Das Recht auf Datenübertragbarkeit ist ein Betroffenenrecht auf Erhalt bereitgestellter personenbezogener Daten in einem strukturierten, gängigen und maschinenlesbaren Format und auf deren Übermittlung an einen anderen Verantwortlichen, sofern die Verarbeitung auf Einwilligung oder Vertrag beruht und automatisiert erfolgt.
Auf einen Blick
Das Recht besteht für Daten, die die betroffene Person einem Verantwortlichen bereitgestellt hat, sofern die Verarbeitung auf einer Einwilligung oder einem Vertrag beruht und automatisiert erfolgt; nach dem EDPB müssen diese drei Voraussetzungen gleichzeitig erfüllt sein.
Gegenstand sind Daten, die die betroffene Person einem Verantwortlichen bereitgestellt hat; dazu gehören auch beobachtete Daten zu ihrem Verhalten.
Der Verantwortliche stellt Informationen über die auf Antrag nach den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung; die Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist, und der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über die Fristverlängerung, zusammen mit den Gründen für die Verzögerung (Art. 12 Abs. 3 DSGVO).
Was ist das Recht auf Datenübertragbarkeit?
Datenportabilität im Sinne von Art. 20 DSGVO setzt nach dem EDPB drei Voraussetzungen voraus, die gleichzeitig erfüllt sein müssen: Die Verarbeitung beruht auf einer Einwilligung oder einem Vertrag, sie erfolgt automatisiert, und die betroffene Person hat die Daten selbst zur Verfügung gestellt. Erfasst sind personenbezogene Daten, die die betroffene Person einem Verantwortlichen bereitgestellt hat; nach dem EDPB gehören dazu auch Daten, die ein Unternehmen anhand des Verhaltens der betroffenen Person beobachtet hat. Um bei automatisierter Verarbeitung eine bessere Kontrolle über die eigenen Daten zu haben, sollte die betroffene Person nach den Erwägungsgründen der DSGVO berechtigt sein, die bereitgestellten Daten zu erhalten und einem anderen Verantwortlichen zu übermitteln.
Wechselt ein Kunde den Versicherer, kann der Kunde die von ihm selbst bereitgestellten Daten in einem strukturierten, gängigen und maschinenlesbaren Format verlangen, sofern die Verarbeitung auf Einwilligung oder Vertrag beruht und automatisiert erfolgt. Nach den Leitlinien WP 242 ist die Datenübertragbarkeit mit dem Auskunftsrecht eng verbunden, unterscheidet sich aber in vielerlei Hinsicht davon und ergänzt das Auskunftsrecht. Nach dem EDPB betrifft das Recht keine Daten, die die Organisation selbst auf der Grundlage der bereitgestellten Daten erstellt.
Wie funktioniert das Recht auf Datenübertragbarkeit?
Die betroffene Person erhält die Daten in einem strukturierten, gängigen und maschinenlesbaren Format; nach dem EDPB gehören XML, JSON und CSV zu den gängigen Formaten, die dieses Kriterium erfüllen. Zusätzlich kann die betroffene Person nach Art. 20 Abs. 2 DSGVO erwirken, dass die Daten direkt von einem Verantwortlichen einem anderen Verantwortlichen übermittelt werden, soweit dies technisch machbar ist. Die Ausübung des Rechts lässt das Recht auf Löschung nach Art. 17 DSGVO unberührt (Art. 20 Abs. 3 DSGVO).
Der Verantwortliche stellt Informationen über die ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung (Art. 12 Abs. 3 DSGVO); diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist, und der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über die Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Das Recht gemäß Absatz 1 darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen (Art. 20 Abs. 4 DSGVO).
