Data Act (DA)

Verordnung (EU) 2023/2854
Titel:	Verordnung (EU) 2023/2854 des Europäischen Parlaments und des Rates vom 13. Dezember 2023 über harmonisierte Vorschriften für einen fairen Datenzugang und eine faire Datennutzung sowie zur Änderung der Verordnung (EU) 2017/2394 und der Richtlinie (EU) 2020/1828
Kurztitel:	Data Act/Datenverordnung
Bezeichnung: (nicht amtlich)	DA
Geltungsbereich:	EWR
Rechtsmaterie:	Wettbewerbsrecht
Grundlage:	AEUV, insbesondere Art. 114
Anzuwenden ab:	12. September 2025 (mit Ausnahmen)
Fundstelle:	ABl L 2023/2854, 1
Volltext	Konsolidierte Fassung (nicht amtlich) Grundfassung
Regelung ist in Kraft getreten, aber noch nicht anwendbar.
Hinweis zur geltenden Fassung von Rechtsakten der Europäischen Union

Kurzübersicht

Ziele	Kontext	Inhalt	Pflichten	Synergie	Konsequenzen bei Nichtumsetzung
Förderung des Datenbinnenmarktes	Datenräume; Internet der Dinge	Schaffung eines harmonisierten Rahmens für den Datenaustausch und die Datennutzung innerhalb der EU	Daten müssen leichter zugänglich und nutzbar gemacht werden	Kap III DGA für Datenvermittlungsdienste Kap IV DGA für datenaltruistische Organisationen	Innovationsdefizite Wettbewerbsnachteile Geldstrafen nach nationalem Recht Zivilrechtliche Ansprüche
Gerechtere Verteilung des Wertes von Daten; mehr Kontrolle über die eigenen Daten; Förderung von Wettbewerb und Innovation	Internet der Dinge	Stärkung der Rechte der Nutzer hinsichtlich des Zugangs zu und der Kontrolle über ihre generierten Daten	Datenzugang "by design" nach Art 3 DA; Datenzugang auf Verlangen	Ergänzt die DSGVO (insb Auskunftsrecht und Recht auf Datenportabilität) durch spezifische Regelungen für nicht-personenbezogene Daten Digitale Inhalte-RL	Geldstrafen nach nationalem Recht (Rückwirkung möglich) Zivilrechtliche Ansprüche
Vertragsfairness	B2B-Datennutzung	Festlegung fairer Vertragsbedingungen und Verhinderung missbräuchlicher Klauseln in Daten-Sharing-Vereinbarungen, Möglichkeit zur Nutzung unverbindlicher Mustervertragsbedingungen der Kommission	Unternehmen müssen sicherstellen, dass Verträge ausgewogene Rechte und Pflichten enthalten	Wettbewerbsrecht Klausel-Richtlinie
Verbesserung der öffentlichen faktengestützten Entscheidungsfindung	Ausnahmesituationen von großem öffentlichem Belang	Ermöglichung des Zugangs zu Daten für öffentliche Stellen zur Verbesserung der Entscheidungsfindung und der öffentlichen Dienstleistungen	Verpflichtung für Unternehmen zur Bereitstellung bestimmter Daten	Rechtsakte über die Datenweitergabe, den Datenzugang und die Datennutzung zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung	Mangelnde Effizienz Vertrauensverlust in die Verwaltung Geldstrafen nach nationalem Recht
Stärkung des Vertrauens in Cloud-Infrastrukturen; Förderung des Wettbewerbs	Cloud-Dienste	Einführung von Maßnahmen zur Verbesserung der Interoperabilität und Portabilität von Cloud-Diensten	Cloud-Anbieter müssen den Wechsel zwischen Diensten erleichtern	Ergänzung der Selbstverpflichtungsregelungen der Free-Flow-of-Data-VO	Lock-in-Effekte Hemmung des Wettbewerbs Geldstrafen nach nationalem Recht Zivilrechtliche Ansprüche

Einleitung und Hintergrund

Der DA bildet zusammen mit dem DGA die erste Säule der europäischen Datenstrategie und schafft ein umfassendes, sektorübergreifendes Regelwerk für den Umgang mit Daten. Im Mittelpunkt stehen Regeln für die Nutzung von Daten vernetzter Produkte und verbundener Dienste im Internet der Dinge (Internet of Things, IoT).

Der DA als Teil der ersten Säule der Datenstrategie - Research Institute CC BY 4.0

Der DA regelt den Datenaustausch zwischen Unternehmen (B2B), Unternehmen und Verbraucher*innen (B2C) sowie Unternehmen und staatlichen Stellen (B2G).

Internet der Dinge

Im Internet der Dinge erfassen vernetzte Produkte enorme Mengen an Daten über ihre Leistung, Nutzung oder Umgebung und übertragen diese Daten über elektronische Kommunikationsdienste. Vernetzte Produkte finden sich bereits in zahlreichen Bereichen, etwa in privaten und gewerblichen Infrastrukturen, Fahrzeugen, medizinischen Geräten, Haushaltsgeräten und industriellen Maschinen. Der DA ist das erste horizontale Rahmenwerk, das regelt, wer zu welchen Bedingungen Zugang zu den solcherart generierten Daten erhalten und sie nutzen können soll (ErwGr 14 f DA).

Vernetzte Produkte im Internet der Dinge - Research Institute CC BY 4.0

Ziele des DA

Der DA zielt darauf ab, Innovation zu fördern, indem insb folgende Hürden abgebaut werden, die bislang den Zugang zu Daten erschweren (ErwGr 2 DA):

• Starke Fragmentierung von Informationen in Datensilos,
• Mangel an Anreizen für Dateninhaber, freiwillig Vereinbarungen über die Datenweitergabe einzugehen,
• Unsicherheiten in Bezug auf Rechte und Pflichten in Verbindung mit Daten,
• fehlende Normen für die semantische und technische Interoperabilität,
• Fehlen einheitlicher Verfahren für die Datenweitergabe,
• Missbrauch vertraglicher Ungleichgewichte hinsichtlich Datenzugang und Datennutzung.

Anwendungsbereich und Definitionen

Sachlich

Unter Daten ist dem DA zufolge jede digitale Darstellung von Handlungen, Tatsachen oder Informationen zu verstehen, sowie jede Zusammenstellung solcher Handlungen, Tatsachen oder Informationen auch in Form von Ton-, Bild- oder audiovisuellem Material. Die Daten können personenbezogen oder nicht personenbezogen sein. Der Datenbegriff entspricht somit jenem des DGA.

Die DSGVO ist im Vergleich dazu auf (personenbezogene) Daten in jeglicher Form anwendbar und gilt damit auch für analoge Informationen (Art 4 Z 1 DSGVO).

Die einzelnen Kapitel des DA sind jeweils auf die folgenden Datenkategorien anwendbar:

Kapitel	Inhalt	Daten
II	Datenweitergabe B2C und B2B	Daten, die die Leistung, Nutzung und Umgebung von vernetzten Produkten und verbundenen Diensten betreffen. Das sind sämtliche Rohdaten und vorverarbeiteten Daten, die aus der Nutzung eines vernetzten Produkts oder eines verbundenen Dienstes entstehen. Sie müssen für den Dateninhaber leicht verfügbar sein. Gemeint sind Daten, die etwa von einem einzelnen Sensor generiert werden, wie zB Temperatur, Druck oder Geschwindigkeit. Nicht erfasst sind abgeleitete Daten und Inhalte, zB audiovisuelles Material.
III	Pflichten der Dateninhaber, die zur Datenbereitstellung verpflichtet sind	Alle Daten (sowohl personenbezogene als auch nicht personenbezogene), die sich im Besitz eines Unternehmens befinden
IV	B2B - Missbräuchliche Vertragsklauseln	Alle Daten des Privatsektors, die auf der Grundlage von Verträgen zwischen Unternehmen abgerufen und genutzt werden
V	Bereitstellung von Daten für öffentliche Stellen wegen außergewöhnlicher Notwendigkeit	Alle Daten des Privatsektors mit Schwerpunkt auf nicht-personenbezogene Daten
VI	Wechsel zwischen Datenverarbeitungsdiensten	Alle Daten und Dienste, die von Anbietern von Datenverarbeitungsdiensten verarbeitet werden; dies umfasst Ein- und Ausgangsdaten, einschließlich Metadaten, die durch die Nutzung des Dienstes durch den Kunden generiert werden (ausgenommen: Daten, die durch Rechte des geistigen Eigentums Dritter geschützt sind oder Geschäftsgeheimnisse des Diensteanbieters)
VII	Unrechtmäßiger staatlicher Zugang zu und unrechtmäßige staatliche Übermittlung von nicht-personenbezogenen Daten im internationalen Umfeld	Alle nicht-personenbezogenen Daten, die in der EU von Anbietern von Datenverarbeitungsdiensten gehalten werden

