Datenschutzauskunftsersuchen zeigen, wie schlecht viele Unternehmen mit Verbraucherdaten umgehen

Verbraucherdatenrechte prallen auf chaotische Systeme in der Praxis

Ein jüngster Test von mehr als 100 Auskunftsersuchen zu Verbraucherdaten legt nahe, dass ein auf dem Papier garantiertes Recht in der Praxis dennoch massiv scheitern kann. Die Berichterstattung zeigte, wie uneinheitlich Unternehmen reagierten, wenn sie aufgefordert wurden, Kopien personenbezogener Informationen bereitzustellen, die nach dem California Consumer Privacy Act, kurz CCPA, erhoben wurden. Einige Firmen lieferten umfangreiche Dossiers mit Nutzerdaten. Andere sorgten für Verwirrung, verursachten Verzögerungen oder schienen ein Auskunftsersuchen so zu behandeln, als handele es sich um eine Aufforderung, Aufzeichnungen vollständig zu löschen.

Das Ergebnis ist ein Bild eines Datenschutzregimes, das zwar existiert, für gewöhnliche Menschen aber oft schwer zu nutzen bleibt. Der CCPA gewährt Menschen mehrere wichtige Rechte, darunter die Möglichkeit, dem Verkauf von Daten zu widersprechen, die Löschung zu verlangen und eine Kopie der Informationen anzufordern, die ein Unternehmen über sie gespeichert hat. In diesem Fall konzentrierte sich die Berichterstattung nur auf das Auskunftsrecht, also auf eine prinzipiell relativ einfache Forderung: Sag einer Person, welche Daten über sie gesammelt wurden.

Stattdessen kam es häufig zu administrativen Reibungsverlusten. Der Prozess erforderte das Auffinden der zugelassenen Einreichungskanäle, das Navigieren durch Webformulare, E-Mails und in den Datenschutzerklärungen aufgeführte Telefonnummern sowie wiederholte Schritte zur Identitätsprüfung. Unternehmen dürfen sich Zeit lassen, um diese Anfragen zu erfüllen, doch die Berichterstattung zeigte, dass der Weg zur Einhaltung schon vor Ablauf der Wartefrist beschwerlich sein kann.

Wenn Auskunftsersuchen mit Löschanfragen verwechselt werden

Einer der auffälligsten in der Berichterstattung beschriebenen Mängel war nicht nur die Verzögerung, sondern die Verwechslung der Kategorien. Berichten zufolge antworteten einige Unternehmen auf Auskunftsersuchen mit Nachrichten über das Löschen von Informationen, obwohl ausdrücklich etwas anderes angefordert worden war. Das ist wichtig, weil Auskunft und Löschung keine austauschbaren Rechte sind. Ein Verbraucher, der wissen will, was ein Unternehmen über ihn weiß, stellt eine andere rechtliche und praktische Anfrage als jemand, der die Entfernung von Aufzeichnungen verlangt.

Wenn ein Unternehmen diese beiden Anfragen nicht zuverlässig unterscheiden kann, wirft das weitergehende Fragen danach auf, wie ausgereift seine Datenschutzprozesse wirklich sind. Ein funktionierendes Compliance-System sollte in der Lage sein, den Anfrage-Typ zu erkennen, ihn korrekt weiterzuleiten und klar mit dem Verbraucher zu kommunizieren. Wenn das nicht geschieht, fällt die Last wieder auf die betroffene Person zurück, die das Unternehmen korrigieren, den Prozess überwachen und hoffen muss, dass nicht bereits eine unerwünschte Maßnahme erfolgt ist.

Die Berichterstattung enthielt ein Beispiel mit Crunchbase, bei dem eine per E-Mail eingereichte Auskunftsanfrage angeblich den klaren Hinweis enthielt, dass keine Löschung verlangt werde. Dennoch kam es früh im Prozess zu Verwirrung. Solche Störungen deuten auf eine wiederkehrende Schwäche in der Datenschutzverwaltung hin: Richtlinien können juristisch präzise formuliert sein, während die Umsetzung von fragmentierten Arbeitsabläufen, ausgelagertem Support oder schlecht integrierten Compliance-Tools abhängt.

Manche Unternehmen können umfassende Datensätze schnell bereitstellen

Die Berichterstattung zeigte auch, dass robuste Antwortsysteme möglich sind. Eine an McDonald’s gerichtete Anfrage führte innerhalb weniger Tage zu einem 515-seitigen Bericht, der App-Interaktionen sehr detailliert dokumentierte. Diese Antwort veranschaulicht zwei parallele Realitäten der modernen Datenökonomie. Erstens sammeln und speichern viele Unternehmen weit mehr Verhaltensdaten, als die meisten Nutzer vermutlich annehmen. Zweitens haben zumindest einige Unternehmen die interne Infrastruktur aufgebaut, um diese Informationen bei Bedarf schnell abzurufen und aufzubereiten.

