Das Recht auf Datenübertragbarkeit (Datenportabilität) nach Art. 20 DSGVO erlaubt einer Person, die Daten, die sie Ihnen bereitgestellt hat, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten. Auf Wunsch übermitteln Sie die Daten direkt an einen anderen Anbieter, soweit das technisch machbar ist. Das Recht gilt nur bei automatisierter Verarbeitung auf Grundlage von Einwilligung oder Vertrag. Sie antworten innerhalb eines Monats und grundsätzlich kostenlos.
Wann besteht das Recht nach Art. 20 DSGVO?
Art. 20 Abs. 1 DSGVO nennt drei Voraussetzungen:
- Es geht um personenbezogene Daten, die die Person betreffen und die sie Ihnen bereitgestellt hat.
- Die Verarbeitung beruht auf einer Einwilligung (Art. 6 Abs. 1 lit. a oder Art. 9 Abs. 2 lit. a DSGVO) oder auf einem Vertrag (Art. 6 Abs. 1 lit. b DSGVO).
- Die Verarbeitung erfolgt mithilfe automatisierter Verfahren. Papierakten fallen nicht darunter.
Bei berechtigtem Interesse oder rechtlicher Pflicht besteht das Recht nicht (Erwägungsgrund 68). Es gilt auch nicht für Verarbeitungen zur Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt (Art. 20 Abs. 3 Satz 2 DSGVO). Die Übertragung führt nicht zur Löschung. Dafür braucht es einen eigenen Antrag nach Art. 17 DSGVO (Art. 20 Abs. 3 Satz 1 DSGVO). Und die Übertragung darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen (Art. 20 Abs. 4 DSGVO).
Das Recht steht nur natürlichen Personen zu. Ein Unternehmen als Geschäftskunde kann sich nicht auf Art. 20 DSGVO berufen.
Welche Daten sind erfasst?
Die Art.-29-Datenschutzgruppe hat den Begriff "bereitgestellt" in ihren Leitlinien WP242 rev.01 weit ausgelegt. Der Europäische Datenschutzausschuss hat diese Leitlinien übernommen.
| Datenart | erfasst? | Beispiel |
|---|---|---|
| Aktiv angegebene Daten | ja | Name, Anschrift, Profilangaben, hochgeladene Dateien |
| Beobachtete Rohdaten aus der Nutzung | ja | Herzfrequenz eines Fitness-Trackers, Zählerdaten, Suchverlauf, Transaktionsverlauf |
| Abgeleitete oder gefolgerte Daten | nein | Nutzerprofil, Empfehlungen, Bonitäts- oder Risikobewertung |
| Daten aus Papierakten | nein | handschriftlich ausgefüllte Formulare |
| Daten Dritter im Datensatz | eingeschränkt | Kontaktliste, Empfänger in einem Nachrichtenverlauf |
Nach WP242 müssen Sie Daten nicht länger aufbewahren, nur um künftige Anfragen erfüllen zu können. Was nach Ihren Löschfristen schon gelöscht ist, müssen Sie nicht herausgeben.
Format und Direktübermittlung
Das Format muss strukturiert, gängig und maschinenlesbar sein. Gibt es in Ihrer Branche kein übliches Format, empfiehlt WP242 offene Formate wie XML, JSON oder CSV mit beschreibenden Metadaten. Ein PDF reicht in der Regel nicht, weil sich die Daten daraus kaum weiterverwenden lassen. Sie sollen interoperable Formate fördern, müssen aber keine kompatiblen Systeme anschaffen (Erwägungsgrund 68).
Auf Wunsch übermitteln Sie direkt an einen anderen Verantwortlichen, soweit das technisch machbar ist (Art. 20 Abs. 2 DSGVO). Für die Verarbeitung beim Empfänger haften Sie nach WP242 nicht, weil die Person ihn ausgewählt hat.
So bearbeiten Sie eine Anfrage in 8 Schritten
- Eingang: Datum festhalten, denn ab hier läuft die Frist.
- Identität: Nur bei begründeten Zweifeln zusätzliche Angaben verlangen (Art. 12 Abs. 6 DSGVO). Oft genügt die Anmeldung im Kundenkonto.
- Rechtsgrundlage: Prüfen, ob Einwilligung oder Vertrag vorliegt. Ihr Verarbeitungsverzeichnis hilft dabei.
- Umfang: Bereitgestellte und beobachtete Daten auswählen, abgeleitete Daten ausklammern, Daten Dritter prüfen.
- Format: Export in CSV, JSON oder XML erstellen.
- Übermittlung: Verschlüsselt an die Person oder direkt an den neuen Anbieter.
- Frist: Unverzüglich, spätestens innerhalb eines Monats. Bei komplexen Anfragen ist eine Verlängerung um zwei Monate möglich, wenn Sie die Person innerhalb des ersten Monats mit Gründen informieren (Art. 12 Abs. 3 DSGVO).
