Das neue Datengesetz: Data Act

Der Data Act soll den Austausch und die Nutzung von Daten innerhalb der EU erleichtern, indem er den Zugang zu Daten, generiert durch vernetzte Produkte oder deren Dienste, vereinfacht. Der Data Act regelt den Zugang zu Daten von Internet of Things (IoT)-Geräten. Er gilt für alle Industriezweige und betrifft jedes Unternehmen, das Nutzungsdaten in der EU sammelt. Das gilt sowohl für europäische als auch für nicht-europäische Firmen. Eine Ausnahme gibt es für kleine und mittlere Unternehmen. Der Data Act gilt zusätzlich zur Datenschutz-Grundverordnung (DSGVO).

Der Data Act soll mehr nicht-personenbezogene Daten (Maschinen-, Industriedaten) für verschiedene Akteure nutzbar machen, statt dass große Unternehmen allein darüber verfügen. Unerschlossene Industriedaten sollen auch kleineren Firmen und Start-ups helfen, Geschäftsmodelle zu verbessern oder neu zu entwickeln. Beispiel: Maschinendaten im B2B-Bereich. Hersteller von Automationskomponenten wollen oft Zugriff auf Betriebsdaten, auch wenn die Maschine einem Dritten gehört. Bisher regeln Verträge dies frei, was bei ungleicher Marktmacht zu einseitigen Bedingungen führen kann. Der Data Act will sicherstellen, dass Nutzer über ihre Daten bestimmen und sie unter bestimmten Bedingungen an Dritte weitergeben können.

Der Data Act gilt für Unternehmen in der EU sowie für nicht-europäische Unternehmen mit EU-Geschäft. Betroffen sind vor allem Hersteller, Anbieter und Nutzer von IoT-Produkten wie smarte Haushaltsgeräte, Maschinen oder Autos, inklusive zugehöriger digitaler Dienste (z. B. App einer Fitnessuhr).

Nutzer (Unternehmer oder Verbraucher) entscheiden künftig, wie mit Daten umgegangen wird, an deren Entstehung sie beteiligt sind.

Nutzer haben Anspruch auf kostenlosen, ggf. Echtzeit-Zugang zu Daten. Hersteller müssen Produkte so gestalten, dass der Zugang technisch möglich ist. Vor Vertragsabschluss sind Nutzer umfassend zu informieren. Dateninhaber dürfen ihre Daten nicht mehr ausschließlich selbst nutzen, sondern müssen sie auf Wunsch des Nutzers an Dritte weitergeben. Ausnahmen gelten für Kleinst- und Kleinunternehmen (< 50 Mitarbeiter, < 10 Millionen Euro Umsatz) ohne größere Partnerunternehmen. Daten dürfen nicht an Unternehmen gegeben werden, die das Gesetz über digitale Märkte (Data Markets Act) als sog. „Gatekeeper“ einstuft (Großkonzerne wie Google und Meta).

Nutzer können verlangen, dass Dateninhaber Daten an Dritte (auch Wettbewerber) weitergeben, um z. B. Reparatur- oder Versicherungsdienste zu ermöglichen. Dateninhaber dürfen dafür eine angemessene Vergütung verlangen, außer bei KMU. Der Datenempfänger darf die Daten nur für vereinbarte Zwecke nutzen und muss sie anschließend löschen. Nutzung zur Entwicklung von Konkurrenzprodukten ist untersagt, wobei Details zum Verbot noch offen sind.

Datennutzungsverträge müssen fair, angemessen und nicht diskriminierend sein. Missbräuchliche Klauseln – erhebliche Abweichungen von guter Geschäftspraxis – sind unwirksam. Der Dateninhaber muss beweisen, dass eine Klausel nicht missbräuchlich ist. Die EU-Kommission will später Musterklauseln bereitstellen.

Auch wenn Daten Geschäftsgeheimnisse enthalten, müssen Dateninhaber sie Nutzern oder Dritten bereitstellen. Dabei ist der Schutz der Geheimnisse sicherzustellen – etwa durch technische und organisatorische Maßnahmen sowie Geheimhaltungsvereinbarungen. Welche Daten als Geschäftsgeheimnisse gelten, legt der Dateninhaber fest.

Die DSGVO bleibt uneingeschränkt anwendbar. Personenbezogene Daten dürfen nur mit einer gültigen DSGVO-Rechtsgrundlage verarbeitet werden. Der Data Act selbst schafft keine solche Grundlage. Offenlegung an Dritte ist nur mit Rechtsgrundlage oder gegenüber der betroffenen Person erlaubt. Technische Schutzmaßnahmen wie Anonymisierung werden empfohlen.

Neben den Rechten auf Datenzugang und Datenteilung, regelt der Data Act noch zwei weitere Bereiche:

Wechsel zwischen Datenverarbeitungsdiensten muss einfach und kostenlos möglich sein; Kündigung binnen 30 Tagen. Technische und organisatorische Vorgaben sichern Datenportabilität. Wechselentgelte werden bis 2027 reduziert und dann abgeschafft.

Öffentliche Einrichtungen können bei „außergewöhnlichem Bedarf“ Daten anfordern. In Notlagen (z. B. Naturkatastrophen) erfolgt dies unentgeltlich, sonst gegen Aufwandsentschädigung. KMU sind ausgenommen.

Nicht- oder Schlechterfüllung von Pflichten kann Bußgelder bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes nach sich ziehen.

Betroffene Unternehmen sollten: