Ein Datenrechte-Audit durchführen, bevor es die Aufsichtsbehörden tun

# Ein Datenrechte-Audit durchführen, bevor es die Aufsichtsbehörden tun

Ein Abonnent eines europäischen Streaming-Dienstes schreibt dem Support eine einfache Frage: „Welche Daten haben Sie über mich, und mit wem haben Sie sie geteilt?" Das ist ein Auskunftsersuchen (Subject Access Request, SAR), ein gesetzliches Recht nach der EU-Datenschutz-Grundverordnung (DSGVO) und der UK GDPR, mit dem jede Person eine vollständige Kopie ihrer personenbezogenen Daten und eine Aufstellung darüber verlangen kann, wohin diese gegangen sind.

Das Streaming-Unternehmen hat 30 Tage Zeit für die Antwort. Das Datenschutzteam zieht den Kundendatensatz und findet: eine Viewing-History, die über drei interne Systeme synchronisiert wird, ein Marketing-Profil, das vor achtzehn Monaten mit einem Ad-Tech-Anbieter geteilt wurde, und ein Consent-Log, dessen Aktualisierungen 2023 enden. Niemand kann bestätigen, ob der Kunde dieser Ad-Sharing-Vereinbarung jemals zugestimmt hat.

Das ist kein hypothetischer Fall. Es ist genau die Lücke, nach der Aufsichtsbehörden, Journalisten und Klägeranwälte aktiv suchen. Diese Lektion baut die Audit-Checkliste, die sie zuerst finden sollte: intern, bevor es ein SAR oder eine Schlagzeile tut.

Warum Medienunternehmen exponiert sind

Medien- und Entertainment-Unternehmen sitzen auf ungewöhnlich reichhaltigen personenbezogenen Daten: Sehgewohnheiten, Hörverlauf, Standort (für die Durchsetzung regionaler Rechte), Zahlungsdaten und Verhaltensprofile für das Ad-Targeting. Dieser Reichtum ist kommerziell wertvoll und rechtlich riskant zugleich.

Drei Regulierungsregime sind 2026 am wichtigsten:

• DSGVO (EU, durchgesetzt von nationalen Datenschutzbehörden, DPAs, wie der irischen Data Protection Commission, die die EU-Aktivitäten vieler US-Tech- und Medienunternehmen beaufsichtigt)
• UK GDPR und Data Protection Act 2018, durchgesetzt vom Information Commissioner's Office (ICO)
• US-Bundesstaatengesetze, allen voran der California Consumer Privacy Act (CCPA) in der Fassung des California Privacy Rights Act (CPRA), durchgesetzt von der California Privacy Protection Agency (CPPA), dazu ähnliche Gesetze, die inzwischen in Colorado, Virginia, Connecticut und anderen Staaten gelten

Ein einheitliches US-Bundesdatenschutzgesetz gibt es 2026 nicht. Dieser Flickenteppich bedeutet: Ein Medienunternehmen, das in den USA, Großbritannien und der EU tätig ist, hat für denselben Kundendatensatz drei unterschiedliche Regelwerke.

Die drei Audit-Säulen

Ein Datenrechte-Audit vor dem Eintreffen einer Aufsichtsbehörde sollte sich auf drei Dinge konzentrieren, die ein SAR, eine behördliche Anfrage oder ein investigativer Journalist immer zuerst prüfen.

1. Consent-Trails

Consent ist keine Checkbox bei der Registrierung. Es ist ein lebendes Record, das zeigen muss: was zugestimmt wurde, wann, unter welcher Version der Datenschutzerklärung, und ob die Zustimmung später widerrufen wurde.

Was zu prüfen ist:

• KKThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen Sie für einen einzelnen Nutzer den exakten Consent-Text produzieren, den ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → gesehen hat, samt Datum der Zustimmung?
• Wenn ein Nutzer seine Zustimmung widerrufen hat (etwa für Marketing-E-Mails), wird dieser Widerruf an jedes System weitergegeben, das seine Daten berührt, einschließlich Ad-Plattformen von Dritten?
• Haben Sie Consent für besondere Kategorien von Daten dokumentiert? Medienunternehmen leiten zunehmend sensible Attribute ab (politische Neigung aus dem Nachrichtenkonsum, Sexualität aus Content-Präferenzen), die die DSGVO als „besondere Kategorien personenbezogener Daten" behandelt, für die eine ausdrückliche Einwilligung nötig ist, nicht nur ein allgemeiner Klick auf die AGB.

