Ab dem 12. September 2025 gilt der EU Data Act. Das Gesetz soll Innovation durch die bessere Verfügbarkeit von Daten fördern. Betroffene Unternehmen befürchten jedoch, dass der Schutz von Geschäftsgeheimnissen und Urheberrechten aufgeweicht wird.
Die Verordnung über harmonisierte Vorschriften für einen fairen Zugang zu und eine faire Nutzung von Daten (Data Act) war bereits am 27. November final verabschiedet worden und ist seit dem 11. Januar 2024 in Kraft.
Der Data Act ist – genau wie der AI Act und der Digital Services Act – Teil der europäischen Digtialstrategie. Ziel des Data Acts ist es, die EU zu einem Vorreiter in der datengesteuerten Gesellschaft zu machen und den fairen Zugang zu sowie die faire Nutzung von Daten zu gewährleisten.
Das sind die Eckpunkte:
Der Data Act soll die Grundlage für eine EU-weite Data-Sharing-Economy legen
Alle Akteure der Datenwirtschaft sollen einen interessengerechten Zugang zu industriellen Daten bekommen. Nach Angaben der EU-Kommission werden 80 Prozent der gesammelten Industriedaten nie genutzt. Der Data Act soll die Grundlage für eine EU-weite Data-Sharing-Economy legen und durch verbesserte Nutzbarmachung von Industriedaten ungenutzte Potenziale bei der Entwicklung innovativer Geschäftsmodelle heben. Ziel der EU-Kommission ist hierbei auch ausdrücklich eine Verschiebung der Marktmacht großer Unternehmen und Plattformen, die als „gatekeeper“ fungieren, hin zu KMUs und Verbraucher:innen.
Datennutzung nur auf Grundlage eines Vertrags
Fallen bei der Nutzung von vernetzten Produkten nicht-personenbezogene Daten an, benötigen die Hersteller dieser Produkte einen Vertrag mit den Nutzer:innen, um die Daten verarbeiten zu dürfen. Nutzer:innen können sogar verlangen, dass der Anbieter die Daten den Nutzer:innen kostenlos und unverzüglich zur Verfügung stellt sowie auf Nutzerweisung auch an Dritte weitergibt. In letztem Fall darf der Anbieter eine angemessene Vergütung verlangen, bei KMU-Empfängern aber nur die Erstattung direkter Kosten.
Data Sharing – Neue Herausforderungen bei der Entwicklung smarter Produkte
Nutzer:innen sollen einen Anspruch erhalten, jederzeit Zugang zu den von ihnen im Umgang mit Produkten oder Diensten erzeugten Daten zu erlangen. Dabei sieht das Gesetz für die Produktentwicklung eine Verpflichtung zur „Accessability by Design“ vor, wonach Produkte und Services so gestaltet werden sollen, dass Nutzende direkt auf nutzergenerierte Daten zugreifen können. Wenn diese die Daten nicht direkt innerhalb des Produkts auslesen können, sind Anbieter verpflichtet, den Nutzenden gegenüber kostenlos die Daten unverzüglich – und im Einzelfall sogar kontinuierlich und in Echtzeit – zur Verfügung zu stellen.
Daneben haben Hersteller und Anbieter vernetzter Produkte künftig vorvertragliche Aufklärungspflichten bezüglich Einzelheiten der Datennutzung und über bestehende Nutzerrechte, die denen der DSGVO ähnlich sind.
Der Data Act verbietet unfaire Vertragsklauseln in Standardverträgen
Der Data Act enthält ein Verbot unfairer Vertragsklauseln in Standardverträgen ab dem 12. September 2025 zu Datennutzung und -lizensierung. Für Altverträge gilt eine Frist bis zum ab 12. September 2027 (unbefristet oder Laufzeit ≥10 Jahre ab dem 11. Januar 2024). Die Verbote erinnern stark an das deutsche AGB-Recht und sehen eine katalogartige Aufzählung von Vertragsinhalten vor, deren Vereinbarung zur Unwirksamkeit einzelner Klauseln oder im Extremfall des gesamten Vertrages führen kann. Neben den aufgezählten Klauselinhalten sind insbesondere Klauseln unwirksam, die in grober Weise von der „guten kaufmännischen Praxis des Datenzugangs und der Datennutzung“ abweichen.
