DSFA

Das Warten hat ein Ende
Ailance™ DSFA ist da!

Blockchain und DSGVO: EDSA veröffentlicht neue Leitlinien

Auch Blockchain müssen sich an die DSGVO halten
Kategorien:

Blockchain-Technologien eröffnen neue Perspektiven für die dezentrale Datenverarbeitung. Ihre besonderen Eigenschaften bringen jedoch erhebliche datenschutzrechtliche Herausforderungen mit sich, die einer sorgfältigen Prüfung im Rahmen der Datenschutz-Grundverordnung (DSGVO) bedürfen. Der Europäische Datenschutzausschuss (EDSA) gibt in seinen aktuellen Leitlinien einen Überblick über die rechtlichen und technischen Herausforderungen sowie Handlungsempfehlungen.

Was ist eine Blockchain?

Eine Blockchain ist eine verteilte, konsistente Datenbank, die ohne zentrale Instanz auskommt. Transaktionen werden in sogenannten Blöcken gespeichert, kryptographisch miteinander verkettet und chronologisch dokumentiert. Dadurch sind Manipulationen an gespeicherten Daten praktisch ausgeschlossen oder nur mit erheblichem Aufwand möglich. Blockchains können öffentlich oder privat ausgestaltet sein und unterscheiden sich insbesondere darin, ob alle (permissionless) oder nur ausgewählte Teilnehmer (permissioned) Transaktionen validieren können.

Die Blockchain-Technologie ermöglicht es vor allem, Transaktionen zwischen verschiedenen Akteuren direkt, transparent und manipulationssicher durchzuführen und einzelne Arbeitsprozesse automatisiert abzuwickeln –  zum Beispiel im Zahlungsverkehr mit Kryptowährungen. 

Blockchain-Technologien eröffnen neue Möglichkeiten für die dezentrale Datenverarbeitung. Die besonderen Eigenschaften der Blockchain-Technologie wie Dezentralität, Unveränderbarkeit und Transparenz bringen jedoch erhebliche datenschutzrechtliche Herausforderungen mit sich. Diese bedürfen einer sorgfältigen Prüfung im Rahmen der DSGVO. Der EDSA betont in seinen aktuellen Guidelines 02/2025 die Notwendigkeit, die Grundprinzipien des Datenschutzes auch bei Blockchain-Lösungen vollumfänglich zu gewährleisten.

Datenschutzrechtliche Herausforderungen

Die besonderen technischen Eigenschaften von Blockchains stehen teilweise im Konflikt mit den Grundprinzipien der DSGVO, insbesondere der Datenminimierung, der Speicherbegrenzung sowie den Rechten auf Berichtigung, Löschung und Widerspruch.

Einmal gespeicherte Daten können kaum gelöscht oder verändert werden. Dies erschwert insbesondere die Umsetzung des Rechts auf Löschung (Art. 17 DSGVO) und auf Berichtigung (Art. 16 DSGVO). Auch die Wahrung von Transparenzpflichten (Art. 13, 14 DSGVO) ist komplex, da die Vielzahl der Beteiligten die eindeutige Zuweisung von Verantwortlichkeiten erschwert.

TOM-Empfehlungen für den Blockchain-Einsatz

Um die Datenschutzrisiken beim Einsatz von Blockchain-Technologien wirksam zu minimieren, empfiehlt der Europäische Datenschutzausschuss eine Reihe von technischen und organisatorischen Maßnahmen:

Zunächst sollte nach Möglichkeit vermieden werden, personenbezogene Daten direkt auf der Blockchain zu speichern. Stattdessen sollten Daten so weit wie möglich außerhalb der Blockchain gespeichert werden. Auf der Blockchain selbst sollten nur kryptografische Verweise wie Hashwerte oder sogenannte Commitments gespeichert werden, die einen Bezug zur ursprünglichen Information herstellen können, ohne diese offen zu legen.

Ist die Speicherung personenbezogener Daten auf der Blockchain unumgänglich, sollten moderne Verschlüsselungsverfahren eingesetzt werden. Eine starke Verschlüsselung stellt sicher, dass nur autorisierte Parteien auf die Inhalte zugreifen können. Die EDPB weist jedoch ausdrücklich darauf hin, dass auch verschlüsselte oder gehashte Daten weiterhin als personenbezogene Daten gelten und damit den vollen Anforderungen der DSGVO unterliegen.

Ein weiterer wesentlicher Aspekt ist die Umsetzung des Datenschutzes durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Privacy by Design und Default). Bereits bei der Planung eines Blockchain-Projekts müssen Maßnahmen vorgesehen werden, die sicherstellen, dass personenbezogene Daten grundsätzlich geschützt sind und nur in dem für den jeweiligen Zweck erforderlichen Umfang verarbeitet werden. Dazu gehören beispielsweise die bewusste Entscheidung für eine private, permissioned Blockchain anstelle einer öffentlichen Blockchain, die klare Beschränkung der Zugriffsrechte sowie die Minimierung der verarbeiteten Datenmenge.

Insgesamt erfordert die datenschutzkonforme Ausgestaltung von Blockchain-Technologien eine sorgfältige technische Planung, eine enge Abstimmung der Beteiligten und eine fortlaufende Dokumentation der getroffenen Schutzmaßnahmen.

