15. Datensouveränität in Digitalen Ökosystemen: Daten nutzbar machen, Kontrolle behalten

Digitale Ökosysteme entstehen in allen Branchen und Anwendungsbereichen, leben von einer starken Vernetzung und ermöglichen neue, datenzentrierte Geschäftsmodelle. Die Vielfalt der Anwendungsbereiche und Technologien für Digitale Ökosysteme zeigen die 21 ausgewählten Projekte, die das Bundesministerium für Wirtschaft und Klimaschutz (BMWK) im Technologieprogramm Smarte Datenwirtschaft fördert, sowie die mittlerweile 25 geförderten Projekte im Rahmen des KI-Innovationswettbewerbs. Unternehmen müssen sich allerdings konkreten Herausforderungen Digitaler Ökosysteme wie Komplexität, hohe Dynamik und notwendige Geschwindigkeit stellen. Insbesondere zählen hierzu auch Themen der Datensicherheit, des Datenschutzes und der Datensouveränität. Die Umsetzung von Datensouveränität (das heißt die größtmögliche Kontrolle, Einfluss- und Einsichtnahme auf die Nutzung der Daten durch den Datengebenden) ist hierbei essenziell, um eine vertrauensvolle und sichere Nutzung von Daten zwischen den Teilnehmenden des Digitalen Ökosystems zu ermöglichen. Ein vertrauensvoller und sicherer Umgang mit Daten sind Grundvoraussetzung, damit sich ein Digitales Ökosystem am Markt etablieren und wachsen kann. Durch Wachstum entstehen mehr Daten (auch Daten über die Nutzung), was wiederum neue Geschäftsmodelle für den Plattformbetreibenden ermöglicht. Die damit einhergehenden Netzwerkeffekte können das gesamte Geschäftsvolumen enorm steigern, wovon einerseits Betreibende des Digitalen Ökosystems, aber auch alle Teilnehmenden profitieren.

Trotz steigender Sensibilisierung bezüglich des Umgangs mit Daten, mangelt es an einer flächendeckenden und einheitlichen Umsetzung von Datensouveränität. Dabei beschäftigt sich das Forschungsfeld der Datennutzungskontrolle (engl. Data Usage Control) schon seit Anfang der 2000er (Park und Sandhu 2002, 2004; Sandhu und Park 2003) mit der Schaffung entsprechender Konzepte, die über traditionelle Zugriffskontrolle hinausgehen. Diese Erweiterung ermöglicht es, die Nutzung der Daten auch nach dem grundlegenden Zugriff zu kontrollieren. Aus unserer Erfahrung heraus werden diese aber in Deutschland und Europa weiterhin selten eingesetzt. Ohne Datennutzungskontrolle ergeben sich in der Praxis typischerweise nur zwei Alternativen:Daher widmen wir uns in diesem Kapitel der Datennutzungskontrolle, die konzeptionelle und technische Lösungsbausteine zur Umsetzung und Sicherstellung von Datensouveränität in Digitalen Ökosystemen bietet und damit einen Mittelweg, der die Vorteile beider Alternativen vereint (s. Kap. 9).

Im folgenden Abschnitt führen wir Begrifflichkeiten wie Digitale Souveränität, Datensouveränität und Datennutzungskontrolle ein und grenzen diese voneinander ab. Danach führen wir ein Anwendungsbeispiel für ein Digitales Ökosystem in der Automobilbranche ein, gefolgt von einem Abschnitt, der die Umsetzung von Datensouveränität mittels Datennutzungskontrolle beschreibt. Im Abschn. 15.5 beschäftigen wir uns mit Dashboards für Datensouveränität, um Transparenz und Selbstbestimmung in Digitalen Ökosystem sicherzustellen und stellen im nachfolgenden Abschnitt konkrete Szenarien für Datensouveränität im Anwendungsbeispiel vor. Wir schließen unser Kapitel mit einer Diskussion und Zusammenfassung.

Zunächst klären wir jedoch einige Begrifflichkeiten, um Unklarheiten und Verwechslungen zu vermeiden.

