Datenübertragbarkeit nach Art. 20 DSGVO: welche Daten Sie in welchem Format herausgeben müssen

„Bitte übermitteln Sie mir alle meine Daten in einem maschinenlesbaren Format an meinen neuen Anbieter.“ Diese Anfrage klingt wie ein Auskunftsantrag, ist aber ein anderes Recht mit engeren Voraussetzungen und eigenem Zuschnitt. Art. 20 DSGVO gilt nur für Daten, die die betroffene Person selbst bereitgestellt hat, nur bei Verarbeitung auf Grundlage einer Einwilligung oder eines Vertrags und nur bei automatisierter Verarbeitung. Dafür verlangt er etwas, das Art. 15 nicht verlangt: ein strukturiertes, gängiges und maschinenlesbares Format. Dieser Beitrag grenzt die beiden Rechte ab, erklärt die vier Absätze des Art. 20 und zeigt, was in die Antwort gehört.

Was Art. 20 Abs. 1 DSGVO verlangt

Nach Art. 20 Abs. 1 DSGVO hat die betroffene Person das Recht, die sie betreffenden personenbezogenen Daten, die sie einem Verantwortlichen bereitgestellt hat, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und sie einem anderen Verantwortlichen ohne Behinderung zu übermitteln. Das Recht besteht nur unter zwei Bedingungen, die zusammen erfüllt sein müssen:

• Die Verarbeitung beruht auf einer Einwilligung (Art. 6 Abs. 1 Buchst. a oder Art. 9 Abs. 2 Buchst. a) oder auf einem Vertrag (Art. 6 Abs. 1 Buchst. b).
• Die Verarbeitung erfolgt mithilfe automatisierter Verfahren.

Damit fallen drei große Gruppen heraus. Daten, die auf einem berechtigten Interesse oder einer rechtlichen Verpflichtung beruhen, etwa Buchhaltungsdaten nach § 147 AO, sind nicht übertragbar. Daten, die der Verantwortliche selbst erzeugt hat, etwa ein Scoring, eine Kundenbewertung oder ein Profil, sind nicht „bereitgestellt“. Und Papierakten sind keine automatisierte Verarbeitung. Für all das bleibt das Auskunftsrecht nach Art. 15 DSGVO; wie es beantwortet wird, steht im Beitrag zum Auskunftsantrag nach Art. 15.

Art. 15 oder Art. 20: die Abgrenzung in der Praxis

Beide Rechte können in einer Anfrage zusammen geltend gemacht werden, und dann sind beide zu beantworten. Wer eine Übertragbarkeitsanfrage mit einer Auskunfts-Antwort erledigt, liefert das Falsche: Das PDF mit allen Angaben ist verständlich, aber nicht maschinenlesbar. Wer umgekehrt nur die CSV schickt, hat die Pflichtangaben des Art. 15 Abs. 1 unterschlagen.

Format, Direktübermittlung und Grenzen

Das Gesetz nennt kein Dateiformat. „Strukturiert, gängig und maschinenlesbar“ meint ein Format, das ein anderes System ohne manuelle Nacharbeit einlesen kann. Erwägungsgrund 68 ergänzt „interoperabel“ und fordert die Verantwortlichen auf, solche Formate zu entwickeln, stellt in Satz 7 aber klar, dass daraus keine Pflicht folgt, technisch kompatible Systeme zu übernehmen oder beizubehalten.

Nach Art. 20 Abs. 2 DSGVO kann die betroffene Person verlangen, dass die Daten direkt an den anderen Verantwortlichen übermittelt werden, soweit das technisch machbar ist. Gibt es keine Schnittstelle, genügt die Herausgabe an die Person selbst; eine Pflicht, eine Schnittstelle zu bauen, folgt aus Absatz 2 nicht.

