Datenschutz im Feldversuch

gemäß der RFID-Datenschutzempfehlung der Europäischen Kommission

Der Feldversuch diente der Überprüfung und Verbesserung der Forschungsergebnisse. Der Datenschutz war den beteiligten Unternehmen aufgrund der über Unternehmensgrenzen hinweg ausgetauschten RFID-Lesedaten besonders wichtig. In einer Datenschutzfolgeabschätzung hatte das Konsortium daher gemäß der RFID-Datenschutzempfehlung der Europäischen Kommission die entwickelten Lösungen hinsichtlich möglicher Risiken analysiert.

Ein wichtiges Ziel des unternehmensübergreifenden RFID-Einsatzes ist die Optimierung der einzelnen Planungen durch die Nutzung besserer Planungsdaten. Die Sammlung dieser Daten für die Entwicklung der Planungsprozesse sowie die Überprüfung der Ergebnisse fanden im Rahmen des Feldversuchs statt. Die Projektpartner bildeten eine vollständige Lieferkette ab, wodurch der durchgehende Einsatz der RFID-Technologie und der damit verbundene Austausch planungsrelevanter Daten zwischen den Partnern unter realistischen Bedingungen getestet werden konnte.

In solchen Szenarien besteht die Gefahr, dass Daten gesammelt und ausgetauscht werden, welche das Recht auf informationelle Selbstbestimmung von Mitarbeitern oder Kunden verletzen. Um dieses Risiko zu minimieren und Maßnahmen zum Schutz sensibler Daten zu erarbeiten und zu dokumentieren, wurde in Abstimmung mit dem Landesbeauftragten für Datenschutz und Informationsfreiheit (LDI) des Landes Nordrhein-Westfalen vor der ersten Phase des Feldversuchs eine Datenschutzfolgeabschätzung (engl. Privacy Impact Assessment [PIA]) durchgeführt. Diese baut auf einer Empfehlung der Europäischen Kommission zur Umsetzung der Grundsätze zur Wahrung der Privatsphäre und des Datenschutzes in RFID-gestützten Anwendungen auf und stellt eine freiwillige Selbstverpflichtung der Industrie dar.

Mit Hilfe dieser Datenschutzfolgeabschätzung wurde evaluiert, ob und in welchem Umfang Risiken bezüglich der Privatsphäre beim Einsatz der RFID-Technologie und der Verarbeitung erhobener Daten bestehen. Wichtige Aspekte waren unter anderem Aufbewahrungszeitraum, Verwendungszweck und Zugriffsberechtigung der Anwendung. Ebenfalls Bestandteil der Folgeabschätzung war die Identifizierung und Implementierung von Kontrollmaßnahmen. Das Vorgehen sowie die Ergebnisse der Folgeabschätzung wurden dokumentiert und dem LDI vorgelegt.

Die Verpflichtung der Projektpartner, die Privatsphäre ihrer Mitarbeiter und Kunden jederzeit zu wahren, spiegelte sich im Forschungsprojekt durch den eingebauten Datenschutz (Privacy by Design) wieder. So wurden beispielsweise die Daten der einzelnen Unternehmen in separaten Systemen gesammelt und nur für spezielle Planungszwecke selektiv verarbeitet. Es wurden sichere Verbindungen verwendet und keine Zuordnung von Leseeinheit zu Mitarbeiter vorgenommen. Des Weiteren stand allen Kunden am Marktausgang ein Deaktivator bereit. Kunden der Märkte und die betroffenen Mitarbeiter der Unternehmen wurden zudem durch Flyer und Hinweistafeln auf den Einsatz von RFID hingewiesen.