Die Firma 23andMe hat – auch in Folge eines früheren Datenlecks – Insolvenz angemeldet, nun soll sie verkauft werden. Millionen Menschen haben dem Unternehmen in den vergangenen Jahren Speichelproben geschickt, damit ihr Genom analysiert wird. Der kalifornische Justizminister Rob Bonta hat darauf hingewiesen, dass Kunden das Recht haben, ihre Daten zu löschen, sonst könnte der Käufer sie womöglich zu fragwürdigen Zwecken nutzen. Raten Sie Kunden in Deutschland auch hierzu?
Bisher ist unklar, wer die Firma erwerben wird. Nach europäischem Recht dürften die Daten nicht zu anderen Zwecken verwendet werden als für die, für die sie erhoben worden sind. Die Befürchtung ist natürlich, dass es anders kommen könnte. Wäre ich Betroffener, würde ich meine Daten löschen lassen.
Genetische Daten sind äußerst sensibel, nicht nur für einen selbst, sondern auch Familienangehörige. Gab es in Deutschland ähnliche Fälle?
Auch in der analogen Welt stellen sich ähnliche Fragen – etwa in Krankenhäusern, die stillgelegt wurden und in deren Kellern Patientenakten ungeschützt lagern. Übernimmt der Käufer des Gebäudes dann die Daten? Wer ist verpflichtet, sie zu vernichten? Nach der Datenschutz-Grundverordnung können in Europa lebende Menschen die Löschung verlangen. Dem nicht nachzukommenm wäre rechtswidrig – auch für 23andMe.
Die Firma sagt, sie sei rechtlich verpflichtet, einen Teil der Daten vorzuhalten.
Der kalifornische Justizminister hat erklärt, dass dies nicht für kalifornische Bürgerinnen und Bürger gelten kann. Wenn das der Fall ist, muss logischerweise auch die Datenschutzgrundverordnung greifen, sodass es für europäische Bürger genauso wenig gilt. Sonst hätte der Anbieter auch kommunizieren müssen, dass er aufgrund amerikanischen Rechts die Datenschutz-Grundverordnung nicht einhalten kann – und es hätte zur Datenerhebung erst gar nicht kommen dürfen. Die Menschen haben das Recht, dass ihre digitalen Daten gelöscht und auch ihre biologischen Proben vernichtet werden.
Die Nutzerinnen und Nutzer haben offenbar mit den Nutzungsbedingungen akzeptiert, dass bei einem Verkauf unklar ist, was mit den Daten gemacht wird.
Diese Bedingungen lösen nicht die Rechte aus der Datenschutz-Grundverordnung ab, die eine Zweckbindung der Daten vorgibt. Hält der Käufer der Firma sich an die Zweckbindung, ist alles rechtens. Wenn ich selbst betroffen wäre, würde ich darauf nicht bauen – die Firma hat durch bisherige Äußerungen schon viel Vertrauen verspielt.
Viele haben auch eingewilligt, dass 23andMe die Daten zu Forschungszwecken nutzen darf. Ist das nicht ein recht weites Feld, und wäre damit nicht ein gewisser Missbrauch möglich?
Aus gutem Grund gibt es auch in der EU eine Privilegierung von Forschung. Wenn es sich um einen europäischen Kunden handelt, muss sich auch ein amerikanisches Unternehmen an die Datenschutz-Grundverordnung halten. Nach dieser müssen Einwilligungen freiwillig, informiert und konkret sein. Eine Zustimmung, dass irgendetwas mit den Daten gemacht werden darf, wenn man nur den Begriff Forschung verwendet, erfüllt diese Bedingungen nicht und ist damit ungültig.