Diese beiden Realitäten sind gemeinsam wichtig. Ein Unternehmen, das so detailliert antworten kann, zeigt, dass Compliance operativ machbar ist. Doch der enorme Umfang des zurückgegebenen Datensatzes macht auch deutlich, wie tief digitale Dienste Nutzeraktivitäten beobachten und speichern. Auskunftsersuchen testen daher nicht nur die rechtliche Compliance, sondern legen auch die zugrunde liegende Menge und Beschaffenheit der Erfassung personenbezogener Daten offen.

Für Verbraucher kann das aufschlussreich sein. Der Blick in den tatsächlichen Datensatz kann zeigen, wie viele Informationen eine mobile App, eine Treueplattform oder ein Online-Dienst im Laufe der Zeit gesammelt hat. Für Aufsichtsbehörden und Befürworter können solche Offenlegungen helfen, Behauptungen über Datenschutz von den tatsächlichen Fähigkeiten und Praktiken innerhalb eines Unternehmens zu trennen.

Datenschutzrecht ist nur so wirksam wie die Prozesse dahinter

Verbraucherschützer, die in der Berichterstattung zitiert wurden, reagierten scharf auf den Fehlumgang mit einigen Anfragen. Ihre Kritik zielte auf ein bekanntes politisches Problem: Rahmenwerke, die darauf angewiesen sind, dass Unternehmen verantwortungsvoll und nach bestem Wissen handeln, können auf dem Papier stark aussehen und in der Praxis dennoch uneinheitliche Ergebnisse liefern. Ist die Erfahrung langsam, verwirrend oder fehleranfällig, geben viele Menschen einfach auf, bevor sie das Recht überhaupt ausüben.

Diese praktische Hürde kann ebenso bedeutsam sein wie eine formelle Ablehnung. Rechte, die Beharrlichkeit, technisches Verständnis und wiederholtes Nachfassen erfordern, sind weniger zugänglich als Rechte, die sich über einen vorhersehbaren, gut gestalteten Prozess ausüben lassen. Das Gesetz kann festlegen, was passieren muss, aber der Verbraucher erlebt nur die Oberfläche, das Supportsystem und das Ergebnis.

Unter diesen Beispielen steckt auch eine Governance-Frage. Wenn Unternehmen in ihren Datenschutzhinweisen die Einreichungsmethoden angeben müssen, dann aber die Bearbeitung von Anfragen über genau diese Wege verweigern, ist das Problem nicht mehr nur Unbequemlichkeit. Dann stellt sich die Frage, ob Offenlegung, Compliance-Operationen und kundennahe Praxis aufeinander abgestimmt sind.

• Die Berichterstattung konzentrierte sich auf Auskunftsersuchen, nicht auf Lösch- oder Widerspruchsersuchen.
• Unternehmen können bis zu 45 Tage für die Bearbeitung von Anfragen benötigen.
• Einige Antworten verwechselten Berichten zufolge Auskunftsrechte mit Löschabläufen.
• Mindestens ein Unternehmen lieferte innerhalb weniger Tage eine sehr detaillierte personenbezogene Datendatei zurück.

Die übergeordnete Lehre ist, dass die Durchsetzung von Datenrechten heute stark von operativer Kompetenz abhängt. Verbraucher interagieren nicht direkt mit Gesetzen; sie interagieren mit Portalen, E-Mails, Callcentern und Verifizierungssystemen. Sind diese Systeme schlecht gestaltet, wird das Recht selbst dann fragil, wenn das Gesetz klar ist.

Für die Datenschutzdebatte ist das ein wichtiges Signal. Die nächste Phase des Verbraucherdatenschutzes könnte weniger davon abhängen, neue Rechtekategorien zu schaffen, als vielmehr davon, bestehende Rechte nutzbar, verlässlich und schwer falsch zu handhaben zu machen. Auskunftsrechte sollen Datenerhebung für die Öffentlichkeit nachvollziehbar machen. Wenn Unternehmen sie nicht sauber verarbeiten können, offenbaren sie nicht nur Lücken bei der Compliance, sondern auch den noch unvollendeten Zustand digitaler Rechenschaftspflicht.

Dieser Artikel basiert auf einer Berichterstattung von Ars Technica. Den Originalartikel lesen.