Datenexport: Was in Ihrem Online-Archiv steckt – und was nicht

Wer bei Google auf „Datenexport“ klickt, bekommt binnen Minuten einen Download-Link für Dutzende eigene Kontodaten. Wer bei WhatsApp eine Kontoinformation anfordert, bekommt einen Bericht – aber keine einzige Chat-Nachricht darin. Beide Fälle zeigen dasselbe Muster: Ein Datenexport liefert selten das komplette Bild dessen, was ein Anbieter über Sie gespeichert hat. Er liefert das, was rechtlich exportpflichtig und technisch bequem zu verpacken ist. Der Rest bleibt im Datenarchiv des Anbieters – zugänglich für dessen Systeme, nicht für Sie.

Datenexport ist ein Rechtsbegriff, kein Vollständigkeitsversprechen

Die Grundlage für jeden Datenexport in Europa ist Art. 20 DSGVO, das Recht auf Datenübertragbarkeit. Der Wortlaut ist enger, als viele Nutzer annehmen: Anspruch besteht nur auf personenbezogene Daten, die Sie selbst bereitgestellt haben und die automatisiert verarbeitet werden, in einem strukturierten, gängigen und maschinenlesbaren Format. Das klingt nach viel, meint aber praktisch: Stammdaten, Vertragsdaten, Nutzungsprotokolle. Nicht gemeint sind Daten, die ein Anbieter erst aus Ihrem Verhalten errechnet hat.

Diese Unterscheidung zwischen „bereitgestellt“ und „abgeleitet“ ist der Kern des Problems. Ein Score, ein Empfehlungsprofil, eine interne Risikobewertung – all das entsteht im Datenarchiv des Anbieters, aber nicht durch Ihre direkte Eingabe. Deshalb taucht es im Datenexport meist nicht auf, selbst wenn es Ihr Nutzerverhalten maßgeblich beeinflusst. Sie haben zwar ein Auskunftsrecht auf solche Daten, aber kein automatisches Exportrecht darauf. Der Unterschied ist juristisch fein, praktisch aber entscheidend: Auskunft bedeutet oft eine Textbeschreibung, Export bedeutet eine Datei, die Sie weiterverwenden können.

Was im Datenexport tatsächlich landet

Schauen Sie sich einen typischen Datenexport an, wiederholt sich ein Muster über fast alle Branchen hinweg. Was drin ist:

• Stammdaten: Name, Adresse, E-Mail, Login-Historie
• Transaktionsdaten: Bestellungen, Rechnungen, Buchungen, Zahlungen
• Kommunikationsinhalte, die Sie selbst erstellt haben: Nachrichten, Uploads, Kommentare
• Nutzungs- und Logdaten mit Personenbezug: IP-Adressen, Zeitstempel, Standortdaten, sofern erhoben

Was in der Regel fehlt: interne Bewertungen, algorithmisch erzeugte Profile, Metadaten aus Sicherheitssystemen, gelöschte oder anonymisierte Reste sowie Trainings- oder Modelldaten bei KI-gestützten Diensten. Wer schon einmal versucht hat, aus einer KI-Anwendung mehr als seine eigenen Prompts herauszubekommen, kennt das Problem: Die Eingabe bekommen Sie zurück, das, was das System daraus gelernt oder abgeleitet hat, nicht. Solche Lücken sind kein Zufall, sondern Ausdruck einer Architektur, die zwischen nutzergenerierten Inhalten und systemseitig erzeugtem Wissen strikt trennt – und diese Trennung wird selten offen kommuniziert, wie zuletzt auch Berichte über eine kritische Sicherheitslücke bei einem KI-gestützten Browser-Assistenten gezeigt haben, bei der weit mehr Systemzugriffe im Hintergrund liefen, als Nutzer über einen einfachen Export je zu sehen bekommen hätten.

Google Takeout: viel Ordner, wenig Rohdatenlogik

Ein gutes Beispiel für die Praxis liefert Google. Über die Kontoeinstellungen lässt sich ein Export der eigenen Daten anstoßen, aufgeteilt nach einzelnen Diensten wie Mail, Kalender, Fotos oder Standortverlauf. Laut der offiziellen Google-Supportseite zum Datenexport wählen Nutzer selbst aus, welche Kategorien exportiert werden sollen, und erhalten am Ende ein Archiv zum Download oder eine direkte Übertragung in einen Cloud-Speicher.

