Data Clean Room

Ein Data Clean Room ist ein geschützter Analyse-Raum (eine abgeschottete Rechenumgebung), in dem zwei oder mehr Organisationen gemeinsam Daten auswerten, ohne die Rohdaten (die ursprünglichen, ungefilterten Datensätze) der jeweils anderen Seite zu sehen. Nach außen gehen nur vorab abgestimmte Auswertungen und Ergebnisse; die Rohdaten bleiben bei ihren Eigentümern.

Was ist ein Data Clean Room?

Ein Data Clean Room (auch Clean Room, kurz DCR, Data Clean Room) ist ein gemeinsamer Analyse-Raum, in dem mehrere Organisationen ihre Daten für eine gemeinsame Auswertung zusammenbringen, ohne dass die Beteiligten die Rohdaten der anderen einsehen oder herunterladen können. Der Raum wird von einem neutralen Betreiber bereitgestellt (in der Regel eine Cloud-Plattform oder ein Spezialanbieter), ist von den eigenen Systemen der Beteiligten (den regulären Datenbanken und Anwendungen) getrennt und besitzt eine feste Freigabe-Regel: Nur zuvor gemeinsam abgestimmte Auswertungen dürfen laufen, und nur die vereinbarten Ergebnisse dürfen den Raum verlassen.

Der Begriff stammt aus zwei Traditionen. In der Werbebranche entwickelten Walled-Garden-Plattformen wie Google und Amazon in den 2010er-Jahren proprietäre Umgebungen, in denen Werbetreibende Zielgruppen mit Plattform-Daten abgleichen konnten, ohne Nutzeridentifikatoren zu erhalten. In regulierten Feldern wie Pharma, Gesundheitsforschung und Finanzaufsicht entstanden parallel Datentreuhand- und Analyse-Umgebungen für Kohorten-Auswertungen ohne Rohdatenverbund. Aus beiden Strömungen konsolidierte sich das gemeinsame Konzept „Data Clean Room". Inzwischen existiert eine Standardisierungs-Initiative des [IAB Tech Lab Data Clean Room Standards](https://iabtechlab.com/standards/data-clean-room-standards/) für den Werbe-Anwendungsfall.

Technisch besteht ein Clean Room aus drei kontrollierten Schichten. Auf der Datenschicht stellt jede Partei fest, welche Tabellen oder Attribute für die gemeinsame Analyse verfügbar gemacht werden; die Referenz ist meist ein Live-Verweis auf den Bestand, keine physische Kopie. Auf der Compute-Schicht laufen die Auswertungen in einer isolierten Umgebung, die keine der beteiligten Parteien allein kontrolliert. Auf der Ergebnis-Schicht wirkt das eigentliche Output-Gate: Ausgeführt werden nur vorab freigegebene Notebooks, SQL-Programme oder Machine-Learning-Jobs, und ausgegeben werden ausschließlich Resultate, die vereinbarten Mindestkohorten oder Aggregations-Schwellen genügen. Die Databricks-Doku beschreibt Clean Rooms zum Beispiel als Aufsatz aus [Delta Sharing und Serverless-Compute](https://docs.databricks.com/aws/en/clean-rooms/), verankert im Katalog-System der Plattform.

Der Zweck der Konstruktion ist die Trennung von drei sonst verwobenen Fragen: Wer besitzt die Daten? Wo wird gerechnet? Welche Ergebnisse dürfen die Umgebung verlassen? Ein Clean Room macht diese drei Kontrollpunkte adressierbar, ohne dass eine Partei die Datenhoheit an eine andere übertragen muss.

Abgrenzung zu Delta Sharing, Marketplace, Federated Learning und Differential Privacy

Data Clean Rooms werden regelmäßig mit anderen Kollaborations- und Datenschutz-Mustern verwechselt. Die Unterscheidung entscheidet, welches Werkzeug für einen konkreten Anlass passt.

Data Sharing überträgt Daten an einen Empfänger, der die Datensätze anschließend nutzt. Ein Clean Room teilt keine Datensätze; er teilt nur die vereinbarten Ergebnisse einer gemeinsamen Berechnung. In vielen Architekturen bildet Data Sharing (etwa Delta Sharing) trotzdem den Transport-Layer unter dem Clean Room, weil die beteiligten Datenbestände als Live-Referenzen bereitgestellt werden.

