Das Recht auf Datenübertragbarkeit soll eine nutzbare Weiterverwendung bestimmter personenbezogener Daten ermöglichen. Eine Sammlung von Bildschirmfotos erfüllt diesen Zweck ebenso wenig wie ein vollständiger Datenbankexport, der fremde Konten enthält. Für die Bearbeitung müssen deshalb rechtlicher Umfang, Datenstruktur und sichere Übergabe zusammenpassen.
Artikel 20 DSGVO unterscheidet sich vom Auskunftsrecht. Er erfasst unter seinen Voraussetzungen Daten, die eine Person bereitgestellt hat, und verlangt ein strukturiertes, gängiges und maschinenlesbares Format. Der folgende Ablauf zeigt anhand eines fiktiven Abonnementdienstes, wie aus einer Anfrage ein abgegrenzter Exportauftrag und eine verständliche Antwort werden.
Zuerst die Voraussetzungen für jede Verarbeitung prüfen
Nach Artikel 20 DSGVO müssen mehrere Bedingungen zusammenkommen. Die Verarbeitung erfolgt automatisiert und beruht auf einer Einwilligung nach Artikel 6 Absatz 1 Buchstabe a beziehungsweise Artikel 9 Absatz 2 Buchstabe a oder auf einem Vertrag nach Artikel 6 Absatz 1 Buchstabe b. Die Daten betreffen die anfragende Person und wurden von ihr bereitgestellt. Das Recht gilt nicht für die Verarbeitung, die zur Wahrnehmung einer öffentlichen Aufgabe oder in Ausübung öffentlicher Gewalt erforderlich ist.
Diese Voraussetzungen werden nicht einmalig für „das Kundenkonto“ angekreuzt. Ein Konto kann Vertragsdaten, gesetzlich aufzubewahrende Unterlagen und intern erzeugte Bewertungen enthalten. Die unterschiedlichen Verarbeitungstätigkeiten müssen eingeordnet werden. Dass dieselbe E-Mail-Adresse in mehreren Systemen steht, vereinheitlicht deren Rechtsgrundlagen nicht.
Im Beispiel bittet eine Kundin eines digitalen Hörbuchdienstes um ihre Kontoeinstellungen, Listen und Nutzungshistorie. Das Team ordnet diese Verarbeitung dem bestehenden Abonnementvertrag zu. Ein separat berechnetes Kündigungsrisiko wird hingegen als abgeleitete Bewertung identifiziert. Eine steuerliche Aufbewahrung wird als eigener Verarbeitungszweck betrachtet. Die Entscheidung bezieht sich jeweils auf den konkreten Datenbestand; die Bezeichnung einer Tabelle als „Abrechnung“ entscheidet nicht allein über alle darin enthaltenen Daten.
Wer den Begriff automatisierte Verarbeitung zunächst abgrenzen muss, findet dazu den Beitrag zum sachlichen Anwendungsbereich der DSGVO. Für Artikel 20 reicht die automatisierte Verarbeitung aus; eine automatisierte Entscheidung mit erheblicher Wirkung ist keine zusätzliche Voraussetzung.
Bereitgestellte, beobachtete und abgeleitete Daten trennen
Bereitgestellt bedeutet nicht ausschließlich manuell eingetippt. Die vom EDSA übernommenen Leitlinien WP 242 rev.01 zur Datenübertragbarkeit beziehen auch Daten ein, die durch die Nutzung eines Dienstes beobachtet werden. Davon unterscheiden sie Bewertungen und andere Informationen, die der Verantwortliche erst aus den Ausgangsdaten ableitet.
Für den Hörbuchdienst ergibt sich folgende Arbeitsentscheidung, vorausgesetzt die übrigen Bedingungen des Artikels 20 sind erfüllt:
| Datenbestand | Einordnung | Geplanter Umgang |
|---|---|---|
| Selbst eingetragener Profilname und Sprache | Aktiv bereitgestellt | In die Kontodatei aufnehmen |
| Eigene Merkliste und selbst angelegte Sammlungen | Aktiv bereitgestellt | Titelkennungen, Namen und Reihenfolge exportieren |
| Abspielverlauf mit Datum und erreichtem Fortschritt | Durch Nutzung beobachtet | In eine getrennte Verlaufstabelle aufnehmen |
| Vom Dienst berechnetes Interessensegment | Abgeleitete Information | Nicht allein aufgrund von Artikel 20 exportpflichtig; mögliches Auskunftsrecht getrennt prüfen |
| Nutzung eines anderen Haushaltsprofils | Betrifft auch eine andere Person | Zuordnung und Rechte dieser Person vor einer Weitergabe prüfen |
| Technischer Datensatz ohne Bezug zur Kundin | Keine sie betreffenden personenbezogenen Daten | Gehört nicht in ihren Export |
Ein System darf aus der Bereitstellung nicht automatisch ausgeschlossen werden, nur weil seine Daten intern „Analytics“ heißen. Eine rohe Nutzungshistorie kann beobachtete Daten enthalten, während die daraus errechnete Vorhersage abgeleitet ist. Die Exportentscheidung braucht daher eine Beschreibung der tatsächlichen Felder und ihrer Entstehung.
