Sydow–Ingold, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 28 Rn. 43 ff.

184

D. Vereinbarkeit mit dem Datenschutzrecht

Art. 28 Abs. 10 DSGVO zeigt, dass Auftragsverarbeiter zu (gemeinsam) Verantwortlichen werden, wenn sie Zwecke und Mittel einer Verarbeitung bestimmen; im Umkehrschluss können Beteiligte also allenfalls Auftragsverarbeiter sein, wenn sie keinen eigenständigen Einfluss auf Zwecke oder Mittel der Datenverarbeitung haben. Zwar müssen auch Auftragsverarbeiter einen gewissen Entscheidungsspielraum hinsichtlich der Mittel der Datenverarbeitung haben, weil sie anderenfalls keine Garantien für „geeignete technische und organisatorische Maßnahmen“ für eine an der DSGVO ausgerichteten Datenverarbeitung abgeben könnten, wie Art. 28 Abs. 1 DSGVO es verlangt. Weitergehende eigene Entscheidungsbefugnisse in Bezug auf Zwecke und Mittel können sie aber nicht haben.766

Aus der Zusammenschau der Regelungen des Art. 28 DSGVO folgt also, dass der Verantwortliche die Gesamtkontrolle über das „ob“ und „wie“ der Auftragsverarbeitung haben muss.767 Da der Verantwortliche wiederum nicht zwingend die Daten selbst technisch verarbeiten muss, sondern ein gewisses Maß an Einflussnahme genügt, deutet der Regelungszusammenhang mit dem Auftragsverarbeitenden darauf hin, dass ein faktischer Einfluss auf Zwecke und Mittel der Datenverarbeitung erforderlich ist, um datenschutzrechtliche Verantwortlichkeit zu konstituieren.

766

Sydow–Ingold, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 26 Rn. 4; unter Hinweis auf verbleibende Spielräume der Eigenverantwortlichkeit Gola–Klug, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 28 Rn. 5. 767 So auch Sydow–Ingold, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 8 Rn. 146.

III. Welcher Blockchain-Akteur ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO?

185

Auch die Regelung des Art. 4 Nr. 16 lit. a) DSGVO streitet dafür, dass es für die Art der Kontrolle nicht auf die formale organisatorische Kontrolle ankommen kann, sondern eine faktische Kontrolle erforderlich, aber auch ausreichend ist. Denn zur Frage der Hauptniederlassung ist dort sinngemäß geregelt, dass es bei Bestehen mehrerer Niederlassungen in der EU nicht unbedingt darauf ankommt, wo der Ort der Hauptverwaltung liegt, sondern von wo aus die Entscheidungen über Zwecke und Mittel der Datenverarbeitung getroffen werden und ob die Niederlassung befugt ist, „diese Entscheidungen umsetzen zu lassen“. Das zeigt, dass die Entscheidungsmacht des Verantwortlichen sich aus rechtlichen und/oder faktischen Umständen ergeben kann.768 Demgegenüber spielt gem. Art. 4 Nr. 16 lit. b) DSGVO für die Verortung der Hauptniederlassung des Auftragsverarbeiters im Zweifel eher der Ort der Verarbeitungstätigkeit eine Rolle.

Zum Verständnis der Voraussetzungen für die Entstehung datenschutzrechtlicher Verantwortlichkeit lässt sich in systematischer Hinsicht auch die Rechtsfigur der gemeinsamen Verantwortlichkeit gem. Art. 26 DSGVO heranziehen. Eine gemeinsame Verantwortlichkeit ist nach dieser Regelung in Fällen anzunehmen, in denen mehrere datenschutzrechtlich Verantwortliche „gemeinsam“ die Zwecke und Mittel der Verarbeitung festlegen.

Die DSGVO schließt nicht aus, dass eine oder mehrere der gemeinsam verantwortlichen Stellen sich eines Auftragsverarbeiters bedienen dürfen. Das zeigt,

768 Vgl. Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 361; Sydow–Ingold, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 26 Rn. 4; Artikel-29-Datenschutzgruppe, Stellungnahme 1/2010, S. 12.

186

D. Vereinbarkeit mit dem Datenschutzrecht

dass die Mitwirkung bei einzelnen Datenverarbeitungen weniger entscheidend ist als eine Veranlassung oder bestimmende Mitgestaltung des Datenverarbeitungsvorganges.769

Angesichts der mannigfaltigen Kooperationsmöglichkeiten in modernen wirtschaftlichen Strukturen sind freilich verschiedenste Möglichkeiten gemeinsamer Kontrolle und Einflussnahme denkbar.770 Mangels näherer Konkretisierung müssen damit begrifflich sämtliche Arten des Zusammenwirkens umfasst sein, bei denen die Beiträge der Beteiligten die Schwelle zu einer „entscheidenden“ Mitgestaltung von Zwecken und Mitteln des Datenverarbeitungsprozesses überschreiten.771

Anders als die Auftragsverarbeitung, die von einem Über-Unterordnungsverhältnis geprägt ist, setzt die gemeinsame Verantwortlichkeit allerdings eine gewisse Gleichordnung voraus, denn sie verpflichtet die gemeinsam Verantwortlichen gem. Art. 26 Abs. 1 S. 1 DSGVO zum Abschluss einer transparenten Vereinbarung über die Aufteilung der datenschutzrechtlichen Verpflichtungen; in einem Auftragsverhältnis wäre der Auftragsverarbeiter demgegenüber weisungsgebunden und es bedürfte keiner Vereinbarung.772

769

Vgl. Sydow–Ingold, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 26 Rn. 4. Kühling/Buchner–J. Hartung, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 12; entsprechende Beispiele finden sich bei Artikel-29-Datenschutzgruppe, Stellungnahme 1/2010, S. 23 ff. 771 Ähnlich Sydow–Ingold, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 26 Rn. 4, der dies als das Erreichen der „Relevanzschwelle“ einer gewissen „Entscheidungshöhe“ umschreibt; vgl. auch Kühling/Buchner–J. Hartung, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 26 Rn. 13. 772 In diese Richtung auch Wybitul–Pötters/Böhm, Handbuch EU-Datenschutz-Grundverordnung, 2017, Art. 4 Rn. 30; zur vertraglichen Vereinbarung der Steuerungsmacht zwischen gemeinsam Verantwortlichen auch Wolff/Brink–Spoerr, Beck'scher Online-Kommentar Datenschutzrecht, 31. Edition, 2020 [Stand: 01.02.2020], Art. 26 Rn. 20. 770

III. Welcher Blockchain-Akteur ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO?

cc)

187

Historische Auslegung

Die Formulierung der Definition des Verantwortlichen wurde im Gesetzgebungsverfahren seit der ersten Entwurfsfassung der Kommission aus dem Jahr 2012773 nicht grundlegend verändert.774 Die Kommission hatte sich hinsichtlich der Begriffsdefinitionen im Wesentlichen die Bestimmungen der DSRL zum Vorbild genommen.775 So verwundert es nicht, dass die Definition des „Verantwortlichen“

gem.

Art. 4 Nr. 7 DSGVO

nahezu

der

Regelung

gem.

Art. 2 lit. d) DSRL entspricht.776

Allerdings beinhaltete der Wortlaut der Definition des Verantwortlichen in der ersten Entwurfsfassung der Kommission abweichend von Art. 2 lit. d) DSRL noch die Entscheidung über „Zwecke, Bedingungen und Mittel“.777 Der Verweis auf Bedingungen wurde erst im Verlauf der Beratungen in der ersten Lesung im EU-Parlament gekürzt.778 Der Grund dafür ist vermutlich darin zu sehen, dass in den Ausschüssen angesichts von neuen Technologien und Diensten wie Cloud Computing, bei denen auch ein Auftragsverarbeiter erheblichen Einfluss

773

Europäische Kommission, Verordnungsvorschlag v. 25.01.2012. Sydow–Raschauer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 117. 775 S. hierzu die Vorschlagserläuterungen bei Europäische Kommission, Verordnungsvorschlag v. 25.01.2012, S. 8. 776 Abgesehen von der konkreten Bezeichnung, die in der DSRL noch der „für die Verarbeitung Verantwortliche“ lautete, s. Sydow–Raschauer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 115. 777 Europäische Kommission, Verordnungsvorschlag v. 25.01.2012, S. 48. 778 Vgl. Europäisches Parlament, Standpunkt v. 12.03.2014, S. 103. 774

188

D. Vereinbarkeit mit dem Datenschutzrecht

auf die Art der Datenverarbeitung habe, befürchtet wurde, die Bestimmung des Verantwortlichen werde sich als zu kompliziert erweisen. 779

So verblieb es in der finalen konsolidierten Fassung der DSGVO vom 27.04.2016 weitgehend bei der Definition des Verantwortlichen aus der DSRL, die ihrerseits nur die Zwecke und Mittel der Datenverarbeitung als relevant für die Bestimmung des „für die Verarbeitung Verantwortlichen“ ansah.780 Daraus lässt sich jedenfalls ablesen, dass der Unionsgesetzgeber keine begriffliche Ausweitung der datenschutzrechtlichen Verantwortlichkeit beabsichtigt hat.781

Vor diesem Hintergrund spricht viel dafür, dass der Gesetzgeber auch die Herangehensweise zur Feststellung der datenschutzrechtlichen Verantwortlichkeit aus der DSRL übernehmen wollte.782 Schon während der Geltung der DSRL war die einfache und zweifelsfreie Bestimmbarkeit des Verantwortlichen im Falle einer unrechtmäßigen Datenverarbeitung ein Leitgedanke beim Verständnis

779

Der Ausschuss für Binnenmarkt und Verbraucherschutz hatte daher sogar vorgeschlagen, nur noch auf den Zweck der Datenverarbeitung abzustellen, weil dies die wichtigste Entscheidung darstelle und andere Faktoren nur Mittel zur Erreichung dieses Zweckes seien, s. Ausschuss für bürgerliche Freiheiten, Justiz und Inneres, Bericht v. 21.11.2013, S. 514; auch der Vorschlag des Ausschusses für Industrie, Forschung und Energie berücksichtigte nur die Zwecksetzung als Faktor für die Bestimmung des Verantwortlichen, vgl. Ausschuss für bürgerliche Freiheiten, Justiz und Inneres, Bericht v. 21.11.2013, S. 315. 780 Vgl. Kühling/Buchner–J. Hartung, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 2. 781 Vgl. Feiler/Forgó–Feiler/Forgó, EU-DSGVO, 2017, Art. 4 Rn. 11; in diese Richtung wohl auch Sydow–Raschauer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 117, der in der Streichung lediglich eine sprachliche Anpassung bzw. Kürzung der Begriffsdefinition sieht. 782 I.E. wohl auch Sydow–Raschauer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 115 („übernimmt dessen funktionellen Ansatz“) sowie beispielsweise Wybitul–Tinnefeld/Hanßen, Handbuch EU-Datenschutz-Grundverordnung, 2017, Art. 26 Rn. 8 und Kühling/Buchner–J. Hartung, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 7 8 ff., die bei ihren Erwägungen auf die Ausführungen der Artikel-29-Datenschutzgruppe zur Verantwortlichkeit in der DSRL zurückgreifen.

III. Welcher Blockchain-Akteur ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO?

189

der datenschutzrechtlichen Verantwortlichkeit.783 Die datenschutzrechtliche Verantwortlichkeit wurde bei der DSRL nicht als formales, sondern als funktionales Konzept verstanden, bei dem die Zuweisung einer Verantwortlichenstellung möglichst einfach und zweifelsfrei möglich sein und anhand von rechtlichen und faktischen Umständen erfolgen sollte.784

Die Entstehungsgeschichte der DSGVO zeigt das gesetzgeberische Anliegen, die datenschutzrechtliche Verantwortlichkeit selbst angesichts neuer Technologien und wachsenden technischen Einflusses des Auftragsverarbeiters klar abgrenzbar vom Aspekt der technischen Verarbeitung zu halten. An diesem Grundgedanken hat sich im Vergleich zur DSRL also nichts geändert.

dd)

Teleologische Auslegung

Ausgangspunkt einer nach dem Sinn und Zweck ausgerichteten Auslegung sind die Erwägungen des historischen Gesetzgebers, für die wiederum insbesondere die Begründungserwägungen heranzuziehen sind.785 Insoweit zeigt sich, dass die DSGVO zum Schutze der Betroffenen ein weites Verständnis des Verantwortlichen-Begriffes mit einer klaren Zuteilung von Verantwortlichkeiten fordert:

783

Artikel-29-Datenschutzgruppe, Stellungnahme 1/2010, S. 12. Artikel-29-Datenschutzgruppe, Stellungnahme 1/2010, S. 12. 785 Riesenhuber (Hrsg.), Europäische Methodenlehre, 3. Aufl., 2015, S. 215. 784

190

D. Vereinbarkeit mit dem Datenschutzrecht

Die DSGVO zielt ausweislich Erw.Gr. 2786 auf einen Schutz der Grundrechte und Grundfreiheiten und insbesondere das Recht auf den Schutz personenbezogener Daten von natürlichen Personen ab. Dies könnte ein weitreichendes Verständnis der Verantwortlichkeit nahelegen, um möglichst viele Datenverarbeiter den Regelungen der DSGVO zu unterwerfen und damit den betroffenen Personen möglichst viele Anspruchsgegner zur Verfügung zu stellen.

Anknüpfend an die gesetzgeberische Zielsetzung eines wirksamen und umfassenden Schutzes von Betroffenen hat der EuGH – seinerzeit noch im Zusammenhang mit der DSRL – mehrfach ausgeführt, dass eine weite Auslegung des Verantwortlichen-Begriffes geboten sei.787 Ein solches tendenziell weites Verständnis des Personenbezuges findet sich auch in den gesetzgeberischen Zielsetzungen der DSGVO wieder. So zeigt Erw.Gr. 10 S. 1, dass nach dem Willen des EU-Gesetzgebers ein „gleichmäßiges und hohes Datenschutzniveau für natürliche Personen zu gewährleisten“ sei.

Einwenden ließe sich gegen das weite Begriffsverständnis des EuGH freilich, dass ausweislich Erw.Gr. 79 für die Konzeption der Verantwortlichkeit in der DSGVO besonders wichtig ist, dass es sowohl aus Gründen des Schutzes der Rechte der betroffenen Personen als auch der datenschutzrechtlichen Verantwortung und Haftung „einer klaren Zuteilung der Verantwortlichkeiten“ durch die DSGVO bedürfe, sodass auch eine effektive Überwachung und wirksame

786

Zu der Rolle von Begründungserwägungen bei der Ermittlung des gesetzgeberischen Willens Riesenhuber (Hrsg.), Europäische Methodenlehre, 3. Aufl., 2015, S. 214. 787 Jüngst EuGH, Urt. v. 29.07.2019 – Rs. C-40/17, ECLI:EU:C:2019:629, Tz. 65 f. – Fashion ID; s. auch EuGH, Urt. v. 13.05.2014 – C-131/12, ECLI:EU:C:2014:317, NJW 2014, 2259 – Google Spain, Tz. 34; Urt. v. 05.06.2018 – Rs. C-210/16, ECLI:EU:C:2018:388, Tz. 28 – Facebook-Fanpages; Urt. v. 10.07.2018 – C-25/17, ECLI:EU:C:2018:551, BeckRS 2018, 14563, Tz. 66 – Zeugen Jehovas.

III. Welcher Blockchain-Akteur ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO?

191

Maßnahmen durch die Aufsichtsbehörden stattfinden könnten.788 Die Forderung nach einer klaren Zuteilung von Verantwortlichkeiten in Erw.Gr. 79 könnte damit gegen eine allzu weite Ausdehnung des Verantwortlichen-Begriffes und für ein zusätzliches Kriterium der Herrschaft über den Datenverarbeitungsprozess im Ganzen sprechen.

Mittelbar ließe sich eine solche Zwecksetzung besonders an Erw.Gr. 36 festmachen. Der Erwägungsgrund verhält sich nicht direkt zur Bestimmung des Verantwortlichen, sondern zu der Frage, welche von mehreren Niederlassungen des Verantwortlichen in der EU als „Hauptniederlassung“ angesehen werden soll.789 Auch wenn das Bestehen einer Hauptverwaltung begrifflich bereits das Bestehen eines über „Zwecke und Mittel“ Verantwortlichen voraussetzt, lässt sich in der Begründungserwägung doch mittelbar ablesen, wie im Regelungssystem der DSGVO die Entscheidung über „Zwecke und Mittel“ verstanden werden könnte. Maßgeblich soll es dabei laut Satz 1 des Erw.Gr. 36 vor allem darauf ankommen, bei welcher Niederlassung „die Entscheidungen hinsichtlich der Zwecke und Mittel“ der Datenverarbeitung getroffen werden und gibt dafür bestimmte objektive Kriterien vor. Laut Satz 2 des Erw.Gr. 36 sind nach diesem Verständnis für die Bestimmung der Hauptniederlassung des Verantwortlichen objektive Kriterien maßgeblich; berücksichtigungsfähiges Kriterium ist

788

Vgl. hierzu auch Kühling/Buchner–J. Hartung, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 26 Rn. 10 sowie Sydow–Ingold, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 26 Rn. 1; Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 368; D. Heckmann, Kapitel 9: Datenschutz, in: Heckmann (Hrsg.), jurisPK-Internetrecht, 6. Aufl., 2019 [Stand: 20.03.2020], Rn. 211 ff.; Wolff/Brink–Spoerr, Beck'scher Online-Kommentar Datenschutzrecht, 31. Edition, 2020 [Stand: 01.02.2020], Art. 26 Rn. 2; Schwartmann/Jaspers/Thüsing/Kugelmann– Kremer, DSGVO/BDSG, 2018, Art. 26 Rn. 2 und Pesch/Sillaber, CRi, 2017, 166, 170. 789 Näher hierzu Kühling/Buchner–Boehm, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 16 Rn. 6.

192

D. Vereinbarkeit mit dem Datenschutzrecht

vor allem die „effektive und tatsächliche Ausübung von Managementtätigkeiten […], in deren Rahmen die Grundsatzentscheidungen zur Festlegung der Zwecke und Mittel der Verarbeitung getroffen werden“.

Dem ist aber entgegenzuhalten, dass der EU-Gesetzgeber ausweislich Erw.Gr. 11 neben der Stärkung der Betroffenenrechte mit der DSGVO insbesondere auch „eine Verschärfung der Verpflichtungen für diejenigen, die personenbezogene Daten verarbeiten und darüber entscheiden“ verwirklichen wollte. Dieses gesetzgeberische Anliegen stützt eine einschränkende Auslegung des Verantwortlichen-Begriffes zumindest nicht. Auch der mit der teleologischen Auslegung verwandte europarechtliche Effektivitätsgrundsatz (effet utile)790 lässt ein weites Verständnis der Verantwortlichkeit naheliegender erscheinen. Eine solche Lesart widerspräche auch nicht dem gesetzgeberischen Ziel einer klaren Zuteilung der Verantwortlichkeiten. Versteht man es dahingehend, dass für jede Datenverarbeitung ein Verantwortlicher existieren muss791 und es Sache der in Frage kommenden Verantwortlichen ist, mit ihrer Zuteilung eine effektive Überwachung und wirksame Maßnahmen durch die Aufsichtsbehörden zu ermöglichen, ist es mit einem weiten Verantwortlichen-Begriff durchaus vereinbar.792

790

Zur Auslegung nach dem Grundsatz größtmöglicher Effektivität im Rahmen der teleologischen Auslegung Riesenhuber (Hrsg.), Europäische Methodenlehre, 3. Aufl., 2015, S. 217 sowie Hofmann/Johannes, ZD, 2017, 221 m.w.N. 791 So ausdrücklich Sydow–Raschauer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 121 unter Hinweis auf Art. 28 Abs. 10 DSGVO als Ausdruck dieses Prinzips; in diese Richtung auch Böhme/Pesch, DuD, 2017, 473, 479 m.w.N. 792 In diese Richtung bereits Artikel-29-Datenschutzgruppe, Stellungnahme 1/2010, S. 27.

III. Welcher Blockchain-Akteur ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO?

193

Zusammenfassend lässt sich damit festhalten, dass das vom Gesetzgeber vorgegebene Ziel eines möglichst umfassenden Datenschutzniveaus durch die Argumentation des EuGH zu Gunsten eines weiten Personenbezugsverständnis nachgezeichnet wird. Insoweit zeigt sich, dass die Erwägungen des EuGH auch für die DSGVO von hoher Relevanz sind.

ee)

Schlussfolgerungen hinsichtlich der für eine datenschutzrechtliche

Verantwortlichkeit erforderlichen „Entscheidungshöhe“793 Für die Frage, wie die Entscheidungsgewalt des Verantwortlichen über Zweck und Mittel ausgestaltet sein muss, lassen sich ausgehend aus den vorigen Überlegungen zumindest folgende Thesen aufstellen:

1.) Das System der DSGVO geht stets von der Existenz eines datenschutzrechtlich Verantwortlichen aus. Der Verantwortliche spielt im System der DSGVO eine zentrale Rolle, denn diese setzt stets die Existenz eines datenschutzrechtlich Verantwortlichen voraus.794 Die Regelungssystematik kennt keine unverantworteten Tätigkeiten795 und richtet nahezu sämtliche Schutzinstrumente an den Verantwortlichen.

793

Begriff bei Sydow–Ingold, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 26 Rn. 4. 794 Vgl. Erw.Gr. 79; Wolff/Brink–Schild, Beck'scher Online-Kommentar Datenschutzrecht, 31. Edition, 2020 [Stand: 01.02.2020], Art. 4 Rn. 93a; Böhme/Pesch, DuD, 2017, 473, 479; Isler, Datenschutz auf der Blockchain, 12 f.; Bechtolf/Vogt, ZD, 2018, 66, 69. 795 Sydow–Raschauer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 121.

194

D. Vereinbarkeit mit dem Datenschutzrecht

Dies heißt freilich nicht, dass eine Verantwortlichkeit stets die volle Kontrolle über die gesamte Datenverarbeitung umfassen muss. Das Unvermögen, einzelnen Betroffenenansprüchen oder datenschutzrechtlichen Pflichten selbst nachzukommen, etwa aufgrund des Fehlens technischer Korrekturmöglichkeiten, steht einer Verantwortlichkeit aber nicht im Weg; vielmehr hat der Verantwortliche in diesem Fall dafür zu sorgen, dass er seine Verpflichtungen anderweitig über Dritte erfüllen kann.796

Für die Bestimmung des Verantwortlichen kommt es damit auf die Frage an, warum eine spezifische Datenverarbeitung durchgeführt wird bzw. wer sie veranlasst hat.797 Der Verantwortliche muss gleichsam „Herr der Daten“ sein.798

796

Artikel-29-Datenschutzgruppe, Stellungnahme 1/2010, S. 27; vgl. auch Sydow–Raschauer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 125; Gola–Gola, DatenschutzGrundverordnung, 2. Aufl., 2018, Art. 4 Rn. 51; Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 369. 797 Vgl. Kühling/Buchner–J. Hartung, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 28 Rn. 28; Schwartmann/Jaspers/Thüsing/Kugelmann–Schwartmann/Mühlenbeck, DSGVO/BDSG, 2018, Art. 4 Nr. 7 Rn. 121; Moos/Rothkegel, MMR, 2018, 596; Artikel-29-Datenschutzgruppe, Stellungnahme 1/2010, S. 11. 798 Paal/Pauly–Martini, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 26 Rn. 19; Auernhammer–Thomale, DSGVO/BDSG, 6. Aufl., 2018, Art. 28 Rn. 4; so bereits für das BDSG a.F.: Härting, Datenschutz-Grundverordnung, 2016, S. 571.

III. Welcher Blockchain-Akteur ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO?

195

2.) Der Verantwortliche muss tatsächlichen Einfluss auf Zwecke und Mittel eines Datenverarbeitungsvorganges haben. Bei der Zuweisung der Verantwortlichkeit muss maßgeblich sein, wer über die tatsächliche Entscheidungsgewalt hinsichtlich der Verarbeitung von Personendaten verfügt, sodass letztlich im Einzelfall zu prüfen ist, welche Stelle tatsächlich über Zwecke und Mittel entscheidet.799

Obgleich die Abgrenzung im Einzelfall schwierig sein kann, muss die Verantwortlichkeit klar und transparent zuordenbar sein.800 Die Konzeption der datenschutzrechtlichen Verantwortlichkeit ist darauf ausgelegt, dass Überwachungs- und sonstige Maßnahmen von Aufsichtsbehörden Betroffenenrechte wirksam schützen. Wie schon bei der DSRL hat der Unionsgesetzgeber beabsichtigt, die datenschutzrechtliche Verantwortlichkeit möglichst klar und eindeutig bestimmbar zu machen und von der Auftragsverarbeitung deutlich zu trennen. Daher kommt es nicht auf formale, sondern objektive Kriterien an, anhand derer der faktische Einfluss einer Stelle zu bewerten ist.801

799 Albrecht/Jotzo, Das neue Datenschutzrecht in der EU, 1. Aufl., 2017, S. 61 unter Verweis auf die Art.-29-Datenschutzgruppe; so auch schon für die inhaltlich gleiche Regelung des Art. 2 lit. d) 1. Halbsatz DSRL: Artikel-29-Datenschutzgruppe, Stellungnahme 1/2010, S. 11; Sydow–Raschauer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 114; s. auch Paal/Pauly–Martini, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 26 Rn. 19 sowie Martini/Weinzierl, NVwZ, 2017, 1251, 1253. 800 Albrecht/Jotzo, Das neue Datenschutzrecht in der EU, 1. Aufl., 2017, S. 61; Ehmann/Selmayr– Klabunde, DS-GVO, 1. Aufl., 2017, Art. 4 Rn. 25; Sydow–Raschauer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 135 f.; so bereits für die DSRL Artikel-29-Datenschutzgruppe, Stellungnahme 1/2010, S. 22. 801 Paal/Pauly–Martini, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 26 Rn. 20; Kühling/Buchner–J. Hartung, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 13.

196

D. Vereinbarkeit mit dem Datenschutzrecht

Der Verantwortliche muss– ggf. gemeinsam mit anderen Verantwortlichen als „joint controller“ – die alleinige Entscheidung über eine Datenverarbeitung treffen. Er muss über die Vorgänge der Datenverarbeitung „an sich“ entscheiden können.802 Hat eine Stelle aber weder rechtlich noch tatsächlich Einfluss auf die Entscheidung, wie personenbezogene Daten verarbeitet werden, kann sie jedenfalls nicht datenschutzrechtlich verantwortlich sein.803

3.) Entscheidet eine Stelle nicht allein über Zwecke und Mittel, bedarf es für eine (gemeinsame) Verantwortlichkeit einer Zusammenarbeit und Einflussmöglichkeit auf die Zwecke und/oder die Mittel. Zwar zeigt die Rechtsfigur der gemeinsamen Verantwortlichkeit, dass eine Entscheidungsgewalt über Zwecke und Mittel einer Verarbeitung von Personendaten nicht zwingend von einem einzelnen Verantwortlichen ausgehen muss. Andererseits setzt eine Zuweisung der datenschutzrechtlichen (gemeinsamen) Verantwortlichkeit auch in einem solchen Fall eine (Mit-)Entscheidungsgewalt über Zwecke und Mittel – also das „ob“ und „wie“ – eines Datenverarbeitungsprozesses voraus.804

802

Plath–Schreiber, DSGVO/BDSG, 3. Aufl., 2018, Art. 4 Rn. 28; Sydow–Raschauer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 123. 803 Auernhammer–Eßer, DSGVO/BDSG, 6. Aufl., 2018, Art. 4 Rn. 79; Schwartmann/Jaspers/Thüsing/Kugelmann–Kremer, DSGVO/BDSG, 2018, Art. 26 Rn. 17; Ehmann/Selmayr–Bertermann, DSGVO, 2. Aufl., 2018, Art. 26 Rn. 6; Moos/Rothkegel, MMR, 2018, 596; vgl. für die DSRL auch jüngst EuGH, Urt. v. 29.07.2019 – Rs. C-40/17, ECLI:EU:C:2019:629, Tz. 74 – Fashion ID sowie Artikel-29Datenschutzgruppe, Stellungnahme 1/2010, S. 39. 804 Wybitul–Tinnefeld/Hanßen, Handbuch EU-Datenschutz-Grundverordnung, 2017, Art. 26 Rn. 9; vgl. auch Paal/Pauly–Martini, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 26 Rn. 19; Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 371.

