Recht auf Datenübertragbarkeit nach Art. 20 DSGVO: Was Unternehmen wirklich wissen müssen

Ein Kunde kündigt seinen Vertrag und schreibt kurz darauf: „Bitte senden Sie mir meine Daten in einem Format, das ich bei meinem neuen Anbieter einlesen kann.“ Im Unternehmen beginnt die Suche: Der Vertrieb findet Stammdaten im CRM, die Buchhaltung hat Rechnungen im ERP-System, im Kundenportal liegen Bestell- und Nutzungsdaten, das Marketing hat aus dem Verhalten des Kunden ein Interessenprofil erstellt. Irgendwann kommt jemand auf die scheinbar einfache Lösung: alles als PDF ausdrucken und verschicken.

Genau an diesem Punkt zeigt sich, warum das Recht auf Datenübertragbarkeit in der Praxis häufig missverstanden wird. Der Kunde möchte in diesem Fall wahrscheinlich keine normale Auskunft nach Art. 15 DSGVO, sondern seine Daten so erhalten, dass er sie tatsächlich weiterverwenden kann. Dafür hat der europäische Gesetzgeber mit Art. 20 DSGVO ein eigenes Betroffenenrecht geschaffen – ein Recht, das einerseits weiter reicht als die reine Auskunft, weil die Daten technisch weiterverwendbar bereitgestellt werden müssen, andererseits aber deutlich enger ist, weil längst nicht alle personenbezogenen Daten eines Unternehmens darunterfallen.

Worum es bei der Datenübertragbarkeit geht

Art. 20 Abs. 1 DSGVO gibt einer betroffenen Person das Recht, die sie betreffenden personenbezogenen Daten, die sie einem Verantwortlichen bereitgestellt hat, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und einem anderen Verantwortlichen zu übermitteln. Nach Art. 20 Abs. 2 DSGVO kann sie sogar verlangen, dass die Daten unmittelbar vom bisherigen an einen anderen Verantwortlichen übertragen werden, soweit dies technisch machbar ist.

Der Gedanke dahinter ist praktisch: Daten sollen nicht beim bisherigen Anbieter „gefangen“ bleiben. Wer einen Online-Dienst, einen Energieanbieter oder eine Fitnessplattform wechselt, soll bestimmte Daten mitnehmen können, statt sie beim neuen Anbieter erneut aufzubauen. Das klingt zunächst nach einer allgemeinen Pflicht, sämtliche Datenbestände exportfähig zu machen – genau das verlangt Art. 20 DSGVO aber gerade nicht.

Die vier Voraussetzungen

Ein Recht auf Datenübertragbarkeit besteht nur, wenn mehrere Bedingungen gleichzeitig erfüllt sind: Es muss sich um personenbezogene Daten der antragstellenden Person handeln, die sie im Sinne des Art. 20 Abs. 1 DSGVO „bereitgestellt“ hat. Die betreffende Verarbeitung muss auf einer Einwilligung nach Art. 6 Abs. 1 lit. a) bzw. Art. 9 Abs. 2 lit. a) DSGVO oder auf einem Vertrag nach Art. 6 Abs. 1 lit. b) DSGVO beruhen. Und die Verarbeitung muss mithilfe automatisierter Verfahren erfolgen. Verarbeitet ein Unternehmen Daten dagegen aufgrund eines berechtigten Interesses (Art. 6 Abs. 1 lit. f) DSGVO) oder einer rechtlichen Verpflichtung (Art. 6 Abs. 1 lit. c) DSGVO), besteht für diese Verarbeitung grundsätzlich kein Recht aus Art. 20 DSGVO – auch wenn dieselbe Person möglicherweise weiterhin einen Auskunftsanspruch nach Art. 15 DSGVO hat.

Ein Beispiel macht das greifbar: Führt ein Unternehmen im CRM die geschäftliche E-Mail-Adresse eines Ansprechpartners bei einem Firmenkunden, beruht diese Verarbeitung meist auf einem berechtigten Interesse, weil der Vertrag zwischen zwei Unternehmen und nicht mit der Einzelperson besteht. Ein Portabilitätsrecht besteht dann für diese Daten nicht. Die entscheidende Frage bei jedem Antrag lautet deshalb nicht „Welche Daten haben wir über diese Person?“, sondern „Welche Daten verarbeiten wir für welchen Zweck und auf welcher Rechtsgrundlage?“ – und genau hier zahlt sich ein gepflegtes Verzeichnis von Verarbeitungstätigkeiten aus.

Was bedeutet „bereitgestellt“?

