Jede Person hat nach Art. 20 Datenschutz-Grundverordnung (DSGVO) einen Rechtsanspruch, personenbezogene Daten, die sie einem Unternehmen im Rahmen eines Vertrags oder auf Basis einer Einwilligung bereitgestellt hat, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten. Zudem hat sie das Recht, dass diese Daten direkt zu einem anderen Unternehmen (zum Beispiel einem Konkurrenzunternehmen) transferiert werden.

Das bedeutet, dass betroffene Personen beispielsweise von einem sozialen Netzwerk verlangen können, ihre Profildaten und Kommunikationsinhalte so ausgehändigt zu bekommen, dass sie zu einem anderen sozialen Netzwerk wechseln können, ohne ihre Profil- und Kommunikationsdaten aufgeben zu müssen. Dies gilt auch bei jeder anderen automatisierten Verarbeitung, also etwa auch für Verträge mit Energieversorgungsunternehmen, Banken oder Versicherungen. Die Regelung hat primär eine wettbewerbsrechtliche Dimension. Gemäß Art. 20 Abs. 3 Satz 2 DSGVO gilt das Recht auf Datenübertragbarkeit nicht gegenüber Einrichtungen der öffentlichen Verwaltung.

Das Recht auf Datenübertragbarkeit soll Wettbewerb und Datenschutz befördern, indem es Lock-in-Effekte abschwächt, die zu einer faktischen, nicht mehr auflösbaren Bindung an bestimmte Dienste und Anbieter:innen führen. Es soll den Nutzer:innen erleichtern, beispielsweise zu einem datenschutzfreundlicheren Unternehmen zu wechseln. Dabei hat die betroffene Person die Wahl, ob sie die Daten selbst erhalten und an das neue Unternehmen weitergeben will oder ob das bisherige Unternehmen die Daten direkt an das neue Unternehmen weiterleiten soll.

Allerdings ist das Recht auf Datenübertragbarkeit auf diejenigen Daten beschränkt, die die betroffene Person dem Unternehmen selbst zur Verfügung gestellt hat. Zudem beinhaltet das Recht auf Datenübertragbarkeit nicht automatisch die Löschung beim bisherigen Unternehmen. Diese muss gemäß Art. 17 DSGVO zusätzlich angefordert werden.

Zur weiteren Information stellen wir Ihnen die Leitlinien zum Recht auf Datenübertragbarkeit der Art. 29-Datenschutzgruppe bereit, die der Europäische Datenschutzausschuss (EDSA) übernommen hat.