Personell

Person	Definition relevanter Tatbestandsmerkmale	Beispiel
Hersteller vernetzter Produkte	Ein vernetztes Produkt ist ein Gegenstand, der Daten über seine Nutzung oder Umgebung generiert und der Produktdaten über einen elektronischen Kommunikationsdienst, eine physische Verbindung oder einen geräteinternen Zugang übermitteln kann und dessen Hauptfunktion nicht die Speicherung, Verarbeitung oder Übertragung von Daten im Namen einer anderen Partei – außer dem Nutzer – ist.	Hersteller von vernetzten Autos, Gesundheitsüberwachungsgeräten, Smart-Home-Geräten, Flugzeugen, Robotern, Industriemaschinen
Anbieter verbundener Dienste	Ein verbundener Dienst ist ein digitaler Dienst, der zum Zeitpunkt des Kaufs, der Miete oder des Leasings derart mit dem Produkt verbunden ist, dass das vernetzte Produkt ohne ihn eine oder mehrere seiner Funktionen nicht ausführen könnte oder der anschließend vom Hersteller oder einem Dritten mit dem Produkt verbunden wird, um die Funktionen des vernetzten Produkts zu ergänzen, zu aktualisieren oder anzupassen, Nicht: elektronische Kommunikationsdienste, einschl Bereitstellung von Konnektivität oder Stromversorgung	Anbieter einer Anwendung für eine Waschmaschine, welche anhand der Sensorendaten der Maschine die jeweiligen Umweltauswirkungen eines Waschzyklus' misst und den Zyklus entsprechend optimiert.
Nutzer	Die natürliche oder juristische Person, die ein vernetztes Produkt besitzt, der vertraglich zeitweilige Rechte für die Nutzung des vernetzten Produkts übertragen wurden oder die verbundene Dienste in Anspruch nimmt. Die Rechtsposition des Nutzers muss vertraglich erworben worden sein. In Bezug auf ein vernetztes Produkt kann es zugleich mehrere Nutzer geben (ErwGr 21 DA). Der Begriff unterscheidet sich vom Begriff des Datennutzers nach dem DGA.	Privatperson, die ein Smart Auto least
Dateninhaber	Die Person, die nach den einschlägigen gesetzlichen Bestimmungen berechtigt oder verpflichtet ist, Daten, die sie während der Erbringung eines verbundenen Dienstes abgerufen oder generiert hat (und vernetzte Produktdaten) zu nutzen und bereitzustellen. Dateninhaber ist in der Praxis die Person, die den Zugriff auf die verfügbaren Daten kontrolliert. Das kann, muss aber nicht der Hersteller sein.	Hersteller einer vernetzten Industriemaschine
Datenempfänger	Die natürliche oder juristische Person, der vom Dateninhaber Daten bereitgestellt werden, die zu Zwecken innerhalb ihrer gewerblichen, geschäftlichen, handwerklichen oder beruflichen Tätigkeit handelt (also ein Unternehmer ist), und die nicht Nutzer eines vernetzten Produktes oder verbundenen Dienstes ist.	Dienstleister für den Folgemarkt, etwa Reparatur- und Wartungsdienstleister
Öffentliche Stellen, die Kommission, die Europäische Zentralbank und Einrichtungen der Union	Unter öffentlicher Stelle versteht man die nationalen, regionalen und lokalen Behörden, Körperschaften und Einrichtungen des öffentlichen Rechts der Mitgliedstaaten oder Verbände, die aus einer oder mehreren dieser Behörden, Körperschaften oder Einrichtungen bestehen	Gemeinden
Anbieter von Datenverarbeitungsdiensten	Ein Datenverarbeitungsdienst ist eine digitale Dienstleistung, die einem Kunden bereitgestellt wird und einen flächendeckenden und auf Abruf verfügbaren Netzzugang zu einem gemeinsam genutzten Pool konfigurierbarer, skalierbarer und elastischer Rechenressourcen zentralisierter, verteilter oder hochgradig verteilter Art ermöglicht, die mit minimalem Verwaltungsaufwand oder minimaler Interaktion des Diensteanbieters rasch bereitgestellt und freigegeben werden können.	Anbieter von Netzwerken, Software, Servern oder anderer virtueller oder physischer Infrastruktur, einschließlich Cloud- und Edge-Diensten
Kunde	Eine natürliche oder juristische Person, die mit einem Anbieter von Datenverarbeitungsdiensten eine vertragliche Beziehung eingegangen ist, um einen oder mehrere Datenverarbeitungsdienste in Anspruch zu nehmen.	Ein Unternehmen, das einen Cloud-Dienst nutzt
Teilnehmer an Datenräumen	Personen, die anderen Teilnehmern an Datenräumen Daten oder Datendienste anbieten.	Betreiber eines Datenraums ("Data Space")
Anbieter von Anwendungen, die intelligente Verträge verwenden	Ein intelligenter Vertrag ("Smart Contract") ist ein Computerprogramm, das für die automatisierte Ausführung einer Vereinbarung verwendet wird.

Zum Begriff des Dateninhabers © Europäische Kommission

Beispiel
Die Privatperson A kauft einen vernetzten ("smarten") Kühlschrank, den B hergestellt hat, von der Händlerin C. Sie lädt eine entsprechende App des Anbieters D auf ihr Mobiltelefon, mit der sie die optimale Temperatur des Kühlschranks regulieren kann. E, die Tochter von A, verbringt regelmäßig Zeit in As Wohnung und nutzt den Kühlschrank ebenfalls.
Vernetztes Produkt	Kühlschrank
Verbundener Dienst	App
Dateninhaber	B, das Unternehmen, das den Kühlschrank hergestellt hat und D, das Unternehmen, das die App anbietet
Nutzer	A, Käuferin und Eigentümerin des Kühlschranks

Abgrenzungen

• Der Nutzerbegriff des DA knüpft an einen Rechtsanspruch in Bezug auf das vernetzte Produkt an und nicht daran, von wessen Nutzung die Daten tatsächlich stammen. Nutzt daher die Tochter E den Kühlschrank, ohne einen Rechtsanspruch zu haben, so gilt E nicht als Nutzer iSd DA und erhält in der Folge auch kein Recht auf Datenzugang nach dem DA. Ein solches stünde nur A zu.
• Der Dateninhaber muss aber nicht zugleich Vertragspartner des Nutzers sein.

Zeitlich

Nach der Annahme am 13. Dezember 2023 trat der DA am 2. Jänner 2023 in Kraft. Die Bestimmungen sind ab dem 12. September 2025 anwendbar. Bis dahin muss Datenzugriff sowohl in Bezug auf bereits auf dem Markt befindliche als auch in Bezug auf neue Produkte ermöglicht werden.

Ausnahme: Die Produktdesignpflichten sind erst ab 12. 9. 2026 anwendbar. Dh, die Vorgaben gelten nur für vernetzte Produkte, die nach diesem Datum in Verkehr gebracht werden.

Örtlich

Der DA folgt dem Marktortprinzip, das heißt, er gilt unabhängig vom Ort der Niederlassung, sofern Dienste in der EU angeboten werden. Rechtsträger, die in der Union vernetzte Produkte bereitstellen oder Dienste anbieten, jedoch außerhalb der Union ansässig sind, müssen einen Vertreter benennen, der für die Einhaltung der Verordnung verantwortlich ist und als Ansprechpartner dient (Art 37 Abs 13 DA). Sie unterliegen der Zuständigkeit des Mitgliedstaats, in dem der Vertreter ansässig ist.

