Der Data Governance Act und der Data Act der EU

Data Governance Act 

Der Entwurf einer Verordnung über die Daten­verwaltung (Data Governance Act) wurde bereits im November 2020 von der EU-Kommission veröffentlicht. Damit wird angestrebt, die Verfügbarkeit von Daten zur Nutzung zu fördern, indem man die Mechanismen für die gemeinsame Datennutzung in der gesamten EU stärkt und das Vertrauen in die Datenmittler verbessert. Dafür wird hauptsächlich auf drei Maßnahmen gesetzt. 

 

Bereitstellung von Daten des öffentlichen Sektors

Die Daten im Besitz des öffentlichen Sektors sollen vermehrt zugänglich werden. Dafür werden, auch jenseits der „Open-Data“-Richtlinie, Vereinbarungen verboten, welche die Weiterverwendung von Daten, die sich im Besitz öffentlicher Stellen befinden, einschränken . Darunter fallen zum Beispiel Daten, die wegen geistigen Eigentums Dritter oder aufgrund ihrer Sensibilität geschützt sind. Eine Ausnahme ist unter anderem vorgesehen, wenn eine solche Vereinbarung für die Erbringung eines Dienstes oder die Bereitstellung eines Produkts im allgemeinen Interesse erforderlich ist.

Die von den Mitgliedstaaten benannten zuständigen öffentlichen Stellen müssen die Bedingungen für die Weiterverwendung der Daten öffentlich zugänglich machen. Sie können auch Verpflichtungen auferlegen, z. B. dass nur aufgearbeitete Daten verwendet werden dürfen (durch Anonymisierung, Pseudonymisierung und Löschung von vertraulichen Informationen), oder dass die Weiterverwendung in einer kontrollierten Verarbeitungsumgebung erfolgen muss. Für die Erlaubnis zur Weiterverwendung dieser Daten können Gebühren erhoben werden. 

 

Dienste für die gemeinsame Datennutzung

Um das Vertrauen in den Datenmittler zu erhöhen, wird künftig die Erbringung von bestimmten Diensten für die gemeinsame Datennutzung anmeldungspflichtig werden. Außerdem wird Anbietern eine Serie von Anforderungen bezüglich ihrer eigenen Nutzung der Daten, des Zugangsverfahrens, der Interoperabilität der Daten und der Abwendung von missbräuchlichen und rechtswidrigen Verhaltens auferlegt.

Wer Dienste für betroffene Personen anbietet, muss nach dem Data Governance Act in ihrem besten Interesse handeln und die Ausübung ihrer Rechte gemäß der Datenschutzgrundverordnung erleichtern. Insbe­sondere ist eine Beratung in Bezug auf mögliche Arten der Datennutzung und übliche Geschäftsbedingungen für solche Nutzungen vorgesehen.

Die zuständigen Behörden werden die Einhaltung dieser Vorschriften beaufsichtigen und durchsetzen. Dafür werden sie Geldstrafen und Zwangsgelder verhängen können und/oder die Aussetzung der Er­bringung des Dienstes für die gemeinsame Daten­nutzung anordnen.

 

Datenaltruismus 

Neue Vorschriften sind auch für datenaltruistische Organisationen vorgesehen. Es handelt sich hierbei um Organisationen, die zur Verfolgung von allgemeinem Interesse gegründet worden sind, und eine datenaltruistische Tätigkeit über eine rechtlich unabhängige und von anderen Tätigkeiten getrennte Struktur ausüben. Anerkannte datenaltruistische Organisationen, die besonderen Transparenz­erfordernissen unterliegen, werden in einem Register eingetragen, der ihre Glaubwürdigkeit bezeugt. 

 

Weitere Maßnahmen 

Der Entwurf sieht auch die Einsetzung eines Dateninnovationsrats in Form einer Expertengruppe vor, der die EU-Kommission beraten und unterstützen soll. Um die Gefahr eines Datenlecks zu verringern, wird außerdem der Zugang von ausländischen Gerichten und Behörden zu den erfassten Daten eingeschränkt.

