DSGVO trifft Online Marketing: Das Recht auf Datenportabilität
Vom 06.09.2017 bis 09.09. haben die Teilnehmer der 18. DRSI-Herbstakademie die neusten Entwicklungen im Datenschutzrecht, Blockchain und rechtliche Aspekte der Datensicherheit gehört. Hätten mich nur Vorträge bzw. Panels mit klarem Bezug zum Online Marketing oder Webanalyse interessiert, wäre die Ausbeute nicht besonders hoch. Das wundert mich im Nachhinein, da ja die Profilbildung in der DSGVO erstmals in einer Verordnung ausreichend beschrieben wird und so für Betroffene in Missbrauchsfällen adressierbar wird. Dennoch waren die Tage in Heidelberg eine starke Bereicherung. Endlich habe ich etwas mehr Klarheit über die rechtlichen und technischen Fragestellungen zu Blockchain in Form der Implementierung mit Bitcoin unter anderem.
Juristisch-organisatorische Beiträge befinden sich in diesem Blog [#DSGVO], marketingorientierte Beiträge auf https://seo-shop-software.de/tag/DSGVO (diese Seite gibt es noch nicht, weil die dmexco17 ja noch läuft).
Eines der komplexesten und für viele unbekannte ist ...
1. Das Recht auf Datenportabilität
Ganz neu nicht nur für Betroffene, also jene, die ein Profil bei Facebook, Xing oder auch bei Portalen wie ebay oder Twitter haben, ist das Recht auf Datenübertragbarkeit. Was fällt darunter und was nicht? Generell fallen alle direkt erfassten Daten (die man selbst eingegeben hat) und auch solche, die aus dem Verhalten und und der Nutzung abgeleitet werden darunter. Strittig zum Umfang der auszuliefernden Daten ist, ob auch Daten vom Verantwortlichen bereit gestellt werden müssen, die nicht die vertragsgemäße Nutzung betreffen. Laut Vorschrift müssen die Daten vom Verantwortlichen (so zum Beispiel Telegram oder Whatsapp) in einem "in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten" (Artikel 20) also ohne es dem Nutzer unnötig schwer zu machen oder gar andere Dienstleister in Anspruch nehmen oder Konvertierorgien starten zu müssen. Allein solche Schnittstellen zur gestalten, einzurichten und auf Dauer jeweils die neusten Daten vorzuhalten ist eine Herausforderung. Große Anbieter, die bereits das Risiko eines Verstoßes gegen das Datenportabilitätsrecht abschätzen können, werden sich hier (hoffentlich) bereits vorbereiten.
Was ist jedoch mit den den kleinen Anbietern? Ist es für die überhaupt zumutbar, eine solche Schnittstellen anzubieten, wenn gegebenenfalls der Aufwand dafür den Geschäftszweck infrage stellt oder die Rentabilität stark sinken lässt? So weit sind die Gedanken für Nichtjuristen und Nichtdatenschutzenthusiasten nachvollziehbar. Aber so eine Tagung wäre nur halb so schön, wenn man nicht neue, auf den ersten Gedanken absurd anmutende Situationen betrachten würde: Bezieht das Recht auf Datenportabilität auch das Recht mit ein, dass ein Verantwortlicher (hier als Adressat der Daten) die ihm gelieferten Daten annehmen muss? Wie ist zu verfahren, wenn er sich weigert?
Relevanz für Betreiber
Solche Herausforderungen könnten sich sofort nach Inkrafttreten ergeben, da alle Beteiligten schon da sind, die Profildaten der Nutzer bzw. Betroffenen abgespeichert sind und von Verantwortlichen verarbeitet werden.Meine Meinung
Das neue Recht wird sich erst langsam herumsprechen und nur von einem kleinen Teil der Betroffenen überhaupt wahrgenommen. Es wird sicher ein paar Erbarmungslose geben, die gleich am 26.05.2018 (einen Tag Warten ist ja schließlich genug) ihre Daten von Xing nach LinkedIn portieren wollen und zwar nur, um auszuprobieren, ob es funktioniert. Es ist richtig, dass die "neue Souveränität des Datensubjekts" auch über Datenportabilität bzw. Datenübertragbarkeit eine Definition erfährt. Irgendwann wird es eine Selbstverständlichkeit sein, seine informationelle Selbstbestimmung auch auf diesem Weg einzufordern. Solange ein Verantwortlicher/Betreiber eines Dienstes mit Profildaten keine Verzögerungstaktik betreibt, sollte man Verständnis haben, wenn man dieses technisch anspruchsvoll durchsetzbare Recht nicht von Anfang an durchsetzen kann.
Recht auf Datenportabilität auf der dmexco17
Bekannte Portale, die Profile von Nutzern aggregieren, werde ich auf der dmexco besuchen und mich nach ihrer Position, dem Stand der Entwicklung erkundigen. Ab Ende der Woche werde ich das Ergebnis veröffentlichen.
