Daten mitnehmen: Was Artikel 20 DSGVO wirklich hergibt
Datenübertragbarkeit gilt nur bei Einwilligung oder Vertrag, nur automatisiert und nur für selbst bereitgestellte Daten. Das ist weniger als Artikel 15.
Aufwand:
ca. 30 Min.
Voraussetzung:
Ein nachweisbarer Versandweg für den Antrag, Kalender für die Fristberechnung, Rechtsberatung für die Bewertung des Einzelfalls
Gilt für:
Europäische Union, Verordnung (EU) 2016/679 in der am 23.08.2026 abrufbaren Fassung
Das Symptom
Du willst weg – anderer Anbieter, andere App, anderer Dienst. Zwölf Jahre
Verlauf, Notizen, Bewertungen, Listen sollen mit. Also der Klassiker: „Bitte
exportieren Sie meine Daten nach Artikel 20 DSGVO.“ Zurück kommt vier Wochen
später eine ZIP-Datei mit deinem Namen, deiner Adresse, deiner E-Mail-Adresse
und einer CSV mit Anmeldezeitpunkten. Nichts von dem, was du eigentlich meintest.
Beschwerst du dich, verweist der Anbieter darauf, alles herausgegeben zu haben,
was du ihm bereitgestellt hast. Und in vielen Fällen hat er damit sogar recht.
Die „Layer 8“-Wahrheit
Artikel 20 DSGVO ist kein großes Auskunftsrecht mit Export-Knopf, sondern ein
schmales Umzugsrecht mit drei eingebauten Verengungen. Erste Verengung, die
Rechtsgrundlage: Absatz 1 Buchstabe a lässt das Recht nur zu, wenn die
Verarbeitung auf einer Einwilligung nach Artikel 6 Absatz 1 Buchstabe a oder
Artikel 9 Absatz 2 Buchstabe a oder auf einem Vertrag nach Artikel 6 Absatz 1
Buchstabe b beruht. Alles, was ein Unternehmen auf ein berechtigtes Interesse
oder eine gesetzliche Pflicht stützt, fällt heraus. Zweite Verengung, Buchstabe
b: Die Verarbeitung muss mithilfe automatisierter Verfahren erfolgen. Dritte und
die im Alltag schmerzhafteste: Erfasst sind nur die Daten, die die betroffene
Person dem Verantwortlichen bereitgestellt hat. Das errechnete Profil, die
abgeleitete Zielgruppe, der interne Score – nichts davon hast du bereitgestellt.
Das erklärt die enttäuschende ZIP-Datei besser als jede Unterstellung von
Böswilligkeit. Es erklärt auch, warum die meisten Menschen eigentlich Artikel 15
meinen, wenn sie Artikel 20 schreiben. Artikel 15 Absatz 3 Satz 1 verlangt eine
Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind – ohne
Filter nach Rechtsgrundlage und ohne Filter nach Herkunft. Dafür schuldet
Artikel 15 kein maschinenlesbares Umzugspaket. Die beiden Rechte sind nicht
Stufen desselben Anspruchs, sondern zwei verschiedene Werkzeuge, und beide
zugleich zu beantragen kostet nichts.
Beim Format lohnt sich ein genauer Blick auf ein einziges fehlendes Wort.
Artikel 20 Absatz 1 verlangt ein „strukturiertes, gängiges und maschinenlesbares
Format“. Erwägungsgrund 68 spricht dagegen von einem „strukturierten, gängigen,
maschinenlesbaren und interoperablen Format“ und fordert die Verantwortlichen
auf, interoperable Formate zu entwickeln. Das Wort steht im Erwägungsgrund und
nicht im Artikel – und derselbe Erwägungsgrund stellt ausdrücklich klar, dass
aus dem Recht keine Pflicht folgt, technisch kompatible
Datenverarbeitungssysteme zu übernehmen oder beizubehalten. Deshalb ist die
direkte Übermittlung nach Absatz 2 auch nur geschuldet, „soweit dies technisch
machbar ist“. Ein Export, den der neue Anbieter nicht einlesen kann, ist
ärgerlich, aber nicht automatisch rechtswidrig.