Eine häufige Lücke: Consent auf Account-Ebene erfasst, aber nicht auf Geräte- oder Profilebene (man denke an geteilte Familien-Streaming-Accounts mit Kinderprofilen).

2. Aufbewahrungsfristen

Der Grundsatz der Datenminimierung der DSGVO verlangt, personenbezogene Daten nicht länger aufzubewahren als für den angegebenen Zweck erforderlich. Die meisten Medienunternehmen haben ein Dokument zur Aufbewahrungsrichtlinie. Weit weniger haben Systeme, die sie tatsächlich durchsetzen.

Was zu prüfen ist:

• Wählen Sie eine Datenkategorie (sagen wir, Watch History) und fragen Sie: Welche Aufbewahrungsfrist nennt die Richtlinie, und bestätigt eine Abfrage der Produktionsdatenbank, dass Daten jenseits dieser Frist tatsächlich gelöscht oder anonymisiert wurden?
• Sind Backups in die Durchsetzung der Aufbewahrungsfristen einbezogen, oder überleben gelöschte Daten klammheimlich jahrelang in einem Backup?
• Werden die Datensätze ehemaliger Abonnenten gelöscht, oder bleiben sie unbegrenzt liegen, „falls sie wieder abonnieren"?

Eine einfache technische Prüfung, die Aufsichtsbehörden und Auditoren gleichermaßen nutzen:

-- Beispiel-Audit-Abfrage: Datensätze finden, die älter als die angegebene Aufbewahrungsrichtlinie sind
SELECT user_id, data_category, created_at
FROM user_activity_logs
WHERE data_category = 'watch_history'
  AND created_at < NOW() - INTERVAL '24 months'
LIMIT 100;

Wenn diese Abfrage Zeilen zurückgibt und Ihre Richtlinie 24 Monate als Grenze nennt, haben Sie ein Finding, bevor es jemand anders hat.

3. Logs zur Datenweitergabe an Dritte

Hier ist das Streaming-Unternehmen aus unserem Eingangsszenario gescheitert. Medienunternehmen teilen routinemäßig Daten mit Ad Exchanges, Measurement-Partnern (wie Nielsen), Anbietern von Recommendation Engines und Koproduktionspartnern.

Was zu prüfen ist:

• Führen Sie ein lebendes, abfragbares Log über jede dritte Partei, die personenbezogene Daten erhalten hat, welche Daten, und auf welcher Rechtsgrundlage (Einwilligung, Vertrag, berechtigtes Interesse)?
• Nach DSGVO erfordert „berechtigtes Interesse" als Rechtsgrundlage eine dokumentierte Abwägungsprüfung. KKThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen Sie dieses Dokument für jede Vendor-Beziehung auf Anfrage vorlegen?
• Existieren Auftragsverarbeitungsverträge (DPAs, nach Art. 28 DSGVO erforderlich, wenn ein Dritter Daten in Ihrem Auftrag verarbeitet) für jeden Vendor, und sind sie aktuell?

Der Leitfaden zum Data Sharing des britischen ICO ist eine wirklich brauchbare kostenlose Referenz für den Aufbau dieser Log-Struktur.

Die Checkliste bauen: ein durchgespielter Ablauf

Nehmen Sie ein mittelgroßes Streaming- oder Verlagsunternehmen. So sollte eine 90-minütige interne Audit-Session ablaufen:

1. Wählen Sie einen echten Abonnenten-Datensatz. Kein Testaccount, einen echten (mit entsprechender interner Freigabe).

2. Rekonstruieren Sie die SAR-Antwort von Grund auf, als hätte die Person gerade gefragt. Stoppen Sie die Zeit und notieren Sie jedes System, das Sie manuell abfragen mussten.

3. Consent prüfen: Zeigt der Datensatz, wem die Person wann zugestimmt hat?

4. Aufbewahrung prüfen: Sind Daten vorhanden, die nach Ihrer eigenen Richtlinie hätten gelöscht sein müssen?

5. Weitergabe prüfen: KKThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen Sie jede dritte Partei auflisten, die Daten dieser Person erhalten hat, und jeder einen unterzeichneten DPA zuordnen?

