Datenportabilität

Definition: Datenportabilität ist ein Betroffenenrecht gemäß Art. 20 der Datenschutz-Grundverordnung (DSGVO), das jeder Person das Recht einräumt, die sie betreffenden personenbezogenen Daten, die sie einem Verantwortlichen bereitgestellt hat, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten. Darüber hinaus hat die betroffene Person das Recht, diese Daten einem anderen Verantwortlichen ohne Behinderung durch den bisherigen Verantwortlichen zu übermitteln. Das Recht auf Datenportabilität gilt jedoch nicht unbegrenzt: Es ist auf jene Daten beschränkt, die die betroffene Person selbst aktiv bereitgestellt hat, und greift nur, wenn die Verarbeitung auf einer Einwilligung (Art. 6 Abs. 1 lit. a) oder auf einem Vertrag (Art. 6 Abs. 1 lit. b) basiert und mithilfe automatisierter Verfahren erfolgt. Manuell geführte Akten oder auf berechtigtem Interesse gestützte Verarbeitungen fallen nicht darunter. Für Plattformbetreiber, Online-Shops und Anbieter digitaler Dienste bedeutet dies eine konkrete technische Implementierungspflicht: Sie müssen Exportfunktionen bereitstellen, die Nutzerdaten in standardisierten Formaten ausgeben.

Erläuterung

Das Recht auf Datenportabilität ist ein vergleichsweise neues Betroffenenrecht, das erst mit der DSGVO im Mai 2018 in Kraft trat. Es soll die Marktmacht großer Plattformen begrenzen und Nutzern ermöglichen, ohne Datenverlust zu einem anderen Anbieter zu wechseln. Der Europäische Gesetzgeber wollte damit Herstellerabhängigkeiten (Vendor Lock-in) reduzieren und den digitalen Wettbewerb stärken. Im Zusammenspiel mit dem Digital Markets Act (DMA) gewinnt der Portabilitätsgedanke weiter an Bedeutung.

Technisch muss der Datenexport in einem „gängigen" und „maschinenlesbaren" Format erfolgen. In der Praxis werden häufig die Formate CSV (Comma-Separated Values), JSON (JavaScript Object Notation) und XML verwendet. PDF gilt in der Regel nicht als maschinenlesbar im Sinne der DSGVO, da es nicht ohne weiteres zur Weiterverarbeitung durch ein anderes System geeignet ist. Der Europäische Datenschutzausschuss (EDPB) empfiehlt in seinen Leitlinien zur Datenportabilität (Guidelines 5/2019), offene und interoperable Formate zu verwenden.

Für Online-Marketer und Plattformbetreiber ergeben sich konkrete Anforderungen: Ein Online-Shop muss seinem Kunden auf Anfrage dessen Bestellhistorie, gespeicherte Adressen, Profilinformationen und Präferenzen in einem exportierbaren Format zur Verfügung stellen – idealerweise über eine Selbstbedienungsfunktion im Kundenkonto. Eine Fitness-App muss Trainingsdaten portierbar machen. Ein Musik-Streamingdienst muss Nutzerbibliotheken und Listening-History exportierbar anbieten.

Wichtig zu unterscheiden ist das Recht auf Datenportabilität vom Auskunftsrecht (Art. 15 DSGVO): Beim Auskunftsrecht geht es um die Information über die Verarbeitung; bei der Portabilität geht es um die strukturierte Herausgabe der Daten zur Weiterverwendung. Beide Rechte können von betroffenen Personen unabhängig voneinander geltend gemacht werden.

Kommt der Verantwortliche einer Portabilitätsanfrage nicht innerhalb der Monatsfrist nach (Art. 12 Abs. 3 DSGVO), stellt dies eine Verletzung der Betroffenenrechte dar, die von Aufsichtsbehörden geahndet werden kann. Die Frist kann bei besonderer Komplexität um weitere zwei Monate verlängert werden, sofern die betroffene Person innerhalb des ersten Monats über die Verlängerung und ihre Gründe informiert wird.

Voraussetzungen des Portabilitätsrechts

• Selbst bereitgestellte Daten: Nur Daten, die die Person aktiv eingegeben hat (z. B. Name, Adresse, Profilangaben) oder durch Nutzungsverhalten erzeugt wurden (z. B. Käufe, Klicks, Streamingverlauf), sind erfasst – keine abgeleiteten oder angereichertern Daten.
• Rechtsgrundlage Einwilligung oder Vertrag: Das Recht gilt nicht für Verarbeitungen auf Basis berechtigten Interesses oder zur Erfüllung rechtlicher Verpflichtungen.
• Automatisierte Verarbeitung: Rein manuelle Akten sind ausgeschlossen; die Verarbeitung muss zumindest teilweise automatisiert sein.
• Antragstellung: Die betroffene Person muss den Antrag stellen – eine automatische Bereitstellung ist keine Pflicht, aber eine empfehlenswerte Best Practice.

Technische Umsetzung für Plattformen

• Self-Service-Export: Stellen Sie im Nutzerkonto eine Funktion bereit, über die der Nutzer seine Daten selbst herunterladen kann – ähnlich wie Google Takeout oder Facebook's „Deine Facebook-Daten".
• Standardformate: Exportieren Sie Daten in CSV, JSON oder XML; dokumentieren Sie die Feldbezeichnungen im Export, damit sie maschinenlesbar und für den Import in andere Systeme geeignet sind.
• API-Schnittstellen: Bei größeren Plattformen empfiehlt sich die Bereitstellung einer API, über die Daten direkt an einen anderen Verantwortlichen übermittelt werden können.
• Datenkatalog: Definieren Sie intern, welche Datenkategorien unter das Portabilitätsrecht fallen und wie der Exportprozess technisch abläuft.