Als die EU Datenschutzgrundverordnung (DSGVO) umgesetzt wurde, habe ich aus eigenem Interesse an viele Dienstleister Anfragen nach Artikel 15 (Auskunftsrecht der betroffenen Person) gestellt. Das waren anfangs meist E-Mails. Langsam setzten sich mehr und mehr integrierte Funktionen (Formulare und ähnliches) durch. So wurden teils auch die Daten, die ich anfragte, umfangreicher. Bei Amazon waren zum Beispiel alte Daten dabei, die es zu früheren Anfragezeitpunkten auch schon gab. Ungefähr zu der Zeit haben Letty und Katharina Nocum auf dem 35C3 ihren Talk (Video) zu archäologischen Studien im Datenmüll gehalten. Neugierig, was sich seitdem tat, suchte ich nach wissenschaftlichen Veröffentlichungen – und fand fast nichts. Cookie Banner und Tracking wird sehr häufig betrachtet, aber nicht Artikel 15.
Basierend auf einer Bachelorarbeit und einer eigenen Studie haben wir auf dem ARES-Workshop IWAPS einen aktuellen Einblick in die Praxis von DSGVO Artikel 15 Anfragen und Antworten gegeben. Siehe dazu auch die Autorenversion auf arxiv.org. Insbesondere „kleinere“ Dienstleister setzen noch auf E-Mail und wissen teils nicht, was sie bei diesen Anfragen tun müssen. Während der Studie gab es ein paar Verbesserungen bei den Dienstleistern, allerdings haben wir auch einige Pattern gesehen, die negativ zu bewertend sind. Ich bin gespannt, ob diese in weiteren Studien bestätigt oder entkräftigt werden können und was noch herauszufinden ist.
Leider wurde das Paper von Nils Gruschka und mir auf dem APF 2023 zwar akzeptiert, aber noch nicht veröffentlicht. Hier haben wir 1) Datenauskünfte von mehreren Benutzern untereinander, 2) diese mit der Datenschutzerklärung und 3) alte und neue Datenauskünfte eines Benutzers bei Twitter/X verglichen. Wir konnten eine Verschiebung von maschinenlesbar (Artikel 20) zu nutzerfreundlich und verständlich (Artikel 15) feststellen. Die Privatsphäreneinstellungen und das Verhalten wirkten sich auf die erhaltenen Daten aus. Beides muss aber in zukünftigen Studien noch weiter untersucht werden, für Twitter/X, aber auch für andere Dienstleister.