Datenschutzrechtliche Pflicht zur Datenübertragbarkeit
Wann Verantwortliche laut DSGVO Daten des Betroffenen übertragen müssen
Lesedauer: 6 Minuten
Wem steht das Recht auf Datenübertragbarkeit zu?
Jede betroffene Person hat ein Recht auf Datenübertragbarkeit hinsichtlich ihrer personenbezogenen Daten.
Wen trifft die Pflicht zur Datenübertragbarkeit?
Nur Sie als Verantwortlicher müssen die Datenübertragbarkeit gewährleisten.
Wie können betroffene Personen die Datenübertragbarkeit verlangen?
Die betroffene Person kann einen Antrag formlos $LINK Betroffenenrechte - Muss der Betroffene seine Anträge schriftlich stellen? an Sie stellen.
Müssen Sie einen Identitätsnachweis verlangen, bevor Sie den Antrag erfüllen?
Grundsätzlich ist ein Identitätsnachweis der antragsstellenden Person nicht erforderlich. Sollten Sie allerdings begründete Zweifel an der Identität der antragstellenden Person haben, können Sie zusätzliche Informationen anfordern (z. B. Ausweiskopie).
- Weitere Infos zum Identitätsnachweis erhalten Wann und wie müssen betroffene Personen ihre Identität nachweisen, damit der Verantwortliche Betroffenenanträge bearbeitet?
Welche Voraussetzungen hat das Recht auf Datenübertragbarkeit?
- Die Verarbeitung erfolgt mithilfe automatisierter Verfahren (Dokumente in Papierform sind ausgenommen).
- Die Verarbeitung beruht auf einer Einwilligung der betroffenen Person oder auf einem Vertrag mit der betroffenen Person. Daten, die aufgrund einer gesetzlichen Verpflichtung verarbeitet werden (z. B. im Rahmen der Pflichten zur Verhütung und Aufdeckung von Geldwäsche oder arbeitsrechtlicher Bestimmungen), unterliegen nicht dem Recht auf Datenübertragbarkeit.
- Die betroffene Person hat die Daten bereitgestellt
- Die Daten betreffen zumindest auch die betroffene Person.
Welche Daten umfasst das Recht auf Datenübertragbarkeit?
Das Recht auf Datenübertragbarkeit umfasst
- Daten, welche die betroffene Person betreffen
- Daten anderer Personen, wenn sie in engem Zusammenhang mit den Daten der betroffenen Person stehen
$Beispiele: E-Mails, Chatprotokolle, Kontaktlisten, Fotos, Überweisungen
Wenn die Daten anderer Personen erfasst sein sollen, müssen Sie deren Interessen prüfen.
Wie stellen betroffene Person ihre Daten bereit?
Betroffene Personen stellen ihre Daten bereit, indem sie
- Daten aktiv zur Verfügung stellen
Beispiele
Übermittlung eines ausgefüllten Kontaktformulars, Fotos auf einer Social-Media-Plattform, Wiedergabeliste bei einem Musik-Streaming-Dienst, Kontakte aus der Webmail-Anwendung - die Dienstleistung nutzen bzw. bei der Nutzung beobachtet werden
Beispiele
Aktivitätsprotokolle, Rohdaten aus einem Smart Meter oder Tracking-Gerät, Websiten-Suchverläufe, Verkehrs- und Standortdaten, Verlaufsliste einer Podcast-App, mit Kundenkarten getätigte Einkäufe
Welche Daten sind vom Recht auf Datenübertragbarkeit ausgeschlossen?
Ausgeschlossen vom Recht auf Datenübertragbarkeit sind Daten, die Sie als Verantwortlicher selbständig erzeugen.
Beispiele
Nutzerprofil auf Basis einer Analyse der Rohdaten eines Smart Meters, Bewertung des Gesundheitszustandes eines Nutzers, Risiko-Profil zwecks Bonitätsbewertung.
Auch wenn die von Ihnen selbständig erzeugten Daten vom Recht auf Datenübertragbarkeit ausgeschlossen sind, bedeutet das nicht, dass keine personenbezogenen Daten der betroffenen Person vorliegen. Betroffene Personen können andere Rechte geltend machen - insbesondere das Recht auf Auskunft $Link Recht auf Auskunft.
- Weiterführende Infos zu den Betroffenenrechten $Link Betroffenenrechte
Ebenso sind Daten vom Recht auf Datenübertragbarkeit ausgeschlossen, die von einem Dritten bereitgestellt wurden, wie z. B. empfangene E-Mails.
Wie sollen Sie als Verantwortlicher auf einen Antrag auf Datenübertragung reagieren?
Sofern die obigen Voraussetzungen zutreffen (Welche Voraussetzungen hat das Recht auf Datenübertragbarkeit?) haben Sie der betroffenen Person alle personenbezogenen Daten, die Ihnen diese bereitgestellt gestellt hat, in einem strukturierten, gängigen und maschinenlesbaren Format zu übermitteln.
