Ziel der Europäischen Datenschutz-Grundverordnung ist es, unter anderem auch die Betroffenenrechte zu stärken. Dazu trägt auch das neu eingeführte Recht auf Datenportablität gemäß Art. 20 DS-GVO bei, denn bisher war es für Verbraucher schwierig mit ihren Daten auf einen neuen Anbieter umzuziehen.

1. Betroffenen Daten

Die Daten müssen für eine Übertragung künftig in einem strukturierten, gängigen und maschinenlesbaren Format bereitgestellt werden. Was unter einem solchen Format zu verstehen ist, ist allerdings noch durch konkret zu in der Praxis zu bestimmen (z. B. CSV, XML, JSON). Für die Übertragung müssen auch entsprechende Schnittstellen zur Verfügung gestellt werden, dabei sollte das Hauptaugenmerk auf der Datensicherheit (z. B. Verschlüsselung) liegen.

Zu beachten ist, dass die Daten nach Übertragung nicht automatisch gelöscht werden dürfen, denn es können entsprechende Aufbewahrungsfristen entgegen stehen.

Das Recht auf Datenübertragung erstreckt sich nur auf solche personenbezogenen Daten die vom Betroffenen selbst bereitgestellt wurden (z.B. durch Eintragung in ein Formular). Die Aufsichtsbehörden sehen auch solche Daten als „bereitgestellt“ an, die bei der Nutzung der Leistung entstehen (z. B. Daten beim Fahren eines vernetzen Autos).

Im Einzelfall muss auch entscheiden werden, ob neben den Bestandsdaten auch Verkehrs- und Nutzungsdaten umfasst sind.

2. Ausgenommene Daten

Das Recht auf Datenportablität erstreckt sich nicht auf gänzlich alle Daten, wie:

• – Daten, die darüber hinaus erstellt wurden (z. B. errechnete Werte oder Optimierungsvorschläge);
• – Daten, die zur Wahrnehmung öffentlicher Aufgaben benötigt werden (z. B. zur Aufgabenerfüllung bei Behörden);
• – Daten von Dritten (z. B. Nachrichtenverläufe).

Im Rahmen des gesetzlichen Wortlauts ist die Übertragung vorzunehmen, wenn dies „soweit technisch machbar“ ist. Das bedeutet, dass auch diese Kriterien noch genauer definiert werden müssen, um ein europäisch einheitliches Niveau zu schaffen und keine Nachteile entstehen zu lassen.

 3. Anforderungen an die Datenübermittlung

Der Betroffene muss sich entsprechend identifizieren und geltend machen, dass die personenbezogenen Daten, welche er aufgrund einer Einwilligung oder zur Erfüllung eines Vertrages bereitgestellt hat an ihn und/ oder zur Widerverwendung an einen Dienstleister übertragen werden sollen. Damit verbundenen Löschungsbegehren ist ebenfalls nachzukommen bzw. sollte der Betroffene sogar auf das Recht der Löschung transparent hingewiesen werden, wenn keine Einwände entgegen stehen. Mit dem Recht auf Datenportablität soll so den betroffenen Personen ein Kontrollrecht über ihre Daten gegeben werden. Wie das Recht in Zukunft ausgestattet werden soll ist allerdings noch fraglich, so gibt unter anderem die Stiftung Datenschutz Empfehlungen heraus. Insbesondere müssen noch angemessene Rahmenbedingungen geschaffen werden, damit die Datensparsamkeit bei der Vervielfältigung der Daten gewahrt bleibt.

Des Weiteren sind zur Umsetzung die Empfehlungen der Aufsichtsbehörden zu berücksichtigen, welche unter anderem verschiedenste Lösungsansätze diskutieren. Zum einen handelt es dabei um branchenspezifische Vorgehensweisen (vgl. Bankwechsel) und zum anderen um Lösungssystematiken auf Grundlage von Personal Information Management Systems (PIMS) bei übergreifenden Sachverhalten.