Ist ein Datenabgleich von Online-Benutzer-Angaben zulässig?
Im Zuge der immer stärker verbreiteten Onlinedienste (e-commerce, e-government, Datenbankzugriffe oder Online-Archive) entstehen immer mehr Zweit-, Dritt- und Viertidentitäten derselben Person (Online-Doppelgänger) - die Onlinebetreiber haben das Bedürfnis Datendoppelgänger (Dupletten) automatisiert zu erkennen und zu entfernen
Das Problem der Online-Doppelgänger
Online-Doppelgänger entstehen relativ rasch. Durch Schreibfehler in Namen und Adresse, durch Schreibvarianten des Namens (Doppelname, mehrere Vornamen, ...), geänderte Mailadressen geschieht es relativ rasch, dass dieselbe Person mehrfach beim Onlineanbieter angelegt ist.
Auch Systeme, die Kundennummern verwenden, bieten keine Lösung. Oft werden Nummer und/oder Passwort vergessen, und bevor sich der Kunde die Mühe macht sich den Ärger einer Hotline zu unterziehen, oft weil er auch nicht warten will, registriert er sich neu, oft mit leicht veränderten Angaben.
Dürfen derartige Doppelgänger abgeglichen werden?
Grundsätzlich dürfen Mehrfachdatensätze intern abgeglichen werden bzw. auch dem Betroffenen zur Korrektur vorgelegt werden. Das Datenschutzproblem, dass sich stellt, ist jedoch, wie man sich sicher sein kann, es tatsächlich mit derselben Person zu tun zu haben und dieser einen Person Daten zum Abgleich vorzulegen.
Die Identität von Vor- und Familiennamen reicht keinesfalls aus, in vielen Fällen auch nicht idente Wohnadressen (man denke an namensgleiche Vater/Sohn oder Mutter/Tochter).
Ein Abgleich durch den Benutzer ist nur mit Zusatzinformationen möglich. Dazu ist die Mailadresse, das Geburtsdatum oder zumindest eine Altersinformation geeignet. In allen anderen Fällen ist die Präsentation mehrerer Stammdatensätze einer Person höchst problematisch.
Ein automatisierter Abgleich sollte auch bei Vorliegen von Zusatzinformationen nicht durchgeführt werden, wo dies auch zum Zusammenführen von rechnungsrelevanten Informationen führt. Eine Person könnte plötzlich durch das Zusammenführen von Datensätzen zum Schuldner für verschiedenste offene Bestellungen werden.
Es ist zu bedenken, dass Online jeder beliebige Mensch im Namen eines anderen Bestellungen abgeben kann und eine Identität der Daten daher noch keine Identität der Person sicherstellt.
Abgleichempfehlungen
Es wird daher empfohlen, abgesehen bei kostenlosen Info- oder Newsletterdiensten ohne sonstige rechtliche Konsequenzen, weder dem Betroffenen die Abgleichdaten vorzulegen, noch automatisierte Abgleiche durchzuführen, sondern den Benutzer zu motivieren, bezüglich eines Abgleich aktiv zu werden.
Dies könnte etwa durch einen umsatzabhängigen Rabatt erfolgen, der natürlich umso höher ist, je mehr unter einer Kundennummer bestellt wurde, oder auch durch eine "Rückgabeaktion" nicht gebrauchter Kennungen ("versüßt" mit einem Warengutschein).
Wie derartige Abgleichaktivitäten zu organisieren wären, müsste im Detail individuell betrachtet werden und hängt von Firmen- und Kundenstruktur, aber auch von der Sensibilität der Daten ab.
Auch Vorbeugemaßnahmen zur Verhinderung von Doppelidentitäten können sinnvoller sein, als nachträgliche Abgleiche.
So könnten bei der Online-Registrierung einzelne Datenfelder analysiert werden und wenn genügend "Indizien" für eine idente Registrierung sprechen, wird eine "Fehlerinformation" zurückgeliefert, ohne jedoch den Vergleichsdatensatz anzuzeigen, mit der Bitte sich beim Betreiber direkt zu melden.
Insgesamt ist der Datenabgleich ein sehr weitreichendes Problem. Es kann zwar die IT-Verantwortlichen nicht beruhigen, aber auch im BMI sind trotz enormer Aufwändungen immer noch rund 20% der Meldeevidenzdaten (ZMR) "Datensatzleichen".
|
