Umfangreiche Telekomdaten unter DSGVO, ePrivacy und legaler Überwachung steuern

# Umfangreiche Telekomdaten unter DSGVO, ePrivacy und legaler Überwachung steuern

Um 9:14 an einem Dienstag landen drei Anfragen auf dem Schreibtisch desselben Telekommunikationsanbieters. Marketing will aggregierte Insights zu Passantenfrequenzen aus Standortdaten von Teilnehmern verkaufen. Die nationalen Vorschriften zur Vorratsdatenspeicherung verlangen, dass bestimmte Datensätze für die Strafverfolgung aufbewahrt werden. Und ein Gericht hat gerade eine Anordnung zur legalen Überwachung der laufenden Kommunikation eines bestimmten Kunden erlassen.

Alle drei betreffen dieselben zugrunde liegenden Daten. Alle drei unterliegen unterschiedlichen, teils widersprüchlichen Regeln. Ihre Aufgabe ist es, ein Governance-Framework zu bauen, das das Geschäft legal hält, die Aufsicht zufriedenstellt und die Rechte der Kunden unangetastet lässt.

Diese Lektion geht diese Abstimmung durch.

Die drei Datenregime, die Sie erfüllen müssen

Telekommunikationsanbieter unterliegen einem dichteren Regulierungsstapel als die meisten Branchen. Drei Regime sind hier relevant.

DSGVO (Datenschutz-Grundverordnung). Das Basis-Datenschutzgesetz der EU. Es gilt für alle „personenbezogenen Daten", also Informationen, die sich auf eine identifizierbare Person beziehen. Es verlangt eine Rechtsgrundlage für jede Verwendung, Zweckbindung (Sie nutzen Daten nur für den Zweck, für den Sie sie erhoben haben) und Datenminimierung.

ePrivacy-Richtlinie. Eine telekomspezifische Schicht oberhalb der DSGVO. Sie regelt „Verkehrsdaten" (wer hat wen wann und wie lange angerufen) und „Standortdaten" (wo sich ein Gerät befindet). Die zentrale Regel: Diese sind sensibler als gewöhnliche personenbezogene Daten und müssen grundsätzlich gelöscht oder anonymisiert werden, sobald sie für das Gespräch nicht mehr benötigt werden, sofern keine spezifische Ausnahme gilt.

Pflichten zur legalen Überwachung und Vorratsdatenspeicherung. Nationale Gesetze, die Anbieter verpflichten, bestimmte Metadaten aufzubewahren und der Strafverfolgung bei entsprechender Rechtsgrundlage eine Live-Überwachungsfähigkeit bereitzustellen. In der EU variieren diese je Mitgliedstaat, unter anderem weil der Gerichtshof die pauschale Speicherung mehrfach eingeschränkt hat.

Die Spannung ist strukturell. DSGVO und ePrivacy drängen zu Löschung und Minimierung. Speicher- und Überwachungsgesetze drängen zu Aufbewahrung und Offenlegung. Governance ist die Art, beides zu halten.

Anfrage 1: Marketing will Standortdaten

Der Pitch des Marketings klingt harmlos: aggregieren, wo sich Menschenmengen sammeln, und daraus „Mobility Insights" an Händler und Stadtplaner verkaufen.

Das Problem ist das Ausgangsmaterial. Standortdaten eines identifizierten Teilnehmers sind durch ePrivacy geschützt. Sie kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen sie nicht zweckentfremden, weil es praktisch ist.

Ihre Governance-Optionen, nach Sicherheit geordnet:

Consent. Nach ePrivacy erfordert die Nutzung von Standortdaten für einen Mehrwertdienst grundsätzlich die vorherige, informierte und freiwillige Einwilligung des Teilnehmers, mit Widerrufsmöglichkeit. Eine Einwilligung, die in einem 40-seitigen Vertragsdokument versteckt ist, genügt nicht.

Anonymisierung. Wenn Sie die Daten so transformieren, dass keine Person erneut identifiziert werden kann, auch nicht durch Kombination von Datensätzen, fallen sie vollständig aus der DSGVO heraus. Das ist schwer. Standortspuren lassen sich notorisch leicht re-identifizieren, weil das Muster aus Wohnort plus Arbeitsort nahezu eindeutig ist.

Der praktische Test: Übersteht Ihr „anonymisiertes" Ergebnis einen Re-Identifikationsversuch?

# Sanity check before releasing "aggregated" location data.
# Suppress any grid cell / time bin with too few distinct users.

K_THRESHOLD = 20  # min distinct users per aggregate

def is_safe_to_release(cell_counts):
    # cell_counts: {(grid_id, hour): distinct_user_count}
    return all(count >= K_THRESHOLD
               for count in cell_counts.values())

# If any cell has fewer than K users, that row is
# too identifying. Suppress it, don't ship it.

Das ist eine grobe Form von kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →-Anonymität: niemals ein Aggregat veröffentlichen, das weniger als KKDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen → Personen beschreibt. Es ist eine Untergrenze, keine Garantie, aber es stoppt die offensichtlichsten Lecks.

