Datenschutzrechtliche Pflicht zur Datenübertragbarkeit
Wann Verantwortliche laut DSGVO Daten des Betroffenen übertragen müssen
Lesedauer: 6 Minuten
Wem steht das Recht auf Datenübertragbarkeit zu?
Jede betroffene Person hat ein Recht auf Datenübertragbarkeit hinsichtlich ihrer personenbezogenen Daten.
Wen trifft die Pflicht zur Datenübertragbarkeit?
Nur Sie als Verantwortlicher müssen die Datenübertragbarkeit gewährleisten.
Wie können betroffene Personen die Datenübertragbarkeit verlangen?
Die betroffene Person kann den Antrag formlos (Frage 5) stellen.
Müssen Sie einen Identitätsnachweis verlangen, bevor Sie den Antrag erfüllen?
Grundsätzlich ist ein Identitätsnachweis der antragsstellenden Person nicht erforderlich. Sollten Sie allerdings begründete Zweifel an der Identität der antragstellenden Person haben, können Sie zusätzliche Informationen anfordern (z. B. Ausweiskopie).
- Weitere Infos zum Identitätsnachweis erhalten Wann und wie müssen betroffene Personen ihre Identität nachweisen, damit der Verantwortliche Betroffenenanträge bearbeitet?
Welche Voraussetzungen hat das Recht auf Datenübertragbarkeit?
- Die Verarbeitung erfolgt mithilfe automatisierter Verfahren (Dokumente in Papierform sind ausgenommen).
- Die Verarbeitung beruht auf einer Einwilligung der betroffenen Person oder auf einem Vertrag mit der betroffenen Person. Daten, die aufgrund einer gesetzlichen Verpflichtung verarbeitet werden (z. B. im Rahmen der Pflichten zur Verhütung und Aufdeckung von Geldwäsche oder arbeitsrechtlicher Bestimmungen), unterliegen nicht dem Recht auf Datenübertragbarkeit.
- Die betroffene Person hat die Daten bereitgestellt
- Die Daten betreffen zumindest auch die betroffene Person.
Welche Daten umfasst das Recht auf Datenübertragbarkeit?
Das Recht auf Datenübertragbarkeit umfasst
- Daten, welche die betroffene Person betreffen
- Daten anderer Personen, wenn sie in engem Zusammenhang mit den Daten der betroffenen Person stehen
Beispiele
E-Mails, Chatprotokolle, Kontaktlisten, Fotos, Überweisungen.
Wenn die Daten anderer Personen erfasst sein sollen, müssen Sie deren Interessen prüfen.
Wie stellen betroffene Person ihre Daten bereit?
Betroffene Personen stellen ihre Daten bereit, indem sie
- Daten aktiv zur Verfügung stellen
Beispiele
Übermittlung eines ausgefüllten Kontaktformulars, Fotos auf einer Social-Media-Plattform, Wiedergabeliste bei einem Musik-Streaming-Dienst, Kontakte aus der Webmail-Anwendung - die Dienstleistung nutzen bzw. bei der Nutzung beobachtet werden
Beispiele
Aktivitätsprotokolle, Rohdaten aus einem Smart Meter oder Tracking-Gerät, Websiten-Suchverläufe, Verkehrs- und Standortdaten, Verlaufsliste einer Podcast-App, mit Kundenkarten getätigte Einkäufe
Welche Daten sind vom Recht auf Datenübertragbarkeit ausgeschlossen?
Ausgeschlossen vom Recht auf Datenübertragbarkeit sind Daten, die Sie als Verantwortlicher selbständig erzeugen.
Beispiele
Nutzerprofil auf Basis einer Analyse der Rohdaten eines Smart Meters, Bewertung des Gesundheitszustandes eines Nutzers, Risiko-Profil zwecks Bonitätsbewertung.
Auch wenn die von Ihnen selbständig erzeugten Daten vom Recht auf Datenübertragbarkeit ausgeschlossen sind, bedeutet das nicht, dass keine personenbezogenen Daten der betroffenen Person vorliegen. Betroffene Personen können andere Rechte geltend machen - insbesondere das Recht auf Auskunft.
- Weiterführende Infos zu den Betroffenenrechten.
Ebenso sind Daten vom Recht auf Datenübertragbarkeit ausgeschlossen, die von einem Dritten bereitgestellt wurden, wie z. B. empfangene E-Mails.
Wie sollen Sie als Verantwortlicher auf einen Antrag auf Datenübertragung reagieren?
Sofern die obigen Voraussetzungen zutreffen (Welche Voraussetzungen hat das Recht auf Datenübertragbarkeit?) haben Sie der betroffenen Person alle personenbezogenen Daten, die Ihnen diese bereitgestellt gestellt hat, in einem strukturierten, gängigen und maschinenlesbaren Format zu übermitteln.