  

Kritikpunkte 

Der Entwurf ist überwiegend gut angenommen worden. Es wurde dennoch kritisiert, dass eine klare syste­matische Abgrenzung zu anderen Regelungen fehlt, insbesondere zur Datenschutzgrundverordnung, zur geplanten ePrivacy-VO und zu der Richtlinie zum Schutz von Geschäftsgeheimnissen. Bedenken wurden auch bezüglich des bürokratischen Aufwands geäußert.

 

Ausblick

Die EU-Kommission gab am 30. November 2021 bekannt, dass das EU-Parlament und der Rat eine politische Einigung über den vorgeschlagenen Data Governance Act erziehlt haben. Die Verordnung muss nun noch vom Parlament und dem Rat der EU endgültig genehmigt werden. Unternehmen und Bürger, die sich für die Nutzung der zur Verfügung gestellten Daten interessieren, sowie betroffene Dienstanbieter und Organisationen sollen sich entsprechend vorbereiten.

 

Data Act 

Etwas kontroverser erscheint die zweite Maßnahme, die die EU-Kommission im Rahmen ihrer Mitteilung zur Datenstrategie in 2020 vorgestellt hat: der Data Act. Damit soll der Datenaustausch durch und zwischen Unternehmen gefördert werden, um die Entwicklung der EU-Datenwirtschaft voranzubringen. Ein erster Entwurf der Verordnung wird in Kürze erwartet. Es ist dennoch teilweise schon absehbar, in welche Richtung die Vorschläge der Kommission gehen werden.

Sie kann aus der Folgenabschätzung, welche die Kommission am 28.05.2021 publiziert hat, und aus den Ergebnissen der öffentlichen Konsultation, die vom 3. Juni bis zum 3. September 2021 durchgeführt wurde, entnommen werden.

Es wurden mehrere Problembereiche erkannt, die den Datenaustausch zwischen und durch Unternehmen hemmen oder verhindern. Darunter fallen allgemeine Faktoren wie zum Beispiel der Mangel von Fairness in den digitalen Märkten oder die geringe Rechtssicherheit, aber auch speziellere Probleme wie die fehlende Portabilität bei der Nutzung von Cloud-Diensten und die Notwendigkeit von harmonisierten Standards für intelligente Verträge.

Um diese Probleme anzugehen, könnten mehrere potenzielle Maßnahmen eingeführt werden, die sich sowohl in B2G als auch in B2B Verhältnissen abspielen.

  

Gemeinsame Datennutzung B2B 

• Der Datenzugang spielt in der digitalen Wirtschaft eine große Rolle. Start-ups und kleine Unternehmen haben aufgrund ihrer schwachen Verhandlungsmacht oft Schwierigkeiten, ihn zu erlangen. Dies schafft ein Ungleichgewicht auf dem Markt und verhindert Innovationen. Die Kommission schlägt deswegen vor, Datenzugangs- und Nutzungsrechte einzuführen. Unfaire Vertragsbedingungen sollen durch einen Fairness-Test verhindert werden.

Seitens der Wirtschaft wurde zum Teil beanstandet, dass der Austausch von Daten auch zu einer Wettbewerbsbeschränkung führen kann, vor allem, wenn dieser auch sensible, wettbewerbsrelevante Informationen umfasst. Deswegen soll der Datenaustausch grundsätzlich auf freiwilliger Basis erfolgen. Nur dort, wo eine Marktverzerrung festgestellt wurde, soll der Zugang sektorspezifisch geregelt werden. Um die Gewährung des Datenschutzes zu erleichtern, sollen außerdem Orientierungshilfen für Unternehmen zu Verfügung gestellt werden.

• Der Zugang zu maschinengenerierten Daten soll erweitert werden. Dafür könnte eine Reform der Datenbankrichtlinie nötig sein.
• Auch der Markt für Cloud Computing Dienste soll wettbewerbsfähiger werden. Organisationen und Unternehmen sind für die Verarbeitung von Daten immer mehr auf Cloud-Dienste angewiesen, die oft bereits eine große Marktmacht besitzen. Um lock-in Effekte zu vermeiden, soll die Portabilität zwischen Cloud-Diensten durch ein Portabilitätsrecht gesichert werden.

