Data Act

Ab dem 12. September 2025 ist der Data Act EU-weit anzuwenden. Herstellende und Anbietende smarter Geräte müssen dann den Zugriff auf und die Nutzung der von ihren Produkten ermittelten Daten gewähren. Für die korrekte Umsetzung sollten sie ihre Rechte und Pflichten kennen. 

Egal ob umfangreiche Schließsysteme, Saug- und Mähroboter oder viele andere „intelligente“ Geräte – ohne Datensammlung und deren Austausch geht es heute nicht mehr. Das betrifft sowohl den Einsatz in Unternehmen als auch im privaten Umfeld bei Verbraucherinnen und Verbrauchern. Vielen stellt sich daher die Frage, was eigentlich mit diesen Daten geschieht. Ihre Nutzung soll nun der Data Act regeln. 

Hintergrund des Data Act

 Beim Data Act handelt es sich um eine europäische Verordnung, die bereits am 11. Januar 2024 in Kraft getreten ist. Nach einer Umsetzungsfrist von zwanzig Monaten ist sie ab dem 12. September 2025 in allen Mitgliedstaaten anzuwenden. Sie verfolgt das Ziel, die Vorschriften für den fairen Zugang und die Nutzung von Daten einheitlich und transparent zu gestalten. 

Entsprechend wird der Data Act als zweite Säule der europäischen Datenstrategie gesehen. Die erste bildet der seit September 2023 geltende Data Governance Act, der die Prozesse und Strukturen für den freiwilligen Datenaustausch bestimmt.

Betroffene der neuen Regelungen

Grundsätzlich gilt der Data Act branchenübergreifend für alle Unternehmen, die in der Europäischen Union tätig sind. Konkret davon betroffen sind diejenigen, die vernetzte Produkte oder verbundene Dienste anbieten sowie die Inhaber von Daten. Dies sind zum Beispiel Hersteller von smarten Haushaltsgeräten wie Saugrobotern, von Heimsicherheitstechnik oder auch Gadgets wie Fitnessuhren. 

Ebenfalls dazu gehören die Anbieter innen und Anbieter der für den Betrieb notwendigen digitalen Dienste und Apps. Zusammengefasst werden die Angebote oft unter dem Begriff „Internet of Things“ – kurz IoT. Dahinter verbergen sich Produkte, die mit dem Internet oder auch untereinander verbunden sind. Möglich machen dies integrierte Prozessoren und Sensoren, die den Datenaustausch und die Kommunikation von Geräten erlauben. Auf diese Weise können die Gegenstände auf Situationen reagieren und selbstständig aktiv werden.

Ausnahmen für kleine Unternehmen

Für die Umsetzung sieht der Data Act nur wenige Ausnahmen vor. Demnach gelten die meisten Pflichten nicht für Klein- und Kleinstunternehmen. Dabei handelt es sich um alle Betriebe, die weniger als 50 Mitarbeiterinnen und Mitarbeiter beschäftigen und einen Jahresumsatz unter zehn Millionen Euro erzielen. 

Wenn sie jedoch mit größeren Unternehmen verbunden sind oder als Partnerunternehmen agieren, können sie nicht von der Ausnahmeregelung profitieren. Unter eng festgelegten Voraussetzungen sind mittlere Unternehmen allerdings ebenfalls von den Pflichten des Data Act ausgenommen. 

Dies betrifft alle, die vor weniger als einem Jahr die Kriterien zur Einstufung als mittleres Unternehmen überschritten haben. Weitere Ausnahmen gibt es für Produkte, die von Unternehmen dieser Größe seit weniger als einem Jahr auf dem Markt erhältlich sind. 

Rechte und Pflichten von Herstellern und Anbietern 

Bei Herstellern und Anbietern greift die neue Verordnung erheblich in die vorhandenen Geschäftsmodelle und Verträge sowie ihre technischen Strukturen ein. Denn sie gelten als Inhaber der Daten, die beim Einsatz ihrer smarten Geräte erzeugt werden. Über deren Nutzung können allerdings künftig die Gerätebetreiber entscheiden. 

Dies umfasst sowohl private Verbraucherinnen und Verbraucher als auch Unternehmen. Außerdem erhalten öffentliche Stellen bei besonderem Bedarf ein Zugriffsrecht. Entsprechend kommt es darauf an, die Nutzungsrechte zwischen den Dateninhabern und den Nutzern vertraglich zu vereinbaren. 

