Datenübertragbarkeit
Das Recht auf Datenübertragbarkeit bzw. Datenportabilität gewährt den betroffenen Personen das Recht, in bestimmten Fällen ihre Daten vom Datenverarbeiter zurückzuerhalten. Das soll eine bessere Kontrolle über die eigenen Daten ermöglichen.
Das Recht auf Datenübertragbarkeit
Neben den datenschutzrechtlichen Zielen verfolgt das Recht auf Datenübertragbarkeit wettbewerbspolitische und verbraucherschützende Ziele. Ein typischer Anwendungsfall ist etwa die Herausgabe der Daten aus dem eigenen Facebook-Profil, um sie an anderer Stelle weiterverwenden zu können.
Gesetze, Vorschriften und Rechtsprechung zur Datenübertragbarkeit
- Art. 20 DSGVO (Recht auf Datenübertragbarkeit)
- Art. 12 DSGVO (allgemeine Vorgaben zu den Betroffenenrechten)
- Art. 13 Abs. 2 Buchstabe b DSGVO und Art. 14 Abs. 2 Buchstabe c DSGVO (Information der betroffenen Personen bei der Datenerhebung über ihr Recht auf Datenübertragbarkeit)
Voraussetzungen einer Datenübertragbarkeit
Das Recht auf Datenübertragung besteht, wenn alle drei folgenden Voraussetzungen erfüllt sind:
- Die personenbezogenen Daten hat ursprünglich die betroffene Person selbst bereitgestellt (die Daten hat der Verantwortliche also nicht anderweitig erhoben oder berechnet) und sie betreffen sie selbst,
- die Datenverarbeitung erfolgt auf Grundlage einer Einwilligung oder eines Vertrags, und
- die Datenverarbeitung erfolgt mithilfe automatisierter Verfahren, also rechnergestützt (und z.B. nicht auf Papier).
Beispiele
Ein Recht auf Datenübertragbarkeit besteht typischerweise für Profildaten, die in einem sozialen Netzwerk hinterlegt sind. Oder etwa bei der Konsum-Historie, die ein Online-Shop speichert und mit deren Hilfe ein anderer Shop ebenfalls passende Kaufvorschläge unterbreiten könnte.
Datenübertragung durchführen
Der Verantwortliche muss die Daten in einem „strukturierten, gängigen und maschinenlesbaren Format“ bereitstellen. Das könnten XML- oder CSV-Dateien sein. Die Datenschutz-Grundverordnung ruft die Datenverarbeiter dazu auf, nötigenfalls interoperable Formate zu entwickeln (Erwägungsgrund 68 der DSGVO). Wie sich die Anforderungen in der Realität umsetzen lassen, wird die Praxis zeigen müssen.
Jedenfalls sollten Datenverarbeiter entsprechende Vorkehrungen treffen, um dieses Recht bei Bedarf umsetzen zu können.
Die Bereitstellung der Daten erfolgt in der Regel an die betroffene Person selbst. Sie kann aber auch verlangen, dass der Verantwortliche die Daten unmittelbar an eine andere Stelle übermittelt – beispielsweise an einen Konkurrenten des ursprünglichen Datenverarbeiters.
Ausnahmen
Das Recht auf Datenübertragbarkeit besteht dann nicht, wenn es die Rechte und Freiheiten anderer Personen beeinträchtigt (Art. 20 Abs. 4 DSGVO). Darunter fällt zum Beispiel das Recht am geistigen Eigentum.
Außerdem besteht das Recht nicht, wenn die Verarbeitung im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt (Art. 20 Abs. 3 DSGVO).
Frist für die Datenübertragung
Stellt eine betroffene Person einen Antrag auf Datenübertragung, muss der Datenverarbeiter ihm innerhalb eines Monats nachkommen. Eine Fristverlängerung um bis zu zwei weitere Monate ist möglich, aber nur wenn der Sachverhalt komplex ist oder wenn der Verantwortliche eine Vielzahl von Anträgen bearbeiten muss.
Der Verantwortliche muss den Antragsteller innerhalb eines Monats über eventuelle Verzögerungen und ihre Gründe informieren (Art. 12 Abs. 3 DSGVO).
Lehnt der Verarbeiter den Antrag ab, muss er das mitteilen. Dann muss er den Antragsteller darauf hinweisen werden, dass er Beschwerde bei der Datenschutz-Aufsichtsbehörde oder einen gerichtlichen Rechtsbehelf einlegen kann (Art. 12 Abs. 4 DSGVO).