Die Bedeutung von Datensouveränität für Digitale Ökosysteme und ihre Teilnehmenden lässt sich am besten anhand eines konkreten Beispiels erklären. Der zentrale Bestandteil unseres Szenarios ist ein Digitales Ökosystem in der Automobilbranche, das Fahrzeugdaten zwischen den verschiedenen Teilnehmenden harmonisiert (zum Beispiel durch das Konvertieren von Dateiformaten oder das Umrechnen von Einheiten) und über standardisierte Schnittstellen zur Verfügung stellt. Derartige Plattformen entstehen derzeit bereits und werden von Automobilunternehmen sowie herstellerübergreifend aufgebaut, zum Beispiel durch Unternehmen wie Otonomo (2021) oder CARUSO dataplace (Caruso 2021). Abb. 15.1. zeigt eine visuelle Darstellung dieses Digitalen Ökosystems.

In unserem Szenario wird die Plattform durch ein Automobilunternehmen betrieben. Die Daten werden dabei primär durch die Fahrzeuge und deren Fahrende generiert und in die Plattform des Automobilunternehmens übermittelt. Die Plattform bereitet die Rohdaten auf und bietet standardisierte Schnittstellen für die Nutzung durch die Dienstleistungsunternehmen an. Im Anwendungsbeispiel handelt es sich dabei um Zulieferunternehmen, Werkstätten und Versicherungen, die wiederum Dienste für ihre Kunden (zum Beispiel dem Fahrzeughaltenden) zur Verfügung stellen.

Das digitale Geschäftsmodell dieser Plattform besteht somit aus mehreren Säulen:Wir werden in den weiteren Kapiteln immer wieder Bezug auf dieses Anwendungsbeispiel nehmen.

Eine Kernherausforderung bei der Umsetzung und Etablierung von Digitalen Ökosystemen ist der sichere und vertrauensvolle Umgang mit Daten.

Die in unserem Anwendungsbeispiel beteiligen Datenlieferanten sehen ihre Daten häufig als integralen Bestandteil ihres Geschäftsmodells an (zum Beispiel die Automobilunternehmen) und möchten diese daher ungern öffentlich machen. Die Bereitschaft, Daten zu teilen, ist in der Regel mit einem gewissen Maß an Kontrolle über die Daten verbunden. Auf der anderen Seite stehen die Unternehmen, die ihr eigenes Geschäftsmodell auf genau diese Daten aufbauen wollen (zum Beispiel die Versicherungen) und sich daher möglichst wenig Einschränkungen erhoffen. Es wird klar, dass die Umsetzung von Datensouveränität für alle beteiligten Akteure eine Herausforderung darstellt, aber gleichzeitig entscheidend für eine erfolgreiche Etablierung ihres Geschäftsmodells ist. In der Praxis werden derzeit in der Regel bilaterale Verträge ausgehandelt, für den jeweiligen Kunden vorbereitet und anschließend ausgeliefert. Dies soll zwar eine gewisse Datensouveränität gewährleisten – eine technische Kontrolle gibt es in der Regel aber nicht.

Daher widmen wir uns in diesem Abschnitt der Datennutzungskontrolle als treibendes Paradigma zur technischen Umsetzung von Datensouveränität. Sie befasst sich mit Anforderungen, die sich auf den Umgang mit Daten beziehen, nachdem der Zugriff darauf gewährt wurde. Ist die Datennutzungskontrolle vollständig implementiert, ist es möglich, die Daten auch nach der Freigabe weiter zu kontrollieren. Dabei können zudem individuelle Richtlinien zum Einsatz kommen, die die Datenweitergabe ermöglichen und dabei die Datensouveränität des Dateneigentümers wahren und technisch durchsetzen. Hierbei kann man primär zwei Bausteine unterscheiden.

Der erste Baustein ist angelehnt an vertragliche Regelungen und thematisiert die Frage, was der Datengebende erreichen will. Er oder sie muss (möglichst formal und präzise) Auflagen beschreiben, die festlegen, was mit den Daten nach deren Herausgabe geschehen darf und was nicht.

Der zweite Baustein thematisiert die Frage der technischen Realisierung und Durchsetzung der zuvor festgelegten Auflagen. Der Datennehmende muss also über geeignete technische Maßnahmen verfügen, um die Anforderungen des Datengebenden hinsichtlich Datensouveränität durchzusetzen. In Unternehmen gibt es unterschiedliche Systeme (beispielsweise Client-Systeme, mobile Geräte wie Smartphones und Tablets sowie dedizierte Server- und Netzwerkinfrastruktur), die Daten verarbeiten. Um eine umfassende Kontrolle der Datennutzung zu gewährleisten, muss jedes dieser Systeme entsprechend seiner Potenziale für die Umsetzung der Auflagen gerüstet werden. In unserem Anwendungsbeispiel könnte dies bedeuten, dass die Versicherungen und Werkstätten Schnittstellen für Löschanfragen durch die Plattform bereitstellen müssen (siehe hierzu auch Abschn. 15.6, Szenario 3).