Die DIHK hat in ihrer Stellungnahme zum Data Act in dieser Hinsicht gefordert, dass die Verhandlungsposition von Cloud-Nutzern durch Standardvertragsklauseln gestärkt wird. Dafür ist ein Recht auf Übertragbarkeit der Daten auch für gewerbliche Nutzer von Cloud-Diensten notwendig. Dieses ist derzeit nur lückenhaft in Art. 20 DSGVO geregelt und die technische Umsetzung der Übertragung wurden bisher nicht normiert. Der Data Act soll das allgemeine Recht auf Datenübertragbarkeit konkretisieren. Die Kommission erwägt zum Beispiel, Anbieter von Smart-Geräten zu verpflichten, eine Echt-Zeit Übertragung von Daten durch Schnittstellen zu ermöglichen. Dadurch soll auch der Wettbewerb gefördert werden.

  

Gemeinsame Datennutzung B2G

Der öffentliche Sektor könnte von der Nutzung von durch private Unternehmen verarbeiteten Daten profitieren. Der Zugang ist aber eingeschränkt, einerseits wegen der Unklarheit des Rechtsrahmens, andererseits weil Unternehmen keine Anreize haben, ihre Daten mit dem Staat zu teilen.

Durch den Data Act soll eine obligatorische gemeinsame Datennutzung für bestimmte Zwecken von öffentlichem Interesse eingeführt werden. Darüber hinaus soll die Vereinbarung von Nutzungsrechten und ihre Vergütung durch Anforderungen an die gemeinsame Nutzung von Daten und ihre Transparenz, durch Schutzmaßnahmen und durch die Schaffung von Vermittlungsstrukturen erleichtert werden.

Im Interesse der Unternehmen wäre eine klare Abgrenzung zwischen der obligatorischen und der freiwilligen Überlassung von Daten, welche für sie zu bevorzugen ist, wünschenswert. Ein angemessenes Anreizsystem (zum Beispiel durch steuerliche Vorteile) soll die Kosten der Datenübermittlung und die Erhöhung des Risikos einer Offenlegung von Geschäftsgeheimnissen beachten. Auch ein strenger Schutz von vertraulichen Geschäftsinformationen und die Transparenz bezüglich der Verwendung der Daten könnten das Vertrauen und die Bereitschaft der Unternehmen steigern.

 

Smart Contracts

„Intelligente Verträge“, das heißt automatisierte verbindliche Vereinbarungen, die in Codes und Blockchains geschrieben werden, könnten eine wichtige Rolle spielen, um die Vereinbarung von Nutzungsrechten sowohl in B2G- als auch in B2B-Verhältnissen zu vereinfachen. In der EU fehlen zurzeit aber harmonisierte Standards für diese Art von Verträgen, was einen internationalen Gebrauch auch innerhalb der EU wesentlich erschwert. Der Data Act soll den notwendigen Regelungsrahmen und die technischen Standards verschaffen.

  

Internationaler Datenschutz

Das Problem des internationalen Datenschutzes stellt sich auch im Rahmen der Data Act. Problematisch ist insbesondere der internationale Umgang mit nicht-personenbezogenen Daten (beispielsweise auf Anfrage von ausländischen Behörden), welcher bisher nicht geregelt ist. Eine Lösung könnte darin bestehen, Dienst­anbieter zu verpflichten, die Nutzer über eine solche Anfrage zu informieren und dieser nicht stattzugeben, wenn sie nach EU-Recht oder dem Recht der Mitgliedstaaten verboten ist.

 

Ausblick 

Erst der Gesetzesentwurf wird besser klären können, welche konkreten Vorteile und Herausforderungen durch den Data Act entstehen werden, und eine Vorbereitung ermöglichen. Die Veröffentlichung war bereits für Ende 2021 vorgesehen und wird in Kürze erwartet.

+++