Der Data Act regelt den Umgang mit Daten, die bei der Nutzung von vernetzten Produkten und digitalen Diensten erhoben, aufgezeichnet oder erzeugt werden. Vernetzte Produkte sind physische Geräte, die über das Internet oder andere Netzwerke Daten senden, empfangen oder austauschen können. Sie enthalten typischerweise Sensoren, Software und Kommunikationsfunktionen. Zu den vernetzten Produkten zählen unter anderem E-Autos, smarte Haushaltsgeräte oder Sicherheitskameras. Digitale Dienste sind Programme oder Online-Dienste, die Daten verarbeiten, bereitstellen oder nutzen. Dies können Gesundheits-Apps, Navigationssysteme, Update-Dienste, Cloud-Speicher oder Programme zur Verbraucheranalyse sein.
Ziel des Data Acts ist es, den Zugang zu Daten zu erleichtern, ihre Nutzung zu fördern und Informationsvorteile einzelner Hersteller oder Plattformbetreiber abzubauen (Art. 1 Abs. 1 Data Act). Hintergrund ist die Tatsache, dass vernetzte Geräte und digitale Anwendungen täglich große Mengen an Daten erzeugen, auf die bislang häufig nur die Hersteller oder Anbieter Zugriff hatten. Künftig sollen Nutzer diese Daten in vielen Fällen selbst nutzen oder an Dritte ihrer Wahl weitergeben können. Gleichzeitig soll der Wechsel zwischen Cloud- und anderen Datenverarbeitungsdiensten einfacher werden, um Abhängigkeiten von einzelnen Anbietern zu vermeiden.
Betroffene Unternehmen
Der Anwendungsbereich des Data Act ist bewusst weit gefasst. Je nach Funktion können Unternehmen als Nutzer, Dateninhaber, Datenempfänger oder Anbieter von Datenverarbeitungsdiensten in den Anwendungsbereich fallen. Dies betrifft unter anderem Industrieunternehmen, Energieversorger, Logistikunternehmen, Krankenhäuser, Kommunen und viele weitere Organisationen. Für kleinste, kleine und mittlere Unternehmen nach der EU-Empfehlung 2003/361 sieht der Data Act in bestimmten Bereichen Erleichterungen vor (Art. 7 Data Act). Danach gelten die Datenzugangs- und Datenweitergabepflichten des II. Kapitels des Data Acts grundsätzlich nicht für Daten aus vernetzten Produkten oder verbundenen Diensten von Kleinst- Kleinunternehmen, wenn diese nicht an große Unternehmen angebunden sind. Das gleiche gilt für Unternehmen, die seit weniger als einem Jahr als mittleres Unternehmen eingestuft sind.
Chancen und Herausforderungen
Der Data Act eröffnet für Unternehmen durchaus neue Chancen. Ein besserer Zugang zu Betriebs-, Nutzungs- und Gerätedaten kann dabei unterstützen, Prozesse zu optimieren, innovative Dienstleistungen zu entwickeln und die eigene Unabhängigkeit von Herstellern oder Plattformanbietern zu stärken. Auch die neuen Regelungen zur Datenportabilität und zum Wechsel von Cloud-Anbietern fördern Wettbewerb und Flexibilität. Dadurch könnten künftig neue datenbasierte Geschäftsmodelle entstehen und bestehende Marktbarrieren abgebaut werden.
Den Chancen stehen allerdings auch neue Herausforderungen gegenüber. Mit erweiterten Datenzugriffs- und Weitergaberechten steigen die Anforderungen an Datenschutz, Informationssicherheit und eine wirksame Daten-Governance. Unternehmen sollten jederzeit nachvollziehen können, wer auf ihre Daten zugreift, zu welchem Zweck dies geschieht und auf welcher rechtlichen Grundlage die Verarbeitung erfolgt. Ebenso wichtig ist der Schutz von Geschäftsgeheimnissen und sensiblen Unternehmensinformationen. Fehler bei der Umsetzung können nicht nur datenschutzrechtliche Folgen haben, sondern auch aufsichtsbehördliche Maßnahmen nach sich ziehen. Das DADG verleiht der Bundesnetzagentur hierfür weitreichende Kontroll- und Durchsetzungsbefugnisse (§§ 7 bis 14 DADG).
Der Datenschutz bleibt weiterhin relevant
Der Data Act schafft keinen uneingeschränkten Anspruch auf sämtliche Daten. Geschäftsgeheimnisse, Sicherheitsinteressen und andere gesetzliche Schutzvorschriften sind weiterhin zu beachten. Vor allem ersetzt der Data Act nicht die Datenschutz-Grundverordnung (DS-GVO). Werden personenbezogene Daten verarbeitet, hat der Schutz personenbezogener Daten Vorrang (Art. 1 Abs. 5 Data Act). Die Anforderungen der DS-GVO müssen daher weiterhin vollständig erfüllt werden. Der Data Act begründet keine eigenständige datenschutzrechtliche Rechtsgrundlage für die Verarbeitung personenbezogener Daten.
Daher muss auch in jedem Einzelfall geprüft werden, ob personenbezogene Daten betroffen sein können. Um dies vollständig auszuschließen, empfiehlt sich die Durchführung einer Datenschutz-Folgenabschätzung. Dies gilt insbesondere dann, wenn die geplante Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten betroffener Personen mit sich bringt, etwa bei der umfangreichen Verarbeitung sensibler Daten, der Verknüpfung verschiedener Datenquellen oder dem Einsatz neuer datengetriebener Technologien. Eine Datenschutz-Folgenabschätzung hilft dabei, Risiken frühzeitig zu erkennen, geeignete Schutzmaßnahmen festzulegen und die Rechtmäßigkeit der Verarbeitung nachvollziehbar zu dokumentieren.
Bußgelder
Je nach Schwere des Verstoßes drohen Bußgelder von bis zu 50.000 Euro, 100.000 Euro, 500.000 Euro oder 5 Millionen Euro. In bestimmten Fällen können Unternehmen zudem mit Geldbußen von bis zu zwei Prozent ihres weltweiten Vorjahresumsatzes belegt werden (§ 15 Abs. 3 und 4 DADG).
Praxis-Hinweis
Insgesamt führt der Data Act zu einer grundlegenden Neuordnung von Datenzugangs- und Datennutzungsrechten innerhalb der Europäischen Union. Unternehmen sollten die neuen Vorgaben daher nicht nur als regulatorische Pflicht verstehen, sondern auch als Chance, bestehende Datenstrategien, Verträge und Governance-Strukturen zu modernisieren. Wer sich frühzeitig mit den Anforderungen auseinandersetzt und diese in seine Prozesse integriert, kann sowohl Compliance-Risiken reduzieren als auch die wirtschaftlichen Potenziale einer besseren Datennutzung gezielt erschließen.