III. Welcher Blockchain-Akteur ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO?

197

Risiken für betroffene Personen entstehen allerdings nicht nur bei gleichwertigen Beiträgen mehrerer datenverarbeitender Stellen, sondern können in Gestalt ganz verschiedener Arten von Kooperationen mit unterschiedlichen Intensitätsgraden auftreten, wie etwa in Konstellationen von Lieferketten, Outsourcing oder wechselseitigen Dienstleistungen unterschiedlicher Unternehmen.805 In bestimmten Fällen der gemeinsamen Verantwortlichkeit kann daher bereits eine gemeinsame Kontrolle jeweils über Zwecke oder Mittel – zumindest, wenn es sich bei letzteren nicht nur um ganz unbedeutende organisatorische und technisch-methodische Aspekte handelt806 – ausreichen.807

Dabei kommt es auf eine Gesamtbetrachtung an: betrachtet man einzelne Datenverarbeitungsprozesse getrennt voneinander auf der Mikroebene, können diese durchaus als selbständige Verarbeitungen erscheinen, während diese jedoch auf der Makroebene aus Sicht der betroffenen Person als zusammenhängender Verarbeitungsprozess mehrerer gemeinsam Verantwortlicher erscheinen.808 Eine relevante Mitgestaltungsmöglichkeit eines (gemeinsam) Verant-

805

Artikel-29-Datenschutzgruppe, Stellungnahme 1/2010, S. 8 mit weiteren Beispielen. Eine relevante „Entscheidungshöhe“ über die Mittel der Datenverarbeitung beginnt erst ab jenem Punkt, ab dem über grundlegende Fragen wie Auswahl, Zugangsrechte oder Speicherdauer entschieden wird, vgl. Feiler/Forgó–Feiler/Forgó, EU-DSGVO, 2017, Art. 4 Rn. 12 sowie Artikel-29Datenschutzgruppe, Stellungnahme 1/2010, S. 17; s. auch Voigt/von dem Bussche, EU-Datenschutz-Grundverordnung (DSGVO), 1. Aufl., 2018, S. 23; Ehmann/Selmayr–Bertermann, DS-GVO, 2. Aufl., 2018, Art. 26 Rn. 6; Wagner, ZD, 2018, 307, 309 f. 807 Ähnl. Kühling/Buchner–J. Hartung, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 13; Auernhammer–Thomale, DSGVO/BDSG, 6. Aufl., 2018, Art. 26 Rn. 8; so auch bereits Artikel-29-Datenschutzgruppe, Stellungnahme 1/2010, S. 23; a.A. Gola–Gola, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 4 Rn. 51 sowie Paal/Pauly–Martini, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 26 Rn. 21 und Sydow–Ingold, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 26 Rn. 4; diese verlangen eine Kontrolle jedes Verantwortlichen über Zwecke und Mittel. 808 Ehmann/Selmayr–Bertermann, DS-GVO, 2. Aufl., 2018, Art. 26 Rn. 8; Artikel-29-Datenschutzgruppe, Stellungnahme 1/2010, S. 25. 806

198

D. Vereinbarkeit mit dem Datenschutzrecht

wortlichen ist aber jedenfalls erst dann anzunehmen, wenn die Datenverarbeitung ohne die bestimmende Einwirkung der jeweiligen Stelle möglicherweise anders gestaltet worden wäre.809 Nicht ausreichend ist dafür eine bloß faktische Zusammenarbeit bei der Verarbeitung von Personendaten ohne jegliche Form einer beiderseitigen Entscheidung über Zwecke oder Mittel der Datenverarbeitung.810

4.) Für eine (Mit-)Verantwortlichkeit genügt der mittelbare Einfluss auf einen Datenverarbeitungsvorgang. Das Konzept der datenschutzrechtlichen Verantwortlichkeit ist vom EU-Gesetzgeber mit dem Anliegen eines möglichst umfassenden Schutzes betroffener Personen geschaffen worden und ist vor diesem Hintergrund weit zu verstehen. Der EuGH hat den Begriff der Verantwortlichkeit unter Rückgriff auf die gesetzgeberische Zielsetzung in jüngerer Zeit im Zusammenhang mit der DSRL weiter konturiert. Da die Konzeption der DSRL in der DSGVO weitgehend über-

809

Vgl. Sydow–Ingold, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 26 Rn. 4; ähnl. Wolff/Brink–Spoerr, Beck'scher Online-Kommentar Datenschutzrecht, 31. Edition, 2020 [Stand: 01.02.2020], Art. 26 Rn. 16 („tatsächlich maßgebend“) sowie Wagner, ZD, 2018, 307, 309 („Entscheidungen des Nutzers conditio sine qua non für die spätere Verarbeitung der Daten“) und Schwartmann/Jaspers/Thüsing/Kugelmann–Kremer, DSGVO/BDSG, 2018, Art. 26 Rn. 19 („steuernden Einfluss“); ähnl. noch zur DSRL auch EuGH, Urt. v. 29.07.2019 – Rs. C-40/17, ECLI:EU:C:2019:629, Tz. 78 – Fashion ID. 810 Schwartmann/Jaspers/Thüsing/Kugelmann–Kremer, DSGVO/BDSG, 2018, Art. 26 15 f.; i.E. auch Wybitul–Tinnefeld/Hanßen, Handbuch EU-Datenschutz-Grundverordnung, 2017, Art. 26 Rn. 8; so für die DSRL bereits Artikel-29-Datenschutzgruppe, Stellungnahme 1/2010, S. 22.

III. Welcher Blockchain-Akteur ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO?

199

nommen wurde (s.o.), lassen sich dessen Erwägungen zur datenschutzrechtlichen Verantwortlichkeit für die DSGVO heranziehen811 und können bei einer Auslegung des Verantwortlichen-Begriffes nicht ignoriert werden.

Für die Frage der datenschutzrechtlichen Verantwortlichkeit stellt der EuGH maßgeblich darauf ab, ob von einer Stelle durch ihre Tätigkeit eine im Vergleich zu anderen Stellen zusätzliche, erhebliche Beeinträchtigung für die Grundrechte auf Achtung des Privatlebens (Art. 7 GRCh) und Schutz personenbezogener Daten (Art. 8 GRCh) ausgehen kann.812 Vor diesem Hintergrund stellte der EuGH in seiner Entscheidung Google Spain klar, dass eine datenschutzrechtliche Verantwortlichkeit nicht voraussetze, personenbezogene Daten inhaltlich zu verantworten, sondern eine „rein technische“ Verarbeitung ausreiche, wie sie etwa bei einer Zurverfügungstellung von Internetinhalten durch einen Suchmaschinenbetreiber geschieht.813

In seiner Zeugen Jehovas-Entscheidung wies der EuGH zudem darauf hin, dass es keine Regelung gebe, die für eine (Mit-)Verantwortlichkeit bei einem Zusammenwirken mehrerer Stellen bei einem Datenverarbeitungsvorgang eine „förmliche“ Entscheidung über Zwecke und Mittel verlange.814 Zur Erreichung

811

Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 361 f.; Paal/Pauly–Martini, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 26 Rn. 19; Plath–Plath, DSGVO/BDSG, 3. Aufl., 2018, Art. 26 Rn. 7; vgl. auch Wolff/Brink–Spoerr, Beck'scher Online-Kommentar Datenschutzrecht, 31. Edition, 2020 [Stand: 01.02.2020], Art. 26 Rn. 15. 812 EuGH, Urt. v. 13.05.2014 – C-131/12, ECLI:EU:C:2014:317, NJW 2014, 2259 – Google Spain, Tz. 38; Petri, ZD, 2015, 103. 813 EuGH, Urt. v. 13.05.2014 – C-131/12, ECLI:EU:C:2014:317, NJW 2014, Tz. 34 – Google Spain; vgl. insoweit auch Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 361. 814 EuGH, Urt. v. 10.07.2018 – C-25/17, ECLI:EU:C:2018:551, BeckRS 2018, 14563, Tz. 67 – Zeugen Jehovas.

200

D. Vereinbarkeit mit dem Datenschutzrecht

eines größtmöglichen Schutzes von betroffenen Personen müsse für eine relevante Mitwirkung an einer Entscheidung über Zwecke und Mittel einer Datenverarbeitung vielmehr bereits ausreichen, aus Eigeninteresse auf die Verarbeitung von Personendaten Einfluss zu nehmen, um datenschutzrechtlich (Mit)Verantwortlicher zu sein.815

Für eine solche Einflussnahme hat der EuGH bereits Konstellationen genügen lassen, in denen eine Stelle bloß mittelbarer Verursacher – untechnisch gesprochen: „Zweckveranlasser“816 – einer Datenverarbeitung gewesen ist. So sah der EuGH die Religionsgemeinschaft der Zeugen Jehovas als datenschutzrechtlich mitverantwortlich an für die von ihren Mitgliedern im Rahmen der Verkündungstätigkeit von Tür zu Tür gemachten Notizen, weil die Gemeinschaft diese Tätigkeit im Interesse ihres eigenen übergeordneten Ziels der Glaubensverbreitung817 organisiere, koordiniere und zu ihr ermutige,818 ohne aber selbst zur Erhebung von Daten aufzufordern oder konkrete Kenntnis von solchen Daten zu haben.819

Auch die Einrichtung einer Facebook-Fanpage reichte aus Sicht des EuGH, um den Fanpage-Betreiber als Mitverantwortlichen einzustufen. Er trage nämlich zur Datenverarbeitung bei, indem er dem sozialen Netzwerk die Möglichkeit

815

EuGH, Urt. v. 10.07.2018 – C-25/17, ECLI:EU:C:2018:551, BeckRS 2018, 14563, Tz. 69 – Zeugen Jehovas; ähnl. bereits Petri, ZD, 2015, 103, 104; bestätigend auch EuGH, Urt. v. 29.07.2019 – Rs. C40/17, ECLI:EU:C:2019:629, Tz. 68 – Fashion ID. 816 Sönke E. Schulz, ZD, 2018, 363, 365. 817 EuGH, Urt. v. 10.07.2018 – C-25/17, ECLI:EU:C:2018:551, BeckRS 2018, 14563, Tz. 71 – Zeugen Jehovas. 818 EuGH, Urt. v. 10.07.2018 – C-25/17, ECLI:EU:C:2018:551, BeckRS 2018, 14563, Tz. 63 – Zeugen Jehovas. 819 Diese Auffassung hat der EuGH jüngst bestätigt in seiner Fashion ID-Entscheidung. S. EuGH, Urt. v. 29.07.2019 – Rs. C-40/17, ECLI:EU:C:2019:629, Tz. 68 f. – Fashion ID.

III. Welcher Blockchain-Akteur ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO?

201

eröffne, bei jedem Besucher der Fanpage Cookies zu platzieren und deren Daten auszuwerten;820 zudem beteilige er sich durch Parametrierung selbst an der Datenverarbeitung821 und habe ein eigenes Interesse an der Verarbeitung, weil er aufgrund vertraglicher Vereinbarung die Mitteilung der ausgewerteten Daten verlangen könne822. Die gesetzlichen Regelungen verlangten für eine gemeinsame Verantwortlichkeit bei einer Zusammenarbeit mehrerer Akteure nicht, dass jeder von ihnen Zugriff auf die personenbezogenen Daten habe.823

c)

Zwischenbetrachtung

Bisher wurde gezeigt, dass dem datenschutzrechtlich Verantwortlichen eine Sonderstellung in der DSGVO zukommt. Das gesamte Regelungssystem der DSGVO verlangt, dass jedem Datenverarbeitungsvorgang zumindest ein Verantwortlicher zugewiesen werden kann. Dabei kommt es darauf an, ob eine Stelle die Entscheidungen über Zwecke und Mittel der Personendatenverarbeitung trifft. Erforderlich ist ein tatsächlicher Einfluss auf das „ob“ und „wie“ eines Datenverarbeitungsprozesses.

Die DSGVO will auch moderne Datenverarbeitungsvorgänge erfassen, die mehr und mehr von arbeitsteiligen Beiträgen bestimmt sind. Sind mehrere Stellen an

820 EuGH, Urt. v. 05.06.2018 – Rs. C-210/16, ECLI:EU:C:2018:388, Tz. 35 – Facebook-Fanpages; zustimmend beispielsweise Wagner, ZD, 2018, 307, 309 f.; Petri, ZD, 2015, 103, 104; a.A. Paal/Pauly– Martini, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 26 Rn. 19, der bei der Einrichtung einer Facebook-Fanpage nur eine bloße Mitursächlichkeit für die entstehenden Datenströme sieht; krit. wohl auch Gola–Piltz, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 26 Rn. 7. 821 EuGH, Urt. v. 05.06.2018 – Rs. C-210/16, ECLI:EU:C:2018:388, Tz. 39 – Facebook-Fanpages. 822 EuGH, Urt. v. 05.06.2018 – Rs. C-210/16, ECLI:EU:C:2018:388, Tz. 36 – Facebook-Fanpages. 823 EuGH, Urt. v. 05.06.2018 – Rs. C-210/16, ECLI:EU:C:2018:388, Tz. 38 – Facebook-Fanpages; Urt. v. 10.07.2018 – C-25/17, ECLI:EU:C:2018:551, BeckRS 2018, 14563, Tz. 69 – Zeugen Jehovas; EuGH, Urt. v. 29.07.2019 – Rs. C-40/17, ECLI:EU:C:2019:629, Tz. 69– Fashion ID.

202

D. Vereinbarkeit mit dem Datenschutzrecht

einer Datenverarbeitung beteiligt, ist zu unterscheiden, ob eine Stelle datenschutzrechtlich gemeinsam Verantwortlicher ist und damit primäres Anspruchsziel für betroffene Personen bzw. Ansprechpartner für die zuständigen Datenschutzbehörden, oder ob sie Auftragsverarbeiter ist. Wie oben ausgeführt, steht ein Auftragsverarbeiter in einem hierarchischen Unterordnungsverhältnis zu einer anderen Stelle und hat keinen Einfluss auf die Entscheidung über Zwecke und Mittel der Datenverarbeitung, während ein gemeinsamer Verantwortlicher die Möglichkeit hat, über Zwecke und/oder Mittel der Datenverarbeitung mitzubestimmen und eigene Ziele zu verfolgen. Um dem gesetzgeberischen Willen eines möglichst hohen Schutzniveaus für Betroffene gerecht zu werden, muss der Begriff des Verantwortlichen weit ausgelegt werden. Die Schwelle für eine relevante Einflussmöglichkeit auf Zwecke und Mittel ist daher niedrig anzusetzen.

Kritisieren ließe sich am weiten Verantwortlichkeitsverständnis des EuGH insbesondere, dass es potentiell sehr viele datenschutzrechtlich Verantwortliche produziert und dadurch im Ergebnis eines der wesentlichen Harmonisierungsziele der DSGVO – nämlich die Erleichterung des Datenverkehrs im europäischen Binnenmarkt824 – konterkarieren könnte.825 Indes zeigen die Erwägungsgründe, dass der EU-Gesetzgeber als Hauptursache für Hemmnisse des unionsweiten Datenverkehrs insbesondere Unterschiede im Datenschutzniveau der Mitgliedstaaten angesehen hat und mit der DSGVO ein gleichmäßig hohes

824

Erw.Gr. 10 S. 1. Die Kritik in der Literatur an diesem Ansatz zusammenfassend D. Heckmann, Kapitel 9: Datenschutz, in: Heckmann (Hrsg.), jurisPK-Internetrecht, 6. Aufl., 2019 [Stand: 20.03.2020], Rn. 773 m.w.N. 825

III. Welcher Blockchain-Akteur ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO?

203

Schutzniveau für natürliche Personen herstellen wollte.826 Zudem muss sich eine an der Linie des EuGH ausgerichtete Auslegung des Verantwortlichen-Begriffes entgegenhalten lassen, dass sie im Interesse eines möglichst hohen Datenschutzniveaus die Wortlautgrenzen extrem ausreizt: obgleich die Definition des gemeinsam Verantwortlichen eine gemeinsame Festlegung der Zwecke und Mittel einer Personendatenverarbeitung verlangt, kommt es bei der weiten Auslegung des EuGH auf die Relevanz von Einflussmöglichkeiten letztlich nicht an.827

Nimmt man jedoch das gesetzgeberische Anliegen eines möglichst umfassenden Schutzes personenbezogener Daten ernst, so wird man mit der bisherigen Rechtsprechung des EuGH eine Mitverantwortlichkeit für alle Datenverarbeitungs-Konstellationen annehmen müssen, bei denen eine Stelle im Eigeninteresse auf eine Personendatenverarbeitung Einfluss nimmt, wobei die Intensitätsschwelle eines solchen Einflusses niedrig anzusetzen ist. Konsequenterweise kann zu einer Verantwortlichkeit letztlich bereits die Entscheidung führen, sich einem bestimmten Netzwerk anzuschließen und dessen Dienste in Anspruch zu nehmen, sofern das die Risiken für die Grundrechte auf Achtung des

826

Exemplarisch Erw.Gr. 9 S. 2. E. Schulz, ZD, 2018, 363, 364; ähnl. auch Marosi/Matthé, ZD, 2018, 361, 362 sowie Uecker, ZD-Aktuell, 2018, 6247 („weniger vom Wortlaut der Norm als vielmehr von deren Sinn und Zweck leiten lassen“).

827 Sönke

D. Vereinbarkeit mit dem Datenschutzrecht

204

Privatlebens und des Schutzes personenbezogener Daten in relevanter Weise erhöht.828

2.

Datenschutzrechtliche Verantwortlichkeit im Blockchain-System

Blockchain-Systeme nutzen Peer-to-Peer-Netzwerke, sodass Kopien der Blockchain dezentral verteilt auf vielen Netzwerkknotenpunkten abgelegt sind. Zahlreiche Beteiligte eines Blockchain-Systems sammeln, übermitteln oder speichern Kopien der Blockchain. Aus datenschutzrechtlicher Sicht stellen solche dezentralen Netzwerke allerdings Datenschutz-Aufsichtsbehörden wie auch betroffene Personen vor das Problem, an wen sie sich zur Verwirklichung datenschutzrechtlicher Aufsichtsmaßnahmen oder Ansprüchen nach der DSGVO zu wenden haben.829

Angesichts einer sich ständig weiterentwickelnden Technologie und dem sich daran ansiedelnden „Ökosystem“ an Diensteanbietern und Teilnehmern wirkt die Menge der potentiell Verantwortlichen nahezu unüberschaubar; gleichzeitig besteht die Notwendigkeit einer Einordnung in die Systematik der DSGVO und einer Abgrenzung der Pflichtenkreise zu etwaigen Auftragsverarbeitern, betroffenen Personen und sonstigen Empfängern.

828 Seine Linie zu einer

tendenziell weiten Auslegung des Verantwortlichkeitsbegriffes hat der EuGH im Jahr 2019 bestätigt, dabei jedoch präzisiert, dass eine Personendatenverarbeitung aus mehreren Vorgängen bestehen kann und eine gemeinsame Verantwortlichkeit dann nur konkret für diejenigen Datenverarbeitungsvorgänge besteht, in denen die Akteure auch tatsächlich gemeinsam die Zwecke und Mittel der Datenverarbeitung bestimmen, s. EuGH, Urt. v. 29.07.2019 – Rs. C40/17, ECLI:EU:C:2019:629, Tz. 72 ff. – Fashion ID; vgl. hierzu auch Specht-Riemenschneider/Schneider, GRUR Int 2020, 1, 2 sowie Golland, K&R 2019, 533, 534. 829 So auch bspw. Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1033; Quiel, DuD, 2018, 566, 569; Pesch/Sillaber, CRi, 2017, 166, 170.

III. Welcher Blockchain-Akteur ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO?

205

Das Spektrum der potentiellen Verantwortlichen reicht von den Programmierern der Blockchain-Software über die Initiatoren der Blockchain, dem einzelnen Initiator einer Transaktion, den Erstellern neuer Datenblöcke (Miner) und den Netzwerkknotenpunkten (Nodes) hin bis zu einer gemeinsamen Verantwortlichkeit mehrerer oder aller Akteure.830 Zuweilen werden auch Intermediäre als potentiell datenschutzrechtlich Verantwortliche ins Spiel gebracht.831

Da die Durchsetzung der DSGVO einerseits einen Verantwortlichen als Regelungsadressaten bedingt, dezentrale Systeme andererseits aber von SoftwareAnweisungen in Form von Konsens-Algorithmen gesteuert werden, treffen hier datenschutzrechtliche Prinzipien der Verantwortlichkeit und Rechenschaftspflicht aufeinander mit technischen Konzepten, nämlich mit der Blockchain-typischen Grundidee der „organisierten Verantwortungslosigkeit“ 832.

Um einen Überblick über die in Betracht kommenden Verantwortlichen in Blockchain-Systemen zu bekommen, erscheint es zunächst sinnvoll, danach zu unterscheiden, ob es sich um Datenverarbeitungen innerhalb des BlockchainSystems (also alle Vorgänge im Zusammenhang mit Transaktionen) oder um Datenverarbeitungen außerhalb der Blockchain (also um Prozesse, die dem eigentlichen Transaktionsvorgang vor- oder nachgelagert sind) handelt.

830

Vgl. Martini/Weinzierl, NVwZ, 2017, 1251, 1253. Erbguth/Fasching, ZD, 2017, 560, 564; Böhme/Pesch, DuD, 2017, 473, 479; i.E. auch: Hofert, ZD, 2017, 161, 165. 832 Begriff bei Martini/Weinzierl, NVwZ, 2017, 1251, 1253; ähnl. Isler, Datenschutz auf der Blockchain, S. 12. 831

D. Vereinbarkeit mit dem Datenschutzrecht

206

a) Verantwortung bei Datenverarbeitung außerhalb von Blockchain-Systemen Blockchain-Transaktionen sind die Hauptfunktion dieses Datenbankentyps und liegen im Fokus datenschutzrechtlicher Betrachtungen. Dabei sollte aber nicht außer Acht gelassen werden, dass eine Datenverarbeitung auch außerhalb des eigentlichen Blockchain-Systems stattfinden kann. Es gibt Vorgänge, die der Umsetzung von Blockchain-Transaktionen vor- bzw. nachgelagert sind.833

Weit verbreitet sind beispielsweise Angebote von Blockchain-Dienstleistern wie Tauschbörsen oder Geldbörsen-Anbieter.834 Auch kann es vorkommen, dass bestimmte Nutzer ihre kryptographischen Identitäten anderen Nutzern, die selbst keine haben, zur Verfügung stellen.835 Immer größere Bedeutung gewinnen Dienste, die sich existierende Daten aus Blockchains zu Nutze machen und diese verwerten, beispielsweise durch Aufbereitung836 oder Analyse837 dieser Daten.

833

Böhme/Pesch, DuD, 2017, 473, 479. Hierzu näher: Erbguth/Fasching, ZD, 2017, 560, 561 und Spindler/Bille, WM, 2014, 1357, 1365; eine Unterteilung von Blockchain-Dienstleistungen aus ökonomischer Perspektive findet sich bei Saive, CR, 2018, 186, 188. 835 Böhme/Pesch, DuD, 2017, 473, 479. 836 Für das Beispiel der Bitcoin-Blockchain: Böhme/Pesch, DuD, 2017, 473, 479 m.w.N. 837 Hofert, ZD, 2017, 161, 165. 834

III. Welcher Blockchain-Akteur ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO?

207

Diesen Vorgängen ist insgesamt gemein, dass sich ein Intermediär als „Gatekeeper“ zwischen das Blockchain-System und dem Nutzer selbst einschaltet.838 Intermediäre gelten als die größten Gefahrenquellen aus datenschutzrechtlicher Sicht, weil gerade sie es sind, die Nutzen aus bestehenden Blockchain-Daten ziehen, indem sie sie analysieren und aufbereiten.839 Gerade dadurch wird die Wahrscheinlichkeit einer Identifizierung eines BlockchainTeilnehmers erheblich erhöht.

Als Schnittstelle zwischen Nutzer und Blockchain haben Intermediäre bei den dem eigentlichen Transaktionsprozess vor- und nachgelagerten Datenvorgängen maßgeblichen Einfluss auf Zwecke und Mittel der Datenverarbeitung. So prüfen Handelsplätze und Geldbörsendienste die Transaktionsanweisungen ihrer Nutzer, bevor sie diese weiterleiten, und könnten diese theoretisch entweder manipulieren oder sogar blockieren, indem sie sie nicht an das BlockchainNetzwerk weitergeben.840 Sie verarbeiten die Daten in ihren eigenen Systemen841 und können damit letztlich über das „ob“ und das „wie“ der Datenverarbeitung entscheiden.

Gleiches gilt bei nachgelagerten Prozessen, in denen Intermediäre beispielsweise Daten aus der Blockchain entnehmen und analysieren und somit naturgemäß maßgeblichen Einfluss darauf haben, welche Zwecke die Analyse haben soll und welche Mittel dafür eingesetzt werden.

838

Mitunter kann die Einschaltung eines Intermediärs z.B. aus Gründen des Verbraucherschutzes oder der Vorbeugung eines Missbrauchs von Marktmacht sogar gesetzlich vorgesehen sein, vgl. Jacobs/Lange-Hausstein, ITRB, 2017, 10, 15. 839 Bechtolf/Vogt, ZD, 2018, 66, 69. 840 Erbguth/Fasching, ZD, 2017, 560, 564. 841 Isler, Datenschutz auf der Blockchain, S. 13.

208

D. Vereinbarkeit mit dem Datenschutzrecht

Damit ist festzuhalten, dass Intermediäre in vor- oder nachgelagerten Prozessen von Blockchain-Transaktionen entscheidenden Einfluss auf die Datenverarbeitung nehmen können. Es erscheint gerechtfertigt, solche Intermediäre für die entsprechenden „Blockchain-externen“ Datenvorgänge datenschutzrechtlich in die Pflicht zu nehmen und als Verantwortliche gem. Art. 4 Nr. 7 DSGVO einzustufen.842

Sie haben die tatsächliche Entscheidungsgewalt darüber, ob und wie Daten verarbeitet werden und lenken den Datenverarbeitungsvorgang nicht nur in technischer Hinsicht. Als Schaltstellen zwischen Einzelnutzern und BlockchainSystem sind sie auch verhältnismäßig leicht als Verantwortliche abgrenzbar und können leicht in die Pflicht genommen werden, was einer wesentlichen Zielsetzung der DSGVO – der Gewährleistung eines wirksamen Schutzes von Betroffenenrechten – entspricht. Zumindest, soweit es Handelsplätze und Wallet-Anbieter anbetrifft, streitet für die datenschutzrechtliche Verantwortlichkeit der Intermediäre nicht zuletzt auch ein Gleichlauf mit den neuen Regelungen der 5. Geldwäsche-Richtlinie.843

842 Erbguth/Fasching, ZD, 2017, 560, 564 f.;

Isler, Datenschutz auf der Blockchain, S. 13; Finck, EDPL, 2018, 17, 27; wohl auch: Lingert/Weiler, ZAP, 2018, 557, 561; Hofert, ZD, 2017, 161, 165 sowie Böhme/Pesch, DuD, 2017, 473, 479. 843 Erbguth/Fasching, ZD, 2017, 560, 564; Lingert/Weiler, ZAP, 2018, 557, 561; vgl. auch Frey, CCZ, 2018, 170, 177.

III. Welcher Blockchain-Akteur ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO?

209

b) Verantwortung bei Datenverarbeitung innerhalb von Blockchain-Systemen Geht es – in Abgrenzung zur Nutzung von Blockchains durch Intermediäre – um die Verarbeitung der Transaktionsanweisungen durch das Netzwerk selbst, so gibt es zahlreiche Ansatzpunkte für eine datenschutzrechtliche Verantwortlichkeit. Auch hier ist es zunächst erforderlich, eine technische Differenzierung vorzunehmen und danach zu unterscheiden, ob die Blockchain in einem geschlossenen/zugangsbeschränkten oder offenen/frei zugänglichen System betrieben wird:

aa)

Verantwortlichkeit in offenen Systemen

In offenen Systemen existieren keine Instanzen mit zentraler Kontrollmöglichkeit, sodass fraglich ist, wer in solchen offenen Systemen die tatsächliche Kontrolle über die Datenverarbeitung hat und Herr der Daten ist. Der Kreis der potentiellen Verantwortlichen ist groß und reicht vom Softwareentwickler über die jeweiligen an einer Transaktion beteiligten Einzelnutzer und die Miner als Ersteller der Blockchain-Blöcke bis hin zu den für die Weiterleitung der Daten zuständigen Netzwerkknoten.

(1)

Keine Verantwortlichkeit der Softwareentwickler

Zunächst scheint es nahezuliegen, die datenschutzrechtliche Verantwortlichkeit bei den Entwicklern der jeweiligen Blockchain-Software zu sehen.844 Dafür

844

So für Bitcoin etwa Fasching, Anwendungsbereiche und ausgewählte Rechtsfragen der Blockchain-Technologie, S. 20.

210

D. Vereinbarkeit mit dem Datenschutzrecht

spräche, dass sie selbst die Entscheidung getroffen haben, die Blockchain-Anwendung zu konzipieren und zu initiieren845 und dass sie theoretisch den technischen Ablauf der Blockchain-Prozesse über die Software beeinflussen können846.

Zwar entscheidet das Netzwerk bei Änderungen der Software letztlich selbst darüber, ob es die neue Software akzeptiert oder weiterhin mit der älteren Version weiterarbeitet.847 Einer Verantwortlichenstellung stünde aber nicht zwingend entgegen, dass die programmierende und initiierende Stelle mit Veröffentlichung des Programmcodes die Kontrolle über die Blockchain verliert. Denn wie bereits ausgeführt, genügt bei einer auf möglichst hohe Datenschutzstandards ausgerichteten Auslegung auch ein mittelbarer Einfluss auf einen Datenverarbeitungsvorgang.848

Jedoch geht das Regelungskonzept der DSGVO davon aus, dass Hersteller von Anwendungen nicht selbst zum Kreis der Verantwortlichen gehören: aus Erw.Gr. 78 S. 4 DSGVO geht hervor, dass Hersteller von Produkten, Diensten und Anwendungen lediglich „ermutigt werden“ sollen, das Recht auf Datenschutz bei der Produktentwicklung zu berücksichtigen; verbindliche Pflichten

845

Fasching, Anwendungsbereiche und ausgewählte Rechtsfragen der Blockchain-Technologie, S. 20; Martini/Weinzierl, NVwZ, 2017, 1251, 1253. 846 Erbguth/Fasching, ZD, 2017, 560, 564. 847 Martini/Weinzierl, NVwZ, 2017, 1251, 1253; Pesch/Böhme, DuD, 2017, 93, 98; vgl. auch Narayanan/Bonneau/Felten/Miller/Goldfeder, Bitcoin and cryptocurrency technologies, 1. Aufl., 2016, S. 73. 848 A.A. (vor Veröffentlichung der Entscheidungen des EuGH in Sachen Fanpages und Zeugen Jehovas) Martini/Weinzierl, NVwZ, 2017, 1251, 1253; Erbguth/Fasching, ZD, 2017, 560, 564; Isler, Datenschutz auf der Blockchain, S. 13.

