Datenportabilität in der DSGVO: Umfang, Formate und Grenzen

Datenportabilität ist das Recht, das in Artikel 20 der Datenschutz-Grundverordnung (DSGVO) anerkannt wird, bestimmte personenbezogene Daten zu empfangen und, wenn gewünscht, an einen anderen Verantwortlichen zu übermitteln. Die Bereitstellung muss in einem strukturierten, gängigen und maschinenlesbaren Format erfolgen. Das Recht erlaubt auch, die direkte Übermittlung zwischen Verantwortlichen zu verlangen, wenn dies technisch möglich ist.

Sein praktischer Zweck ist es, einer Person zu ermöglichen, Informationen über sich selbst zu speichern und wiederzuverwenden, ohne an das von einem Dienst gewählte Format gebunden zu sein. Es kann den Wechsel des Anbieters oder die Nutzung der Daten in einem anderen Tool erleichtern, garantiert aber keinen automatischen Import noch, dass der empfangende Dienst dieselben Funktionen bietet. Artikel 20 befasst sich mit personenbezogenen Daten, nicht mit dem Transfer eines gesamten Kontos oder der Replikation eines Produkts.

Es ist nützlich, drei Verwendungen des Wortes Portabilität zu unterscheiden. Die DSGVO-Portabilität ist ein Datenschutzrecht; die numerische Portabilität erlaubt es, eine Telefonnummer beim Wechsel des Betreibers beizubehalten; und eine technische Migration verschiebt Datenbanken, Anwendungen oder Dateien zwischen Systemen. Sie ähneln sich darin, dass sie etwas übertragen, haben aber unterschiedliche Ziele und Regeln.

Das Recht gilt, wenn die Verarbeitung auf automatisierten Wegen erfolgt und auf der Einwilligung der Person oder auf einem Vertrag mit ihr beruht. Außerdem müssen die Daten die Person betreffen, die die Portabilität beantragt, und dem Verantwortlichen bereitgestellt worden sein. Es gilt beispielsweise nicht für die Verarbeitung, die für eine Aufgabe im öffentlichen Interesse oder die Ausübung öffentlicher Gewalt erforderlich ist.

Der Umfang von 'bereitgestellt' beschränkt sich nicht auf das, was in ein Formular geschrieben wurde. Die Leitlinien zur Portabilität umfassen sowohl bewusst mitgeteilte Daten—wie einen Namen oder eine vom Benutzer erstellte Liste—als auch bestimmte beim Gebrauch eines Dienstes beobachtete Daten. Darunter können Aktivitätsprotokolle, Nutzungshistorien, Verkehrs- oder Standortdaten fallen, je nach Verarbeitung und Umständen.

Im Gegensatz dazu fallen vom Portabilitätsrecht die Daten aus, die der Verantwortliche aus anderen Daten durch eigene Analysen ableitet oder erschließt, wie eine Bewertung oder Vorhersage, die vom Dienst erstellt wurde. Die Grenze hängt davon ab, wie jeder Datenpunkt erzeugt wurde: Dass eine Information eine Person beschreibt, reicht allein nicht aus, damit sie nach Artikel 20 portierbar ist. Das Auskunftsrecht ist ein anderes und hat einen anderen Umfang.

Daten anderer Personen erfordern auch Sorgfalt. Wenn ein Datensatz Informationen enthält, die Dritte identifizieren oder betreffen—zum Beispiel ein geteilter Chat—darf seine Bereitstellung deren Rechte und Freiheiten nicht beeinträchtigen. Die Portabilität autorisiert keine unbegrenzte Offenlegung fremder Informationen: Der Verantwortliche muss die Umstände berücksichtigen und die Daten anderer Personen schützen.

Die DSGVO verlangt ein Format, das strukturiert, gängig und maschinenlesbar ist. In der Praxis müssen die Informationen eine Organisation beibehalten, die die Verarbeitung per Software erlaubt, ohne auf ein Bild oder ein schwer wiederverwendbares Dokument reduziert zu werden. Die Leitlinien nennen die Entwicklung interoperabler Formate und Werkzeuge, die beim Herunterladen oder Übermitteln der Daten helfen, als gute Praktiken.