Zur Umsetzung der vorgenannten Auflagen gibt es zwei Methoden: präventive und reaktive Mechanismen. Erstere stellen die Einhaltung der Auflagen sicher, indem sie unerwünschte Handlungen verhindern, wie etwa die Weitergabe von Daten. Im Gegensatz dazu können reaktive Mechanismen unerwünschte Handlungen nicht verhindern, sondern unterstützen lediglich die Aufdeckung von Verstößen gegen die Auflagen. Im Nachgang, also nach der Erkennung, können weitere Maßnahmen zur Kompensierung des aufgetretenen Schadens erfolgen. Dieses Prinzip kann mit der Durchsetzung von Geschwindigkeitsbegrenzungen verglichen werden. Die Polizei kann zwar nicht verhindern, dass zu schnell gefahren wird, aber sie kann Verstöße aufdecken und Bußgelder auferlegen. Auf ähnliche Weise können in unserem Anwendungsbeispiel, durch Protokollierung von Datennutzungen und nachgelagerte Auditierungen, Verstöße gegen die Auflagen aufgedeckt werden.

Beide Arten von Mechanismen haben in verschiedenen Anwendungsszenarien ihre Vor- und Nachteile. Die optimale Lösung hängt daher vom Einsatzgebiet ab. Präventive Mechanismen haben den Vorteil, dass die Einhaltung der Nutzungsrestriktionen und Auflagen garantiert werden kann. Diese können aber zu einer geringeren Akzeptanz führen, da die Benutzenden im Allgemeinen misstrauisch und in ihrem Handeln eingeschränkt werden. Außerdem ist eine Integration präventiver Mechanismen in Bestandssysteme häufig schwerer oder teilweise gar nicht möglich. Reaktive Mechanismen sind hingegen einfacher umzusetzen und lassen dem Benutzenden mehr Spielraum. Da sie unerwünschte Nutzungen aber nicht verhindern können, muss ein nachgelagerter Prozess für die Erkennung und Kompensierung des aufgetretenen Schades etabliert werden. In unserem Anwendungsbeispiel könnte der Abruf von Daten hinsichtlich Häufigkeit limitiert werden. Somit könnte beispielsweise die Versicherung nur einmal im Monat Daten von der Plattform abrufen. Die Plattform könnte jeden weiteren Abruf technisch verhindern (präventiv) oder erlauben, oder aber bei Überschreitung der Limitierung protokollieren und diese nachgelagert ahnden (reaktiv).

Im Allgemeinen werden Daten auf mehreren Abstraktionsschichten eines Systems verarbeitet. Beim Empfang von Inhalten über das Netz wird beispielsweise eine temporäre Datei geschrieben, der Inhalt wird in einem Anwendungsfenster dargestellt und in einer anwendungsspezifischen Datenstruktur gespeichert. Um Daten in einem gesamten System oder einer Infrastruktur vor unerwünschter Nutzung zu schützen, müssen entsprechende Mechanismen also auf allen notwendigen Systemebenen integriert werden, um den bestmöglichen Schutz zu erreichen. Dabei kann man grundlegend festhalten, dass auf höheren Systemebenen mehr Semantik und Kontextwissen für die Nutzungsentscheidungen zur Verfügung steht. So hat beispielsweise die Kontonummer auf Anwendungsebene eine konkrete Semantik. Auf Speicherebene, beispielsweise in der Datenbank, handelt es sich lediglich um eine Zeichenkette.

Datennutzungskontrolle lässt sich auf verschiedene Weisen implementieren. Es hat sich jedoch gezeigt, dass es in der Praxis immer wieder ähnliche Komponenten gibt, die die beiden zuvor beschriebenen Bausteine (Auflagen und Durchsetzung) umsetzen.

Zur Durchsetzung der Auflagen müssen zunächst relevante Datenflüsse überwacht und abhängig von den Auflagen maskiert (siehe hierzu Lane 2012), gefiltert oder unterbrochen werden. Diese Aufgabe übernimmt ein sogenannter Policy Enforcement Point (PEP).