Um in den Genuss der Rechte nach dem DA zu kommen, müssen Nutzer in der EU ansässig sein (Art 1 Abs 3 lit b DA). Zu beachten ist aber, dass die Datenzugangsansprüche unabhängig davon gelten, wo die Daten gespeichert werden.

Zentrale Inhalte

Datenzugang und Datenverwendung (Kapitel II bis III)

Datenzugang und Datenverwendung nach dem DA - Research Institute CC BY 4.0

Dateninhabern kommt die technisch-faktische Herrschaft über Daten zu. Diese Tatsache erkennt der DA, durchbricht sie aber, indem Nutzern Zugriffsrechte gewährt werden. Bei diesen Nutzerrechten handelt es sich um die zentralen Elemente der Datenweitergabe nach dem DA. Sie gelten branchenübergreifend. In einigen Bereichen können Sondervorschriften zur Anwendung kommen, zB sind Fahrzeughersteller zur Bereitstellung von Reparatur- und Wartungsinformationen (RMI) für Fahrzeuge nach der Typgenehmigungsverordnung verpflichtet.

Für Klein- und Kleinstunternehmen gelten gewisse Erleichterungen von den Pflichten zur Datenweitergabe (Art 7 Abs 1 DA).

Rechte und Pflichten von Nutzern und Dateninhabern in Bezug auf Zugang, Nutzung und Bereitstellung von Daten

Direkter Zugang: Datenzugang "by design"

Primär soll Nutzern standardmäßig ein direkter Zugang zu Produktdaten und verbundenen Dienstdaten, einschließlich der für die Auslegung und Nutzung dieser Daten erforderlichen relevanten Metadaten, auf einfache, sichere und unmittelbare Weise ermöglicht werden. Hersteller eines vernetzten Produkts und Anbieter von verbundenen Diensten müssen das Recht auf Datenzugang bereits bei der Technikgestaltung berücksichtigen, zB durch Schnittstellen, Datenspeicher am Gerät oder auf einem Server.

Transparenzverpflichtung (Art 3 Abs 2 und Abs 3 DA): Vor Abschluss eines Kauf-, Miet- oder Leasingvertrags für ein vernetztes Produkt bzw vor Abschluss eines Vertrags für die Erbringung eines verbundenen Dienstes sind gewisse Informationspflichten, insb zum Datenzugang, zu beachten.

Indirekter Zugang: Zugang auf Verlangen

Dateninhaber haben den folgenden Personen Datenzugang auf Antrag zu gewähren:

• Nutzern (Art 4 DA),
• Dritten nach Wahl des Nutzers (Drittzugangsanspruch, Art 5 DA)

Der Drittzugangsanspruch dient der Ermöglichung von Leistungen im Folgemarkt, wie der Reparatur oder Wartung vernetzter Produkte.

Das Verlangen auf Datenzugang kann einfach, zB über ein Webportal, eingebracht werden. Es kann von folgenden Personen gestellt werden:

• Nutzer,

• einer Person, die im Namen eines Nutzers handelt.

Datenkategorien

Das Datenzugangsrecht gewährt Nutzern das Recht auf Zugang zu Daten, die bei der Nutzung eines vernetzten Produktes oder eines verbundenen Dienstes generiert werden. Erfasst sind nur "ohne Weiteres verfügbare Daten" und Metadaten, die zur Auslegung und Nutzung der Daten erforderlich sind.

• Daten sind "ohne Weiteres verfügbar" iSd DA, wenn der Dateninhaber die Daten ohne unverhältnismäßigen Aufwand rechtmäßig von dem vernetzten Produkt oder verbundenen Dienst erhält oder erhalten kann.

Auch Daten von "Second Hand"-Produkten sind erfasst.

Vom Datenzugangsrecht nicht gedeckt sind im Übrigen Daten, die bei der Nutzung selbständiger Dienstleistungen (zB Social-Media- oder Cloud-Dienste) entstehen.

Verhältnis zwischen direktem und indirektem Zugang

Der Wortlaut des DA lässt Dateninhabern gewisse Flexibilität in Bezug darauf, ob der Datenzugang zum Teil oder vollständig direkt oder indirekt gewährt wird.

Art der Zugangsgewährung

Sowohl der direkte als auch der indirekte Zugang ist auf folgende Weise zu gewähren:

• gegenüber dem Nutzer unentgeltlich,
  • vom Dritten kann hingegen ein Entgelt verlangt werden,
• einfach,
• sicher,
• in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format.

Beim indirekten Zugang ist dem Verlangen weiters auf folgende Weise nachzukommen:

• unverzüglich,
• soweit technisch durchführbar auf elektronischem Weg,
• (falls relevant und technisch durchführbar) in der gleichen Qualität wie für den Dateninhaber, kontinuierlich und in Echtzeit.

Gegenleistung für die Bereitstellung von Daten (Art 9 DA)

Der Dateninhaber kann bei Ausübung des Drittzugangsanspruchs im B2B-Verhältnis Entgelt verlangen. Dieses muss diskriminierungsfrei und angemessen sein, darf aber auch eine Marge enthalten.

Privilegien für Datenempfänger, die KMUs oder gemeinnützige Organisationen sind: Nur notwendige Kosten dürfen berechnet werden.

Ausnahmen: Gründe für die Verweigerung des Datenzugangs

In bestimmten Sonderfällen, können Dateninhaber den Datenzugang verweigern. Zu beachten ist jedoch, dass die Ausnahmen von den Datenzugangsrechten laut dem DA die Rechte von Personen auf Zugang zu ihren personenbezogenen Daten und deren Übertragbarkeit gemäß der DSGVO nicht einschränken (ErwGr 31 letzter Satz DA).

Sicherheitsanforderungen

Nutzer und Dateninhaber können Datenzugang, -Nutzung und -Weitergabe gem Art 4 Abs 2 DA vertraglich beschränken, wenn eine solche Verarbeitung gegen rechtliche Sicherheitsanforderungen des vernetzten Produktes verstoßen und damit die Gesundheit oder die Sicherheit von natürlichen Personen gefährden könnte.

Verweigert der Dateninhaber die Weitergabe von Daten aus diesem Grund, so muss er die zuständige Behörde darüber informieren.

Selbst wenn ein Vertrag nicht zustande kommt, steht dem Dateninhaber wohl ein Leistungsverweigerungsrecht zu.

Schutz von Geschäftsgeheimnissen

Definition

Als Geschäftsgeheimnis sind Informationen zu qualifizieren, die sämtliche nachstehenden Kriterien erfüllen:

• Sie sind in dem Sinne geheim, dass sie weder in ihrer Gesamtheit noch in der genauen Anordnung und Zusammensetzung ihrer Bestandteile den Personen in den Kreisen, die üblicherweise mit dieser Art von Informationen umgehen, allgemein bekannt oder ohne weiteres zugänglich sind;
• sie sind von kommerziellem Wert, weil sie geheim sind;
• sie sind Gegenstand von den Umständen entsprechenden angemessenen Geheimhaltungsmaßnahmen durch die Person, die die rechtmäßige Kontrolle über die Informationen besitzt.

Unterliegen Daten dem Schutz als Geschäftsgeheimnisse, so sieht der DA ein abgestuftes Einwendungssystem gegen Zugangsbegehren vor:

Dateninhaber sind grundsätzlich verpflichtet, Daten offenzulegen, selbst wenn diese als Geschäftsgeheimnisse dem Schutz der RL über den Schutz vertraulichen Know-hows und Geschäftsgeheimnisse unterliegen. Dateninhaber sollten jedoch angemessene technische und organisatorische Maßnahmen treffen, um die Vertraulichkeit der weitergegebenen Daten insb gegenüber Dritten zu wahren (zB Mustervertragsklauseln, Vertraulichkeitsvereinbarungen, strenge Zugangsprotokolle, technische Normen, Anwendung von Verhaltenskodizes) (ErwGr 31 DA).

Wenn trotz solcher Maßnahmen mit hoher Wahrscheinlichkeit ein schwerer wirtschaftlicher Schaden droht, kann in Ausnahmefällen die Datenweitergabe verweigert werden. Dies muss im Einzelfall begründet werden. Die zuständige Behörde ist darüber zu informieren. Nutzer oder Dritte können diese Entscheidung anfechten.