JSON, CSV und XML sind übliche Beispiele für strukturierte Formate, die maschinenlesbar sein können, aber die DSGVO schreibt keines davon für alle Fälle vor. Die Wahl hängt von den Daten und ihrer Organisation ab. Eine CSV-Datei kann für einfache Zeilen und Spalten dienen; JSON oder XML können verschachtelte Strukturen mit mehr Detail darstellen. Dass eine Datei eine bekannte Endung hat, garantiert nicht allein, dass sie vollständig, verständlich oder ohne Anpassungen importierbar ist.

Die Portabilität verlangt auch nicht, dass der Verantwortliche und der empfangende Dienst kompatible Systeme verwenden. Erwägungsgrund 68 der DSGVO ermutigt, interoperable Formate zu fördern, stellt aber klar, dass das Recht nicht verpflichtet, eine universelle technische Kompatibilität zu schaffen oder aufrechtzuerhalten. Daher entspricht das Empfangen einer portablen Datei nicht der Abschluss der Migration: Es könnte nötig sein, Felder anzupassen, Duplikate zu lösen oder zu prüfen, welche Daten der neue Dienst akzeptiert.

Diese Merkmale beschreiben das Format, bestimmen aber nicht allein, welche Daten enthalten sein müssen. Zuerst wird bewertet, ob jeder Datenpunkt in den Anwendungsbereich von Artikel 20 fällt; dann, wie er so geliefert werden kann, dass er empfangen und wiederverwendet werden kann.

Die Anfrage wird an das Unternehmen oder die Stelle gerichtet, die die Daten verarbeitet, nicht an die Bundesbeauftragte für den Datenschutz (BfDI), damit diese sie sammelt. Die BfDI bietet ein Leitformular an, um sich an den Verantwortlichen zu wenden. In der Anfrage sollte die Person identifiziert, angegeben werden, dass das Recht nach Artikel 20 ausgeübt wird, und die Daten oder der Dienst beschrieben werden, auf die er sich bezieht, sowie angegeben werden, ob eine direkte Übermittlung und an welchen Verantwortlichen verlangt wird.

Der Verantwortliche kann die Identität bei begründeten Zweifeln überprüfen, aber die zusätzlichen angeforderten Informationen müssen verhältnismäßig sein. Wenn eine Person durch einen Vertreter handelt, kann es nötig sein, diese Vertretung nachzuweisen. Es ist nützlich, eine Kopie der Anfrage und den Nachweis ihres Versands aufzubewahren; wenn die Antwort nicht eintrifft oder die Anfrage nicht löst, helfen diese Elemente, das Geschehene zu dokumentieren.

Die allgemeine Frist zur Beantwortung einer DSGVO-Rechtsanfrage beträgt einen Monat ab Empfang. Sie kann bei Bedarf aufgrund der Komplexität oder der Anzahl der Anfragen um bis zu zwei zusätzliche Monate verlängert werden, aber der Verantwortliche muss über die Verlängerung informieren und ihre Gründe innerhalb des ersten Monats erklären. Diese Frist dient der Beantwortung; sie bedeutet nicht, dass jeder Transfer zwischen Diensten in einem Monat abgeschlossen sein muss.

Eine einfache Sequenz zur Vorbereitung der Anfrage ist: den Verantwortlichen identifizieren, die Daten oder den Zeitraum eingrenzen, eine portierbare Kopie oder eine direkte Übermittlung verlangen und den Empfänger angeben, wenn diese letzte Option gewählt wird. Wenn die direkte Übermittlung technisch nicht möglich ist, sieht das Recht vor, dass die Person ihre Daten erhält, um sie selbst zu verwalten.

Die direkte Übermittlung zwischen Verantwortlichen wird nur anerkannt, wenn sie technisch möglich ist. Artikel 20 verpflichtet zwei Organisationen nicht, eine Verbindung zwischen ihren Systemen aufrechtzuerhalten, noch den Empfänger, jede Datenstruktur zu akzeptieren. Interoperabilität erleichtert den Transfer, hängt aber vom Design der Dienste und den verwendeten Formaten ab.