Der schwierigste Begriff des Art. 20 DSGVO ist der der „bereitgestellten“ Daten. Naheliegend wäre, darunter nur das zu verstehen, was eine Person aktiv eingegeben oder hochgeladen hat. Die europäischen Datenschutzbehörden legen den Begriff jedoch weiter aus und unterscheiden im Kern drei Gruppen.

Zur ersten Gruppe gehören aktiv bereitgestellte Daten wie Name, Anschrift, E-Mail-Adresse oder selbst hochgeladene Dateien. Überraschender ist die zweite Gruppe: durch die Nutzung eines Dienstes „beobachtete“ Daten, die das Verhalten der betroffenen Person unmittelbar abbilden – etwa Suchverläufe, Standortdaten oder Rohdaten eines Trackinggeräts. Eine Entscheidung der spanischen Datenschutzaufsicht hat das verdeutlicht: Ein Telekommunikationsunternehmen hatte bei einem Portabilitätsantrag nur die unmittelbar eingegebenen Stammdaten berücksichtigt und wurde dafür beanstandet, weil auch Verbrauchs-, Verkehrs- und Standortdaten hätten einbezogen werden müssen. Ein Export nur der Eingabefelder eines Registrierungsformulars kann also zu kurz greifen.

Nicht erfasst ist dagegen die dritte Gruppe: abgeleitete, vom Unternehmen selbst erzeugte Daten wie interne Scores, Risikoprofile oder Kundensegmentierungen. Bestellt ein Kunde regelmäßig hochwertige Werkzeuge, ist seine Bestellhistorie ein Datum, das grundsätzlich unter Art. 20 fällt. Errechnet das Unternehmen daraus intern einen Kundenwert „A“ mit dem Segment „Premiumkunde“, ist dieser Wert ein abgeleitetes Datum und regelmäßig nicht portabel – kann aber weiterhin vom Auskunftsrecht nach Art. 15 DSGVO erfasst sein. Dieser Unterschied entlastet Unternehmen auch bei der Sorge um Geschäftsgeheimnisse: Interne Bewertungslogiken, Algorithmen oder Scores müssen wegen Art. 20 DSGVO in aller Regel nicht offengelegt werden.

Abgrenzung zum Auskunftsrecht

Art. 20 DSGVO wird in der Praxis häufig mit dem Auskunftsrecht nach Art. 15 DSGVO verwechselt, obwohl beide unterschiedliche Ziele verfolgen. Beim Auskunftsrecht geht es um Transparenz: Welche Daten werden verarbeitet, zu welchem Zweck, wie lange? Es gilt unabhängig von der Rechtsgrundlage und erfasst grundsätzlich auch abgeleitete Bewertungen. Beim Recht auf Datenübertragbarkeit geht es dagegen um die Wiederverwendung bestimmter Daten – es gilt nur bei Einwilligung oder Vertrag, setzt automatisierte Verarbeitung voraus und verlangt ein strukturiertes, maschinenlesbares Format statt einer bloß verständlichen Auskunft. In der Praxis können beide Rechte gleichzeitig geltend gemacht werden, und ein datenschutzrechtlicher Laie muss nicht die richtige Artikelnummer nennen: Entscheidend ist, welches Recht erkennbar ausgeübt werden soll.

Format, direkte Übertragung und Sicherheit

Art. 20 DSGVO verlangt kein beliebiges Dokument, sondern ein Format, das eine technische Weiterverarbeitung ermöglicht – Software muss die Daten und ihre Struktur ohne erheblichen Aufwand erkennen können. Ein bestimmtes Dateiformat schreibt die DSGVO nicht vor. In der Praxis eignen sich häufig CSV für tabellarische Daten, JSON für strukturierte Datensätze oder XML für hierarchische Informationen. Ein optisch schön gestaltetes PDF ist dagegen technisch meist schlecht weiterverwendbar und in vielen Fällen für einen Portabilitätsantrag nicht ausreichend.

Auf Verlangen der betroffenen Person können die Daten nach Art. 20 Abs. 2 DSGVO auch direkt an einen anderen Verantwortlichen übertragen werden, soweit dies technisch machbar ist – etwa über eine abgesicherte Schnittstelle oder einen SFTP-Transfer. Ist eine direkte Übertragung nicht möglich, müssen die Daten trotzdem der betroffenen Person selbst bereitgestellt werden, und das technische Hindernis sollte nachvollziehbar erklärt werden. Wichtig dabei: Auch bei der Erfüllung eines Betroffenenrechts gelten die Anforderungen an Vertraulichkeit und Sicherheit aus Art. 5 Abs. 1 lit. f) und Art. 32 DSGVO. Für kleine und mittlere Unternehmen bietet sich häufig ein zeitlich begrenzter, geschützter Downloadbereich an – ein ungeschützter E-Mail-Anhang an eine möglicherweise falsche Adresse ist keine gute Lösung für einen umfangreichen personenbezogenen Datensatz.