Wenn Schritt 2 mehr als einen Tag manueller Arbeit über unverbundene Systeme hinweg kostet, ist das selbst schon ein Finding. Die 30-Tage-Frist der DSGVO für SARs setzt voraus, dass Sie das in der Breite kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen, nicht nur für einen markierten VIP-Account.

Worauf Aufsichtsbehörden und Journalisten tatsächlich schauen

Die Enforcement-Muster von 2019 bis 2025 in EU und Großbritannien zeigen ein konsistentes Bild: Bußgelder und öffentliche Feststellungen zielen selten auf das spektakuläre KI-Modell. Sie zielen auf die langweilige Infrastruktur.

• Meta wurde 2023 von der irischen DPC mit einem Rekordbetrag belegt (breit berichtet mit rund 1,2 Milliarden Euro, hier als bekannte berichtete Zahl behandelt, nicht als neu verifizierte), im Wesentlichen wegen der Rechtsgrundlage für die Übermittlung von EU-Nutzerdaten in die USA, also einer Frage der Rechtsgrundlage für Datenweitergabe.
• Mehrere ICO-Verfahren gegen britische Unternehmen drehten sich um Aufbewahrung: Anrufaufzeichnungen, Videoüberwachung oder Kundendatensätze wurden weit über die erklärte Richtlinie hinaus aufbewahrt.
• Journalisten, die zu Adtech recherchieren (siehe Berichterstattung von Redaktionen wie The Markup, einer gemeinnützigen Redaktion mit Fokus auf Technologie-Accountability), bauen ihre Geschichten routinemäßig genau um diese Lücke: was eine Datenschutzerklärung verspricht versus was ein Mitschnitt des Netzwerkverkehrs an tatsächlicher Weitergabe zeigt.

Das Muster: Die Audit-Kategorien dieser Lektion (Consent, Aufbewahrung, Weitergabe) sind nicht willkürlich. Es sind die drei Stellen, an denen jede ernsthafte externe Untersuchung beginnt, weil es die drei Stellen sind, an denen Richtlinie und Praxis am häufigsten auseinanderlaufen.

🎬 [VIDEO: "GDPR Explained" - https://www.youtube.com/results?search_query=gdpr+explained+ico - ein kurzer Erklärfilm zu den zentralen DSGVO-Rechten einschließlich Auskunftsersuchen, nützlich als Auffrischung vor dem eigenen Audit]

Wichtigste Erkenntnisse

• Ein Auskunftsersuchen ist ein Stresstest: Wenn Sie den vollständigen Daten-Footprint eines Kunden (was Sie halten, warum, und wer sonst noch darüber verfügt) nicht innerhalb Ihrer eigenen SAR-Frist rekonstruieren kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen, haben Sie eine Governance-Lücke, die Aufsichtsbehörden irgendwann finden werden.
• Prüfen Sie gezielt drei Säulen: Consent-Trails (wem wurde wann zugestimmt), Aufbewahrungsfristen (werden alte Daten tatsächlich gelöscht, auch in Backups) und Logs zur Datenweitergabe an Dritte (jeder Vendor, zugeordnet zu einer Rechtsgrundlage und einem unterzeichneten Auftragsverarbeitungsvertrag).
• Führen Sie das Audit an einem echten Datensatz durch, nicht an einem Testaccount, und stoppen Sie, wie lange eine vollständige Rekonstruktion dauert. Manuelle, mehrtägige Rekonstruktionen über unverbundene Systeme hinweg sind selbst schon ein Finding.
• Die Regeln in den USA, Großbritannien und der EU unterscheiden sich (CCPA/CPRA versus UK GDPR versus EU-DSGVO); ein global tätiges Medienunternehmen muss die Compliance gegen jedes Regime einzeln prüfen und darf nicht annehmen, dass eine Richtlinie alle drei erfüllt.
• Die bisherige Durchsetzungspraxis (Metas DPC-Bußgeld, ICO-Fälle zur Aufbewahrung, Adtech-Journalismus) zeigt: Aufsichtsbehörden und Reporter zielen auf die Infrastruktur, nicht auf die Schlagzeilen. Prüfen Sie zuerst die langweiligen Systeme.