Erleichterung des Anbieterwechsels für Nutzer:innen
Der Wechsel von Anbietern im Bereich der Datenverarbeitung – also insbesondere Cloud- und Edgeservices – soll für Kund:innen zukünftig wesentlich erleichtert werden. So sieht der Data Act insbesondere vor, dass Anbieter sämtliche kommerziellen, technischen, vertraglichen und organisatorischen Hindernisse ausräumen müssen, die Kund:innen davon abhalten, den Vertrag mit einer Frist von höchstens zwei Monaten zu kündigen, einen Vertrag mit einem neuen Anbieter zu schließen, die Daten oder Anwendungen und andere Digital Assets auf einen anderen Service binnen einer Mindestfrist für den Datenabruf von mindestens 30 Kalendertagen zu übertragen. Hierzu sollen die Anbieter verpflichtet werden, die Interoperabilität ihrer Services durch die Nutzung offener Standards und Schnittstellen zu gewährleisten. Wechselentgelte dürfen hierfür nur bis zum 12. Januar 2027 erhoben werden.
Data Act ermöglicht Datenzugriff durch öffentliche Stellen
In Ausnahmefällen sieht der Data Act auch ein Zugriffsrecht öffentlicher Stellen auf Daten vor. Voraussetzung hierfür ist jedoch, dass die öffentliche Stelle ein Unternehmen explizit zur Offenlegung auffordert und sich dabei auf Grund eines besonderen Bedürfnisses („exceptional need“) an dieses wendet. Solche besonderen Bedürfnisse bestehen nach dem Data Act insbesondere bei Notfällen oder sofern der Zugriff zur Aufgabenerfüllung der Behörde erforderlich ist, zum Beispiel Pandemien.
Neue Produkte müssen Datenzugriff ermöglichen
Vernetzte Produkte und verbundene Dienste müssen Hersteller künftig so konzipieren und herstellen bzw. erbringen, dass ein Zugriff der Nutzenden auf ihre Daten standardmäßig einfach, sicher und unentgeltlich möglich ist. Diese Vorschrift wird allerdings nur für Produkte gelten, die ab dem 12. September 2026 in Verkehr gebracht werden.
Verstöße können erhebliche Geldbußen nach sich ziehen
Für Verstöße sieht der Data Act erhebliche Sanktionen vor. Bußgelder können bis zu 20.000.000 Euro beziehungsweise bis zu 4 Prozent des weltweiten Jahresumsatzes betragen. Die Höhe der Bußgelder erinnert an die DSGVO.
Fazit
Auffällig ist, dass der Data Act die Verarbeitung industrieller Daten regulatorisch näher an die Verarbeitung personenbezogener Daten rückt, indem er das Recht zur Verwendung der Daten originär den Nutzenden zuordnet und diesen weitreichende Entscheidungsbefugnisse hinsichtlich deren Verwendung einräumt. Eine konkrete Aussage zum Thema Dateneigentum ist allerdings nicht getroffen worden.
Der Data Act stellt einen wesentlichen Eingriff in die Vertragsgestaltungsfreiheit der betroffenen Akteure bei Datennutzungsverträgen dar. Welche Folgen das haben wird, wird sich zeigen.
Unternehmen sollten spätestens jetzt mit der Umsetzung der Vorgaben des Data Acts beginnen, denn es steht fest, dass der Data Act zahlreiche Verpflichtungen für Digitalunternehmen mit sich bringt, die zum Teil nur in langfristigen und umfangreichen Prozessanpassungen gewährleistet werden können.