Ein Data Marketplace stellt Datenprodukte in einem Katalog zur Verfügung; Konsumenten abonnieren oder erwerben Zugriffe und arbeiten anschließend mit den Daten in ihrer eigenen Umgebung. Ein Clean Room dreht dieses Modell um: Der Konsument bringt eine freigegebene Auswertungslogik in die geschützte Umgebung ein, während die Daten bei ihren Eigentümern bleiben.

Federated Learning löst dieselbe Grundfrage (gemeinsame Auswertung ohne Rohdatenaustausch) mit einem anderen Ansatz. Das Modell wird auf den Systemen der Datenhalter trainiert; nur Modell-Updates werden zu einem zentralen Aggregator geschickt. Rohdaten verlassen die jeweilige Umgebung dabei zu keinem Zeitpunkt. Ein Clean Room bringt die Daten dagegen in eine gemeinsame isolierte Umgebung. Für Trainings-Use-Cases sind beide Muster kombinierbar; für SQL-Auswertungen und Zielgruppen-Overlap sind Clean Rooms die etabliertere Wahl.

Differential Privacy und Confidential Computing sind ergänzende Techniken zum Clean-Room-Konzept. Differential Privacy schützt die Ergebnisse durch kalibriertes Rauschen und macht die Rekonstruktion einzelner Personen mathematisch schwer; Confidential Computing schützt die Compute-Umgebung durch Hardware-Enklaven vor dem Betreiber. Beides kann innerhalb eines Clean Rooms zum Einsatz kommen und ist bei einigen Spezialanbietern (etwa Decentriq) Standard.

Rechtlich löst ein Clean Room keine Frage automatisch. DSGVO-Rollen (Auftragsverarbeitung, gemeinsame Verantwortlichkeit) und AI-Act-Pflichten für gemeinsam trainierte Modelle müssen separat vertraglich geregelt sein. Die technische Isolation ersetzt weder die Rechtsgrundlage noch eine belastbare Anonymisierung der Daten.

Beispiel: Zielgruppen-Overlap zwischen Werbeplattform und Werbetreibendem

Ein typischer Anlass für einen Data Clean Room ist die Audience-Overlap-Analyse. Eine Werbeplattform und ein Werbetreibender möchten wissen, wie stark sich die eigene Kundschaft mit den Nutzern einer Kampagne überschneidet, um Reichweite und Zielgruppen-Passung zu bewerten. Datenschutzrechtlich ist der direkte Austausch von Kundenlisten in der Regel nicht zulässig, betriebswirtschaftlich ist die Auswertung trotzdem notwendig.

Beide Seiten stellen ihre Kundenlisten in gehashter Form als Referenz im Clean Room bereit. Vorab wird ein SQL-Notebook vereinbart, das die Schnittmenge auf den gehashten Identifikatoren berechnet und die Größe der Überschneidungsgruppe sowie ein Set aggregierter Merkmale (Kanal, Region, Kampagne) ausgibt. Das Output-Gate erzwingt eine Mindestkohorte von zum Beispiel 1.000 Personen pro Ergebniszeile; kleinere Gruppen werden nicht ausgegeben, um Rekonstruktions-Risiken zu begrenzen. Die Werbeplattform sieht keine Kundenliste des Werbetreibenden, der Werbetreibende sieht keine Nutzerdaten der Plattform. Beide Seiten erhalten ausschließlich die freigegebenen Aggregate.

Weitere Standardfälle folgen demselben Muster: gemeinsames Training eines Modells aus Daten mehrerer Institutionen (etwa Bank plus Telekommunikationsanbieter für ein Risikomodell), Berechnung von Konzern-Kennzahlen aus Daten von Tochtergesellschaften ohne zentrale Rohdatensammlung, oder Kohorten-Auswertungen in der klinischen Forschung, in denen die Auswertungslogik von externen Forschenden eingebracht und gegen die Patientendaten der Kliniken gerechnet wird.