Permissioned Blockchain mit mehreren Nodes: Verantwortliche und Auftragsverarbeiter abgrenzen

Bei einer permissioned Blockchain entscheidet die technische Bezeichnung eines Node-Betreibers noch nicht über seine Rolle nach der DSGVO. Maßgeblich ist, wer für den konkreten Verarbeitungsvorgang Zwecke und wesentliche Mittel bestimmt, wer gemeinsam mit anderen entscheidet und wer personenbezogene Daten lediglich nach dokumentierten Weisungen verarbeitet.

Dieser Beitrag ordnet ein Konsortium mit mehreren zugelassenen Nodes. Im Mittelpunkt stehen die Governance der Blockchain, die tatsächliche Einflussmöglichkeit der Konsortialmitglieder, die Abgrenzung eines technischen Node-Betreibers als möglicher Auftragsverarbeiter und die Unterlagen vor dem produktiven Start. Löschung, Berichtigung, Wallets und allgemeine Auftragsverarbeitung ohne DLT-Bezug sind eigene Themen.

Bei einer permissioned Blockchain erteilt eine Autorität die Erlaubnis zur Teilnahme. Je nach Ausgestaltung darf nur eine Auswahl an Teilnehmern lesen, schreiben oder Blöcke erstellen. Die Autorität kann eine einzelne Organisation oder eine Gruppe mit gemeinsamem Interesse sein. Die Rechte der Teilnehmer müssen daher aus den konkreten Governance-Regeln abgelesen werden.

Die Governance legt unter anderem technische Regeln, Protokolle, Zugangsrechte, Validierungsabläufe und organisatorische Zuständigkeiten fest. Sie ist für die Rollenprüfung besonders wichtig, weil sie zeigt, wer Entscheidungen vorbereitet, genehmigt und ändert. Die Bezeichnung als Konsortium oder Node-Betreiber nimmt diese Prüfung nicht vorweg.

Die EDPB empfiehlt permissioned Blockchains, weil sich Verantwortlichkeiten dabei klarer zuordnen lassen können. Das ist eine Gestaltungsempfehlung für eine nachvollziehbare Architektur. Eine bestimmte DSGVO-Rolle entsteht auch dadurch nicht automatisch.

Verantwortlicher ist nach Art. 4 Z 7 DSGVO, wer allein oder gemeinsam mit anderen über Zwecke und Mittel der Verarbeitung entscheidet. Für ein Konsortium bedeutet das eine Tatsachenprüfung. Entscheidend sind die Entscheidungen zur konkreten Verarbeitung, nicht die bloße Mitgliedschaft im Netzwerk oder die Eigentümerstellung an einem Node.

Bestimmen mehrere Unternehmen gemeinsam, welche personenbezogenen Daten für welchen gemeinsamen Vorgang auf die Blockchain gelangen, wer sie verwenden darf und welche wesentlichen Regeln gelten, kann für diesen Verarbeitungsvorgang gemeinsame Verantwortlichkeit vorliegen. Die gemeinsame Nutzung der Infrastruktur allein genügt dafür nicht. Ebenso kann ein Unternehmen für einen eigenen, getrennten Zweck allein verantwortlich sein.

Art. 26 DSGVO verlangt bei gemeinsamer Verantwortlichkeit eine transparente Vereinbarung über die jeweiligen Aufgaben. Darin müssen die tatsächliche Entscheidungsstruktur, die Bearbeitung von Anfragen und die Zusammenarbeit bei den Betroffenenrechten abgebildet werden. Eine Vereinbarung darf die tatsächlichen Einflussmöglichkeiten nicht nur sprachlich umbenennen.

Ein Node ist eine technische Komponente. Für die DSGVO ist aber die Organisation oder Person maßgeblich, die ihn betreibt oder kontrolliert. Ein Betreiber, der Transaktionen nur nach vorgegebenen Regeln prüft, weiterleitet und den Zustand der Blockchain erhält, entscheidet dadurch nicht automatisch über Zwecke und wesentliche Mittel.

Verarbeitet der Betreiber personenbezogene Daten im Auftrag eines Verantwortlichen und nach dokumentierten Weisungen, kann er Auftragsverarbeiter nach Art. 4 Z 8 DSGVO sein. Das setzt voraus, dass der tatsächliche Leistungsumfang diese Weisungsbindung trägt. Der Vertrag muss zur technischen Realität passen und darf dem Betreiber keine unbemerkten eigenen Nutzungszwecke eröffnen.

Die begrenzte Entscheidungsmacht eines Nodes ist ein Anhaltspunkt, aber kein Freibrief. Prüfen Sie, ob der Betreiber Datenfelder, Validierungsregeln, Zugänge, Protokolländerungen oder eigene Auswertungen maßgeblich beeinflusst. Je stärker die eigene Zweck- oder Mittelentscheidung ist, desto eher kommt eine Verantwortlichen- oder gemeinsame Verantwortlichenrolle in Betracht.

Für einen technischen Dienstleister ist zuerst der konkrete Verarbeitungsschritt festzulegen. Dazu gehören Node-Betrieb, Monitoring, Support, Backups, Schlüsselverwaltung und Schnittstellen. Der Verantwortliche muss erkennen können, welche Daten der Dienstleister tatsächlich verarbeitet und welche Handlungen ihm erlaubt sind.