Verantwortlichkeiten und Governance

Die dezentrale Struktur einer Blockchain entbindet nicht von der Pflicht, klare Verantwortlichkeiten gemäß Art. 4 Nr. 7 DSGVO festzulegen. Insbesondere bei permissioned Blockchains sollte eine Governance-Struktur eingerichtet werden, die Rollen und Verantwortlichkeiten klar definiert.

Bei permissionless Blockchains kann die Rollenklärung schwieriger sein. Knotenbetreiber (Nodes) könnten unter Umständen als (Mit-)Verantwortliche anzusehen sein, wenn sie einen maßgeblichen Einfluss auf die Zwecke und Mittel der Verarbeitung haben.

Lese-Tipp: EDSA veröffentlicht neue Leitlinien zur Pseudonymisierung

Erforderlichkeit einer Datenschutz-Folgenabschätzung

Bei Blockchain-Projekten ist regelmäßig eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO erforderlich. Eine DSFA muss insbesondere prüfen:

  • ob der Einsatz der Blockchain-Technologie erforderlich und verhältnismäßig ist,
  • welche Daten auf oder außerhalb der Blockchain gespeichert werden,
  • welche Risiken für die Rechte und Freiheiten der betroffenen Personen entstehen,
  • und wie internationale Datenübermittlungen gehandhabt werden.


Eine DSFA sollte auch alternative technische Lösungen in Betracht ziehen und deren Risiken vergleichend bewerten.

Rechte der betroffenen Personen

Blockchain-Anwendungen müssen so ausgestaltet sein, dass die Rechte der Betroffenen nach der DSGVO vollumfänglich gewahrt werden. Dies betrifft insbesondere das Recht auf Information, Auskunft, Berichtigung, Löschung, Datenübertragbarkeit sowie das Widerspruchsrecht.

Das Recht auf Information (Art. 13, 14 DSGVO) verlangt, dass die betroffenen Personen vor oder spätestens zum Zeitpunkt der Verarbeitung klar und verständlich über die Datenverarbeitung informiert werden. Dieser Informationsfluss muss auch bei Blockchain-Anwendungen gewährleistet sein – etwa bei der Einrichtung von Wallets oder vor der Übertragung von Daten in ein Blockchain-Netzwerk. Hier können zentrale Informationsplattformen oder Nutzerhinweise innerhalb der Anwendungen helfen.

Das Recht auf Auskunft und Datenübertragbarkeit (Art. 15, 20 DSGVO) bedeutet, dass Betroffene Auskunft über ihre personenbezogenen Daten und gegebenenfalls deren Übertragung in einem strukturierten und gängigen Format verlangen können. Auch wenn die Daten auf verschiedene Knoten verteilt sind, muss eine zentrale Stelle (z.B. der Verantwortliche) erreichbar sein und diese Informationen zur Verfügung stellen.

Die Rechte auf Berichtigung und Löschung (Art. 16, 17 DSGVO) stellen in Blockchain-Systemen eine besondere Herausforderung dar. Die Unveränderbarkeit der Blockchain steht dem Recht auf Berichtigung oder Löschung von Daten grundsätzlich entgegen. Die EDPB empfiehlt daher, personenbezogene Daten nach Möglichkeit außerhalb der Blockchain zu speichern. Falls eine Löschung gewünscht wird, kann dies durch Entfernen der Off-Chain-Daten erfolgen, so dass die On-Chain-Daten keinen Personenbezug mehr aufweisen. Ergänzend können zusätzliche Transaktionen genutzt werden, um fehlerhafte Einträge zu widerrufen oder zu überstimmen.

Das Widerspruchsrecht (Art. 21 DSGVO) muss ebenfalls bereits in der Systemarchitektur berücksichtigt werden. Technische und organisatorische Maßnahmen müssen vorsehen, dass Datenverarbeitungen bei berechtigtem Widerspruch rückgängig gemacht werden können.

Zusammenfassung und Empfehlungen

Der EDSA empfiehlt:

  • Den Einsatz von Blockchain-Technologien nur bei klarer Erforderlichkeit und nach sorgfältiger Abwägung.

  • Die Bevorzugung von permissioned Blockchains mit kontrollierter Zugriffsstruktur.

  • Frühzeitige Berücksichtigung datenschutzrechtlicher Anforderungen im Rahmen von Privacy by Design und Default.

  • Klare Governance-Strukturen zur Bestimmung von Verantwortlichkeiten.

  • Dokumentation aller Entscheidungen, insbesondere zur Datenstruktur, Zugriffskontrolle und Risikobewertung.

Quelle: Guidelines 02/2025 on processing of personal data through blockchain technologies

Sie brauchen Unterstützung bei der Umsetzung in Ihrem Unternehmen? Wir bieten praxisnahe Datenschutzberatung und digitale Lösungen an – effizient, verständlich und rechtssicher.

Nehmen Sie Kontakt zu uns auf – wir helfen weiter!
☎️ +49 (228) 926165-100
📧  info@2b-advice.com

Tags:
Share this post :
de_DEGerman