Im Juni 2023 lief das interdisziplinäre Forschungsprojekt zum DSGVO-Recht auf Datenportabilität am bidt aus. Zum Abschluss der Projektlaufzeit sprechen die drei Projektverantwortlichen Professorin Susanne Mayr, Professor Jens Großklags und Professor Johann Kranz über die Hoffnungen, die mit der Verankerung des Rechts verbunden waren, vorhandene Missverständnisse in der Bevölkerung – und die Chancen des Konzepts für datengetriebene Innovationen.
forschungsprojekt
Datenportabilität ist ein sehr sperriger Begriff. Was verbirgt sich dahinter?
Prinzipiell liegt dem Recht auf Datenportabiltät die Idee zugrunde, dass Konsument:innen die Möglichkeit erhalten, einen Onlinedienst zu wechseln, wenn sie damit unzufrieden sind.
Prof. Dr. Jens Großklags Zum Profil
Jens Großklags: Bislang war es nicht so einfach möglich, eine Verkaufsplattform, einen Maildienstleister oder einen Musikstreamingdienst zu wechseln. Vor der gesetzlichen Neuregelung konnte man weder eigene Daten einfach zu einem neuen Dienst mitnehmen, noch die Daten bei einem alten Dienst löschen. Das Recht auf Datenportabilität ermöglicht es nun, Daten maschinenlesbar in kompaktem Format zu erhalten und dann selbst zu bearbeiten. Diese Daten können dann bei einem anderen Anbieter hochgeladen werden, wenn diese Möglichkeit zur Verfügung gestellt wird. Der Teufel steckt dabei im Detail: Zu wenige Anbieter haben solche Importfunktionen, und es ist unklar, in welchem Umfang Daten bereitgestellt werden müssen.
Über welche Art von Daten sprechen wir?
Großklags: Grob kann man die Daten in drei Kategorien unterteilen: Erstens Daten, die die Nutzer:in der Plattform direkt mitgeteilt hat, etwa Kontaktdaten, hochgeladene Fotos oder Dokumente. Zweitens gibt es Daten, die über die Nutzer:in beobachtet wurden, etwa durch ihr Nutzungsverhalten im Browser, und drittens Daten, die von dem Service auf Basis der beiden Datenspuren erstellt wurden, etwa Profile über Geschmäcker oder Musikgenres. Letztere Kategorie wird meist so betrachtet, dass sie nicht Teil der Verordnung ist. Bei den anderen beiden Kategorien ist es etwas unklar: Jurist:innen streiten sich darüber, ob das Recht auf Datenportabilität nur die von der Nutzer:in mitgeteilten Daten beinhaltet oder auch die beobachteten Daten. In der Praxis haben wir gesehen, dass Unternehmen das Recht auf Datenportabilität ganz unterschiedlich auffassen: Manche teilen nur die beigebrachten Daten, andere stellen die gesamte Bandbreite zum Download zur Verfügung.
Wie wird das Recht auf Datenportabilität konkret technisch umgesetzt – und welche Fallstricke gibt es dabei?
Großklags: Im Endeffekt gibt es zwei Problembereiche. Sehr viele Unternehmen bieten Nutzer:innen noch nicht wie gefordert ein maschinenlesbares Format zum Download an. Daten werden als pdf-Datei verschickt, in E-Mails reinkopiert oder sogar noch auf Papier versendet. Das macht es schwierig, die Daten nutzbar zu machen. Zweitens: Selbst wenn die Daten maschinenlesbar zur Verfügung gestellt werden, geschieht dies nicht standardisiert.
Mit der Verankerung des Rechts auf Datenportabilität in der DGSVO waren viele Hoffnungen verbunden: mehr Kontrolle über die eigenen Daten für Nutzer:innen, das Aufbrechen von Datensilos, das Vermeiden von Lock-in-Effekten. Haben sich diese Hoffnungen erfüllt?
