Weitreichende Regulierung von Datenzugang und Datenaustausch Der EU Data Act – eine erste Bewertung

Anbieter zum Thema

Silke Haars Kommunikation

SKW Schwarz Rechtsanwälte

Fsas Technologies GmbH

Impossible Cloud GmbH

XOPERO SOFTWARE S.A.

Durch den Data Act möchte die EU-Kommission der Privatwirtschaft und dem öffentlichen Sektor einen breiteren Zugang zu Daten ermöglichen und Anreize für eine gemeinsame Datennutzung setzen. Nun wurde eine inoffizielle Fassung des Entwurfs geleakt.

Ihren Vorschlag zu den Einzelheiten des Data Act hat die EU-Kommission für den 23. Februar 2022 angekündigt. Eine inoffizielle Fassung des Entwurfs wurde allerdings bereits jetzt geleakt. Die zeigt: Der Data Act deutet einen Paradigmenwechsel bei Datenzugang und -nutzung an.

Der Data Act soll unmittelbar gelten für Hersteller vernetzter Produkte, Anbieter digitaler Dienste und Nutzer solcher Produkte oder Dienste in der EU. Einige Vorgaben sollen darüber hinaus auf bestimmte weitere Unternehmen und Datenempfänger in der EU sowie öffentliche Stellen Anwendung finden. Die Rechte und Pflichten für den Zugang und die Nutzung von Daten unterscheiden sich dabei je nach Adressat der Regulierung.

Netzwerkfähige Produkte und digitale Dienste

Produkthersteller sollen durch den Data Act dazu verpflichtet werden, netzwerkfähige Produkte möglichst „daten-transparent“ zu gestalten. Nutzer des Produkts sollen einen einfachen Zugang zu den bei der Nutzung des Produkts erhobenen oder generierten Daten haben.

Das bedeutet entsprechende technische Vorgaben an Hersteller für die Konstruktion, das Design und die Entwicklung digitaler Produkte. Die Regulierung würde ein breites Produktspektrum betreffen von der Smartwatch bis zum Auto und ausdrücklich auch virtuelle Assistenten.

Produkthersteller müssen Nutzer vor dem Erwerb eines netzwerkfähigen Produkts oder digitaler Dienste über die Daten informieren, die bei der Verwendung anfallen oder generiert werden. Das betrifft Art und Umfang dieser Daten sowie einer etwaige Echtzeit-Generierung von Daten, wie etwa bei Fitness-Trackern.

Außerdem müssen Nutzer darüber in Kenntnis gesetzt werden, ob der Anbieter die Daten selbst nutzt oder ob er Dritten die Nutzung der Daten ermöglicht und – wenn ja – zu welchen Zwecken und in welchem Umfang. Nicht zuletzt muss der Nutzer auch erfahren, wie er Zugang zu den Daten erhalten kann.

Datenherausgabe an Nutzer

Der Data Act sieht zudem besondere Pflichten für den „Dateninhaber“ vor, also die Person oder das Unternehmen, welche rechtlich befugt oder verpflichtet ist, bestimmte Daten zur Verfügung zu stellen.

Wenn der Nutzer dies verlangt, muss der Dateninhaber die Daten, die bei der Verwendung eines netzwerkfähigen Produkts oder einer digitalen Dienstleistung generiert werden, unverzüglich und kostenfrei zur Verfügung stellen. Nutzer dürfen diese Daten nicht zur Entwicklung eines Konkurrenzproduktes verwenden.

Der Dateninhaber seinerseits darf die Daten nur auf Grundlage einer entsprechenden vertraglichen Vereinbarung mit dem Nutzer verwerten.

Datenweitergabe an Dritte

Auf Anforderung des Nutzers muss der Dateninhaber nutzergenerierte Daten zudem auch einer vom Nutzer ausgewählten dritten Partei kostenlos zur Verfügung stellen. Dazu soll der Data Act den Dateninhaber zu einer fairen, transparenten und diskriminierungsfreien Datenweitergabe verpflichten.

Die Weitergabe soll auf Grundlage eines zwischen Dateninhaber und Empfänger zu diesem Zweck geschlossenen Vertrages erfolgen. Ausdrücklich untersagt werden sollen Vereinbarungen, die eine exklusive Weitergabe nur an einzelne oder bestimmte Empfänger vorsehen.

Der Empfänger darf die Daten nur für mit dem Nutzer vereinbarte Zwecke nach dafür vereinbarten Regelungen verwenden. Sind die Daten für diesen Zweck nicht mehr erforderlich, muss der Empfänger sie löschen.

Bestimmte Verarbeitungszwecke wie etwa die Erstellung von Profilen natürlicher Personen soll der Data Act ausdrücklich untersagen. Der Empfänger der Daten darf seinerseits dem Nutzer nicht verbieten, die Daten an beliebige Dritte weiterzugeben.

