Unternehmen sollten die noch verbleibende Zeit bis zur Anwendbarkeit der Datenschutz-Grundverordnung zur Vorbereitung aktiv nutzen, um künftig anfallenden Anfragen auf Datenübertragbarkeit gerecht werden zu können. [...]
Des einen Freud, des anderen Leid: Die mit 25. Mai 2018 anwendbare europäische Datenschutz-Grundverordnung räumt Betroffenen einer Datenverarbeitung einen Katalog von Rechten gegenüber den für die Verarbeitung Verantwortlichen ein. Hierzu zählt das Recht der Betroffenen auf Datenübertragbarkeit (Portabilität). Wer etwa ein umfangreiches Profil auf einer sozialen Website erstellt hat, wird dieses künftig zu einem anderen Anbieter „mitnehmen“ oder gleich direkt übertragen lassen können.
Unternehmer müssen nun die dafür notwendigen technischen und organisatorischen Voraussetzungen schaffen, um diesem Recht entsprechen zu können. »Strukturiert, gängig, maschinenlesbar« (und zudem „interoperabel“) soll das Format für die Bereitstellung der Daten an die Betroffenen sein. Diese gesetzlichen Ansprüche an Datenexporte werden in der Praxis nicht immer leicht zu erfüllen sein.
Vom Recht auf Portabilität sind nicht nur Daten erfasst, die auf Basis einer Einwilligung der betroffenen Person verarbeitet werden. Auch Daten, deren Verarbeitung zur Erfüllung eines Vertrages mit der betroffenen Person erforderlich sind, müssen übertragbar sein. Auf der anderen Seite gibt es auch Einschränkungen des Rechts auf Datenübertragbarkeit: Dieses besteht nur für personenbezogene Daten, die mithilfe automatisierter Verfahren verarbeitet werden und nur für personenbezogene Daten, die eine „betroffene Person“ dem für die Verarbeitung „Verantwortlichen“ bereitgestellt hat. Umgekehrt gilt demnach das Recht auf Datenübertragbarkeit nicht für vom Verantwortlichen abgeleitete Daten, die nicht direkt vom Betroffenen bereitgestellt werden.
Unternehmen sollten die noch verbleibende Zeit bis zur Anwendbarkeit der Datenschutz-Grundverordnung zur Vorbereitung aktiv nutzen, um künftig anfallenden Anfragen auf Datenübertragbarkeit gerecht werden zu können. Andernfalls drohen ihnen Strafen in der Höhe von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes des Unternehmens (je nachdem, welcher der Beträge höher ist).
* Andreas Schütz ist Rechtsanwalt bei Taylor Wessing.
Be the first to comment