Besonderheiten bei der Weitergabe personenbezogener Daten

Verlangt ein Nutzer die Herausgabe personenbezogener Daten, so ist zu beachten, dass der DA keine eigenständige Rechtsgrundlage für die Erhebung, Verarbeitung oder Weitergabe personenbezogener Daten darstellt. Der DA verpflichtet Dateninhaber lediglich, den Zugang zu personenbezogenen Daten im Einklang mit der DSGVO zu gewähren.

Beziehen sich die Daten auf den Nutzer selbst, so kann das Verlangen auf Datenzugang zugleich als Einwilligung in die Datenverarbeitung betrachtet und die Verarbeitung damit gerechtfertigt werden. Handelt es sich bei dem Nutzer jedoch nicht um die betroffene Person, geht es also um personenbezogene Daten Dritter, gilt der Nutzer als Verantwortlicher und benötigt gemäß Art 6 Abs 1 DSGVO (und ggf nach Art 9 DSGVO) eine Rechtsgrundlage, um die Übermittlung zu legitimieren, wie die Einwilligung der betroffenen Person oder die Notwendigkeit zur Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist (ErwGr 34 DA). Der Dateninhaber darf Daten nur dann übermitteln, wenn es für die Verarbeitung eine gültige Rechtsgrundlage gibt (Art 4 Z 12, Art 5 Z 7 DA). Weiters ist der Nutzer verpflichtet, die betroffene Person über die Verarbeitungszwecke und ihre Betroffenenrechte zu informieren. Es kann sein, dass der Nutzer gemeinsam mit dem Dateninhaber für die Verarbeitung verantwortlich ist. In dem Fall ist eine Verarbeitung gem Art 26 DSGVO abzuschließen (ErwGr 34 DA).

Dieser Aspekt kann zu einer gewissen Rechtsunsicherheit bei Dateninhabern führen: Kommen sie einem Zugangsverlangen nach dem DA nicht nach, weil sie fälschlicherweise der Ansicht sind, dass eine Rechtsgrundlage für die Datenverarbeitung fehlt, so verstoßen sie gegen den DA. Umgekehrt kann eine Datenherausgabe ohne datenschutzrechtliche Rechtsgrundlage zu einem Verstoß gegen die DSGVO führen. In beiden Fällen riskieren sie Geldbußen.

Anonymisierung/Pseudonymisierung: ErwGr 7 DA nennt zwar die Möglichkeit, Datenzugangsverlangen durch Anonymisierung oder Pseudonymisierung der Daten zu entsprechen. Derartige Maßnahmen stellen jedoch an sich Verarbeitungen personenbezogener Daten dar und benötigen eine entsprechende Rechtsgrundlage, die der DA selbst nicht bietet.

Rollenverteilung nach der DSGVO

Aufgrund der teilweise überlappenden Anwendung von DSGVO und DA kommt es zu einer komplexen Zuordnung der jeweiligen Rollen, die aufgrund der Auswirkungen auf den Haftungsumfang von Relevanz ist.

Exkurs: Rollendefinitionen nach der DSGVO

Bestimmung	Rolle	Definition	Erklärung
Art 4 Z 1 DSGVO	Betroffene Person	Identifizierte oder identifizierbare natürliche Person, auf die sich personenbezogene Daten beziehen.	Daten, die von einer natürlichen Person stammen, beziehen sich immer auf diese Person (es sei denn, sie wurden anonymisiert).
Art 4 Z 7 DSGVO	Verantwortlicher	Die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.	Die Verantwortlichenrolle ergibt sich entweder aufgrund einer rechtlichen Zuordnung oder aufgrund der faktischen Kontrolle über die Datenverarbeitung. Die Datennutzung nach dem DA stellt keinen Zweck iSd DSGVO dar, sondern eine Art der Datenverarbeitung (Art 4 Z 2 DSGVO). Daraus folgt, dass sich die Verantwortlichenrolle idR aus der faktischen Kontrolle ergibt. Diese kann sich je nach Phase der Datenverarbeitung unterscheiden.
Art 4 Z 7 DSGVO	Gemeinsam Verantwortlicher	Die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.	Gemeinsame Verantwortlichkeit liegt vor, wenn zumindest zwei Akteure gemeinsam über die Zwecke und Mittel der Datenverarbeitung entscheiden. Die Schwelle an die Gemeinsamkeit setzt der EuGH sehr niedrig an: So genügt es, dass verschiedene Personen in unterschiedlichem Ausmaß in unterschiedliche Phasen der Datenverarbeitung einbezogen sind.

Rollenverteilung nach DA und DSGVO anhand eines Beispiels: Ein Unternehmen betreibt E-Scooter-Sharing. Die vernetzten E-Scooter erfassen personenbezogene Daten der Nutzer, wie zB Standortdaten und Nutzungsverhalten. Das Unternehmen fordert gem Art 5 DA vom Hersteller der E-Scooter, die Daten einer Fahrerin an einen Reparatur- und Wartungsdienstleister weiterzugeben, um Reparaturen auf Basis des Fahrverhaltens gezielt durchzuführen.

Rechtsakt	E-Scooter-Fahrerin	E-Scooter-Sharing-Unternehmen	Reparatur- und Wartungsdienstleister (Dienstleister für den Aftermarkt)	Hersteller der E-Scooter
DA	Nutzer	Nutzer	Datenempfänger	Dateninhaber
DSGVO	Betroffener	Gemeinsam Verantwortliche		Verantwortlicher

Pflichten gemeinsam Verantwortlicher

Gemeinsam Verantwortliche sind verpflichtet, eine Vereinbarung gem Art 26 DSGVO abzuschließen. Diese hat insbesondere zu beinhalten:

• wer welche Verpflichtung nach der DSGVO erfüllt,
  • insb was die Wahrnehmung der Betroffenenrechte angeht, und
  • wer welchen Informationspflichten nachkommt,
• die jeweiligen tatsächlichen Funktionen und Beziehungen der gemeinsam Verantwortlichen gegenüber betroffenen Personen.

Außerdem kann angeführt werden:

• eine Anlaufstelle für die betroffenen Personen.

Ungeachtet der Einzelheiten der Vereinbarung können Betroffene ihre Rechte aber gegenüber jedem einzelnen der Verantwortlichen geltend machen. Das Wesentliche der Vereinbarung ist der betroffenen Person zur Verfügung zu stellen.

Datenverwendungsrechte und Nutzungsbeschränkungen

Dateninhaber

Für den Dateninhaber bestehen umfassende Nutzungs- und Weitergabeverbote: Insbesondere darf der Dateninhaber die Daten nur auf der Grundlage eines Vertrags mit dem Nutzer nutzen (zB zur Verbesserung der Funktion des vernetzten Produkts) und darf sie Dritten nur zur Vertragserfüllung bereitstellen. Die Daten dürfen außerdem nicht verwendet werden, um Einblicke in die wirtschaftliche Lage oder Marktposition des Nutzers zu erlangen (Art 4 Abs 13 und Abs 14, Art 8 Abs 4 DA).

Nutzer

Der Nutzer darf die abgerufenen Daten für jeden rechtmäßigen Zweck zu verwenden. Er kann die Daten auch mit Dritten teilen (sofern nicht vertraglich ausgeschlossen).

Der Nutzer darf sie jedoch weder zur Entwicklung konkurrierender Produkte noch zur Weitergabe an Dritte oder selbst mit der Absicht nutzen, Einblicke in die wirtschaftliche Lage, Vermögenswerte oder Produktionsmethoden des Herstellers oder Dateninhabers zu erlangen (Art 4 Abs 10 DA).

Datenempfänger

Datenempfänger dürfen die Daten nur für die mit dem Nutzer vereinbarten Zwecke und Bedingungen und im Einklang mit Datenschutzrecht nutzen. Insb können die Daten zur Erbringung eines Dienstes eingesetzt werden:

• eines verbundenen Dienstes (etwa um die Funktionen des vernetzten Produkts zu ergänzen) oder
• eines Dienstes im Folgemarkt (zB Reparatur oder Wartung des vernetzten Produkts).

Die Daten sind zu löschen, sobald sie für den vereinbarten Zweck nicht mehr benötigt werden, außer es wurde Abweichendes vereinbart.

