Der Ruf nach mehr Daten ist ungebrochen – insbesondere aus Marketing-, Finanz- und Forschungsabteilungen. Gleichzeitig steigt der regulatorische Druck, personenbezogene Informationen DSGVO-konform zu schützen. In dieser Gemengelage gewinnen Data Clean Rooms (DCRs) zunehmend an Bedeutung: als technische und rechtliche Infrastruktur für die sichere Zusammenarbeit zwischen datenverarbeitenden Unternehmen.
Was ist ein Data Clean Room aus datenschutzrechtlicher Sicht?
Ein Data Clean Room ermöglicht es mehreren Parteien, ihre Datensätze in einem abgeschotteten Analyseumfeld zusammenzuführen – ohne dass die Originaldaten die eigene Infrastruktur verlassen oder direkt für Dritte sichtbar werden. Häufig erfolgt die Zusammenführung in gehashter, aggregierter oder pseudonymisierter Form. Der wirtschaftliche Reiz liegt auf der Hand: Unternehmen können ihre Daten vermarkten, Erkenntnisse aus Kooperationen gewinnen oder Geschäftsprozesse optimieren, ohne Geschäftsgeheimnisse offenzulegen oder Reidentifizierungen zu riskieren.
Datenschutz als Enabler – nicht als Showstopper
Aus datenschutzrechtlicher Sicht rückt dabei eine entscheidende Frage in den Mittelpunkt: Hat der Betreiber des Data Clean Rooms Zugriff auf personenbezogene Daten? Ist das System so konzipiert, dass er keine Möglichkeit zur Re-Identifizierung hat, könnten die übermittelten Informationen als anonymisiert gelten. Dann würde die DSGVO nicht in vollem Umfang greifen – etwa in Bezug auf Informationspflichten, Rechtsgrundlagen oder Löschfristen.
Diese Frage ist derzeit Gegenstand eines Verfahrens vor dem Europäischen Gerichtshof (EuGH): Im sogenannten SRB-Verfahren geht es um die Reichweite des Personenbezugs bei pseudonymisierten Daten. Sollte der EuGH den sogenannten relativen Personenbegriff bestätigen – also das Kriterium, ob der konkrete Empfänger eine Identifizierung vornehmen kann –, hätte dies tiefgreifende Folgen. Für viele Data-Clean-Room-Modelle würde sich damit der Weg zu einem vereinfachten und datenschutzkonformen Einsatz ebnen.
In der Branche werden zur Zeit sechs Use Cases, in denen Clean Rooms heute echten Mehrwert schaffen, diskutiert:
- Kampagnen- und Attributionsmessung
Hash-IDs aus CRM-Systemen lassen sich mit Publisher-Daten abgleichen, ohne dass eine der Parteien Zugriff auf Rohdaten erhält. Besonders wichtig im Zuge des Third-Party-Cookie-Endes. - Second-Party-Data-Enrichment
Zwei Hersteller kombinieren Kundenlisten, um gemeinsame Zielgruppen zu analysieren – ohne Stammdaten offenzulegen. Ein Pluspunkt sowohl für das Datenschutz- als auch für das Kartellrecht. - Produkt- und Marktforschung
Loyalty-Daten, Panels und Social-Listening-Informationen werden unter Differential-Privacy-Bedingungen analysiert. So bleiben Einzelaussagen statistisch unkenntlich. - Fraud- und Risiko-Scoring
Banken tauschen auffällige Transaktionsmuster aus, der DCR errechnet Risikoscores. Besonders geeignet für hochregulierte Branchen – auch wegen der verwendeten Secure Multi-Party Computation (SMPC). - Konzernweite 360°-Analytik
Tochtergesellschaften übermitteln pseudonymisierte IDs, die Holding erhält zentrale KPIs – oft zulässig auf Grundlage des berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), sofern eine Interessenabwägung erfolgt. - Federated Learning für KI-Modelle
Das Modell wird dort trainiert, wo die Daten liegen. Zentral übermittelt werden lediglich Gradienten – ein innovativer Ansatz zur risikominimierten KI-Entwicklung im Einklang mit Datenschutzrecht.
Technik ist nicht alles – Governance entscheidet
Damit ein Clean Room nicht nur technisch, sondern auch rechtlich überzeugt, sind klare Rollenverteilungen und verbindliche vertragliche Regelungen notwendig. Die Leitlinien 07/2020 des Europäischen Datenschutzausschusses geben wichtige Hinweise zur Abgrenzung zwischen gemeinsamer Verantwortlichkeit und Auftragsverarbeitung.
Ebenso unerlässlich sind technische Schutzmaßnahmen wie:
- TLS 1.3 und AES-256 zur sicheren Übertragung und Speicherung,
- zweckgebundene Zugriffskonzepte,
- Query-Throttling,
- sowie unveränderbare Audit-Logs zur Nachvollziehbarkeit von Abfragen, Löschfristen und Betroffenenrechten.
Fazit und Ausblick:
Data Clean Rooms verbinden Datenschutz und datenbasierte Wertschöpfung auf neue Weise. Sie sind ein zentraler Baustein für datenschutzkonforme Kooperationen zwischen Unternehmen – besonders dann, wenn technische und organisatorische Maßnahmen den Personenbezug für Dritte wirksam ausschließen.
Sollte der EuGH in Luxemburg den relativen Personenbegriff bestätigen, dürfte sich der DCR-Ansatz endgültig vom Nischenphänomen zum Standardmodell für kollaborative Analysen entwickeln.
Wir beobachten die rechtlichen Entwicklungen für Sie – und beraten Sie gern beim Aufbau, der Bewertung und dem Einsatz datenschutzkonformer Clean-Room-Lösungen.
(Dr. Lukas Mezger, UNVERZAGT Rechtsanwälte)