Im Rahmen der Blog-Reihe „Ein Spaziergang durch die DS-GVO“ betrachten wir die einzelnen Artikel der Datenschutz-Grundverordnung aus einem etwas anderen Blickwinkel. Ziel ist kein x-ter Kommentar, es soll eher ein Datenschutz-Feuilleton entstehen, mit Anmerkungen und Überlegungen auch zu Artikeln, die Sie im Datenschutz-Alltag vielleicht noch nie gelesen haben. Das in Artikel 20 DS-GVO geregelte „Recht auf Datenübertragbarkeit“ sorgte seinerzeit für große Aufregung, viel Verwirrung und weckte viele Hoffnungen – also ein typischer Teil der ganzen DS-GVO. Die Aufregung hat sich gelegt. Nach wie vor sind nicht alle Zweifelsfragen geklärt. Der erhoffte Nutzen ist bisher nicht eingetreten – auch insoweit ein typischer Teil der DS-GVO?

Gerade in den letzten Tagen – genau: am 12. September 2025 – kam Art. 20 DS-GVO plötzlich wieder „ins Gerede“, weil seitdem der Data Act angewendet wird. Und dort ist Ähnliches wie in Art. 20 DS-GVO noch einmal geregelt. Aber der Reihe nach…

Zum Artikel 20 DS-GVO

Wenn Betroffene einem Verantwortlichen (1) zur automatisierten Verarbeitung (2) auf Grundlage einer Einwilligung oder eines Vertrags (3) eigene Daten überlassen, dann können sie vom Verantwortlichen verlangen, diese Daten „weiter verwendbar“ (standardisiert und maschinenlesbar) zu erhalten. Sie können auch verlangen, dass der Verantwortliche die entsprechenden Daten zur Weiterverwendung direkt einem anderen Verantwortlichen zuleitet.

Ist das Datenschutz oder kann das weg?

Hat die Norm überhaupt etwas mit Datenschutz zu tun oder gehört sie in den Bereich Wettbewerbsrecht bzw. Kartellrecht? Bekämpft werden sollte damit jedenfalls die Marktmacht großer Anbieter, die mit WhatsApp und Co. ihren Kunden eine „Datenheimat“ anbieten. Und wie es so geht mit Heimat: Hat man sich häuslich niedergelassen und einige Jahre eingerichtet, fällt das Weggehen schwer. Außer natürlich, man kann den Anbieter gesetzlich als „Umzugshelfer“ nutzen, der alle Daten sortiert und einpackt, damit der neue Anbieter für den Kunden die neue Heimat wohnlich einrichten kann. Ohne den Umzugsservice – so der Grundgedanke – zieht kaum jemand um. Die großen Anbieter werden immer größer und neue Anbieter haben kaum eine Chance. Das sollte Artikel 20 ändern.

Noch einmal: Was hat das mit Datenschutz zu tun? Etwas schon, aber nicht sehr viel: Zum Datenschutz gehört die „Kontrolle über eigene Daten“ zumindest in dem Sinne, dass Betroffene wissen, wo sich ihre Daten befinden und weitestmöglich auch darüber bestimmen dürfen, ob die Daten dort verbleiben. Der „Umzugsservice“ geht darüber natürlich deutlich hinaus. Datenschutz beinhaltet eigentlich nicht den Anspruch darauf, dass andere meine Daten für mich pflegen, sortieren und irgendwohin transportieren müssen. Wahrscheinlich gehört Art. 20 DS-GVO also doch eher ins Wettbewerbs- und Kartellrecht oder in das von der Europäische Union neu geschaffene Datenrecht, respektive Datennutzungsrecht – bei dem Datenschutz nur noch eine Facette darstellt.

Dieser Eindruck verstärkt sich noch, weil nach Art. 20 Abs. 3 Satz 2 DS-GVO die öffentliche Hand pflichtenfrei gestellt wird. Das Recht auf Datenübertragbarkeit gilt also nicht gegenüber dem Staat – dabei war Datenschutz zuerst einmal ein Grundrecht – sondern nur gegenüber der Privatwirtschaft.