Das Recht hebt auch andere Pflichten des Verantwortlichen noch das Recht auf Löschung auf. Die DSGVO stellt fest, dass die Ausübung der Portabilität das Recht auf Löschung der Daten nicht beeinträchtigt; gleichzeitig eliminiert das Verlangen einer portierbaren Kopie nicht automatisch die Daten, die der Verantwortliche aus anderen rechtlichen oder vertraglichen Gründen aufbewahren muss. Es sind verschiedene Rechte und können separate Anfragen erfordern.

Die Portabilität darf die Rechte und Freiheiten anderer Personen nicht negativ beeinflussen. Dies kann erfordern, Teile eines geteilten Datensatzes zu schützen oder auszuschließen, ohne die Anfrage in eine Erlaubnis zur Offenlegung von Drittdaten zu verwandeln. Außerdem gibt eine Anfrage zu personenbezogenen Daten kein Recht, interne Dokumente, Geschäftsgeheimnisse, Analysen oder Code zu erhalten, die vom Dienst verwendet werden.

Praktische Einschränkungen erscheinen auch in der Auslegung des Umfangs: Der Benutzer kann eingegebene Daten und bestimmte beobachtete Daten erhalten, aber nicht unbedingt Profile, Bewertungen oder Schlussfolgerungen, die vom Anbieter erzeugt wurden. Daher ist es beim Wechsel des Dienstes ratsam, zu prüfen, welche konkreten Kategorien enthalten sind und welche Elemente nicht übertragen werden, anstatt anzunehmen, dass der gesamte Kontoverlauf exportiert wird.

In einem Musikdienst ist eine vom Benutzer erstellte Wiedergabeliste ein klares Beispiel für eingegebene Informationen; Hörprotokolle können vom Dienst beobachtete Daten sein und je nach Kontext in die Portabilitätsanalyse einfließen. Eine Empfehlung oder Bewertung, die aus diesen Protokollen erzeugt wird, ist anders: Sie kann eine Ableitung des Anbieters darstellen, nicht ein bereitgestellter Datenpunkt im Sinne dieses Rechts.

Bei E-Mail oder sozialen Netzwerken könnte ein Export Profil- und bestimmte Aktivitätsdaten enthalten, aber Nachrichten und Kontakte können andere Personen betreffen. Das Vorhandensein geteilter Informationen zwingt dazu, deren Rechte zu berücksichtigen. In Gesundheits- oder Bankdiensten schafft Artikel 20 keine automatische sektorale Kategorie: Die Rechtsgrundlage der Verarbeitung, ob sie automatisiert ist und wie jeder Datenpunkt erzeugt wurde, muss geprüft werden. Das Recht garantiert auch nicht, dass die empfangende Anwendung die Datei ohne Anpassung akzeptiert.

Numerische Portabilität ist eine andere Figur. Zum Beispiel beschreibt die mexikanische Telekommunikationsbehörde dieses Recht als das Beibehalten derselben Nummer beim Wechsel des Betreibers. Es geht nicht um den Export personenbezogener Daten gemäß DSGVO, noch dürfen seine Fristen oder Bedingungen mit denen von Artikel 20 verwechselt werden. Eine Datenbankmigration ist ihrerseits ein technisches Projekt und kann Daten oder Systeme umfassen, die nicht Gegenstand dieses individuellen Rechts sind.

Zusammenfassend dient die Portabilität personenbezogener Daten dazu, einen definierten Teil der mit einer Person verknüpften Informationen unter konkreten rechtlichen Bedingungen zu erhalten und wiederzuverwenden. Vor der Ausübung hilft es, zu unterscheiden, welche Daten eingegeben, welche beobachtet und welche abgeleitet wurden; dann, zwischen dem Empfang der Datei oder dem Verlangen ihres direkten Transfers zu wählen. Das Ergebnis ist Kontrolle über bestimmte Daten, keine Garantie für einen Dienstwechsel ohne Reibungen.