Ab 2018: Umfassendes Recht auf Daten-Interoperabilität

Die Datenschutzbeauftragten der Europäischen Ländern haben in einer Stellungnahme   mittels zahlreicher Beispielen und Prinzipien erläutert, wie das neue Recht auf Interoperabilität aussehen soll. Bislang wurde in der entsprechenden Klausel aus dem Artikel 20 der Datenschutzverordnung lediglich allgemein festgehalten, dass Firmen und Behörden ihren Nutzern die zur Verfügung gestellten Informationen in strukturierter und maschinenlesbarer Form herausgeben müssen. In der nun veröffentlichen Stellungnahme ist nun zu lesen, wie der Text konkret zu interpretieren sei: Breit, sehr breit.

Inhalt des Statements:

• Anbieter - etwa von Fitnesstrackern oder Streaming-Diensten - müssen alle Rohdaten herausgeben. Also etwa die Fitnessaufzeichnungen oder die Liste der angehörten, übersprungenen oder in Playlisten gespeicherten Lieder.
  
• Auch alle Metadaten müssten "in der bestmöglichen Abstufung" mitgeliefert werden. Das wäre beispielsweise der Zeitpunkt, zu dem eine Playlist gespeichert wurde.
  
• Einschränkungen oder Gebühren wegen "exzessiver" anfragen halten die Datenschützer für kaum gerechtfertigt. Selbst wiederholte Anfragen in sehr kurzer Zeit könnten nur in Ausnahmefällen als mißbräuchlich gewertet werden.
  
• Anfragen dürfen auch nicht ohne triftigen Grund ignoriert werden. In der Regel müssten die verlangten Informationen spätestens nach vier Wochen, in komplexen Fällen binnen drei Monaten übermittelt werden.

Die Datenschützer nennen nur wenige Ausnahmen.

• Unternehmen dürfen persönliche Informationen in einer Form zur Verfügung stellen, die Betriebsgeheimnisse ausschließe.
  
• Daten, die nicht vom Nutzer selbst stammen, sondern durch algorithmische Analysen gewonnen wurden, müssen nicht übernmittelt werden.
  
• Der neue Diensteanbieter darf die übermittelten Daten nicht zu Werbe- oder Marketingzwecken einsetzen, sofern die Rechte Dritter betroffen sind - etwa weil Kommunikationsdaten eines Mail-Providers oder Social-Media-Dienstes betroffen sind.

Da die neue Reglung bereits im Mai 2018 in Kraft tritt, sollten betroffene Unternehmen bereits jetzt beginnen, entsprechende Export-Schnittstellen und APIs zu schaffen. In die Kritik gerät die neue Regelung, weil sie die verschiedenen Arten von digitalen Dienstleistungen nicht ausreichend differneziere. Von Banken über Mail-Providern und Social-Media-Diensten bis zu Streaming-Media-Services sind alle Anbieter gleichermaßen betroffen.