Datenempfänger unterliegen weiters ausdrücklich den folgenden Nutzungsbeschränkungen (Art 6 Abs 2 DA):

• Profiling: Profiling ist nur erlaubt, wenn es zur Bereitstellung des gewünschten Dienstes erforderlich ist.
• Weitergabe von Daten an andere Dritte:
  • Weitergabe an Dritte nur auf Grundlage eines Vertrags mit dem Nutzer
  • Verbot der Weitergabe an "Torwächter" iSd DMA
• Wettbewerbszwecke: Keine Nutzung oder Weitergabe der Daten von vernetzten Produkten zur Entwicklung von Konkurrenzprodukten.
  • Das Wettbewerbsverbot gilt jedoch nicht für Daten verbundener Dienste, da der DA gerade darauf abzielt, dass Diensteanbieter Zugang zu diesen Daten erhalten und dadurch alternative Angebote entwickeln können. Damit soll Innovation auf den Folgemärkten gefördert werden (ErwGr 32 DA).

Bedingungen zur Datenbereitstellung: FRAND-Grundsätze

Der DA verpflichtet den Dateninhaber, mit dem Datenempfänger Vereinbarungen über die Bedingungen für die Bereitstellung abzuschließen. Bedingungen müssen gem Art 8 Abs 1 DA den sog FRAND-Grundsätzen entsprechend folgendermaßen ausgestaltet sein:

• fair
  • Verhinderung vertraglicher Ungleichgewichte (ErwGr 5 DA)
• angemessen
  • keine zu starke wirtschaftliche oder rechtliche Beschränkung des Datenempfängers
• nichtdiskriminierend
  • gleiche Behandlung vergleichbarer Empfänger (Art 8 Abs 3 DA); Verbot der Willkür
• transparent

Unzulässige Vertragsklauseln: Eine Vertragsklausel zum Datenzugang und zur Datennutzung ist nicht bindend, wenn sie missbräuchlich ist oder die Zugangsrechte des Nutzers ausschließt oder ändert.

Klauselkontrolle: Missbräuchliche Vertragsklauseln im B2B-Verhältnis (Kapitel IV)

Art 13 DA definiert unabdingbare Grenzen in Bezug auf Nebenabreden, die allgemein im B2B-Bereich (nicht nur gegenüber KMU) gelten: Vertragsklauseln in Bezug auf den Datenzugang und die Datennutzung oder die Haftung und Rechtsbehelfe bei Verletzung oder Beendigung datenbezogener Pflichten, die ein Unternehmen einem anderen Unternehmen einseitig auferlegt, sind für letzteres Unternehmen nicht bindend, wenn sie missbräuchlich sind. Die Inhaltskontrolle unterscheidet nicht nach dem Vertragsverhältnis und kommt damit auf das Verhältnis zwischen Dateninhaber und Nutzer zur Anwendung, sowie auf das Verhältnis zwischen Dateninhaber und Drittem.

Als "einseitig auferlegt" gelten Vertragsklauseln, wenn die benachteiligte Partei trotz Verhandlungsversuchs keinen Einfluss auf ihren Inhalt nehmen konnte. Es bedarf also eines Widerspruchs. Die Partei, die die Vertragsklausel auferlegt hat, trägt die Beweislast dafür, dass die Klausel nicht einseitig auferlegt wurde.

Kategorie	Allgemeines	Vertragsklausel
Generalklausel		Grobe Abweichung von der guten Geschäftspraxis Verstoß gegen das Gebot von Treu und Glauben
Schwarze Klauseln (Blacklist)	Keine Wertungsmöglichkeit	Haftungsbeschränkungen und Haftungsausschlüsse für vorsätzliche oder grob fahrlässige Handlungen der auferlegenden Partei Ausschluss von Rechtsbehelfen bei Nichterfüllung von Vertragspflichten oder Haftungsausschlüsse bei solchen Pflichtverletzungen Einräumung eines einseitigen Rechts, die Vertragsmäßigkeit der gelieferten Daten oder die Auslegung der Vertragsklauseln zu bestimmen
Graue Klauseln (Greylist)	Vermutung der Missbräuchlichkeit; Bewertung der konkreten Umstände	Unangemessene Beschränkung von Rechtsmitteln bei Nichterfüllung von Vertragspflichten, Haftungsbeschränkung bei Verletzung dieser Pflichten oder Erweiterung der Haftung des benachteiligten Unternehmens Zugangsrecht der auferlegenden Partei zu Daten, insbesondere sensiblen Geschäftsdaten oder Geschäftsgeheimnissen, auf eine Weise, die den berechtigten Interessen der benachteiligten Partei erheblich schadet Unangemessene Einschränkung oder Verweigerung der Nutzung, Erfassung, Kontrolle, Verwertung oder des Zugriffs auf von durch die benachteiligte Partei bereitgestellten oder generierten Daten Verweigerung der Kündigung innerhalb angemessener Frist durch die benachteiligte Partei Verweigerung der Herausgabe einer Kopie der von der benachteiligten Partei bereitgestellten oder generierten Daten Möglichkeit für die auferlegende Partei, den Vertrag mit unangemessen kurzer Frist zu kündigen, unter Berücksichtigung realistischer Wechselmöglichkeiten für die andere Vertragspartei und des finanziellen Nachteils, außer bei Vorliegen schwerwiegender Gründe Recht der auferlegenden Partei, den Preis oder wesentliche Vertragsbedingungen ohne stichhaltige Begründung einseitig zu ändern, ohne dass die benachteiligte Partei den Vertrag kündigen kann

Ausschluss der geltungserhaltenden Reduktion: Ist eine missbräuchliche Vertragsklausel abtrennbar, bleiben die übrigen Vertragsklauseln gültig.

Für Verträge im B2C-Bereich, also etwa wenn der Nutzer eines vernetzten Produkts ein Verbraucher ist, kommt die Klausel-RL zur Anwendung.

B2G-Zugang: Bereitstellung von Daten wegen außergewöhnlicher Notwendigkeit (Kapitel V)

B2G-Datenzugang - Research Institute CC BY 4.0

Kapitel V regelt den Datenzugang bei außergewöhnlicher Notwendigkeit für öffentliche Stellen, die Kommission, die Europ Zentralbank und Einrichtungen der Union. Dies betrifft zwei Fälle:

• Öffentlicher Notstand (Art 15 Abs 1 lit a DA): Behörden der Mitgliedstaaten und der EU können Zugang zu Daten des privaten Sektors erhalten, wenn die Daten zur Bewältigung eines öffentlichen Notstands erforderlich sind und sie auf anderem Wege nicht rechtzeitig und wirksam beschafft werden können.
• Aufgabe im öffentlichen Interesse (Art 15 Abs 1 lit b DA): Zugang kann verlangt werden, wenn eine gesetzlich vorgesehene Aufgabe im öffentlichen Interesse vorliegt und alle anderen Mittel ausgeschöpft wurden. In diesem Fall besteht ein Entgeltanspruch des Unternehmens.

Die von den öffentlichen Stellen auf diese Weise erlangten Daten könnten Geschäftsgeheimnisse beinhalten (ErwGr 70 DA). Daher sollen diese Daten nicht als offene Daten betrachtet werden, die die Dritten zur Weiterverwendung zur Verfügung stehen. Weder der DGA noch die Open Data und PSI 2-RL kommen auf diese Daten zur Anwendung (Art 17 Abs 3 DA). Die öffentliche Stelle kann die Daten jedoch an gemeinnützige Forschungsorganisationen zur Durchführung wissenschaftlicher Tätigkeiten weitergeben, sofern diese Tätigkeiten mit dem Zweck des ursprünglichen Datenverlangens vereinbar sind (Art 21 DA).

Pflichten für Anbieter von Datenverarbeitungsdiensten: Wechsel zwischen Datenverarbeitungsdiensten ("Cloud-Switching") (Kapitel VI und VII)

Cloud-Switching - Research Institute CC BY 4.0

Das Ziel dieses Abschnitts des DA ist es, Lock-In-Effekte zu vermeiden, damit Kunden leichter zwischen Datenverarbeitungsdiensten wechseln können. Durch diese Maßnahmen soll der Wettbewerb gefördert werden.

