Personenbezogene Daten im Data Act

In Folge 47 des Data Navigator Podcast widmen sich Martin
Schirmbacher und Hubertus von Rönne einem Thema, das seit
Inkrafttreten des Data Act immer wieder als Totschlagargument ins
Feld geführt wird: DSGVO als vermeintlicher Blocker für
Datenherausgabeansprüche. Anlass ist unter anderem die 3.
Denkwerkstatt der Bundesdatenschutzbeauftragten zum Data Act, die
in der Vorwoche stattgefunden hat. Die Ausgangslage ist klar: Der
Data Act gilt ausdrücklich auch für personenbezogene Daten. Im
Konfliktfall geht die DSGVO vor – aber einen solchen Konflikt gibt
es in der Praxis kaum. Das zentrale Werkzeug zur Auflösung
vermeintlicher Spannungen ist der relative Personenbezug: Ob Daten
personenbezogen sind, beurteilt sich nicht abstrakt, sondern aus
Sicht des jeweiligen Verantwortlichen. Am Busfahrer-Beispiel machen
Martin und Hubertus das greifbar: Für die Berliner BVG haben die
Fahrerdaten Personenbezug – sie weiß, wer wann welchen Bus gefahren
hat. Für den Bushersteller, der nur Fahrzeugdaten ohne Login
empfängt, fehlt diese Zuordnung in der Regel. Im Windpark-Beispiel
kann es umgekehrt sein: Der Hersteller kennt seine
Wartungsmitarbeiter, der Windparkbetreiber in aller Regel nicht.
Daraus folgt ein wichtiges Zwischenergebnis: Derselbe Datensatz
kann für die eine Seite personenbezogen sein und für die andere
nicht – und in der Data-Act-Konstellation ist es häufig so, dass
gerade der Empfänger keinen Personenbezug herstellen kann. Wo doch
Personenbezug beim Empfänger entsteht, braucht dieser eine
Rechtsgrundlage nach der DSGVO – typischerweise berechtigte
Interessen. Der Hersteller wiederum kann sich für die Übermittlung
auf Art. 6 Abs. 1 S. 1 lit. c DSGVO (rechtliche Verpflichtung aus
dem Data Act) stützen. Im letzten Teil ordnen Martin und Hubertus
die Zuständigkeitsfragen: Die Bundesnetzagentur ist im Lead für
Data-Act-Beschwerden, muss aber die BfDI einbinden, sobald es um
personenbezogene Daten geht. Die Landesdatenschutzbehörden bleiben
für klassische DSGVO-Verstöße zuständig – etwa wenn ein Landwirt
nicht möchte, dass John Deere seine personenbezogenen Daten
verarbeitet.