Kernstück des beschriebenen Zusammenspiels sind die Auflagen, die in der Praxis schnell zahlreich und komplex werden können. Um diese Situation unter Kontrolle zu bekommen, werden Policy Management Points (PMP) eingesetzt, die die Auflagen verwalten und dem PDP zur Verfügung stellen. Um die notwendige formale Spezifikation der Auflagen zu unterstützen, kommen spezielle Editoren, sogenannte Policy Administration Points (PAP) zum Einsatz, mit deren Hilfe der Datengebende seine Bedürfnisse hinsichtlich der Datensouveränität spezifizieren kann. Natürlich könnte die Spezifikation ohne Hilfsmittel beziehungsweise unter Verwendung eines einfachen Texteditors erfolgen. Diese Vorgehensweise sollte vermieden werden, da hierdurch fehlerhafte oder ungewollte Nutzungsrestriktionen erzeugt werden können. Es können unterschiedliche PAPs mit verschiedenen Benutzeroberflächen oder Spezifikationsparadigmen existieren, die schlussendlich in der gleichen Ausgabe münden. Somit können je nach Eignung und Qualifikation der Nutzenden passende Schnittstellen gestaltet werden.

Zusammengefasst lässt sich der übliche Ablauf der Umsetzung von Datennutzungskontrolle in vier Phasen einteilen (s. Abb. 15.2):

Im Bereich personenbezogener Daten regelt die Datenschutzgrundverordnung (DSGVO) diverse Betroffenenrechte wie Auskunft, Korrektur und Löschung, die wichtige Bausteine der Datensouveränität für betroffene Personen darstellen. Unabhängig davon, ob die Daten im Digitalen Ökosystem nun personenbezogen sind oder nicht (in der Praxis sind sie es in der Regel), sollte man diese Rechte entsprechend umsetzen, denn auch bei nicht-personenbezogenen Daten herrschen ähnliche Bedarfe bei den Datengebenden. Eine wesentliche Herausforderung sind fehlende Lösungen oder Lösungsbausteine, die in der Praxis mit moderatem Aufwand verwendet werden können. Dabei ist es in Digitalen Ökosystemen besonders relevant, die Datenflüsse zwischen den beteiligten Unternehmen zu erfassen und darzustellen, da hier mitunter komplexe Ketten entstehen.

Ähnliche Probleme treten auf, wenn Kunden selbst Einstellungen für die Nutzung der Daten vornehmen (beispielsweise im Rahmen von Datenschutzeinstellungen oder Auflagen im Sinne der Datennutzungskontrolle). Auch diese sind in der Regel auf ein Unternehmen beschränkt und die Kunden haben Probleme bezüglich der Verständlichkeit und des benötigten Aufwands. Für Unternehmen bedeutet dies auch ein rechtliches Risiko, da etwa Einwilligungen nur bei Informiertheit der Kunden wirksam sind und das Vorliegen dieser Einwilligungen durch den Verantwortlichen nachgewiesen werden muss. Bei Digitalen Ökosystemen liegt diese Verantwortung beim Plattformbetreibenden.

Zentrale Dashboards (auch Daten-Dashboards) für Datensouveränität im Ökosystem können hier einen wesentlichen Beitrag leisten. Sie ermöglichen es Unternehmen und Kunden, die Verarbeitung ihrer Daten zu kontrollieren und die Nutzung transparent zu machen. Einerseits werden also Möglichkeiten der Kontrolle und Einflussnahme auf die Verarbeitung und Verwendung der eigenen Daten geschaffen (Selbstbestimmung und Durchsetzung). Andererseits werden die Verarbeitungen und Verwendungen in einer klar verständlichen und strukturierten Weise dargestellt (Transparenz und Auskunft). Die Nutzungsmöglichkeiten für Unternehmen und Kunden der Unternehmen reichen dabei von der reinen Darstellung von Sachverhalten bis hin zur Erbringung von Nachweisen der Verwendung von Daten. Beispielsweise könnte in unserem Anwendungsbeispiel transparent gemacht werden, welche Daten die Versicherung verarbeitet hat und auf welcher Datenbasis die Abrechnung des Telematik-Tarifs basiert.

