Zweifelhafte Verantwortung: Die rechtliche Einordnung von Personal Information Management Systemen in der DSGVO und darüber hinaus

Seit einem Jahrzehnt werden PIMS kontrovers erörtert: Sie versprechen gesteigerte Nutzerautonomie, offenbaren aber erhebliche Umsetzungsdefizite. Zentrales ungelöstes Problem ist die Zuordnung von Verantwortlichkeit und Haftung. Zwar konstatiert die European Data Protection Supervisor Klärungsbedarf, doch fehlen belastbare Leitlinien; Literatur und Praxis zeigen keine Konvergenz. Angesichts der weitreichenden Folgen der DSGVO-Rollen (Verantwortliche/r, Auftragsverarbeiter/in, gemeinsam Verantwortliche/r, Dritte/r) untersucht die Arbeit, welche Rolle PIMS zukommt. Teil I definiert PIMS und evaluiert Angebote; Teil II ordnet Rollen zu und identifiziert risikobegründende Inkonsistenzen. Teil III prüft die Möglichkeiten für eine restriktivere PIMS-Definition, sowie alternative Haftungsregime. Schließlich wird eine Erweiterung des von Fashion ID etablierten stufenbasierten Ansatzes vorgeschlagen. Soweit eine Reihe von Verarbeitungsvorgängen einem einheitlichen Gesamtzweck dient und der betroffenen Person als eine konsolidierte Handlung erscheinen, ist dies als eine einzige Verarbeitungstätigkeit anzusehen.