Der Data Act: Das nächste große Digitalgesetz
Ab September 2025 revolutioniert der EU Data Act den Umgang mit Maschinendaten. Unternehmen müssen sich jetzt vorbereiten, um neue Pflichten zu erfüllen und strategische Chancen zu nutzen.
Im Schatten der DSGVO und des AI Acts hat die Europäische Union mit dem Data Act eine weitere, tiefgreifende Regulierung auf den Weg gebracht, die ab dem 12. September 2025 in weiten Teilen anwendbar sein wird. Anders als bei der DSGVO geht es hier jedoch nicht primär um den Schutz personenbezogener Daten, sondern um deren erzwungenen Zugang und ihre Nutzung. Der Data Act stellt eine strategische Weichenstellung dar, die darauf abzielt, „Datensilos“ aufzubrechen und die Wertschöpfung aus Maschinendaten zu demokratisieren. Für Hersteller vernetzter Produkte und Anbieter digitaler Dienste bedeutet dies einen Paradigmenwechsel, der Produktentwicklung, Vertragsgestaltung und ganze Geschäftsmodelle fundamental beeinflussen wird. Eine frühzeitige strategische Vorbereitung ist daher unerlässlich.
Was ist der Data Act und wer ist betroffen?
Der Data Act ist ein zentraler Baustein der europäischen Datenstrategie. Er soll Fairness im digitalen Umfeld schaffen, den Wettbewerb fördern und Innovationen auf sogenannten Sekundärmärkten (z.B. Reparatur, Wartung, individualisierte Dienstleistungen) ermöglichen.
• Das Ziel: Daten für alle Der Kerngedanke des Data Acts ist, dass diejenigen, die durch die Nutzung eines Produkts Daten erzeugen – die Nutzer –, auch das Recht haben sollen, auf diese Daten zuzugreifen und über deren Weiterverwendung zu bestimmen. Bislang verblieben diese Daten oft exklusiv beim Hersteller, der sie für eigene Zwecke (z.B. Produktverbesserung, neue Services) monetarisieren konnte. Diese exklusive Kontrolle wird nun aufgebrochen.
• Wen der Data Act in die Pflicht nimmt Die Verordnung richtet sich primär an die sogenannten Dateninhaber. Dies sind in der Regel die Hersteller von vernetzten Produkten und die Anbieter von verbundenen Diensten.
◦ Vernetzte Produkte: Das sind mit dem Internet verbundene Gegenstände, die Daten über ihre Nutzung oder ihre Umgebung sammeln. Beispiele reichen von Smart Cars und intelligenten Haushaltsgeräten (smarte Küchengeräte, Smart TVs) bis hin zu industriellen Produktionsmaschinen und Smart Metern.
◦ Verbundene Dienste: Hierbei handelt es sich um digitale Dienste (einschließlich Software), die so mit einem Produkt verbunden sind, dass es ohne sie seine Funktionen nicht ausführen könnte. Ein typisches Beispiel ist eine App zur Steuerung von Smart-Home-Geräten.
Kleine und Kleinstunternehmen sind von den zentralen Datenzugangspflichten grundsätzlich ausgenommen, sofern sie nicht von größeren Unternehmen mit der Herstellung entsprechender Produkte oder der Erbringung von Diensten beauftragt werden.
Ihre neuen Kernpflichten als Dateninhaber
Für die betroffenen Unternehmen ergeben sich aus dem Data Act weitreichende neue Verpflichtungen, die tief in die bisherigen Prozesse eingreifen. Sie müssen sich darauf einstellen, Daten, die sie bisher als ihr exklusives Gut betrachtet haben, teilen zu müssen.
• Zugang für Nutzer gewähren: Sie müssen Nutzern (sowohl Privatpersonen als auch Unternehmen) auf deren Verlangen hin Zugang zu allen Daten gewähren, die durch die Nutzung ihrer gekauften, gemieteten oder geleasten Produkte entstehen. Dieser Zugang muss für den Nutzer einfach und in der Regel kostenlos sein.
• Daten mit Dritten teilen: Nutzer können Sie anweisen, diese Daten direkt an einen von ihnen benannten Dritten weiterzugeben. Dies könnte beispielsweise eine unabhängige Werkstatt sein, die die Diagnosedaten eines Fahrzeugs zur Reparatur benötigt, oder ein Energieberater, der die Verbrauchsdaten eines Smart Meters analysiert. Für die Bereitstellung an Dritte dürfen Sie ein angemessenes Entgelt verlangen.
