Data Act by Design

In Folge 45 des Data Navigator Podcast sprechen Martin Schirmbacher
und Hubertus von Roenne mit Max von Grafenstein, Professor für
Digitale Selbstbestimmung an der UdK Berlin und Ko-Leiter des
Forschungsprogramms „Daten, Akteure, Infrastrukturen: Governance
datengetriebener Innovation und Cybersicherheit“ am
Alexander-von-Humboldt-Institut für Internet und Gesellschaft, über
das Verhältnis von Regulierung, Innovation und Datenteilen. Max
bringt eine forschungsbasierte Perspektive ein: Aus der Arbeit mit
rund 140 Startups hat er empirisch untersucht, wie Regulierung auf
Innovation wirkt. Sein kontraintuitives Ergebnis: Das
datenschutzrechtliche Zweckbindungsprinzip sei nicht
innovationsfeindlich, sondern könne Innovation sogar fördern – wenn
es richtig angewendet wird. In der Praxis allerdings sind wir davon
weit entfernt. Das zentrale Problem beschreibt Max mit dem
volkswirtschaftlichen Market-of-Lemons-Modell (Akerlof): Wenn
Nutzer nicht intuitiv erkennen können, welcher Dienst welche
Datenschutzqualität hat, entstehe eine Abwärtsspirale. Das
sogenannte Privacy-Paradox sei kein irrationales Verhalten der
Nutzer, sondern Folge dieser Intransparenz. Die Lösung liege in
UX-Forschung: Transparenz- und Interventionsmechanismen
(Einwilligung, Widerspruch) müssten so gestaltet werden, dass sie
tatsächlich funktionieren. Übertragen auf den Data Act ergebe sich
daraus eine konkrete Aufgabe: Damit der Datenaustausch zwischen
Dateninhaber, Nutzer und Drittem funktioniert, brauche es intuitive
visuelle Entscheidungsmasken für Data Requests sowie eine Art
Datenkatalog, über den Dritte herausfinden können, welche Daten
verfügbar sind. Zur Frage, warum Dateninhaber trotz fehlender
rationaler Gründe blockieren, identifiziert Max zwei Ursachen:
erstens eine verhaltensökonomische Verlustangst und zweitens reale
Kostenbelastung durch den operativen Aufwand der
Datenbereitstellung. Seine Formel für freiwilliges Datenteilen:
Daten werden nur geteilt, wenn die erwarteten Mehrwerte deutlich
größer sind als Compliance-Risiken plus Compliance-Kosten. Dieselbe
Logik gelte spiegelbildlich für den Rechtsanspruch des Nutzers. Zum
Digitalen Omnibus berichten Martin und Hubertus: Das Grundprinzip
des Data Act bleibt erhalten, der Data Governance Act soll
integriert werden, der Geschäftsgeheimnisschutz wird leicht
verschärft. Die Versuche, den Direct Access durch Indirect Access
zu ersetzen, seien allerdings besorgniserregend – VW habe gerade
erst vorhandene Schnittstellen gekappt. Seine Empfehlung am
Schluss: Unternehmen sollten nicht im Risiko-, sondern im
Use-Case-Denken anfangen. Die Bundesnetzagentur solle ein
Use-Case-Repository aufbauen – mit anonymisierten positiv und
negativ beschiedenen Fällen, die Startups ohne teure Rechtsberatung
nachbauen können.