Das ist praktisch, aber kein Abbild des kompletten Google-Ökosystems um Ihr Konto herum. Sie bekommen Ihre Mails, nicht die Spam-Filterlogik, die über sie entschieden hat. Sie bekommen Ihren Standortverlauf, nicht die daraus abgeleiteten Interessenkategorien für Werbung. Genau das ist der Unterschied zwischen einem Datenexport im engen, rechtlich definierten Sinn und einem vollständigen Datenarchiv, wie es intern bei Google existiert. Aus meiner Sicht ist das kein Trick, sondern die konsequente Umsetzung dessen, was Art. 20 DSGVO tatsächlich fordert – nur wird das selten so kommuniziert. Nutzer erwarten ein Abbild ihrer digitalen Existenz und bekommen einen sortierten Aktenordner.

WhatsApp zeigt den Unterschied zwischen Export und Auskunft

Noch deutlicher wird die Lücke bei WhatsApp. Die Anwendung bietet zwei völlig unterschiedliche Funktionen, die häufig verwechselt werden: den klassischen Chat-Export einzelner Unterhaltungen und die Anfrage eines Kontoinformationsberichts. Laut den offiziellen WhatsApp-Hilfeseiten enthält der Kontoinformationsbericht Angaben zu Konto, Einstellungen und Aktivität – aber keine Chatinhalte. Wer also wissen will, was WhatsApp „über einen weiß“, bekommt keinen einzigen Nachrichtentext, sondern strukturelle Daten über die Nutzung des Dienstes.

Diese Trennung ist bewusst gesetzt. Chatinhalte sind Ende-zu-Ende-verschlüsselt und liegen primär auf den Geräten der Nutzer, nicht zentral bei WhatsApp. Der Export der eigenen Chats funktioniert deshalb über die App selbst und lokal, nicht über eine zentrale Datenexport-Anfrage an den Anbieter. Wer den Unterschied nicht kennt, wundert sich zurecht, warum ein angeforderter Bericht so dünn ausfällt, während im Smartphone Jahre an Kommunikation liegen. Beides ist korrekt – nur eben zwei verschiedene Datenarchive mit unterschiedlicher Zugriffslogik.

Was im Datenarchiv bleibt, wenn der Export vorbei ist

Der eigentlich spannende Teil eines jeden Online-Archivs beginnt genau dort, wo der Datenexport endet. Zurück bleiben in aller Regel: abgeleitete Profile und Scores, interne Protokolle über Systemzugriffe, Sicherheits- und Betrugserkennungsdaten, sowie Daten, die aus rechtlichen Aufbewahrungspflichten noch vorgehalten werden müssen, obwohl ein Nutzerkonto längst gelöscht ist. Gerade Letzteres überrascht viele: Ein gelöschtes Konto bedeutet nicht automatisch ein leeres Datenarchiv beim Anbieter, solange handels- oder steuerrechtliche Fristen laufen.

Hinzu kommt eine technische Realität, die selten erklärt wird: Viele Systeme unterscheiden zwischen dem, was in einer für Nutzer zugänglichen Exportschicht liegt, und dem, was tief im Backend, in Logfiles oder in Backup-Systemen verbleibt. Metadaten aus solchen Hintergrundsystemen – etwa Zugriffszeitpunkte, interne IDs, Systemkennungen – gelten oft nicht als „bereitgestellt“ im Sinne des Datenschutzrechts und tauchen deshalb im Export nicht auf, obwohl sie durchaus personenbezogen sein können. Für Sicherheitsforscher ist genau das ein bekanntes Problem: Metadaten wirken harmlos, verraten in Summe aber oft mehr über Verhalten und Muster als der eigentliche Inhalt. Wie sensibel solche vermeintlich nebensächlichen Datenspuren sein können, zeigt sich immer wieder dort, wo gestohlene Metadaten aus Passwort-Managern gezielte Phishing-Kampagnen befeuern – ein Beleg dafür, dass die Trennung zwischen „harmlosem“ Metadatum und sensiblem Inhalt in der Praxis oft künstlich ist.

Warum Unternehmen den Datenexport eng auslegen

Ist das Zurückhalten interner Daten ein Kavaliersdelikt oder handfeste Vorsicht? Beides, würde ich sagen. Unternehmen haben ein legitimes Interesse, ihre internen Bewertungsmodelle, Scoring-Logiken und Sicherheitsmechanismen nicht offenzulegen – schon deshalb, weil ein vollständig transparenter Datenexport Angreifern helfen könnte, genau diese Systeme zu manipulieren. Wer weiß, wie ein Betrugserkennungssystem eine Transaktion bewertet, kann versuchen, unterhalb der Erkennungsschwelle zu bleiben.

