Recht auf Datenübertragbarkeit nach Art. 20 DSGVO (S)

Das Recht auf Datenübertragbarkeit nach Art. 20 DSGVO gehört zu den modernen Betroffenenrechten der Datenschutz-Grundverordnung (DSGVO). Es ermöglicht natürlichen Personen, ihre personenbezogenen Daten, die sie einem Unternehmen bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten oder direkt an einen anderen Verantwortlichen übertragen zu lassen.

Mit diesem Recht stärkt die DSGVO die Kontrolle von Betroffenen über ihre eigenen Daten und erleichtert den Wechsel zwischen digitalen Diensten. Beispielsweise können Nutzer ihre Daten von einem sozialen Netzwerk zu einem anderen Anbieter übertragen oder Kundendaten bei einem Wechsel eines Dienstleisters mitnehmen.

Für Unternehmen bedeutet das Recht auf Datenübertragbarkeit, technische und organisatorische Voraussetzungen zu schaffen, damit entsprechende Anfragen sicher, fristgerecht und in einem geeigneten Format bearbeitet werden können.

Was regelt Art. 20 DSGVO?

Art. 20 DSGVO gewährt betroffenen Personen das Recht, personenbezogene Daten zu erhalten, die sie einem Verantwortlichen bereitgestellt haben.

Die Daten müssen:

  • in einem strukturierten Format vorliegen,
  • gängig und maschinenlesbar sein,
  • durch die betroffene Person an einen anderen Verantwortlichen übermittelt werden können.

Darüber hinaus besteht – soweit technisch machbar – das Recht, dass die Daten direkt von einem Verantwortlichen an einen anderen übertragen werden.

Beispiel:

Ein Kunde möchte seinen Online-Dienst wechseln und seine gespeicherten Profildaten, Nutzungsverläufe oder Einstellungen zum neuen Anbieter mitnehmen. Unter den Voraussetzungen des Art. 20 DSGVO muss der bisherige Anbieter diese Daten in einem geeigneten Format bereitstellen.

Wann besteht ein Anspruch auf Datenübertragbarkeit?

Das Recht auf Datenübertragbarkeit gilt nicht für jede Datenverarbeitung. Es besteht nur, wenn bestimmte Voraussetzungen erfüllt sind.

1. Verarbeitung beruht auf Einwilligung oder Vertrag

Die Daten müssen entweder

  • auf Grundlage einer Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO oder
  • zur Erfüllung eines Vertrags nach Art. 6 Abs. 1 lit. b DSGVO

verarbeitet werden.

Beispiele:

  • Nutzung eines Online-Shops,
  • Kundenkonto bei einem digitalen Dienst,
  • Fitness-App mit Nutzerprofil,
  • Cloud-Dienst mit gespeicherten Dateien.

2. Automatisierte Verarbeitung

Die Verarbeitung muss mithilfe automatisierter Verfahren erfolgen.

Das bedeutet, dass das Recht grundsätzlich nicht für rein papierbasierte Datensammlungen gilt.

3. Daten wurden von der betroffenen Person bereitgestellt

Das Recht umfasst nur Daten, die die Person selbst zur Verfügung gestellt hat.

Dazu gehören beispielsweise:

  • Name und Kontaktdaten,
  • Profilinformationen,
  • hochgeladene Inhalte,
  • Nutzungsdaten,
  • gespeicherte Einstellungen,
  • Vertragsinformationen.

Nicht umfasst sind dagegen Daten, die ein Unternehmen selbst erzeugt oder aus vorhandenen Informationen ableitet, beispielsweise interne Bewertungen, Prognosen oder Bonitätseinschätzungen.

In welchem Format müssen Daten bereitgestellt werden?

Die DSGVO schreibt kein bestimmtes Dateiformat vor. Entscheidend ist, dass das Format strukturiert, gängig und maschinenlesbar ist.

Geeignete Formate können beispielsweise sein:

  • CSV,
  • XML,
  • JSON.

