https://www.pexels.com/de-de/foto/abstrakt-technologie-forschung-digital-17485707/

Die klassische Welt der Datenhaltung kennt zentrale Datenbanken, Sperr- oder Negativlisten und manuelle Prozesse für Widerruf oder Löschung. Doch im Zeitalter von künstlicher Intelligenz und Blockchain- bzw. Distributed-Ledger-Technologien verändert sich das Fundament von Speicherung, Nutzung und Kontrolle personenbezogener Daten grundlegend. Statt rein zentral gesteuerter Sperrmechanismen entstehen Architekturen aus dezentraler, kryptografisch gestützter Zugriffskontrolle, ergänzt durch KI-gestützte Governance.

Vom Widerspruch zum Widerruf – wie heutige Sperrmodelle funktionieren

Längst zeigt sich, dass solche Mechanismen fester Bestandteil digitaler Infrastrukturen sind. In Bereichen wie Kredit- und Auskunfteien etwa – man denke an die SCHUFA Holding AG – werden Bonitäts-, Zahlungs- und Negativmerkmale zentral gespeichert, und Sperrungen oder Widersprüche, etwa gegen die Nutzung von Daten zu Werbezwecken, erfolgen über manuelle Verwaltungsprozesse. Ähnlich funktioniert es in staatlichen Kontrollsystemen wie LUGAS, dem länderübergreifenden Glücksspielaufsichtssystem: Hier werden Spielerkonten, Selbstsperren und Limitdaten bundesweit verwaltet, um riskantes Spielverhalten zu unterbinden. Wer LUGAS umgehen will, wünscht sich meist mehr Flexibilität und Autonomie. Dennoch darf man offiziell nach deutschem Recht nur lizenzierte und seriöse Casinos auswählen. Alternative Anbieter operieren nur nach ausländischem Recht. Die technische Grundlage bleibt auch hier eine klassische Datenbankarchitektur mit autorisierten Zugriffen und administrativen Freigaben. Der Einsatz künstlicher Intelligenz ist in solchen hoheitlichen Systemen nur eingeschränkt möglich – erlaubt ist Datenanalyse, nicht jedoch eine vollautomatische Entscheidung mit Rechtswirkung, wie sie Artikel 22 DSGVO ausdrücklich untersagt, sofern keine menschliche Kontrolle erfolgt.

Auch in der Plattformökonomie – etwa bei Social-Media- oder E-Commerce-Anbietern – läuft die Kontrolle ähnlich ab: Nutzer willigen in Datenverarbeitungen ein oder widersprechen ihnen, woraufhin interne Sperrlisten gepflegt werden, die künftige Nutzung verhindern sollen. Überall also herrscht zentrale Datenhaltung mit organisatorischen Regeln und menschlichen Entscheidungsschleifen – während die eigentliche technische Automatisierung, etwa in Form dynamischer Sperrlogik oder revisionssicherer Nachweise, noch weitgehend fehlt. Genau an dieser Schnittstelle setzen KI und Blockchain an: Sie bringen Nachvollziehbarkeit, kryptografische Kontrolle und selbsttätige Policy-Durchsetzung in Systeme, die bislang von Formularen, Rollenrechten und Vertrauensprinzipien geprägt sind.

Allen diesen Systemen ist eines gemeinsam: Sie beruhen auf zentralen Datenhaltestrukturen, auf organisatorischen Regeln und meist manuellen Abläufen. Technische Durchsetzung – etwa automatisches Sperren, Protokollieren oder Löschen – ist selten vollständig umgesetzt. Genau hier setzen KI und Blockchain unter klaren rechtlichen Grenzen an: Sie bringen Nachweisbarkeit, Automatisierung und eine neue Form der Kontrolle in die Datenverwaltung.

Zielbild und Datenklassen definieren

Der erste Schritt in jeder Governance-Architektur besteht darin, Datenarten und -klassen präzise zu erfassen. Ob Identitäts-, Transaktions- oder Gesundheitsdaten – jede Kategorie unterliegt unterschiedlichen rechtlichen Grundlagen nach Art. 6 und 9 DSGVO. Nur wer Daten nach Schutzbedarf und Zweck klar einordnet, kann entscheiden, ob klassische Datenbanken ausreichen oder ob ergänzende Blockchain- und SSI-Modelle nötig sind. Studien zeigen, dass viele Organisationen genau an dieser Zuordnung scheitern, was die Umsetzung datenschutzkonformer KI-Modelle erheblich erschwert.

Consent-Design: Self-Sovereign Identity und Decentralized Identifiers

Ein Paradigmenwechsel im Datenschutz entsteht durch dezentrale Identitäten. Self-Sovereign-Identity-Modelle verlagern die Kontrolle über personenbezogene Informationen an den Nutzer selbst. Statt zentraler Sperrlisten verwalten Personen ihre Zustimmung über digitale Wallets. Verifizierbare Nachweise belegen dabei, ob eine Zustimmung aktiv ist. Smart Contracts prüfen automatisch, ob eine gültige Einwilligung besteht – andernfalls wird der Zugriff verweigert. Diese Technologie wird bereits von Identitätsanbietern wie Dock .io und Eviden beschrieben und pilotiert.

Policy-Durchsetzung: Smart Contracts und Zugriffskontrollen

Mit SSI und DID als Fundament folgt die Ebene der technischen Durchsetzung. Smart Contracts oder Policy-Engines übersetzen Datenschutzregeln in Code – etwa »deny_if consent.flag == false«. In hybriden Architekturen verbleiben sensible Daten Off-Chain, während auf der Blockchain lediglich kryptografische Nachweise oder Log-Einträge gespeichert werden. Solche hybriden Modelle gelten derzeit als praktikabelster Kompromiss zwischen Transparenz und DSGVO-Konformität.

