Was ist Datenportabilität?
Was passiert, wenn eine Kundin schreibt: „Schickt mir bitte alle meine Daten, ich ziehe zu einem anderen Anbieter um“? Dann greift die Datenportabilität, auf Deutsch das Recht auf Datenübertragbarkeit.
Geregelt ist sie in Art. 20 DSGVO. Wer einem Unternehmen personenbezogene Daten bereitgestellt hat, darf sie in einem „strukturierten, gängigen und maschinenlesbaren Format“ zurückverlangen. Er darf sie ohne Behinderung an einen anderen Anbieter geben. Wo es technisch machbar ist, kann er sogar die direkte Übermittlung von Anbieter zu Anbieter verlangen.
Wann gilt das Recht?
Nicht immer. Zwei Bedingungen müssen beide erfüllt sein:
- Rechtsgrundlage Einwilligung oder Vertrag: Ein Newsletter-Abo mit Einwilligung oder eine Bestellung im Shop zählen. Daten, die du wegen eines berechtigten Interesses oder einer gesetzlichen Pflicht verarbeitest, fallen nicht darunter.
- Automatisierte Verarbeitung: Die Daten liegen in einem System, nicht nur als Papierakte.
Ausgenommen sind Verarbeitungen im öffentlichen Interesse. Und die Herausgabe darf die Rechte anderer nicht beeinträchtigen — Daten von Dritten bleiben also draußen.
Welche Daten gehören dazu?
Art der Daten
Herausgeben?
Angegebene Daten (Name, Adresse)
Ja
Beobachtete Daten (Bestellungen, Klicks)
Ja
Abgeleitete Daten (Scores, Segmente)
Nein
So sehen es die Leitlinien der europäischen Datenschutzbehörden (WP242, vom Europäischen Datenschutzausschuss übernommen). Dein internes Kundensegment „kauft gern im Sale“ musst du also nicht herausgeben, die Bestellhistorie schon.
Frist, Format und Kosten
- Frist: unverzüglich, spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Bei komplexen Fällen geht es um zwei weitere Monate länger — das musst du aber innerhalb des ersten Monats mit Gründen mitteilen.
- Kosten: keine. Ein Entgelt ist nur bei offenkundig unbegründeten oder exzessiven Anträgen erlaubt, und das musst du nachweisen (Art. 12 Abs. 5).
- Format: offen und maschinenlesbar, etwa CSV, JSON oder XML. Ein PDF reicht laut WP242 in der Regel nicht.
- Ablehnung: Auch ein Nein braucht eine Antwort innerhalb eines Monats, mit Gründen und Hinweis auf das Beschwerderecht.
Zwei typische Fälle
Fall 1 · Eine Shop-Kundin will ihre Daten
Sie hat bestellt und den Newsletter abonniert. Also greift Art. 20. Du exportierst Stammdaten, Bestellungen und — falls gespeichert — Öffnungs- und Klickprotokolle als CSV oder JSON. Interne Scores bleiben draußen. Liegt der Newsletter bei einem Dienstleister wie Mailchimp, hilft dessen Kontakt-Export. Filtere ihn auf die eine Person, damit keine fremden Daten mitgehen.
Fall 2 · Du wechselst dein CRM
Hier hilft die DSGVO nicht, denn du bist Kunde, keine betroffene Person. Stattdessen greift seit dem 12. September 2025 der Data Act der EU. Cloud- und Software-Anbieter müssen den Wechsel erleichtern: Kündigungsfrist höchstens zwei Monate, Übergang in der Regel höchstens 30 Tage, danach mindestens 30 Tage Zeit, deine Daten abzurufen. Ab dem 12. Januar 2027 sind Wechselgebühren ganz verboten.
Für die großen Plattformen geht der Digital Markets Act noch weiter: Gatekeeper wie Google oder Meta müssen Nutzern eine wirksame, kostenlose Übertragbarkeit ihrer Daten bieten, auch fortlaufend und in Echtzeit.
Häufige Fehler
Fehler 1 · Mit dem Auskunftsrecht verwechseln
Das Auskunftsrecht nach Art. 15 DSGVO gilt immer, umfasst alle Daten samt Zwecken und Empfängern — aber ohne Pflicht zum maschinenlesbaren Export. Die Datenportabilität ist enger, verlangt dafür aber genau diesen Export. Prüf bei jeder Anfrage, was gemeint ist.
Fehler 2 · Ein PDF oder Screenshots schicken
Der Sinn ist, dass ein anderes System die Daten einlesen kann. Ein PDF deines Kundenkontos erfüllt das in der Regel nicht.
Fehler 3 · Nach dem Export löschen
Die Übertragung löscht nichts. Will die Kundin auch die Löschung, muss sie die gesondert verlangen. Und Aufbewahrungspflichten, etwa für Rechnungen, gelten weiter.
Fehler 4 · Die Anfrage liegen lassen
Die Monatsfrist läuft ab Eingang, nicht ab dem Moment, in dem du die Mail findest. Schweigen ist keine Option.
So bist du vorbereitet
- Notiere für jedes Tool (Shop, CRM, Newsletter), wo der Export einer Person liegt.
- Prüf, ob deine Auftragsverarbeitungsverträge die Hilfe bei Betroffenenrechten regeln (Art. 28 DSGVO).
- Leg eine kurze Antwortvorlage an: Eingang bestätigen, Identität prüfen, Export schicken.
- Erklär den Unterschied zum Auskunftsrecht kurz in deiner Datenschutzerklärung — das empfehlen auch die Behörden.
Häufige Fragen
Was ist der Unterschied zwischen Auskunft und Datenübertragbarkeit?
Die Auskunft nach Art. 15 DSGVO zeigt alle Daten und wie du sie nutzt, unabhängig von der Rechtsgrundlage. Die Datenübertragbarkeit nach Art. 20 betrifft nur bereitgestellte Daten bei Einwilligung oder Vertrag, dafür in einem maschinenlesbaren Format zum Mitnehmen.
Wie schnell muss ich auf eine Anfrage reagieren?
Unverzüglich, spätestens innerhalb eines Monats. In komplexen Fällen ist eine Verlängerung um zwei Monate möglich, die du der Person aber innerhalb des ersten Monats mit Begründung mitteilen musst.
Darf ich Geld für den Datenexport verlangen?
Nein. Die Herausgabe ist kostenlos. Nur bei offenkundig unbegründeten oder exzessiven Anträgen darf ein Entgelt verlangt oder abgelehnt werden. Dass dein System den Export aufwendig macht, zählt nicht als Grund.
Muss ich auch Profile und Scores herausgeben?
Nach den Leitlinien der Datenschutzbehörden nicht. Abgeleitete Daten wie Scores, Segmente oder Empfehlungen gehören nicht zur Datenportabilität. Über das Auskunftsrecht kann die Person sie aber erfragen.
Muss ich Daten annehmen, die ein Kunde von einem anderen Anbieter mitbringt?
Nein. Die Pflicht trifft nur den abgebenden Anbieter. Nimmst du die Daten an, bist du für sie verantwortlich und brauchst eine eigene Rechtsgrundlage, um sie zu nutzen.