Bei einer abgeleiteten Bonitätsbewertung ist deshalb die Frage nach dem Export von der Frage nach der Entscheidung zu trennen. Der Ablauf zum Anfechten einer SCHUFA-gestützten Entscheidung behandelt die dafür relevanten Auskunfts-, Berichtigungs- und Überprüfungsschritte.
Umgekehrt muss der Verantwortliche keine noch nicht vorhandene Analyse erzeugen, damit die Person sie anschließend übertragen kann. Ein Wunsch nach neu berechneten Statistiken ist von der Herausgabe bereits verarbeiteter, qualifizierender Daten zu unterscheiden. Im Antwortschreiben wird diese Grenze anhand der angefragten Kategorie erklärt, ohne Geschäftsgeheimnisse pauschal als Ablehnungsgrund vorzuschieben.
Eine Anfrage kann mehrere Rechte enthalten
„Ich möchte sämtliche Daten mitnehmen und wissen, wie mein Profil berechnet wurde“ enthält zwei verschiedene Anliegen. Das Team erfasst sowohl den Portabilitätswunsch als auch das mögliche Auskunftsersuchen. Es verlangt nicht, dass die Person zuvor die richtige Artikelnummer nennt.
Der Prozess für Auskunftsersuchen kann Eingang, Zuständigkeit und Fristenkontrolle übernehmen. Die inhaltliche Prüfung bleibt getrennt: Artikel 15 ist nicht auf Einwilligung oder Vertrag begrenzt und kann auch personenbezogene Bewertungen erfassen. Das Auskunftsrecht verlangt außerdem Informationen über die Verarbeitung, die ein bloßer Portabilitätsexport nicht automatisch liefert.
Auch Löschung folgt nicht automatisch aus einem Export. Möchte die Kundin zusätzlich das Konto schließen und Daten löschen lassen, wird dies ausdrücklich erfasst und nach Artikel 17 bearbeitet. Fortbestehende rechtmäßige Aufbewahrungspflichten können dabei relevant sein. Der Beitrag zum Recht auf Löschung hilft, diese Entscheidung vom technischen Transfer zu trennen.
Einen maschinenlesbaren Export sinnvoll strukturieren
CSV, JSON und XML können geeignete Formate sein. Die Dateiendung allein beweist jedoch weder Vollständigkeit noch Nutzbarkeit. Eine CSV-Datei mit einer einzigen Spalte voller unverständlicher Textblöcke verfehlt den praktischen Zweck. Ebenso problematisch ist ein proprietäres Format, dessen Struktur der Empfänger nicht erschließen kann.
Im Beispiel besteht das Paket aus einer Kontodatei, einer Tabelle der Sammlungen und einer Verlaufstabelle. Ein kurzes Datenwörterbuch erklärt die Felder. Bei einem Eintrag „Fortschritt: 35“ steht ausdrücklich dabei, ob Prozent, Minuten oder Sekunden gemeint sind. Zeitangaben nennen die Zeitzone; leere Werte werden von „nicht erhoben“ und „nicht zutreffend“ unterschieden, soweit diese Unterschiede im Ausgangssystem vorhanden sind.
Die Tabellen verwenden konsistente Kennungen, damit ein Verlaufseintrag dem richtigen Hörbuch und eine Sammlung der richtigen Kundin zugeordnet werden kann. Interne Zugangstoken oder Passwörter werden nicht als vermeintlich nützliche Kontoinformation mitgegeben. Die sichere Neuverknüpfung beim empfangenden Dienst ist eine andere Aufgabe als die Herausgabe des Nutzungsverlaufs.
Vor der Übergabe öffnet eine prüfende Person einen mit erfundenen Daten erzeugten Export. Sie kontrolliert Umlaute, Zeilenumbrüche, Sonderzeichen, doppelte Kennungen und Reihenfolgen. Beim echten Auftrag wird zusätzlich die ausgewählte Kontozuordnung geprüft. Ein technisch erfolgreich erzeugtes Archiv kann trotzdem Daten des falschen Profils enthalten.