Müssen Sie als Verantwortlicher Ihre Systeme anpassen, um einen Antrag auf Datenübertragung erfüllen zu können?
Als Verantwortlicher müssen Sie die Daten in einem strukturierten, gängigen und maschinenlesbaren Format zur Verfügung stellen. Das bedeutet aber nicht, dass Sie technisch kompatible Datenverarbeitungssysteme übernehmen oder beibehalten müssen.
Üblich sind offene Formate wie z. B. XML, JSON oder CSV.
Beispiel
PDF-Fassungen eines E-Mail-Postfaches erfüllen die Voraussetzungen nicht, wenn der Verantwortliche die technische Möglichkeit zur Übermittlung in XML hat.
Wie müssen Sie als Verantwortlicher die Daten übermitteln?
Je nach Umfang können Sie als Verantwortlicher die Daten wie folgt übermitteln:
- per E-Mail
- als Download (Web, API, SFTP)
- mittels Datenträger
Beispiel
Sie schützen die zu übermittelnden Dateien mittels sicheren Passwortes oder verschlüsselter E-Mail.
Können Daten von einem Verantwortlichen auf einen anderen Verantwortlichen übertragen werden?
Betroffene Personen können ihre Daten unter folgenden Voraussetzungen von einem Verantwortlichen auf einen anderen übertragen (lassen):
- Die betroffene Person stellt den Antrag auf Datenübermittlung an Sie als Verantwortlichen, erhält die Daten und übermittelt die Daten selbst einem anderen Verantwortlichen.
- Die betroffene Person weist Sie als Verantwortlichen im Zuge der Antragstellung an, ihre Daten direkt einem anderen Verantwortlichen zu übermitteln. Voraussetzung dafür ist, dass dies technisch machbar ist. Sie als „übermittelnder“ Verantwortlicher müssen die betroffene Person von der erfolgten Datenübertragung verständigen.
Dadurch werden die Daten der betroffenen Person von Ihnen als Verantwortlichen auf einen anderen (neuen) Verantwortlichen übertragen.
Müssen Sie als Verantwortlicher die betroffene Person verständigen?
Als Verantwortlicher müssen Sie die betroffene Person von der durchgeführten Maßnahme informieren. Detaillierte Informationen zu den Formatvorgaben finden Sie auf unserer Übersichtsseite CTA mit Link zur Frage „Wie sollten Verantwortliche mit der betroffenen Person kommunizieren?“
In welchen Fällen können Sie als Verantwortlicher den Antrag ablehnen?
Die allgemeinen Ablehnungsrechte von Verantwortlichen finden Sie auf unserer Übersichtsseite $CTA $LINK Betroffenenrechte - Dürfen Verantwortliche die Erfüllung antragsgebundener Betroffenenanträge ablehnen?
Außerdem können Sie als Verantwortlicher den Antrag ablehnen, wenn die Erfüllung des Antrags Ihre berechtigten Interessen oder die eines Dritten gefährdet.
Beispiele
Geschäftsgeheimnisse, Urheberrechte
- Weitere Infos zu den Betroffenenrechten erhalten $Link Startseite Betroffenenrechte
Innerhalb welcher Frist müssen Verantwortliche dem Antrag nachkommen?
Als Verantwortlicher müssen Sie dem Betroffenenantrag unverzüglich nachkommen.
- Weitere Infos zu den Fristen erhalten $LINK Betroffenenrechte - Innerhalb welcher Frist müssen Verantwortliche Anfragen von Betroffenen beantworten? Kann sie verlängert werden?
Dürfen Verantwortliche für die Umsetzung des Antrags ein Entgelt verlangen?
Grundsätzlich müssen Sie als Verantwortlicher die Datenübertragung kostenlos durchführen. Es gibt jedoch Ausnahmen, die ein Entgelt rechtfertigen.
- Weitere Infos zu den Ausnahmen in Bezug auf das Entgelt erhalten $Link Betroffenenrechte - Dürfen Verantwortliche für die Erfüllung von Betroffenenanträgen ein Entgelt verlangen?
Wo kann die betroffene Person ihre Ansprüche auf Datenübertragbarkeit durchsetzen?
- Wo Betroffene ihre Rechte durchsetzen können $Link Betroffenenrechte - Wie können Betroffene ihre Rechte durchsetzen?
Welche Geldstrafen drohen bei Verletzung des Rechts auf Datenübertragbarkeit?
Wenn Sie als Verantwortlicher die Rechte von betroffenen Personen verletzen, müssen Sie mit einem Bußgeld rechnen.
- Weitere Infos zu Geldstrafen für verletzte Betroffenenrechte erhalten $CTA Betroffenenrechte - Mit welchen Geldstrafen müssen Verantwortliche rechnen, wenn sie Betroffenenrechte verletzen?
Zum Nachschlagen: Gesetzliche Bestimmungen zu den Betroffenenrechten
Kontakt für Rückfragen
Sie haben weitere Fragen zum Datenschutz oder zu DSGVO4KMU? Wir unterstützen Sie gerne.