Anfang September hatte ich Gelegenheit, bei einem Erfahrungsaustausch andere Datenschützer nach Anwendungsfällen von Art. 20 DS-GVO zu fragen. Mir selbst sind in den vergangenen sieben Jahren nämlich keinen echten Anwendungen untergekommen. Die Diskussion im größeren Kreis hat es bestätigt: Natürlich gibt es Datentransfers zum Beispiel beim Wechsel von Dienstleistern. Sie werden aber nicht über Art. 20 DS-GVO abgewickelt – der ja ohnehin nur für die Daten natürlicher Personen gilt, also zum Beispiel einer GmbH nicht weiterhilft. Artikel 20 kann also gern wegfallen, zumal dann, wenn neue Gesetze wie der Data Act „Ähnliches etwas anders regeln“. Was meinen Sie?

Über den Autor: Prof. Dr. Ralph Wagner ist Vorstand des DID Dresdner Institut für Datenschutz sowie Vorsitzender des ERFA-Kreis Sachsen der Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD). Als Honorarprofessor an der Technischen Universität Dresden hält er regelmäßig Vorlesungen und Seminare zum Thema Datenschutzrecht. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Der Data Act als ein Baustein der europäischen Datenstrategie wurde bereits im vergangenen Jahr durch den Rat der Europäischen Union verabschiedet und ist zum 11. Januar 2024 in Kraft getreten. Ähnlich wie beispielsweise bereits bei der DS-GVO gilt zunächst eine Übergangsfrist, sodass der Data Act erst ab dem 12. September 2025 vollumfänglich anzuwenden sein wird. Der Data Act enthält dabei insbesondere Vorschriften bezüglich der Weitergabe von Daten von Unternehmen an Verbraucher sowie zwischen Unternehmen und scheint damit auf dem ersten Blick im Widerspruch mit der DS-GVO zu stehen. Doch ist dem wirklich so?

Ziele des Data Acts

Die Verordnung (EU) 2023/2854 des Europäischen Parlaments und des Rates über harmonisierte Vorschriften für einen fairen Datenzugang und eine faire Datennutzung sowie zur Änderung der Verordnung (EU) 2017/2394 und der Richtlinie (EU) 2020/1828 – kurz Data Act oder Datenverordnung (auch Datengesetz) zielt auf eine bessere Nutzung von Daten als Wirtschaftsgut sowie auf eine Förderung eines wettbewerbsfähigen Datenmarktes hin. Nutzerinnen und Nutzer von vernetzten Geräten und Produkten sollen darüber entscheiden können, wie mit dem gewonnenen Daten umzugehen ist, an deren Entstehung sie maßgeblich mitgewirkt haben.

Der Data Act betrifft demnach vor allem Hersteller von vernetzten Produkten (Art. 2 Nr. 5 Data Act) wie zum Beispiel IoT-Geräte sowie Anbieter verbundener Dienste (Art. 2 Nr. 6 Data Act) wie zum Beispiel Anwendungen zu smarten Geräten wie Fitness-Uhren.

Eine zentrale Pflicht ergibt sich aus Art. 3 Abs. 1 des Data Acts, wonach vernetzte Produkte und verbundene Dienste so konzipiert und hergestellt bzw. erbracht werden, dass die Produktdaten und verbundenen Dienstdaten – einschließlich der für die Auslegung und Nutzung dieser Daten erforderlichen relevanten Metadaten – standardmäßig für den Nutzer einfach, sicher, unentgeltlich in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format und, soweit relevant und technisch durchführbar, direkt zugänglich sind. Nach Art. 5 Abs. 1 des Data Acts sind diese Daten auf Verlangen des Nutzers oder der Nutzerin einem Dritten zur Verfügung zu stellen.