III. Welcher Blockchain-Akteur ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO?

211

treffen sie jedoch nicht.849 Hersteller sind nach dem Konzept der DSGVO ausdrücklich keine Adressaten der DSGVO.850 Damit können sie auch bei einem weiten Begriffsverständnis keine Verantwortlichen sein.851

(2)

Verantwortlichkeit von Einzelnutzern

Für eine Verantwortlichkeit eines Einzelnutzers könnte sprechen, dass dieser den auf einer Blockchain verarbeiteten Daten am nächsten steht. So fließen bei einer Transaktion die eigenen Daten als Absender oder Empfänger in den Datenverarbeitungsvorgang ein, wodurch der Einzelnutzer den konkreten Inhalt von Transaktionsdaten faktisch „mitverursacht“ und unter diesem Gesichtspunkt einen gewissen Einfluss auf die Datenverarbeitungsvorgänge in einer Blockchain hat.852

849

Isler, Datenschutz auf der Blockchain, S. 13; Paal/Pauly–Martini, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 25 Rn. 25; vgl. auch Wolff/Brink– Schmidt/Brink, Beck'scher Online-Kommentar Datenschutzrecht, 31. Edition, 2020 [Stand: 01.11.2019], Art. 24 Rn. 8. 850 Kühling/Buchner–J. Hartung, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 24 Rn. 12; Paal/Pauly–Martini, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 24 Rn. 18; Wolff/Brink–Schmidt/Brink, Beck'scher Online-Kommentar Datenschutzrecht, 31. Edition, 2020 [Stand: 01.11.2019], Art. 24 Rn. 8; Sydow–Mantz, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 25 Rn. 17. 851 So zumindest auch i.E. Quiel, DuD, 2018, 566, 569; Martini/Weinzierl, NVwZ, 2017, 1251, 1253; Isler, Datenschutz auf der Blockchain, S. 13; Erbguth/Fasching, ZD, 2017, 560, 564. 852 Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1033; ähnl. Plath–Plath, DSGVO/BDSG, 3. Aufl., 2018, Art. 26 Rn. 7a; konkret für Bitcoin Erbguth/Fasching, ZD, 2017, 560, 564; Lingert/Weiler, ZAP, 2018, 557, 561.

D. Vereinbarkeit mit dem Datenschutzrecht

212

(a) Keine Verantwortlichkeit der betroffenen Person für eigene Personendaten Ausgangspunkt der Überlegungen zur Verantwortlichkeit eines Einzelnutzers für Blockchain-Systeme muss zunächst sein, dass jedenfalls die Verarbeitung eigener personenbezogener Daten durch die betroffene Person selbst – also insbesondere der Adressat einer Transaktion – keine datenschutzrechtliche Verantwortlichkeit auslösen kann.

Das Regelungssystem der DSGVO basiert auf der „gängigen Rollenverteilung“ eines Datenverarbeitungsvorganges und zeichnet diese Systematik mit den Begriffen

der

betroffenen

Person

(Art. 4 Nr. 1),

des Verantwortlichen

(Art. 4 Nr. 7), des Auftragsverarbeiters (Art. 4 Nr. 8) und des Empfängers (Art. 4 Nr. 9) nach.853 Aus der Abgrenzung des Begriffes der betroffenen Person von diesen anderen Gruppen ergibt sich systematisch, dass nach dem Verständnis der DSGVO ein Betroffener nicht gleichzeitig datenschutzrechtlich Verantwortlicher sein kann, sondern beide Beteiligten personenverschieden sein müssen.854

853

So ausdrücklich etwa Sydow–Raschauer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 119; Isler, Datenschutz auf der Blockchain, S. 12; ähnl. Kühling/Buchner–J. Hartung, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 7; dies belegt auch die Abgrenzung des Begriffs „Dritter“ in Art. 4 Nr. 10 DSGVO. 854 Sydow–Raschauer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 119; i.E. wohl auch Kühling/Buchner–J. Hartung, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 7; Auernhammer–Eßer, DSGVO/BDSG, 6. Aufl., 2018, Art. 4 Rn. 76; für § 3 Abs. 7 BDSG a.F. bereits Simitis/Dammann/Arendt–Dammann, Bundesdatenschutzgesetz, 8. Aufl., 2014, § 3 BDSG a.F. Rn. 226 mit dem Argument, der Gesetzgeber könne und wolle den Betroffenen nicht vor sich selbst schützen; a.A. unter Berufung auf den Wortlaut Feiler/Forgó–Feiler/Forgó, EU-DSGVO, 2017, Art. 4 Rn. 13, die datenschutzrechtliche Pflichten der betroffenen Person hinsichtlich deren eigener Daten i.E. aber ebenfalls ablehnen.

III. Welcher Blockchain-Akteur ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO?

213

So trifft also beispielsweise den Absender einer Transaktion keine Verantwortlichkeit hinsichtlich der Verarbeitung seiner eigenen Personendaten wie etwa seiner Blockchain-Adresse.855

(b) Verantwortlichkeit des Einzelnutzers als Initiator einer Transaktion Art. 4 Nr. 7 DSGVO sieht eine Stelle als datenschutzrechtlich verantwortlich an, wenn sie „allein oder gemeinsam mit anderen“ über die Zwecke und Mittel einer Verarbeitung von Personendaten entscheidet. Betrachtet man den Einfluss eines Einzelnutzers auf das Blockchain-Netzwerk in seiner Gesamtheit, so erscheint dieser auf den ersten Blick denkbar gering:

Ein Einzelnutzer als solcher hat keinen unmittelbar feststellbaren Einfluss auf die Fortschreibung der Blockchain. Sein Transaktionsauftrag ist letztlich nicht der Grund für die Datenverarbeitung durch das Netzwerk – dieses wird auch ohne sein spezifisches Zutun aktiv und verarbeitet schlicht alle Transaktionen, die zu einem bestimmten Zeitpunkt ins Netzwerk eingespeist werden.856 Der Einfluss des Nutzers erschöpft sich letztlich in der Lieferung eines Inputs für die Blockchain in Form von Transaktionsdaten und ist damit eher technischer Natur.857 Insofern stellt sich die Frage, ob der Initiator einer Transaktion über-

855

So wohl auch i.E. Fridgen/Guggenberger/Hoeren/Prinz/Urbach, Chancen und Herausforderungen von DLT, 2019, S. 134; Böhme/Pesch, DuD, 2017, 473, 478; a.A. Finck, EDPL, 2018, 17, 27. 856 Vgl. Schrey/Thalhofer, NJW, 2017, 1431, 1432; ähnl. im Zusammenhang mit einzelnen Minern auch Erbguth/Fasching, ZD, 2017, 560, 563 f. 857 Noch weiter geht Quiel, DuD, 2018, 566, 569, der die einzige Einflussmöglichkeit des Nutzers auf die Datenverarbeitung in der Entscheidung sieht, ob er sich dem Netzwerk mit seinen durch den Algorithmus vorgegebenen Regeln anschließt oder nicht.

214

D. Vereinbarkeit mit dem Datenschutzrecht

haupt einen relevanten Einfluss auf die Datenverarbeitung im Blockchain-Netzwerk ausübt, um datenschutzrechtlich Verantwortlicher zu sein.858 Vor diesem Hintergrund ließe sich argumentieren, dass er als Einzelnutzer nicht i.S.v. Art. 4 Nr. 7, Art. 26 Abs. 1 S. 1 DSGVO über die Zwecke und Mittel der Datenverarbeitung auf der Blockchain entscheidet, seine Stellung folglich nicht der des „Herren der (Blockchain-)Daten“ entspricht, sondern allenfalls vergleichbar ist mit der Stellung eines Auftragsverarbeiters.

Ein solches Ergebnis würde jedoch außer Acht lassen, dass es letztlich der Einzelnutzer selbst ist, der den Anstoß für die Transaktionsverarbeitung im Netzwerk gibt, denn durch seine Transaktionsanweisung entscheidet er darüber, welches Gut von welcher Adresse an welche Adresse transferiert werden soll.859 Das Netzwerk selbst nimmt – abgesehen von einer technischen Überprüfung der Gültigkeit von Signatur und Berechtigung des Nutzers – keinen weiteren direkten Einfluss auf die Transaktionsdaten.860 Führt man diesen Gedankengang fort, so hätte im Ergebnis niemand ausreichenden Einfluss, um für die Blockchain-Datenverarbeitung verantwortlich zu sein.861 Dies würde das Verantwortlichkeitskonzept der DSGVO konterkarieren, welches davon ausgeht, dass jedem Datenverarbeitungsvorgang zumindest ein Verantwortlicher

858

Quiel, DuD, 2018, 566, 569; ähnl. Isler, Datenschutz auf der Blockchain, S. 13. Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1033; Erbguth/Fasching, ZD, 2017, 560, 564; Lingert/Weiler, ZAP, 2018, 557, 561. 860 Erbguth/Fasching, ZD, 2017, 560, 564; Quiel, DuD, 2018, 566, 569; ähnl. Böhme/Pesch, DuD, 2017, 473, 479 sowie Isler, Datenschutz auf der Blockchain, S. 13. 861 Isler, Datenschutz auf der Blockchain, S. 13; Swatosch/T. Hartung, ZfV, 2018, 377, 380; Finck, EDPL, 2018, 17, 26; Quiel, DuD, 2018, 566, 569; Berberich/Steiner, EDPL, 2016, 422, 424. 859

III. Welcher Blockchain-Akteur ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO?

215

zugewiesen werden kann.862 Der Nutzer ist es, der als Inhaber des privaten Schlüssels autonom über den Inhalt der Transaktion entscheiden kann.863 Er verfolgt den Zweck, einen Wert an den Empfänger zu transferieren und bedient sich des Netzwerks letztlich als technischem Mittel zur Transaktionsabwicklung.864 Sein Verhalten durch die Versendung der Transaktion ist vergleichbar mit dem einer Veröffentlichung an einen unbestimmten Personenkreis.865 Vor diesem Hintergrund mag der Nutzer zwar auf den ersten Blick keinen großen, in der Gesamtbetrachtung aber den größten Einfluss auf die Entscheidung über Sinn und Zweck der konkreten Datenverarbeitung haben und kommt damit nach der Logik der DSGVO der Rolle eines Verantwortlichen am nächsten.

Setzt man für die Frage einer datenschutzrechtlichen Verantwortlichkeit mit dem EuGH bei der Frage an, ob eine Datenverarbeitung eine relevante Risikoerhöhung für die Grundrechte auf Achtung des Privatlebens und des Schutzes personenbezogener Daten eines Betroffenen darstellt,866 so muss dies konsequenterweise auch für eine Transaktionsanweisung bejaht werden. Denn wenn

862

Erw.Gr. 74 S. 1; Sydow–Raschauer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 121; Isler, Datenschutz auf der Blockchain, S. 12; ähnl. Böhme/Pesch, DuD, 2017, 473, 479; zum Konzept der Verantwortlichkeit hinsichtlich der DSRL und des BDSG a.F. bereits Simitis/Dammann/Arendt–Dammann, Bundesdatenschutzgesetz, 8. Aufl., 2014, § 3 BDSG a.F. Rn. 2. 863 Erbguth/Fasching, ZD, 2017, 560, 564; i.E. wohl auch Lingert/Weiler, ZAP, 2018, 557, 561 sowie Plath–Plath, DSGVO/BDSG, 3. Aufl., 2018, Art. 26 Rn. 7a; Finck, EDPL, 2018, 17, 27 und Fridgen/Guggenberger/Hoeren/Prinz/Urbach, Chancen und Herausforderungen von DLT, 2019, S. 134. 864 Ähnl. Kipker/Bruns, CR 2020, 210, 214. 865 Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1033; ähnl. auch Fridgen/Guggenberger/Hoeren/Prinz/Urbach, Chancen und Herausforderungen von DLT, 2019, S. 126. 866 EuGH, Urt. v. 13.05.2014 – C-131/12, ECLI:EU:C:2014:317, NJW 2014, Tz. 38 – Google Spain; Petri, ZD, 2015, 103; ähnl. auch EuGH, Urt. v. 05.06.2018 – Rs. C-210/16, ECLI:EU:C:2018:388, Tz. 26 ff. – Facebook-Fanpages sowie Petri, EuZW, 2018, 540.

216

D. Vereinbarkeit mit dem Datenschutzrecht

eine relevante Grundrechtsbeeinträchtigung bereits darin liegen kann, anderen Nutzern den Zugang zu bereits im Internet veröffentlichten Informationen zu erleichtern,867 gilt dies erst recht für das Einspeisen von Transaktionsdaten in ein Netzwerk mit unbeschränktem Teilnehmerzugang. Immerhin gibt der Einzelnutzer die Kontrolle über die Daten – insbesondere des Transaktionsempfängers – aus der Hand und sorgt dafür, dass diese an sämtliche Netzwerkteilnehmer weitergegeben und gegebenenfalls sogar unkontrolliert durch Dritte ausgewertet werden können.868

Dass Blockchains auch ohne das Zutun eines Einzelnutzers weitergeführt werden, ist in diesem Zusammenhang unschädlich. Eine vom konkreten Datenverarbeitungsbeitrag des Nutzers losgelöste Betrachtungsweise würde letztlich nicht seiner tatsächlichen Rolle in Blockchain-Systemen gerecht: Zwar mag der Nutzer im Endeffekt nur eine einzelne signierte Nachricht ins Netzwerk senden; andererseits ist das Netzwerk letztlich nichts anderes als die Summe aller zusammengefassten Einzelnachrichten aller Nutzer.869 Alle Teilnehmer sind mitursächlich für die Fortführung der Blockchain. Wie bereits ausgeführt, sind im Geiste eines möglichst umfassenden und wirksamen Grundrechtsschutzes keine hohen Anforderungen an das erforderliche Maß an Einfluss zu stellen, um datenschutzrechtliche Verantwortlichkeit zuzuweisen. Nach der weiten Auslegung des EuGH ist eine datenschutzrechtliche (Mit-)Verantwortlichkeit nämlich schon in Konstellationen anzunehmen, in denen die Entscheidungen

867

Wie es beispielsweise eine Suchmaschine tut, s. EuGH, Urt. v. 13.05.2014 – C-131/12, ECLI:EU:C:2014:317, NJW 2014, Tz. 37 f. – Google Spain. 868 Erbguth/Fasching, ZD, 2017, 560, 564; ähnl. Böhme/Pesch, DuD, 2017, 473, 479. 869 Erbguth/Fasching, ZD, 2017, 560, 564.

III. Welcher Blockchain-Akteur ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO?

217

eines Nutzers notwendige Bedingung für eine spätere Personendatenverarbeitung sind.870 Dabei ist es unerheblich, ob Daten aus seiner Sicht anonym sind oder nicht, denn eine gemeinsame Verantwortlichkeit setzt nicht voraus, auf personenbezogene Daten selbst Zugriff zu haben.871

Zwar macht die bloße Nutzung eines Netzwerkes für sich genommen den einzelnen Nutzer noch nicht zu einem Verantwortlichen für die vom Netzwerk vorgenommene Datenverarbeitung; dies gilt jedoch nur, solange er nicht auf irgendeine Weise zu dieser Datenverarbeitung beiträgt.872 Ohne die Einspeisung der konkreten Blockchain-Daten wäre die Blockchain in ihrer konkreten Gestalt aber nicht dieselbe – insbesondere wären die Hash-Werte der ohne sie gebildeten Blöcke andere. Darin liegt eine ganz konkrete, tatsächliche Vorbedingung für die Datenverarbeitung auf der Blockchain. Dies spricht dafür, sie nicht nur für das Absenden der Transaktionen, sondern auch hinsichtlich der weite-

870 Exemplarisch EuGH, Urt. v. 10.07.2018 – C-25/17, ECLI:EU:C:2018:551, BeckRS 2018, 14563, 70 f. – Zeugen Jehovas; Urt. v. 05.06.2018 – Rs. C-210/16, ECLI:EU:C:2018:388, Tz. 35 – FacebookFanpages; so auch Wagner, ZD, 2018, 307, 309; Petri, ZD, 2015, 103, 104; Karg, ZD, 2014, 54, 55 f. („conditio sine qua non“); Sydow–Ingold, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 26 Rn. 4 (Datenverarbeitung wäre „[…] ohne den direktiven Input einer Stelle potentiell andersartig gestaltet worden […]“); vgl. auch Artikel-29-Datenschutzgruppe, Stellungnahme 1/2010, S. 12 („tatsächlicher Einfluss“). 871 EuGH, Urt. v. 05.06.2018 – Rs. C-210/16, ECLI:EU:C:2018:388, Tz. 38 – Facebook-Fanpages; Moos/Rothkegel, MMR, 2018, 596, 598; Härting/Gössling, NJW, 2018, 2523, 2524; Marosi/Matthé, ZD, 2018, 361, 363. 872 So für das soziale Netzwerk Facebook ausdrücklich EuGH, Urt. v. 05.06.2018 – Rs. C-210/16, ECLI:EU:C:2018:388, Tz. 35 – Facebook-Fanpages; ähnl. Schwartmann/Jaspers/Thüsing/Kugelmann–Kremer, DSGVO/BDSG, 2018, Art. 26 Rn. 19; Ehmann/Selmayr–Bertermann, DS-GVO, 2. Aufl., 2018, Art. 26 Rn. 9; Wolff/Brink–Spoerr, Beck'scher Online-Kommentar Datenschutzrecht, 31. Edition, 2020 [Stand: 01.02.2020], Art. 26 Rn. 18; i.E. wohl auch Petri, ZD, 2015, 103, 104; a.A. Wagner, ZD, 2018, 307, 309; einschränkend auch Quiel, DuD, 2018, 566, 569.

218

D. Vereinbarkeit mit dem Datenschutzrecht

ren Datenverarbeitungen ihrer Transaktionen im Blockchain-Netzwerk als datenschutzrechtlich Mitverantwortliche gem. Art. 26 Abs. 1 S. 1 DSGVO anzusehen.873

Für dieses Ergebnis streitet auch eine weitere Überlegung: Da das Versenden der eigenen Daten durchaus in den Verantwortungsbereich des Nutzers fällt,874 ist erst recht eine (Mit-)Verantwortlichkeit des Nutzers für die versendeten und in der Blockchain gespeicherten fremden Daten des Transaktionsadressaten anzunehmen.

Damit bleibt festzuhalten, dass der Initiator einer Transaktion zumindest hinsichtlich der Personendaten des Empfängers datenschutzrechtlich (Mit-)Verantwortlicher gem. Art. 4 Nr. 7, Art. 26 Abs. 1S. 1 DSGVO ist.875

873

Der EuGH hat in seinem Urteil Fashion ID aus 2019 klargestellt, dass bei Personendatenverarbeitungen, die aus mehreren Vorgängen bestehen, hinsichtlich der gemeinsamen Verantwortlichkeit sorgfältig nach den einzelnen Datenverarbeitungsvorgängen differenziert werden muss, s. EuGH, Urt. v. 29.07.2019 – Rs. C-40/17, ECLI:EU:C:2019:629, Tz. 72 f. – Fashion ID; die gemeinsam Verantwortlichen müssen dabei indes nur gemeinsam über Zwecke und Mittel entscheiden, jedoch nicht zwingend identische Ziele verfolgen, s. auch Specht-Riemenschneider/Schneider, GRUR Int 2020, 1, 2; da der Beitrag des Einzelnutzers sich auf der Blockchain bereits über die Beeinflussung des Hash-Wertes bewusst und gewollt in allen nachfolgenden Datenverarbeitungen des Netzwerkes auswirkt und dem gemeinsamen Zweck der Fortführung der Blockchain dient, erscheint die gemeinsame Verantwortlichkeit gerechtfertigt; in eine ähnliche Richtung gehend Kipker/Bruns, CR 2020, 210, 215 f.; s. aber Fridgen/Guggenberger/Hoeren/Prinz/Urbach, Chancen und Herausforderungen von DLT, 2019, S. 134, die eine gemeinsame Verantwortlichkeit des Einzelnutzers insgesamt ablehnen. 874 Böhme/Pesch, DuD, 2017, 473, 478; die DSGVO dient nicht dem Schutz eines Betroffenen vor sich selbst, vgl. bereits D.I.3.b)aa). 875 So bereits Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1033; Erbguth/Fasching, ZD, 2017, 560, 564; Lingert/Weiler, ZAP, 2018, 557, 561; i.E. wohl auch Pesch/Sillaber, CRi, 2017, 166, 169; Plath–Plath, DSGVO/BDSG, 3. Aufl., 2018, Art. 26 Rn. 7a; a.A. Isler, Datenschutz auf der Blockchain, S. 13, der die Einflussmöglichkeiten sämtlicher Blockchain-Beteiligter als nicht hinreichend relevant einschätzt; einschränkend auch Quiel, DuD, 2018, 566, 569.

219

III. Welcher Blockchain-Akteur ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO?

(3)

Verantwortlichkeit der Knotenbetreiber

Der Einzelnutzer teilt seine Transaktion dem Netzwerk mit und gibt sie aus der Hand, damit die Netzwerkknoten sie verarbeiten und in die Blockchain einfügen. Intuitiv könnte man daher zunächst sämtliche Netzwerkteilnehmer bzw. Netzwerkknoten

mit

Auftragsdatenverarbeitern

gem.

Art. 4 Nr. 8, Art. 28 Abs. 1 DSGVO hinsichtlich dieser Transaktion vergleichen.876 Eine Auftragsdatenverarbeitung lässt sich aber schon deshalb ausschließen, weil die Netzwerkteilnehmer keinerlei Weisung unterstehen.877

Vielmehr scheint die Rolle der Knoten besser auf die Rechtsfigur der (Mit-)Verantwortlichkeit zu passen, und zwar insbesondere unter zwei Aspekten: einerseits in ihrer Eigenschaft als Ersteller der Datenblöcke mit der jeweiligen Transaktion, andererseits in ihrer Eigenschaft als Netzwerk-Teilnehmer, die diese Transaktion bzw. den entsprechenden Block weiterleiten.

Diesem Ansatz würde auch nicht prinzipiell entgegenstehen, wenn es – wie wohl bei den meisten der aktuellen Blockchain-Projekte – zwischen den Nutzern an einer ausdrücklichen „Vereinbarung in transparenter Form“ im Sinne des Art. 26 Abs. 1 S. 2 DSGVO fehlt. Letztere ist zum einen nicht zwingend

876

Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1033. 877 Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1033; Böhme/Pesch, DuD, 2017, 473, 479; Martini/Weinzierl, NVwZ, 2017, 1251, 1254; ähnl. auch Isler, Datenschutz auf der Blockchain, S. 12, der freilich eine Verantwortlichkeit insgesamt ablehnt.

220

D. Vereinbarkeit mit dem Datenschutzrecht

schriftformbedürftig und könnte daher theoretisch auch konkludent abgeschlossen werden878; zum anderen wäre sie ohnehin nicht konstitutive Voraussetzung für eine gemeinsame Verantwortlichkeit, sondern nur deren Rechtsfolge879.

Stellt man auf die Weiterleitung der Transaktionsdaten in das Netzwerk an andere Knoten ab, so würde dies jedenfalls eine Datenverarbeitung darstellen.880 Als Verantwortliche für die Datenverarbeitung auf der Blockchain könnten daher die Knotenbetreiber in Betracht kommen, und zwar entweder jeder für sich oder gemeinsam881, denn sie tragen neue Daten in die Blockchain-Datenstruktur ein und übermitteln neue Daten weiter ins Netzwerk an andere Knoten882.

Als Ausgangsüberlegung bietet sich abermals die Formel des EuGH an, nach welcher es für eine Verantwortlichkeit darauf ankommt, ob mit einer Datenverarbeitung eine Risikoerhöhung für die Grundrechte auf Achtung der Privatsphäre (Art. 7 GRCh) und des Schutzes der personenbezogenen Daten der

878 Paal/Pauly–Martini, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 26 Rn. 25; i.E. auch Kühling/Buchner–J. Hartung, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 26 Rn. 20; Gola–Piltz, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 26 Rn. 14. 879 Paal/Pauly–Martini, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 26 Rn. 22; Kühling/Buchner–J. Hartung, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 26 Rn. 20; Plath–Plath, DSGVO/BDSG, 3. Aufl., 2018, Art. 26 Rn. 13; Schwartmann/Jaspers/Thüsing/Kugelmann–Kremer, DSGVO/BDSG, 2018, Art. 26 Rn. 31. 880 Böhme/Pesch, DuD, 2017, 473, 478; Berberich/Steiner, EDPL, 2016, 422, 424; Fridgen/Guggenberger/Hoeren/Prinz/Urbach, Chancen und Herausforderungen von DLT, 2019, S. 126. 881 Hierzu z.B. Schrey/Thalhofer, NJW, 2017, 1431, 1434; Bechtolf/Vogt, ZD, 2018, 66, 69; im Ansatz auch Kaulartz, CR, 2016, 474, 479 sowie Berberich/Steiner, EDPL, 2016, 422, 424. 882 Vgl. auch Böhme/Pesch, DuD, 2017, 473, 478 und Erbguth/Fasching, ZD, 2017, 560, 563, die eine Verantwortlichkeit der Knoten im Ergebnis aber jeweils ablehnen; für eine Einzelverantwortlichkeit der Einzelknoten s. Fridgen/Guggenberger/Hoeren/Prinz/Urbach, Chancen und Herausforderungen von DLT, 2019, S. 135.

III. Welcher Blockchain-Akteur ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO?

221

betroffenen Personen (Art. 8 GRCh) einhergeht. Da eine relevante Beeinträchtigung bereits darin liegen kann, anderen Nutzern den Zugang zu bereits im Internet veröffentlichten Informationen zu erleichtern,883 muss die Speicherung und aktive Weiterverbreitung von Transaktionsdaten und Datenblöcken konsequenterweise erst recht grundrechtsrelevant sein und eine datenschutzrechtliche Verantwortlichkeit begründen.

Zu Gunsten einer Verantwortlichenstellung jedes einzelnen Knotens ist auch zu berücksichtigen, dass jeder Knotenpunkt die physische und rechtliche Kontrolle über sein eigenes Computersystem hat, auf welchem die Kopien der Blockchain-Daten heruntergeladen, abgespeichert bzw. weiterverteilt werden. Da jeder Nutzer einerseits frei über die von ihm verwendete Soft- und Hardware entscheiden und eigene interne Datenschutzmaßnahmen festlegen sowie andererseits bestimmen kann, wofür die Daten verwendet, wessen Daten gesammelt und gespeichert werden und ob bzw. wem sie offengelegt werden, beeinflusst er – jedenfalls auf seinem eigenen System – die Zwecke und Mittel der Datenverarbeitung i.S.d. Art. 4 Nr. 7 DSGVO.884 Zumindest in der Ausführung der im Netzwerk gesammelten Transaktionsanweisungen durch Eintragung in die eigene Kopie der Blockchain liegt der Zweck jedes Knotens, am Netzwerk teilzunehmen.885

883

Urt. v. 13.05.2014 – C-131/12, ECLI:EU:C:2014:317, NJW 2014, Tz. 37 f. – Google Spain. Pesch/Sillaber, CRi, 2017, 166, 169 (“[E]ach participant […] is free to choose and configure their hard- and software and to define internal data protection policies […]. Each participant can determine the purpose(s) the data are to be used for, whose data to collect and store, whether to disclose the data and to whom.”); ähnl. auch Martini/Weinzierl, NVwZ, 2017, 1251, 1253; Finck, EDPL, 2018, 17, 26; Kipker/Bruns, CR 2020, 210, 215. 885 Martini/Weinzierl, NVwZ, 2017, 1251, 1253; ähnl. Pesch/Sillaber, CRi, 2017, 166, 169; Fridgen/Guggenberger/Hoeren/Prinz/Urbach, Chancen und Herausforderungen von DLT, 2019, S. 135. 884

222

D. Vereinbarkeit mit dem Datenschutzrecht

Gegen eine weitergehende gemeinsame Verantwortlichkeit eines Netzwerkknotens gem. Art. 26 Abs. 1 S. 1 DSGVO lässt sich freilich ins Felde führen, dass dieser keinen relevanten Einfluss auf den Zweck und die Mittel der Datenverarbeitung des Blockchain-Netzwerkes habe. Wie mit Daten auf der Blockchain zu verfahren ist, gibt letztlich der in der Blockchain-Software enthaltene Konsens-Algorithmus vor.886 Dieser basiert einzig auf dem Prinzip, die auf der Blockchain gespeicherten Daten von den Knoten dazu zu verwenden, die Integrität und Berechtigung einzelner Transaktionen zu verifizieren und durch verkettete Datenblöcke abzusichern. Die Abweichung eines einzelnen Knotens vom Blockchain-Protokoll würde von den anderen Netzwerkteilnehmern ignoriert und bliebe damit für die Datenverarbeitung folgenlos.887

Andererseits sind bei einem weiten Verantwortlichkeitsverständnis im Interesse eines möglichst umfassenden und wirksamen Betroffenenschutzes wiederum keine zu hohen Anforderungen an die Einflussmöglichkeiten einer datenverarbeitenden Stelle zu stellen, s.o.

Bei der Feststellung einer gemeinsamen Verantwortlichkeit kommt es auf eine Gesamtbetrachtung an: einzelne Datenverarbeitungsprozesse können bei isolierter Betrachtung auf der Mikroebene als selbständige Verarbeitungen erscheinen, während diese jedoch auf der Makroebene aus Sicht der betroffenen

886

Quiel, DuD, 2018, 566, 569; Isler, Datenschutz auf der Blockchain, S. 13; Pesch/Sillaber, CRi, 2017, 166, 170; wollten die Knoten den Algorithmus wechseln, müssten sie eine Aufspaltung der Blockchain in Kauf nehmen und hätten dadurch keinen gesteigerten Einfluss auf die „ursprüngliche“ Blockchain. 887 Erbguth/Fasching, ZD, 2017, 560, 563; Quiel, DuD, 2018, 566, 569.