Müssen Sie als Verantwortlicher Ihre Systeme anpassen, um einen Antrag auf Datenübertragung erfüllen zu können?
Als Verantwortlicher müssen Sie die Daten in einem strukturierten, gängigen und maschinenlesbaren Format zur Verfügung stellen. Das bedeutet aber nicht, dass Sie technisch kompatible Datenverarbeitungssysteme übernehmen oder beibehalten müssen.
Üblich sind offene Formate wie z. B. XML, JSON oder CSV.
Beispiel
PDF-Fassungen eines E-Mail-Postfaches erfüllen die Voraussetzungen nicht, wenn der Verantwortliche die technische Möglichkeit zur Übermittlung in XML hat.
Wie müssen Sie als Verantwortlicher die Daten übermitteln?
Je nach Umfang können Sie als Verantwortlicher die Daten wie folgt übermitteln:
- per E-Mail
- als Download (Web, API, SFTP)
- mittels Datenträger
Informationen dazu finden Sie auf unserer Übersichtsseite zu den Betroffenenrechten (Frage 8).
Beispiel
Sie schützen die zu übermittelnden Dateien mittels sicheren Passwortes oder verschlüsselter E-Mail.
Können Daten von einem Verantwortlichen auf einen anderen Verantwortlichen übertragen werden?
Betroffene Personen können ihre Daten unter folgenden Voraussetzungen von einem Verantwortlichen auf einen anderen übertragen (lassen):
- Die betroffene Person stellt den Antrag auf Datenübermittlung an Sie als Verantwortlichen, erhält die Daten und übermittelt die Daten selbst einem anderen Verantwortlichen.
- Die betroffene Person weist Sie als Verantwortlichen im Zuge der Antragstellung an, ihre Daten direkt einem anderen Verantwortlichen zu übermitteln. Voraussetzung dafür ist, dass dies technisch machbar ist. Sie als „übermittelnder“ Verantwortlicher müssen die betroffene Person von der erfolgten Datenübertragung verständigen.
Dadurch werden die Daten der betroffenen Person von Ihnen als Verantwortlichen auf einen anderen (neuen) Verantwortlichen übertragen.
Müssen Sie als Verantwortlicher die betroffene Person verständigen?
Als Verantwortlicher müssen Sie die betroffene Person von der (nicht) durchgeführten Maßnahme informieren. Detaillierte Informationen dazu finden Sie auf unserer Übersichtsseite zu den Betroffenenrechten (Fragen 7 und 8).
In welchen Fällen können Sie den Antrag ablehnen?
Die allgemeinen Ablehnungsrechte von Verantwortlichen finden Sie auf unserer Übersichtsseite zu den Betroffenenrechten (Frage 12).
Außerdem können Sie den Antrag ablehnen, wenn die Erfüllung des Antrags Ihre berechtigten Interessen oder die eines Dritten gefährdet.
Beispiele
Geschäftsgeheimnisse, Urheberrechte
- Weiterführende Infos zu den Betroffenenrechten.
Innerhalb welcher Frist müssen Verantwortliche dem Antrag nachkommen?
Als Verantwortlicher müssen Sie dem Betroffenenantrag unverzüglich nachkommen. Details zu den Frist finden Sie auf unserer Übersichtsseite zu den Betroffenenrechten (Frage 10).
Dürfen Verantwortliche für die Umsetzung des Antrags ein Entgelt verlangen?
Grundsätzlich müssen Sie als Verantwortlicher dem Antrag auf Berichtigung, Löschung oder Einschränkung der Verarbeitung kostenlos nachkommen. Es gibt jedoch Ausnahmen, die ein Entgelt rechtfertigen (Frage 12).
Wo kann die betroffene Person ihre Ansprüche auf Datenübertragbarkeit durchsetzen?
Wo Antragstellende ihre Ansprüche auf Berichtigung, Löschung oder Einschränkung durchsetzen können, erfahren Sie auf unserer Übersichtsseite zu den Betroffenenrechten (Frage 14).
Welche Geldstrafen drohen bei Verletzung des Rechts auf Datenübertragbarkeit?
Wenn Sie als Verantwortlicher die Rechte von betroffenen Personen verletzen, müssen Sie mit einem Bußgeld rechnen (Frage 15).
Zum Nachschlagen: Gesetzliche Bestimmungen zu den Betroffenenrechten
Kontakt für Rückfragen
Sie haben weitere Fragen zum Datenschutz oder zu DSGVO4KMU? Wir unterstützen Sie gerne.