Der Rest ist Zeitplan und Abgrenzung. Die Monatsfrist aus Artikel 12 Absatz 3
Satz 1 gilt für Anträge nach den Artikeln 15 bis 22 und damit auch hier, samt
der Pflicht, eine Verlängerung noch im ersten Monat zu begründen. Absatz 3
Satz 1 stellt klar, dass Artikel 17 unberührt bleibt: Export ist kein
Löschantrag. Und Absatz 3 Satz 2 nimmt Verarbeitungen im öffentlichen Interesse
oder in Ausübung öffentlicher Gewalt komplett aus – wer seine Daten bei einer
Behörde portieren will, wird an dieser Stelle regelmäßig scheitern. Nicht, weil
jemand mauert, sondern weil es dort dieses Recht nicht gibt.
Die echte, verifizierte Lösung
1000 % faktenbasiert. Jeder Befehl ist real, jeder Pfad existiert. Schritt für Schritt:
1.
Vorher prüfen, ob das Recht überhaupt greift
Artikel 20 Absatz 1 Buchstabe a und b DSGVO nennt zwei Bedingungen, die zusammen erfüllt sein müssen: Die Verarbeitung beruht auf einer Einwilligung gemäß Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a oder auf einem Vertrag gemäß Artikel 6 Absatz 1 Buchstabe b, und sie erfolgt mithilfe automatisierter Verfahren. Läuft die Verarbeitung dagegen über ein berechtigtes Interesse oder eine rechtliche Verpflichtung, gibt es kein Recht auf Datenübertragbarkeit – wohl aber weiterhin das Auskunftsrecht aus Artikel 15.
2.
Den Antrag auf die richtige Norm stützen
Ein Antrag, der pauschal „alle meine Daten“ verlangt, bekommt eine Antwort, die zu keiner der beiden Normen passt. Wer den Export für einen Umzug braucht, benennt Artikel 20 Absatz 1 und verlangt das strukturierte, gängige und maschinenlesbare Format. Wer wissen will, was überhaupt gespeichert ist, benennt Artikel 15. Beides zusammen zu beantragen ist zulässig und meist sinnvoll, weil die Ansprüche unterschiedlich weit reichen.
Betreff: Antrag auf Datenübertragbarkeit nach Artikel 20 DSGVO
Kundennummer / Kennung: <soweit vorhanden>
hiermit beantrage ich die Bereitstellung der mich betreffenden
personenbezogenen Daten, die ich Ihnen bereitgestellt habe, in einem
strukturierten, gaengigen und maschinenlesbaren Format nach
Artikel 20 Absatz 1 DSGVO.
Ergaenzend beantrage ich Auskunft nach Artikel 15 Absatz 1 DSGVO
sowie eine Kopie nach Artikel 15 Absatz 3 Satz 1 DSGVO.
3.
Die direkte Übermittlung nur dort verlangen, wo sie trägt
Artikel 20 Absatz 2 DSGVO gibt das Recht auf direkte Übermittlung von einem Verantwortlichen zum anderen nur, soweit dies technisch machbar ist. Diese Einschränkung ist real und wird regelmäßig geltend gemacht. Praktisch heißt das: Den Export für sich selbst nach Absatz 1 immer mitbeantragen, damit ein „technisch nicht machbar“ nicht den ganzen Antrag leerlaufen lässt.
4.
Das gelieferte Format gegen den Wortlaut halten
Der Verordnungstext verlangt in Artikel 20 Absatz 1 ein strukturiertes, gängiges und maschinenlesbares Format. Das Wort „interoperabel“ taucht dort bewusst nicht auf – es steht nur in Erwägungsgrund 68, und Erwägungsgründe begründen keine unmittelbaren Pflichten. Ein Berg eingescannter Seiten erfüllt den Wortlaut nicht; ein exotisches, aber maschinenlesbares und strukturiertes Format kann ihn erfüllen, auch wenn der neue Anbieter damit nichts anfangen kann.
5.
Die Frist mit einem einzigen Datum verwalten
Der Fristlauf nach Artikel 12 Absatz 3 DSGVO beginnt mit dem Eingang des Antrags. Ein Monat für die Antwort oder für die begründete Mitteilung einer Verlängerung, höchstens drei Monate insgesamt – und die Verlängerungsmitteilung muss selbst innerhalb des ersten Monats kommen. Deshalb steht und fällt alles mit einem belegbaren Eingangsdatum.
6.
