Fallstrick Datenübertragbarkeit

Die DSGVO gilt ab dem 25.05.2018 anstelle bisheriger Regelungen des Bundesdatenschutzgesetzes und führt zu erhöhten Datenschutzrechten für natürliche Personen. Analog dazu stellt Sie Anforderungen an Unternehmen, um diese Rechte technisch und organisatorisch umzusetzen.

Zielsetzung

In diesem Beitrag diskutiere ich die Umsetzung des Rechts auf „Datenübertragbarkeit“, welches erstmals durch die DSGVO eingeführt wird. Es ist in der Verordnung definiert als:

„Die betroffene Person hat das Recht, die sie betreffenden personenbezogenen Daten, die sie einem Verantwortlichen bereitgestellt hat, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten, […]“ (Art 20 I DSGVO)

Der Grundidee dieses Rechts besteht darin den schnellen Umzug eines Verbrauchers von einem Anbieter zu einem anderen Anbieter, inklusive all seiner personenbezogenen Daten, zu ermöglichen. Weiter heißt es in der Verordnung:

„[…] die personenbezogenen Daten direkt von einem Verantwortlichen einem anderen Verantwortlichen übermittelt werden, soweit dies technisch machbar ist […]“ (Art 20 II DSGVO)

Zusammenfassend ist das Ziel dieses Artikels  also einer Person eine erneute Eingabe aller persönlicher Daten bei einem Anbieterwechsel zu ersparen. Dazu ist erstens die Möglichkeit der Übermittlung strukturierter Daten an die Person und zweitens die Übermittlung dieser an den neuen Anbieter vorgesehen.

Technische Maßnahmen

Es ist zu erwarten, dass sich bis zum 25.05.2018 nicht alle Anbieter einer bestimmten Dienstleistung oder eines bestimmten Produktes auf ein standardisiertes Format zum strukturierten Datenaustausch einigen werden, sodass die Übermittlung von Verantwortlichem zu Verantwortlichem zunächst nicht technisch machbar ist.

Es verbleibt die Verpflichtung des Unternehmens gemäß Absatz 1 einer anfragenden Person ihre Daten in strukturierter Form auszuhändigen.

Dies könnte zum Beispiel auf der Grundlage von XML geschehen. Als maschinen- und menschenlesbares Format bietet es den Vorteil, dass die Daten von der anfragenden Person auf Korrektheit geprüft und ggf. editiert werden können ohne dafür spezielle Software zu verwenden.

Ein stark vereinfachtes Beispiel für einige wenige personenbezogene Daten von Max Mustermann könnte so aussehen:

<datensatz>
  <vorname>Max</vorname>
  <nachname>Mustermann</nachname>
  <familienstand>ledig</familienstand>
  <email>max.mustermann@example.com</email>
  <kennzeichen>F JK 123</kennzeichen>
</datensatz>

Je nach verwendeter Datenbank ist es möglich gespeicherte Daten direkt im XML Format zu speichern, sowie neue Daten im XML Format einzulesen.

Fallstricke

Erhält ein Unternehmen eine Anfrage zur Datenübertragbarkeit, muss ein strukturierter Datensatz generiert und an die Person übertragen werden.

Dabei sind die zwei Fallstricke Authentisierung der Person und Verschlüsselung der Übertragung zu beachten.

Authentisierung

Herr Müller sollte nur die strukturierten Daten von Herrn Müller, nicht jedoch jene von Frau Schneider anfordern können. Es ist daher notwendig, dass sich Herr Müller zunächst als Herr Müller ausweist, bevor er Daten erfragen kann. Üblicherweise erfolgt eine Authentisierung bei Onlinegeschäften über einen Nutzernamen und ein Passwort mit denen sich ein Nutzer zunächst in seinen eigenen Account einloggen muss.

Verschlüsselung

Die Übertragung der strukturierten, personenbezogenen Daten sollte auf jeden Fall verschlüsselt über das Internet erfolgen, da z.B. in Artikel 5 DSGVO explizit die Vertraulichkeit gefordert wird. Technisch kann die Verschlüsselung am besten über einen direkten Download von einer Webseite mit Transportverschlüsselung, d.h. SSL/TLS, geleistet werden. Ein E-Mail Versand ist hingegen keine Option, da Mails unverschlüsselt übertragen werden – dies betrifft auch den Anhang der E-Mails.

Zusammenfassung

Ich persönlich würde Datenübertragbarkeit sicherstellen, indem ich jedem Nutzer die Möglichkeit gebe sich in einen individuellen Account bei einer mit SSL/TLS gesicherten Webseite einzuloggen und den Download strukturierter XML-Daten direkt über einen Button zu initiieren. Auf einen Versand per E-Mail würde ich auf keinen Fall zurückgreifen.