Datenübertragbarkeit als Betroffenenrecht im Datenschutz

Das Recht auf Datenübertragbarkeit gemäß Art. 20 DSGVO ist eines der zentralen Betroffenenrechte im Datenschutz. Dieser Beitrag erläutert die rechtlichen Voraussetzungen, den Anwendungsbereich sowie die praktische Umsetzung der Datenportabilität. Zudem zeigen wir auf, wo dieses Recht an seine Grenzen stößt und welche konkreten Pflichten Verantwortliche dabei treffen.

Was regelt Art. 20 DSGVO zur Datenübertragbarkeit?

Das Recht auf Datenübertragbarkeit wird auch als Recht auf Datenportabilität bezeichnet. Es ermöglicht betroffenen Personen, ihre eigenen personenbezogenen Daten von einer Datenbank in eine andere zu übertragen bzw. übertragen zu lassen. Konkret gewährt Art. 20 DSGVO als Betroffenenrecht folgende Ansprüche:

• personenbezogene Daten in einem geeigneten Format zu erhalten (z. B. über einen USB-Stick, eine CD, die private Cloud oder aber einen QR-Code),
• personenbezogene Daten an einen anderen Anbieter zu übermitteln oder
• personenbezogene Daten von einem Anbieter an einen anderen Anbieter übermitteln zu lassen.

Die Bedeutung dieses Rechts im Datenschutz könnte enorm sein, doch bis heute sind einige technische Umsetzungsprobleme nicht gelöst. Gerade deshalb lohnt sich ein genauer Blick auf Voraussetzungen, Grenzen und praktische Handhabung der Datenübertragbarkeit.

Welche Voraussetzungen hat das Recht auf Datenübertragbarkeit?

Voraussetzung für die Anwendbarkeit von Art. 20 DSGVO ist zunächst das Vorliegen personenbezogener Daten, die „einem Verantwortlichen bereitgestellt“ wurden. Dies wird eher weit gefasst und beschränkt sich nicht nur auf aktiv vom Betroffenen eingegebene, sondern auch auf unbewusst erhobene Daten (z. B. durch Tracking der Nutzungsaktivität). Nicht erfasst sind jedoch vom Verantwortlichen selbst erschaffene personenbezogene Daten, die beispielsweise Ergebnis einer Bewertung durch einen Algorithmus sind.

Zudem müssen die Daten auf Basis eines Vertrages oder einer Einwilligung erhoben und verarbeitet worden sein. Daten, die auf Basis anderer Rechtsgrundlagen verarbeitet werden, unterliegen nicht der Datenübertragbarkeit. Zuletzt muss die Datenverarbeitung auch mithilfe automatisierter Verfahren erfolgen, womit allerdings die meisten digitalen Datenbanksysteme erfasst sind.

Fehlt eine dieser Voraussetzungen, besteht bezüglich der betroffenen Daten kein Recht auf Datenübertragbarkeit. Verantwortliche im Datenschutz müssen daher zunächst prüfen, ob sämtliche Bedingungen kumulativ vorliegen, bevor sie einem Antrag nachkommen.

Welchen Zweck verfolgt die Datenübertragbarkeit im Datenschutz?

Ziel der Regelung war, Betroffenen mehr Kontrolle über ihre Daten zu geben und so mittelbar den Wettbewerb zu fördern. Für Verbraucher war es oft wenig attraktiv, einen Anbieter zu wechseln, wenn dies mit komplizierten neuen Datenangaben einherging. Auch dass die Daten beim alten Anbieter meist verloren waren, führte zum sogenannten „Lock-in-Effekt“.

Durch die Datenübertragbarkeit soll die Möglichkeit gestärkt werden, sich zwischen Anbietern frei entscheiden zu können. Es geht damit zugleich um Verbraucherschutz und um die Durchsetzung des informationellen Selbstbestimmungsrechts als Kerngedanke des Datenschutzes.

Die Datenübertragbarkeit in der Praxis

In der Praxis ist die Datenübertragbarkeit gerade bei Banken oder im Gesundheitswesen von besonderer Bedeutung. Die Übertragung von Patientendaten kann beispielsweise bei einem Wohnortwechsel sehr wichtig sein, um beim neuen Hausarzt alle Informationen zu bündeln. Da die digitale Patientenakte noch nicht flächendeckend etabliert ist, kann es dabei auch Jahre nach Einführung der DSGVO noch zu technischen Schwierigkeiten kommen. Mit dem Anspruch auf Datenübertragbarkeit ist es jedoch einfacher, alle relevanten Informationen dorthin zu bekommen, wo sie gebraucht werden.

