Infolge der mittlerweile berühmten „Raucherpause” waren aus einem Klinikum in Baden-Baden über 200 000 Datensätze von Patienten verschwunden, so dass das Klinikum gemäß § 42a BDSG entsprechende Anzeigen in zwei überregionalen Tageszeitungen („Die Welt“, „Frankfurter Rundschau“) schalten musste (vgl. http://kurzlink.de/raucherpause). Es handelte sich um drei Datensicherungskassetten, die ein Mitarbeiter vom Serverraum zum Tresor bringen sollte, und die er nach einer Zigarettenpause schlichtweg vergessen hatte. Hier stellt sich nun die Frage, was wäre gewesen, wenn diese Daten verschlüsselt gespeichert worden wären? In der Tat ist es so, dass es sich nach dem jetzigen BDSG für den „Empfänger“, wer auch immer dies sein mag, nicht um personenbezogene Daten gehandelt hätte, da dieser keine Möglichkeit hätte, einen Personenbezug herzustellen (subjektive Betrachtungsweise des BDSG, vgl. Art.-29-Gruppe, Arbeitspapier 136). Damit wäre § 42a BDSG nicht anwendbar, man hätte sich viele Kosten erspart! Dies ist auch dann der Fall, falls z. B. ein USB-Stick oder ein Laptop mit verschlüsselten personenbezogenen Daten verlorengeht: Hier besteht zunächst keine Anzeigepflicht nach § 42a BDSG. Schaut man allerdings auf das Europarecht (z. B. Art. 4 (1) des Entwurfs der Europäischen Datenschutz-Grundverordnung), sieht es anders aus: Hier sind alle Mittel des Verantwortlichen oder eines Dritten heranzuziehen; damit wären dann die Daten wieder zu entschlüsseln und also personenbezogen.
Interessant ist in diesem Zusammenhang die Frage, ob es bei verschlüsselten personenbezogenen Daten zum sicheren Löschen dieser Daten ausreichend ist, den Schlüssel sicher zu löschen, da dann niemand mehr die Möglichkeit hätte, die Daten zu entschlüsseln und einen Personenbezug herzustellen. Das wäre auch eine bequeme Lösung, falls die Daten an verschiedenen Stellen redundant aufbewahrt werden: Mit dem (verhältnismäßig einfachen) Löschen des Schlüssels wären alle Daten gelöscht! Einen Haken gibt es hierbei aber doch: es ist nämlich nicht klar, ob nicht etwa schlaue Mathematiker in naher oder ferner Zukunft einen Algorithmus zum „Knacken“ dieser Verschlüsselung finden, ganz ausgeschlossen ist das jedenfalls nicht!
Insgesamt ist es aber zu empfehlen, personenbezogene Daten generell zu verschlüsseln (häufig ist es ohnehin vorgeschrieben, z. B. bei E-Mails), soweit das möglich ist, jedenfalls ist eine Verlangsamung aufgrund der erhöhten Rechenleistung heute kaum mehr ein Argument. Allerdings lassen sich verschlüsselte Daten (heute noch) nicht verarbeiten, dazu müssen sie jeweils wieder entschlüsselt werden, was gerade beim Cloud-Computing ein erheblicher Nachteil ist. Werden die Daten aber nur zum Speichern und/oder Verteilen in die Cloud geschickt (z. B. mit „Dropbox“), sollten sie in jedem Fall verschlüsselt werden!