Es wird deutlich, dass Dashboards für Datensouveränität verschiedene Aufgaben und Ziele verfolgen, die wir nachfolgend skizzieren:

Primäres Ziel ist es, Auskunft und Transparenz über die Verwendung und Verarbeitung von Daten zu schaffen. Gleichzeitig müssen aber auch die aktuell geltenden Regeln und Einstellungen verständlich präsentiert werden.

Neben dieser informativen Auskunft müssen Datengebende befähigt werden, ihre eigenen Anforderungen an die Datensouveränität im Digitalen Ökosystem allen Teilnehmenden vermitteln zu können. Das sekundäre Ziel geht also auf die Selbstbestimmung und die Formulierung sowie schlussendlich der Formalisierung der Datensouveränitätsanforderungen ein. Es handelt sich hierbei um ein komplexes Thema. Schaut man sich beispielsweise die von der Legislative geforderten Möglichkeiten bei personenbezogenen Daten an, so fallen hierunter Einwilligungen, Widersprüche und Funktionen zur Datenlöschung oder zur Datenübertragung.

Aus den vorgenannten Zielen leitet sich konsequenterweise das Ziel der Durchsetzung ab, wobei es sich hierbei sowohl um technische als auch organisatorische Umsetzungen handeln kann, wie wir bereits diskutiert haben. Letztere müssen in Bezug auf die Dashboards eine Form der Rückmeldung aufweisen, damit diese den verantwortlichen Personen auch wieder dargestellt werden kann. An dieser Stelle ist darauf hinzuweisen, dass es sich bei Digitalen Ökosystemen oftmals um sozio-technische Systeme handelt und Vertrauen nicht nur durch technische Komponenten, sondern auch durch menschliche Interaktion bzw. direkten Kontakt entsteht.

Die konkrete Ausgestaltung von Dashboards für Datensouveränität ist hochgradig spezifisch für das jeweilige Digitale Ökosystem. Auch wenn es gewisse Charakteristiken und Anforderungen gibt, die sich alle Dashboards teilen, gibt es keine Standardlösung von der Stange. Stattdessen müssen stets individuelle Anforderungen, Risiken und Rahmenbedingungen bei der Planung, der Umsetzung, der Einführung und dem Betrieb von Dashboards berücksichtigt werden. Dabei ist dem Faktor Mensch eine hohe Priorität beizumessen, da der Umgang mit Datensouveränität ein wesentlicher Erfolgsfaktor für die Akzeptanz von Digitalen Ökosystemen darstellt.

Die nachfolgenden Szenarien veranschaulichen die technische Umsetzung von Datensouveränität mit Datennutzungskontrolle anhand des eben vorgestellten Anwendungsbeispiels. Hierzu wird das grundlegende Szenario beschrieben und danach die konkrete Umsetzung anhand von Code-Fragmenten und Auflagen in XML-Syntax verdeutlicht. Zudem wird das technische Zusammenspiel der vorab eingeführten Komponenten der Datennutzungskontrolle beschrieben.

Die beiden Protagonisten Paul und Frieda besitzen jeweils ein Fahrzeug des Automobilunternehmens der Plattform. Mit dem Kauf des Fahrzeugs wurden entsprechende Zugänge auf der Plattform bereitgestellt. Mit ihren Zugängen auf der Plattform können Paul und Frieda einerseits ihre eigenen Daten einsehen, aber auch die Datennutzungen für die angeschlossenen Unternehmen (unter anderem Versicherung, Werkstätten) kontrollieren. Paul würde man eher als konservativ und vorsichtig bezeichnen, Frieda hingegen ist aufgeschlossen und probiert gerne neue Features aus. Allerdings ist sie auch sehr bedacht, wenn es um ihre Daten und Datenschutz geht.

Zur technischen Umsetzung im Szenario wird ein PEP in der Plattform integriert, der die Schnittstelle der Versicherung kontrolliert. Die folgenden Code-Beispiele und Auflagen basieren auf der Umsetzung mit den MYDATA Control Technologies (Fraunhofer IESE 2021). Wie in Abb. 15.3 zu sehen, wird der entsprechende Datenfluss, nämlich das Auslesen und Zurückgeben des Kilometerstands, durch den PEP zunächst abgefangen (siehe Abb. 15.3, Zeile 5–12, roter Kasten).