Die Regelungen des Data Acts umfassen sowohl personenbezogene als auch nicht-personenbezogene Daten und sollen mit einem derart umfassenden Anwendungsbereich den Nutzerinnen und Nutzern insbesondere vereinfachte Wechselmöglichkeiten zwischen Diensten bieten. Damit stellt sich jedoch zeitgleich die Frage, inwiefern die Regelungen des Data Acts möglicherweise im Widerspruch zu denen der DS-GVO stehen.

Steht der Data Act im Widerspruch zur DS-GVO?

Mit einem Blick auf Erwägungsgrund 7 zum Data Act wird schnell deutlich: Die Regelungen der DS-GVO bleiben durch den Data Act unberührt und beide Rechtsakte sind unabhängig voneinander anzuwenden: „Die vorliegende Verordnung ergänzt das Unionsrecht zum Schutz personenbezogener Daten und zum Schutz der Privatsphäre, insbesondere die Verordnungen (EU) 2016/679 [DS-GVO, Anm. d. Autors] […], und lässt es unberührt. Keine Bestimmung dieser Verordnung sollte dahingehend angewandt oder ausgelegt werden, dass das Recht auf den Schutz personenbezogener […] abgeschwächt oder eingeschränkt wird.“

Zudem ist Erwägungsgrund 7 zum Data Act zu entnehmen, dass Verarbeitungen personenbezogener Daten zur Umsetzung der Anforderungen aus dem Data Act einer Rechtsgrundlage nach Art. 6 Abs. 1 DS-GVO und gegebenenfalls nach Art. 9 Abs. 2 DS-GVO erfordern. Hierbei ist jedoch zu beachten, dass der Data Act als solcher selbst keine Rechtsgrundlage zur Verarbeitung personenbezogener Daten darstellt. Für den Fall, dass ein Nutzer im Sinne des Data Acts von einer betroffenen Person im Sinne der DS-GVO abweicht, schlägt Erwägungsgrund 7 zum Data Act die Anonymisierung personenbezogener Daten vor.

Auch in den weiteren Erwägungsgründen und Artikeln des Data Acts wird auf die Regelungen der DS-GVO verwiesen und auf deren uneingeschränkte Geltung hingewiesen. So zum Beispiel in Erwägungsgrund 8 mit Verweis auf die Grundsätze der Datenminimierung und des Datenschutzes durch Technikgestaltung, in Art. 5 Abs. 8 bezüglich der Rechte betroffener Personen oder in Art. 6 Abs. 2 lit. b) hinsichtlich der Regelungen zu Profiling. Im Übrigen sind die Datenschutz-Aufsichtsbehörden gemäß Art. 37 Abs. 3 des Data Acts auch hinsichtlich des Schutzes personenbezogener Daten im Anwendungsbereich des Data Acts zuständig. Die Regelungen der DS-GVO in Kapitel VI und in Kapitel VII finden sinngemäß Anwendung. Gemäß Art. 40 Abs. 4 des Data Acts gilt dies ebenfalls für den anzulegenden Bußgeldrahmen.

Fazit

Die Regelungen des Data Acts zeigen deutlich auf, dass durch die Datenstrategie der Europäischen Union in keinem Fall eine Einschränkung des Rechts auf informationelle Selbstbestimmung erfolgen soll. Die Normen der DS-GVO finden auch in Umsetzung der Anforderungen des Data Acts uneingeschränkte Anwendung. Für Unternehmen, die in den Anwendungsbereich des Data Acts fallen, kann hierbei ein nicht zu vernachlässigendes Spannungsfeld entstehen, das unter anderem gemeinsam mit dem Datenschutzbeauftragten erörtert werden sollte. Der Zeitraum bis zum 12. September 2025 sollte in jedem effektiv zur Vorbereitung genutzt werden.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Im Silicon Saxony e.V. nimmt er die Funktion als Leiter des Arbeitskreises Privacy & Security wahr. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.