Künstliche Intelligenz ist mittlerweile zu einem der beherrschenden Themen in der Gesellschaft avanciert. Durch die Technologie soll sich vieles zum Besseren wenden (lassen), so lautet allgemein das implizite Versprechen. Insbesondere Industrieunternehmen sind hier sehr zuversichtlich – nicht nur in Bezug auf das Generieren von Wettbewerbsvorteilen, sondern auch bezüglich ihrer Innovationsfähigkeit. Doch beim richtigen Umgang mit Künstlicher Intelligenz müssen manche Sachverhalte vollständig geklärt und andere noch grundsätzlich überdacht werden. Zum Beispiel die Datensicherheit!

Vernetzung im Unternehmen bringt Vorteile – keine Frage. Die Effizienz der Abläufe lässt sich steigern, Kundenwünsche können direkter erfasst sowie passgenau umgesetzt werden und vieles mehr. Klingt alles perfekt, wären da nicht die vielen Daten, die im Rahmen der neuen Prozesse ständig produziert werden. Denn hier ist Vorsicht geboten, weil selbst Informationen, die auf den ersten Blick völlig trivial erscheinen, aufgrund der Aggregierens verschiedener ,e am Ende eine Aussagekraft erhalten und damit Mal sensibel und somit schützenswert werden können.

Vor einigen Jahren wurde es noch als Science Fiction bestaunt, wenn per Fingerabdruck das Telefon entsperrt oder mittels Gesichtserkennung der Zutritt zu einem Hochsicherheitstrakt geöffnet wurde. Mittlerweile ist die biometrische Authentifizierung völlig unspektakulär in den Alltag eingezogen. Das bringt viele Vorteile mit sich – aber nicht ausschließlich. Insbesondere unter dem Aspekt des Datenschutzes gibt es hier beim Einsatz im Unternehmen einiges zu beachten. Im privaten Umfeld ist die Nutzung von Biometrie nichts Ungewöhnliches mehr, in jedem teureren Smartphone gehört der Fingerabdruckscanner bereits zur Grundausstattung. Kein Wunder, liegt doch der Vorteil klar ersichtlich auf der Hand: Nutzer müssen sich nichts mehr merken – wie leicht ist mal ein Passwort oder PIN vergessen – aber Hände und Augen sind immer dabei. Somit bietet sich die Authentifizierung über die persönlichen biometrischen Merkmale als ein sehr komfortables Verfahren nahezu automatisch an.

Die Mischung macht’s: Die Müsli-Kreation – übers Internet kombiniert und bestellt – wird automatisch abgefüllt, verpackt und versandt. Ein Scancode auf der Packung zeigt der Maschine, woran sie arbeitet. Mit diesem Beispiel lässt sich an der vierten industriellen Revolution Geschmack gewinnen. Mit automatisierter Warenwirtschaft, leistungsfähigen Rechner, Cloud-Services und dem Internet der Dinge, lassen sich identifizierbare Produkte individuell fertigen, angefangen beim geschmackvollen Müsli oder eigenwilligem Parfümduft bis hin zu Großserienproduktion von Spritzgusselementen, bei denen Materialwahl und Gestaltung während der Herstellung vom Produkt selbsttätig modifiziert wird. Mittels Scancode, RFID oder anderer Identifikationen, erkennt die Maschine, mit welchem Produktionsstück sie es zu tun hat, konfiguriert sich entsprechend und fertigt das Teil. Hierbei steht sie über Netzwerke mit anderen Teilnehmern des Produktionsprozesses in Verbindung, tauscht sich aus, plant, vermeidet Engpässe und vor allem Stillstand oder Fehlproduktionen. Und wenn Probleme auftauchen, die sich im Dialog der Maschinen nicht klären lassen, beziehen sie den Menschen ein, ganz von selbst und genau denjenigen, der die Lösung bringt.

Obwohl umstritten, gehen die Aufsichtsbehörden davon aus, dass IP-Adressen zu den personenbezogen Daten zählen. Sie unterliegen damit dem deutschen Datenschutzrecht. Eindeutig ist die Rechtslage, wenn Webseitenbetreiber IP-Adressen mit personenbezogenen Daten zusammenführen und so den direkten Personenbezug selbst herstellen. Das ist z.B. der Fall, wenn ein Shopbetreiber bei einer Bestellung die IP-Adresse des Kunden zusammen mit dessen Bestelldaten speichert.

Nach § 13 Abs. 1 TMG muss der Webseitenbetreibers die Nutzer „zu Beginn des Nutzungsvorgangs über Art und Umfang und Zweck der Erhebung und Verwendung personenbezogener Daten….“in allgemein verständlicher Form zu unterrichten“. Analysen des Nutzungsverhaltens mit ungekürzten IP-Adressen sind nur mit der bewussten und eindeutigen Einwilligung des Nutzers möglich. Ansonsten liegt ein Verstoß gegen Datenschutzbestimmungen vor. Ein solcher Verstoß kann mit Bußgeldern geahndet werden und Unterlassungsklagen der Betroffenen nach sich ziehen.

Was aber gilt in den Fällen, in denen IP-Adressen automatisch in Server Logfiles protokolliert oder von Tracking-Tools zur anonymisierten Analyse des Nutzerverhaltens gespeichert werden? „In Logfiles ist so weit wie möglich auf personenbeziehbare Daten (insbesondere IP-Adressen) zu verzichten“, so das Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (ULD). In der Praxis sind die IP-Adressen unverzüglich durch ein nicht zurück auflösbares Kennzeichen zu ersetzen. Es gibt Software, die diese Anonymisierung automatisch vornehmen kann.

Eine immer aktueller werdende Frage angesichts der Lokalisierung von Personen mit Smartphones ist die Frage, ob IP-Adressen für eine Geolokalisierung im Rahmen der Analyse von Nutzungsverhalten verwendet werden dürfen. Auch hier hat das ULD Stellung bezogen. Danach erfordert eine Geolokalisierung mit vollständigen IP-Adressen zur Analyse des Nutzungsverhaltens die bewusste und eindeutige Einwilligung des Nutzers. Liegt diese nicht vor, muss die IP-Adresse so gekürzt werden, dass eine Personenbeziehbarkeit ausgeschlossen werden kann.