Die Grenze zu den Rechten Dritter mitlesen
Artikel 20 Absatz 4 DSGVO: Das Recht gemäß Absatz 2 darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen. Erwägungsgrund 68 nennt den typischen Fall, dass ein Datensatz mehr als eine betroffene Person betrifft. Das ist eine echte Schranke – und wie bei Artikel 15 Absatz 4 auch die bequemste Begründung, um einen Export pauschal zu kürzen. Wo sie gezogen wird, gehört sie begründet.
Häufige Fragen (FAQ)
?Worin unterscheidet sich Artikel 20 von Artikel 15?
Im Umfang und im Zweck. Artikel 15 Absatz 3 Satz 1 DSGVO gibt eine Kopie aller personenbezogenen Daten, die Gegenstand der Verarbeitung sind – unabhängig von der Rechtsgrundlage und unabhängig davon, woher sie stammen. Artikel 20 Absatz 1 ist enger zugeschnitten: Er erfasst nur die Daten, die die betroffene Person „einem Verantwortlichen bereitgestellt hat“, und nur unter zwei kumulativen Bedingungen, nämlich einer Verarbeitung auf Grundlage einer Einwilligung oder eines Vertrags und einer Verarbeitung mithilfe automatisierter Verfahren. Dafür verlangt Artikel 20 etwas, das Artikel 15 nicht kennt: ein strukturiertes, gängiges und maschinenlesbares Format sowie die Weitergabe ohne Behinderung. Wer alles will, was gespeichert ist, fragt nach Artikel 15. Wer umziehen will, fragt nach Artikel 20.
?Muss der Anbieter die Daten direkt zum neuen Anbieter schicken?
Nur mit einer Einschränkung, die der Verordnungstext ausdrücklich benennt. Artikel 20 Absatz 2 DSGVO gibt das Recht, zu erwirken, dass die Daten direkt von einem Verantwortlichen einem anderen übermittelt werden – aber „soweit dies technisch machbar ist“. Erwägungsgrund 68 erläutert, wie eng das gemeint ist: Das Recht sollte für den Verantwortlichen nicht die Pflicht begründen, technisch kompatible Datenverarbeitungssysteme zu übernehmen oder beizubehalten. Die Verantwortlichen sollten laut demselben Erwägungsgrund dazu aufgefordert werden, interoperable Formate zu entwickeln – aufgefordert, nicht verpflichtet.
?Was ist mit Daten, die das Unternehmen selbst über mich erzeugt hat?
Das ist die Bruchstelle des Rechts. Artikel 20 Absatz 1 spricht von Daten, „die sie einem Verantwortlichen bereitgestellt hat“. Ein errechnetes Profil, ein internes Scoring oder eine abgeleitete Kategorie sind nicht von der betroffenen Person bereitgestellt worden. Wer sie sehen will, ist bei Artikel 15 Absatz 1 besser aufgehoben, der unter Buchstabe h ausdrücklich auch aussagekräftige Informationen über die Logik einer automatisierten Entscheidungsfindung erfasst. Ein Export nach Artikel 20 kann also vollständig sein und trotzdem weniger enthalten, als das Unternehmen über einen weiß.
?Wie lange darf das dauern?
Artikel 12 Absatz 3 Satz 1 DSGVO gilt für Anträge nach den Artikeln 15 bis 22 und damit auch für Artikel 20: Der Verantwortliche stellt die Informationen über die ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Satz 2 erlaubt eine Verlängerung um zwei weitere Monate bei Komplexität oder Anzahl der Anträge, Satz 3 verlangt aber, dass über diese Verlängerung innerhalb des ersten Monats zusammen mit den Gründen unterrichtet wird.
?Löscht der Export mein altes Konto?
Nein, und das steht ausdrücklich im Text. Artikel 20 Absatz 3 Satz 1 DSGVO stellt klar, dass die Ausübung des Rechts nach Absatz 1 Artikel 17 unberührt lässt. Übertragen und Löschen sind zwei getrennte Anträge. Satz 2 desselben Absatzes zieht außerdem eine harte Grenze: Das Recht gilt nicht für eine Verarbeitung, die für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Gegenüber Behörden läuft Artikel 20 in diesen Fällen also ins Leere.
Belege
Diese Seite ist gegen die folgenden Primärquellen geprüft – Hersteller, Standard oder Gesetzestext. Wer es nicht glaubt, muss es nicht: Da steht, wo es nachzulesen ist.