III. Welcher Blockchain-Akteur ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO?

223

Person als zusammenhängender Verarbeitungsprozess mehrerer gemeinsam Verantwortlicher erscheinen.888

Das Argument, ein Knoten habe für sich genommen keinen maßgeblichen Einfluss auf eine Blockchain, basiert auf einer isolierten Betrachtung des Einzelnen und wird dadurch dem Gesamtcharakter eines Blockchain-Netzwerks nicht gerecht: dieses ist letztlich nichts anderes als die Summe des unabgestimmten Verhaltens aller Knoten889 und insofern ist der Beitrag jedes einzelnen Knotens zur Blockchain die Grundlage ihrer Existenz. Die Grundidee von Blockchain nutzt gerade die Verteiltheit in einem Netzwerk zu ihrem Vorteil aus. Alle dem Netzwerk angeschlossenen Knoten verfolgen den (gemeinsamen) Zweck, dem Konsens-Algorithmus zu folgen und das System am Leben zu erhalten.890 Einer weitergehenden gemeinsamen Absprache über die Zwecke der Datenverarbeitung mit anderen Knoten bedarf es daher nicht.891 Insofern erscheint es aus

888

Ehmann/Selmayr–Bertermann, DS-GVO, 2. Aufl., 2018, Art. 26 Rn. 8; Wybitul–Tinnefeld/Hanßen, Handbuch EU-Datenschutz-Grundverordnung, 2017, Art. 26 Rn. 8 f.; Lezzi/Oberlin, ZD, 2018, 398, 400; Artikel-29-Datenschutzgruppe, Stellungnahme 1/2010, S. 25; i.E. auch Wolff/Brink–Spoerr, Beck'scher Online-Kommentar Datenschutzrecht, 31. Edition, 2020 [Stand: 01.02.2020], Art. 26 Rn. 15 ff. 889 Böhme/Pesch, DuD, 2017, 473, 479; ähnl. Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1033; Finck, EDPL, 2018, 17, 26; im Übrigen verlangt eine gemeinsame Verantwortlichkeit keine identischen Zwecke und Mittel, sondern nur die gemeinsame Entscheidung darüber, vgl. SpechtRiemenschneider/Schneider, GRUR Int 2020, 1, 2. 890 Ähnlich Pesch/Sillaber, CRi, 2017, 166, 170; in diese Richtung auch Kipker/Bruns, CR 2020, 210, 215, die jedoch erhöhte Anforderungen an den gemeinsamen Zweck stellen; einschränkend Quiel, DuD, 2018, 566, 569. 891 A.A. Erbguth/Fasching, ZD, 2017, 560, 563; Martini/Weinzierl, NVwZ, 2017, 1251, 1253; Finck, EDPL, 2018, 17, 26; wohl auch Fridgen/Guggenberger/Hoeren/Prinz/Urbach, Chancen und Herausforderungen von DLT, 2019, S. 135, die eine Einzelverantwortlichkeit der Einzelknoten befürworten.

D. Vereinbarkeit mit dem Datenschutzrecht

224

Wertungsgesichtspunkten gerechtfertigt, Blockchain-Knoten als gemeinsam Verantwortliche gem. Art. 26 Abs. 1 S. 1 DSGVO zu betrachten.892

Ein starkes Argument gegen eine gemeinsame Verantwortlichkeit der Netzwerkknoten ist, dass sie datenschutzrechtliche Pflichten – wie beispielsweise den

Abschluss

einer

gemeinsamen

Datenschutzvereinbarung

gem.

Art. 26 Abs. 1 S. 2 DSGVO – im Blockchain-„Ökosystem“ praktisch nicht erfüllen könnten und auch Ansprüche von betroffenen Personen gegen sie nicht durchsetzbar wären, obgleich sie gem. Art. 26 Abs. 3 DSGVO dafür an sich gesamtschuldnerisch haften müssten.893 Dem ist aber entgegenzuhalten, dass die Unfähigkeit, alle Verpflichtungen eines datenschutzrechtlich Verantwortlichen zu erfüllen, der rechtlichen Einordnung als Verantwortlicher keinesfalls entgegensteht.894 Vielmehr hat letzterer für einen solchen Fall vorzusorgen und erforderlichenfalls jemanden zu organisieren, der für die Erfüllung einer solchen Verpflichtung geeignet ist.

892 Dafür spricht auch die neuere Entscheidung des EuGH in Sachen Fashion ID, in welcher der EuGH letztlich die bloße Einbindung eines Social Plugin (Facebook Like-Button) auf der eigenen Website für eine gemeinsame Entscheidung über Mittel und Zwecke i.S.d. Art. 26 Abs. 1 S. 1 DSGVO hat ausreichen lassen, vgl. EuGH, Urt. v. 29.07.2019 – Rs. C-40/17, ECLI:EU:C:2019:629, Tz. 75 ff. – Fashion ID, zumal eine gemeinsame Verantwortlichkeit nicht gleichzeitig identische Datenverarbeitungszwecke voraussetzt; eingehend hierzu Specht-Riemenschneider/Schneider, GRUR Int 2020, 1, 2. 893

Böhme/Pesch, DuD, 2017, 473, 479; Isler, Datenschutz auf der Blockchain, S. 12; Berberich/Steiner, EDPL, 2016, 422, 424; Bechtolf/Vogt, ZD, 2018, 66, 69; Erbguth/Fasching, ZD, 2017, 560, 564; i.E. auch Plath–Plath, DSGVO/BDSG, 3. Aufl., 2018, Art. 26 Rn. 7a; Pesch/Sillaber, CRi, 2017, 166, 170 weisen darauf hin, dass eine gemeinsame Vereinbarung gem. Art. 26 Abs. 1, 2 DSGVO technisch nicht gänzlich unmöglich sei, aber in der Praxis an fehlenden Informationen scheitere. 894 EuGH, Urt. v. 05.06.2018 – Rs. C-210/16, ECLI:EU:C:2018:388, Tz. 40 ff. – Facebook-Fanpages; Kühling/Buchner–J. Hartung, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 26 Rn. 28; so bereits Artikel-29-Datenschutzgruppe, Stellungnahme 1/2010, S. 27; i.E. auch Gola–Piltz, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 26 Rn. 12; Petri, EuZW, 2018, 540, 541.

III. Welcher Blockchain-Akteur ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO?

225

Daher muss es für eine gemeinsame Verantwortlichkeit ausreichen, dass jeder Knoten frei ist in seiner Entscheidung, sich dem Blockchain-Netzwerk anzuschließen und dort – keiner Weisungsgebundenheit unterliegend – seine Rechenkapazitäten zur Verfügung zu stellen.895 Es bestehen also ähnliche Wechselbeziehungen wie bei der Konstellation, in welcher die Einrichtung und der Betrieb einer Facebook-Fanpage durch einen einzelnen Betreiber erst die Datenverarbeitung durch Facebook ermöglicht – und den Betreiber damit zum Mitverantwortlichen macht.896 Denn auch bei der Blockchain trägt jeder Knotenpunkt technisch zum Betrieb (d.h. zur Fortschreibung und Verteilung) bei.897 Durch seine Datenverarbeitungsbeiträge in Form der Abspeicherung und Weiterleitung neuer Transaktionen bzw. Datenblöcke wird er zur notwendigen Mitbedingung für den Betrieb einer Blockchain.898 Man könnte sich die Beiträge der Knoten zwar alternativ, nicht aber kumulativ hinwegdenken. 899

895 Böhme/Pesch, DuD, 2017, 473, 479; i.E. auch Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1033; sowie Kipker/Bruns, CR 2020, 210, 215, die aber höhere Anforderungen an den gemeinsamen Zweck stellen; a.A. Finck, EDPL, 2018, 17, 26 sowie Erbguth/Fasching, ZD, 2017, 560, 563 und Martini/Weinzierl, NVwZ, 2017, 1251, 1254, die eine gemeinsame Verantwortlichkeit der Knoten mangels Beeinflussungsmöglichkeiten untereinander ablehnen. 896 Vgl. EuGH, Urt. v. 05.06.2018 – Rs. C-210/16, ECLI:EU:C:2018:388, Tz. 35 – Facebook-Fanpages; Petri, ZD, 2015, 103, 104; einschränkend Quiel, DuD, 2018, 566, 569. 897 Schrey/Thalhofer, NJW, 2017, 1431, 1434; Bechtolf/Vogt, ZD, 2018, 66, 69; Martini/Weinzierl, NVwZ, 2017, 1251, 1253 f.; Berberich/Steiner, EDPL, 2016, 422, 424; vgl. auch Plath–Plath, DSGVO/BDSG, 3. Aufl., 2018, Art. 26 Rn. 7a. 898 A.A. Erbguth/Fasching, ZD, 2017, 560, 563, nach deren Einschätzung der Beitrag der Knotenpunkte vergleichbar mit einem Server und daher von eher untergeordneter Natur ist; i.E. ähnl. Isler, Datenschutz auf der Blockchain, S. 13 sowie Paal/Pauly–Martini, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 26 Rn. 19. 899 Ähnl. Paal/Pauly–Martini, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 26 Rn. 19 („Mitursächlichkeit“); insofern vergleichbar mit Fällen der „Doppelkausalität“, welche zumindest nach deutschem Strafrecht für eine Kausalität ausreichen, vgl. nur HeintschelHeinegg–Heuchemer, Beck'scher Online-Kommentar StGB, 45. Edition, 2020 [Stand: 01.02.2020], § 13 Rn. 14 f. m.w.N.; auch Weichert, ZD, 2014, 605, 610 zieht hinsichtlich der gemeinsamen Verantwortlichkeit im Datenschutzrecht Parallelen zum Strafrecht.

226

D. Vereinbarkeit mit dem Datenschutzrecht

Für eine gemeinsame Verantwortlichkeit sämtlicher Knoten spricht auch eine Kontrollüberlegung. Würde man sich darauf zurückziehen können, dass das gesamte Netzwerk von einem Algorithmus gesteuert wird, könnte konsequenterweise niemand für die Datenverarbeitung im Netzwerk verantwortlich sein.900 Ein solches Ergebnis ist abzulehnen, da es das Regelungskonzept der DSGVO unterwandern würde, welches die Verantwortung und Haftung für sämtliche Verarbeitung personenbezogener Daten regeln will und „unverantwortete“ Datenverarbeitungen damit im Grunde schon axiomatisch ausgeschlossen sind.901

Lässt man daher für eine gemeinsame Verantwortlichkeit eine mittelbare Mitverursachung der Datenverarbeitung eines anderen ausreichen – wie etwa durch eine Koordinierung, Organisation oder „Ermunterung“,902 so muss man auch die Abspeicherung und Weiterleitung der Transaktionsdaten und Datenblöcke im Netzwerk zwecks Fortschreibung der Blockchain als hinreichenden Beitrag zur Mitentscheidung über Zwecke und Mittel der Datenverarbeitung in der Blockchain genügen lassen.903

900

So auch Berberich/Steiner, EDPL, 2016, 422, 424; Isler, Datenschutz auf der Blockchain, S. 13; Finck, EDPL, 2018, 17, 26; einschränkend Quiel, DuD, 2018, 566, 569. 901 Erw.Gr. 74 S. 1; Sydow–Raschauer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 7 Rn. 121; i.E. auch Böhme/Pesch, DuD, 2017, 473, 478 f. sowie Bechtolf/Vogt, ZD, 2018, 66, 69. 902 So für den Fall der Religionsgemeinschaften der EuGH, Urt. v. 10.07.2018 – C-25/17, ECLI:EU:C:2018:551, BeckRS 2018, 14563, Tz. 70 – Zeugen Jehovas; hierzu auch Uecker, ZD-Aktuell, 2018, 6247, Ziff. II.2. 903 Dies muss erst recht gelten vor dem Hintergrund, dass der EuGH für eine gemeinsame Verantwortlichkeit selbst die bloße Einbindung des Facebook Like-Buttons auf der eigenen Website als relevanten Beitrag hat ausreichen lassen, vgl. EuGH, Urt. v. 29.07.2019 – Rs. C-40/17, ECLI:EU:C:2019:629, Tz. 75 ff. – Fashion ID.

III. Welcher Blockchain-Akteur ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO?

227

Erst recht muss eine gemeinsame Verantwortlichkeit für Miner gelten, welche zusätzlich zu ihrem Beitrag als Netzwerkknoten auch die Erstellung der neuen an die Blockchain anzuhängenden Blöcke übernehmen. Auch wenn Miner für sich genommen keinen Einfluss auf das Ergebnis der Datenverarbeitung haben, weil die Blockchain auch ohne ihn fortgeführt wird und das Netzwerk aufgrund des Konsens-Algorithmus etwaige Falschangaben eines Miners ignoriert,904 sind sie gemessen an den Maßstäben der DSGVO nicht bloß „Diener des Systems“.905 Denn wie ein normaler Netzwerkknoten entscheidet sich auch ein Miner frei, sich dem Netzwerk anzuschließen und diesem die Rechenkapazitäten für die Erstellung neuer Datenblöcke für die Blockchain bereitzustellen. Er ist auch nicht den Weisungen eines Transaktionsabsenders unterworfen.906 Vielmehr setzt jeder Miner seine technischen Kapazitäten ein, um die von den Nutzern ins Netzwerk eingespeisten Transaktionsdaten zu verarbeiten und treibt damit die Fortschreibung der Blockchain voran.907 Zudem profitiert er wirtschaftlich besonders vom Betrieb der Blockchain908, jedenfalls soweit der jeweilige Konsensmechanismus eine spezifische Belohnung für das Entdecken

904

Vgl. Narayanan/Bonneau/Felten/Miller/Goldfeder, Bitcoin and cryptocurrency technologies, 1. Aufl., 2016, S. 38; Erbguth/Fasching, ZD, 2017, 560, 563 f. 905 A.A. Martini/Weinzierl, NVwZ, 2017, 1251, 1253; Paal/Pauly–Martini, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 26 Rn. 19; Erbguth/Fasching, ZD, 2017, 560, 563 f. 906 Finck, EDPL, 2018, 17, 26; Quiel, DuD, 2018, 566, 569. 907 Hofert, ZD, 2017, 161, 165; ähnlich Erbguth/Fasching, ZD, 2017, 560, 563, die eine Verantwortlichkeit der Miner im Ergebnis aber ablehnen; vgl. auch Plath–Plath, DSGVO/BDSG, 3. Aufl., 2018, Art. 26 Rn. 7a. 908 Hofert, ZD, 2017, 161, 165; Martini/Weinzierl, NVwZ, 2017, 1251, 1253.

D. Vereinbarkeit mit dem Datenschutzrecht

228

neuer Blöcke909 vorsieht. Damit entscheidet er selbst über seine Ziele und Zwecke der Datenverarbeitung und ist bei der Erstellung der Blöcke selbst Verantwortlicher.910

Die Netzwerkknoten eines Blockchain-Netzwerkes sind durch ihre Eingliederung ins Blockchain-Netzwerk, welche die Weiterleitung und Abspeicherung von Transaktionen bzw. neuen Datenblöcken bedingt, datenschutzrechtlich gemeinsam Verantwortliche gem. Art. 4 Nr. 7; Art. 26 Abs. 1 S. 1 DSGVO.

bb)

Verantwortlichkeit in geschlossenen Systemen

Bei zugangsbeschränkten Blockchains mit ihren geschlossenen Systemen (also sowohl private Blockchains als auch permissioned Blockchains) gibt es im Unterschied zu offenen Blockchains eine zentrale Instanz, welche als Intermediär den Zugang zum Netzwerksystem gewährt und überwacht. Dadurch rücken auch die Stellen, welche in dieser Weise eine zulassungsbeschränkte Blockchain kontrollieren – wie etwa der technische Betreiber der Blockchain bzw. die am Blockchain-System teilnehmenden Rechtsträger – in den Kreis der potentiellen Verantwortlichen.911

909

Dies ist z.B. bei der Bitcoin-Blockchain der Fall. So i.E. auch Finck, EDPL, 2018, 17, 26; Bechtolf/Vogt, ZD, 2018, 66, 69; Pesch/Sillaber, CRi, 2017, 166, 169; Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1033; Plath–Plath, DSGVO/BDSG, 3. Aufl., 2018, Art. 26 Rn. 7a; a.A. Martini/Weinzierl, NVwZ, 2017, 1251, 1253; Erbguth/Fasching, ZD, 2017, 560, 563; Isler, Datenschutz auf der Blockchain, S. 13. 911 Vgl. Berberich/Steiner, EDPL, 2016, 422, 424 („technical system operator […] or […] the group of participating entities“); Quiel, DuD, 2018, 566, 570; Finck, EDPL, 2018, 17, 26; Martini/Weinzierl, NVwZ, 2017, 1251, 1254. 910

III. Welcher Blockchain-Akteur ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO?

229

Man könnte zwar wie in offenen Systemen die (Mit-)Verantwortlichkeit bei jedem Netzwerkknoten sehen, weil jeder einzelne teilnehmende Knoten die gesamte Transaktionshistorie abspeichert und aktualisiert, mithin durch seine Schreibberechtigung eine aus dem Teilnehmerkreis der Blockchain hervorgehobene Position einnimmt.912 Ein solcher Ansatz lehnt sich jedoch zu stark an dem Modell frei zugänglicher Blockchains an, bei denen die Netzwerkknoten keiner Aufsicht unterstehen und im eigenen Interesse handeln können. Geschäftsmodelle mit geschlossenen Blockchain-Systemen unterscheiden sich aber gerade in dieser Hinsicht. Sie sind konzeptionell eher darauf ausgelegt, dass eine bestimmte Stelle die Kontrolle behält.913 Hier besteht ein großes Interesse daran, dass eine zentrale Instanz die Kontrolle über die Datenverarbeitung hat und über den Zugang zum geschlossenen Benutzerkreis entscheidet, wie beispielsweise beim Betrieb einer Blockchain durch ein Bankenkonsortium.914 Typischerweise treten einzelne Netzwerkknoten bzw. Miner in solchen Konstellationen nicht im Eigeninteresse, sondern weisungsgebunden im Interesse

der

Zentralstelle

als

Auftragsverarbeiter

gem.

Art. 4 Nr. 8,

28 Abs. 1 DSGVO zur „sachgemäßen Datenverarbeitung“ auf.915

912

Schrey/Thalhofer, NJW, 2017, 1431, 1433 f.; i.E. wohl auch Böhme/Pesch, DuD, 2017, 473, 479, Fn. 44; einschränkend Quiel, DuD, 2018, 566, 570. 913 Saive, CR, 2018, 186, 187 m.w.N. 914 Vgl. De Filippi, The Interplay between Decentralization and Privacy, S. 9; Glatz, Blockchain und Smart Contracts - Eine neue Basistechnologie im Recht?, in: Hartung/Bues/Halbleib (Hrsg.), Legal Tech, 1. Aufl., 2018, S. 287, 288. 915 So bereits Martini/Weinzierl, NVwZ, 2017, 1251, 1254; Finck, EDPL, 2018, 17, 27; Fridgen/Guggenberger/Hoeren/Prinz/Urbach, Chancen und Herausforderungen von DLT, 2019, S. 134 (mit ausdr. Hinweis, dass Knoten auch Verantwortliche sein können, sofern sie selbst Teil der Zentralstelle sind); ähnl. auch Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1034; a.A. Quiel, DuD, 2018, 566, 570, der Netzwerkknoten eher als gemeinsam verantwortlich einstuft.

230

D. Vereinbarkeit mit dem Datenschutzrecht

Bei geschlossenen Systemen verschiebt sich damit das Kontrollgefüge weg von den einzelnen Netzwerk-Knoten bzw. Minern hin zu übergeordneten Einzelinstanzen, die sich der Blockchain-Technologie schlicht als eines Datenbanksystems bedienen. Die Entscheidungsgewalt über die Datenverarbeitung in geschlossenen Systemen bleibt nämlich letztlich bei solchen übergeordneten Einzelinstanzen, die für private bzw. permissioned Blockchains über die Erteilung der Lese- bzw. Schreibrechte entscheiden.916 Sie haben die größte Einflussmöglichkeit auf das Netzwerk und sie entscheiden, für welche Zwecke und mit welchen Mitteln das Netzwerk die personenbezogenen Daten verarbeitet. Da sie als Intermediär durch Ausgestaltung der entsprechenden Anwendung festlegen, auf welche Weise die Datenverarbeitung zu erfolgen hat, erscheint eine (gemeinsame) Verantwortlichkeit des oder der Betreiber solcher übergeordneter Instanzen konsequent.917 Bei einer staatlich genutzten Blockchain hätte also beispielsweise die handelnde Behörde die datenschutzrechtliche Verantwortung, bei einer von privatwirtschaftlichen Rechtsträgern, etwa einem Zusammenschluss von Banken, genutzten Blockchain wären diese Rechtsträger selbst Verantwortliche im Sinne der DSGVO.918

Ausgehend von der Grundannahme, dass die Einzelnutzer – ebenso wie bei offenen Systemen – die Datenströme auf der Blockchain durch Bekanntgabe von

916

Vgl. Isler, Datenschutz auf der Blockchain, 6 f.; Martini/Weinzierl, NVwZ, 2017, 1251, 1254; ähnl. Quiel, DuD, 2018, 566, 570; Fridgen/Guggenberger/Hoeren/Prinz/Urbach, Chancen und Herausforderungen von DLT, 2019, S. 134. 917 Quiel, DuD, 2018, 566, 570; i.E. ebenfalls Finck, EDPL, 2018, 17, 26; Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1034; Isler, Datenschutz auf der Blockchain, S. 6 f.; Swatosch/T. Hartung, ZfV, 2018, 377, 380; Martini/Weinzierl, NVwZ, 2017, 1251, 1254; Berberich/Steiner, EDPL, 2016, 422, 424. 918 Martini/Weinzierl, NVwZ, 2017, 1251, 1254.

III. Welcher Blockchain-Akteur ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO?

231

Transaktionen erst ermöglichen und inhaltlich steuern, wird man diese konsequenterweise auch in zugangsbeschränkten Systemen als datenschutzrechtlich (Mit-)Verantwortliche einzustufen haben.919 Denn auch in geschlossenen Blockchains erhöhen sie durch ihre aktive Teilnahme am Netzwerk das Risiko für die Grundrechte der betroffenen Personen, sodass eine (gemeinsame) Verantwortlichkeit gerechtfertigt erscheint.920 Lässt man bereits die Einrichtung einer Facebook-Fanpage für eine Festlegung von Zwecken und Mitteln der Datenverarbeitung i.S.d. Art. 26 Abs. 1 S. 1 DSGVO ausreichen, so müssen erst recht Konstellationen genügen, in denen ein Nutzer aktiv Daten ins Netzwerk stellt.921

Damit ist festzuhalten, dass in zugangsbeschränkten Blockchains die Einzelnutzer sowie die über die entsprechenden Zugangsrechte entscheidenden übergeordneten Einzelinstanzen gem. Art. 4 Nr. 7, Art. 26 Abs. 1 S. 1 DSGVO daten-

919

Einschränkend Quiel, DuD, 2018, 566, 570 sowie Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1033 f. 920 A.A. Isler, Datenschutz auf der Blockchain, S. 6 f., der die datenschutzrechtliche Verantwortlichkeit in zulassungsbeschränkten Blockchain-Systemen allein bei der Kontrollinstanz sieht; i.E. ebenso Finck, EDPL, 2018, 17, 26 sowie Böhme/Pesch, DuD, 2017, 473, 474; Fridgen/Guggenberger/Hoeren/Prinz/Urbach, Chancen und Herausforderungen von DLT, 2019, S. 134; Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1034 hält eine Auftragsdatenverarbeitung sämtlicher Teilnehmer gegenüber der zentralen Stelle als Verantwortlichem für denkbar. 921 Dies muss erst recht gelten vor dem Hintergrund, dass der EuGH für eine gemeinsame Verantwortlichkeit selbst die bloße Einbindung des Facebook Like-Buttons auf der eigenen Website als relevanten Beitrag hat ausreichen lassen, vgl. EuGH, Urt. v. 29.07.2019 – Rs. C-40/17, ECLI:EU:C:2019:629, Tz. 75 ff. – Fashion ID.

D. Vereinbarkeit mit dem Datenschutzrecht

232

schutzrechtlich gemeinsam Verantwortliche sind. Jeder verfolgt unterschiedliche Zwecke und trägt zum System bei.922 Die Netzwerkknoten nehmen dagegen im Unterschied zu offenen Blockchains in der Regel die Rolle eines Auftragsverarbeiter gem. Art. 4 Nr. 8, Art. 28 Abs. 1 DSGVO ein.923

3.

Zwischenbetrachtung

Zum Ende des letzten Kapitels wurde die Frage aufgeworfen, wer in einem Blockchain-System als Adressat der DSGVO und damit als datenschutzrechtlich Verantwortlicher anzusehen ist. Während sich die Verantwortlichkeit für „Blockchain-externe“ Datenvorgänge noch relativ leicht bei den sich zwischen Einzelnutzern und Blockchain-Systemen einschaltenden Intermediären (z.B. Blockchain-Dienstleister wie Tauschbörsen oder Geldbörsen-Anbieter) ausmachen lässt,924 scheint innerhalb eines Blockchain-Netzwerkes auf den ersten Blick keiner der Beteiligten überhaupt relevante Einflussmöglichkeiten auf das System zu haben – dieses scheint vielmehr allein durch seinen Algorithmus beherrscht zu sein925. Im vorliegenden Kapitel wurde nun gezeigt, dass bei der Suche nach einem datenschutzrechtlich Verantwortlichen in Blockchain-Systemen durchaus differenziert werden muss:

922

Ähnl. Quiel, DuD, 2018, 566, 570.

923 A.A. i.E. Finck, EDPL, 2018, 17, 26;

Isler, Datenschutz auf der Blockchain, S. 6 f.; Schrey/Thalhofer, NJW, 2017, 1431, 1434. 924 Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1034; Finck, EDPL, 2018, 17, 26; Martini/Weinzierl, NVwZ, 2017, 1251, 1254; Berberich/Steiner, EDPL, 2016, 422, 424. 925 So i.E. etwa Isler, Datenschutz auf der Blockchain, S. 13; zumindest einschränkend auch Quiel, DuD, 2018, 566, 569.

III. Welcher Blockchain-Akteur ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO?

233

Die DSGVO will ein gleichmäßig hohes Datenschutzniveau für natürliche Personen gewährleisten und dabei auch moderne Datenverarbeitungsvorgänge erfassen, die mehr und mehr von arbeitsteiligen Beiträgen bestimmt sind. 926 Daher gebietet ein weites Verständnis von datenschutzrechtlicher Verantwortlichkeit, die Schwelle für eine relevante Einflussmöglichkeit auf die Datenverarbeitung nicht zu hoch anzusetzen. Bei einer Abschätzung der Tragweite dieses gesetzgeberischen Anliegens lassen sich die Erwägungen des EuGH im Zusammenhang mit datenschutzrechtlicher Verantwortlichkeit allerdings nicht ignorieren.927 Wie sich exemplarisch an der Facebook-Fanpages-Entscheidung gezeigt hat, kann zu einer Verantwortlichkeit letztlich bereits die Entscheidung führen, sich einem bestimmten Netzwerk anzuschließen und dessen Dienste in Anspruch zu nehmen, sofern das die Risiken für die Grundrechte auf Achtung des Privatlebens und des Schutzes personenbezogener Daten in relevanter Weise erhöht.928

Für Blockchain-Systeme verlangt dies eine Differenzierung nach der Art der Zugangsberechtigung:

Während in offenen Netzwerken die Knotenpunkte gemeinsam verantwortlich sind, weil sie sich freiwillig ans Netzwerk anschließen, sich den Regeln des Algorithmus unterwerfen und zu dessen Aufrechterhaltung beitragen, können

926

Erw.Gr. 10 S. 1 sowie Erw.Gr. 15 S. 1; Ehmann/Selmayr–Bertermann, DS-GVO, 2. Aufl., 2018, Art. 26 Rn. 5; Paal/Pauly–Martini, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 26 Rn. 1; Kühling/Buchner–J. Hartung, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 26 Rn. 10 m.w.N. 927 Moos/Rothkegel, MMR, 2018, 596, 597 f.; Petri, EuZW, 2018, 540, 541; Uecker, ZD-Aktuell, 2018, 6247. 928 EuGH, Urt. v. 05.06.2018 – Rs. C-210/16, ECLI:EU:C:2018:388, Tz. 35 ff. – Facebook-Fanpages; ähnl. Petri, EuZW, 2018, 540.

234

D. Vereinbarkeit mit dem Datenschutzrecht

dies in geschlossenen Netzwerken durchaus zentrale Einzelinstanzen sein, welche die Knotenpunkte als Auftragsverarbeiter für sich arbeiten lassen und durch die Zugangskontrolle das System im Eigeninteresse betreiben. In beiden Konstellationen wird man jedoch daneben auch die jeweiligen Einzelnutzer, welche die Leistungen des Netzwerkes durch ihre Transaktionsanweisungen in Anspruch nehmen und dadurch die entsprechenden verteilten Ströme potentiell personenbezogener Daten überhaupt erst ermöglichen, als datenschutzrechtlich (gemeinsam) Verantwortliche anzusehen haben.929

Diese Ergebnisse sind unbefriedigend, denn sie stellen sämtliche Beteiligte nicht nur vor erhebliche Schwierigkeiten, sondern zeigen auch Widersprüche zwischen gesetzgeberischen Anliegen der DSGVO und den Bedürfnissen neu entstehender dezentraler Technologien auf:

Neben einem unionsweiten wirksamen Schutz personenbezogener Daten beabsichtigte der EU-Gesetzgeber gleichzeitig eine klare Zuteilung von Verantwortlichkeiten, um die Rechte und Freiheiten betroffener Personen schützen

929

Vor dem Hintergrund des Fashion ID-Urteils des EuGH aus dem Jahr 2019 ist insbesondere aus mehreren Datenverarbeitungsvorgängen bestehenden bei Personendatenverarbeitungen hinsichtlich der gemeinsamen Verantwortlichkeit sorgfältig zu differenzieren, EuGH, Urt. v. 29.07.2019 – Rs. C-40/17, ECLI:EU:C:2019:629, Tz. 72 f. – Fashion ID; gemeinsam Verantwortliche müssen indes nicht zwingend identische Ziele verfolgen, s. auch Specht-Riemenschneider/Schneider, GRUR Int 2020, 1, 2; da der Beitrag des Einzelnutzers sich auf der Blockchain bereits über die Beeinflussung des Hash-Wertes bewusst und gewollt in allen nachfolgenden Datenverarbeitungen des Netzwerkes auswirkt und dem gemeinsamen Zweck der Fortführung der Blockchain dient, erscheint die gemeinsame Verantwortlichkeit gerechtfertigt; in eine ähnliche Richtung gehend Kipker/Bruns, CR 2020, 210, 215 f.; s. aber Fridgen/Guggenberger/Hoeren/Prinz/Urbach, Chancen und Herausforderungen von DLT, 2019, S. 134, die eine gemeinsame Verantwortlichkeit des Einzelnutzers insgesamt ablehnen.