Grenzen des Rechts: Dritte, Fristen und Kosten

Enthält ein Export auch Daten anderer Personen – etwa ein exportiertes Adressbuch mit fremden Kontaktdaten –, führt das nicht automatisch dazu, dass der gesamte Antrag abgelehnt werden darf. Art. 20 Abs. 4 DSGVO verlangt vielmehr eine konkrete Prüfung, ob und wie die Rechte Dritter beeinträchtigt werden. Im Zweifel können einzelne Inhalte gefiltert oder geschwärzt werden, statt das gesamte Verlangen pauschal zurückzuweisen.

Für die Bearbeitung gilt die allgemeine Monatsfrist aus Art. 12 DSGVO, die sich bei komplexen Anträgen um bis zu zwei weitere Monate verlängern kann – über die Verlängerung muss die betroffene Person aber bereits innerhalb des ersten Monats informiert werden. Bearbeitet werden muss der Antrag grundsätzlich unentgeltlich. Ein Entgelt kommt nur bei offenkundig unbegründeten oder exzessiven Anträgen in Betracht, wobei die Beweislast beim Unternehmen liegt. Hoher interner Aufwand allein – etwa weil die eingesetzte Software keine Exportfunktion hat – macht einen Antrag nicht exzessiv und rechtfertigt keine Gebühr.

Typische Fehler in der Praxis

In der Beratungspraxis begegnen einem bei diesem Thema immer wieder dieselben Missverständnisse:

• „Wir schicken einfach alles als PDF“ – erfüllt in der Regel nicht die Anforderungen an ein strukturiertes, maschinenlesbares Format.
• „Übertragbar sind nur Daten, die der Kunde selbst eingetippt hat“ – zu eng, denn auch beobachtete Nutzungsdaten können erfasst sein.
• „Wir müssen alle personenbezogenen Daten exportieren“ – nein, Art. 20 ist auf bereitgestellte Daten bei bestimmten Rechtsgrundlagen und automatisierter Verarbeitung beschränkt.
• „Unser interner Kundenscore muss ebenfalls exportiert werden“ – regelmäßig nicht, wenn der Score erst durch eigene Analyse entstanden ist.
• „Die Datenübertragung löscht die Daten automatisch bei uns“ – nein, Art. 17 und Art. 20 DSGVO sind getrennt voneinander zu prüfen.
• „Unsere Software kann keinen Export, deshalb lehnen wir ab“ – eine fehlende Komfortfunktion beseitigt die Pflicht nicht. Das Unternehmen muss nach einer praktikablen Lösung suchen.

Ein aktueller Blick: Der EuGH und die Grenzen zur Aktenkopie

Wie eng die Abgrenzung zwischen Auskunfts- und Portabilitätsrecht in der Praxis werden kann, zeigt ein derzeit beim Europäischen Gerichtshof anhängiges Verfahren (Rechtssache C‑676/25 – Viva Credit). Ein bulgarisches Gericht möchte unter anderem klären, ob Art. 20 Abs. 1 DSGVO bei bereits beendeten Kreditverträgen, die anschließend nur noch aufgrund geldwäscherechtlicher Vorgaben archiviert werden, einen Anspruch auf eine vollständige Papierkopie des Vertrags vermittelt. Eine Entscheidung liegt noch nicht vor. Wer sich in einer vergleichbaren Situation befindet, sollte den aktuellen Verfahrensstand im Blick behalten, da sich hieraus in absehbarer Zeit weitere Klarheit für die Abgrenzung von Auskunft und Datenübertragbarkeit ergeben könnte.

Zusammenfassung

Am Ende lassen sich die wichtigsten Fragen zu jedem Portabilitätsantrag auf vier Punkte reduzieren: Beruht die betroffene Verarbeitung auf Einwilligung oder Vertrag? Erfolgt sie automatisiert? Handelt es sich um Daten, die die Person bereitgestellt hat – einschließlich beobachteter Nutzungsdaten, aber ohne daraus abgeleitete Bewertungen? Und lassen sich die Daten in einem strukturierten, gängigen und maschinenlesbaren Format bereitstellen?

Wer diese vier Fragen im Vorfeld für die eigenen Verarbeitungstätigkeiten beantwortet – statt erst beim ersten Antrag darüber nachzudenken – erspart sich hektische Excel-Exporte und kurzfristige Abstimmungen zwischen Vertrieb, IT und Datenschutz. Aus einem auf den ersten Blick komplizierten Betroffenenrecht wird so ein beherrschbarer Vorgang im Unternehmensalltag.

Autorin
Daniela Frank, LL.B.

Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.

Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.