Datentreuhänder

Unter einem Datentreuhänder wird eine intermediäre, häufig nicht kommerzielle Instanz verstanden, die einen vertrauensvollen, neutralen Datenaustauschs zwischen einem Datengeber und einem Datennutzer ermöglicht. Das noch recht neue und vielschichtige Konzept der Datentreuhand hat Relevanz für Wirtschaft, Wissenschaft und Gesellschaft. Als Datenvermittlungsdienste sollen Datentreuhänder zwischen mindestens zwei Parteien eine Vermittlungsleistung erbringen, die die Interessen aller beteiligten Parteien wahrt.

Dies kann beispielsweise zwischen datengebenden Personen und einem ihre personenbezogenen Daten verarbeitenden Dienstleister geschehen. Die rechtmäßige Verarbeitung von personenbezogenen Daten (im Sinne der DSGVO) sowie ein hohes Schutzniveau sollen so sichergestellt werden.^[1] Der Datentreuhänder kann die direkt identifizierenden Daten der betroffenen Person durch ein Pseudonym ersetzen. Die von der Datenverarbeitung ausgehenden Risiken für die betroffene Person werden auf diese Weise reduziert (Datensparsamkeit). Die Weitergabe von Daten an den Verantwortlichen nach der Pseudonymisierung durch den Datentreuhänder setzt voraus, dass der Verantwortliche keine direkt identifizierenden Daten benötigt (Need-to-know-Prinzip).

Auf Grund der Vielzahl von Anwendungsfeldern entstehen unterschiedliche Datentreuhandmodelle. Die Dienstleistung des Datentreuhänders kann als Webservice ausgestaltet sein. Es bestehen erhebliche Unterschiede zwischen sogenannten Datensilo-Modellen, welche große Datensätze sammeln,^[2] oder einer transaktionsbasierten Datentreuhand, die zu keinem Zeitpunkt die Daten selbst besitzt.^[3] Die Daten können pseudonymisiert, anonymisiert oder als Analyseergebnisse geteilt werden.

Innerhalb der Europäischen Union unterliegen als „Datenvermittlungsdienste“ identifizierte Datentreuhänder einer Pflicht zur staatlichen Registrierung nach dem Daten-Governance-Rechtsakt. Eine verbindliche Rechtsform besteht bisher nicht. Datentreuhänder werden bisher rechtlich selbstständig unter anderem als Vereine, Genossenschaften, Stiftungen, GmbHs oder AGs konzipiert oder sind an öffentliche Institutionen, etwa an Universitäten angebunden.

Wenn ein Datentreuhänder zwischen zwei Verantwortlichen vermittelt, die die jeweils von ihnen gehaltenen personenbezogenen Daten einander nicht direkt offenlegen wollen oder können, spricht man von einem Data Clean Room (Datenreinraum).^[4]