Zwei Grenzen stehen in den Absätzen 3 und 4. Die Übertragung lässt das Löschrecht nach Art. 17 unberührt; die Person kann also übertragen und zugleich löschen lassen, und der Verantwortliche darf die Daten nach der Übertragung nicht von sich aus löschen, solange er sie für den Vertrag braucht. Und das Recht darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen: Ein Chatverlauf mit einer dritten Person oder ein Adressbuch mit fremden Kontakten wird nicht ungeprüft herausgegeben. Was mit dem Löschantrag zu prüfen ist, steht im Beitrag zum Löschantrag nach Art. 17.

Frist, Antwort und Praxisbeispiel

Die Frist ist dieselbe wie bei jeder Betroffenenanfrage: Nach Art. 12 Abs. 3 DSGVO ist unverzüglich, spätestens innerhalb eines Monats nach Eingang zu antworten; bei Komplexität oder vielen Anfragen kann die Frist um zwei Monate verlängert werden, wenn die Person innerhalb des ersten Monats darüber informiert wird. Wie der Monat gerechnet wird, steht im Beitrag zur Ein-Monats-Frist.

Ein Beispiel: Ein Fitnessstudio erhält von einem ausscheidenden Mitglied die Bitte, „alle Daten“ an ein anderes Studio zu übertragen. Übertragbar sind die Stammdaten aus dem Vertrag, die Trainingspläne, die das Mitglied selbst angelegt hat, und die Check-in-Historie aus der Nutzung. Nicht übertragbar sind die Mahnhistorie, die das Studio erzeugt hat, und die Buchhaltungsbelege, die es nach § 147 AO aufbewahren muss. Das Studio exportiert die übertragbaren Daten als CSV, schickt sie dem Mitglied, weil zum anderen Studio keine Schnittstelle besteht, und erklärt in der Antwort, was fehlt und warum.

BetroffenenRecht24 kennt die Datenübertragbarkeit als eigene Anfrageart: Der Vorgang bekommt die Ein-Monats-Frist mit Ampel, und der Antwort-Baustein für Art. 20 nennt die zwei Bedingungen, die Grenzen der Absätze 3 und 4 und den Hinweis, dass das Auskunftsrecht unberührt bleibt. Den Export selbst erzeugt Ihr Fachsystem; das Werkzeug hält fest, wann er raus ging.

Häufige Fragen

Welche Daten fallen unter das Recht auf Datenübertragbarkeit?

Nur personenbezogene Daten, die die betroffene Person dem Verantwortlichen bereitgestellt hat, und nur, wenn die Verarbeitung auf einer Einwilligung oder einem Vertrag beruht und automatisiert erfolgt (Art. 20 Abs. 1 DSGVO). Abgeleitete Daten, Daten aus berechtigtem Interesse oder rechtlicher Pflicht und Papierakten sind ausgenommen.

Welches Format ist für Art. 20 DSGVO richtig?

Ein strukturiertes, gängiges und maschinenlesbares Format, etwa CSV, JSON oder XML mit dokumentierter Feldbedeutung. Ein PDF ist für Menschen lesbar, aber in der Regel nicht maschinenlesbar und genügt deshalb meist nicht. Ein bestimmtes Format schreibt das Gesetz nicht vor.

Muss ich die Daten direkt an den neuen Anbieter senden?

Nur, soweit das technisch machbar ist (Art. 20 Abs. 2 DSGVO). Gibt es keine Schnittstelle zum anderen Verantwortlichen, genügt die Herausgabe an die betroffene Person; eine Pflicht, eine Schnittstelle einzurichten, besteht nicht.

Wie lange habe ich Zeit, eine Übertragbarkeits­anfrage zu beantworten?

Einen Monat ab Eingang, wie bei jeder Betroffenenanfrage (Art. 12 Abs. 3 DSGVO). Die Frist kann um zwei Monate verlängert werden, wenn die Anfrage komplex ist oder viele Anfragen vorliegen und die Person innerhalb des ersten Monats über die Verlängerung und die Gründe informiert wird.

Das Wichtigste in Kürze

Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Die Bewertung im Einzelfall bleibt Aufgabe des Verantwortlichen – wenden Sie sich dafür an fachkundige Beratung.