Als der österreichische Jurist Max Schrems vor einigen Jahren bei Facebook alle über ihn gespeicherten Daten anforderte, kam dabei ein Paket mit mehr als 1200 Seiten heraus. Ab Ende Mai, so könnte man zumindest meinen, kann er dieses Paket nehmen und zu einer anderen Plattform umziehen. Dieser Gedanke steckt zumindest hinter dem neuen Recht auf Datenportabilität, das die europäische Datenschutz-Grundverordnung (DSGVO) in Art. 20 vorsieht. Die EU-Kommission erhofft sich davon: mehr Wettbewerb, mehr Kontrolle der Nutzerinnen und Nutzer über ihre Daten – und am Ende sollen irgendwie alle davon profitieren.
Ganz so einfach ist es allerdings nicht, hat der Wirtschaftsingenieur Michael Wohlfarth herausgefunden. Wohlfarth promoviert an der Universität Passau am Lehrstuhl für Wirtschaftsinformatik mit Schwerpunkt Internet- und Telekommunikationswirtschaft unter der Leitung von Prof. Dr. Jan Krämer. Er hat sich intensiv mit dem neuen Recht befasst und gleich mehrere Haken gefunden – auch aus Sicht der Nutzerinnen und Nutzer.
Michael Wohlfarth hat seine Erkenntnisse unter anderem auf der 38th International Conference on Information Systems 2017 in Südkorea vorgestellt und veröffentlicht. Sein Aufsatz „Data Portability on the Internet: An Economic Analysis“ wurde zudem auf der „28th European Conference of the International Telecommunications Society (ITS)“, die 2017 in Passau stattgefunden hat, mit dem „Best Student Paper Award“ ausgezeichnet.
Folgende Schwierigkeiten sieht er:
Es ist nicht klar geregelt, um welche Daten es gehen soll.
In der Verordnung heißt es: „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen“ (Art. 4 Abs. 1 DSGVO). Also jegliches Datum, das in irgendeiner Form personenbezogen ist. Das wären: Name, Adresse, Geburtsdatum, Telefonnummer, Kontodaten. Und sonst? Was ist mit Suchanfragen wie „Zahnarzt, Passau“? Michael Wohlfarth sagt: „Auch solche individuellen Anfragen können personenbezogen sein und müssten konsequenterweise so exportiert werden können.“ Offen ist allerdings, ob das Kriterium auch auf solch observed data zutrifft. Das sind Daten, die der Dienst aus den Aktivitäten und Präferenzen der Nutzerinnen und Nutzer erhält. Ausdrücklich ausgenommen sind hingegen third-party data, Daten Dritter. Dazu zählen etwa Empfehlungen Dritter auf LinkedIn oder Pinnwand-Posts anderer Nutzerinnen und Nutzer auf Facebook. Schwierig, denn auch hier handelt es sich in irgendeiner Art und Weise um personenbezogene Daten.
Die technische Umsetzung ist offen.
Zur technischen Umsetzung findet sich in der Verordnung lediglich folgende Anforderung: Die Daten müssen automatisch verarbeitet werden, sie müssen in einem „strukturierten, gängigen maschinenlesbaren Format“ bereitgestellt werden und sollen „direkt […] übermittelt werden, soweit dies technisch machbar ist.“ (Art. 20 Abs. 1 und Abs. 2 DSGVO). Konkreter wird die Verordnung nicht. Sie überlässt es der Industrie, sich auf ein gemeinsames Format zu einigen. Das hätte letztere seit 2016 tun können. Passiert ist allerdings wenig, wie Wohlfarth beobachtet hat. „Es wird sich erst zeigen, wie das Recht in der Praxis umgesetzt wird.“ Mögliche Verzögerungen versucht die Verordnung mit Hilfe von Strafen zu unterbinden: „Wer das Recht nicht umsetzt, dem droht eine Geldbuße von bis zu vier Prozent seines Jahresumsatzes“, sagt Wohlfarth. Im Falle von Facebook wären das etwa 1,6 Milliarden US-Dollar. Es bleibt abzuwarten, ob das reicht, um die Plattformen zur zügigen Umsetzung des Rechts zu bewegen.
