IT/Datenschutz

Data Act: Das europäische Datengesetz tritt in Kraft

Die Europäische Union hat sich mit dem Rat im Gesetzgebungsverfahren auf den „Data Act“ verständigt und greift somit die wichtige und überfällige Regulierung der Datenverarbeitung für „vernetzter Produkte“ auf.

Der Entwurf (DA-E) für den Data Act wurde bereits im Februar 2022 durch die Europäische Kommission eingebracht und ist seit dem fester Bestandteil einer medialen Berichterstattung. Die Stoßrichtung des neuen Gesetztes ist genauso ambitioniert wie notwendig.

Laut der Europäischen Kommission soll der Data Act „einen echten Binnenmarkt für Daten zu schaffen und Europa zu einem weltweit führenden Akteur in der datenagilen Wirtschaft zu machen.“

Die Regelungen des Data Act sollen Klarheit darüber schaffen, wer unter welchen Bedingungen einen Mehrwert aus Daten generieren darf. Insbesondere geht es darum, dass Nutzer:innen von vernetzten Geräten, entscheiden können, wie mit den gewonnenen Daten, an deren Entstehung diese durch die Nutzung maßgeblich mitgewirkt haben, umgegangen wird.

Der zentrale Anwendungsbereich des Data Acts ist durch den Gesetzgeber denkbar weit gewählt und erstreckt sich auf vernetzte Produkte sowie damit verbundene Dienste (vgl. Art. 1 Nr. 1 lit. a DA-E).

Vernetzte Produkte

Erfasst werden somit sämtliche Produkte und Gegenstände, die relevante Daten über ihre Nutzung oder Umgebung verarbeiten und zusätzlich über Mechanismen verfügen, um Daten zu übertragen, und nicht primär Daten im Auftrag für andere speichern, verarbeiten oder übertragen (Art. 2 Abs. 2 DA-E).

Den Regelungsbereich des Data Act aufgrund dieser Definition als umfassend zu bezeichnen, gleicht einem Euphemismus, betrifft er doch sämtlich Produkte die den Bereichen des Internet of Things (IoT), Industrial Internet of Things (IIoT) zugeordnet werden können. Darunter fallen etwa Connected Cars aber auch per remote gesteuerte Industrieanlagen.

Verbundene Dienste

Unter „zugehörigen Diensten“ (Art. 2 Abs. 3 DA-E) sind digitale Dienste zu verstehen, welche die Funktionsfähigkeit eines Produkts erst ermöglichen. Darunter fällt z.B. die Software für Smartwatches, Telefone, Autos usw., aber rein digitale Dienste sollen durch den Data Act nicht reguliert werden.

Die „damit verbundenen Dienste“ sind digitale Dienste, die die Funktionsfähigkeit eines Produkts erst ermöglichen (Art. 2 Abs. 3 DA-E). Hierunter lassen sich beispielsweise die Software für Smartphones, Connected Cars und dergleichen fassen. Ausgenommen sind allerdings rein digitale Dienstleistungen, womit in der Folge elektronische Kommunikationsdienste wie z. B. Vodafone aus dem Anwendungsbereich herausfallen. Erfasst werden durch den Data Act lediglich physische Gegenstände mit einer digitalen Komponente.

Daten

Relevant dabei ist aber, dass der Datenbegriff (Art. 2 Abs. 1DA-E) weitgefasst ist und nicht nur personenbezogene Daten wie in der DS-GVO erfasst.

„Daten“ (sind) jede digitale Darstellung von Handlungen, Tatsachen oder Informationen sowie jede Zusammenstellung solcher Handlungen, Tatsachen oder Informationen auch in Form von Ton-, Bild- oder audiovisuellem Material.

Stärkung der Rechte von Nutzer:innen

Ein wesentliches Regelungselement des Data Acts ist die Stärkung von Verbraucherrechten, zu diesem Zweck räumt die Verordnung Nutzern gegenüber Dateninhabern umfassende Rechte ein. Dateninhaber sind Personen die auf Daten des vernetzten Produkts zugegriffen haben oder die bei der Erbringung eines vernetzten Dienstes Daten erzeugt haben sowie diejenigen welche das vertraglich vereinbarte Recht haben, diese Daten zu nutzen (Art. 2 Nr. 6 DA-E). Nutzer:innen erwächst ein direkt Anspruch gegen die Dateninhaber auf Bereitstellung der entsprechenden Daten (Art. 4 DA-E).

Interoperabilität

Die Regelungen zur Interoperabilität sind als verbindliche regulatorische Vorgaben zur Festlegung europäischer Standards eine weitere wichtige Regelung zur Erreichung der Ziele des Data Acts. Zur Verbesserung der Interoperabilität zwischen den Diensten ist im Data Acts vorgesehen, dass die Dienste mit offenen Standards und Schnittstellen kompatibel sein müssen. Ziel ist es, den Übergang zwischen Cloud- und Edge-Diensten zu erleichtern, da der Zugang zu wettbewerbsfähigen und interoperablen Datenverarbeitungsdiensten für eine florierende Datenwirtschaft von entscheidender Bedeutung ist.

Reaktionen aus der Wirtschaft

Der Data Act erfährt nicht nur Zustimmung, sondern sieht sich gerade durch Tech-Unternehmen einer gewissen Kritik ausgesetzt. Diese betrifft vor allem die Gefahr, durch die Verpflichtung Daten offenzulegen im gleichen Zug Geschäftsgeheimnisse preisgeben zu müssen. In dem der Data Act Unternehmen hinsichtlich der Transparenz und Datenkontrolle künftig verstärkt in die Pflicht nimmt, gibt es Stimmen aus der Wirtschaft, die darin einen erheblichen Eingriff in die Vertragsfreiheit im Datenaustausch zwischen Unternehmen sehen.

Fazit und Ausblick

Der Data Act birgt durchaus den nötigen Regelungsumfang, um wichtige Ziele im EU-Binnenmarkt zu erreichen, wo zu insbesondere eine breitere Nutzung der erhobenen Daten zählt. Der Entwurf kann als ein wichtiger Schritt in die richtige Richtung und als gute Grundlage hierfür gesehen werden.

Die Herausforderung dürfte jedoch wie so oft in der praktischen Umsetzung liegen. Unternehmen sollten bereits jetzt handeln und prüfen, welche Folgen bzw. Veränderungen der Data Act für deren Geschäftsmodelle mit sich bringt. Besonders bei der Entscheidung, ob Dienstleistungen oder Produkte unter die Regelungen des Data Act fallen, sollte auf eine datenschutzrechtliche Beratung durch Kanzleien oder Inhouse-Anwälte nicht verzichtet werden.