Als Unternehmen sollte man jederzeit darauf vorbereitet sein, dass eine betroffene Person dieses Betroffenenrecht geltend macht. Ein etablierter Prozess für solche Anfragen erleichtert den Umgang, sobald die erste Anfrage eingeht. Ein dokumentiertes Verfahren erleichtert zugleich den Nachweis der Datenschutz-Compliance.

Wann ist die Datenübertragbarkeit ausgeschlossen?

Ein Recht auf Datenübertragbarkeit besteht nicht, wenn:

• die Verarbeitung personenbezogener Daten zur Wahrnehmung öffentlicher Aufgaben erfolgt (Art. 20 Abs. 3 Satz 2 DSGVO)
• die Rechte und Freiheiten anderer Personen betroffen sind (Art. 20 Abs. 4 DSGVO)
• eine Übertragung personenbezogener Daten von einem Anbieter zu einem anderen Anbieter technisch nicht möglich ist.

Die erste Ausnahme ist das Spiegelbild dazu, dass nur Daten, die aufgrund Vertrages oder Einwilligung verarbeitet werden, vom Recht auf Datenübertragbarkeit erfasst werden. Entsprechend trifft dies auf Daten, die zur Wahrnehmung öffentlicher Aufgaben verarbeitet werden, nicht zu.

Eine eigene Einschränkung stellt der Fall dar, in dem Rechte und Freiheiten anderer Personen betroffen sind. Hier sind verschiedene Konstellationen erfasst, insbesondere wenn durch die Übertragung Immaterialgüterrechte beeinträchtigt würden (z. B. die Rechte des Fotografen an Fotos). Auch Geschäftsgeheimnisse, die durch eine Übertragung offenbart würden, können die Datenübertragbarkeit einschränken. Schwierig sind Fälle, in denen personenbezogene Daten Dritter betroffen sind, etwa bei E-Mails, die die Adressen von Sendern und Empfängern enthalten. Ob hier eine ausreichende „Betroffenheit“ vorliegt, um die Übertragung zu hindern, ist nicht endgültig entschieden. Bisher wird bei E-Mails eher ein Recht auf Datenübertragbarkeit bejaht. In der Praxis sollte dennoch immer genau geschaut werden. Nicht jedes bloße Risiko reicht aus, um eine Anfrage im Datenschutz abzulehnen.

Zuletzt wird auch realen technischen Hindernissen Relevanz eingeräumt. Vielfach sind Systeme nicht ohne Weiteres kompatibel, sodass eine direkte Übertragung nicht möglich ist. Soweit ein Transfer nicht mit zumutbarem Aufwand machbar ist, kann er verwehrt werden. Ist eine direkte Übertragung nicht möglich, muss der Verantwortliche dem Betroffenen ggf. selbst einen Datensatz in einem gängigen Format übermitteln. Wichtig hierbei: Es ist ein interoperables Format verlangt, bloße Auflistungen im PDF-Format genügen regelmäßig nicht.

Wie können Betroffene die Datenübertragbarkeit geltend machen?

Es ist ein Antrag des Betroffenen beim jeweiligen Anbieter zu stellen, der die eigenen personenbezogenen Daten vorhält. Nicht zwingend, aber empfehlenswert ist es, den Antrag schriftlich oder in Textform zu stellen. Die Identität des Betroffenen sollte schon bei Antragstellung in geeigneter Weise nachgewiesen werden, da der Anbieter anderenfalls den Anspruch zurückweisen und zusätzliche Informationen anfordern kann (Art. 12 Abs. 2 Satz 2 DSGVO). Bei begründeten Zweifeln an der Identität kann der Anbieter darüber hinaus zusätzliche Informationen zur Bestätigung anfordern (Art. 12 Abs. 6 DSGVO).

Geld darf für die Übertragung von Daten nicht verlangt werden, die Betroffenenrechte sind unentgeltlich zu gewähren. Wie bei allen Betroffenenrechten im Datenschutz ist der Anfrage unverzüglich nachzukommen. Die Beantwortung darf nicht länger als einen Monat dauern.

In welchem Format erfolgt die Datenübertragbarkeit?

