Empfehlungen des BayLfD zur datenschutzkonformen Schwärzung von Dokumenten

Um die Rechte Dritter hinreichend zu schützen, sind im Umgang mit personenbezogenen Daten in vielen Fällen Schwärzungen erforderlich. Nachdem wir in der Vergangenheit bereits über die Schwärzungsanleitung der Sächsischen Datenschutz- und Transparenzbeauftragten (SDTB) berichtet haben, hat nun auch der Bayerische Landesbeauftragte für den Datenschutz (BayLfD) eine „Aktuelle Kurz-Information“ zur erfolgreichen Schwärzung von Dokumenten veröffentlicht (siehe AKI 66). Nachfolgend erhalten Sie ein Überblick über die Inhalte der Kurz-Information.

Allgemeine Ausführungen

Die Schwärzung stellt eine technische und organisatorische Maßnahme nach Art. 32 Abs. 1 DSGVO dar, um offenzulegende Informationen auf das erforderliche Maß zu begrenzen. So ermöglicht eine hinreichende Schwärzung den Zugang zu Dokumenten, ohne dass dabei mehr personenbezogene Daten oder sonstige schutzwürdige Informationen offengelegt werden, als rechtlich zwingend geboten.

Hierbei verweist der BayLfD beispielhaft auf das Recht auf Kopie nach Art. 15 Abs. 3 DSGVO, bei dessen Umsetzung der Verantwortliche gemäß Art. 15 Abs. 4 DSGVO die Rechte und Freiheiten Dritter zu berücksichtigen hat, deren Daten in den Kopien enthalten sein können.

Darüber hinaus werden spezialgesetzliche Vorgaben zum Schutz anderer Vertraulichkeitsbelange angesprochen. So wird beispielhaft auf Art. 6 Abs. 3 Bayerisches Umweltinformationsgesetz, § 10 Abs. 8a S. 2 Bundes-Immissionsschutzgesetz und Nr. 3.2.2 S. 3 Presserichtlinien hingewiesen.

Umfang der Kurz-Information

Der BayLfD weist darauf hin, dass sich die Kurz-Information schwerpunktmäßig auf Art. 32 Abs. 1 DSGVO bezieht. Zu beachten sei jedoch grundsätzlich, dass der Umfang gebotener Schwärzungen von einer Bewertung im jeweiligen Einzelfall abhängt, da bspw. im Rahmen von Art. 15 DSGVO andere Maßstäbe gelten als beim Informationszugang im Informationsfreiheits- oder Presserecht, bei der Akteneinsicht oder der Offenlegung von Verwaltungsvorgängen im Zuge gerichtlicher Verfahren.

Schwärzungsempfehlungen

Als Hilfestellung sind in der Kurz-Information Empfehlungen für verschiedene Dokumentenarten enthalten, welche sich an Risikoszenarien orientieren, die in der Praxis immer wieder auftreten.

Elektronische Dokumente

• Risikoorientiertes Schwärzen: Je sensibler die Inhalte, desto höher sind die Anforderungen an die Schwärzung und die Kontrollmechanismen zur Prüfung der Schwärzung.
• Schwärzung in einer Arbeitskopie anstatt im Originaldokument
• Es ist sicherzustellen, dass der Text unter der Schwärzung tatsächlich entfernt ist.
• Verzicht auf frei zugängliche Online-Tools mit Upload-Funktion. Verwendung bekannter, vertrauenswürdiger Programme mit ausdrücklicher Schwärzungs- bzw. Redaktionsfunktion
• Entfernung von Metadaten, welche einen Personenbezug ermöglichen könnten (bspw. Titel, Betreff, Autor, Schlagwörter)
• Kontrolle verborgener Textfelder (bspw. Kommentar- oder Formularfelder)
• Verwendung neutraler Dateinamen
• Entfernung ungeschwärzter Dateiversionen aus dem Verteilungskanal

Analoge Dokumente

• Verwendung einer Kopie anstatt des Originals
• Statt der Schwärzung mittels Stift/Marker sollten die zu entfernenden Textstellen vollständig überklebt und anschließende Kopie des Dokuments angefertigt werden.
• Geschwärzte Textstellen dürfen weder mit bloßem Auge noch mit technischen Hilfsmitteln – z. B. Scannen, Gegenlicht, Kontrastverstärkung – wieder erkennbar sein.
• Verwendung blickdichter Umschläge

Organisatorische Maßnahmen

Zuletzt werden organisatorische Maßnahmen wie die Erstellung von Checklisten und Standardabläufen, Schulung der zuständigen Beschäftigten und die abschließende Kontrolle des Erfolgs der Schwärzung empfohlen.

Einsatz von Künstlicher Intelligenz (KI)

Zuletzt wird darauf eingegangen, dass auch KI-Lösungen bei der Schwärzung von Dokumenten unterstützen können. Hier gilt es nach Auffassung des BayLfD jedoch folgendes zu beachten:

• KI-Lösungen müssen den Anforderungen der DSGVO sowie des KI-Regulierungsrechts genügen.
• Eine halbautomatische Unterstützung ersetzt keine vollwertige inhaltliche Prüfung und kann das Risiko sogar erhöhen, wenn sie zu einer falschen Sicherheit verleitet.
• Der Einsatz vollautomatischer Verfahren setzt voraus, dass deren Qualität belastbar belegt ist, Fehlerfälle sicher beherrschbar sind und eine laufende Überprüfung und Weiterentwicklung gewährleistet wird.

Fazit

Die Veröffentlichung der AKI 66 zeigt, dass es in der Praxis häufig noch zu Fehlern bei der Schwärzung von Dokumenten kommt. Um sich meldepflichtige Datenpannen sowie Streitigkeiten mit Betroffenen zu ersparen, empfehlen wir Verantwortlichen daher, sich umfassend mit den Anforderungen an eine datenschutzkonforme Schwärzung auseinanderzusetzen und bspw. die Empfehlungen aus der Kurz-Information des BayLfD intern umzusetzen.