Bereits vor Vertragsabschluss trifft Hersteller und Anbieter eine Informationspflicht. Darin ist über die Identität des Dateninhabers aufzuklären. Außerdem müssen sie Angaben zu Art und Umfang der erzeugten Daten machen und über Zugriffsmöglichkeiten sowie die Möglichkeiten zur Weitergabe informieren. Um den Nutzerinnen und Nutzern oder gegebenenfalls auch anderen Unternehmen den Datenzugang und die Weitergabe zu ermöglichen, sind die jeweiligen Geräte und Anwendungen entsprechend anzupassen. 

Dabei reicht es jedoch aus, wenn die Daten einsehbar sind und bei Bedarf auf den Servern des Dateninhabers verarbeitet werden können. Eine Datenübermittlung ist nicht notwendig. Allerdings muss der Zugang zu jeder Zeit kostenlos und in Echtzeit möglich sein. 

Datenweitergabe an Dritte 

Der Data Act soll helfen, das Potenzial industrieller Daten besser zu nutzen. Die Datenteilung ist wesentlicher Bestandteil dieser Regelung, selbst wenn dadurch Mitwerber auf dem Markt, ebenfalls in den Besitz dieser Daten kommen. Dies gilt selbst dann, wenn Wettbewerber so in den Besitz dieser Daten kommen. Ziel ist es aber vor allem, die Entwicklung von Folge- und Nebendienstleistungen zu fördern. Denkbar sind hier zum Beispiel Versicherungsangebote oder Wartungsleistungen. 

Um die Datenweitergabe an Fremdunternehmen zu ermöglichen, muss der Dateninhaber einen entsprechenden Lizenzvertrag mit dem Empfänger abschließen. Handelt es sich dabei nicht um ein kleines oder mittleres Unternehmen, darf für die Bereitstellung der Daten eine angemessene Marge vereinbart werden. Für deren Berechnung will die Kommission entsprechende Leitlinien entwickeln.

Weiterhin geschützt sind außerdem personenbezogene Daten. Diese dürfen nur der betroffenen Person zur Verfügung gestellt werden. Bei der Weitergabe an Dritte sind datenschutzrechtliche Vorgaben zu beachten. Diese sind in der Datenschutzgrundverordnung (DSGVO) geregelt.

Geschäftsgeheimnisse wahren

Grundsätzlich gilt, dass auch unter dem Data Act Geschäftsgeheimnisse geschützt bleiben sollen. Welche das konkret sind, bestimmt der Dateninhaber. Dabei müssen Dateninhaber die Daten nur dann offenlegen, wenn vorab Maßnahmen getroffen wurden, um die Vertraulichkeit zu wahren. Neben technischen und organisatorischen Vorkehrungen zählt dazu vor allem der Abschluss einer Geheimhaltungsvereinbarung. Außerdem dürfen Nutzerinnen und Nutzer sowie von ihnen beauftragte Dritte die Daten nur für die vereinbarten Zwecke verarbeiten. Danach sind sie zu löschen. Unternehmen dürfen die erhaltenen Informationen zudem nicht dazu verwenden, Konkurrenzprodukte zu entwickeln. Unklar ist jedoch bisher, wieweit die Regelungen dazu reichen. Dies betrifft zum Beispiel die Frage, ob der Schutz nur für gleiche oder auch für mögliche ähnliche Produkte gelten soll.

Umsetzung des Data Acts

Hersteller und Anbieterinnen, die von den Regelungen des Data Acts betroffen sind, sollten umgehend mit den Vorbereitungen für die Umsetzung beginnen. Denn Verstöße können mit Bußgeldern geahndet werden. Die Höchstgrenzen liegen bei bis zu 20 Millionen Euro oder vier Prozent des weltweiten Gesamtumsatzes aus dem Vorjahr. 

Zunächst gilt es daher, Art und Umfang der Daten zu ermitteln, die bei der Produktnutzung entstehen. Danach sollten Unternehmen die nötigen technischen Maßnahmen für den Datenzugang und die Weitergabe durchführen. Außerdem empfiehlt sich eine Beratung zu den wesentlichen vertraglichen Vereinbarungen. Abschließend folgt die Information der Nutzerinnen und Nutzer.

Von Martina Schäfer, FINIS Kommunikation