Ziele und Hintergründe zum Entwurf der EU-Kommission Entwurf zu einem EU Data Act

Anbieter zum Thema

ERNST & YOUNG AG

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Die EU-Kommission hat am 23.02.2022 einen Vorschlag für einen EU Data Act veröffentlicht. Mit diesem weiteren Baustein ihrer Europäischen Datenstrategie soll ein europäischer Binnenmarkt für Daten etabliert werden.

Das Angebot von digital vernetzen Produkten (Internet of Things), bei denen Nutzungsdaten systematisch an die Hersteller oder Betreiber übertragen werden, hat stetig zugenommen. Beispielhaft auf Verbraucherseite sind Fitnessgeräte, sprachgesteuerte Assistenzsysteme wie Alexa oder Siri oder sogar vernetzte „Weiße Ware“. Doch auch in der Wirtschaft sind Erntemaschinen, Messtechnik oder Werkzeuge für Handwerker standardmäßig digital vernetzt.

Den so generierten Daten wohnt ein hohes wirtschaftliches Potenzial inne. Daher wird immer bedeutsamer, wer diese Daten und auf welche Art und Weise nutzen darf. Bisher sind die Nutzungsdaten in der Regel allein für die Hersteller/ Betreiber verfügbar, da die Daten in der dortigen Cloud verarbeitet werden. Dem Nutzer hingegen bleibt der Zugang zu den Daten verwehrt, obwohl er sie quasi erzeugt hat.

Genau hier setzt der EU Data Act nun an: Mit horizontaler Regulierung sollen künftig branchen- und sektorenübergreifend durchsetzbare Ansprüche auf Nutzung und Zugang zu diesen Nutzungsdaten geschaffen werden und so die faktischen „Daten-Monopole“ der Hersteller aufgebrochen werden. Neben dem horizontalen EU Data Act arbeitet die EU-Kommission an einer Reihe weiterer branchenspezifischer vertikaler Rechtsakte für die Nutzung von Daten, etwa für den Verkehrs- und den Gesundheitssektor.

Der EU Data Act ist mit dem EU Data Governance Act als Teil der Europäischen Datenstrategie in Zusammenhang zu sehen. Letzterer soll die Weiterverwendung bestimmter Daten des öffentlichen Sektors vereinfachen und den sogenannten Datenaltruismus fördern. Der EU Data Act hingegen macht Vorgaben, wer unter welchen Bedingungen Zugang zu Daten haben muss und wie vertragliche Vereinbarungen zur Nutzung von Daten und Cloud Services gestaltet werden sollten:

Datennutzungs- und Zugangsrechte für Nutzer

Für Unternehmen, die mindestens 50 Mitarbeiter und einen Jahresumsatz oder eine Bilanzsumme von mehr als 10 Millionen Euro haben, gibt Art. 3 des Verordnungsentwurfs („VO-E“) vor, vernetzte Produkte und zugehörige Services von vornherein so zu gestalten, dass die generierten Daten dem Nutzer direkt und leicht zugänglich sind. Darüber hinaus wird ein Katalog an Informationen definiert, welchem dem Nutzer vor Erwerb eines vernetzten Produkts mitgeteilt werden müssen. Hierzu zählen der Umfang der generierten Daten, wie der Nutzer auf diese zugreifen kann und ob diese kontinuierlich und in Echtzeit generiert werden. Art. 4 VO-E gewährt dem Nutzer das Recht, Zugang zu den durch die Nutzung des Produkts oder zugehörigen Services entstandenen Daten zu erhalten. Darüber hinaus räumt Art. 5 VO-E dem Nutzer das Recht ein, vom Hersteller zu verlangen, die durch die Nutzung entstandenen Daten kostenfrei an einen anderen Hersteller seiner Wahl zu übermitteln.