III. Welcher Blockchain-Akteur ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO?

235

und einen Adressaten für behördliche Maßnahmen ermitteln zu können.930 Während eine solche Zuteilung für zugangsbeschränkte Blockchain-Systeme noch praktisch darstellbar erscheint,931 dürfte es bei offenen Systemen für Aufsichtsbehörden und betroffene Personen in der Praxis regelmäßig bereits schwierig sein, überhaupt eines Verantwortlichen habhaft zu werden. Da die Menge der Teilnehmer bei frei zugänglichen Netzwerken permanent wechselt, fehlt es an einer „homogenen“, das heißt eindeutig abgrenzbaren Gruppe von Verantwortlichen, wie sie dem EU-Gesetzgeber womöglich vorschwebte.932 Sogar der Verantwortliche selbst hat kaum die Möglichkeiten, mit anderen gemeinsam Verantwortlichen in Kontakt zu treten, um die gesetzlich geforderte, hinreichend transparente Vereinbarung zur Aufteilung der datenschutzrechtlichen Verpflichtungen gem. Art. 26 Abs. 1 S. 2 DSGVO zu treffen.933

Selbst in den Fällen, in denen ein einzelner Verantwortlicher ausgemacht würde, ergäben sich aus den Eigenschaften der Blockchain-Technologie – hier schließt sich der Kreis zum weiter oben934 angesprochenen Dilemma der faktischen Unveränderlichkeit – nicht weniger gravierende Folgeprobleme: In den meisten Fällen dürfte den einzelnen Beteiligten eine Einflussnahme faktisch unmöglich sein, sodass sie wegen datenschutzrechtlicher Vorgaben trotz ihrer gesamtschuldnerischen Haftung gem. Art. 82 Abs. 4 DSGVO nicht sinnvoll in

930

Vgl. Erw.Gr. 74; Erw.Gr. 79; Sydow–Ingold, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 26 Rn. 1; Ehmann/Selmayr–Bertermann, DS-GVO, 2. Aufl., 2018, Art. 26 Rn. 1; Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 368. 931 Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1034; Isler, Datenschutz auf der Blockchain, S. 6 f.; Finck, EDPL, 2018, 17, 26. 932 Böhme/Pesch, DuD, 2017, 473, 479; Pesch/Sillaber, CRi, 2017, 166, 170. 933 Böhme/Pesch, DuD, 2017, 473, 479; i.E. auch Plath–Plath, DSGVO/BDSG, 3. Aufl., 2018, Art. 26 Rn. 7a. 934 Abschnitt D.II.3.

236

D. Vereinbarkeit mit dem Datenschutzrecht

Anspruch genommen werden könnten.935 Vor allem Private, die grundsätzlich936 auch Pflichtenträger der DSGVO sein können, werden die datenschutzrechtlichen Anforderungen regelmäßig überfordern.937

Die einem Verantwortlichen obliegende Einhaltung datenschutzrechtlicher Regeln mag trotz aller technischer Schwierigkeiten zumindest noch theoretisch denkbar sein bei Blockchain-Varianten, in denen die Kontrolle über Datenverarbeitungen bei bestimmten Stellen zusammenläuft, wie bei einer Zertifizierungsstelle für Zugangsrechte in zugangsbeschränkten Blockchain-Netzwerken oder bei Geschäftsmodellen, in denen Intermediäre zwischen Nutzer und Blockchain eingeschaltet werden, wie beispielsweise bei Bitcoin-Handelsbörsen oder Anbietern von Bitcoin-Geldbörsen. Da es bei solchen Systemen bestimmte Instanzen mit Kontrollmöglichkeiten gibt, kann datenschutzrechtlichen Geboten leichter Folge geleistet werden.938

Der Ansatz der DSGVO (oder umgekehrt: der Blockchain-Technologie) versagt aber spätestens dann, wenn die Kontrolle über das Netzwerk nicht in den Händen einiger weniger Stellen liegt, sondern quasi „aus der Hand“ ins Blockchain-

935 Böhme/Pesch, DuD, 2017, 473, 478 f.; Pesch/Sillaber, CRi, 2017, 166, 171; Bechtolf/Vogt, ZD, 2018, 66, 69; Paal/Pauly–Martini, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 26 Rn. 7a; im Einzelnen zu den technischen Durchsetzungsschwierigkeiten Martini/Weinzierl, NVwZ, 2017, 1251, 1255. 936 Zumindest, soweit diese nicht im konkreten Einzelfall unter die Haushaltsausnahme des Art. 2 Abs. 2 lit. c) DSGVO fallen und die Datenverarbeitung in der Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten einer natürlichen Person besteht. 937 Quiel, DuD, 2018, 566, 570. 938 Vgl. Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1034; Bechtolf/Vogt, ZD, 2018, 66, 69; so wäre eine Vereinbarung gem. Art. 26 Abs. 1 DSGVO über AGB denkbar, s. Schrey/Thalhofer, NJW, 2017, 1431, 1434, und datenschutzrechtliche Mitteilungs- und Verarbeitungspflichten könnten erfüllt werden, vgl. Isler, Datenschutz auf der Blockchain, 6 f.

III. Welcher Blockchain-Akteur ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO?

237

Netzwerk gegeben wurde und die Blockchain durch alle Beteiligten ohne konkrete Absprachen fortgeführt wird, aber letztlich durch niemanden allein wirksam beeinflusst werden kann.939 Wie der EuGH in Sachen Facebook-Fanpages940 und Zeugen Jehovas941 klargestellt hat, steht das Fehlen relevanter Einflussnahmemöglichkeiten einer datenschutzrechtlichen Verantwortlichkeit nicht zwingend im Wege; vielmehr ist im Zweifel sicherzustellen, dass andere die entsprechenden Verpflichtungen erfüllen können.942

Damit ist festzuhalten, dass sich im Spannungsfeld zwischen DSGVO und Blockchain-Technologie rechtliche und technische Prinzipien weitgehend unvereinbar gegenüberstehen: Es besteht ein Systemkonflikt, der sich hinsichtlich der Unveränderlichkeit von Blockchains plakativ als Dilemma zwischen „Nicht-Vergessen-Können und Vergessen-Müssen“943, hinsichtlich ihrer Dezentralität als Dilemma zwischen „Nicht-Einstehen-Können“ und „Einstehen-Müssen“ beschreiben lässt. Blockchain-Systeme lassen sich daher nicht in zufriedenstellender Weise in den aktuellen legislativen Raum der DSGVO einpassen.

Das auf dem Prinzip datenschutzrechtlicher Verantwortlichkeit beruhende Regelungskonzept der DSGVO verträgt sich nicht mit Blockchains, die als Systeme

939

Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1034 f. weist vor diesem Hintergrund darauf hin, dass lediglich eine zugangsbeschränkte und abänderbare Blockchain die Vorgaben der DSGVO erfüllen könne; i.E. ähnl. Bechtolf/Vogt, ZD, 2018, 66, 69 f.; Vorschläge für weitere technische Anpassungen der Blockchain-Technologie machen Martini/Weinzierl, NVwZ, 2017, 1251, 1255 f.; Böhme/Pesch, DuD, 2017, 473, 480 f. 940 EuGH, Urt. v. 05.06.2018 – Rs. C-210/16, ECLI:EU:C:2018:388, Tz. 39 ff. – Facebook-Fanpages. 941 EuGH, Urt. v. 10.07.2018 – C-25/17, ECLI:EU:C:2018:551, BeckRS 2018, 14563, Tz. 70 ff. – Zeugen Jehovas. 942 Ähnl., aber nicht ohne Kritik Härting/Gössling, NJW, 2018, 2523, 2525; Sönke E. Schulz, ZD, 2018, 363, 364; Wagner, ZD, 2018, 307, 311; Moos/Rothkegel, MMR, 2018, 596, 597. 943 Martini/Weinzierl, NVwZ, 2017, 1251.

238

D. Vereinbarkeit mit dem Datenschutzrecht

„organisierter Verantwortungslosigkeit“944 gerade nicht auf einer zentralen Kontrollinstanz, sondern auf dem Prinzip des „trustless trust“ basieren.945 Blockchain-Technologie ist geradezu darauf ausgelegt, ohne zentrale Kontrollinstanzen auszukommen und verkörpert damit ein Stück weit das Gegenteil von dem Regelungsszenario, das der EU-Gesetzgeber wohl vor Augen hatte.946 Die DSGVO – basierend auf den Grundsätzen der aus dem Jahre 1995 stammenden DSRL – wurde gestaltet mit Blick auf ein Zeitalter zentralisierter Datensilos947 und war damit in gewisser Hinsicht bereits veraltet, bevor sie überhaupt in Kraft getreten ist.948 Viele Fragen, die sich im Zusammenhang mit aktuellen Themen der Digitalisierung stellen, kann die DSGVO aufgrund ihres nicht auf bestimmte Verarbeitungsrisiken zugeschnittenen „One-Size-Fits-All“Ansatzes nicht zufriedenstellend beantworten.949 Freilich verschärft das vom EuGH bereits vorgezeichnete weite Personenbezugsverständnis diesen Zustand zusätzlich: Lässt man für eine gemeinsame Verantwortlichkeit gleichsam eine Mitursächlichkeit für die Entstehung von Datenströmen genügen, läuft

944

Martini/Weinzierl, NVwZ, 2017, 1251, 1253. Isler, Datenschutz auf der Blockchain, S. 12; ähnl. Böhme/Pesch, DuD, 2017, 473, 478 sowie Plath–Plath, DSGVO/BDSG, 3. Aufl., 2018, Art. 26 Rn. 7a. 946 Isler, Datenschutz auf der Blockchain, S. 12; Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1033; ähnl. Pesch/Sillaber, CRi, 2017, 166, 171; Böhme/Pesch, DuD, 2017, 473, 478 f.; Bechtolf/Vogt, ZD, 2018, 66, 69; Berger, DVBl, 2017, 1271, 1273; Quiel, DuD, 2018, 566, 572 f. 947 Finck, EDPL, 2018, 17, 32; so erwähnt Erw.Gr. 18 die Nutzung sozialer Netzwerke und Erw.Gr. 92 als Anwendungsbeispiel die Schaffung einer gemeinsamen Anwendung bzw. Anwendungsumgebung für einen gesamten Wirtschaftssektor oder Marktsegment. 948 Finck, EDPL, 2018, 17, 32; ähnl. Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1033; Paal/Pauly–Martini, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 26 Rn. 41. 949 Gola–Sebastian Schulz, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 6 Rn. 5; Roßnagel/Nebel/Richter, ZD, 2015, 455, 460 („Unterkomplexität“); ähnl. auch Specht, GRUR Int., 2017, 1040, 1042 f. 945

III. Welcher Blockchain-Akteur ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO?

239

man Gefahr, im Ergebnis auf jegliches Element gemeinsamer Steuerung zu verzichten und somit das Konzept datenschutzrechtlicher (Mit-)Verantwortlichkeit ausufern zu lassen.950

Die Konsequenzen sollten nicht unterschätzt werden, denn eine zu großzügige Zuweisung der Verantwortlichenstellung mit den damit verbundenen umfassenden Verpflichtungen und drohenden Zwangsmaßnahmen könnte über kurz oder lang Interessierte von einer Teilnahme in „distributed ledger“-Systemen abhalten und zu einem „de facto-Bann“ führen.951 Mit den gesetzgeberischen Zielen stünde ein solches Ergebnis gewiss nicht in Einklang; denn es würde in der Praxis wahrscheinlich eine Abwanderung der Technologie in Rechtskreise mit schwächeren Datenschutzstandards zur Folge haben und damit den von der DSGVO gewollten Schutz personenbezogener Daten konterkarieren.952 Eine ausufernde Anwendung der DSGVO würde technologische Innovation hemmen und Wachstum bremsen, obgleich die Union und die Mitgliedstaaten es sich gem. Art. 173 Abs. 1 AEUV zur Aufgabe gemacht haben, Innovation, Forschung und technologische Entwicklung zu fördern.953

950

Ähnl. Schwartmann/Jaspers/Thüsing/Kugelmann–Kremer, DSGVO/BDSG, 2018, Art. 26 Rn. 15; Sönke E. Schulz, ZD, 2018, 363, 364; Moos/Rothkegel, MMR, 2018, 596, 597; Härting/Gössling, NJW, 2018, 2523, 2525; Uecker, ZD-Aktuell, 2018, 6247. 951 Pesch/Sillaber, CRi, 2017, 166, 171; ähnl. Finck, EDPL, 2018, 17, 27. 952 Pesch/Sillaber, CRi, 2017, 166, 171. 953 Finck, EDPL, 2018, 17, 33; Quiel, DuD, 2018, 566, 572; näher zu Förderungsmaßnahmen der Europäischen Kommission für Blockchain-Technologien Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1035 m.w.N.

E. Lösungsansätze Ohne klar abgrenzbare Verantwortlichkeiten sind die meisten Regularien und Schutzmechanismen der DSGVO praktisch wirkungslos.954 Das Gleiche gilt bei Szenarien, in denen sich ein Verantwortlicher nach den Anforderungen der DSGVO zwar bestimmen ließe, dieser aber bestimmte Betroffenenrechte mangels Änderbarkeit der Blockchain nicht hinreichend berücksichtigen könnte.955 Der Blockchain-Algorithmus trägt insofern das Potenzial in sich, Datenschutzrechte effektiv auszuhebeln.956 Derartige Schutzlücken, bei der Betroffenenrechte zu Gunsten von Blockchain-Systemen effektiv vollständig außer Kraft gesetzt werden, sind jedoch nicht nur unbefriedigend, sondern auch inakzeptabel. Es ist vielmehr erforderlich, nach Lösungsmöglichkeiten zu suchen, damit die Blockchain-Technologie nicht zu datenschutzrechtlichem „Niemandsland“957 wird. Sie bietet sogar große Chancen, den Datenschutz besonders im Hinblick auf Datensparsamkeit weiter voranzutreiben.958

I.

Ausgangsüberlegungen

Grundsätzlich kann man sich der Gemengelage zwischen der Blockchain-Technologie und der DSGVO über zwei Wege nähern – einerseits einen rechtlichregulatorischen, andererseits über einen technisch-konzeptionellen Weg.

954

Berberich/Steiner, EDPL, 2016, 422, 424; Isler, Datenschutz auf der Blockchain, S. 14 f. Martini/Weinzierl, NVwZ, 2017, 1251, 1258; Berberich/Steiner, EDPL, 2016, 422, 426. 956 Zur „normsetzenden Wirkung“ von als unabänderlich geltenden Programmcode und dessen Gefahrenpotential für Freiheitsrechte bereits Weichert, ZD, 2014, 605, 608 m.w.N. 957 Isler, Datenschutz auf der Blockchain, S. 13. 958 So bereits ausdrücklich Bechtolf/Vogt, ZD, 2018, 66, 71; Guggenberger, ZD, 2017, 49; ähnl. Finck, EDPL, 2018, 17, 34; Berberich/Steiner, EDPL, 2016, 422, 426. 955

© Der/die Herausgeber bzw. der/die Autor(en), exklusiv lizenziert durch Springer Fachmedien Wiesbaden GmbH, ein Teil von Springer Nature 2020 C. Peitz, Datenschutzrechtliche Verantwortlichkeit in Blockchain-Systemen, Juridicum – Schriften zum Medien-, Informations- und Datenrecht, https://doi.org/10.1007/978-3-658-32050-8_4

I. Ausgangsüberlegungen

241

Von technischer Seite bestünde zunächst die naheliegende Option, insgesamt die Anwendung der DSGVO auszuschließen, indem man einen Personenbezug schlicht vermeidet. Es existieren bereits kryptographische Konzepte, bei denen unter bestimmten Voraussetzungen ein Zugriff auf den Inhalt der zu verarbeitenden Daten für das Funktionieren einer Blockchain nicht erforderlich ist.959 Praktisch wurde dies zum Beispiel schon bei den Kryptowährungen Zcash oder Monero umgesetzt.960 Weitere Möglichkeiten sind Lösungswege aus dem technischen Datenschutz, die mit Identitätsmanagementkonzepten arbeiten961 oder bei denen Daten auf der Blockchain nur als Verknüpfung für nicht auf der Blockchain abgelegte sensible Inhalte verwendet werden962.

Dieser Weg ist freilich nicht vollkommen rechtssicher. Einerseits bleibt der rechtliche Rahmen für einen Ausschluss des Personenbezuges vergleichsweise vage und die Praxis ist damit weiterhin mit der nicht unerheblichen Rechtsunsicherheit konfrontiert, ob die DSGVO anwendbar ist oder nicht963 – eine Fehleinschätzung kann im Einzelfall aufgrund der von der DSGVO vorgesehenen

959

So zum Beispiel sog. „Zero-Knowledge-Beweise“, vgl. Guggenberger, ZD, 2017, 49, 50 und Martini/Weinzierl, NVwZ, 2017, 1251, 1256, oder sog. „homomorphe Verschlüsselung“, vgl. Böhme/Pesch, DuD, 2017, 473, 480. 960 Vgl. Böhme/Pesch, DuD, 2017, 473, 481 m.w.N. 961 Vgl. beispielsweise Bechtolf/Vogt, ZD, 2018, 66, 71, Böhme/Pesch, DuD, 2017, 473, 481 und Isler, Datenschutz auf der Blockchain, 17 f. 962 Martini/Weinzierl, NVwZ, 2017, 1251, 1256; Berberich/Steiner, EDPL, 2016, 422, 425. 963 Kühling/Buchner–Klar/Kühling, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 33; ähnl. auch Plath–Schreiber, DSGVO/BDSG, 3. Aufl., 2018, Art. 4 Rn. 21; Paal/Pauly–Ernst, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 4 Rn. 50; Ehmann/Selmayr–Klabunde, DS-GVO, 2. Aufl., 2018, Art. 4 Rn. 20; Hölzel, DuD, 2018, 502, 508; Pesch/Sillaber, CRi, 2017, 166, 171 regen vor diesem Hintergrund an, den Begriff der gemeinsamen Verantwortlichkeit gesetzlich näher auszudifferenzieren.

242

E. Lösungsansätze

Sanktionsmöglichkeiten folgenschwere Konsequenzen haben 964. Andererseits wird man sich angesichts der stetigen technischen Weiterentwicklung und der immer weiter wachsenden Möglichkeiten von Big Data nicht darauf verlassen können, dass technische Sicherungsmechanismen einen Personenbezug für immer verlässlich ausschließen werden.965 In den ersten Kapiteln wurde gezeigt, dass ein Personenbezug in vielen Fällen schon zum gegenwärtigen technischen Stand kaum ausgeschlossen werden kann bzw. wegen gesetzlicher Verpflichtungen gar nicht möglich ist. Jedenfalls wird sich der technische Datenschutz der Blockchain-Technologie stets am neusten Stand der sonstigen technologischen Entwicklung messen lassen müssen.966 Die DSGVO selbst hält indes keinerlei Vorgaben bereit, nach denen sich ein Datenverarbeiter richten könnte, um Anonymität rechtssicher gewährleisten zu können.

Dabei liegt es keinesfalls in der Absicht des EU-Gesetzgebers, den technischen Fortschritt zu bremsen, sondern ihn vielmehr im Sinne eines funktionsfähigen Binnenmarktes sogar zu fördern.967 Trotzdem besteht die Gefahr, dass durch

964

Daher hält Sydow–Ziebarth, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 1 Rn. 40 es für den sichersten Weg, auch schon vor Anwendbarkeit der DSGVO Daten gegen Kenntnisnahme Dritter zu schützen und damit ein Eingreifen des Datenschutzrechts zu vermeiden, obgleich dies im Ergebnis zu einem ähnlichen Zustand führe, als sei das Datenschutzrecht bereits anwendbar; ähnl. auch D. Heckmann, Kapitel 9: Datenschutz, in: Heckmann (Hrsg.), jurisPK-Internetrecht, 6. Aufl., 2019 [Stand: 20.03.2020], Rn. 112. 965 Aus diesem Grund sehen zahlreiche Stimmen in der Literatur ein „Ende der Anonymität“, so etwa Boehme-Neßler, DuD, 2016, 419; ähnl. auch Paal/Pauly–Ernst, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 4 Rn. 50; D. Heckmann, Kapitel 9: Datenschutz, in: Heckmann (Hrsg.), jurisPK-Internetrecht, 6. Aufl., 2019 [Stand: 20.03.2020], Rn. 112; zu den Schwierigkeiten bei der Implementierung von Technologien zum Blockchain-Datenschutz vgl. Böhme/Pesch, DuD, 2017, 473, 481. 966 Vgl. Berberich/Steiner, EDPL, 2016, 422, 425. 967 Vgl. z.B. Erw.Gr. 13 S. 2; Art. 173 Abs. 1 AEUV a.E.; Finck, EDPL, 2018, 17, 33; Quiel, DuD, 2018, 566, 572.

I. Ausgangsüberlegungen

243

die derzeitige Regelungssituation ein faktisches Verbot von dezentraler Blockchain-Technologie entsteht.968 Will man dezentrale Blockchain-Technologien nicht pauschal verbieten969, besteht die Herausforderung darin, datenschutzrechtliche Pflichten und Betroffenenrechte nicht auszuhebeln.

Hier zeigt sich, dass das Spannungsverhältnis zwischen Technik und Recht, welches gerade bei dezentralen Blockchain-Technologien deutlich zum Ausdruck kommt, sich nicht allein durch technische Weiterentwicklung auflösen lassen wird. Rechtliche Entwicklungen sind gleichermaßen notwendig, um einen funktionierenden Datenschutz in Blockchain-Systemen zu ermöglichen. Nicht weit genug würde es indes gehen, Interpretationsspielräume zu nutzen, um den Anwendungsbereich der DSGVO – beispielsweise hinsichtlich der Pflicht zur Festlegung einer Vereinbarung zur gemeinsamen Verantwortlichkeit gem. Art. 26 Abs. 1 S. 2 DSGVO970

oder

gar

der

Anwendbarkeit

des

Art. 26 Abs. 1 DSGVO insgesamt971 – enger zu ziehen. Dadurch würde der Schutz personenbezogener Daten lediglich verkürzt, obgleich er bei der Schaffung der DSGVO von zentraler Bedeutung war und es – das zeigt vor allem die derzeitige Entwicklung der Rechtsprechung des EuGH – aller Voraussicht nach auch bleiben wird.

968

So bereits Pesch/Sillaber, CRi, 2017, 166, 171. Wie beispielsweise bei der Regulierung der Finanzinstitute durch China, vgl. Pesch/Böhme, DuD, 2017, 93, 96 Fn. 36 m.w.N. 970 Pesch/Sillaber, CRi, 2017, 166, 171, die insoweit aber weitergehenden regulatorischen Handlungsbedarf sehen. 971 So etwa Isler, Datenschutz auf der Blockchain, S. 12 f., der eine Verantwortlichkeit in dezentralen Blockchain-Systemen mangels hinreichenden Einflusses insgesamt verneint; einschränkend auch Quiel, DuD, 2018, 566, 569 f. 969

E. Lösungsansätze

244

II. Verpflichtende Schaffung von Schnittstellen? Zugangsbeschränkte Blockchain-Systeme sind leichter kontrollierbar als frei zugängliche und lassen sich deshalb besser mit den Anforderungen der DSGVO in Einklang bringen.972 Eine solche Schnittstelle müsste freilich auch technische Möglichkeiten haben, eine Blockchain zu „redigieren“, also nachträgliche Änderungen zu veranlassen.973 Ein Ansatz könnte daher sein, gesetzlich verpflichtend die Schaffung einer Schnittstelle – eines Intermediärs als Kontrollstelle für Blockchains – einzuführen. Hier wären wiederum verschiedene Varianten denkbar:

1.

der Betrieb einer Blockchain auf einem eigenen Rechnernetz, über das der Verantwortliche uneingeschränkt verfügen und in welchem er eigenständig Löschungen vornehmen kann („Gatekeeper-Blockchain“);

2.

die Schaffung von zugangsbeschränkten redigierbaren Blockchains, bei denen auch nachträglich durch eine Schnittstelle selbst Änderungen vorgenommen werden können (Blockchain mit „Hoheitsschnittstelle“);

972

Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1033 f.; Bechtolf/Vogt, Blockchain und Datenschutz - Recht technologisch, in: Taeger (Hrsg.), Recht 4.0 - Innovationen aus den rechtswissenschaftlichen Laboren, 2017, S. 873, 884; Berger, DVBl, 2017, 1271, 1273; Berberich/Steiner, EDPL, 2016, 422, 425; im Kontext von öffentlichen Blockchains kämen für eine regulatorische Heranziehung praktisch nur solche Intermediäre in Frage, die Blockchain-Daten aufbereiten und einem breiteren Publikum zugänglich machen, jedoch keine Betroffenenrechte erfüllen könnten, s. Böhme/Pesch, DuD, 2017, 473, 480 sowie speziell im Kontext von Bitcoin Pesch/Böhme, DuD, 2017, 93, 97 f. 973 Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1033 f.; Bechtolf/Vogt, Blockchain und Datenschutz - Recht technologisch, in: Taeger (Hrsg.), Recht 4.0 - Innovationen aus den rechtswissenschaftlichen Laboren, 2017, S. 873, 884; Martini/Weinzierl, NVwZ, 2017, 1251, 1255.

II. Verpflichtende Schaffung von Schnittstellen?

3.

245

eine technische Umsetzung der rechtlichen Löschungsanordnungsbefugnis des Verantwortlichen gegenüber den angeschlossenen Knotenpunkten aufgrund des Auftragsverarbeitungsverhältnisses gem. Art. 28 Abs. 1 DSGVO.974

All diese Methoden könnten dazu beitragen, dass betroffene Personen keinerlei Abstriche bei ihren datenschutzrechtlichen Betroffenenrechten hinnehmen müssten. Gleichwohl ist diesem Ansatz ein wesentlicher Kritikpunkt entgegenzuhalten: er beschneidet die Blockchain-Technologie bei ihren größten und innovativsten technologischen Merkmalen. Eine regulierende Einengung des technischen Anwendungsbereichs von Blockchain auf zulassungsbeschränkte und „redigierbare“ Varianten würde zwar einen Verantwortlichen für die Wahrung der Betroffenenrechte gewährleisten, einen Mittelsmann aber gerade nicht verzichtbar machen.975 Ob auf diese Weise noch das Ziel erreicht würde, bei Nutzern dezentrales Vertrauen zu schaffen, ist mehr als fraglich. Im Ergebnis würde eine derartige rechtliche Einhegung der Technologie die Blockchain jedenfalls nicht mehr besonders innovativ wirken lassen, denn als zentralisierte Datenbankanwendungen wären ihr gängige zentrale Serverlösungen mit Administratorrechten häufig überlegen.976

974

Näher zu den verschiedenen Varianten Martini/Weinzierl, NVwZ, 2017, 1251, 1256 f. m.w.N.; speziell zur zugangsbeschränkten redigierbaren Blockchain auch Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1033 f. sowie Bechtolf/Vogt, ZD, 2018, 66, 71. 975 Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1035. 976 Vgl. Wüst/Gervais, Do you need a Blockchain?, S. 2; Bechtolf/Vogt, Blockchain und Datenschutz - Recht technologisch, in: Taeger (Hrsg.), Recht 4.0 - Innovationen aus den rechtswissenschaftlichen Laboren, 2017, S. 873, 884; Martini/Weinzierl, NVwZ, 2017, 1251, 1256 f.

E. Lösungsansätze

246

Daher wird im Folgenden zu untersuchen sein, ob der Gesichtspunkt des Datenschutzes durch Technikgestaltung an Blockchain-Systeme gesteigerte Anforderungen zur Datensparsamkeit stellt und zu einer Anonymisierung zwingt, um unumkehrbare Nachteile für Betroffenenrechte zu verhindern, ohne technologische Neuerungen zu stark zu beschneiden.