Nachweis und Audit: Immutability vs. Recht auf Löschung

Die Unveränderlichkeit der Blockchain steht im Spannungsfeld zum »Recht auf Vergessenwerden« nach Art. 17 DSGVO. Der Europäische Datenschutzausschuss betont, dass technische Unveränderbarkeit keine Ausrede für mangelnde Compliance sein darf. Die Lösung liegt in kryptografischen Verfahren: personenbezogene Informationen werden Off-Chain gespeichert, während die Blockchain nur Hash-Pointer enthält. Wird der Schlüssel gelöscht oder der Datensatz anonymisiert, bleibt die Information zwar vorhanden, aber faktisch unbrauchbar – eine Form technischer Löschung, die Fachautoren als »Key Revocation« bezeichnen.

Löschung und Pseudonymisierung – praktische Umsetzung

Ergänzend kommen sogenannte »Tombstoning«-Modelle zum Einsatz, bei denen Datensätze nicht physisch gelöscht, sondern als ungültig markiert werden. In Kombination mit Schlüsselvernichtung oder Neu-Hashing lässt sich damit das Recht auf Löschung technisch nachvollziehen, ohne die Integrität der Blockchain zu zerstören. Untersuchungen und eine Analyse der EU-Kommission zur Blockchain-Compliance bestätigen, dass solche Off-Chain-Strategien die Anforderungen der Datenschutzaufsicht in weiten Teilen erfüllen können.

Governance und Reporting

Technik allein genügt nicht. Damit Datenschutz und Zugriffsrechte zuverlässig funktionieren, braucht es klar definierte Verantwortlichkeiten innerhalb der Organisation. Rollen wie Datenverantwortliche, IT-Sicherheitsbeauftragte, KI-Betriebsteams und Rechtsabteilungen müssen eindeutig zugeordnet und in einem Rollen- und Zuständigkeitsmodell – etwa einer RACI-Matrix – verankert sein. Ebenso wichtig sind messbare Kennzahlen, die Transparenz und Nachvollziehbarkeit schaffen: etwa die Zeitspanne zwischen Widerruf und tatsächlicher Sperrung, der Anteil der Zugriffe mit kryptografisch überprüfbarem Nachweis oder der Prozentsatz gültiger Einwilligungen und Berechtigungsnachweise. Solche Governance-Strukturen ermöglichen automatisierte Compliance-Kontrollen und stärken das Vertrauen in zunehmend KI-gestützte Datenumgebungen.

Ein neuer Umgang mit Kontrolle

Die alte Mechanik – zentrale Datenbank plus manuelle Sperrdatei – weicht einem System aus dezentraler Identität, kryptografischer Zugriffskontrolle und KI-gestützter Governance. Statt starrer Negativlisten entstehen dynamische, regelbasierte Modelle, die Datenschutz technisch erzwingen. Unternehmen werden in den kommenden Jahren hybride Strukturen einsetzen: klassische Datenbanken für operative Prozesse, ergänzt durch Blockchain-Nachweisschichten und KI-Systeme für Überwachung und Policy-Automatisierung. Der entscheidende Schritt liegt in der Übersetzung juristischer Regeln in maschinenlesbare Policies – Governance wird damit zur Brücke zwischen Recht und Code.

Quellen:

https://datenschutz-grundverordnung.eu/dsgvo/art-17-dsgvo-recht-auf-loeschung-recht-auf-vergessenwerden/

https://academic.oup.com/cybersecurity/article/11/1/tyaf002/8024082

https://www.edpb.europa.eu/our-work-tools/general-guidance/guidelines-recommendations-best-practices_de

https://academic.oup.com/cybersecurity/article/11/1/tyaf002/8024082

https://www.gluecksspiel-behoerde.de/de/fuer-gluecksspielanbieter/aufsichtssysteme/zentraldateien-fuer-einzahlungslimitierung-und-parallelspielverhinderung-limitdatei-und-aktivitaetsdatei

https://www.schufa.de/en/scoring-data/data-schufa/schufa-cloud/

https://www.edpb.europa.eu/system/files/2021-04/edpb_guidelines_082020_on_the_targeting_of_social_media_users_en.pdf

https://www.dlapiperdataprotection.com/?c=DE&t=electronic-marketing

https://dsgvo-gesetz.de/art-22-dsgvo/

https://academic.oup.com/cybersecurity/article/11/1/tyaf002/8024082

https://pmc.ncbi.nlm.nih.gov/articles/PMC9440070/

https://www.bitkom.org/Bitkom/Publikationen/Bitkom-zur-DSGVO-konformen-Nutzung-von-Blockchain-EDSA-Leitlinien-02-2025

https://publica-rest.fraunhofer.de/server/api/core/bitstreams/a0954b60-9304-4f68-ac6f-560886860150/content

1371 Artikel zu „Blockchain“

News | Blockchain | Business | IT-Security

Bitcoin-Treasury-Audits, Blockchain und Zero-Knowledge Proofs: Warum Technologie allein regulatorische Nachweispflichten nicht erfüllt

23. Juni 2025

https://www.pexels.com/de-de/foto/schachteln-wahlen-kennzeichen-wahl-8850706/ Blockchain-Technologien werden vielfach als Werkzeuge für eine neue Ära der Transparenz gesehen. Sie gelten als Grundlage für nachvollziehbare Transaktionen, fälschungssichere Daten und flexible Infrastrukturen, die sich dynamisch an neue regulatorische Anforderungen anpassen. Insbesondere Finanz-Startups setzen auf diese Technologien, um mit schlanken Architekturen komplexen gesetzlichen Vorgaben zu genügen. Ein aktueller Fall führt jedoch vor Augen,…