Datenzugang und Portabilität erhöhen Sicherheitsanforderungen Data Act und DSGVO verlangen abgestimmte Schutzmaßnahmen

Anbieter zum Thema

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

Der EU Data Act erweitert Datenzugangsrechte und Datenportabilität. Aber ohne abgestimmte Sicherheits- und Datenschutzmaßnahmen drohen neue Risiken. Unternehmen müssen prüfen, welche Bestände in den Anwendungsbereich fallen, DSGVO-Pflichten synchronisieren, technische Schutzmaßnahmen nach Art. 11 Data Act etablieren und einheitliche TOMs für Personen- und Sachdaten definieren.

Am 12. September 2025 ist die „Verordnung über harmonisierte Vorschriften für einen fairen Datenzugang und eine faire Datennutzung“ (kurz: Data Act) EU-weit direkt anwendbares Recht geworden. Ohne Anpassung der internen Security-Maßnahmen kann aus dem Datenzugang aber ein neues Sicherheitsrisiko werden. Höchste Zeit, aktiv zu werden.

Der Data Act soll Nutzern, sowohl Verbrauchern als auch Unternehmen, mehr Kontrolle über die Daten geben, die von ihren vernetzten Geräten wie Autos, Smart-TVs und Industriemaschinen erzeugt werden. Das neue Datengesetz legt den Grundstein für eine faire, innovative und wettbewerbsfähige europäische Datenwirtschaft, so die EU-Kommission.

Neue Datenzugangsrechte

Wie man sich auf den EU Data Act vorbereitet

Doch mit den neuen Chancen sind wie so oft auch neue Risiken verbunden, aus „mehr Kontrolle über die Daten“ könnte ein „weniger Kontrolle über die Daten“ werden, denn es werden Daten bewegt und übertragen (Data Portability). Das OECD Policy Paper „The impact of data portability on user empowerment, innovation, and competition” erklärt zum Beispiel: „Maßnahmen zur Datenportabilität können den Wettbewerb in schnell wachsenden Märkten unbeabsichtigt hemmen, da Interoperabilitätsanforderungen KMU und Start-ups unverhältnismäßig stark belasten können. Datenportabilität kann zudem die Risiken für digitale Sicherheit und Datenschutz erhöhen, indem sie Datentransfers an mehrere Ziele ermöglicht“.

Der Digitale Omnibus der EU-Kommission will die Belastung für KMU und Startups unter anderem beim Data Act verringern. Die möglichen Risiken für die digitale Sicherheit aber sollten auch in den Blick genommen werden.

Stichtag 12. September 2025

Mehr Rechte für Nutzer – EU-Datengesetz greift ab Freitag

Datenschutz beim Datenzugang nicht vergessen

Wenn Daten zugänglich gemacht werden, darf nicht nur der Data Act im Blick sein, denn der Datenschutz muss weiterhin umgesetzt werden. So erklärt das Bayerische Landesamt für Datenschutzaufsicht: Der Data Act gilt für Daten mit und ohne Personenbezug. Um das Schutzniveau des Datenschutzrechts nicht zu umgehen, sieht der Data Act daher bei Sachverhalten mit personenbezogenen Daten einen Vorrang der DSGVO vor, so die Aufsichtsbehörde. Das heißt in den Fällen, in denen personenbezogene Daten von den Regelungen des Data Acts umfasst sind, müssen sämtliche Anforderungen der DSGVO eingehalten werden.

Der Landesbeauftragte für den Datenschutz in Niedersachsen macht klar: Auf Verlangen des Nutzers müssen die Daten auch an andere Unternehmen oder Verbraucher weitergegeben werden. Persönliche Daten der Nutzer wie aufgezeichnetes Fahrverhalten bei vernetzten Fahrzeugen oder der Fitnesszustand von Smartwatches werden weiterhin vorrangig durch die Datenschutz-Grundverordnung geschützt. Ihre Weitergabe erfordert daher ergänzend zu den Vorschriften des Data Act eine Rechtsgrundlage nach der DSGVO, so der Landesdatenschutzbeauftragte.

Unternehmen sollten umgehend überprüfen, ob ihre Datenbestände in den Anwendungsbereich des Data Act und bei einem Personenbezug gleichzeitig in den Anwendungsbereich der DSGVO fallen. Informationen und Vertragstexte, wie etwa Nutzungsbedingungen, sollten gegebenenfalls angepasst werden.

