Blockchain DSGVO-konform betreiben

Werden darüberhinausgehend personenbezogene Daten verarbeitet, muss eine alternative Rechtsgrundlage herangezogen werden. Hier könnte eine Einwilligung greifen. Die Einwilligung hat jedoch den Nachteil, dass sie jederzeit widerrufen werden kann. Nach dem Widerruf wäre eine weitere Verarbeitung personenbezogener Daten unzulässig. Gerade mit Blick auf eine Blockchain stößt der Widerruf aber auf Probleme. Es ist unklar, an wen der Betroffene den Widerruf richten muss. Wie bereits ausgeführt, ist ebenso unklar, wer bei der Blockchain Verantwortlicher ist.

Praktisch stößt der Widerruf aber auf ein weiteres Problem: die Unveränderlichkeit der Blockchain. Das Vertrauen in die Blockchain fußt darauf, dass jede Transaktion nachvollzogen werden kann. Der Widerruf führt aber dazu, dass einzelne Teile aus der Blockchain gelöscht werden müssen, was wiederum technisch nicht umsetzbar ist. Dieses Problem greift auch bei der Pflicht zur Datenlöschung beziehungsweise dem Recht auf Vergessenwerden: Ist der Vertrag mit dem Betroffenen durchgeführt, sind seine personenbezogenen Daten für den Zweck nicht mehr erforderlich und müssen folglich gelöscht werden.

Personenbezogene Daten in der Blockchain

Die Datenlöschung muss nur dann nicht erfolgen, wenn die Verantwortlichen sich wiederum auf eine Rechtsgrundlage berufen können. Hier könnte man überlegen, eine Rechtfertigung darin zu sehen, dass die personenbezogenen Daten zu Dokumentationszwecken notwendig sind. Die DSGVO lässt eine Datenverarbeitung auch zu, wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Entscheidend ist hier die Abwägung im konkreten Einzelfall.

In der Blockchain sind die personenbezogenen Daten zwar gespeichert, allerdings sind die Daten durch kryptografische Verfahren und eine Pseudonymisierung vor dem Zugriff durch Dritte geschützt. Damit befinden sich die Daten zwar noch in der Blockchain, können aber nicht gelesen werden - wie bei einem Tresor, zu dem der Schlüssel fehlt. Daneben ist die Art der personenbezogenen Daten zu berücksichtigen: Handelt es sich um eher triviale Informationen, die ohnehin öffentlich sind, ist das Schutzbedürfnis gering anzusetzen.

Anders sieht es aber aus, wenn es sich um Gesundheitsdaten oder ähnlich kritische Daten handeln würde. Hier ist bereits auf einer abstrakt-allgemeinen Basis von einem höheren Schutzbedürfnis auszugehen. Weiß der Betroffene, bevor er seine personenbezogenen Daten eingibt, dass diese dauerhaft in einer Blockchain gespeichert bleiben, wird auch dadurch das Bedürfnis am Schutz seiner Daten reduziert. Abschließend lässt sich das Dilemma zwischen der Unveränderlichkeit der Blockchain und dem Recht auf Vergessenwerden bzw. der Pflicht zur Korrektur und Datenlöschung jedoch nicht lösen.