Anwendungsbereich:

• Cloud-Computing-Dienste: Diese umfassen Infrastructure-as-a-Service (IaaS), Platform-as-a-Service (PaaS), Software-as-a-Service (SaaS), Storage-as-a-Service, Database-as-a-Service.
  • IaaS: Bereitstellung von IT-Ressourcen wie Rechenleistung, Speicher und Netzwerkkapazitäten über das Internet. Kunden können die Infrastruktur nutzen, ohne eigene Hardware zu besitzen.
  • PaaS: Neben der Hardware umfasst PaaS auch Laufzeitumgebungen (zB Betriebssysteme, Datenbanken). Kunden erhalten eine Plattform, um Anwendungen zu entwickeln und zu betreiben.
  • SaaS: Bei SaaS wird zusätzlich die Software selbst angeboten. Kunden bringen lediglich ihre Daten ein (zB Web-Mail, Cloud-CRM oder HR-Systeme).
• Edge-Computing-Dienste

Ausnahmen: Die Anforderungen dieses Abschnitts gelten nicht für

• maßgeschneiderte Cloud-Dienste (Individualsoftware), dh wenn die meisten Funktionen auf die spezifischen Bedürfnisse eines einzelnen Kunden zugeschnitten sind;

• Datenverarbeitungsdienste, die nur zu Test- und Bewertungszwecken für einen begrenzten Zeitraum bereitgestellt werden.

In diesen Fällen sind jedoch Informationspflichten zu beachten.

Hosting-Dienste im engeren Sinn dürften von der Begrifflichkeit erst gar nicht erfasst sein.

Anwendungsfälle: Beim Wechsel zwischen Datenverarbeitungsdiensten wird sodann zwischen drei Szenarien unterschieden:

Option	Szenario
Option 1	Wechsel von einem Datenverarbeitungsdienst zu einem anderen gleichartigen Datenverarbeitungsdienst
Option 2	Wechsel von einem Datenverarbeitungsdienst zu IKT-Struktur in eigenen Räumlichkeiten ("On-Premise-Anbieter")
Option 3	Wechsel von einem Datenverarbeitungsdienst zu mehreren Datenverarbeitungsdiensten parallel

Der Wechsel ist auf Verlangen des Kunden durchzuführen. Eine Kündigung des Vertrags mit dem ursprünglichen Anbieter wird für den Wechsel nicht gefordert.

Konkrete Pflichten der Anbieter

• Vertragsgestaltung und Informationspflichten (Art 25, 26, 28 DA): Es bestehen umfassende Vorgaben zur Vertragsgestaltung, ein Schriftformgebot, sowie Informationspflichten. Die Kommission wird künftig mit unverbindlichen Standardvertragsklauseln Anhaltspunkte für die Vertragsgestaltung geben.
• Loyalitätspflicht (Art 27 DA): Alle Beteiligten sollen nach Treu und Glauben zusammenarbeiten, um den Wechsel effektiv zu vollziehen.
• Entgeltgestaltung (Art 29 DA): Sog Wechselentgelte für den Übergang zwischen Cloud-Diensten, insb Datenextraktionsentgelten, müssen schrittweise reduziert werden. Ab dem 12. 1. 2027 darf Kunden grds kein Wechselentgelt mehr berechnet werden. Ausgenommen sind Anbieter von Datenverarbeitungsdiensten, die parallel mit einem anderen Datenverarbeitungsdienst genutzt werden (Stichwort: "Multi-Cloud-Strategien"). Diese können weiterhin kostendeckende Datenextraktionsentgelte verlangen.
• Technische Verpflichtungen (Art 30 DA): Je nach Kategorie von Datenvarbeitungsdiensten ist zu unterscheiden: Cloud-Anbieter von PaaS- und SaaS-Lösungen müssen offene Schnittstellen bereitstellen, die einen einfachen Wechsel zu anderen Anbietern ermöglichen und Kompatibilität sicherstellen. Bei IaaS-Lösungen reicht es aus, dass Anbieter Werkzeuge bereitstellen, mit denen Kunden ihre Daten eigenständig übertragen können (Funktionsäquivalenz).
• Interoperabilität: Die vorangehenden Bestimmungen werden um Vorgaben zur Interoperabilität in Kapitel VIII ergänzt, wobei dort zwischen der parallelen Nutzung von Datenverarbeitungsdiensten (Option 3) und den übrigen Anwendungsfällen unterschieden wird.

Internationaler Datentransfer

Werden personenbezogene Daten in Drittländer übermittelt, so kommt Kapitel V der DSGVO zur Anwendung. In Ergänzung regelt Kap VII DA den Schutz nicht-personenbezogener Daten vor unrechtmäßigem Zugriff durch Drittländer.

Einen Vergleich über die beiden Rechtsakte bietet die folgende Tabelle, aus der erkennbar ist, dass der Tatbestand des DA enger gefasst ist:

	DSGVO	DA
Transfer	rechtmäßige und unrechtmäßige Übertragungen und Zugriffe	unrechtmäßige internationale Datenübertragungen oder Zugriffe
Daten	personenbezogene Daten	nicht personenbezogene Daten
Zugang	durch jedermann	staatlich

Anbieter von Datenverarbeitungsdiensten müssen dem DA zufolge geeignete Maßnahmen ergreifen, um Zugriffe oder Übermittlungen zu verhindern, die gegen EU-Recht oder nationales Recht verstoßen würden.

Die Datenübermittlung durch Anbieter von Datenverarbeitungsdiensten aufgrund eines Gerichtsurteils oder einer verwaltungsbehördlichen Entscheidung eines Drittlands, ist nur unter estimmten Voraussetzungen rechtmäßig. Dies ist der Fall, wenn die Übermittlung auf einer rechtskräftigen internationalen Übereinkunft, wie einem Rechtshilfeabkommen, basiert. Fehlt eine solche Übereinkunft, dürfen Daten nur unter strengen Bedingungen übermittelt werden. Schließlich ist lediglich die minimal erforderliche Datenmenge bereitzustellen. Der Kunde bzw Dateninhaber ist über das Datenzugriffsverlangen vorab zu informieren, es sei denn, dies würde strafrechtliche Ermittlungen gefährden.

Der DGA sieht ähnliche Bestimmungen vor.

Interoperabilität (Kapitel VIII)

In der Datenstrategie wird die entscheidende Bedeutung der Interoperabilität für die Nutzung von Daten, insb iZm der Einführung von KI, hervorgehoben.

Definition

Interoperabilität: Die Fähigkeit von zwei oder mehr Datenräumen oder Kommunikationsnetzen, Systemen, vernetzten Produkten, Anwendungen, Datenverarbeitungsdiensten oder Komponenten, Daten auszutauschen und zu nutzen, um ihre Funktionen auszuführen (Art 2 Z 40 DA).

Ziel des Kapitels VIII DA ist es, technische und rechtliche Standards zu definieren, die die Zusammenarbeit und den Datenaustausch erleichtern. Dafür werden entwicklungsoffene Mindestanforderungen festgelegt. Die konkrete Ausgestaltung wird künftig wesentlich von delegierten Rechtsakten, Spezifikationen und Normen abhängen.

Interoperabilität in Datenräumen (Art 33)

Teilnehmer an Datenräumen, die anderen Daten oder Datendienste anbieten, müssen Transparenz gewährleisten. Dafür bedarf es Informationen über Folgendes:

• Beschreibung von Daten und Metadaten: Datensatzinhalte, Nutzungsbeschränkungen, Lizenzen, Datenerhebungsmethoden, Datenqualität und Unsicherheiten müssen – ggf in maschinenlesbarem Format – beschrieben werden, um dem Empfänger das Auffinden der Daten, den Datenzugang und die Datennutzung zu ermöglichen;
• Beschreibung der Standards: Die Datenstrukturen, Datenformate, Vokabulare, Klassifizierungssysteme, Taxonomien und Codelisten, sofern verfügbar, sind einheitlich und öffentlich verfügbar zu beschreiben;
• Beschreibung der technischen Zugangsmechanismen: Die technischen Mittel für den Datenzugang, wie etwa APIs, sowie ihre Nutzungsbedingungen und die Dienstqualität sind zu beschreiben, um grds den automatischen Datenzugang und die automatische Datenübermittlung zwischen den Parteien, auch kontinuierlich, im Massen-Download oder in Echtzeit in einem maschinenlesbaren Format zu ermöglichen;
• Interoperabilität von Tools: Es sind ggf die Mittel bereitzustellen, mit denen die Interoperabilität von Tools für die Automatisierung der Ausführung von Verträgen über die Datenweitergabe, wie intelligenten Verträgen, ermöglicht wird.

