Das ändert sich 2013 für den Datenschutz

Herr der eigenen Daten

Das Recht auf Portabilität der Daten dient dagegen weniger dazu, den Datenmissbrauch zu verhindern. Es soll vielmehr ausdrücken, dass im europäischen Datenschutzrecht der Betroffene immer Herr seiner eigenen Daten bleibt. Als »Herr der Daten« soll der Betroffene einen Auszug seiner automatisiert verarbeiteten Daten erhalten können, der es ihm erlaubt, diese anderweitig wieder in die Verarbeitung zu geben. Dies wird dort interessant, wo die Dienstleistung des Datenverarbeiters sich nicht nur der IT bedient, sondern primär eine IT-Dienstleistung ist. An dieser wie auch an vielen anderen Stellen behält es sich die Kommission vor, nachträglich technische Standards wie das Datenformat und die Übertragungsmodalitäten zu definieren. Spätestens hier wird dann auch der Handlungsspielraum der Unternehmens-IT deutlich eingeschränkt.

Betrachtet man diese beiden Anforderungen zusammen, so fallen einige Maßnahmen auf, die IT in Zukunft umsetzen muss. Bereits heute stehen viele Unternehmen, die Daten einer natürlichen Person löschen müssen, vor der großen Frage nach den Speicherorten. Daten in einem System sind leicht gefunden, Daten in mehreren Systemen lassen sich hoffentlich aus einem guten Register der Datenverarbeitungsverfahren herauslesen, das der engagierte Datenschutzbeauftragte gepflegt hat. Die meisten dieser Register helfen jedoch nur bei der Identifikation der Systeme, in die man gucken sollte, sie sagen ihrer Zielsetzung entsprechend nichts über das Vorkommen bestimmter Datensätze einer bekannten betroffenen Person aus. Erschwert wird das Auffinden der Datensätze noch durch redundante Datenhaltung in gewachsenen Systemlandschaften: So können etwa verschiedene Applikationen nicht immer dieselben Datenbanken nutzen, obwohl die Datenbestände inhaltlich identisch sind. Wird dann der Export zwischen den Datenbanken über ein drittes System ausgeführt, das die Daten konvertiert und dabei zwischenspeichert, wird es schnell unübersichtlich. Hier liegen Hürden, die einer Umsetzung des einfachen Löschauftrags bereits heute im Weg stehen. Einmal aufgefunden, sind die Daten nicht ohne weiteres gelöscht: Zwar sucht das geltende deutsche Recht bereits heute eine Balance zwischen Anforderung und Machbarkeit (zum Beispiel müssen personenbezogene Daten in Backups nicht grundsätzlich gelöscht werden), allerdings bedeutet umgekehrt nicht jeder merkliche Aufwand, dass man die Anforderung nicht umsetzen muss. In vielen Applikationen sind personenbezogene Stammdatensätze beispielsweise fest mit Transaktionsdatensätzen verknüpft, so dass eine Löschung eines Datensatzes die Integrität der Transaktionsprotokolle gefährdet.

1. Das ändert sich 2013 für den Datenschutz
2. Einheitlich heißt nicht einfacher
3. Der Datenschutz bestimmt die Technologie und umgekehrt
4. Herr der eigenen Daten
5. Lange Wege von Brüssel nach Berlin