{"id":2436,"date":"2025-07-25T16:45:17","date_gmt":"2025-07-25T14:45:17","guid":{"rendered":"https:\/\/blog.eprivacy.eu\/?p=2436"},"modified":"2025-07-25T16:45:17","modified_gmt":"2025-07-25T14:45:17","slug":"data-clean-rooms-datenschutzgerechte-kooperation-statt-datenwueste","status":"publish","type":"post","link":"https:\/\/blog.eprivacy.eu\/?p=2436&lang=de","title":{"rendered":"Data Clean Rooms \u2013 Datenschutzgerechte Kooperation statt Datenw\u00fcste?"},"content":{"rendered":"\n

Der Ruf nach mehr Daten ist ungebrochen \u2013 insbesondere aus Marketing-, Finanz- und Forschungsabteilungen. Gleichzeitig steigt der regulatorische Druck, personenbezogene Informationen DSGVO-konform zu sch\u00fctzen. In dieser Gemengelage gewinnen Data Clean Rooms (DCRs) zunehmend an Bedeutung: als technische und rechtliche Infrastruktur f\u00fcr die sichere Zusammenarbeit zwischen datenverarbeitenden Unternehmen.

Was ist ein Data Clean Room aus datenschutzrechtlicher Sicht?<\/strong>
Ein Data Clean Room erm\u00f6glicht es mehreren Parteien, ihre Datens\u00e4tze in einem abgeschotteten Analyseumfeld zusammenzuf\u00fchren \u2013 ohne dass die Originaldaten die eigene Infrastruktur verlassen oder direkt f\u00fcr Dritte sichtbar werden. H\u00e4ufig erfolgt die Zusammenf\u00fchrung in gehashter, aggregierter oder pseudonymisierter Form. Der wirtschaftliche Reiz liegt auf der Hand: Unternehmen k\u00f6nnen ihre Daten vermarkten, Erkenntnisse aus Kooperationen gewinnen oder Gesch\u00e4ftsprozesse optimieren, ohne Gesch\u00e4ftsgeheimnisse offenzulegen oder Reidentifizierungen zu riskieren.
Datenschutz als Enabler \u2013 nicht als Showstopper

Aus datenschutzrechtlicher Sicht r\u00fcckt dabei eine entscheidende Frage in den Mittelpunkt: Hat der Betreiber des Data Clean Rooms Zugriff auf personenbezogene Daten? Ist das System so konzipiert, dass er keine M\u00f6glichkeit zur Re-Identifizierung hat, k\u00f6nnten die \u00fcbermittelten Informationen als anonymisiert gelten. Dann w\u00fcrde die DSGVO nicht in vollem Umfang greifen \u2013 etwa in Bezug auf Informationspflichten, Rechtsgrundlagen oder L\u00f6schfristen.
Diese Frage ist derzeit Gegenstand eines Verfahrens vor dem Europ\u00e4ischen Gerichtshof (EuGH): Im sogenannten SRB-Verfahren geht es um die Reichweite des Personenbezugs bei pseudonymisierten Daten. Sollte der EuGH den sogenannten relativen Personenbegriff best\u00e4tigen \u2013 also das Kriterium, ob der konkrete Empf\u00e4nger eine Identifizierung vornehmen kann \u2013, h\u00e4tte dies tiefgreifende Folgen. F\u00fcr viele Data-Clean-Room-Modelle w\u00fcrde sich damit der Weg zu einem vereinfachten und datenschutzkonformen Einsatz ebnen.
In der Branche werden zur Zeit sechs Use Cases, in denen Clean Rooms heute echten Mehrwert schaffen, diskutiert: <\/p>\n\n\n\n

  1. Kampagnen- und Attributionsmessung<\/strong>
    Hash-IDs aus CRM-Systemen lassen sich mit Publisher-Daten abgleichen, ohne dass eine der Parteien Zugriff auf Rohdaten erh\u00e4lt. Besonders wichtig im Zuge des Third-Party-Cookie-Endes.<\/li>
  2. Second-Party-Data-Enrichment<\/strong>
    Zwei Hersteller kombinieren Kundenlisten, um gemeinsame Zielgruppen zu analysieren \u2013 ohne Stammdaten offenzulegen. Ein Pluspunkt sowohl f\u00fcr das Datenschutz- als auch f\u00fcr das Kartellrecht.<\/li>
  3. Produkt- und Marktforschung<\/strong>
    Loyalty-Daten, Panels und Social-Listening-Informationen werden unter Differential-Privacy-Bedingungen analysiert. So bleiben Einzelaussagen statistisch unkenntlich.<\/li>
  4. Fraud- und Risiko-Scoring<\/strong>
    Banken tauschen auff\u00e4llige Transaktionsmuster aus, der DCR errechnet Risikoscores. Besonders geeignet f\u00fcr hochregulierte Branchen \u2013 auch wegen der verwendeten Secure Multi-Party Computation (SMPC).<\/li>
  5. Konzernweite 360\u00b0-Analytik<\/strong>
    Tochtergesellschaften \u00fcbermitteln pseudonymisierte IDs, die Holding erh\u00e4lt zentrale KPIs \u2013 oft zul\u00e4ssig auf Grundlage des berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), sofern eine Interessenabw\u00e4gung erfolgt.<\/li>
  6. Federated Learning f\u00fcr KI-Modelle<\/strong>
    Das Modell wird dort trainiert, wo die Daten liegen. Zentral \u00fcbermittelt werden lediglich Gradienten \u2013 ein innovativer Ansatz zur risikominimierten KI-Entwicklung im Einklang mit Datenschutzrecht.<\/li><\/ol>\n\n\n\n

    Technik ist nicht alles \u2013 Governance entscheidet<\/strong>
    Damit ein Clean Room nicht nur technisch, sondern auch rechtlich \u00fcberzeugt, sind klare Rollenverteilungen und verbindliche vertragliche Regelungen notwendig. Die Leitlinien 07\/2020 des Europ\u00e4ischen Datenschutzausschusses geben wichtige Hinweise zur Abgrenzung zwischen gemeinsamer Verantwortlichkeit und Auftragsverarbeitung.

    Ebenso unerl\u00e4sslich sind technische Schutzma\u00dfnahmen wie: <\/p>\n\n\n\n