Weitere Anforderungen in delegierten Rechtsakten

Die Kommission kann ergänzend dazu spezifische Anforderungen durch delegierte Rechtsakte erlassen, um technologische Entwicklungen und Marktentwicklungen zu berücksichtigen.

Interoperabilität bei Datenverarbeitungsdiensten (Art 34 und Art 35)

Parallele Nutzung von Datenverarbeitungsdiensten

Bestimmte Anforderungen, die für den Wechsel von Datenverarbeitungsdiensten gelten, sind allgemein auch für die parallele Nutzung verschiedener Dienste anwendbar. Damit können Kunden Datenverarbeitungsdienste kompatibel parallel nutzen.

• Kostenregelung: Anbieter können die Datenextraktionsentgelte verlangen, die tatsächlich entstanden sind.

Datenverarbeitungsdienste im Übrigen

Durch Spezifikationen der Kommission und Normen werden künftig folgende Aspekte geregelt:

• die Transportinteroperabilität;
• die Datenübertragbarkeit;
• die Übertragbarkeit von Anwendungen.

Die Spezifikationen werden in der zentralen Datenbank der Union für Normen für Datenverarbeitungsdienste veröffentlicht.

Interoperabilität bei Smart Contracts für die Ausführung von Datenweitergabevereinbarungen (Art 36)

Art 36 wendet sich an Anbieter von Anwendungen, in denen intelligente Verträge verwendet werden.

Definition

Intelligenter Vertrag (Smart Contract): Ein Computerprogramm, das für die automatisierte Ausführung einer Vereinbarung oder eines Teils davon verwendet wird, wobei eine Abfolge elektronischer Datensätze verwendet wird und die Integrität dieser Datensätze sowie die Richtigkeit ihrer chronologischen Reihenfolge gewährleistet werden (Art 2 Z 39 DA).

Ein Smart Contract ist somit kein Vertrag im rechtlichen Sinn, sondern ein technischer Ausführungsmechanismus. Der Einsatz von Blockchain-Technologie bzw einer Distributed Ledger Infrastruktur ist ein typischer Anwendungsfall von Smart Contracts. Smart Contracts sind jedoch nicht auf diese Technologie beschränkt. Gegenstand eines Smart Contracts iSd Art 36 DA muss die Ausführung einer Datenbereitstellungsvereinbarung, also der automatisierte Datenaustausch, Datenzugang bzw die Datennutzung, sein. Die Legaldefinition erscheint weit, sollte allerdings in Hinblick auf die Ziele des DA eng ausgelegt werden, da ansonsten die umfassenden Konformitätsanforderungen unverhältnismäßig wären.

Wesentliche Anforderungen

Anforderung	Erklärung
Robustheit und Zugangskontrolle	Smart Contracts müssen sicher gestaltet sein, um Funktionsfehler zu vermeiden und Manipulationen durch Dritte auszuschließen. Zugangskontrollmechanismen müssen gewährleisten, dass nur autorisierte Personen Zugriff erhalten.
Sichere Beendigung und Unterbrechung	Es bedarf Mechanismen, um die Ausführung von Transaktionen bei Bedarf sicher zu beenden oder zu unterbrechen.
Datenarchivierung und Datenkontinuität	Bei der Deaktivierung oder Beendigung eines Vertrags muss gewährleistet sein, dass alle relevanten Transaktionsdaten, die Logik und der Programmcode zwecks Überprüfbarkeit archiviert werden.
Kohärenz	Smart Contracts müssen mit den Bedingungen der zugrunde liegenden Datenweitergabevereinbarung übereinstimmen.

Konkretisierungen können durch Normen und Durchführungsrechtsakte erfolgen.

Konformitätsbewertung und -vermutung

Der Anbieter eines Smart Contracts muss eine interne Konformitätsbewertung im Hinblick auf die oben angeführten Anforderungen durchführen. Die Konformität intelligenter Verträge mit den wesentlichen Anforderungen wird vermutet, wenn sie harmonisierten Normen oder Durchführungsrechtsakten entsprechen. Sind die Anforderungen erfüllt, so hat der Anbieter eine EU-Konformitätserklärung auzustellen. Damit wird die Verantwortung für die Einhaltung der Anforderungen übernommen. Dies kann zivilrechtliche Folgen haben, so könnten etwa im Falle von fehlenden oder falschen Konformitätserklärungen Gewährleistungsansprüche bestehen.

Fallbeispiele

Dienste im Folgemarkt: Der DA ermöglicht es Anbietern von Diensten im Folgemarkt, ihre Angebote auf Basis von Daten vernetzter Produkte zu verbessern und neue Dienste zu entwickeln, die mit den Diensten der Hersteller konkurrieren. Nutzer vernetzter Produkte wie Verbraucher*innen, landwirtschaftliche Betriebe, Bauunternehmen und Gebäudeeigentümer*innen erhalten die Möglichkeit, zwischen verschiedenen Anbietern für Reparatur- und Wartungsdienste zu wählen oder diese Dienste selbst durchzuführen.

Auswirkungen auf Forschungsprojekte:

• Der DA wirkt sich vor allem auf Forschungsprojekte zur Entwicklung vernetzter Produkte und verbundener Dienste aus. Dabei muss bereits in der Entwicklungsphase sichergestellt werden, dass Nutzungsdaten standardmäßig zugänglich sind. Schließlich müssen Hersteller beachten, dass sie die generierten Nutzungsdaten nur mit ausdrücklicher Zustimmung der Nutzer für eigene Zwecke verwenden dürfen. Akteure in Forschungsprojekten und Industriekooperationen sollten ihre Rollen (als Dateninhaber, Nutzer und Datenempfänger) künftig klar definieren.
• Die Bereitstellungspflicht für öffentliche Zwecke birgt Potenzial für die Forschung, bleibt jedoch auf Notstandssituationen begrenzt.
• Gemeinnützige Forschungseinrichtungen profitieren davon, dass das Entgelt für den Zugang zu Daten auf die mit der Bereitstellung der Daten direkt verbundenen Kosten begrenzt ist, wodurch der Zugang finanziell erleichtert wird.

Entwicklung von KI-Technologien:

Datenräume, wie sie durch den DA gefördert werden, können maßgeblich zur Entwicklung und Implementierung von KI-Technologien beitragen, die den Anforderungen an Transparenz, Verantwortlichkeit und Sicherheit der KI-VO entsprechen, indem sie Interoperabilität, Compliance und Innovation ermöglichen.

Datenräume bieten Zugang zu qualitativ hochwertigen Datensätzen, die für die Entwicklung vertrauenswürdiger KI-Systeme, insbesondere im Kontext der Anforderungen an Hochrisiko-KI und GPAI nach der KI-VO, essenziell sind (Art 10 KI-VO). Zudem erleichtern sie beispielsweise die Erfüllung von Dokumentations- und Protokollierungspflichten nach Art 11, 12 und 53 KI-VO, indem sie als Plattform für den Austausch technischer Informationen dienen.

Datenräume können auch Erleichterungen bei der Einhaltung gesetzlicher Vorschriften im Bereich Datenschutz, Cybersicherheit und Urheberrecht bieten. So können sie Rechteinhaber*innen Mechanismen bieten, die Nutzung ihrer Werke für das Training von KI-Modellen zu kontrollieren, zB durch klare Opt-out-Möglichkeiten oder durch die Definition zulässiger Verwendungszwecke.

Synergien

Daten Governance

Der DA ergänzt den DGA. Beide zielen darauf ab, einen gemeinsamen europäischen Binnenmarkt für Daten zu schaffen, von dem Wirtschaft und Gesellschaft profitieren sollen. Während der DGA Regelungen zu Prozessen und Strukturen enthält, die den freiwilligen Datenaustausch fördern sollen, stellt der DA klar, wer zu welchen Bedingungen Wert aus Daten schöpfen kann.