Direkt übertragen, wenn es technisch machbar ist
Artikel 20 Absatz 2 sieht auf Wunsch eine direkte Übermittlung an einen anderen Verantwortlichen vor, soweit diese technisch machbar ist. Eine API ist eine mögliche Umsetzung, aber kein universell vorgeschriebener Übertragungsweg. Auch muss nicht jedes Unternehmen sein System mit jedem Wettbewerber vollständig kompatibel machen. Technische Machbarkeit wird anhand des konkreten Empfängers und der verfügbaren sicheren Verfahren geprüft.
Die Anfrage benennt deshalb den gewünschten Empfänger und den Umfang. Das Team verifiziert die tatsächliche Zieladresse oder Schnittstelle. Ein in einer E-Mail genannter Uploadlink reicht nicht ungeprüft aus, um einen umfassenden Datensatz dorthin zu senden. Zugangsdaten werden nicht zwischen den Diensten ausgetauscht, wenn eine begrenzte Übertragungsfreigabe genügt.
Ist der direkte Weg nicht machbar, dokumentiert das Team die konkrete Ursache und stellt die qualifizierenden Daten der Kundin sicher bereit. „Unsere Software hat keinen Knopf dafür“ erklärt die gesetzliche Grenze nicht ausreichend. Die Organisation muss prüfen, welche praktikablen Wege tatsächlich zur Verfügung stehen, und darf den Wechsel nicht durch unnötige Hürden behindern.
Rechte anderer und Sicherheit bei der Übergabe berücksichtigen
Gemeinsame Konten, Nachrichten und geteilte Listen können mehrere Personen betreffen. Artikel 20 Absatz 4 schützt deren Rechte und Freiheiten, rechtfertigt aber keine automatische Ablehnung jedes gemischten Datensatzes. Das Team prüft, ob eine begrenzte Auswahl, eine andere Struktur oder eine gezielte Auslassung die Beeinträchtigung vermeidet, ohne die Daten der anfragenden Person unbrauchbar zu machen.
Im Beispiel wird ein eigenständiges Erwachsenenprofil des Haushalts nicht allein deshalb vollständig exportiert, weil die Kundin das Abonnement bezahlt. Die Zuordnung der eigenen Nutzung wird geprüft. Bei gemeinsamen Listen wird die tatsächliche Beziehung der Einträge bewertet; eine pauschale Regel „alle fremden Namen entfernen“ könnte den sinnvollen Gebrauch ebenfalls beeinträchtigen.
Für die Übergabe werden ein authentisierter Download oder ein entsprechend geschützter Übertragungskanal festgelegt. Berechtigungen, Linklaufzeit und eine gegebenenfalls getrennte Schlüsselübermittlung gehören in die Planung der Verschlüsselung. Bestehen begründete Zweifel an der Identität, dürfen erforderliche zusätzliche Angaben verlangt werden. Eine routinemäßige Ausweiskopie bei jedem eingeloggten Bestandskunden ist damit nicht gerechtfertigt.
Frist und Antwort im bearbeiteten Fall festhalten
Nach Artikel 12 erfolgt die Information über die ergriffenen Maßnahmen unverzüglich, jedenfalls grundsätzlich innerhalb eines Monats nach Eingang. Bei erforderlicher Verlängerung wegen Komplexität oder Anzahl der Anträge ist innerhalb dieses ersten Monats über die Verlängerung und die Gründe zu informieren; möglich sind zwei weitere Monate. Ein Monat ist nicht pauschal mit dreißig Tagen gleichzusetzen.
Die Abschlussantwort im Beispiel benennt die bereitgestellten Kontoeinstellungen, Sammlungen und Nutzungsverläufe, erläutert Format und Downloadweg und erklärt die begrenzte Auslassung des fremden Haushaltsprofils. Das abgeleitete Interessensegment wird dem parallel erfassten Auskunftsteil zugeordnet. Über einen zusätzlich gestellten Löschantrag wird gesondert entschieden. Bei einer Nichtbearbeitung gelten außerdem die Informationspflichten aus Artikel 12 Absatz 4, einschließlich Gründen und Hinweisen auf Beschwerde und gerichtlichen Rechtsbehelf.
Als Nachweis bleiben Auftragsumfang, geprüfte Systeme, Auswahlentscheidung, Lieferzeitpunkt und verantwortliche Freigabe erhalten. Ein zweiter vollständiger Export muss dafür nicht unbegrenzt gespeichert werden. Temporäre Dateien und abgelaufene Downloadpakete erhalten ein festgelegtes Löschereignis. So endet der Vorgang mit einer nachvollziehbaren Übergabe statt mit einer weiteren unkontrollierten Kopie des Kundenkontos.