Der PEP überprüft anschließend die geltenden Auflagen (siehe Abb. 15.4). Falls der Kilometerstand für das Fahrzeug innerhalb des vergangenen Monates noch nicht abgerufen wurde (siehe Abb. 15.4, Zeile 5–14, blauer Kasten), wird der Kilometerstand gerundet (siehe Abb. 15.4, Zeile 15–19, grüner Kasten) und durch den PEP anstatt des echten Werts zurückgegeben. Falls der Kilometerstand bereits abgerufen wurde, wird die Anfrage abgelehnt (siehe Abb. 15.4, Zeile 21–23, roter Kasten) und der PEP bricht den Datenfluss mit einer „InhibitException“ ab.

Zum Sicherstellen der Zweckbindung ist eine Integration eines PEPs bei der Versicherung notwendig. Entsprechend des aktuell laufenden Geschäftsprozesses wird die Datennutzung entweder erlaubt (Laufleistungsprüfung) oder verboten (zum Beispiel für Werbezwecke).

Die technische Umsetzung erfolgt wiederum durch einen PEP, der die Schnittstelle für Werkstätten kontrolliert. Bei Anfragen der Werkstatt werden die vom Haltenden hinterlegten Auflagen ausgewertet und der Zugriff entsprechend gewährt.

Im Szenario erfolgt die Steuerung der Daten auf der Plattform wiederum durch den PEP in der Schnittstelle für die Werkstätten. Die Löschung der Daten erfordert die Nutzung eines PXP in der Infrastruktur der Werkstatt (siehe Abb. 15.5, Zeile 6–11, roter Kasten). Somit kann dieses Feature nur von Werkstätten umgesetzt werden, die eine entsprechende Anbindung bieten. Nach dem Zurücksetzen der Inspektionsparameter im Fahrzeug wird die Löschung durch die Plattform angestoßen.

Technisch wird das wiederum durch den PEP in der Plattform umgesetzt. Dieser kontrolliert den Datenstrom und ersetzt in der Datenstruktur für die Versicherung die Auflistung der Nutzungszeiten durch einen aggregierten Wert.

Technisch führen wir hierfür eine PIP-Komponente ein, die einerseits die Situation des Fahrzeugs (siehe Abb. 15.6, Zeile 5–12, blauer Kasten) und andererseits die aktuelle Goeposition des Fahrzeugs (siehe Abb. 15.6, Zeile 13–21, grüner Kasten) berücksichtigt. Bei der Meldung einer Panne werden verschiedene Daten vom Fahrzeug wie dessen Zustand an die Plattform übermittelt. Zusätzlich wird die Situation „Panne“ und die aktuelle Geoinformation übermittelt, die in der Plattform in einer PIP-Komponente gespeichert werden. Dies stellt eine Ausnahme dar, da die Nutzung normalerweise nicht erlaubt ist (s. Abb. 15.6, Zeile 33–35, roter Kasten).

Wenn der Automobilclub auf die Plattform zugreift, so wird erstmal die grundsätzliche Verknüpfung geprüft und falls die PIP-Komponente die Situation „Panne“ zurückgibt, so wird die Nutzung, inklusive der aktuellen Geoposition (siehe Abb. 15.6 1.4, Zeile 23–31, lila Kasten) gewährt. Die Ausnahme ist zeitlich beschränkt auf 24 Stunden oder bis der Zustand durch Frieda manuell zurückgesetzt wird.

Abb. 15.7. zeigt die Positionierung der verschiedenen Komponenten im Digitalen Ökosystem. In den Szenarien sind das PEPs an den Schnittstellen für die anfragenden Unternehmen, damit hier eine Filterung der Daten erfolgen oder die zweckgebundene Verwendung sichergestellt werden kann. Der zentrale PIP zur Abfrage der Situation des Fahrzeugs (Kontext-PIP) für Ausnahmesituationen und ein Lösch-PXP bei den Werkstätten, damit die Plattform die Auflagen zum Löschen von Daten bei den verbundenen Unternehmen durchsetzen kann.

Die Komponenten zur Spezifikation (PAP), Verwaltung (PMP) und Auswertung (PDP) der Auflagen würden sich in der zentralen Plattform befinden, wurden in der Abbildung aber nicht explizit eingezeichnet.

Die Szenarien zeigen die Durchsetzung verschiedener Auflagen im Anwendungsbeispiel. Verlassen die Daten das Digitale Ökosystem und sollen weiter geschützt werden, so muss das Ziel durch den Einsatz von Datennutzungskontrollkomponenten (beispielsweise Lösch-PXP) erweitert werden. Ist das nicht möglich, muss auf organisatorische Regeln zurückgegriffen werden.

