Datenportabilität nach der DS-GVO: das kann kompliziert und teuer werden

von Dr. Axel Spies, veröffentlicht am 16.12.2016

Rechtsgebiete: WirtschaftsrechtDatenschutzrecht|4998 Aufrufe

Wer sich als deutsches Unternehmen noch nicht mit dem Thema „Datenportabilität“ nach der DS-GVO beschäftigt hat, sollte bald aus dem Winterschlaf aufwachen. Die neue Stellungnahme 242 der Artikel 29 Arbeitsgruppe aus Brüssel (WP) vom 13.12.16 (bislang wohl nur in Englisch) hat es im manchen Teilen in sich:

Worum geht es?

Nach der DS-GVO haben die Betroffenen neue individuelle Rechte gegenüber den Verantwortlichen (Data Controller), ihre Daten bei einem Betreiberwechsel “mitzunehmen.” Diese Rechte gehen über die schon bestehenden Zugangsrechte zu den gespeicherten eigenen Daten weit hinaus. “Dieses Recht erleichtert das Verschieben, Kopieren oder Übertragen von personenbezogenen Daten leicht von einer IT-Umgebung in eine andere, und zwar ohne Behinderung“, stellt die WP fest.

Warum ist die Umsetzung für die Unternehmen so schwierig?

Die Betroffen müssen umfänglich über das neue Recht informiert werden - u.a. auch bei Schließung ihres Accounts; die“ notwendigen klaren und umfassenden Informationen“ müssen ihnen dafür zur Verfügung gestellt werden.
Das Unternehmen muss den Betroffenen die notwendigen „Download Tools“ und Application Programming Interfaces dem Betroffenen bereitstellen, um zwar in einem „strukturierten, häufig verwendeten und maschinenlesbaren Format."
Das Recht kann der Betroffene jederzeit ausüben, unabhängig von etwaigen anderen Rechten auf Datenlöschung.
Im Unternehmen muss sich jemand als Empfänger um solche Anfragen effektiv kümmern.
Ein wirksamer Identifizierungsprozess muss im Unternehmen implementiert werden, damit nur die Berechtigten in den Genuss dieses Rechts kommen.
Das Unternehmen muss schnell, nämlich in Monatsfrist reagieren.
Eine Gebühr darf für alle diese Aktivitäten in der Regel bei den Betroffenen nicht erhoben werden, meinte die WP.