Governance-Entscheidung: Marketing erhält aggregierte, unterdrückte, nicht identifizierende Daten, erzeugt über eine dokumentierte PipelinePipelineAlle aktiven Verkaufschancen über die Phasen des Vertriebsprozesses hinweg, zusammen mit ihrem gesamten potenziellen Wert und ihrer Abschlusswahrscheinlichkeit.Vollständige Definition ansehen →, mit einer Datenschutz-Folgenabschätzung in der Ablage. Rohe Standortspuren bekommt es nicht.

Anfrage 2: Die Aufsicht verlangt Speicherung

Jetzt der umgekehrte Druck. Nationales Recht verpflichtet Sie, bestimmte Teilnehmer- und Verkehrsmetadaten aufzubewahren, damit sie verfügbar sind, wenn die Strafverfolgung sie später braucht.

Hier ist die Nuance, die viele Anbieter übersehen. Der Gerichtshof der Europäischen Union hat mehrfach entschieden, dass eine allgemeine, unterschiedslose Speicherung aller Verkehrs- und Standortdaten in den meisten Fällen nicht zulässig ist. Zielgerichtete Speicherung, auf schwere Kriminalität begrenzte Speicherung und ein beschleunigtes „Quick Freeze" bestimmter Daten sind besser verteidigbar.

Die Übersicht der Kommission zum ePrivacy-Rahmen finden Sie auf der ePrivacy-Seite der Europäischen Kommission.

Speicher-Governance heißt also nicht „alles für immer behalten". Sie heißt:

• Nur die spezifischen Datenkategorien speichern, die das Gesetz benennt.
• Für die festgelegte Dauer speichern, dann automatisch löschen.
• Gespeicherte Daten logisch von kommerziellen Daten trennen, damit Marketing sie niemals anfassen kann.
• Jeden Zugriff protokollieren.

Der Trennungspunkt ist entscheidend. Die Daten, die Sie für die Strafverfolgung aufbewahren, sind keine Ressource, die das Geschäft weiterverwenden darf. Zweckbindung heißt: Daten mit Speicherzweck bleiben abgeschottet.

Anfrage 3: Die Anordnung zur legalen Überwachung

Die gerichtliche Anordnung ist das schärfste Instrument. Sie erlaubt die Echtzeitüberwachung der Kommunikation einer benannten Zielperson.

Legale Überwachung ist kein Schlupfloch in der DSGVO. Die DSGVO tritt ausdrücklich zurück, wenn eine Verarbeitung durch die Strafverfolgung auf einer ordnungsgemäßen Rechtsgrundlage erforderlich ist. Aber „ordnungsgemäß" leistet hier viel Arbeit.

Ihre Governance-Kontrollen:

Die Anordnung prüfen. Kommt sie von einer zuständigen Behörde? Liegt sie in der korrekten Rechtsform vor? Benennt sie eine konkrete Zielperson und einen Umfang? Ein Anbieter, der auf eine vage oder unzulässige Anfrage Daten herausgibt, haftet selbst.

Eng begrenzen. Nur die benannte Zielperson überwachen, für den genehmigten Zeitraum, für die genehmigten Datenarten. Kein Fishing.

Standardisierte Übergabe. Anbieter setzen legale Überwachung über definierte technische Schnittstellen um (ETSI, das European Telecommunications Standards Institute, veröffentlicht die weit verbreiteten Standards). Das hält die Überwachung auditierbar und getrennt vom normalen Netzbetrieb.

Funktionstrennung. Ein kleines, geprüftes Team für legale Überwachung bearbeitet diese Anfragen. Marketing, Analytics und allgemeines Engineering sehen sie nie. Das schützt sowohl die Ermittlung als auch den Anbieter.

Das vereinheitlichende Governance-Framework entwerfen

Drei Anfragen, ein Datensatz, ein Framework. Das Framework ruht auf fünf Säulen.

1. Zweckregister

Jeder Datensatz hat registrierte, genehmigte Zwecke. Standortdaten kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen mit „Netzbetrieb", „eingewilligter Mehrwertdienst" und „gesetzlich vorgeschriebene Speicherung" getaggt sein. Ein Zweck, der nicht auf der Liste steht, kann nicht stattfinden. Das Insights-Produkt des Marketings muss einen Zweck registrieren und die Prüfung bestehen, bevor es existiert.

2. Zuordnung der Rechtsgrundlagen

Dokumentieren Sie für jeden Zweck die Rechtsgrundlage. Einwilligung für Marketing-Analytics. Rechtliche Verpflichtung für die Speicherung. Rechtliche Verpflichtung plus ordnungsgemäße gerichtliche Ermächtigung für die Überwachung. Wenn Sie die Grundlage nicht benennen kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen, kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen Sie nicht verarbeiten.