Das Format sollte eine einfache Weiterverarbeitung ermöglichen und darf die betroffene Person nicht unnötig daran hindern, die Daten bei einem anderen Anbieter zu verwenden.

So können Betroffene ihr Recht auf Datenübertragbarkeit ausüben

Die Ausübung des Rechts auf Datenübertragbarkeit erfolgt grundsätzlich formfrei.

Betroffene können ihren Antrag beispielsweise stellen:

  • per E-Mail,
  • schriftlich,
  • über ein Kundenportal,
  • über spezielle Exportfunktionen eines Online-Dienstes.

Ein vollständiger Antrag sollte folgende Informationen enthalten:

  • vollständiger Name,
  • Kontaktdaten,
  • eindeutige Identifikation,
  • Beschreibung der gewünschten Daten,
  • Angabe, ob die Daten selbst bereitgestellt oder direkt übertragen werden sollen,
  • gegebenenfalls Angabe des Zielunternehmens.

Je genauer der Antrag formuliert ist, desto leichter kann das Unternehmen ihn bearbeiten.

Welche Schritte müssen Betroffene einhalten?

Um das Recht erfolgreich auszuüben, sollten Betroffene folgende Schritte beachten:

1. Prüfen, ob Art. 20 DSGVO anwendbar ist

Zunächst sollte geprüft werden:

  • Werden die Daten automatisiert verarbeitet?
  • Wurden die Daten selbst bereitgestellt?
  • Erfolgt die Verarbeitung aufgrund eines Vertrags oder einer Einwilligung?

Sind diese Voraussetzungen erfüllt, besteht grundsätzlich ein Anspruch.

2. Antrag beim Verantwortlichen stellen

Der Antrag sollte an das Unternehmen gerichtet werden, das die Daten verarbeitet.

Die zuständige Kontaktstelle findet sich häufig:

  • in der Datenschutzerklärung,
  • im Kundenkonto,
  • auf der Unternehmenswebsite.

3. Identität nachweisen

Das Unternehmen darf die Identität prüfen, um zu verhindern, dass personenbezogene Daten an unberechtigte Personen herausgegeben werden.

Dabei dürfen jedoch keine unnötigen Nachweise verlangt werden.

4. Daten erhalten oder Übertragung verlangen

Die betroffene Person kann wählen:

  • direkte Übersendung der Daten,
  • direkte Übertragung an einen anderen Verantwortlichen, sofern dies technisch möglich ist.

5. Ergebnis prüfen

Nach Erhalt sollten Betroffene prüfen, ob die bereitgestellten Daten vollständig und nutzbar sind.

Welche Fristen gelten?

Für Anträge auf Datenübertragbarkeit gelten die allgemeinen Fristen nach Art. 12 DSGVO.

Unternehmen müssen:

  • unverzüglich, spätestens innerhalb eines Monats reagieren,
  • bei komplexen Fällen die Frist um bis zu zwei weitere Monate verlängern können,
  • die betroffene Person innerhalb des ersten Monats über eine Verlängerung informieren.

Wie setzen Unternehmen das Recht auf Datenübertragbarkeit um?

Unternehmen sollten einen klaren Prozess für Datenübertragungsanfragen etablieren.

1. Anfrage erfassen und dokumentieren

Jede Anfrage sollte dokumentiert werden, einschließlich:

  • Eingangsdatum,
  • betroffene Person,
  • Bearbeitungsstatus,
  • Ergebnis.

Dies ermöglicht eine zuverlässige Einhaltung gesetzlicher Fristen.

2. Identität überprüfen

Vor der Herausgabe sensibler Daten muss geprüft werden, ob die antragstellende Person tatsächlich berechtigt ist.

3. Voraussetzungen prüfen

Das Unternehmen muss bewerten:

  • ob Art. 20 DSGVO anwendbar ist,
  • welche Daten betroffen sind,
  • ob personenbezogene Daten von anderen Personen enthalten sind.

Daten anderer Personen dürfen nicht unzulässig offengelegt werden.