III. Anonymisierungspflicht in dezentralen bzw. nicht redigierbaren Systemen Der EU-Gesetzgeber hatte bei der Konzeption der DSGVO die Absicht, einen unionsweiten wirksamen Schutz personenbezogener Daten zu schaffen, und zwar insbesondere auch durch Verschärfung der Verpflichtungen für „diejenigen, die personenbezogene Daten verarbeiten und darüber entscheiden“.977 Jedoch ist die DSGVO auf den massenhaften Umgang mit personenbezogenen Daten – wie jenen in dezentralen Systemen – nicht zugeschnitten.978 Wie gezeigt, setzt sie konzeptionell für jeglichen Datenverarbeitungsvorgang stets die Existenz eines Verantwortlichen voraus, der für die Einhaltung der datenschutzrechtlichen Betroffenenrechte sorgen kann. Situationen, in denen es letztlich an einem (greifbaren) Subjekt fehlt, dem sich die datenschutzrechtliche Verantwortlichkeit zuordnen ließe bzw. in denen ein Verantwortlicher die Betroffenenrechte effektiv nicht erfüllen könnte, kennt sie nicht.979

977

Erw.Gr. 11. Specht, GRUR Int., 2017, 1040, 1042 f.; i.E. auch Plath–Plath, DSGVO/BDSG, 3. Aufl., 2018, Art. 26 Rn. 7a; Sydow–Peuker, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 17 Rn. 37; Gola–Nolte/Werkmeister, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 17 Rn. 33 f. 979 Isler, Datenschutz auf der Blockchain, S. 12; ähnl. Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1033 ff.; Finck, EDPL, 2018, 17, 32 f.; Böhme/Pesch, DuD, 2017, 473, 479; Bechtolf/Vogt, ZD, 2018, 66, 69; Berger, DVBl, 2017, 1271, 1273. 978

III. Anonymisierungspflicht in dezentralen bzw. nicht redigierbaren …

247

Einen Ausweg aus dem vermeintlich unvereinbaren Spannungsfeld zwischen technischen Eigenschaften der Blockchain und fundamentalen Grundsätzen des Datenschutzes könnte das in der DSGVO verankerte Prinzip des „Datenschutzes durch Technik“980 bieten. Wenn die DSGVO keine „unverantworteten Tätigkeiten“ kennt, so muss erwogen werden, ob eine Anonymisierung eine Lösungsoption darstellen kann in Situationen, in denen ein Verantwortlicher nicht greifbar ist bzw. datenschutzrechtliche Ansprüche nicht erfüllen kann.981

Der Datenschutz der DSGVO baut unter anderem auf dem in Art. 25 DSGVO verankerten Prinzip des Datenschutzes durch Technikgestaltung – sog. Privacy by Design – auf, also auf dem Prinzip, geeignete technische und organisatorische Maßnahmen zu ergreifen, um sicherzustellen, dass die Datenverarbeitung mit der DSGVO konform ist.982

Ließe sich Privacy by Design so verstehen, dass die Pflicht zum Datenschutz durch Technikgestaltung sich für Datenverarbeiter zu einer Anonymisierungspflicht hinsichtlich der verarbeiteten Daten verdichtet, so erscheinen Fälle

980

Sog. „data protection by design“, vgl. Erw.Gr. 78 S. 2; da dieser Begriff missverständlich ist, weil es letztlich nicht um den Schutz von Daten, sondern einer unverhältnismäßigen Beeinträchtigung des Persönlichkeitsrechts geht, wäre allerdings der Begriff „Privacy by Design“ treffender (s. hierzu Sebastian Schulz, CR, 2012, 204, 206) und wird mitunter auch verwendet, vgl. Guggenberger, ZD, 2017, 49. 981 Für die Anonymisierung als Lösungsoption für den datenschutzrechtlichen Umgang im Big DataKontext bereits Specht, GRUR Int., 2017, 1040, 1046 f. 982 Sydow–Mantz, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 25 Rn. 1 ff.; Gola– Nolte/Werkmeister, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 25 Rn. 1 ff.; Kühling/Buchner–J. Hartung, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 25 Rn. 1; Plath–Plath, DSGVO/BDSG, 3. Aufl., 2018, Art. 25 Rn. 1 ff.; Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 831.

E. Lösungsansätze

248

handhabbar, in denen die Dezentralität oder Unveränderlichkeit der Blockchain eine Verwirklichung von Betroffenenrechten ansonsten vereiteln würde.

1.

Art. 25 Abs. 1 DSGVO als Anknüpfungspunkt für Anonymisierungs-

pflichten Regelungstechnischer Anknüpfungspunkt ist Art. 25 Abs. 1 DSGVO, in welchem das Prinzip des Datenschutzes durch Technikgestaltung verankert ist. Die Regelung verlangt, dass bereits im Vorfeld einer Datenverarbeitung „geeignete technische und organisatorische“ Maßnahmen getroffen werden müssen, um einem Risiko für Rechte und Freiheiten natürlicher Personen wirksam zu begegnen.

a) Regelungssituation Die Pflicht zum Datenschutz durch Technikgestaltung setzt bereits vor dem eigentlichen Datenverarbeitungsvorgang an983, zu einem Zeitpunkt also, bei dem die DSGVO wegen Art. 2 Abs. 1 noch nicht anwendbar ist und es nach dem Verständnis der DSGVO (noch) keinen Verantwortlichen gibt.984 Damit ist die Regelungslage nicht unähnlich der Ausgangssituation von Blockchain-Systemen, bei denen es an einem greifbaren bzw. hinreichend einflussreichen Verantwortlichen fehlt. Der Grundsatz des Privacy by Design hat daher gerade in

983

Gola–Nolte/Werkmeister, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 25 Rn. 13; Ehmann/Selmayr–Baumgartner, DS-GVO, 2. Aufl., 2018, Art. 25 Rn. 16; Kühling/Buchner–J. Hartung, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 25 Rn. 11; Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 835; Schwartmann/Jaspers/Thüsing/Kugelmann–Keber/Keppeler, DSGVO/BDSG, 2018, Art. 25 Rn. 30. 984 Daher läge ein konkreter Verstoß gegen die DSGVO auch nicht bereits im Unterlassen datenschutzfreundlicher Technikgestaltung in der Entwicklungsphase, sondern in der sich anschließenden Inbetriebnahmephase, s. Ehmann/Selmayr–Baumgartner, DS-GVO, 2. Aufl., 2018, Art. 25 Rn. 7.

III. Anonymisierungspflicht in dezentralen bzw. nicht redigierbaren …

249

Blockchain-Systemen mit dezentralen Netzwerken eine besondere Bedeutung.985

b) Regelungsadressat Die Verpflichtung auf einen Datenschutz durch Technikgestaltung trifft nach dem Wortlaut des Art. 25 Abs. 1 DSGVO unmittelbar den Verantwortlichen. Eine regulatorische Inanspruchnahme der Hersteller oder Entwickler von Blockchain-Software, die unter Umständen näher am eigentlichen Problem der Verwendung eines datenschutzrechtlich inkompatiblen Algorithmus ansetzen könnte, scheidet hingegen aus, weil dies gesetzgeberisch nicht gewollt war. Hersteller von Produkten, Diensten und Anwendungen sollen nach dem Willen des Gesetzgebers lediglich „ermutigt werden“, ihre Leistungen nach den Anforderungen des Datenschutzes durch Technik auszurichten.986 Nach der normativen Vorstellung des EU-Gesetzgebers soll der Privacy by Design-Grundsatz bei Software-Herstellern nur mittelbar über die Nachfrage entsprechender Leistungen und datenschutzfreundlicher Software-Produkte wirken.987

Es erscheint daher wertungsmäßig gerechtfertigt, Teilnehmern eines Blockchain-Netzwerkes als Verantwortlichen die Einhaltung der Grundsätze des Da-

985

Ähnl. bereits Isler, Datenschutz auf der Blockchain, 13 f.; Quiel, DuD, 2018, 566, 571. Erw.Gr. 78 S. 4. 987 Gola–Nolte/Werkmeister, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 25 Rn. 11; Kühling/Buchner–J. Hartung, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 25 Rn. 13; Ehmann/Selmayr–Baumgartner, DS-GVO, 2. Aufl., 2018, Art. 25 Rn. 6; Paal/Pauly–Martini, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 25 Rn. 25; Sydow–Mantz, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 25 Rn. 17 m.w.N. 986

E. Lösungsansätze

250

tenschutzes durch Technikgestaltung – z.B. durch Verwendung und entsprechende Nachfrage datenschutzgeeigneter Blockchain-Software – abzuverlangen.

2.

Blockchains als hohes Risiko für Rechte und Freiheiten

Art. 25 Abs. 1 DSGVO verlangt „geeignete technische und organisatorische Maßnahmen“ zum Schutz der Rechte und Freiheiten der betroffenen Personen unter Berücksichtigung verschiedener Faktoren wie des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung, aber auch der „unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken für Rechte und Freiheiten natürlicher Personen“. Welche technischen und organisatorischen Maßnahmen geeignet sind und ob sich eine Anonymisierungspflicht ergeben kann, richtet sich also nach einer Gesamtschau der Risikofaktoren für Rechte und Freiheiten einer betroffenen Person und den anerkennenswerten Interessen des Verantwortlichen.988

Ungeachtet des Erfordernisses einer Abwägung der Interessen im Einzelfall ist vorliegend interessant, ob der Gesetzgeber das Problem neuer Technologien gesehen hat und ob sich gewisse generelle Aussagen zum Verhältnis der Blockchain-Technologie und den Risiken für Rechte und Freiheiten von betroffenen Personen treffen lassen.

988

Gola–Nolte/Werkmeister, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 25 Rn. 21; Auernhammer–Brüggemann, DSGVO/BDSG, 6. Aufl., 2018, Art. 25 Rn. 10; Ehmann/Selmayr–Baumgartner, DS-GVO, 2. Aufl., 2018, Art. 25 Rn. 15 ff.; Paal/Pauly–Martini, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 25 Rn. 36; Albrecht/Jotzo, Das neue Datenschutzrecht in der EU, 1. Aufl., 2017, S. 92.

III. Anonymisierungspflicht in dezentralen bzw. nicht redigierbaren …

251

Da ein Datenschutz durch Technikgestaltung die Pflicht einer Datenschutz-Folgenabschätzung teilweise vorwegnimmt,989 erscheint es gerechtfertigt, in diesem Zusammenhang die entsprechenden gesetzgeberischen Erwägungen heranzuziehen. Zumindest mittelbar lässt sich den Erw.Gr. 89 und 91 S. 1, welche sich mit Fragen der Erforderlichkeit einer Datenschutz-Folgenabschätzung befassen, entnehmen, in welchen Fällen der EU-Gesetzgeber ein hohes Risiko einer Datenverarbeitung annimmt. Erw.Gr. 89 S. 3 stellt klar, dass insbesondere Verarbeitungsvorgänge, bei denen neue Technologien eingesetzt werden, mit einem hohen Risiko für Rechte und Freiheiten von natürlichen Personen verbunden sind. Aus Erw.Gr. 91 S. 1 geht hervor, dass gerade bei umfangreichen Datenverarbeitungsvorgängen unter hohem Einsatz von neuer Technologie sowie bei sonstigen Verarbeitungsvorgängen, bei denen betroffenen Personen die Ausübung ihrer Rechte erschwert wird, ein hohes Risiko besteht und eine Datenschutz-Folgenabschätzung durchgeführt werden sollte. Der EU-Gesetzgeber hatte also bei einem hohen Risiko insbesondere auch den Einsatz von neuen Technologien bei umfangreichen Datenverarbeitungsvorgängen sowie bei solchen Vorgängen, die die Geltendmachung von Betroffenenrechten erschweren könnten, vor Augen.

Die erwähnten Fallgruppen passen insbesondere auf die Blockchain-Technologie: Einerseits handelt es sich dabei um eine sehr neue Technologie, welche

989

Plath–Plath, DSGVO/BDSG, 3. Aufl., 2018, Art. 25 Rn. 2; ähnl. Ehmann/Selmayr–Baumgartner, DS-GVO, 2. Aufl., 2018, Art. 25 Rn. 7; Sydow–Mantz, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 25 Rn. 35; Kühling/Buchner–J. Hartung, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 25 Rn. 11.

E. Lösungsansätze

252

zudem auf massenhafte Transaktionsverarbeitungen ausgelegt ist;990 andererseits erschweren technologiespezifische Eigenschaften von Blockchains – Dezentralität und Unveränderlichkeit – potentiell Betroffenen, die ihnen zustehenden Rechte effizient geltend zu machen. Blockchain-Technologien stellen damit auch nach den Maßstäben der DSGVO ein hohes Risiko für Rechte und Freiheiten von natürlichen Personen dar.

3.

Datenschutz durch (Anonymisierungs-)Technik

Steht fest, dass Blockchains aus datenschutzrechtlicher Sicht besonderer Aufmerksamkeit bedürfen, weil sie ein hohes Risiko für die Rechte potentiell Betroffener bedeuten, schließt sich daran die Frage an, wie diesem Risiko datenschutzrechtlich zu begegnen ist, oder präziser: ob der Grundsatz des Privacy by Design zu einer Anonymisierungspflicht führen kann.

In Erw.Gr. 28 benennt der Gesetzgeber die Pseudonymisierung ausdrücklich als Möglichkeit zur Risikoabsenkung für die betroffenen Personen und als Mittel für die Einhaltung der Datenschutzpflichten von Verantwortlichen und Auftragsverarbeitern. Dies schließt aber andere Datenschutzmaßnahmen wie die Anonymisierung als technische Datenschutzmaßnahme keinesfalls aus.991 Ist die Pseudonymisierung ein Mittel der Risikoabsenkung für Verantwortliche oder Auftragsverarbeiter, so ist die Anonymisierung im Ergebnis ein Mittel der

990

Vgl. Paal/Pauly–Martini, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 35 Rn. 18, der Blockchain-Technologie aufgrund ihrer Neuartigkeit ausdrücklich als Risikofaktor bei der Datenschutz-Folgenabschätzung einbezieht. 991 Paal/Pauly–Martini, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 25 Rn. 29; Kühling/Buchner–J. Hartung, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 25 Rn. 16; Sydow–Mantz, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 32 Rn. 13; Ehmann/Selmayr–Hladjk, DS-GVO, 2. Aufl., 2018, Art. 32 Rn. 7.

III. Anonymisierungspflicht in dezentralen bzw. nicht redigierbaren …

253

Risikovermeidung992 und damit erst recht eine Option des Datenschutzes durch Technik. Denn in Fällen, in denen eine Identifizierung zumindest nicht ernstlich droht, besteht typischerweise auch keine Gefahrenlage für die personenbezogenen Daten einer natürlichen Person, sodass es auch einer Anwendung der Regeln der DSGVO nicht bedarf.

a) Anonymisierungspflichten in der DSGVO Nach der Konzeption der DSGVO kann zum Schutz der Rechte und Freiheiten betroffener Personen eine Pflicht zur Anonymisierung durchaus bestehen. Die DSGVO kennt Situationen, in denen sie eine Anonymisierungspflicht annimmt, um Betroffenenrechte zu schützen. Insbesondere dann, wenn eine Identifizierbarkeit von Personen für die Zweckerreichung einer Datenverarbeitung nicht mehr erforderlich ist, können entsprechende Datenbestände nach dem Grundsatz

der

Speicherbegrenzung 993

Art. 5 Abs. 1 lit. e) DSGVO.

zu

anonymisieren

sein,

Bei der Verarbeitung von Datenbeständen zu be-

stimmten besonderen Zwecken gem. Art. 89 Abs. 1 DSGVO (zu im öffentlichen Interesse liegenden Archivzwecken, zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken) bestehen gewisse Privilegien bei der Zweckbindung und Speicherbegrenzung, jedoch nur dann, wenn die Betroffenenrechte ausreichend geschützt werden – diesbezüglich besteht

992 Ein völliger Risikoausschluss ist auch mit Mitteln der Anonymisierung kaum möglich, weil die Wirksamkeit der Anonymisierung angesichts stetiger technischer Entwicklung stets nur eine „Momentaufnahme“ darstellt, s. Wójtowicz/Cebulla, PinG, 2017, 186, 190. 993 Wójtowicz/Cebulla, PinG, 2017, 186, 190; Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 445; Auernhammer–Kramer, DSGVO/BDSG, 6. Aufl., 2018, Art. 5 Rn. 38; ähnl. Sydow– Reimer, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 5 Rn. 40; Kühling/Buchner– Herbst, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 5 Rn. 66; Sydow–Ennöckl, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 4 Nr. 5 Rn. 105 m.w.N.

254

E. Lösungsansätze

die organisatorische Pflicht, so weit wie möglich Anonymisierungsmaßnahmen zu ergreifen.994

b) Anonymisierungspflicht für dezentrale bzw. nicht redigierbare Systeme Es besteht kein Grund, Anonymisierungspflichten nur für solche Fälle anzunehmen, in denen bestimmte privilegierende Tatbestände wie der Art. 89 DSGVO reduzierte Anforderungen an die Zweckbindung und Speicherbegrenzung stellen. In Konstellationen, in denen sich datenschutzrechtliche Verantwortlichkeiten nicht klären oder Löschungspflichten nicht umsetzen lassen, besteht typischerweise eine Gefahr für Betroffenenrechte, die im Verhältnis zu Situationen mit eindeutiger Verantwortlichkeit sogar deutlich höher ist, weil bei Fehlen eines greifbaren bzw. hinreichend einflussreichen Verantwortlichen als Anspruchsgegner keine Möglichkeiten bestehen, Betroffenenrechte überhaupt wirksam geltend zu machen. Die Rechte eines Betroffenen würden im Ergebnis nicht nur eingeschränkt, sondern letztlich vollkommen ausgehöhlt. Anonymisierungspflichten müssen also erst recht in solchen Fällen bestehen, in denen es an einer (effektiven) datenschutzrechtlichen Verantwortlichkeit fehlt.

Angesichts des Umstandes, dass das Datenschutzrecht anderenfalls in derartigen Fällen praktisch wirkungslos wäre, bleibt als Lösungsoption für einen Datenschutz durch Technik einzig, eine Situation zu schaffen, in welcher es eines umfangreichen Schutzes durch die DSGVO und damit eines Verantwortlichen

994

Wolff/Brink–Eichler, Beck'scher Online-Kommentar Datenschutzrecht, 31. Edition, 2020 [Stand: 01.05.2019], Art. 89 Rn. 15; Auernhammer–Greve, DSGVO/BDSG, 6. Aufl., 2018, Art. 89 Rn. 8; Albrecht/Jotzo, Das neue Datenschutzrecht in der EU, 1. Aufl., 2017, S. 82; Schaar, ZD, 2016, 224, 225; Schwartmann/Jaspers/Thüsing/Kugelmann–Wybitul, DSGVO/BDSG, 2018, Art. 89 Rn. 22; Schaffland/Wiltfang–Schaffland/Holthaus, Datenschutz-Grundverordnung (DS-GVO), Bundesdatenschutzgesetz (BDSG), 2020 [Stand: 01.12.2019], Art. 89 Rn. 11.

III. Anonymisierungspflicht in dezentralen bzw. nicht redigierbaren …

255

nicht bedarf. Dies lässt sich nur dann annehmen, wenn es an personenbezogenen Daten fehlt, wenn Daten also anonym sind. Die Anonymisierung erscheint damit die einzige geeignete technische und organisatorische Schutzmaßnahme i.S.v. Art. 25 Abs. 1 DSGVO, mit der dem Problem einer ineffektiven Verantwortlichkeit in dezentralen Systemen begegnet werden kann und daher auch begegnet werden muss. Der nach Art. 25 Abs. 1 DSGVO grundsätzlich weite Gestaltungsspielraum995 bei der Auswahl technischer und organisatorischer Maßnahmen verdichtet sich in Fällen dezentraler Netzwerke auf die Anonymisierung.996

Dem stehen die – auch im Rahmen von Art. 25 Abs. 1 DSGVO bei der Abwägung zu berücksichtigenden – anerkennenswerten Interessen eines Datenverarbeiters nicht per se entgegen. Gerade unter Gesichtspunkten des angemessenen Interessenausgleichs spricht viel dafür, dezentrale und/oder nicht redigierbare Blockchain-Systeme unter den Vorbehalt einer Anonymisierungspflicht zu stellen. Ohne Anonymisierungspflichten ließe sich mangels effektiver technischer Möglichkeiten der einzelnen Verantwortlichen ein wirkungsvoller Datenschutz

995

Ehmann/Selmayr–Baumgartner, DS-GVO, 2. Aufl., 2018, Art. 25 Rn. 12; Kühling/Buchner–J. Hartung, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 25 Rn. 17; Paal/Pauly–Martini, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 25 Rn. 36; Sydow– Mantz, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 25 Rn. 36. 996 Berberich/Steiner, EDPL, 2016, 422, 425 bezweifeln, dass das Privacy by Design-Prinzip des Art. 25 DSGVO angesichts der großen Bandbreite von Geschäftsmodellen zu konkreten technischen Maßnahmen verpflichtet; krit. auch Quiel, DuD, 2018, 566, 570 f., der jedenfalls bei aktuellen Blockchains eine Anwendung von Privacy by Design-Pflichten weitgehend für unverhältnismäßig hält.

256

E. Lösungsansätze

bei Blockchain-Systemen letztlich nur durch ein Verbot einer solchen Technologie realisieren.997 Ein solcher Schritt wäre allerdings nicht nur eine Hemmung des technologischen Fortschritts, welche der EU-Gesetzgeber in dieser Form kaum beabsichtigt haben kann, sondern vor allem auch ein grober Einschnitt in Grundrechte998 von anderen Blockchain-Teilnehmern. Im Vergleich dazu stellt eine Anonymisierungspflicht ein milderes Mittel dar, mit welchem die datenschutzrechtlichen Interessen von Einzelpersonen und die schützenswerten Interessen anderer an der Datenverarbeitung in Blockchain-Geschäftsmodellen gleichermaßen zur Geltung gebracht werden können.

Hier lassen sich zudem die Erwägungen des Gesetzgebers bei der Entstehung der DSGVO heranziehen. Bereits anlässlich der Erörterungen des ersten Kommissionsentwurfes in den beteiligten Ausschüssen des EU-Parlaments im Zusammenhang mit dem Schutzbereich der DSGVO war die Anonymisierung als probates Mittel angesehen worden, um einen angemessenen Ausgleich zwischen berechtigten Interessen für bestimmte Geschäftsmodelle und dem von der DSGVO geschützten Grundrecht auf Schutz personenbezogener Daten zu erreichen und ein hohes Maß an Verbraucherschutz zu gewährleisten.999 Die Nichtanwendbarkeit der DSGVO wurde sogar als ein Anreiz für Unternehmen

997 Martini/Weinzierl, NVwZ, 2017, 1251, 1257, befürworten hingegen de lege ferenda eine Beschränkung des Rechts auf Löschung und halten im Interesse eines gewinnbringenden Einsatzes von Technologie eine wesentliche Erschwerung der Identifizierungsmöglichkeiten für ausreichend, um einen angemessenen Interessenausgleich zwischen einer bestimmbaren Person und den Blockchain-Teilnehmern herzustellen. 998 Je nach Konstellation kann es sich beispielsweise um die unternehmerische Freiheit, die Freiheit der Meinungsäußerung und Informationsfreiheit oder Versammlungs- und Vereinigungsfreiheit handeln, s. Pesch/Sillaber, CRi, 2017, 166, 171 m.w.N. 999 S. Ausschuss für bürgerliche Freiheiten, Justiz und Inneres, Bericht v. 21.11.2013, S. 236, die dort beigefügte Stellungnahme des Ausschusses für Industrie, Forschung und Energie auf S. 262 sowie des Ausschusses für Binnenmarkt und Verbraucherschutz auf S. 513.

III. Anonymisierungspflicht in dezentralen bzw. nicht redigierbaren …

257

gesehen, Anonymisierung durchzuführen.1000 Der EU-Gesetzgeber ging bei der Konzeption der DSGVO mithin selbst davon aus, dass die Anonymisierung einen angemessenen Interessenausgleich herstellen kann in Konstellationen, in denen bestimmte Geschäftsmodelle mit den Grundrechten von Einzelpersonen kollidieren. Im weiteren Verlauf des Gesetzgebungsprozesses blieb es bei der Grundstruktur der Definition von personenbezogenen Daten und damit des Anwendungsbereiches der DSGVO;1001 es bestehen also keine Anhaltspunkte dafür, dass sich die Auffassung des EU-Gesetzgebers maßgeblich geändert hat. Anonymisierung sollte ein Weg sein, solche Geschäftsmodelle möglich zu machen, die anderenfalls aus datenschutzrechtlicher Sicht nicht zulässig wären.

4.

Erforderlichkeit von Anonymisierungsstandards

Widersprechen die anerkennenswerten Interessen der Teilnehmer eines Blockchain-Netzwerkes nicht per se einer Anonymisierungspflicht, so stehen die konkreten technischen Schutzmaßnahmen doch unter dem Vorbehalt der Verhältnismäßigkeit und ist aus Sicht des Datenverarbeiters insbesondere der Stand der Technik zu berücksichtigen, damit dieser vor übermäßigen Belastungen geschützt ist.1002 Konkrete Standards für eine erfolgreiche Anonymisierung hat der EU-Gesetzgeber indes bislang nicht vorgegeben.1003

1000 S. die Stellungnahme des Ausschusses für Binnenmarkt und Verbraucherschutz im Bericht des LIBE-Ausschusses, Ausschuss für bürgerliche Freiheiten, Justiz und Inneres, Bericht v. 21.11.2013, S. 512. 1001 Albrecht, CR, 2016, 88, 91. 1002 Paal/Pauly–Martini, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 25 38 ff.; vgl. auch Auernhammer–Eßer, DSGVO/BDSG, 6. Aufl., 2018, Art. 4 71 f.; Gola– Nolte/Werkmeister, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 25 Rn. 22 f. 1003 Hölzel, DuD, 2018, 502, 506; Wójtowicz/Cebulla, PinG, 2017, 186, 190; Voigt/von dem Bussche, EU-Datenschutz-Grundverordnung (DSGVO), 1. Aufl., 2018, S. 17; Auernhammer–Eßer, DSGVO/BDSG, 6. Aufl., 2018, Art. 4 Rn. 73; Gola–Gola, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 4 Rn. 41; ähnl. bereits hinsichtlich der DSRL Karg, DuD, 2015, 520, 525 f.

258

E. Lösungsansätze

a) Problemstellung Dabei erscheint vor allem problematisch, dass Blockchains eine dauerhafte Anonymität nicht garantieren können.1004 Anonymisierung ist einer gewissen Dynamik unterworfen,1005 was der Funktionsweise von existierenden Blockchains gewissermaßen zuwiderläuft, bei denen ein bestimmter Zustand statisch abgespeichert werden soll. In Zeiten von Big Data erscheint es fraglich, ob die Herstellung eines Personenbezuges überhaupt dauerhaft sicher ausgeschlossen werden kann.1006

Das Problem ließe sich so zusammenfassen, dass die DSGVO zwar vorschreibt, dass eine Pflicht zur Anonymisierung besteht, nicht aber, wie diese Pflicht erfüllt werden kann.1007 Bezüglich der Gestaltung von Anonymisierungsprojekten existieren zwar Hinweise der Artikel-29-Datenschutzgruppe1008, jedoch keine bindenden Regularien. Für einen Verantwortlichen verbleibt hinsichtlich der Wirksamkeit einer Anonymisierung stets ein gewisses Restrisiko.1009

1004

Guggenberger, ZD, 2017, 49, 50. Finck, EDPL, 2018, 17, 23; Wójtowicz/Cebulla, PinG, 2017, 186, 190. 1006 Wójtowicz/Cebulla, PinG, 2017, 186, 190; Specht, GRUR Int., 2017, 1040, 1046; Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl. 2017, Rn. 300; teilweise wird sogar von einem „Ende der Anonymität“ gesprochen, s. Boehme-Neßler, DuD, 2016, 419. 1007 Wójtowicz/Cebulla, PinG, 2017, 186, 190. 1008 Artikel-29-Datenschutzgruppe, Stellungnahme 5/2014 zu Anonymisierungstechniken - WP 216, v. 10.04.2014. 1009 Voigt/von dem Bussche, EU-Datenschutz-Grundverordnung (DSGVO), 1. Aufl., 2018, S. 18; allg. zur Bestimmung des Stands der Technik Sydow–Mantz, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 25 Rn. 39 („erhebliche Schwierigkeit“). 1005

III. Anonymisierungspflicht in dezentralen bzw. nicht redigierbaren …

259

b) Lösungsmöglichkeit: Schaffung bindender Standards Von rechtlicher Seite könnte dem Problem begegnet werden, indem technische Standards normiert bzw. für verbindlich erklärt würden und bei deren Einhaltung das Vorliegen einer Anonymisierung unwiderleglich vermutet würde.1010 Aktuell unterstützt die DSGVO Verantwortliche und Auftragsverarbeiter bei der Einhaltung der Privacy by Design-Vorgaben durch genehmigte Verhaltensregeln gem. Art. 40 DSGVO bzw. Zertifizierung gem. Art. 42 DSGVO, mit denen diese die Einhaltung ihrer datenschutzrechtlichen Pflichten nachweisen können.1011 Vor allem in Form von Verhaltensregeln können Gruppen von Verantwortlichen oder Auftragsverarbeitern die DSGVO näher konkretisieren, und zwar auch hinsichtlich Fragen des Personenbezuges.1012 Solche Regelungen sind freilich nur Indizien1013 und stellen noch keine unwiderlegliche Vermutung zur Einhaltung von technischen Standards dar, sie könnten aber ein Vorbild sein, um solche verbindlichen Standards bei Fragen der Anonymisierung rechtssicher festzulegen.

Zur Konturierung der Anonymisierung könnte insbesondere eine ausdrückliche Regelung beitragen. Absichern ließe sich dieses Konzept durch ein Verbot der Rückgängigmachung einer Anonymisierung durch gesetzliche Verbote und

1010 So bereits Specht, GRUR Int., 2017, 1040, 1046; für eine Schaffung von Gestaltungsrichtlinien für verteilte Systeme auch Pesch/Sillaber, CRi, 2017, 166, 171. 1011 Albrecht/Jotzo, Das neue Datenschutzrecht in der EU, 1. Aufl., 2017, S. 99. 1012 Art. 40 Abs. 2 lit. d) DSGVO. 1013 Albrecht/Jotzo, Das neue Datenschutzrecht in der EU, 1. Aufl., 2017, S. 100; Auernhammer– Brüggemann, DSGVO/BDSG, 6. Aufl., 2018, Art. 25 Rn. 28; Sydow–Mantz, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 25 Rn. 70 ff.; Ehmann/Selmayr–Baumgartner, DS-GVO, 2. Aufl., 2018, Art. 25 Rn. 22 f.; Paal/Pauly–Martini, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 25 Rn. 53.

E. Lösungsansätze

260

Straf- bzw. Bußgeldbewehrung.1014 Auch wenn ein rechtliches Verbot für sich genommen – bei entsprechend großen wirtschaftlichen oder sonstigen Vorteilen – nicht jeden von einer Re-Identifizierung zuverlässig abhalten wird,1015 erscheint eine Sanktionierung – gerade vor dem Hintergrund der angehobenen Bußgeldobergrenzen der DSGVO – als zusätzliche Absicherung geeignet.

5.