Johann Kranz: Nicht wirklich. Die Umsetzung der Verordnung scheitert daran, dass sie zu unkonkret und zu unspezifisch formuliert ist. Dabei müsste klar gemacht werden, welche Daten konkret gemeint sind: Kann ich meine Reputation von einer Verkaufsplattform zu einer anderen mitnehmen? Kann ich meine Bilder von einem sozialen Medium ins nächste portieren? Zudem muss die Mitnahme der Daten für Nutzer:innen so einfach wie möglich sein. Erst wenn all das geregelt ist und es darauf einen Rechtsanspruch gibt, wird sich etwas in Bewegung setzen. Bislang sind die Regeln zur Datenportabilität zu wachsweich formuliert, was nicht zuletzt auch im Interesse der großen digitalen Plattformen liegt. Positiv muss man aber festhalten, dass die Möglichkeit zur Datenmitnahme nun zumindest existiert – wenn auch nur für gut informierte, technisch versierte Nutzer:innen.
Ihre Ergebnisse zeigen, dass das Recht auf Datenportabilität das am wenigsten bekannte der DSGVO-Rechte ist. Nur etwa ein Viertel der Befragten kennen ihr Recht auf Datenübertragbarkeit. Was ist Ihre Erklärung dafür, dass das Thema so ein Schattendasein fristet?
Susanne Mayr: Die Ergebnisse unserer bevölkerungsrepräsentativen Studie haben uns nicht überrascht. Erstens ist das Konzept der Datenportabilität ein relativ neues Konzept, das nicht so einfach zu fassen ist wie etwa das Recht auf Datenlöschung; deshalb ist es auch mit Verständnisschwierigkeiten verbunden. Ein weiterer Grund: Datenportabilität wird von den meisten Diensten nur sehr wenig beworben. Oft taucht es nur im Kleingedruckten als potenzielle Möglichkeit auf. Verständliche Anleitungen, wie man seine Daten konkret mitnehmen kann, sucht man vergeblich.
Gibt es soziodemografische Unterschiede, also Personengruppen, die weniger über das Recht wissen als andere?
Mayr: Ja, hier gibt es große Unterschiede. Uns ist aufgefallen, dass Personen, die sich selbst als technikaffin beschreiben, häufig eine größere Sensibilität für die Datenschutzthematik mitbringen – und auch eine größere Bereitschaft, entsprechende Lösungen zu nutzen. Aufgrund der beschriebenen Barrieren haben aber auch diese Gruppen meistens noch keinen erfolgreichen Wechsel hinter sich gebracht. Weniger technikaffine Menschen haben in unserer Befragung zwar häufig klare Wechselwünsche geäußert, verfügen aber über Verständnisschwierigkeiten. Manchmal war die spontane Reaktion beim Stichwort Datenportabilität: „Ich will nicht, dass meine Daten weitergegeben werden.“ Hier muss noch viel Aufklärungsarbeit passieren.
Welche Chancen haben Plattformen, wenn sie das Recht zur Datenportabilität offener kommunizieren und den Wechsel technisch erleichtern?
Mayr: In unserer experimentellen Studie konnten wir herausarbeiten, dass die Bezahlbereitschaft von Kund:innen wächst, wenn ein Dienst die Möglichkeit zur Datenportabilität anbietet. Das konnten wir beispielhaft an einer Studie mit einem E-Mail-Dienstleister nachweisen. Allerdings wurden die Studienteilnehmer:innen zuvor ausführlich über die Inhalte des Rechts auf Datenportabilität aufgeklärt.
Gibt es weitere Vorteile von Datenportabilität für Plattformbetreiber?
Datenportabilität könnte auch neue Chancen für Start-ups mit datengetriebenen Geschäftsmodellen bieten: Auf diesem Weg kann es ihnen schneller gelingen, eine kritische Masse an Daten zu akquirieren, um ihre Modelle sinnvoll laufen zu lassen.
Prof. Dr. Susanne Mayr Zum Profil
Mayr: Viele Start-ups betrachten die DSGVO-Thematik leider nur als lästiges Problem, das man zur Seite schieben muss, um sich auf die eigentliche Geschäftsidee zu fokussieren. Dabei wird das Potenzial von Daten und Datenportabilität nicht gesehen oder verstanden.
Datenportabilität kann auch auf Plattformen mit komplementären Produkten nützlich sein, etwa bei einer Kombination aus Verkaufsplattformen und Zahlungsdienstleister. Haben Sie auch hierzu geforscht?