Die Forderungen der Datenschutz-Grundverordnung (DSGVO) betreffen bekanntlich auch die Sicherheit der Verarbeitung, und generell müssen Unternehmen daran denken, dass das neue Recht auf Datenzugang und die Datenportabilität auch neue Anforderungen an die Datensicherheit mit sich bringen.

Datengesetze und Datenschutzgesetze

So lassen sich Daten nutzen und trotzdem schützen

IT-Sicherheit und Datenschutz sind gefordert

Eine enge Abstimmung zwischen Datenschutz, IT-Sicherheit und Datenmanagement ist besonders wichtig, erläutert der Berufsverband der Datenschutzbeauftragten Deutschlands (BvD) mit Blick auf den Data Act. Das Gleichgewicht zwischen Datennutzung und Datenschutz wird komplexer, aber auch vielversprechender, so der Berufsverband. Das Datengesetz erweitert demnach den Aufgabenbereich von Datenschutzbeauftragten und fordert ein proaktives Management von Datenschutzrisiken im Kontext der Datenökonomie.

Im Data Act und in den Erläuterungen (Erwägungsgründe) zum Data Act werden die neuen Aufgaben für die Datensicherheit ebenfalls sichtbar. Artikel 11 Data Act beschreibt „Technische Schutzmaßnahmen über die unbefugte Nutzung oder Offenlegung von Daten“, darunter: „Ein Dateninhaber kann geeignete technische Schutzmaßnahmen, einschließlich intelligenter Verträge und Verschlüsselung, anwenden, um den unbefugten Zugang zu Daten, einschließlich Metadaten, zu verhindern“.

Unter „Erwägungsgrund 94 Sicherheit beim Wechsel“ (gemeint ist das Cloud Switching) zum Beispiel findet man: „Während des gesamten Vollzugs des Wechsels sollte ein hohes Maß an Sicherheit gewahrt werden. Das bedeutet, dass der ursprüngliche Anbieter von Datenverarbeitungsdiensten das Sicherheitsniveau, zu dem er sich in Bezug auf den Dienst verpflichtet hat, auf alle technischen Modalitäten – wie Netzverbindungen oder physische Geräte – ausdehnen sollte, für die er während des Vollzugs des Wechsels verantwortlich ist.“

Datennutzung versus Datenschutz

Kommt jetzt die Kehrtwende im Datenschutz?

Datenschutzaufsicht gibt Sicherheitshinweise

Da die Datenschutzaufsichtsbehörden sich als Data-Act-Aufsichtsbehörden bei Personenbezug der Daten positionieren, kommt von einer Datenschutzaufsicht auch ein hilfreicher Leitfaden zum Data Act, der auch Sicherheitsmaßnahmen benennt.

Für den „Schutz der Vertraulichkeit durch technisch-organisatorische Maßnahmen bei der empfangenden Stelle“ empfiehlt der Leitfaden des Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit: „Sowohl Data Act als auch DSGVO verpflichten die beteiligten Akteure, den Datenaustausch sicher zu gestalten und auch die empfangenden Daten mittels technisch-organisatorischer Maßnahmen vor dem Zugriff durch Unbefugte zu sichern“.

Die Vorgabe aus der DSGVO weist starke Ähnlichkeit mit den Regelungen aus dem Data Act auf. Es geht darum, für jeweils spezifische Konstellationen technisch-organisatorische Maßnahmen zur Gewährleistung der Vertraulichkeit einzurichten. Welche dies konkret sind und wie weit das herzustellende Schutzniveau reicht, wird in beiden Rechtsakten nach einem risikobasierten Ansatz anhand der Schutzwürdigkeit der Daten, der Wahrscheinlichkeit eines Angriffs und den Umständen des Einzelfalls bemessen, so die Datenschutzaufsicht.

Es sind aber keine doppelten Aufwände notwendig: Um den möglichen Sicherheitsrisiken durch neue Datenzugangsrechte und Datenportabilität nach Data Act zu begegnen, „empfiehlt sich eine Umsetzung mittels einheitlicher Schutzmaßnahmen unabhängig vom Personenbezug der betreffenden Daten“, so die Datenschutzaufsicht.

Erneut zeigt sich, wie Datenschutz und Datennutzung zusammenspielen, auch bei Fragen der Datensicherheit.

Datenschutz und Souveränität

EU Data Act: Warum Europas Gesund­heitsdaten noch nicht souverän sind

(ID:50660642)