Regelung zur kurzfristigen Speicherung zwecks Anonymisierung

Es ist nicht auszuschließen, dass bestimmte Blockchain-Modelle technisch zunächst eine Abspeicherung von personenbezogenen Daten bedingen, bevor diese anonymisiert werden können. Wie gezeigt, lässt sich zudem eine Datenverarbeitung auf Blockchains nur unter engen Voraussetzungen auf eine Einwilligung oder einen sonstigen gesetzlichen Erlaubnistatbestand stützen. Eine Regelung zur Anonymisierung sollte deshalb flankiert werden von einer Regelung, die eine kurzfristige Speicherung personenbezogener Daten gestattet, um diese sogleich anonymisieren zu können.

Auch eine rein maschinelle Datenerhebung mit anschließender Anonymisierung bedarf nach der DSGVO einer hinreichenden Rechtsgrundlage.1016 Denn

1014

Specht, GRUR Int., 2017, 1040, 1046; derzeit findet sich ein bußgeldbewehrtes Identifizierungsverbot allein in § 15 Abs. 3 S. 3 TMG, vgl. Härting, NJW, 2013, 2065, 2071 sowie Karg, DuD, 2015, 520, 525. 1015 Karg, DuD, 2015, 520, 525. 1016 Wenngleich das BVerfG in seinem Urteil zur automatisierten Kennzeichenerfassung in einer automatischen Zwischenspeicherung jedenfalls keine Gefährdung des Rechts der informationellen Selbstbestimmung sah, wenn Daten unmittelbar nach der Erfassung wieder spurlos gelöscht werden, s. BVerfG, Urt. v. 11.03.2008 – Az. 1 BvR 2074/05; 1 BvR 1254/07, NJW 2008, 1507, 1507 – Automatisierte Kennzeichenerfassung und die Löschung einer Anonymisierung hinsichtlich des Ausschlusses eines Personenbezuges teleologisch nahe steht, vgl. Specht, GRUR Int., 2017, 1040, 1047 m.w.N.

III. Anonymisierungspflicht in dezentralen bzw. nicht redigierbaren …

261

die DSGVO will ausweislich Art. 4 Nr. 2 DSGVO jeden Datenverarbeitungsvorgang erfassen, sodass letztlich auch Datenerhebungen und -speicherungen zwecks Anonymisierung datenschutzrechtliche Relevanz haben.1017 Dafür spricht zudem, dass die DSGVO auch technische Schutzmaßnahmen selbst als Datenverarbeitung einstuft, was sich mittelbar aus der Definition der Pseudonymisierung gem. Art. 4 Nr. 5 DSGVO ergibt. Nichts anderes kann aber dann für die solchen Schutzmaßnahmen vorgelagerten Erhebungs- und Speichervorgänge gelten.

Der Gesetzgeber hat diese Problematik anscheinend gesehen, denn im Rahmen des Gesetzgebungsverfahrens wurde unter anderem vorgeschlagen, der Pseudo- und Anonymisierung einen expliziten Rechtfertigungsgrund zu geben in Form eines eigens geregelten Unterfalles des überwiegenden berechtigten Interesses gem. Art. 6 Abs. 1 S. 1 lit. f) DSGVO.1018 Dieses Ansinnen hat sich in der finalen Fassung nicht durchgesetzt; trotzdem ließe sich erwägen, die Rechtfertigung

einer

automatisierten

Anonymisierung

über

Art. 6 Abs. 1 S. 1 lit. f) DSGVO für bestimmte Anwendungsfälle durch Schaffung entsprechender Leitlinien zu erleichtern.1019

Um einer Weiterentwicklung neuer datenschutzfreundlicher Anwendungen – auch im Bereich der Blockchain-Technologie – noch stärkere Anreize zu schaffen, wäre es allerdings wünschenswert, die automatisierte Anonymisierung auf

1017

So bereits Specht, GRUR Int., 2017, 1040, 1047. Vgl. den Vorschlag für einen Art. 6 Abs. 1 S. 1 lit. f e (neu) in der Stellungnahme des Ausschusses für Industrie, Forschung und Energie vom 26.02.2013 in Ausschuss für bürgerliche Freiheiten, Justiz und Inneres, Bericht v. 21.11.2013, S. 325. 1019 Specht, GRUR Int., 2017, 1040, 1047. 1018

262

E. Lösungsansätze

eine den Unwägbarkeiten einer Einzelfallabwägung weniger unterworfene Grundlage stellen zu können. Hier könnte § 44a UrhG Vorbild für einen Erlaubnistatbestand sein, der eine kurzfristige Zwischenspeicherung von Daten zwecks unmittelbarer Anonymisierung gestattet.1020 Denn die Problemstellung ist eine ähnliche: § 44a UrhG soll hinsichtlich des Vervielfältigungsrechts des Urhebers sicherstellen, dass zulässige Nutzungen digitaler Werke nicht beschränkt werden durch rein technisch bedingte Vervielfältigungen, für die eine Einwilligung oder gesetzliche Rechtfertigung fehlt.1021 Parallel bedarf es im Datenschutzrecht einer Regelung, welche das durch die DSGVO gesetzlich zugelassene und sogar erwünschte Verhalten der Anonymisierung ermöglicht, ohne dass dieser Vorgang allein wegen des Fehlens einer ausdrücklichen rechtlichen Grundlage für die notwendigen rein technischen Vorgänge vereitelt würde. Eine an § 44a UrhG angelehnte Regelung würde die für technische Innovation wichtige Rechtssicherheit erhöhen und gleichzeitig das informationelle Selbstbestimmungsrecht der (dann nur für kurze Zeit) betroffenen Personen im Ergebnis stärken,1022 weil nach der Anonymisierung kein Personenbezug mehr vorliegt.1023

1020

So bereits Specht, GRUR Int., 2017, 1040, 1047. Ahlberg/Götting–W. Schulz, Beck'scher Online-Kommentar Urheberrecht, 26. Edition, 2019 [Stand: 15.10.2019], § 44a UrhG Rn. 1; Dreier/Schulze–Dreier, Urheberrechtsgesetz, 6. Aufl., 2018, § 44a UrhG Rn. 1; ähnl. Härting, Internetrecht, 2017, Rn. 1558. 1022 Ähnl. Specht, GRUR Int., 2017, 1040, 1047. 1023 Dafür, dass eine kurzfristige Speicherung zwecks Anonymisierung aus datenschutzrechtlicher Sicht wertungsmäßig hinnehmbar ist, spricht auch eine Entscheidung des EuGH, welcher eine Speicherung von personenbezogenen Daten durch einen Arbeitgeber als solche und ohne Weitergabe an Dritte nicht einmal als Eingriff in die Privatsphäre gem. Art. 8 EMRK wertete, s. EuGH, Urt. v. 20.05.2003 – Rs. C-465/00, ECLI:EU:C:2003:294, EuR 2004, 285 f. – Österreichischer Rundfunk; dies lässt gewisse Rückschlüsse auf den (durch die DSGVO zu konkretisierenden) Schutzbereich des Art. 8 GRCh zu, vgl. Calliess/Ruffert–Kingreen, EUV/AEUV, 5. Aufl., 2016, Art. 8 GRCh Rn. 12. 1021

III. Anonymisierungspflicht in dezentralen bzw. nicht redigierbaren …

6.

263

Regulatorische Vorschläge

Eine bessere Einbindung der Anonymisierung und entsprechender Standards ließe sich erreichen, indem man klare Regelungen im sachlichen Anwendungsbereich sowie den Begriffsbestimmungen und der Rechtmäßigkeit der Verarbeitung schafft.1024 Dazu bietet sich eine Ergänzung der Art. 2 Abs. 2 sowie Art. 4 und Art. 6 Abs. 1 S. 1 DSGVO an.

Entsprechende Regelungen könnten folgendermaßen lauten:

Artikel 2 Abs. 2 lit. e DSGVO (neu) Diese Verordnung findet keine Anwendung auf die Verarbeitung personenbezogener Daten […] e) nach einer Anonymisierung im Sinne von Artikel 4 Nummer 5a.1025

Artikel 4 Nr. 5a DSGVO (neu) Im Sinne dieser Verordnung bezeichnet der Ausdruck: […]

1024 Pesch/Sillaber, CRi, 2017, 166, 171 befürworten ebenfalls die Einführung gewisser technischer Gestaltungsrichtlinien für Blockchain-Systeme, sehen in der DSGVO aber Regelungsbedarf vor allem hinsichtlich der Ausgestaltung der gemeinsamen Verantwortlichkeit gem. Art. 26 DSGVO. 1025 Ähnl. bereits der Vorschlag in der Stellungnahme des Rechtsausschusses vom 25.03.2013 zum Kommissionsvorschlag, s. Ausschuss für bürgerliche Freiheiten, Justiz und Inneres, Bericht v. 21.11.2013, S. 630, dessen Vorschlag sich im weiteren Verfahren allerdings nicht durchgesetzt hat; ein Grund könnte darin liegen, dass aus Sicht des EU-Gesetzgebers die Pseudonymisierung als technische Schutzmaßnahme einen höheren Stellenwert hatte, vgl. Albrecht/Jotzo, Das neue Datenschutzrecht in der EU, 1. Aufl., 2017, S. 59; gleichwohl bedeutet das nicht, dass der Stellenwert der Anonymisierung im Datenschutzrecht zurückgeht, wird diese in der DSGVO doch zumindest ausführlicher als zuvor bei der DSRL behandelt, s. Wójtowicz/Cebulla, PinG, 2017, 186, 187.

264

E. Lösungsansätze

5a.

„anonyme Daten“ Angaben, die sich nie auf eine betroffene Person

bezogen haben oder die anonymisiert, d.h. erhoben, verändert oder in sonstiger Weise derart verarbeitet wurden, dass sie nicht mehr einer betroffenen Person zugeordnet werden können;1026 wurden Angaben entsprechend genehmigter Verhaltensregeln anonymisiert, welche auf Beschluss der Kommission nach Art. 40 Absatz 9 allgemeine Gültigkeit in der Union besitzen, gelten diese als anonyme Daten; […]

Artikel 6 Abs. 1 S. 1 lit. g) DSGVO (neu) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist: […] g) Die Verarbeitung ist für die Anonymisierung personenbezogener Daten erforderlich.1027 Das gilt nur, soweit es sich um einen vorübergehenden Verarbeitungsvorgang handelt, der flüchtig oder begleitend ist und einen integralen und wesentlichen Teil eines technischen Verfahrens darstellt und dessen alleiniger Zweck es ist, eine Anonymisierung personenbezogener Daten gemäß Artikel 4 Nr. 5a DSGVO zu ermöglichen. […]

1026

Vgl. die Stellungnahme des Rechtsausschusses zum Kommissionsvorschlag, s. Ausschuss für bürgerliche Freiheiten, Justiz und Inneres, Bericht v. 21.11.2013, S. 632. 1027 Ähnlich bereits die Stellungnahme des Ausschusses für Industrie, Forschung und Energie zum Kommissionsvorschlag, s. Ausschuss für bürgerliche Freiheiten, Justiz und Inneres, Bericht v. 21.11.2013, S. 325.

F.

Schlussbetrachtung

Mit ihren besonderen Stärken, dezentrales Vertrauen zu schaffen und ohne einen Transaktions-Mittelsmann auszukommen sowie Daten unmanipulierbar zu speichern, verheißt die Blockchain-Technologie spannende neue Anwendungsbereiche und Möglichkeiten. Gerade die besonderen Stärken der BlockchainTechnologie drohen jedoch, aus datenschutzrechtlicher Sicht auch ihre größten Schwächen zu werden:

Auch wenn Blockchains aufgrund ihrer Pseudonymität und Verschlüsselung besonders datenschutzfreundlich zu sein scheinen, dürften die meisten aktuellen Blockchain-Systeme einen datenschutzrechtlich relevanten Personenbezug haben und grundsätzlich in den Anwendungsbereich der DSGVO fallen. Das Fehlen eines direkt greifbaren Verantwortlichen sowie die praktische Unabänderlichkeit einer Blockchain führen dazu, dass datenschutzrechtliche Pflichten leerlaufen und insbesondere die Betroffenenrechte wirkungslos zu werden drohen. Die technischen Eigenschaften von Blockchains werfen insbesondere hinsichtlich des datenschutzrechtlichen Verbotsprinzips und der Eigenverantwortlichkeit tiefgreifende Widersprüche auf. Wollte man diese Widersprüche technisch auflösen – als Lösungsvorschläge werden zum Beispiel die Beschrän-

© Der/die Herausgeber bzw. der/die Autor(en), exklusiv lizenziert durch Springer Fachmedien Wiesbaden GmbH, ein Teil von Springer Nature 2020 C. Peitz, Datenschutzrechtliche Verantwortlichkeit in Blockchain-Systemen, Juridicum – Schriften zum Medien-, Informations- und Datenrecht, https://doi.org/10.1007/978-3-658-32050-8_5

266

F. Schlussbetrachtung

kung auf zugangsbeschränkte bzw. nachträglich abänderbare Blockchain-Varianten genannt1028 –, so müsste man die Blockchain-Technologie von den Eigenschaften entkleiden, die sie so innovativ machen.1029

Ironischerweise könnte gerade das Ziel des EU-Gesetzgebers, mit der DSGVO mehr Vertrauen von Einzelpersonen in Datenverarbeitungsvorgänge zu schaffen,1030 bei einer Anwendung innerhalb von Blockchain-Systemen zu einem geringeren Vertrauen führen. Die DSGVO verfolgt einen technologieneutralen „one size fits all“-Ansatz, kann damit aber nicht auf die Risiken spezifischer Technologien reagieren.1031 Das Datenschutzrecht ist auf die technologische Entwicklung einer unveränderbaren Transaktionshistorie nicht vorbereitet.1032

Auf den ersten Blick stehen sich die Grundprinzipien von Blockchains und jenen der DSGVO damit scheinbar unversöhnlich gegenüber. Bei aller Widersprüchlichkeit verfolgen aber Recht und Technik ein gemeinsames Ziel, nämlich die Schaffung einer Vertrauensbasis1033 im digitalen Raum durch mehr Kontrolle über die eigenen Daten. Die DSGVO weist einen Lösungsweg auf, welcher das Problem der drohenden Aushebelung von Löschungs- und Korrekturansprü-

1028

Beispiele bei Martini/Weinzierl, NVwZ, 2017, 1251, 1256 f.; Bechtolf/Vogt, ZD, 2018, 66, 69 f.; Berger, DVBl, 2017, 1271, 1273. 1029 Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1034; Martini/Weinzierl, NVwZ, 2017, 1251, 1258; ähnl. Quiel, DuD, 2018, 566, 572; Berberich/Steiner, EDPL, 2016, 422, 424; Plath–Plath, DSGVO/BDSG, 3. Aufl., 2018, Art. 26 Rn. 7a; Kühling/Buchner–Herbst, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 17 Rn. 39. 1030 Erw.Gr. 7 S. 1. 1031 Gola–Sebastian Schulz, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 6 Rn. 5 m.w.N. 1032 Berger, DVBl, 2017, 1271, 1273. 1033 Vgl. hierzu Erw.Gr. 7 S. 1.

F. Schlussbetrachtung

267

chen durch die nachträgliche Unabänderlichkeit sowie das Problem des fehlenden datenschutzrechtlich Verantwortlichen in dezentralen Blockchain-Systemen durchaus handhabbar erscheinen lässt, sodass personenbezogene Daten nicht „herrenlos“ werden, sobald sie auf der Blockchain liegen. Mit ihrem Grundsatz des Privacy by Design verpflichtet die DSGVO dazu, die zu verarbeitenden Daten unmittelbar nach der Verarbeitung zu anonymisieren, sodass potentiell Betroffene gar nicht erst vor die praktisch kaum lösbare Aufgabe gestellt werden, einen Anspruchsgegner für im Ergebnis kaum erfüllbare Betroffenenrechte in einem dezentralen System ausfindig machen zu müssen.

Dies bedeutet allerdings noch nicht, dass mit der aktuellen Ausgestaltung des Datenschutzes durch Technikgestaltung sämtliche Problemszenarien zufriedenstellend gelöst werden können. Insbesondere im Zusammenhang mit Blockchain-Systemen fehlen in der DSGVO Regularien, um die Entwicklung datenschutzfreundlicher Lösungen zu steuern.1034 Für die Schaffung von mehr Rechtssicherheit bedarf es der Schaffung von bindenden technischen Anonymisierungsstandards und deren ausdrücklicher Verankerung in der DSGVO. Einen möglichen Ansatz zeigen die oben1035 dargestellten regulatorischen Vorschläge auf.

1034 Finck, EDPL, 2018, 17, 32 f.; Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1034 f.; Pesch/Sillaber, CRi, 2017, 166, 171; ähnl. Gola–Sebastian Schulz, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 6 Rn. 5. 1035 Abschnitt E.III.6.

268

F. Schlussbetrachtung

In der Praxis wird eine Weiterentwicklung datenschutzfreundlicher BlockchainTechnologie in erster Linie an den technischen Systemen selbst ansetzen.1036 Ruft man sich in Erinnerung, dass Hintergrund des Datenschutzes durch Technik die Erkenntnis ist, dass bereits die Auswahl von Hard- und Software die Rahmenbedingungen vieler Datenverarbeitungen ausmacht,1037 werden Einzelnutzer als Teilnehmer von Blockchain-Systemen einen Datenschutz durch Technikgestaltung vor allem dadurch leisten können, dass sie Software-Lösungen für Blockchain-Clients auswählen, die eine Anonymisierung sicherstellen.1038

Obgleich es hier theoretisch näher liegen würde, bei den Herstellern von Blockchain-Software anzusetzen und diese zur Bereitstellung datenschutzfreundlicher Blockchain-Konzepte und Software zu bewegen, muss der „Umweg“ über die Einzelnutzer hingenommen werden, weil die DSGVO Software-Hersteller ausdrücklich nicht direkt in die Pflicht nehmen soll.1039 Dieser Zusammenhang wurde vom Gesetzgeber gesehen und ist durchaus so gewollt; das Prinzip des Privacy by Design soll bei der Software-Entwicklung nur mittelbar ansetzen und

1036

Ähnl. Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1035; Bechtolf/Vogt, Blockchain und Datenschutz - Recht technologisch, in: Taeger (Hrsg.), Recht 4.0 - Innovationen aus den rechtswissenschaftlichen Laboren, 2017, S. 873, 885; Finck, EDPL, 2018, 17, 34; Pesch/Sillaber, CRi, 2017, 166, 171. 1037 Ehmann/Selmayr–Baumgartner, DS-GVO, 2. Aufl., 2018, Art. 25 Rn. 1; Gola–Nolte/Werkmeister, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 25 Rn. 1 f.; Kühling/Buchner–J. Hartung, Datenschutz-Grundverordnung/BDSG, 2. Aufl., 2018, Art. 25 Rn. 11; Sydow–Mantz, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 25 Rn. 17. 1038 Wie beispielsweise bei der Kryptowährung Zcash, welche Transaktionen ohne Offenlegung der Identitäten der Beteiligten erlaubt, vgl. Böhme/Pesch, DuD, 2017, 473, 481. 1039 Erw.Gr. 78 S. 4.

F. Schlussbetrachtung

269

sich bei Software-Herstellern im Ergebnis über eine entsprechende Produktnachfrage durchsetzen.1040 Die Grundidee der Blockchain-Technologie, OnlinePrivatheit zu fördern, lässt sich damit zwar nicht ohne praktische Hürden, aber trotzdem stimmig in die Grundsätze der Verarbeitung personenbezogener Daten nach der DSGVO einordnen.1041

Freilich könnte man gegen das vorgeschlagene Konzept einer Anonymisierungspflicht einwenden, dass dadurch bestimmte Anwendungsszenarien der Blockchain-Technologie in Geschäftsfeldern uninteressant werden, in denen die Kenntnis der Identität der betroffenen Person erforderlich ist, wie beispielsweise bei einer Nutzung für die Transaktion staatlicher Leistungen oder staatlicher Register.1042 Dem lässt sich jedoch entgegenhalten, dass der Nutzen der Transparenz einer Blockchain nicht verloren geht, können doch auch anonyme Daten öffentlich eingesehen und kontrolliert werden.1043 Ohnehin kann ein bei bestimmten Geschäftsmodellen empfundener Bedarf an personenbezogenen Daten nicht zu Lasten datenschutzrechtlicher Betroffenenrechte gehen, wenn diese bei Blockchains in ihrer idealtypischen Form letztlich wirkungslos wären.

1040 Sydow–Mantz, Europäische Datenschutzgrundverordnung, 2. Aufl., 2018, Art. 25 Rn. 79 f.; Paal/Pauly–Martini, Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., 2018, Art. 25 Rn. 25; Auernhammer–Brüggemann, DSGVO/BDSG, 6. Aufl., 2018, Art. 25 Rn. 2; Gola– Nolte/Werkmeister, Datenschutz-Grundverordnung, 2. Aufl., 2018, Art. 17 Rn. 11. 1041 Ähnl. bereits Guggenberger, ZD, 2017, 49, 50. 1042 Vgl. Martini/Weinzierl, NVwZ, 2017, 1251, 1256, die argumentieren, ein Ausschluss der Identifizierbarkeit der Beteiligten schieße „über das Ziel hinaus“; ähnl. auch Quiel, DuD, 2018, 566, 568. 1043 Böhme/Pesch, DuD, 2017, 473, 481 weisen in diesem Zusammenhang auf die Problematik hin, einen erforderlichen Grad an Transparenz zu bestimmen.

270

F. Schlussbetrachtung

Die DSGVO hat die Rechtslage für Blockchain-Technologien aus technologischer Sicht sicherlich nicht vereinfacht. Dass die Blockchain-Technologie aufgrund der Anforderungen des Datenschutzrechts in die Bedeutungslosigkeit gedrängt werden könnte, erscheint aber unwahrscheinlich. Vielfältige technische Entwicklungen versprechen eine Vereinbarkeit von „abgeschwächten“ Blockchain-Varianten mit dem Datenschutzrecht.1044 Auf personenbezogene Daten angewiesene Geschäftsmodelle können auf weiterentwickelte technische – beispielsweise nachträglich korrigierbare oder durch einen Administrator verwaltete1045 – Varianten der Blockchain-Technologie verwiesen werden, die freilich vom Idealtyp einer öffentlich einsehbaren, von allen Teilnehmern betriebenen und nicht nachträglich änderbaren Blockchain abweichen. Ob die sich ergebenden technologischen Entwicklungsmöglichkeiten als Chancen für den Datenschutz wahrgenommen werden, bleibt abzuwarten. In Wahrheit ist dies aber kein Ausdruck einer grundsätzlichen Unvereinbarkeit zwischen (Blockchain-)Technologie und Datenschutz, sondern des Spannungsverhältnisses zwischen datenschutzrechtlichen und datenwirtschaftlichen Interessen.

1044

Vgl. hierzu beispielsweise Marnau, Die Blockchain im Spannungsfeld der Grundsätze der Datenschutzgrundverordnung, in: Eibl/Gaedke (Hrsg.), Informatik 2017, 2017, S. 1025, 1035 m.w.N.; Berberich/Steiner, EDPL, 2016, 422, 425 m.w.N.; Böhme/Pesch, DuD, 2017, 473, 481 m.w.N.; Bechtolf/Vogt, ZD, 2018, 66, 71. 1045 Vgl. zu möglichen Ansätzen Martini/Weinzierl, NVwZ, 2017, 1251, 1256 f.

G. Literaturverzeichnis Achenbach, Dirk/Baumgart, Ingmar/Rill, Jochen, Die Blockchain im Rampenlicht – Technologie von der Stange - oder besser nach Maß?, DuD, 2017, S. 673–677. Ahlberg, Hartwig/Götting, Horst-Peter (Hrsg.), Beck‘scher Online-Kommentar Urheberrecht, 26. Edition, München, Stand: 15.10.2019 (zit. als Ahlberg/Götting-Bearbeiter). Albrecht, Jan Philipp, Das neue EU-Datenschutzrecht – von der Richtlinie zur Verordnung – Überblick und Hintergründe zum finalen Text für die Datenschutz-Grundverordnung der EU nach der Einigung im Trilog, CR, 2016, S. 88–98. Albrecht, Jan Philipp/Jotzo, Florian, Das neue Datenschutzrecht in der EU – Grundlagen, Gesetzgebungsverfahren, Synopse, 1. Aufl., Düsseldorf, 2017. Artikel-29-Datenschutzgruppe, Stellungnahme 4/2007 zum Begriff „personenbezogene Daten“ - WP 136, 20.06.2007, abrufbar unter https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2007/wp136_de.pdf (Abruf am 19.04.2020). Artikel-29-Datenschutzgruppe, Stellungnahme 1/2010 zu den Begriffen „für die Verarbeitung Verantwortlicher“ und „Auftragsverarbeiter“ - WP 169, 16.02.2010, abrufbar unter https://ec.europa.eu/justice/article29/documentation/opinion-recommendation/files/2010/wp169_de.pdf (Abruf am 19.04.2020). © Der/die Herausgeber bzw. der/die Autor(en), exklusiv lizenziert durch Springer Fachmedien Wiesbaden GmbH, ein Teil von Springer Nature 2020 C. Peitz, Datenschutzrechtliche Verantwortlichkeit in Blockchain-Systemen, Juridicum – Schriften zum Medien-, Informations- und Datenrecht, https://doi.org/10.1007/978-3-658-32050-8

272

G. Literaturverzeichnis

Artikel-29-Datenschutzgruppe, Stellungnahme 06/2014 zum Begriff des berechtigten Interesses des für die Verarbeitung Verantwortlichen gemäß Artikel 7 der Richtlinie 95/46/EG - WP 217, 09.04.2014, abrufbar unter https://ec.europa.eu/justice/article-29/documentation/opinionrecommendation/files/2014/wp217_de.pdf (Abruf am 19.04.2020). Artikel-29-Datenschutzgruppe, Stellungnahme 5/2014 zu Anonymisierungstechniken - WP 216, 10.04.2014, abrufbar unter https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp216_de.pdf (Abruf am 19.04.2020). Auernhammer, Herbert (Begr.), BDSG – Kommentar zum Bundesdatenschutzgesetz - Nebengesetze, 4. Aufl., Köln, 2014 (zit. als Auernhammer-Bearbeiter). Auernhammer, Herbert (Begr.), DSGVO/BDSG – Datenschutz-Grundverordnung, Bundesdatenschutzgesetz und Nebengesetze: Kommentar, 6. Aufl., Köln, 2018 (zit. als Auernhammer-Bearbeiter). Auer-Reinsdorff, Astrid/Conrad, Isabell (Hrsg.), Handbuch IT- und Datenschutzrecht, 3. Aufl., München, 2019 (zit. als: Auer-Reinsdorff/Conrad, Handbuch IT- und Datenschutzrecht). Ausschuss der Ständigen Vertreter des Rates der Europäischen Union, Darlegung der Ergebnisse der Beratungen des Ausschusses der Ständigen Vertreter auf der Tagung vom 9. Juni 2015 – Dokument-Nr. 9788/15, 11.06.2015, abrufbar unter http://data.consilium.europa.eu/doc/document/ST-9788-2015-INIT/en/pdf (Abruf am 19.04.2020).

G. Literaturverzeichnis

273

Ausschuss für bürgerliche Freiheiten, Justiz und Inneres, Bericht über den Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (allgemeine Datenschutzverordnung), (COM(2012)0011 – C7-0025/2012 – 2012/0011(COD)) – Dokument-Nr. A7-0402/2013, 21.11.2013, abrufbar unter http://www.europarl.europa.eu/sides/getDoc.do?pubRef=//EP//NONSGML+REPORT+A7-2013-0402+0+DOC+PDF+V0//DE (Abruf am 19.04.2020). Bechtolf, Hans/Vogt, Niklas, Datenschutz in der Blockchain - Eine Frage der Technik – Technologische Hürden und konzeptionelle Chancen, ZD, 2018, S. 66–71. Becker, Maximilian/Lauber-Rönsberg, Anne/Specht, Louisa (Hrsg.), Medienrecht im Medienumbruch – Junge Wissenschaft zum Gewerblichen Rechtsschutz, Urheber- und Medienrecht, 1. Aufl., Baden-Baden, 2017 (zit. als: Becker/Lauber-Rönsberg/Specht, Medienrecht im Medienumbruch). Berberich, Matthias/Steiner, Malgorzata, Blockchain Technology and the GDPR - How to Reconcile Privacy and Distributed Ledgers?, EDPL, 2016, S. 422–426. Berger, Ariane, Blockchain - Mythos oder Technologie für die öffentliche Verwaltung?, DVBl, 2017, S. 1271–1273.

274

G. Literaturverzeichnis

Bergt, Matthias, Die Bestimmbarkeit als Grundproblem des Datenschutzrechts – Überblick über den Theorienstreit und Lösungsvorschlag, ZD, 2015, S. 365–371. Biryukov, Alex; Khovratovich, Dmitry; Pustogarov, Ivan, Deanonymisation of Clients in Bitcoin P2P Network, abrufbar unter https://arxiv.org/pdf/1405.7418.pdf (Abruf am 19.04.2020). BitFury Group Limited; Garzik, Jeff, Public versus Private Blockchains – Part 1: Permissioned Blockchains, abrufbar unter http://bitfury.com/content/5-white-papers-research/public-vs-private-pt1-1.pdf (Abruf am 19.04.2020). Blocher, Walter, The next big thing: Blockchain - Bitcoin -Smart Contracts – Wie das disruptive Potential der Distributed Ledger Technology (nicht nur) das Recht fordern wird, AnwBl, 2016, S. 612–618. Boehme-Neßler, Volker, Das Ende der Anonymität – Wie Big Data das Datenschutzrecht verändert, DuD, 2016, S. 419–423. Böhme, Rainer/Pesch, Paulina, Technische Grundlagen und datenschutzrechtliche Fragen der Blockchain-Technologie, DuD, 2017, S. 473–481. Brink, Stefan/Eckhardt, Jens, Wann ist ein Datum ein personenbezogenes Datum? – Anwendungsbereich des Datenschutzrechts, ZD, 2015, S. 205– 212.

