Bericht zum IMKR-Vortrag „Das neue Recht auf Portabilität digitaler Daten“ von Dr. Steinrötter
Am 11.7.2018 sprach Dr. Björn Steinrötter, Akademischer Rat a. Z. an der Leibniz Universität Hannover, am IMKR zum neuen Recht auf Portabilität digitaler Daten nach Art. 20 der EU-Datenschutz-Grundverordnung (DSGVO). Zur Erläuterung seines Themas warf Dr. Steinrötter folgende Fragen auf: Sollte mit dem Recht auf Datenübertragbarkeit tatsächlich ein Umzug aller Daten von einem Anbieter zum anderen möglich gemacht werden, z. B. von Facebook zu Google+? Wäre ein solcher „Datenumzug“ mit der Löschung der Daten beim ersten Anbieter verbunden? Wäre die Datenübertragung auf Nutzerdaten beschränkt oder könnte sie sich gar auf Inhalte – wie z. B. Musik bei Spotify oder Serien und Filme bei Netflix – erstrecken?
Das Recht auf Datenportabilität bezwecke eine bessere Kontrolle über die persönlichen Daten (Erwägungsgrund 68 der DSGVO). Eine Rolle gespielt hätten aber auch eine allgemeine Anhebung des Datenschutzniveaus durch die Förderung des Wettbewerbs über effektive Datenschutztechnologien oder die Erleichterung eines Anbieterwechsels und damit die Begrenzung der Marktmacht einzelner Unternehmen. Art. 20 DSGVO sei also keine rein datenschutz-, sondern auch eine wettbewerbsrechtliche Vorschrift.
Bei Art. 20 DSGVO sei die wichtigste Frage diejenige nach den von der Norm umfassten Daten: Neben dem Personenbezug, der sich bereits aus dem Anwendungsbereich der DSGVO ergebe, müssten die Daten von der betroffenen Person selbst „bereitgestellt“ worden sein – ein durchaus interpretationswürdiger Begriff. Dies treffe jedenfalls auf Direktdaten zu, die der Betroffene unmittelbar an den Verantwortlichen übermittelt habe. Auch sog. Beobachtungsdaten, die der Verantwortliche über die aktive Nutzung des Betroffenen generiere – z. B. Gesundheits- oder Aktivitätsdaten bei Fitness-Trackern – fielen noch darunter. Analysedaten jedoch, die der Verantwortliche durch Nutzerkategorisierung oder -analyse generiere, wie z. B. die Bonität, seien nicht mehr von Art. 20 DSGVO umfasst. Im Hinblick auf diese Daten stehe dem Betroffenen aber jedenfalls das Auskunftsrecht nach Art. 15 DSGVO zu. Die Anforderungen, die Art. 20 DSGVO an die Verarbeitung der Daten stelle, ergäben sich bereits aus dem Wortlaut: Sie müsse auf der Einwilligung des Betroffenen oder auf einem Vertrag beruhen, müsse automatisiert sein und dürfe nach Art. 20 Abs. 3 S. 2 DSGVO nicht in Erfüllung öffentlicher Aufgaben erfolgen.
Als Rechtsfolge könne der Betroffene zweierlei verlangen: den Erhalt seiner Daten in einem strukturierten, gängigen und maschinenlesbaren Format nach Art. 20 Abs. 1 Alt. 1 DSGVO sowie die (Direkt-)Übermittlung der Daten von einem Verantwortlichen an einen anderen gemäß Art. 20 Abs. 1 Alt. 2 i. V. m. Abs. 2 DSGVO. Bei der Ausübung beider Rechte dürften allerdings die (Grund-)Freiheiten und (Grund-)Rechte anderer Personen nicht beeinträchtigt werden (Art. 20 Abs. 4 DSGVO). Der Verweis nur auf Abs. 1 sei nach allgemeiner Ansicht ein Redaktionsfehler.
