Diese Seite erklärt den Kern des Themas: warum aggregierte Bewegungsdaten keinen Rückschluss auf einzelne Personen erlauben – und unter welchen Bedingungen diese Aussage tatsächlich stimmt.
Warum Pseudonymisierung nicht reicht
Der naheliegende Ansatz lautet: Kennung durch eine Zufallsnummer ersetzen, fertig. Das ist Pseudonymisierung, und sie genügt bei Bewegungsdaten nicht. Der Grund liegt in der Natur der Daten selbst.
Eine Bewegungsspur ist wie ein Fingerabdruck. Der Ort, an dem ein Gerät jede Nacht steht, ist mit hoher Wahrscheinlichkeit die Wohnung. Der Ort, an dem es werktags acht Stunden verbringt, ist der Arbeitsplatz. Aus dieser Kombination lässt sich für die meisten Menschen die Identität eingrenzen – ganz ohne Namen. Forschungsarbeiten zeigen seit Jahren, dass bereits eine Handvoll Raum-Zeit-Punkte genügt, um eine Spur eindeutig zuzuordnen.
Hinzu kommt: Aus einer Bewegungsspur lassen sich besonders sensible Informationen ableiten. Regelmäßige Besuche bei einer Fachklinik, einer Suchtberatung, einem Gotteshaus oder einer Parteizentrale sagen Dinge aus, die zu den besonders geschützten Datenkategorien gehören.
Konsequenz: Individuelle Bewegungsspuren sind nicht anonymisierbar, solange sie individuell bleiben. Anonymität entsteht erst durch Verdichtung.
Wie Aggregation wirkt
Bei der Aggregation gehen einzelne Spuren in Summen auf. Aus 4.800 Einzelbeobachtungen wird die Aussage „4.800 Personen". Die Zuordnung, welche Beobachtung zu welcher Spur gehörte, verschwindet dabei – nicht als Zusage, sondern strukturell.
Dabei greifen mehrere Mechanismen ineinander:
Räumliche Verdichtung. Statt exakter Koordinaten wird ausgewiesen, wie viele Personen sich in einem Gebiet aufhielten. Herkunftsangaben werden nur auf grober Ebene ausgegeben – Gemeinde, Kreis oder Postleitzahlgebiet, nicht Adresse.
Zeitliche Verdichtung. Statt einzelner Zeitstempel Stunden-, Tages- oder Monatswerte. Je gröber, desto sicherer.
Mindestfallzahlen. Zellen, in denen zu wenige Fälle liegen, werden nicht ausgegeben oder mit Nachbarzellen zusammengefasst. Genau hier zeigt sich, ob eine Aufbereitung ernst gemeint ist: Wer bereitwillig Werte für ein Gebiet mit drei Besuchern liefert, arbeitet nicht sauber.
Ausschluss von Anwohnern und Beschäftigten. Ursprünglich eine methodische Maßnahme, aber zugleich datenschutzwirksam – gerade in kleinen Gebieten, in denen Anwohner sonst dominieren würden.
Zeitversatz. Auswertungen werden erst mit deutlichem Abstand zum Beobachtungszeitraum bereitgestellt, typischerweise mindestens ein Monat. Das schließt jede Nutzung zur Beobachtung aktueller Aufenthalte aus. Deshalb sind Echtzeitauswertungen weder üblich noch angestrebt.
Weitere statistische Verfahren. Je nach Anbieter kommen Verfahren wie Rundung, Schwellenwerte oder das gezielte Hinzufügen von Rauschen hinzu, um auch die Kombination mehrerer Auswertungen abzusichern.
Der entscheidende Satz
Ein Rückschluss auf einzelne Personen ist bei ordnungsgemäß aggregierten Bewegungsdaten nicht möglich – weil die Information, die dafür nötig wäre, im Ergebnis schlicht nicht mehr enthalten ist. Diese Aussage steht und fällt allerdings mit der Frage, ob die Aggregation ausreichend ist. Genau das gehört überprüft, nicht geglaubt.
Wo es schiefgehen kann
Die Fallstricke sind bekannt und vermeidbar – man muss sie nur kennen:
- Zu feine Auflösung. Ein winziger Geofence mit Stundenwerten und Herkunftsangabe kann trotz Aggregation Einzelne sichtbar machen. Ein Beispiel: Wenn in einer Stunde genau eine Person aus einer kleinen Gemeinde ein einzelnes Gebäude besucht hat, ist diese Person unter Umständen bestimmbar.
- Differenzangriffe. Zwei Auswertungen, die sich nur minimal unterscheiden, erlauben durch Subtraktion Rückschlüsse auf die Differenzmenge. Deshalb müssen Schwellenwerte über alle Auswertungen hinweg konsistent gelten.
- Verknüpfung mit Zusatzwissen. Wer weiß, dass in einem Gebäude nur eine Person arbeitet, kann aus einer Gebäudeauswertung deren Anwesenheit ablesen.
- Anonym ist nicht rückgängig. Umgekehrt gilt: Wo Aggregation korrekt erfolgt ist, lässt sich das Ergebnis nicht „zurückrechnen". Das ist keine Zugriffsbeschränkung, sondern Informationsverlust.
Was daraus folgt
Verlangen Sie nicht die feinste verfügbare Auflösung, sondern die, die Ihre Frage beantwortet. Das ist nicht nur datenschutzfreundlicher, sondern liefert auch statistisch stabilere Ergebnisse – siehe Raum und Zeit und Datenqualität.
Und lassen Sie sich die Schutzmaßnahmen konkret benennen: Mindestfallzahl, Aggregationsebene, Zeitversatz, Umgang mit Kleinstzellen. Die vollständige Fragenliste steht unter Prüfkriterien. Warum diese Sorgfalt nötig ist, zeigt die Kritik am Datenhandel.