Großklags: Auch dazu haben wir eine Studie mit mehreren Hundert Studierenden durchgeführt. Anhand von etwa 30 Services haben wir abgefragt, wie ein komplementäres Szenario aussehen könnte. Manche Kreuzungen erschienen vielen Teilnehmenden sinnvoll, etwa in den Bereichen Gaming, Streaming und Bezahldienstleistung; aber auch für obskure Kreuzungen sind sinnvolle Ideen entstanden. Wir sehen also, dass es durchaus spannende Möglichkeiten gibt, auf Basis von existierenden Daten eine innovative Wertschöpfungskette zu entwickeln. Was wir aber auch gesehen haben: Noch sind die Schnittstellen nicht standardisiert – und es ist mit einem großen Aufwand und auch Risiko verbunden, Export und Import zueinander kompatibel zu gestalten.
Was muss auf politischer Ebene passieren, damit das Recht auf Datenportabilität in Zukunft auch wirklich vollumfänglich in Anspruch genommen werden kann?
Kranz: Wenn Datenportabilität wirksam werden soll, muss es technisch einen gewissen Grad an Standardisierung geben. Das würde Unternehmen die Unsicherheit nehmen, welche Datenkategorien zur Verfügung gestellt werden müssen, und wäre praktikabler für Kund:innen. Damit sich Unternehmen auf einen Standard einigen, müssen Politiker:innen aber auch eine Drohkulisse aufbauen – nach dem Motto: „Wenn ihr euch nicht einigt, geben wir den Standard vor!“
Ohne Drohpotenzial werden sich insbesondere die großen Digitalunternehmen nicht bewegen. Es muss aber auch sichergestellt werden, dass der gewählte Standard offen und für alle Seiten praktikabel und sicher ist.
Prof. Dr. Johann Kranz Zum Profil
Großklags: Bei neuen Gesetzesvorhaben ist es sehr wichtig, die praktische Nutzbarkeit nicht aus den Augen zu verlieren – und gleichzeitig auch eine gewisse Begeisterung für die Möglichkeiten und den Nutzen einer neuen Gesetzgebung zu schaffen. Zum Beispiel könnte die Datenschutzbehörde jedes Jahr einen Preis ausloben für die beste Importfunktionalität von deutschen Internetunternehmen – in unterschiedlichen Kategorien wie Großunternehmen, mittelgroße Unternehmen und Kleinunternehmen. Das wäre öffentlichkeitswirksam und könnte auch eine gewisse Begeisterung in der Industrie auslösen.
Auch die Hoffnung auf bessere Etablierungschancen für neue innovative Unternehmen war mit der Verankerung des Rechts verbunden – und damit auf mehr Wettbewerb. Manche Wissenschaftler:innen befürchten aber sogar einen gegenteiligen Effekt: Schließlich sei die Umsetzung des Rechts auf Datenportabilität mit Investitionen verbunden, die sich kleinere Unternehmen unter Umständen nicht leisten können.
Kranz: Diese Befürchtung gibt es, ich ordne mich aber dem anderen Lager zu. Es gibt Standardlösungen zu Datenübertragung – Schnittstellen, die von Programmierer:innen auf der ganzen Welt genutzt werden. Damit sollte die Umsetzung des Rechts auf Datenübertragung auch für Start-ups kein Hemmnis sein.
Wenn Sie jetzt auf die Projektlaufzeit zurückblicken: Was waren die großen Herausforderungen im interdisziplinären Arbeiten mit den drei unterschiedlichen Disziplinen?
Mayr: Die Pandemie! Für unsere allererste Studie hatten wir bereits die Verpflegung für die Teilnehmer:innen besorgt; am Ende ist es eine Onlinestudie geworden. Das war in Ordnung, aber nicht dasselbe. Ansonsten muss ich sagen, dass wir uns disziplinübergreifend sehr gut verstanden haben, bei vielen Dingen inhaltlich enger zusammen waren, als ich das vorher erwartet hätte. Manchmal hatte ich den Eindruck, dass eine juristische Perspektive zusätzlich Gewinn gebracht hätte. Insgesamt war die interdisziplinäre Fächerkombination zu diesem Themenkomplex aber sehr gewinnbringend.
Herzlichen Dank für das Gespräch!
Das Gespräch führte Anja Reiter.