3. Trennung und Zugriffskontrolle

Trennen Sie die drei Datenpools physisch oder logisch:

• Kommerzieller Pool: eingewilligt, minimiert, oft aggregiert.
• Speicher-Pool: gesperrt, Löschung nach Zeitplan, kein Zugriff durch das Geschäft.
• Überwachungs-Pool: beschränkt auf das geprüfte Team, pro Anordnung.

Rollenbasierter Zugriff stellt sicher, dass kein einzelnes Team alle drei umspannt.

4. Automatisierung von Speicherung und Löschung

Löschung ist kein Policy-Dokument, sie ist ein Cron-Job. Jede Datenkategorie trägt eine Speicheruhr. Läuft sie ab, werden die Daten automatisch gelöscht oder anonymisiert, und die Löschung wird protokolliert. Manuelle Löschung driftet immer.

5. Auditierbarkeit

Jeder Zugriff auf sensible Pools wird protokolliert: wer, was, wann, auf welcher Grundlage, unter welcher Anordnung. Wenn eine Aufsichtsbehörde oder ein Kunde, der seine DSGVO-Rechte ausübt, fragt „wer hat meine Daten angefasst", kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen Sie antworten.

Mit den Kollisionen umgehen

Frameworks werden an den Rändern getestet. Drei häufige Kollisionen:

Marketing will die gespeicherten Daten. Nein. Vorratsdaten haben einen einzigen rechtlichen Zweck. Zweckbindung verbietet die Weiterverwendung. Die Trennung im Framework macht das technisch unmöglich, nicht nur unerwünscht.

Ein Kunde stellt einen DSGVO-Löschantrag, während eine Speicherpflicht besteht. Das Recht auf Löschung ist nicht absolut. Daten, die Sie gesetzlich aufbewahren müssen, sind von der Löschung ausgenommen. Aber Sie löschen alles außerhalb dieses gesetzlichen Minimums und dokumentieren, warum der Rest bleibt. „Wir kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnten es noch brauchen" nutzen Sie nicht als Deckung.

Eine überwachte Zielperson stellt einen Auskunftsantrag. Die DSGVO erlaubt, den Auskunftsanspruch einzuschränken, wenn die Offenlegung eine laufende Ermittlung beeinträchtigen würde. Hier gelten das Regime der legalen Überwachung und nationales Recht. Ihr Framework leitet solche Anfragen an die Rechtsabteilung, nicht an die Standard-Automatikantwort.

Das Muster in allen drei Fällen: Das Framework entscheidet, nicht der lauteste Stakeholder.

Warum das kommerziell zählt

Compliance-Hygiene ist nur ein Teil davon. Aufsichtsbehörden kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen nach DSGVO erhebliche Bußgelder verhängen, und Telekomregulierer haben eigene Sanktionsbefugnisse. Jenseits von Bußgeldern ist Vertrauen ein Telekom-Asset. Anbieter sitzen auf einigen der intimsten Daten, die es gibt: wohin Sie gehen, mit wem Sie sprechen, wann. Eine einzige fehlerhafte Weiterverwendung von Standortdaten kann sowohl regulatorische MaMaEinsatz von Software, um wiederkehrende Marketingaufgaben und Kampagnen zu automatisieren und Personalisierung in großem Maßstab über Kanäle wie E-Mail, Web und Social zu ermöglichen.Vollständige Definition ansehen →ßnahmen als auch Kunden-churn auslösen.

Gute Governance ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen →öffnet auch Umsatz. Der Anbieter, der nachweisen kann, dass sein Mobility-Insights-Produkt ordnungsgemäß eingewilligt und anonymisiert ist, kann es verkaufen. Wer das nicht kann, muss es abschalten.

Key Takeaways

• Telekomdaten unterliegen drei überlappenden Regimen: DSGVO (Basis-Datenschutz), ePrivacy (zusätzlicher Schutz für Verkehrs- und Standortdaten) sowie nationale Speicherpflichten plus legale Überwachung. Sie ziehen von Haus aus in entgegengesetzte Richtungen.
• Zweckbindung ist das Rückgrat. Daten, die für die Strafverfolgung gespeichert werden, dürfen nicht für Marketing weiterverwendet werden. Trennen Sie die Pools, damit Missbrauch technisch unmöglich und nicht bloß verboten ist.
• „Anonymisierte" Standortdaten müssen Re-Identifikation überstehen. Nutzen Sie eine kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →-Anonymitäts-Untergrenze und eine dokumentierte Folgenabschätzung, bevor Sie ein Aggregat veröffentlichen. Standortspuren lassen sich leicht re-identifizieren.
• Pauschale Speicherung ist in der EU nicht rechtmäßig. Speichern Sie nur benannte Kategorien, für benannte Zeiträume, mit automatischer Löschung. Zielgerichtete Speicherung ist deutlich besser verteidigbar als alles zu behalten.
• Legale Überwachung ist kein DSGVO-Schlupfloch. Prüfen Sie die Anordnung, begrenzen Sie sie eng auf die benannte Zielperson, nutzen Sie standardisierte Übergabeschnittstellen und beschränken Sie sie auf ein geprüftes, getrenntes Team.