Für die Reichweite der Nutzungs- und Zugangsrechte des Nutzers ist der Begriff des „Produkts“ elementar. Art. 2 Nr. 2 VO-E definiert ein Produkt als greifbaren, beweglichen Gegenstand, der Daten über seinen Gebrauch oder die Umgebung erhebt oder generiert, über eine Internetanbindung Daten austauschen kann und dessen Hauptfunktion nicht in der Datenspeicherung oder -verarbeitung besteht. Hersteller von vernetzten Fitnessarmbändern, Kühlschränken oder Spielzeugen müssen dem Entwurf nach damit rechnen, dass Nutzer künftig ihre Datenzugangs- und Nutzungsrechte ihnen gegenüber geltend machen. Hingegen sind Anbieter von ausschließlich digitalen Diensten, deren Nutzung keine Hardware erfordert, vom Anwendungsbereich ausgenommen. Dies betrifft beispielsweise Streaming Plattformen wie Spotify, Netflix oder Anbieter von cloudbasierter Software.

Der Entwurf sieht weiterhin keine Möglichkeit einer Kompensation für den Nutzer für die Verwendung seiner Daten vor. Während dem Hersteller die Möglichkeit gegeben wird, mit dem Datenempfänger eine mögliche Entschädigung für die Bereitstellung der Daten zu vereinbaren (vgl. Art. 9 VO-E), verlangt der Verordnungsentwurf vom Nutzer eine „Datenspende“.

Zugangsrechte für den öffentlichen Sektor

Im Falle einer absoluten Notsituation („exceptional need“) können öffentliche Stellen die Herausgabe von Nutzungsdaten vom Datenhalter verlangen. Eine absolute Notsituation liegt vor, wenn die Datenanfrage zur Reaktion auf einen öffentlichen Notfall erforderlich sowie zeitlich und vom Umfang auf diesen Notfall begrenzt ist und die öffentliche Stelle nicht in der Lage ist, sich die Daten anderweitig zu beschaffen. Explizit ausgenommen sind Anfragen zur Verhütung, Ermittlung, Feststellung oder Verfolgung von Straftaten oder Ordnungswidrigkeiten oder der Vollstreckung von strafrechtlichen Sanktionen oder für die Zoll- oder Steuerverwaltung. Der Datenzugang wird angesichts der immanenten Gefahr einer „Datenhortung“ bzw. Vorratsdatenspeicherung und der damit verbundenen Überwachungsmöglichkeiten zurecht auf absolute Notsituationen beschränkt. Zudem könnte ein zu weit gehendes Datenzugangsrecht des öffentlichen Sektors gegenüber Unternehmen für Wettbewerbsverzerrungen sorgen.

Regulierung von Cloud- und IT-Services

Für Nutzer soll der Wechsel von Cloud- und IT Services erleichtert werden. Dazu dienen sollen Kündigungsfristen bis maximal 30 Tage, die Unzulässigkeit vertraglicher Hindernisse eines Anbieterwechsels, Datenportabilität, die graduelle Abschaffung von Wechselkosten sowie Interoperabilität.

Letztere ist auch essenziell für sogenannte Datenraumbetreiber („data space operators“). Unter dieser Definition fallen Betreiber von Cloud-Plattformen, mit deren Hilfe Dokumente und Informationen online gespeichert und mit anderen geteilt werden können. Nutzer von Datenräumen sollen ihre in einer Cloud gespeicherten Daten möglichst unkompliziert in die Cloud eines anderen Anbieters transferieren können. So sollen Datenraumbetreiber beispielsweise ausreichende Beschreibungen zu Datensätzen, Nutzungsbeschränkungen, Lizenzen, Methodik der Datenerhebung sowie der Datenqualität erstellen. Weiterhin sollen Datenstrukturen und -formate, Vokabulare, Klassifizierungsschemata und die technischen Mittel für den Zugang zu den Daten beschrieben und öffentlich sein.

Insgesamt geht die Kommission mit diesem Entwurf einen mutigen rechtspolitischen Schritt zur Förderung der Datenökonomie. Abzuwarten bleibt, ob und wie der Entwurf den Weg durch das komplexe EU-Gesetzgebungsverfahren nimmt.

Über den Autor: Dr. Peter Katko, licencié en droit ist Rechtsanwalt und Partner, Global Digital Law Leader bei EY Law.

(ID:48099347)