Bei einer Auftragsverarbeitung müssen die dokumentierten Weisungen, die Vertraulichkeit, angemessene Sicherheitsmaßnahmen, Unterstützung bei den Pflichten des Verantwortlichen, der Umgang mit Unteraufträgen sowie Rückgabe oder Löschung nach Ende der Leistung geregelt werden. Auch Kontroll- und Nachweismöglichkeiten gehören in die Vereinbarung nach Art. 28 DSGVO.

Nutzt der Dienstleister Daten für eigene Analyse-, Produkt- oder Trainingszwecke oder entscheidet er eigenständig über wesentliche Mittel, ist die Auftragsverarbeiterrolle neu zu bewerten. Die Rollenprüfung bei SaaS-Verträgen hilft bei der vorgelagerten Unterscheidung. Für die konkrete Blockchain bleiben Governance und Node-Funktion zusätzlich zu prüfen.

Vor dem produktiven Betrieb braucht das Konsortium eine aktuelle Darstellung der Datenverarbeitung. Sie sollte Zwecke, Datenfelder, Teilnehmer, Node-Standorte, Validierungsaufgaben, Zugänge, Schnittstellen und weitere Speicherorte verbinden. Bei Nodes außerhalb des Europäischen Wirtschaftsraums sind Übermittlungsfragen gesondert zu prüfen. Dieser Beitrag ordnet sie nicht als eigenes Hauptthema ein.

Die Rollenakte ordnet jedem Beteiligten konkrete Entscheidungen zu: Wer genehmigt Teilnehmer? Wer legt Datenformate und Validierungsregeln fest? Wer kann Protokolle ändern? Wer erhält Administrationszugriff? Wer darf Daten für eigene Zwecke verwenden? Aus diesen Antworten ergibt sich, ob eine alleinige oder gemeinsame Verantwortlichkeit oder eine Auftragsverarbeitung näherliegt.

Art. 5 Abs. 2 und Art. 24 DSGVO verlangen eine nachweisbare Verantwortungsübernahme. Die EDPB-Leitlinie empfiehlt außerdem, vor der Einführung die Notwendigkeit der Blockchain, geeignete Alternativen sowie technische und organisatorische Maßnahmen zu prüfen. Der Beitrag zu Datenschutz-Prüfzeichen im IT-Vertrag ergänzt die Prüfung von Zertifikaten und Vertragsunterlagen. Ein Zertifikat ersetzt die Rollenakte nicht.

Eine Rollenqualifikation gilt für den konkret geprüften Verarbeitungsvorgang. Ändert sich die Autorität, werden neue Teilnehmer zugelassen, erhält ein Node zusätzliche Validierungsrechte oder wird ein Dienstleister mit eigenen Auswertungen beauftragt, kann sich die tatsächliche Einflussverteilung verschieben.

Vor einer solchen Änderung sind Zweck, Datenfelder, wesentliche Mittel, Zugriffe, Weisungen und Kontrollrechte erneut abzugleichen. Das gilt auch für Änderungen am Konsens, an der Protokollverwaltung und an der Freigabe von Updates. Die technische Umsetzung muss anschließend mit der dokumentierten Rollenverteilung übereinstimmen.

Je nach Ergebnis sind eine Art.-26-Vereinbarung, ein Art.-28-Vertrag, interne Zuständigkeiten oder die technische Architektur anzupassen. Art. 5 Abs. 2 DSGVO verlangt, dass die Organisation ihre Einhaltung nachweisen kann. Ein Änderungsprotokoll mit Entscheidung, Begründung und Kontrolle schafft dafür eine belastbare Grundlage.

Jeder Node gilt automatisch als Verantwortlicher: Die technische Teilnahme sagt allein nichts über Zwecke, wesentliche Mittel und eigene Entscheidungsbefugnisse aus.

Permissioned bedeutet automatisch Auftragsverarbeitung: Die Zugangsbeschränkung erleichtert die Governance, ersetzt aber nicht die Prüfung der Weisungslage und eigener Zwecke.

Das Konsortium wird nur im Vertrag beschrieben: Maßgeblich bleiben die tatsächlichen Abstimmungen, Befugnisse und technischen Kontrollmöglichkeiten.

Ein Node-Betreiber darf eigene Auswertungen durchführen: Eigene Zwecke können die bisherige Art.-28-Einordnung in Frage stellen.

Art. 26 und Art. 28 werden vermischt: Gemeinsame Zweck- und Mittelentscheidungen sind anders zu dokumentieren als eine Verarbeitung im Auftrag.

Governance-Änderungen bleiben ohne neue Prüfung: Neue Zugänge, Regeln und Betreiber können die Rolle und die Nachweislage verändern.

Wir prüfen die konkrete Blockchain-Architektur, die Governance-Regeln, die Zwecke und wesentlichen Mittel, die Funktionen der einzelnen Nodes und die technische Dienstleisterkette gemeinsam. Für eine erste Einschätzung helfen das Architekturdiagramm, die Teilnehmer- und Node-Liste, Protokoll- und Zugriffsregeln, die Leistungsbeschreibung, Weisungen, Verträge und Änderungsnachweise. So lässt sich festlegen, ob eine Art.-26-Struktur, ein Art.-28-Vertrag oder eine andere Verantwortungsordnung zur tatsächlichen Verarbeitung passt.