Gleichzeitig ist die enge Auslegung auch bequem. Ein minimaler Datenexport reduziert Haftungsrisiken, Supportaufwand und die Angriffsfläche für Missbrauch der Exportfunktion selbst. Es ist kein Zufall, dass Anbieter meist genau das exportieren, was ohnehin in strukturierter Form vorliegt – Formate wie CSV, JSON oder PDF – und alles andere in schwerer zugänglichen internen Datenbanken belässt. Bei größeren Verarbeitungen, etwa im Rahmen von Analytics-Plattformen oder Data-Management-Systemen, verlangt die DSGVO ohnehin häufig eine Datenschutz-Folgenabschätzung, bevor überhaupt neue Auswertungen auf Bestandsdaten aufgesetzt werden dürfen. Das zwingt Unternehmen zumindest dazu, sich Gedanken über Umfang und Risiko ihres eigenen Datenarchivs zu machen – auch wenn das selten in besseren Exportfunktionen für Nutzer resultiert.

Das Gegenargument: Ist mehr Transparenz überhaupt wünschenswert?

Man kann die enge Auslegung auch anders lesen, nämlich als Schutzmechanismus, der Nutzern indirekt zugutekommt. Wenn ein Anbieter jedes interne Bewertungsdetail offenlegen müsste, entstünde ein Zielkonflikt zwischen Transparenz und Sicherheit. Ein vollständig einsehbares Betrugserkennungssystem verliert einen Großteil seiner Wirksamkeit, sobald seine Kriterien öffentlich bekannt sind. Ähnlich verhält es sich mit Spam-Filtern, Fraud-Scores im Zahlungsverkehr oder Missbrauchserkennung in sozialen Netzwerken: Wer die Regeln kennt, kann sie gezielt umgehen. Insofern ist die Zurückhaltung bestimmter Datenkategorien im Export nicht zwangsläufig ein Zeichen mangelnder Nutzerorientierung, sondern manchmal schlicht die Konsequenz aus einem Abwägungsprozess zwischen individuellem Auskunftsinteresse und kollektiver Systemsicherheit.

Das entlastet Unternehmen jedoch nicht vollständig. Der berechtigte Sicherheitsvorbehalt wird in der Praxis häufig als Generalargument genutzt, um auch dort Informationen zurückzuhalten, wo er gar nicht greift – etwa bei einfachen Nutzungsstatistiken oder Werbeprofilen, die keinerlei Sicherheitsfunktion erfüllen. Genau hier liegt die eigentliche Grauzone: nicht in der Frage, ob Zurückhaltung grundsätzlich gerechtfertigt ist, sondern in der Frage, wie konsequent Unternehmen zwischen sicherheitsrelevanten und schlicht unbequemen Daten unterscheiden.

Analytics, Datenbanken und die stille Ausweitung der Archive

Web-Analytics-Werkzeuge, Data-Management-Plattformen und interne Datenbanken vergrößern das, was in einem Datenarchiv landet, kontinuierlich – oft ohne dass Nutzer das im eigenen Datenexport überhaupt sehen. Klickpfade, Verweildauern, Interaktionsmuster: All das speist Datenbanken, die weit über das hinausgehen, was ein Nutzer aktiv eingegeben hat. Solche Auswertungen fallen datenschutzrechtlich in eine Grauzone zwischen beobachteten und abgeleiteten Daten, und genau das führt dazu, dass viele Analytics-Datensätze im Datenexport gar nicht oder nur in aggregierter Form auftauchen.

Für Nutzer bedeutet das: Ein Blick in den eigenen Datenexport zeigt nie das vollständige Analytics-Bild, das ein Anbieter intern über Sie führt. Wer wirklich verstehen will, wie granular ein Dienst Verhalten auswertet, muss zusätzlich die Datenschutzerklärung und – bei größeren Plattformen – öffentlich zugängliche Informationen zu Datenschutz-Folgenabschätzungen lesen, sofern diese veröffentlicht werden. Das ist mühsam, aber ehrlicher als sich auf die Exportdatei allein zu verlassen.

Ein weiterer Aspekt, der selten bedacht wird: Datenarchive verändern sich, wenn sich die Eigentumsverhältnisse eines Dienstes ändern. Wird eine Website, ein Shop oder eine App verkauft oder eingestellt, stellt sich unmittelbar die Frage, was mit den dort gespeicherten Nutzerdaten passiert – und ob ein neuer Betreiber überhaupt an dieselben Exportpflichten gebunden ist wie der ursprüngliche Anbieter. Gerade bei kleineren Plattformen, bei denen ein Wechsel des Betreibers nicht immer transparent kommuniziert wird, kann sich hier eine Lücke auftun, die klassische Datenexport-Mechanismen gar nicht abdecken. Wer sich näher mit der Frage befassen möchte, was technisch und rechtlich mit Nutzerdaten beim digitalen Erbe einer Website nach einer Übernahme passiert, bekommt einen Eindruck davon, wie unübersichtlich Datenarchive gerade in solchen Übergangsphasen werden können.