Die Daten sind in einem interoperablen Format zur Verfügung zu stellen. Es wird empfohlen, ein offenes Format zu wählen (z. B. XML, JSON oder CSV). PDFs erfüllen die Vorgaben regelmäßig nicht. Die Bereitstellung kann je nach Umfang per E-Mail, Daten-Download oder auch auf einem physischen Datenträger erfolgen.

Was Verantwortlichen im Datenschutz technisch zumutbar ist, ist noch nicht abschließend geklärt. Gängige, ohne besondere finanzielle (z. B. teure Software-Lizenzierungen) und technische Hürden verfügbare Formate muss ein Verantwortlicher bereitstellen. Nicht jedes unübliche Dateiformat, das ein Betroffener gegebenenfalls fordert, muss gewährt werden.

Die Rolle der Datenübertragbarkeit im Arbeitsverhältnis

Eine besondere Problematik bei der Datenübertragbarkeit stellt sich in Arbeitsverhältnissen. Da die meisten Datenverarbeitungen in diesem Zusammenhang auf Basis des Arbeitsvertrags erfolgen, ist prinzipiell ein Recht auf Datenübertragbarkeit gegeben.

Allerdings werden viele Daten die Rechte Dritter betreffen oder auf eigenen Verarbeitungen des Arbeitgebers beruhen, sodass sie nicht „vom Betroffenen bereitgestellt“ wurden und vom Anspruch nicht erfasst wären. Dies auseinander zu sortieren kann erhebliche Schwierigkeiten für ein Unternehmen darstellen und erfordert eine sorgfältige datenschutzrechtliche Prüfung im Einzelfall.

Was können Betroffene bei Verweigerung der Datenübertragbarkeit tun?

Weigert sich ein Verantwortlicher, das Betroffenenrecht auf Datenübertragbarkeit zu erfüllen, kann eine Beschwerde bei der zuständigen Aufsichtsbehörde erfolgen. Hierüber muss der Verantwortliche ebenso informieren, wie er auch seine Ablehnung des Anspruchs begründen muss.

Es ist zudem möglich, den Anspruch gerichtlich geltend zu machen. Dabei kann es sich je nach vertraglicher Grundlage der Datenverarbeitung auch um zivil- oder arbeitsrechtliche Ansprüche handeln. Insofern sollte gegebenenfalls anwaltlicher Rat hinzugezogen werden, um keine formalen Fehler im Datenschutz-Verfahren zu machen.

Kritik am Recht auf Datenübertragbarkeit

Bisher hat das Recht auf Datenübertragbarkeit wenig praktische Relevanz erlangt, weil es weit überwiegend an der Kompatibilität der Datensysteme fehlt. Gerade wenn Projekte wie die digitale Patientenakte aufgrund umfassender Mängel zum Stocken geraten sind, bleibt das Betroffenenrecht nur sehr theoretisch vorhanden.

Wie sich in der praktischen Anwendung gezeigt hat, lehnen Anbieter teilweise fremde Datensätze ab. Gerade im Bereich der Musik-Playlists stellen zwar die meisten Anbieter den Download bereit, eine Upload-Möglichkeit gibt es jedoch nicht. Der Betroffene hat dann selbst die Daten, aber der eigentlich beabsichtigte Transfer funktioniert nicht, da es keine rechtliche Verpflichtung der Anbieter gibt, diese Datensätze auch anzunehmen und zu verarbeiten.

Auch die EU hat erkannt, dass es bezüglich rechtsverbindlicher Standards noch erheblichen Handlungsbedarf gibt. Bis diese eingeführt und ihre Nutzung gegebenenfalls auch rechtlich verpflichtend ist, steht der Betroffene oft mit einem für ihn eher nutzlosen Daten-Download da und muss seine Daten weiterhin händisch eingeben.

Datenübertragbarkeit im Datenschutz braucht verbindliche technische Standards

Das Recht auf Datenübertragbarkeit hat noch nicht die praktische Durchschlagskraft erreicht, die der Gesetzgeber beabsichtigt hat. Mit fortschreitender Digitalisierung in allen Branchen kann es jedoch eine deutlich größere Rolle für den Datenschutz und die Betroffenenrechte spielen.

Statt sich mit manuellem Abtippen abzumühen und wiederholt neue Datenblätter auszufüllen, könnten die eigenen Daten unter eigener Kontrolle weitergegeben werden. Die rechtlichen Weichen sind gestellt. Es fehlt an der technischen Infrastruktur und an verbindlichen Interoperabilitätsstandards, um das volle Potenzial dieses Betroffenenrechts auszuschöpfen.