Sie verwenden einen veralteten Browser. Um im Internet auch weiterhin sicher unterwegs zu sein, empfehlen wir ein Update.

Nutzen Sie z.B. eine aktuelle Version von Edge, Chrome oder Firefox

Datenübertragbarkeit

Das Recht auf Datenübertragbarkeit bzw. Datenportabilität gewährt den betroffenen Personen das Recht, in bestimmten Fällen ihre Daten vom Datenverarbeiter zurückzuerhalten. Das soll eine bessere Kontrolle über die eigenen Daten ermöglichen.

➜ Datenübertragbarkeit umsetzen

Das Auskunftsrecht nach Art. 15 DSGVO

Zum Auskunftsrecht nach DSGVO gibt es bereits drei interessante Entscheidungen. Was können Sie Ihren Kolleginnen und Kollegen in Ihrer Datenschutzunterweisung derzeit zu diesem Thema mitgeben?

Auskunft und Datenübertragbarkeit

Die DSGVO führt u.a. das Recht auf Auskunft und auf Datenportabilität ein. Unstrittig ist, dass auch Arbeitnehmern diese Rechte zustehen. Die im Unternehmen Verantwortlichen müssen sich daher im Vorfeld Gedanken machen, wie sie die neuen Anforderungen in die Praxis umsetzen.

1 von 1

Das Recht auf Datenübertragbarkeit

Neben den datenschutzrechtlichen Zielen verfolgt das Recht auf Datenübertragbarkeit wettbewerbspolitische und verbraucherschützende Ziele. Ein typischer Anwendungsfall ist etwa die Herausgabe der Daten aus dem eigenen Facebook-Profil, um sie an anderer Stelle weiterverwenden zu können.

Gesetze, Vorschriften und Rechtsprechung zur Datenübertragbarkeit

  • Art. 20 DSGVO (Recht auf Datenübertragbarkeit)
  • Art. 12 DSGVO (allgemeine Vorgaben zu den Betroffenenrechten)
  • Art. 13 Abs. 2 Buchstabe b DSGVO und Art. 14 Abs. 2 Buchstabe c DSGVO (Information der betroffenen Personen bei der Datenerhebung über ihr Recht auf Datenübertragbarkeit)

Voraussetzungen einer Datenübertragbarkeit

Das Recht auf Datenübertragung besteht, wenn alle drei folgenden Voraussetzungen erfüllt sind:

  1. Die personenbezogenen Daten hat ursprünglich die betroffene Person selbst bereitgestellt (die Daten hat der Verantwortliche also nicht anderweitig erhoben oder berechnet) und sie betreffen sie selbst,
  2. die Datenverarbeitung erfolgt auf Grundlage einer Einwilligung oder eines Vertrags, und
  3. die Datenverarbeitung erfolgt mithilfe automatisierter Verfahren, also rechnergestützt (und z.B. nicht auf Papier).

Beispiele

Ein Recht auf Datenübertragbarkeit besteht typischerweise für Profildaten, die in einem sozialen Netzwerk hinterlegt sind. Oder etwa bei der Konsum-Historie, die ein Online-Shop speichert und mit deren Hilfe ein anderer Shop ebenfalls passende Kaufvorschläge unterbreiten könnte.

Datenübertragung durchführen

Der Verantwortliche muss die Daten in einem „strukturierten, gängigen und maschinenlesbaren Format“ bereitstellen. Das könnten XML- oder CSV-Dateien sein. Die Datenschutz-Grundverordnung ruft die Datenverarbeiter dazu auf, nötigenfalls interoperable Formate zu entwickeln (Erwägungsgrund 68 der DSGVO). Wie sich die Anforderungen in der Realität umsetzen lassen, wird die Praxis zeigen müssen.

Jedenfalls sollten Datenverarbeiter entsprechende Vorkehrungen treffen, um dieses Recht bei Bedarf umsetzen zu können.

Die Bereitstellung der Daten erfolgt in der Regel an die betroffene Person selbst. Sie kann aber auch verlangen, dass der Verantwortliche die Daten unmittelbar an eine andere Stelle übermittelt – beispielsweise an einen Konkurrenten des ursprünglichen Datenverarbeiters.

Ausnahmen

Das Recht auf Datenübertragbarkeit besteht dann nicht, wenn es die Rechte und Freiheiten anderer Personen beeinträchtigt (Art. 20 Abs. 4 DSGVO). Darunter fällt zum Beispiel das Recht am geistigen Eigentum.

Außerdem besteht das Recht nicht, wenn die Verarbeitung im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt (Art. 20 Abs. 3 DSGVO).

Frist für die Datenübertragung

Stellt eine betroffene Person einen Antrag auf Datenübertragung, muss der Datenverarbeiter ihm innerhalb eines Monats nachkommen. Eine Fristverlängerung um bis zu zwei weitere Monate ist möglich, aber nur wenn der Sachverhalt komplex ist oder wenn der Verantwortliche eine Vielzahl von Anträgen bearbeiten muss.

Der Verantwortliche muss den Antragsteller innerhalb eines Monats über eventuelle Verzögerungen und ihre Gründe informieren (Art. 12 Abs. 3 DSGVO).

Lehnt der Verarbeiter den Antrag ab, muss er das mitteilen. Dann muss er den Antragsteller darauf hinweisen werden, dass er Beschwerde bei der Datenschutz-Aufsichtsbehörde oder einen gerichtlichen Rechtsbehelf einlegen kann (Art. 12 Abs. 4 DSGVO).

Datenschutz PRAXIS - Der Podcast
Vielen Dank! Ihr Kommentar muss noch redaktionell geprüft werden, bevor wir ihn veröffentlichen können.