Digitale Ökosysteme entstehen in allen Branchen und Domänen. Das Zusammenspiel zwischen der Nutzbarmachung von Daten und der Einhaltung der Datensouveränität stellt eine enorme Herausforderung für ihre Betreibenden und Teilnehmenden dar.

Datennutzungskontrolle stellt hierfür wesentliche Bausteine zur Verfügung. Diese reichen von grundlegenden Konzepten bis hin zu konkreten technischen Umsetzungsmöglichkeiten. Dennoch sind der praktische Einsatz und die Durchdringung am Markt bisher wenig vorangeschritten. Initiativen wie die International Data Spaces (IDS) (Fraunhofer 2021) oder GAIA-X sind Vorreitende bei der Ausarbeitung der technischen und organisatorischen Rahmenbedingungen für Datennutzungskontrolle. Ein souveräner Umgang mit Daten wird auch durch die Querschnittsthemenforschung im KI-Innovationswettbewerb bekräftigt und einige Projekte setzen bereits auf die zukunftsfähigen Konzepte von GAIA-X (s. Kap. 9).

Gerade die IDS befassen sich seit einigen Jahren mit verschiedenen Themenkomplexen der Datennutzungskontrolle und setzen diese im IDS-Ökosystem erfolgreich um. Die Veröffentlichungen im Bereich „Usage Control in the International Data Spaces“ (Eitel et al. 2021) durch die International Data Spaces Association (IDSA) gewähren umfassende Einblicke in die Thematik.

Umfangreiche Datennutzungskontrolle erfordert ein geschlossenes, kontrollierbares System. Digitale Ökosysteme eigenen sich aufgrund ihrer Eigenschaften grundsätzlich dafür sehr gut. Die Umsetzungsverantwortung liegt bei Digitalen Plattformen beim Plattformbetreibenden. Dieser muss Datensouveränität im gesamten Ökosystem sicherstellen. Dies beginnt bei der Plattform selbst, muss aber auch bei allen Teilnehmenden sichergestellt werden.

Es ist daher zielführend Datensouveränität direkt von Beginn an mitzudenken und die Schutzbedarfe für Daten früh zu konkretisieren. Dies erfordert die Einbeziehung interdisziplinärer Kompetenzen, angefangen bei der Erhebung und Formalisierung dieser Schutzbedarfe, deren einheitlichen und benutzerfreundlichen Darstellung und Einstellmöglichkeiten sowie schlussendlich der einheitlichen technischen Umsetzung im gesamten Ökosystem. Nachträgliche Anpassungen oder Änderungen lassen sich nur mit erheblichem Aufwand realisieren. (s. Kap. 8). Daher führen auch kurzfristige Lösungen, wie das programmatische Umsetzen einzelner Szenarien oder Use Cases, langfristig zu Mehrarbeit, uneinheitlichen Umsetzungen und skalieren schlichtweg nicht. Das ist jedoch für Digitale Ökosysteme entscheidend. Konfigurierbare Lösungen mit einheitlicher Umsetzung (beispielsweise Frameworks für Datennutzungskontrolle) sind daher zu bevorzugen.

Ähnlich wie die Umsetzung von Maßnahmen der klassischen IT-Sicherheit müssen auch die Maßnahmen für die Umsetzung von Datensouveränität in Relation gesetzt werden. Einfache Anforderungen wie die Bereinigung der Daten können bereits durch wenige Maßnahmen im eigenen Code umgesetzt werden. Werden allerdings weitergehende Garantien und Sicherheiten benötigt, so müssen Konzepte wie Vertrauensanker, Zertifizierung und revisionssichere Protokolle in Betracht gezogen werden, die neben der eigentlichen Umsetzung von Datensouveränität zusätzlich betrachtet werden müssen. Datensouveränität baut daher oftmals auf weiteren Technologien auf, um diesen Anforderungen gerecht zu werden. Zusätzlich gibt es unterschiedliche Möglichkeiten der Integration von Datennutzungskontrolle, die auch unterschiedliche Ausprägungen haben, beispielsweise hinsichtlich Kontrollmöglichkeiten oder Integrationsaufwand (Zrenner et al. 2019). Schlussendlich muss man bei der Umsetzung von Datensouveränität immer zwischen den Möglichkeiten der Kontrolle und den damit verbundenen Kosten abwägen.