4. Daten exportieren

Die relevanten Daten müssen aus den vorhandenen Systemen zusammengestellt und in ein geeignetes Format übertragen werden.

Unternehmen sollten dabei sicherstellen, dass:

  • Daten vollständig exportiert werden,
  • das Format technisch nutzbar ist,
  • keine unnötigen Informationen enthalten sind.

5. Sichere Übermittlung gewährleisten

Da es sich häufig um sensible personenbezogene Daten handelt, sollte die Übertragung geschützt erfolgen.

Geeignete Maßnahmen können sein:

  • verschlüsselte Übertragung,
  • sichere Downloadbereiche,
  • passwortgeschützte Dateien,
  • Authentifizierungsverfahren.

6. Direkte Übertragung ermöglichen

Ist eine direkte Übermittlung an einen anderen Anbieter technisch möglich, sollte diese Option unterstützt werden.

Beispiele:

  • Schnittstellen (APIs),
  • standardisierte Exportfunktionen,
  • automatisierte Datenübertragungssysteme.

Technische und organisatorische Maßnahmen für Unternehmen

Zur Umsetzung von Art. 20 DSGVO empfehlen sich:

  • dokumentierte Prozesse für Betroffenenrechte,
  • standardisierte Exportverfahren,
  • Datenklassifizierung,
  • Schnittstellen für sichere Übertragungen,
  • Zugriffskontrollen,
  • Mitarbeiterschulungen,
  • regelmäßige Überprüfung der Datenexportprozesse.

Unternehmen sollten bereits bei der Entwicklung neuer Systeme darauf achten, dass Daten später einfach und sicher exportiert werden können („Privacy by Design“).

Häufige Fehler bei der Umsetzung

Typische Fehler sind:

  • Ablehnung von Anträgen trotz bestehender Voraussetzungen,
  • Bereitstellung ungeeigneter Dateiformate,
  • unvollständige Datenexporte,
  • fehlende Identitätsprüfung,
  • unsichere Übermittlung,
  • Überschreitung gesetzlicher Fristen.

Ein strukturierter Prozess hilft Unternehmen, diese Risiken zu vermeiden.

Zusammenhang mit anderen Betroffenenrechten

Das Recht auf Datenübertragbarkeit steht in Verbindung mit weiteren Rechten der DSGVO.

Beispiele:

  • Auskunftsrecht (Art. 15 DSGVO): Betroffene erfahren, welche Daten verarbeitet werden.
  • Berichtigungsrecht (Art. 16 DSGVO): Fehlerhafte Daten können korrigiert werden.
  • Löschungsrecht (Art. 17 DSGVO): Nicht mehr erforderliche Daten können gelöscht werden.
  • Einschränkung der Verarbeitung (Art. 18 DSGVO): Die Nutzung von Daten kann begrenzt werden.

Gemeinsam ermöglichen diese Rechte eine bessere Kontrolle über personenbezogene Daten.

Das Recht auf Datenübertragbarkeit in Kürze:

Das Recht auf Datenübertragbarkeit nach Art. 20 DSGVO erleichtert es Betroffenen, ihre personenbezogenen Daten von einem Anbieter zu einem anderen mitzunehmen. Es stärkt die digitale Selbstbestimmung und fördert den Wettbewerb zwischen Dienstleistern.

Für Unternehmen bedeutet dieses Recht die Verpflichtung, sichere und effiziente Verfahren für Datenexporte und Datenübertragungen bereitzustellen. Dazu gehören geeignete technische Schnittstellen, strukturierte Prozesse und eine sorgfältige Prüfung der gesetzlichen Voraussetzungen.

Betroffene sollten ihren Antrag möglichst präzise formulieren, ihre Identität nachweisen und klar angeben, welche Daten sie erhalten oder übertragen möchten. Unternehmen wiederum profitieren von einer frühzeitigen technischen Vorbereitung und klar geregelten Abläufen.

Quellen

Beliebteste Artikel