…Oder in diesem Fall eher: Sag mir, wo Du wann eingekauft hast und wie viel Du dabei bezahlt hast.

Ein Forscherteam aus den USA und aus Dänemark hat sich in der Studie “Unique in the shopping mall: On the reidentifiability of credit card metadata“ mit der Frage auseinandergesetzt, ob es möglich ist, eigentlich „anonyme“ Daten dennoch bestimmten Personen zuzuordnen. Als Versuchsdaten wurden Metadaten von Kreditkartentransaktionen genutzt. Insgesamt wurden Metadaten von 1,1 Millionen Nutzern, die über einen Zeitraum von 3 Monaten angefallen waren analysiert. Die Daten erhielt das Forscherteam von 10.000 Geschäften, bei denen zuvor Kreditkartenzahlungen vorgenommen wurden.

Was sind Metadaten?

Metadaten oder Metainformationen sind Daten, die Informationen über Merkmale anderer Daten enthalten, aber nicht diese Daten selbst. Für die Studie wurden nur die folgenden Kreditkarten-Metadaten analysiert:

  • Das Geschäft, in dem die Kreditkarte eingesetzt wurde,
  • der Ort, in dem die Karte eingesetzt wurde,
  • das Datum des Einkaufs
  • und die gezahlte Summe.

Eindeutige Identifikations-Informationen wie etwa Name, Konto- und Kartennummer oder Angaben zur genauen Uhrzeit der Transaktion und dem gekauften Produkt wurden aus dem Datensatz entfernt.

Die genannten Metadaten enthielten also keine persönlichen Angaben zu den Personen, die mit den Kreditkarten gezahlt hatten.

Welche Rückschlüsse lassen sich aus diesen Daten ziehen?

Die Forscher haben sich sodann mit der Frage auseinandergesetzt, ob die analysierten Daten trotz des eigentlich fehlenden Personenbezugs wirklich als anonym anzusehen sind. Das Ergebnis fiel dabei eindeutig aus: Bereits mit wenigen Informationen war es möglich mit großer Genauigkeit Rückschlüsse auf die Identität der Kreditkartenbesitzer zu ziehen.

Dafür mussten die Forscher lediglich vier Bezahlvorgänge einer bestimmten Person kennen, um dieser Person später mit einer 90-prozentigen Wahrscheinlichkeit die Metadaten zuordnen zu können. Dabei fiel es übrigens leichter, Frauen und Personen mit hohem Einkommen zu identifizieren.

Diese Erkenntnisse sind insbesondere deshalb interessant, da im Datenschutzrecht nur personenbezogene Daten geschützt sind – anonymisierte Datensätze aber nicht. Wie die Studie zeigt, ist die Frage, ob ein Datensatz überhaupt als „anonym“ angesehen werden kann, aber oft nicht so leicht zu beantworten wie es zunächst scheint.

Bemerkenswerterweise hatte das Bundesverfassungsgericht bereits im Jahr 1983 im bekannten „Volkszählungsurteil“ (Az. 1 BvR 209, 269, 362, 420, 440, 484/83) festgehalten, dass es unter den Bedingungen der automatischen Datenverarbeitung kein „belangloses“ Datum mehr gebe. Aufgrund der Verarbeitungsmöglichkeiten und Verknüpfungsmöglichkeiten, die die Informationstechnologie bietet, könne ein für sich gesehen belangloses Datum einen neuen Stellenwert bekommen.

Wie sich anhand der Studie zeigt, hat das Bundesverfassungsgericht also die aktuellen Entwicklungen bereits vor über 30 Jahren vorhergesehen.