Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Kurzdefinition: Das Recht auf Datenübertragbarkeit erlaubt der betroffenen Person, ihre Daten mitzunehmen. Nach Art. 20 DSGVO kann sie die von ihr bereitgestellten Daten in einem strukturierten, gängigen und maschinenlesbaren Format erhalten und an einen anderen Verantwortlichen übermitteln. [N-DSGVO-20]

Der Normwortlaut

Art. 20 Abs. 1 DSGVO gibt das Recht, die bereitgestellten Daten „in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten“, und sie „einem anderen Verantwortlichen ohne Behinderung“ zu übermitteln — sofern die Verarbeitung auf einer Einwilligung oder einem Vertrag beruht und automatisiert erfolgt. [N-DSGVO-20]

Für welche Daten gilt das Recht?

Nur für bestimmte. Erfasst sind Daten, die die Person selbst bereitgestellt hat, deren Verarbeitung auf Einwilligung oder Vertrag beruht und automatisiert erfolgt. Daten, die auf einer anderen Rechtsgrundlage verarbeitet werden oder nicht von der Person stammen, fallen nicht darunter. [N-DSGVO-20] [N-DSGVO-6]

Was heißt strukturiert, gängig und maschinenlesbar?

Ein weiterverwendbares Format. Die Daten sind so herauszugeben, dass sie ohne Weiteres in andere Systeme übernommen werden können. Damit soll ein Anbieterwechsel erleichtert und die Kontrolle der Person über ihre Daten gestärkt werden. Auf Verlangen und soweit technisch machbar ist auch eine direkte Übermittlung zwischen Verantwortlichen vorgesehen. [N-DSGVO-20]

Wie unterscheidet es sich vom Auskunftsrecht?

Format und Zweck. Das Auskunftsrecht nach Art. 15 DSGVO gibt Einblick in die Verarbeitung. Die Datenübertragbarkeit nach Art. 20 DSGVO zielt auf die Weiterverwendung: Sie liefert die Daten in maschinenlesbarer Form, damit die Person sie mitnehmen kann. [N-DSGVO-20]

Unter welchen Voraussetzungen greift das Recht?

Bei Einwilligung oder Vertrag und Automatisierung. Nach Art. 20 Abs. 1 DSGVO besteht das Recht, sofern die Verarbeitung auf einer Einwilligung oder einem Vertrag beruht und mithilfe automatisierter Verfahren erfolgt. Beide Voraussetzungen müssen vorliegen. [N-DSGVO-20]

Wohin dürfen die Daten übermittelt werden?

An einen anderen Verantwortlichen. Art. 20 Abs. 1 DSGVO gibt das Recht, die Daten einem anderen Verantwortlichen ohne Behinderung durch den bisherigen Verantwortlichen zu übermitteln. Das Recht dient dem Anbieterwechsel. [N-DSGVO-20]

Gilt das Recht auch bei Papierakten?

Nein. Das Recht auf Datenübertragbarkeit setzt eine automatisierte Verarbeitung voraus. Rein manuell in Papierform geführte Daten fallen nicht darunter. [N-DSGVO-20]

Häufige Fehlannahmen

• „Alle Daten einer Person sind übertragbar.“ Nein. Nur bereitgestellte, auf Einwilligung oder Vertrag beruhende und automatisiert verarbeitete Daten. [N-DSGVO-20]
• „Das Format kann der Verantwortliche frei wählen.“ Nein. Es muss strukturiert, gängig und maschinenlesbar sein. [N-DSGVO-20]
• „Datenübertragbarkeit ist dasselbe wie Auskunft.“ Nein. Sie zielt auf Weiterverwendung, nicht nur auf Einsicht. [N-DSGVO-20]
• „Die Daten müssen umständlich per Datei selbst geholt werden.“ Nicht zwingend. Die betroffene Person hat das Recht, die Daten direkt von einem Verantwortlichen an einen anderen übermitteln zu lassen, soweit dies technisch machbar ist. [N-DSGVO-20]
• „Das Recht gilt auch für händisch geführte Akten.“ Nein. Es setzt eine automatisierte Verarbeitung voraus und betrifft nur die von der Person selbst bereitgestellten Daten. [N-DSGVO-20]

Was die Geschäftsleitung tun sollte

1. Datenbestand einordnen. Klären, welche Daten unter Art. 20 DSGVO fallen.
2. Exportformate bereitstellen. Strukturierte, maschinenlesbare Ausgabe ermöglichen.
3. Rechtsgrundlage prüfen. Nur Einwilligungs- und Vertragsdaten sind erfasst.
4. Direktübermittlung bedenken. Soweit technisch machbar vorsehen.

Für die Geschäftsleitung

Die Datenübertragbarkeit stärkt die Datensouveränität der betroffenen Person und erleichtert den Anbieterwechsel. Für das Unternehmen ist sie zugleich eine technische Aufgabe: Nur wer die richtigen Daten in einem gängigen Format exportieren kann, erfüllt das Recht — und nur die auf Einwilligung oder Vertrag beruhenden, automatisiert verarbeiteten Daten sind überhaupt erfasst.

Quellen

1. [N-DSGVO-20] Art. 20 DSGVO (Recht auf Datenübertragbarkeit). Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504

1. [N-DSGVO-6] Art. 6 DSGVO (Rechtmäßigkeit der Verarbeitung). Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504