- Dokumentation: Anfrage, Prüfung, Antwort und Versanddatum ablegen.
Ist ein Dienstleister beteiligt, muss er Sie nach Art. 28 Abs. 3 lit. e DSGVO bei der Beantwortung unterstützen.
Wann dürfen Sie ablehnen?
Fehlen die Voraussetzungen, teilen Sie das innerhalb eines Monats mit, samt Gründen und Hinweis auf Beschwerde und gerichtlichen Rechtsbehelf (Art. 12 Abs. 4 DSGVO). Bei offenkundig unbegründeten oder exzessiven Anträgen, etwa bei häufiger Wiederholung, dürfen Sie ein angemessenes Entgelt verlangen oder ablehnen. Den Nachweis tragen Sie (Art. 12 Abs. 5 DSGVO).
Art. 15 und Art. 20 DSGVO im Vergleich
| Auskunft (Art. 15) | Datenübertragbarkeit (Art. 20) | |
|---|---|---|
| Rechtsgrundlage | jede | nur Einwilligung oder Vertrag, automatisiert |
| Umfang | alle Daten zur Person plus Zwecke, Empfänger, Speicherdauer | nur bereitgestellte Daten |
| Format | Kopie, bei elektronischem Antrag in gängigem elektronischem Format | strukturiert, gängig, maschinenlesbar |
| Weitergabe an Dritte | nein | auf Wunsch direkt, wenn technisch machbar |
Oft kommen beide Anträge zusammen. Details zur Auskunft finden Sie im Beitrag zum Auskunftsrecht nach Art. 15 DSGVO.
Wenn Sie Daten empfangen
Wer übertragene Daten erhält, wird selbst Verantwortlicher und muss die Grundsätze des Art. 5 DSGVO einhalten. Nach WP242 übernehmen Sie nur die Daten, die Sie für Ihren Dienst brauchen. Zur Annahme sind Sie nicht verpflichtet. Daten Dritter, etwa Adressbücher, dürfen Sie nicht für eigene Zwecke wie Werbung nutzen.
Beschäftigtendaten
Gegenüber Beschäftigten spielt Art. 20 DSGVO eine kleinere Rolle. WP242 nennt den Arbeitsvertrag als typische Grundlage. Einwilligungen gelten wegen des Abhängigkeitsverhältnisses oft nicht als freiwillig, und vieles beruht auf rechtlichen Pflichten. Prüfen Sie jeden Einzelfall.
Beispiele aus Unternehmen
- Fitness-App: Trainingseinheiten und gemessene Herzfrequenz sind erfasst, ein berechneter Fitness-Score nicht.
- Energieversorger: Beim Wechsel exportiert er Vertragsdaten und Verbrauchswerte, soweit die Verarbeitung auf dem Vertrag beruht.
- SaaS-Anbieter im B2B-Geschäft: Der Firmenkunde hat kein Recht aus Art. 20 DSGVO. Für den Anbieterwechsel gilt aber der EU Data Act.
Abgrenzung zum EU Data Act
Der Data Act (VO (EU) 2023/2854) gilt seit dem 12.09.2025 und ist ein eigenes Regelwerk neben der DSGVO:
- Vernetzte Produkte: Nutzer erhalten Zugang zu den Daten ihres Produkts und verbundener Dienste (Art. 4) und können sie an Dritte weitergeben lassen (Art. 5). Das gilt für personenbezogene und andere Daten, unabhängig von der Rechtsgrundlage. Die Rechte ergänzen Art. 15 und Art. 20 DSGVO (Art. 1 Abs. 5). Produkte und Dienste von Kleinst- und Kleinunternehmen sind unter Bedingungen ausgenommen (Art. 7).
- Cloud-Wechsel: Anbieter von Datenverarbeitungsdiensten müssen den Wechsel ermöglichen (Art. 23 ff.), mit einer Kündigungsfrist von höchstens zwei Monaten und einer Übergangsfrist von grundsätzlich höchstens 30 Kalendertagen (Art. 25). Ab dem 12.01.2027 sind Wechselentgelte verboten, bis dahin nur zu Selbstkosten erlaubt (Art. 29).
Praktische Schritte
- Verarbeitungen kennzeichnen, die auf Einwilligung oder Vertrag beruhen.
- Exportfunktion im Kundenkonto einrichten.
- Fristenkalender und Musterantwort vorbereiten.
- Unterstützungspflichten in Auftragsverarbeitungsverträgen prüfen.
- Bei SaaS und vernetzten Produkten zusätzlich die Pflichten aus dem Data Act klären.
Datenkodex unterstützt als externer Datenschutzbeauftragter bei der Bearbeitung solcher Anträge und prüft in einem Datenschutz-Audit, ob Ihre Prozesse für Betroffenenanfragen funktionieren.