Datenportabilität soll den Wechsel zwischen Anbietern erleichtern: Wer seine Daten mitnehmen kann, ist weniger an einen Dienst gebunden. Für SaaS-Anbieter ist das Recht deshalb nicht nur eine Rechtsfrage, sondern eine Anforderung an das Produkt.
Voraussetzungen
Nach Art. 28 DSG kann jede Person verlangen, dass ihr der Verantwortliche die Personendaten, die sie ihm bekanntgegeben hat, in einem gängigen elektronischen Format herausgibt, wenn er die Daten automatisiert bearbeitet und dies mit ihrer Einwilligung oder in unmittelbarem Zusammenhang mit einem Vertrag geschieht. Sie kann auch verlangen, dass die Daten direkt einem anderen Verantwortlichen übertragen werden, sofern das keinen unverhältnismässigen Aufwand erfordert. Art. 20 DSGVO regelt das Recht vergleichbar.
Welche Daten erfasst sind
Erfasst sind Daten, die die Person selbst bereitgestellt hat, etwa Profilangaben, hochgeladene Inhalte oder Nutzungsdaten, die bei der Nutzung entstehen. Nicht erfasst sind in der Regel Ergebnisse eigener Auswertungen des Verantwortlichen, etwa Bewertungen oder abgeleitete Profile. Die Abgrenzung ist im Einzelfall nicht immer eindeutig.
Format und Kosten
Verlangt ist ein strukturiertes, gängiges und maschinenlesbares Format wie CSV oder JSON, nicht ein PDF-Ausdruck. Die Herausgabe ist nach Schweizer Recht grundsätzlich kostenlos; die Regeln zur Kostenbeteiligung entsprechen jenen beim Auskunftsrecht.
Praxis für SaaS-Anbieter
Wer eine Exportfunktion im Produkt anbietet, erfüllt das Recht mit wenig Aufwand und nimmt eine der häufigsten Kundenfragen vorweg: Was passiert mit meinen Daten, wenn ich kündige? Ein vollständiger Export in offenen Formaten gehört deshalb zu den Grundanforderungen an eine SaaS-Anwendung, ebenso wie ein Löschkonzept für die Zeit nach dem Vertragsende.