Recht auf Datenübertragbarkeit im Vergleich
| Kriterium | Recht auf Datenübertragbarkeit | Auskunftsrecht |
|---|---|---|
| Gegenstand | Bereitgestellte Daten in einem strukturierten, gängigen und maschinenlesbaren Format erhalten und übermitteln, unter den Voraussetzungen des Art. 20 Abs. 1 DSGVO. | Bestätigung, ob betreffende personenbezogene Daten verarbeitet werden, und Auskunft über diese Daten und weitere Informationen (Art. 15 Abs. 1 DSGVO). |
| Umfang | Bereitgestellte Daten; nach dem EDPB keine Daten, die die Organisation selbst auf dieser Grundlage erstellt. | Nach dem BfDI nicht nur Stammdaten wie Name, Adresse und Geburtsdatum, sondern beispielsweise auch die geführte Kommunikation und interne Vermerke, soweit diese personenbezogene Daten der betroffenen Person enthalten. |
| Voraussetzungen | Einwilligung oder Vertrag und automatisierte Verarbeitung für bereitgestellte Daten (Art. 20 Abs. 1 DSGVO). | Nach dem BfDI keine Begründung erforderlich. |
| Verhältnis | Ergänzt das Auskunftsrecht und unterscheidet sich in vielerlei Hinsicht davon (WP 242). | Mit der Datenübertragbarkeit eng verbunden (WP 242). |
Wann besteht das Recht auf Datenübertragbarkeit?
| Voraussetzung | Was das bedeutet |
|---|---|
| Bereitgestellte Daten | Es geht um personenbezogene Daten, die die betroffene Person einem Verantwortlichen bereitgestellt hat (Art. 20 Abs. 1 DSGVO). |
| Einwilligung oder Vertrag | Die Verarbeitung beruht auf einer Einwilligung oder auf einem Vertrag (Art. 20 Abs. 1 Buchst. a DSGVO). |
| Automatisierte Verarbeitung | Die Verarbeitung erfolgt mithilfe automatisierter Verfahren (Art. 20 Abs. 1 Buchst. b DSGVO); nach dem EDPB bedeutet das, dass es sich nicht um Papierdokumente handelt. |
| Ausnahme | Das Recht gilt nicht für eine Verarbeitung, die für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde (Art. 20 Abs. 3 DSGVO). |
| Direkte Übermittlung | Eine direkte Übermittlung von Verantwortlichem zu Verantwortlichem kann die betroffene Person erwirken, soweit dies technisch machbar ist (Art. 20 Abs. 2 DSGVO). |
Schutz im Ernstfall
Vorbeugen
- Bereitgestellte Daten in einem strukturierten, gängigen und maschinenlesbaren Format bereitstellen, sofern die Verarbeitung auf Einwilligung oder Vertrag beruht und automatisiert erfolgt (Art. 20 Abs. 1 DSGVO); auf Antrag die direkte Übermittlung von einem Verantwortlichen an einen anderen ermöglichen, soweit dies technisch machbar ist (Art. 20 Abs. 2 DSGVO).
- Bei begründeten Zweifeln an der Identität der natürlichen Person, die den Antrag stellt, kann der Verantwortliche unbeschadet des Artikels 11 zusätzliche Informationen anfordern, die zur Bestätigung der Identität der betroffenen Person erforderlich sind (Art. 12 Abs. 6 DSGVO).
- Die betroffene Person über die auf Antrag ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags informieren; die Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist, und über die Fristverlängerung ist die betroffene Person innerhalb eines Monats nach Eingang des Antrags zusammen mit den Gründen für die Verzögerung zu unterrichten (Art. 12 Abs. 3 DSGVO).
- Das Recht gemäß Absatz 1 darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen (Art. 20 Abs. 4 DSGVO).
Beispiele aus der Praxis
- Ein Kunde eines Musik-Streaming-Dienstes kann nach dem EDPB die Übertragung seiner Songlisten auf einen anderen Musik-Streaming-Dienst beantragen.
- Verlangt ein Kunde mit einem E-Mail-Konto für rein persönliche oder private Bedürfnisse die Übermittlung seiner Adressliste und seiner E-Mails an einen anderen Webmail-Dienst, muss der Anbieter beides nach dem EDPB übermitteln, sofern dies technisch machbar ist.
- Ein Kunde wechselt den Versicherer und verlangt die von ihm selbst bereitgestellten Daten in einem strukturierten, gängigen und maschinenlesbaren Format; das Recht besteht, sofern die Verarbeitung auf Einwilligung oder Vertrag beruht und automatisiert erfolgt.
Häufiger Irrtum
Mythos „Das Recht auf Datenübertragbarkeit gilt nur für Daten, die die betroffene Person direkt, etwa per Online-Formular, mitteilt.“
Richtig Die Formulierung „bereitgestellt durch“ schließt nach den Leitlinien WP 242 auch personenbezogene Daten ein, die sich auf die Aktivität der betroffenen Person beziehen oder das Ergebnis einer Beobachtung ihres Verhaltens sind.