Das Erhaltsrecht nach Art. 20 Abs. 1 Alt. 1 DSGVO bedeute ein Recht auf den Erhalt einer Kopie der Daten und nicht bloß auf den Lesezugriff. Es sei präziser ausgestaltet als das reine Auskunftsrecht nach Art. 15 DSGVO. Das noch in Erwägungsgrund 68 enthaltene Kriterium der Interoperabilität sei aufgrund fehlender technischer Umsetzbarkeit nicht in die letztgültige Fassung der Norm aufgenommen worden. Darum sei auch die amtliche Überschrift („Recht auf Datenübertragbarkeit“) begrifflich verunglückt. Passender müsse es „Recht auf Datenübertragung“ heißen. Mit dem Übertragungsrecht gemäß Art. 20 Abs. 1 Alt. 2 i. V. m. Abs. 2 DSGVO sei eine Löschung der Daten beim ursprünglichen Verantwortlichen nicht zwingend verbunden, wie sich aus Art. 20 Abs. 3 S. 1 DSGVO ergebe. Bei diesem handele es sich also nicht allein um ein „Datenumzugsrecht“. Vielmehr ermögliche Art. 20 DSGVO neben dem Anbieterwechsel auch die Anbietererweiterung im Sinne einer Parallelnutzung der Daten. Daher bedeute auch ein Übertragungsverlangen nicht zwangsläufig zugleich die Kündigung des Vertrags, wie es teilweise vertreten wird. Die Erklärung des Betroffenen sei vielmehr in jedem Einzelfall gemäß §§ 133, 157 BGB auszulegen.
Abschließend betonte Dr. Steinrötter, dass der im Gesetzgebungsverfahren ursprünglich ins Auge gefasste Hauptanwendungsfall der sozialen Medien wegen Art. 20 Abs. 4 DSGVO eine eher untergeordnete Rolle spiele. Für Wearables, Streamingportale, die Finanzbranche und sogar beim Arbeitgeberwechsel könne Art. 20 DSGVO aber relevant werden. Dabei gehe es nicht um die Mitnahme von Inhalten wie Musiktiteln, Filmen oder E-Mails als solchen, sondern etwa um individuell erstellte Playlists oder Kontaktadressen aus dem Webmail-Konto. Obwohl die Interoperabilität der Datensätze (noch) nicht vorgeschrieben sei, müssten sich die Anbieter und Fachverbände schnell um die Entwicklung gemeinsamer Standards und Formate bemühen. Auch vor dem Hintergrund drakonischer Bußgeldandrohungen (vgl. Art. 83 Abs. 5 lit. b DSGVO) liege eine bestmögliche Umsetzung der Normvorgaben in ihrem ureigenen Interesse.
In der sich anschließenden Diskussion ging es vor allem um die Frage, wie das Recht auf Datenerhalt und Datenübertragung in den größeren Kontext der Entstehung eines eigenen und vom Datenschutzrecht abzugrenzenden „Datenwirtschaftsrechts“ eingeordnet werden könne. Dabei wurde darauf hingewiesen, dass Art. 20 DSGVO durchaus geeignet sei, die Etablierung von personenbezogenen Daten als kommerzialisierbares Gut zu fördern. Das Erhaltsrecht nach Art. 20 Abs. 1 Alt. 1 DSGVO könne dem Einzelnen einen Mehrwert dadurch bieten, dass es ihm ein Nutzungsrecht an seinen eigenen Daten im Sinne eines „Dateneigentums“ verschaffe. Allerdings könne man Art. 20 DSGVO ebenfalls mit guten Argumenten als Zugangslösung verstehen. Darüber hinaus könne das Übertragungsrecht nach Art. 20 Abs. 2 DSGVO die Verhandlungsposition des Nutzers gegenüber den Unternehmen stärken, indem es Barrieren beim Anbieterwechsel abbaue.
Hinweis: Nach dem Vortrag wurde bekannt, dass sich die großen IT-Unternehmen auf ein gemeinsames Projekt verständigt haben, das die Erleichterung der Portabilität von Daten zum Ziel hat (data transfer project): Süddeutsche Zeitung.