Praxisbeispiel: Ein typischer Auskunfts- und Exportprozess Schritt für Schritt

Um die Theorie greifbarer zu machen, lohnt sich ein Blick auf einen realistischen Ablauf, wie er sich bei vielen größeren Online-Diensten ähnlich abspielt. Zunächst stellt ein Nutzer über die Kontoeinstellungen eine Exportanfrage. Innerhalb weniger Minuten bis Stunden – bei komplexeren Konten auch Tage – wird ein Archiv zusammengestellt, das die exportpflichtigen Kategorien enthält. Der Nutzer lädt die Datei herunter, öffnet sie und stellt fest, dass zentrale Fragen offenbleiben: Warum wurde eine bestimmte Werbung angezeigt? Warum wurde ein Konto einmal vorübergehend eingeschränkt? Welche internen Kennzahlen führten zu einer bestimmten Entscheidung?

An diesem Punkt bleibt nur der zweite Schritt: ein formelles Auskunftsersuchen nach Art. 15 DSGVO, meist per E-Mail oder über ein separates Kontaktformular des Datenschutzbeauftragten. Die Antwort darauf kommt in der Regel nicht sofort, sondern innerhalb der gesetzlich vorgesehenen Frist von einem Monat, die in begründeten Fällen verlängert werden kann. Das Ergebnis ist oft eine ausführlichere, aber weniger strukturierte Antwort als der automatisierte Export – ein PDF mit Erläuterungen statt einer sauberen CSV-Datei. Wer beide Schritte kombiniert, bekommt ein deutlich vollständigeres Bild als jemand, der sich allein auf den Klick im Kontomenü verlässt. Dieser zweistufige Prozess ist mühsamer, aber er zeigt exemplarisch, wie weit der reine Datenexport von einer vollständigen Auskunft entfernt ist.

Was Sie aus Ihrem eigenen Datenarchiv tatsächlich herausholen können

Trotz aller Einschränkungen lohnt sich ein eigener Datenexport – nur eben mit realistischen Erwartungen. Sinnvoll ist es, den Export regelmäßig anzustoßen, nicht erst bei Kontokündigung, um Transaktions- und Nutzungsdaten für eigene Zwecke zu sichern, etwa als Nachweis bei Reklamationen oder für die eigene Steuerunterlage. Ebenso hilfreich: den Export mit der Datenschutzerklärung des jeweiligen Dienstes abgleichen, um zu erkennen, welche Kategorien dort erwähnt, im Export aber nicht sichtbar sind – das markiert genau die Lücke zwischen Auskunfts- und Übertragbarkeitsrecht.

Wer mehr wissen will als der Standardexport zeigt, sollte gezielt ein Auskunftsersuchen nach Art. 15 DSGVO stellen. Das ist aufwendiger, deckt aber auch abgeleitete Daten wie Scores oder Profile ab, sofern der Anbieter sie verarbeitet. Für Verbraucher, die ihre digitale Spur ernst nehmen, ist die Kombination aus beidem – Datenexport für die schnelle, strukturierte Sicherung, Auskunftsersuchen für die vollständige Einordnung – der pragmatischste Weg, ohne juristische Auseinandersetzung.

Konkret hilft folgende Vorgehensweise, um den eigenen Umgang mit Datenexporten strukturierter zu gestalten:

• Einmal jährlich einen Datenexport bei den wichtigsten genutzten Diensten anstoßen und lokal sichern, statt erst bei Kündigung oder Streitfall daran zu denken.
• Die exportierte Datei tatsächlich öffnen und mit der jeweiligen Datenschutzerklärung vergleichen, um erkennbare Lücken zu identifizieren.
• Bei Diensten mit hoher Relevanz für Finanzen, Gesundheit oder berufliche Reputation zusätzlich ein formelles Auskunftsersuchen stellen, statt sich auf den automatisierten Export zu verlassen.
• Bei Kontolöschungen aktiv nachfragen, welche Daten aus rechtlichen Gründen noch weiter gespeichert werden und wie lange diese Fristen laufen.
• Auf Warnsignale wie plötzlich sehr dünne oder auffällig aggregierte Exportdateien achten – das kann ein Hinweis auf eine besonders enge Auslegung der Exportpflicht sein.

Diese Schritte ersetzen keine rechtliche Beratung im Einzelfall, geben aber eine praktikable Grundlage, um den eigenen digitalen Fußabdruck realistischer einzuschätzen, als es ein einzelner Klick auf „Datenexport“ je könnte.

Was bleibt

Ein Datenexport ist ein Fenster, kein Türöffner zum ganzen Datenarchiv. Er zeigt, was ein Anbieter Ihnen rechtlich schuldet, nicht, was er tatsächlich über Sie weiß. Solange sich das nicht ändert, bleibt die interessantere Frage nicht, was in Ihrem Export steckt – sondern was systematisch draußen bleibt. Und ob Sie bereit sind, dafür den mühsameren Weg über ein Auskunftsersuchen zu gehen.