G. Literaturverzeichnis

275

Brisch, Klaus/Pieper, Fritz, Das Kriterium der „Bestimmbarkeit“ bei Big DataAnalyseverfahren – Anonymisierung, Vernunft und rechtliche Absicherung bei Datenübermittlungen, CR, 2015, S. 724–729. Buchner, Benedikt, Grundsätze und Rechtmäßigkeit der Datenverarbeitung unter der DS-GVO, DuD, 2016, S. 155–161. Bundesministerium für Verkehr und digitale Infrastruktur (Hrsg.), Chancen und Herausforderungen von DLT (Blockchain) in Mobilität und Logistik, Berlin, 2019 (zit. als Bearbeiter-Chancen und Herausforderungen von DLT); abrufbar unter https://www.bmvi.de/SharedDocs/DE/Anlage/DG/blockchain-gutachten.pdf?__blob=publicationFile (Abruf am 19.04.2020). Bundesregierung, Koalitionsvertrag für die 19. Legislaturperiode, 14.03.2018, abrufbar unter https://www.bundesregierung.de/resource/blob/975224/847984/5b8bc23590d4cb2892b31c987ad672b7/ 2018-03-14-koalitionsvertrag-data.pdf?download=1 (Abruf am 19.04.2020). Burgwinkel, Daniel (Hrsg.), Blockchain Technology – Einführung für Businessund IT Manager, 1. Aufl., Berlin u.a., 2016 (zit. als: Burgwinkel, Blockchain Technology). Calliess, Christian/Ruffert, Matthias (Hrsg.), EUV/AEUV – Das Verfassungsrecht der Europäischen Union mit Europäischer Grundrechtecharta: Kommentar, 5. Aufl., München, 2016 (zit. als Calliess/Ruffert-Bearbeiter).

276

G. Literaturverzeichnis

Chainfrog Oy, Blockchain and GDPR, abrufbar unter http://www.chainfrog.com/wp-content/uploads/2017/08/gdpr.pdf (Abruf am 19.04.2020). De Filippi, Primavera, The Interplay between Decentralization and Privacy – The Case of Blockchain Technologies, 17.10.2016, abrufbar unter https://papers.ssrn.com/sol3/papers.cfm?abstract_id=2852689 (Abruf am 19.04.2020). Dreier, Thomas/Schulze, Gernot (Hrsg.), Urheberrechtsgesetz – Verwertungsgesellschaftenrecht, Kunsturhebergesetz: Kommentar, 6. Aufl., München, 2018 (zit. als Dreier/Schulze-Bearbeiter). Drescher, Daniel, Blockchain Grundlagen – Eine Einführung in die elementaren Konzepte in 25 Schritten, 1. Aufl., Frechen, 2017. Düsseldorfer Kreis, Beschluss der obersten Aufsichtsbehörden für den Datenschutz im nicht-öffentlichen Bereich am 26./27. November 2009 in Stralsund – Datenschutzkonforme Ausgestaltung von Analyseverfahren zur Reichweitenmessung bei Internet-Angebote, Düsseldorfer Kreis, https://www.bfdi.bund.de/SharedDocs/Publikationen/Entschliessungssammlung/DuesseldorferKreis/Nov09Reichweitenmessung.html (Abruf am 19.04.2020). Ehmann, Eugen/Selmayr, Martin (Hrsg.), DS-GVO – Datenschutz-Grundverordnung: Kommentar, 1. Aufl., München u.a., 2017 (zit. als Ehmann/Selmayr-Bearbeiter).

G. Literaturverzeichnis

277

Ehmann, Eugen/Selmayr, Martin (Hrsg.), DS-GVO – Datenschutz-Grundverordnung: Kommentar, 2. Aufl., München u.a., 2018 (zit. als Ehmann/Selmayr-Bearbeiter). Eibl, Maximilian/Gaedke, Martin (Hrsg.), Informatik 2017 – Tagung vom 25.29. September 2017 in Chemnitz, GI-Edition Proceedings, Bd. 275, Bonn, 2017 (zit. als: Eibl/Gaedke, Informatik 2017). Erbguth, Jörn/Fasching, Joachim Galileo, Wer ist Verantwortlicher einer Bitcoin-Transaktion? – Anwendbarkeit der DS-GVO auf die Bitcoin-Blockchain, ZD, 2017, S. 560–565. Europäische Kommission, Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung) – COM/2012/11/final, 25.01.2012, abrufbar unter https://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=CELEX:52012PC0011&from=EN (Abruf am 19.04.2020). Europäische Kommission, Pressemitteilung zur Gründung einer EU-Blockchain-Beobachtungsstelle und -Forum, 01.02.2018, abrufbar unter http://europa.eu/rapid/press-release_IP-18-521_de.pdf (Abruf am 19.04.2020). Europäisches Parlament, Standpunkt des Europäischen Parlaments festgelegt in erster Lesung am 12. März 2014 im Hinblick auf den Erlass der Verordnung (EU) Nr. …/2014 des Europäischen Parlaments und des Rates

278

G. Literaturverzeichnis

zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung) – Dokument TA/2014/212/P7, 12.03.2014, abrufbar unter http://www.europarl.europa.eu/sides/getDoc.do?pubRef=//EP//NONSGML+TA+P7-TA-2014-0212+0+DOC+PDF+V0//DE (Abruf am 19.04.2020). European Union Agency For Network And Information Security, Distributed Ledger Technology & Cybersecurity – Improving information security in the financial sector, 18.01.2017, abrufbar unter https://www.enisa.europa.eu/publications/blockchain-security (Abruf am 19.04.2020). Fasching, Joachim Galileo, Anwendungsbereiche und ausgewählte Rechtsfragen der Blockchain-Technologie, Master Thesis, Wien, Universität Wien, 2017, abrufbar unter https://www.it-law.at/wp-content/uploads/gravity_forms/10f0d0b77eb762b0f8bc1158d0e2349520/2017/04/Fasching_Masterthesis-Blockchain.pdf (Abruf am 19.04.2020). Feiler, Lukas/Forgó, Nikolaus (Hrsg.), EU-DSGVO – EU-Datenschutz-Grundverordnung: Kurzkommentar, Wien, 2017 (zit. als Feiler/Forgó-Bearbeiter). Finck, Michèle, Blockchains and Data Protection in the European Union, EDPL, 2018, S. 17–35. Franck, Lorenz, Das System der Betroffenenrechte nach der DatenschutzGrundverordnung (DS-GVO), RDV, 2016, S. 111–119.

G. Literaturverzeichnis

279

Frey, Tobias, Fünfte Geldwäsche-Richtlinie – Auswirkungen in Deutschland, CCZ, 2018, S. 170–178. Geiling, Luisa, Distributed Ledger – Die Technologie hinter den virtuellen Währungen am Beispiel der Blockchain, BaFin Journal Februar 2016, S. 28–32. Gersdorf, Hubertus/Paal, Boris P. (Hrsg.), Beck´scher Online-Kommentar Informations- und Medienrecht, 27. Edition, München, Stand: 01.02.2020 (zit. als Gersdorf/Paal-Bearbeiter). Gervais, Arthur, Vorteile und Probleme von Blockchains, digma, 2017, S. 128– 131. Goger, Thomas, Bitcoins im Strafverfahren – Virtuelle Währung und reale Strafverfolgung, MMR, 2016, S. 431–434. Gola, Peter (Hrsg.), Datenschutz-Grundverordnung – VO (EU) 2016/679: Kommentar, 1. Aufl., München, 2017 (zit. als Gola-Bearbeiter). Gola, Peter (Hrsg.), Datenschutz-Grundverordnung – VO (EU) 2016/679: Kommentar, 2. Aufl., München, 2018 (zit. als Gola-Bearbeiter). Golland, Alexander, Reichweite des „Joint Controllership“: Neue Fragen der gemeinsamen Verantwortlichkeit, K&R, 2019, S. 533 – 537. Guggenberger, Nikolas, Datenschutz durch Blockchain - eine große Chance, ZD, 2017, S. 49–50.

280

G. Literaturverzeichnis

Härting, Niko, Anonymität und Pseudonymität im Datenschutzrecht, NJW, 2013, S. 2065–2071. Härting, Niko, Datenschutz-Grundverordnung, 1. Aufl., Köln, 2016. Härting, Niko, Internetrecht, 6. Aufl., Köln, 2017. Härting, Niko/Gössling, Patrick, Gemeinsame Verantwortlichkeit bei einer Facebook-Fanpage, NJW, 2018, S. 2523–2526. Hartung, Markus/Bues, Micha-Manuel/Halbleib, Gernot (Hrsg.), Legal Tech – Die Digitalisierung des Rechtsmarkts, 1. Aufl., München, 2018 (zit. als: Hartung/Bues/Halbleib, Legal Tech). Heckelmann, Martin, Zulässigkeit und Handhabung von Smart Contracts, NJW, 2018, S. 504–510. Heckmann, Dirk (Hrsg.), jurisPK-Internetrecht, 6. Aufl., Saarbrücken, 2019 [Stand: 20.03.2020] (zit. als: Heckmann, jurisPK-Internetrecht). Heintschel-Heinegg, Bernd von (Hrsg.), Beck‘scher Online-Kommentar StGB, 45. Edition, München, 2020 [Stand: 01.02.2020] (zit. als HeintschelHeinegg-Bearbeiter). Hennemann, Moritz, Personalisierte Medienangebote im Datenschutz- und Vertragsrecht, ZUM, 2017, S. 544–552. Herbst, Tobias, Was sind personenbezogene Daten?, NVwZ, 2016, S. 902–906.

G. Literaturverzeichnis

281

Hildner, Alicia, Bitcoins auf dem Vormarsch: Schaffung eines regulatorischen Level Playing Fields?, BKR, 2016, S. 485–495. Hoeren, Thomas, IT- und Internetrecht - Kein Neuland für die NJW, NJW, 2017, S. 1587–1592. Hofert, Eduard, Blockchain-Profiling – Verarbeitung von Blockchain-Daten innerhalb und außerhalb der Netzwerke, ZD, 2017, S. 161–166. Hofmann, Johanna M./Johannes, Paul C., DS-GVO: Anleitung zur autonomen Auslegung des Personenbezuges – Begriffsklärung der entscheidenden Frage des sachlichen Anwendungsbereichs, ZD, 2017, S. 221–226. Hölzel, Julian, Anonymisierungstechniken und das Datenschutzrecht, DuD, 2018, S. 502–509. Hüther, Mario/Danzmann, Max, Der Einfluss des Internet of Things und der Industrie 4.0 auf Kreditfinanzierungen – Teil 1 - Atmende Finanzierungsverträge und Agency 4.0, BB, 2017, S. 834–840. Isler, Michael, Datenschutz auf der Blockchain, abrufbar unter https://www.walderwyss.com/publications/2231.pdf (Abruf am 19.04.2020). Jacobs, Christoph/Lange-Hausstein, Christian, Blockchain und Smart Contracts: Zivil- und aufsichtsrechtliche Bedingungen – Funktionen, Anwendungsfälle, Perspektiven der Blockchain-Technologie, ITRB, 2017, S. 10–15.

282

G. Literaturverzeichnis

Jarass, Hans D. (Hrsg.), Charta der Grundrechte der Europäischen Union – Unter Einbeziehung der vom EuGH entwickelten Grundrechte, der Grundrechtsregelungen der Verträge und der EMRK: Kommentar, 3. Aufl., München, 2016 (zit. als Jarass-Bearbeiter). Kaiser, Arvid, Stromverbrauch für Kryptogeld: Warum der Bitcoin-Boom die globale Energiewende bedroht - SPIEGEL ONLINE - Wirtschaft, 07.12.2017, http://www.spiegel.de/wirtschaft/unternehmen/bitcoinstromverbrauch-bedroht-globale-energiewende-a-1182234.html (Abruf am 19.04.2020). Karg, Moritz, Anmerkung zum Urt. des VG Schleswig vom 09.10.2013 - Az. 8 A 14/12 - Facebook-Fanpages, ZD, 2014, S. 54–56. Karg, Moritz, Anonymität, Pseudonyme und Personenbezug revisited?, DuD, 2015, S. 520–526. Kartheuser, Ingemar, Anmerkung zu einer Entscheidung des EuGH, Urt. vom 19.10.2016 (C-582/14) - Relativer Personenbezug dynamischer IP-Adressen - Breyer./.BRD, ITRB, 2016, S. 267–268. Kaulartz, Markus, Die Blockchain-Technologie - Hintergründe zur Distributed Ledger Technology und zu Blockchains, CR, 2016, S. 474–480. Kaulartz, Markus/Heckmann, Jörn, Smart Contracts – Anwendungen der Blockchain-Technologie, CR, 2016, S. 618–624.

G. Literaturverzeichnis

283

Keding, Sebastian, Die aufsichtsrechtliche Behandlung von Machine-to-Machine-Zahlungen unter Rückgriff auf Peer-to-Peer-Netzwerke, WM, 2018, S. 64–72. Keppeler, Lutz Martin, „Objektive Theorie“ des Personenbezugs und „berechtigtes Interesse“ als Untergang der Rechtssicherheit? – Eine Analyse der Schlussanträge des Generalanwalts in der Rechtssache C-582/14 (Speicherung dynamischer IP-Adressen), CR, 2016, S. 360–367. Kipker, Dennis-Kenji/Bruns, Hauke, Blockchains für Versorgungsketten im Lebensmittelsektor und der Datenschutz, CR, 2020, 210 – 216. Koshy, Philip; Koshy, Diana; McDaniel, Patrick, An Analysis of Anonymity in Bitcoin Using P2P Network Traffic, abrufbar unter https://pdfs.semanticscholar.org/c277/62257f068fdbb2ad34e8f787d8af13fac7d1.pdf (Abruf am 19.04.2020). Krais, Jürgen, Zu den Änderungen der 5. EU-Geldwäscherichtlinie, NZWiSt, 2018, S. 321–325. Krügel, Tina, Das personenbezogene Datum nach der DS-GVO – Mehr Klarheit und Rechtssicherheit?, ZD, 2017, S. 455–460. Kühling, Jürgen/Buchner, Benedikt/Bäcker, Matthias, Datenschutz-Grundverordnung/BDSG – Kommentar, 2. Aufl., München, 2018 (zit. als Kühling/Buchner-Bearbeiter). Kuhlmann, Nico, Bitcoins – Funktionsweise und rechtliche Einordnung der digitalen Währung, CR, 2014, S. 691–696.

284

G. Literaturverzeichnis

Kütük, Merih Erdem/Sorge, Christoph, Bitcoin im deutschen Vollstreckungsrecht - Von der „Tulpenmanie” zur „Bitcoinmanie”, MMR, 2014, S. 643–646. Lange-Hausstein, Christian, Blockchain und Smart Contracts in der Anwaltspraxis, ITRB, 2017, S. 93–94. Laschewski, Christian, Der Blockchain-Algorithmus – Eine GoB-konforme digitale Buchführung?, WPg, 2017, S. 359–366. Lezzi, Lukas/Oberlin, Jutta Sonja, Gemeinsam Verantwortliche in der konzerninternen Datenverarbeitung – Eine praxisorientierte Darstellung möglicher Konstellationen, ZD, 2018, S. 398–404. Lingert, Alexander/Weiler, Benjamin, Blockchain und Bitcoin - Eine rechtliche Kurzanalyse, ZAP, 2018, S. 557–564. Marnau, Ninja, Anonymisierung, Pseudonymisierung und Transparenz für Big Data – Technische Herausforderungen und Regelungen in der Datenschutz-Grundverordnung, DuD, 2016, S. 428–433. Marosi, Johannes/Matthé, Luisa, Anmerkung zum Urt. des EuGH vom 05.06.2018 - ECLI:EU:C:2018:388 - Facebook-Fanpages, ZD, 2018, S. 361–363. Martini, Mario/Weinzierl, Quirin, Die Blockchain-Technologie und das Recht auf Vergessenwerden – Zum Dilemma zwischen Nicht-Vergessen-Können und Vergessen-Müssen, NVwZ, 2017, S. 1251–1259.

G. Literaturverzeichnis

285

Mazonka, Oleg, Blockchain: Simple Explanation, 29.12.2016, abrufbar unter https://www.researchgate.net/profile/Oleg_Mazonka/publication/311572122_What_is_Blockchain_a_Gentle_Introduction/links/5864b09808ae329d6203b15b/What-is-Blockchain-a-GentleIntroduction.pdf?origin=publication_detail (Abruf am 19.04.2020). Moos, Flemming/Rothkegel, Tobias, Anmerkung zum Urt. des EuGH vom 05.06.2018 - ECLI:EU:C:2018:388 - Facebook-Fanpages, MMR, 2018, S. 596–600. Müller, Friedrich/Christensen, Ralph, Juristische Methodik – Europarecht Band 2, 3. Aufl., Berlin, 2012. Müller, Martin, Bitcoin, Blockchain und Smart Contracts – Technische Grundlagen und mögliche Anwendungsbereiche in der Immobilienwirtschaft, ZfIR, 2017, S. 600–612. Nakamoto, Satoshi, Bitcoin: A Peer-to-Peer Electronic Cash System, abrufbar unter https://bitcoin.org/bitcoin.pdf (Abruf am 19.04.2020). Narayanan, Arvind/Bonneau, Joseph/Felten, Edward u.a., Bitcoin and cryptocurrency technologies – A comprehensive introduction, 1. Aufl., Princeton, 2016. Paal, Boris P./Pauly, Daniel A. (Hrsg.), Datenschutz-Grundverordnung, Bundesdatenschutzgesetz, 2. Aufl., München, 2018 (zit. als Paal/Pauly-Bearbeiter).

286

G. Literaturverzeichnis

Pesch, Paulina/Böhme, Rainer, Datenschutz trotz öffentlicher Blockchain? – Chancen und Risiken bei der Verfolgung und Prävention Bitcoin-bezogener Straftaten, DuD, 2017, S. 93–98. Pesch, Paulina/Sillaber, Christian, Distributed Ledger, Joint Control? – Blockchains and the GDPR’s Transparency Requirements, CRi, 2017, S. 166– 172. Petri, Thomas, Datenschutzrechtliche Verantwortlichkeit im Internet – Überblick und Bewertung der aktuellen Rechtsprechung, ZD, 2015, S. 103– 106. Petri, Thomas, Anmerkung zum Urt. des EuGH vom 05.06.2018 - ECLI:EU:C:2018:388 - Facebook-Fanpages, EuZW, 2018, S. 540–541. Piltz, Carlo, Die Datenschutz-Grundverordnung – Teil 2: Rechte der Betroffenen und korrespondierende Pflichten des Verantwortlichen, K&R, 2016, S. 629–636. Piltz, Carlo, Die Datenschutz-Grundverordnung – Teil 1: Anwendungsbereich, Definitionen und Grundlagen der Datenverarbeitung, K&R, 2016, S. 557–567. Plath, Kai-Uwe (Hrsg.), BDSG/DSGVO – Kommentar zum BDSG und zur DSGVO sowie den Datenschutzbestimmungen von TMG und TKG, 2. Aufl., Köln, 2016 (zit. als Plath-Bearbeiter).

G. Literaturverzeichnis

287

Plath, Kai-Uwe (Hrsg.), DSGVO/BDSG – Kommentar zu DSGVO, BDSG und den Datenschutzbestimmungen von TMG und TKG, 3. Aufl., Köln, 2018 (zit. als Plath-Bearbeiter). PricewaterhouseCoopers Aktiengesellschaft Wirtschaftsprüfungsgesellschaft, Blockchain - Chance für Energieverbraucher? – Kurzstudie für die Verbraucherzentrale NRW, Düsseldorf, 26. Juli 2016, https://www.pwc.de/de/energiewirtschaft/blockchain-chance-fuerenergieverbraucher.pdf (Abruf am 19.04.2020). Quiel, Philipp, Blockchain-Technologie im Fokus von Art. 8 GRC und DS-GVO – Ein Zwiespalt zwischen Innovation und unionalem Datenschutzrecht?, DuD, 2018, S. 566–573. Rat der Europäischen Union, Vermerk über den Kompromisstext der DSGVO gemäß der allgemeinen Ausrichtung des Rates der Europäischen Union vom 11.06.2015 – Dokument-Nr. 9565/15, 11.06.2015, abrufbar unter http://data.consilium.europa.eu/doc/document/ST-9565-2015INIT/de/pdf (Abruf am 19.04.2020). Riesenhuber, Karl (Hrsg.), Europäische Methodenlehre – Handbuch für Ausbildung und Praxis, 3. Aufl., De Gruyter Handbuch, Berlin, 2015 (zit. als: Riesenhuber, Europäische Methodenlehre). Rosenthal, David, Personendaten ohne Identifizierbarkeit?, digma, 2017, S. 198–203.

288

G. Literaturverzeichnis

Roßnagel, Alexander, Datenschutzgrundsätze – unverbindliches Programm oder verbindliches Recht? – Bedeutung der Grundsätze für die datenschutzrechtliche Praxis, ZD, 2018, S. 339–344. Roßnagel, Alexander, Pseudonymisierung personenbezogener Daten – Ein zentrales Instrument im Datenschutz nach der DS-GVO, ZD, 2018, S. 243–247. Roßnagel, Alexander/Nebel, Maxi/Richter, Philipp, Was bleibt vom Europäischen Datenschutzrecht? – Überlegungen zum Ratsentwurf der DSGVO, ZD, 2015, S. 455–460. Saive, David, Haftungsprivilegierung von Blockchain-Dienstleistern gem. §§ 7 ff. TMG – Blockchain-Teilnehmer: Homo homini hostis oder Host Provider?, CR, 2018, S. 186–193. Schaar, Katrin, DS-GVO: Geänderte Vorgaben für die Wissenschaft – Was sind die neuen Rahmenbedingungen und welche Fragen bleiben offen?, ZD, 2016, S. 224–226. Schaffland, Hans-Jürgen/Wiltfang, Noeme (Hrsg.), Datenschutz-Grundverordnung (DS-GVO), Bundesdatenschutzgesetz (BDSG) – Kommentar, Berlin, 2020 (zit. als Schaffland/Wiltfang-Bearbeiter). Schantz, Peter/Wolff, Heinrich Amadeus (Hrsg.), Das neue Datenschutzrecht – Datenschutz-Grundverordnung und Bundesdatenschutzgesetz in der Praxis, 1. Aufl., München, 2017 (zit. als: Schantz/Wolff, Das neue Datenschutzrecht).

G. Literaturverzeichnis

289

Schantz, Peter, Die Datenschutz-Grundverordnung – Beginn einer neuen Zeitrechnung im Datenschutzrecht, NJW, 2016, S. 1841–1847. Schneider, Jochen, Datenschutz nach der EU-Datenschutz-Grundverordnung, 2. Aufl., München, 2019. Scholtka, Boris/Martin, Jule, Blockchain - Ein neues Modell für den Strommarkt der Zukunft?, RdE, 2017, S. 113–119. Schrey, Joachim/Thalhofer, Thomas, Rechtliche Aspekte der Blockchain, NJW, 2017, S. 1431–1436. Schulz, Sebastian, Privacy by Design – Datenschutz durch Technikgestaltung im nationalen und europäischen Kontext, CR, 2012, S. 204–208. Schulz, Sönke E., Anmerkung zum Urt. des EuGH vom 05.06.2018 - ECLI:EU:C:2018:388 - Facebook-Fanpages, ZD, 2018, S. 363–365. Schwartmann, Rolf/Jaspers, Andreas/Thüsing, Gregor u. a. (Hrsg.), DSGVO/BDSG – Datenschutzgrundverordnung, Bundesdatenschutzgesetz, Heidelberg, 2018 (zit. als Schwartmann/Jaspers/Thüsing/Kugelmann-Bearbeiter). Simitis, Spiros/Dammann, Ulrich/Arendt, Anne (Hrsg.), Bundesdatenschutzgesetz, 8. Aufl., Baden-Baden, 2014 (zit. als Simitis/Dammann/Arendt-Bearbeiter). Simmchen, Christoph, Blockchain Evolution – Verwendungsmöglichkeiten und Risiken, MMR, 2017, S. 162–165.

290

G. Literaturverzeichnis

Sixt, Elfriede, Bitcoins und andere dezentrale Transaktionssysteme – Blockchains als Basis einer Kryptoökonomie, 1. Aufl., Wiesbaden, 2017. Söbbing, Thomas, Smart Contracts und Blockchain-Technologie – Definition, Arbeitsweise, Rechtsfrage, ITRB, 2018, S. 43–46. Sorge, Christoph/Krohn-Grimberghe, Artus, Bitcoin: Eine erste Einordnung, DuD, 2012, S. 479–484. Specht, Louisa, Das Verhältnis möglicher Datenrechte zum Datenschutzrecht, GRUR Int., 2017, S. 1040–1047. Specht, Louisa, Die Entwicklung des IT-Rechts im Jahr 2017, NJW, 2017, S. 3567–3572. Specht, Louisa/Müller-Riemenschneider, Severin, Dynamische IP-Adressen: Personenbezogene Daten für den Webseitenbetreiber? Aktueller Stand der Diskussion um den Personenbezug, ZD, 2014, S. 71–75. Specht-Riemenschneider, Louisa/Schneider,Ruben, Stuck Half Way: The Limitation of Joint Control after Fashion ID (C-40/17), GRUR Int., 2020, S. 1 – 5. Spindler, Gerald/Bille, Martin, Rechtsprobleme von Bitcoins als virtuelle Währung, WM, 2014, S. 1357–1369. Swatosch, Stephanie/Hartung, Thomas, Blockchain-Technologie und Smart Contracts in der Versicherungsbranche: Analyse von Einsatzmöglichkeiten, ZfV, 2018, S. 377–380.

G. Literaturverzeichnis

291

Sydow, Gernot (Hrsg.), Europäische Datenschutzgrundverordnung – Handkommentar, 2. Aufl., Baden-Baden u.a., 2018 (zit. als Sydow-Bearbeiter). Taeger, Jürgen (Hrsg.), Internet der Dinge – Digitalisierung von Wirtschaft und Gesellschaft, Edewecht, 2015 (zit. als: Taeger, Internet der Dinge). Taeger, Jürgen (Hrsg.), Recht 4.0 - Innovationen aus den rechtswissenschaftlichen Laboren – Tagungsband Herbstakademie 2017, Edewecht, 2017 (zit. als: Taeger, Recht 4.0 - Innovationen aus den rechtswissenschaftlichen Laboren). Tschorsch, Florian; Scheuermann, Björn, Bitcoin and Beyond: A Technical Survey on Decentralized Digital Currencies, abrufbar unter https://eprint.iacr.org/2015/464.pdf (Abruf am 19.04.2020). Uecker, Philip, Gemeinsame Verantwortlichkeit - eine Bestandsaufnahme, ZDAktuell, 2018, S. 6247. Veil, Winfried, Die Datenschutz-Grundverordnung: des Kaisers neue Kleider – Der gefährliche Irrweg des alten wie des neuen Datenschutzrechts, NVwZ, 2018, S. 686–695. Voigt, Paul/von dem Bussche, Axel, EU-Datenschutz-Grundverordnung (DSGVO) – Praktikerhandbuch, 1. Aufl., Berlin u.a., 2018. Voitel, Jörn, Sind Hash-Werte personenbezogene Daten? – Auf Kollisionskurs mit der EU-DSGVO, DuD, 2017, S. 686–687. Wagner, Bernd, Disruption der Verantwortlichkeit, ZD, 2018, S. 307–312.

292

G. Literaturverzeichnis

Walport, Mark, Distributed Ledger Technology: beyond block chain – A report by the UK Government Chief Scientific Adviser, abrufbar unter https://www.gov.uk/government/uploads/system/uploads/attachment_data/file/492972/gs-16-1-distributed-ledger-technology.pdf (Abruf am 19.04.2020). Weichert, Thilo, Informationstechnische Arbeitsteilung und datenschutzrechtliche Verantwortung – Plädoyer für eine Mitverantwortlichkeit bei der Verarbeitung von Nutzungsdaten, ZD, 2014, S. 605–610. Fraunhofer-Institut für Offene Kommunikationssysteme FOKUS (Hrsg.), Mythos Blockchain – Herausforderungen für den Öffentlichen Sektor, 1. Aufl., Berlin, 2017 (zit. als Bearbeiter- Mythos Blockchain). Wójtowicz, Monika/Cebulla, Manuel, Anonymisierung nach der DSGVO, PinG, 2017, S. 186–192. Wolff, Heinrich Amadeus/Brink, Stefan (Hrsg.), Beck‘scher Online-Kommentar Datenschutzrecht, 28. Edition, München, Stand: 01.05.2019 (zit. als Wolff/Brink-Bearbeiter). Wolff, Heinrich Amadeus/Brink, Stefan (Hrsg.), Beck‘scher Online-Kommentar Datenschutzrecht, 29. Edition, München, Stand: 01.08.2019 (zit. als Wolff/Brink-Bearbeiter). Wolff, Heinrich Amadeus/Brink, Stefan (Hrsg.), Beck‘scher Online-Kommentar Datenschutzrecht, 31. Edition, München, Stand: 01.02.2020 (zit. als Wolff/Brink-Bearbeiter).

G. Literaturverzeichnis

293

Wüst, Karl; Gervais, Arthur, Do you need a Blockchain?, 27.04.2017, abrufbar unter https://eprint.iacr.org/2017/375.pdf (Abruf am 19.04.2020). Wybitul, Tim, EU-Datenschutz-Grundverordnung in der Praxis - Was ändert sich durch das neue Datenschutzrecht?, BB, 2016, S. 1077–1081. Wybitul, Tim (Hrsg.), Handbuch EU-Datenschutz-Grundverordnung, Frankfurt am Main, 2017 (zit. als Wybitul-Bearbeiter). Zöllner, Lukas, Kryptowerte vs. Virtuelle Währungen – Die überschießende Umsetzung der Fünften EU-Geldwäscherichtlinie, BKR 2020, S. 117 – 125. Zunker, Nora, Anwaltszukunft: Der Umgang mit Legal tech, AnwBl, 2017, S. 1096–1097.