„Unfaire“ Vereinbarungen über Datenzugang und -nutzung

Über das Prinzip eines möglichst einfachen und barrierefreien Datenzugangs hinaus soll der Data Act einseitige „unfaire“ Vertragsklauseln zu Datenzugang und -nutzung gegenüber kleinen und mittleren Unternehmen ausschließen. Stets unwirksam sein sollen beispielsweise vertragliche Ausschlüsse der Haftung für Vorsatz und grobe Fahrlässigkeit oder vollständige Gewährleistungsausschlüsse.

Daneben erklärt der Data Act bestimmte Regelungsinhalte als üblicherweise unwirksam. Dies betrifft beispielsweise unangemessene Gewährleistungsbeschränkungen oder Regelungen zu Datenzugang und Datennutzung, die legitime Interessen der anderen Vertragspartei erheblich beeinträchtigen.

Zwar wären solche Klauseln oft bereits nach deutschen AGB-Recht unwirksam. Für Vereinbarungen über Datenzugang und -nutzung würde der Data Act zudem weitere Regelungsinhalte als unzulässig erklären.

Datenzugang für den öffentlichen Sektor

Nicht nur der Nutzer selbst, sondern auch öffentliche Stellen sollen zukünftig gegenüber dem Dateninhaber eine Offenlegung von Daten verlangen können. Voraussetzung ist allerdings, dass die öffentliche Stelle einen außerordentlichen Bedarf für die Verwendung der Daten nachweisen kann.

Einen solchen außerordentlichen Bedarf kann es in Notstandssituationen geben. Der Data Act nennt dazu Pandemien und Naturkatastrophen. Allerdings sollen öffentliche Stellen auch darüber hinaus Datenzugang erhalten, wenn sie ihre Aufgaben ohne die Daten nicht ordnungsgemäß erfüllen können und sie diese auch nicht auf anderem Weg – auch nicht gegen Entgelt – erhalten können.

Der Data Act enthält für die Anfrage einer öffentlichen Stelle zur Herausgabe von Daten eine Reihe formeller Vorgaben, etwa die Angabe der Gründe und Rechtsgrundlage für das Herausgabeverlangen. Außerdem dürften öffentliche Stellen die Daten ausschließlich für den Zweck verwenden, für den sie angefragt worden sind und müssen sie unmittelbar nach Zweckerreichung löschen.

Während die Daten in Notstandssituation kostenfrei bereitgestellt werden müssen, kann der Dateninhaber in anderen Fällen eine Aufwandsentschädigung für die Herausgabe verlangen.

Ein erstes Fazit

Mit dem Data Act will die EU-Kommission einen Paradigmenwechsel beim Zugang und der Nutzung von Daten einläuten. Vor allem die geplanten Vorgaben für Produkthersteller und Dateninhaber erfordern ein Umdenken bei der Erhebung, Generierung und Kommerzialisierung von Daten. Der Data Act hat jedenfalls das Potential, die Datenökonomie nachhaltig zu verändern.

Ob der Data Act letztendlich in der nun geleakten Fassung von der EU beschlossen wird, ist noch nicht sicher. Die EU-Kommission wird den Vorschlag am 23. Februar 2022 offiziell vorstellen. Dann schließt sich das Verfahren der EU-Gesetzgebung an, mit Beteiligung des EU-Parlaments und des Ministerrats. Mit einem Inkrafttreten vor 2023 ist damit nicht zu rechnen.

Über die Autoren

Dr. Daniel Meßmer ist Fachanwalt für IT-Recht und Partner bei SKW Schwarz. Er berät Unternehmen in allen Bereichen des IT-Rechts, vor allem bei der Umsetzung von software-, daten- und cloudbasierten Geschäftsmodellen. Über das klassische IT-Vertragsrecht hinaus verfügt er über besondere Expertise beim Einsatz von Open Source Software. Er ist Mitautor des Bitkom-Leitfadens „Open-Source-Software – Rechtliche Grundlagen und Handlungshinweise“.

Martin Schweinoch ist ebenfalls Fachanwalt für IT-Recht und Partner bei SKW Schwarz. Er betreut Anbieter und größere Anwender von IT-rechtlichen Fragen des Tagesgeschäfts über die vertragliche Strukturierung und Umsetzung von IT-Vorhaben und Digital Business bis zu neuen Geschäftsmodellen und strukturellen Umgestaltungen. Er ist Vorsitzender des Arbeitskreises Vertrags- und Rechtsgestaltung im Bitkom e.V. und Mitautor des Kommentars zur DS-GVO von Ehmann/Selmayr.

(ID:48015881)