• Verträge anpassen: Sie sind verpflichtet, vorvertragliche Informationen über die generierten Daten bereitzustellen und faire, transparente Datenlizenzverträge zu schließen. Die einseitige Auferlegung missbräuchlicher Klauseln bei der Datenweitergabe wird verboten. Die EU-Kommission wird hierzu Mustervertragsklauseln bereitstellen.
• Produkte neu denken („Access by Design“): Für Produkte, die nach dem 12. September 2026 in Verkehr gebracht werden, gilt eine neue Designpflicht. Sie müssen so gestaltet sein, dass Nutzer standardmäßig einfach und direkt auf die anfallenden Daten zugreifen können.
Das Spannungsfeld: Wenn der Data Act auf die DSGVO trifft
Obwohl der Data Act primär auf nicht-personenbezogene Maschinendaten abzielt, ist die Trennlinie in der Praxis oft fließend. Viele Datensätze (z.B. aus einem Auto oder einer Smartwatch) enthalten sowohl technische Informationen als auch personenbezogene oder personenbeziehbare Daten. Hieraus ergibt sich ein komplexes Spannungsfeld mit der DSGVO.
• Die DSGVO hat Vorrang Der Data Act stellt unmissverständlich klar: Er schafft keine neue Rechtsgrundlage für die Verarbeitung personenbezogener Daten. Im Konfliktfall hat die DSGVO stets Vorrang. Das bedeutet, dass ein Datenzugangsanspruch nach dem Data Act die datenschutzrechtlichen Anforderungen nicht aushebeln kann.
• Das praktische Dilemma für Unternehmen Diese Vorrangstellung bringt Unternehmen in eine rechtliche Zwickmühle. Ein typisches Beispiel ist ein Fahrzeug, das von mehreren Personen genutzt wird (z.B. ein Familienauto oder ein Dienstwagen):
◦ Der Data Act verpflichtet den Hersteller, dem Nutzer (z.B. dem Eigentümer oder Leasingnehmer) auf Verlangen alle Fahrzeugdaten (z.B. Standortverläufe, Fahrverhalten) zur Verfügung zu stellen.
◦ Die DSGVO verbietet es jedoch, personenbezogene Daten anderer Personen (z.B. der Familienmitglieder oder anderer Fahrer) ohne deren explizite Einwilligung herauszugeben.
Der Dateninhaber steht also zwischen der Pflicht zur Herausgabe nach dem Data Act und dem Verbot der Herausgabe nach der DSGVO. Er muss technisch und organisatorisch sicherstellen, dass er nur die Daten des anfragenden Nutzers oder anonymisierte Daten herausgibt, was in der Praxis eine erhebliche Herausforderung darstellt.
• Der relative Personenbezug als Unsicherheitsfaktor Die Komplexität wird durch die schwierige Abgrenzung von personenbezogenen und anonymen Daten weiter erhöht. Jüngste EuGH-Rechtsprechung (z.B. im SRB-Urteil) zum sogenannten relativen Personenbezug zeigt, dass Daten für eine Partei anonym sein können, während sie für eine andere Partei (die über Zusatzwissen verfügt) als personenbezogen gelten. Dieser ‚relative Personenbezug‘ erschwert die technische Umsetzung der Datenherausgabe erheblich. Unternehmen müssen nun im Einzelfall prüfen, ob Daten, die für sie selbst anonym erscheinen, für den Empfänger (z.B. einen Dritten mit Zusatzwissen) personenbeziehbar sein könnten. Dies kompliziert die Anonymisierungs- und Schwärzungsprozesse vor der Datenweitergabe und erhöht das Risiko eines unbeabsichtigten DSGVO-Verstoßes.
Schlussfolgerung und Handlungsaufruf
Der Data Act ist weit mehr als eine technische Compliance-Übung. Er erzwingt eine grundlegende Neubewertung des Werts und der Kontrolle von Daten und wird die Beziehungen zwischen Herstellern, Nutzern und Drittanbietern neu definieren. Die Verpflichtungen sind komplex und die Schnittstellen zur DSGVO bergen erhebliche rechtliche Risiken. Unternehmen, die in den Anwendungsbereich fallen, müssen sich dringend und strategisch mit den Auswirkungen auf ihre Produkte, Verträge und Geschäftsmodelle auseinandersetzen.
Der Data Act ist mehr als nur eine weitere Compliance-Aufgabe – er ist ein strategischer Faktor, der Ihr Geschäftsmodell betrifft. Unternehmen, die sich jetzt vorbereiten, können Risiken minimieren und neue Chancen identifizieren. Sprechen Sie mit unseren Strategen, um die Auswirkungen auf Ihr Unternehmen zu bewerten und eine zukunftssichere Roadmap zu entwickeln.