Datenportabilität setzt bei neuen Wettbewerbern Anreize, noch mehr Daten zu sammeln.
Mal angenommen, das Recht auf Datenportabilität ließe sich völlig unkompliziert umsetzen: Alle Daten werden übertragen, die Kundschaft bekommt davon nichts mit und bei den Unternehmen verursacht dies keinerlei Kosten. Eine Nutzerin kann also bedenkenlos wechseln. Sie muss weder ihre Daten mühsam neu eingeben noch hoffen, dass der neue Algorithmus möglichst schnell aus ihren Präferenzen lernt. Die neue Plattform zieht sich alle Informationen einfach aus dem Paket des alten Monopolisten.
Das wäre der ideale Zustand. Selbst in diesem Fall hat das neue Recht Tücken, wie Wohlfarth anhand einer Modellrechnung zeigt: Denn die neue, konkurrierende Plattform hat einen Anreiz, mehr Daten zu sammeln. Das ist schlecht für Nutzerinnen und Nutzer. Der Monopolist hingegen wird weniger Daten sammeln, da er befürchten muss, dass die neue Konkurrenz diese Datenpakete abgreift. Das Fazit des Wirtschaftsingenieurs fällt gemischt aus: Das Datenvolumen steigt in vielen Fällen, allerdings steigt auch die Gesamtwohlfahrt. Denn höhere Profite für neue Plattformen und der größere Anreiz in den Markt einzutreten können die negativen Effekte für die Nutzerinnen und Nutzer überwiegen.
Aus Sicht des Nachwuchsforschers hat das Recht also seine Daseinsberechtigung. Zumal sich zeigen lässt, dass sich die negativen Effekte dämpfen lassen: Das Recht, Daten mitzunehmen, sollte nicht alle Daten umfassen. Das ist tatsächlich der Fall, denn das neue Recht schließt – wie oben beschrieben – Daten Dritter aus.
Hat die EU-Kommission also alles richtig gemacht? Naja, sagt Wohlfarth. Noch besser wäre es, wenn das Recht auch konkreter würde, was die geforderte Umsetzung betrifft. Denn hier sieht er einen großen Haken:
Wenn die Kosten zu hoch sind, verlieren alle.
Angenommen, das neue Recht auf Datenportabilität verursacht bei den Unternehmen hohe Kosten: „In diesem Fall können alle verlieren“, sagt Wohlfarth. Denn: Es kommt dann gar nicht dazu, dass neue Wettbewerberinnen und Wettbewerber in den Markt eintreten. Die Kosten sind einfach zu hoch. Es bleibt beim alten Monopolisten, der ebenfalls schlechter gestellt wird, weil er das neue Recht teuer umsetzen muss. Die Nutzerinnen und Nutzer bleiben eingesperrt auf der alten Plattform, sie haben keine Möglichkeit, zu einer neuen Konkurrenz zu wechseln.
Netzwerkeffekte schlagen Datenportabilität.
Wenn nun die Kosten im Rahmen bleiben, gibt es allerdings im Falle der Tech-Giganten eine Hürde, die sich auch mit dem Recht auf Datenportabilität nicht überwinden lässt: die Netzwerkeffekte. Diese beschreiben das Phänomen, das Plattformen wie Facebook groß gemacht hat: Mit der Zahl der Nutzerinnen und Nutzer steigt der Wert des Gutes, respektive der Plattform. „Netzwerkeffekte kann ich mit einem Recht auf Datenportabilität nicht portieren“, sagt Wohlfarth.
Das Recht auf Datenportabilität ist aus Sicht des Wirtschaftsingenieurs dennoch ein Schritt in die richtige Richtung: „Wenn die Politik Anreize setzen will, dass neue Dienste auf den Markt kommen, dann sollte Datenportabilität strikt, mit nur wenigen Ausnahmen, umgesetzt werden“, schreibt Wohlfarth in seiner Analyse.
Dieser Text ist als Gastbeitrag auf dem Blog des Autoren Christian Jakubetz erschienen.