Sektorspezifische Datenräume

Der DA gilt als horizontaler Rechtsakt branchenübergreifend. Daneben gibt es besondere Rechtsakte, die den Datenaustausch in spezifischen Bereichen regeln, wie etwa den Europäischen Gesundheitsdatenraum. Im jeweiligen Bereich gelten diese besonderen Regeln zusätzlich zu den allgemeinen Regeln des DA. Fehlt eine ausdrückliche, gesetzliche Regelung zur Geltung der allgemeinen Bestimmungen, ist eine Abwägung der konkreten Bestimmungen im Einzelfall vorzunehmen.

Datenschutz

Vorrangregelung

Der Datenbegriff nach DSGVO und DA - Research Institute CC BY 4.0

Unberührtheitsklausel: Der DA gilt gem Art 1 Abs 5 DA "unbeschadet" des Unionsrechts und des nationalen Rechts über den Schutz personenbezogener Daten, die Privatsphäre, die Vertraulichkeit der Kommunikation und die Integrität von Endgeräten, die für personenbezogene Daten gelten, insb der DSGVO , der Datenschutzverordnung für die Stellen der EU, die ePrivacy-RL, einschließlich der Befugnisse und Zuständigkeiten der Aufsichtsbehörden und der Rechte der betroffenen Personen.

Im Falle eines Widerspruchs haben das Unionsrecht oder das nationale Recht zum Schutz personenbezogener Daten bzw der Privatsphäre ausdrücklich Vorrang. Bestimmte Betroffenenrechte nach der DSGVO werden durch den DA ergänzt: Die Rechte aus Kapitel II des DA ergänzen für betroffene Personen das Auskunftsrecht gem Art 15 DSGVO und das Recht auf Datenübertragbarkeit gem Art 20 DSGVO.

Da jedoch eine ausführliche Erklärung über das Verhältnis von DA und Datenschutzrecht fehlt, kann ein Konflikt im Einzelfall zu erheblicher Rechtsunsicherheit führen, die erst im Laufe der Zeit durch Judikatur und Behördenpraxis geklärt werden kann.

Rechtsgrundlage für die Datenverarbeitung

Der DA bietet laut ErwGr 7 keine Rechtsgrundlage für die Gewährung des Zugangs zu Daten, die sich auf andere Personen als den Nutzer beziehen oder für deren Bereitstellung an Dritte. Der DA verleiht dem Dateninhaber kein neues Recht auf die Nutzung personenbezogener Daten. Vielmehr bedarf es einer geeigneten Rechtsgrundlage gem Art 6 (und ggf Art 9) DSGVO.

Einhaltung datenschutzrechtlicher Grundsätze

Beim Teilen von Daten sind datenschutzrechtliche Grundsätze und Betroffenenrechte zu wahren. Diesem Zweck dienen organisatorische Maßnahmen, wie Datenschutz-Folgenabschätzungen, Löschkonzepte und Vertraulichkeitsverpflichtungen. Aber auch datenschutzfördernde Technologien (sog Privacy-Enhancing Technologies - PETs) können Risiken einschränken.

Datenportabilität

Die Rechte auf Zugang und Weitergabe von Daten aus IoT-Geräten ermöglichen Nutzern, leichter auf IoT-Daten zuzugreifen und diese zu übertragen, etwa zu Dienstleistern wie Reparatur- oder Wartungsunternehmen. Auch Cloud-Switching wird durch den DA erleichtert. Diese Rechte ergänzen die Rechte auf Zugang und Übertragbarkeit personenbezogener Daten gem Art 15 und Art 20 DSGVO (so ausdrücklich Art 1 Abs 5 DA). Sowohl DA, als auch Art 20 DSGVO zielen darauf ab, die Bindung an einzelne Anbieter datenbezogener Dienste zu minimieren, also sogenannte Lock-in-Effekte zu reduzieren.

Überblick über die Rechte im Vergleich:

	Datenzugangsrecht nach dem DA	Recht auf Datenportabilität nach der DSGVO
Zweck	Lock-in-Effekte reduzieren
Berechtigte	(geschäftliche und private) Nutzer	betroffene (natürliche) Personen
Empfänger	Nutzer oder Dritter (Datenempfänger)	Nutzer oder ein anderer datenschutzrechtlicher Verantwortlicher
Art der Daten	(personenbezogene und nicht personenbezogene) Daten von vernetzten Produkten und verbundenen Diensten, aber nicht abgeleitete Daten	personenbezogene Daten, die der Betroffene einem Verantwortlichen bereitgestellt hat und die mithilfe automatisierter Verfahren verarbeitet werden, einschließlich nutzungsbezogene Daten, aber nicht abgeleitete oder aus Rückschlüssen erzeugte Daten
Weitere Voraussetzungen		Die Verarbeitung beruht auf einer Einwilligung oder einem Vertrag
Format	umfassendes, strukturiertes, gängiges und maschinenlesbares Format; Übermittlung der Metadaten; soweit relevant und technisch durchführbar, in der gleichen Qualität wie für den Dateninhaber, kontinuierlich und in Echtzeit	strukturiertes, gängiges und maschinenlesbares Format; Übermittlung der Metadaten

Internationaler Datentransfer

DA und DGA enthalten Schutzmaßnahmen gegen den unrechtmäßigen Transfer nicht-personenbezogener Daten in Drittländer. Art 44 ff DSGVO bietet bereits entsprechende Regelungen zum Schutz personenbezogener Daten. Diese werden durch DA und DGA ergänzt.

Schutz von Geschäftsgeheimnissen

Geschäftsgeheimnisse iSd RL über den Schutz vertraulichen Know-hows und Geschäftsgeheimnisse sind nicht per se aus dem Anwendungsbereich des DA ausgenommen. Einige Bestimmungen des DA sehen jedoch Einwendungsmöglichkeiten für Dateninhaber zum Schutz von Geschäftsgeheimnissen vor.

Datenbankherstellerrecht

Das Sui-generis-Schutzrecht des Datenbankherstellers nach der Datenbank-RL kann ein Dateninhaber nicht als Verweigerungsgrund einem Datenzugangsbegehren entgegen halten (Art 43 DA).

Digital Markets Act

Der DMA sieht Marktregeln für (große) Internetplattformen vor, deren Geschäftsmodell die Sammlung und Verarbeitung großer Mengen an Nutzer*innendaten umfasst. Um den Zielen des DA nach einer Förderung eines europäischen Binnenmarkts für Daten und Datensilos aufzubrechen, gerecht zu werden, sind Gatekeeper vom Drittzugangsanspruch ausgeschlossen (Art 5 Abs 3 DA). Ausdrücklich als Gatekeeper iSd Art DMA genannt wurden ua Alphabet, Amazon, Apple, ByteDance, Meta, Microsoft, Booking.

Durchsetzung

Zuständige Behörde

Die Zuständigkeit richtet sich nach nationalem Recht. Die Aufgaben der zuständigen Behörden umfassen die Förderung von Datenkompetenz, die Bearbeitung von Beschwerden, die Durchführung von Untersuchungen und die Verhängung von Sanktionen. Zudem koordinieren sie ihre Arbeit untereinander sowie mit anderen relevanten nationalen und europäischen Stellen. Wird mehr als eine Behörde benannt, so ist eine von diesen als Datenkoordinator zu benennen. Dieser erleichtert die Zusammenarbeit zwischen den zuständigen Behörden und dient als zentraler Ansprechpartner für Fragen zum DA.

Zuständigkeiten sektoraler Behörden bleiben unberührt. Die Datenschutzbehörde ist auch bei der Anwendung des DA verantwortlich für die Überwachung des Schutzes personenbezogener Daten.

Rechtsdurchsetzung und Sanktionen

Beschwerderecht

Natürliche und juristische Personen können gem Art 38 DA Beschwerde bei der zuständigen Behörde einlegen, wenn sie eine Verletzung ihrer Rechte nach dem DA vermuten.

Der Datenkoordinator unterstützt auf Anfrage mit notwendigen Informationen zur Einreichung.

Örtlich zuständig ist die Behörde des Mitgliedstaats des Aufenthaltsorts, Arbeitsplatzes oder der Niederlassung des Beschwerdeführers.

Gegen Entscheidungen einer zuständigen Behörde haben betroffene Personen gem Art 39 DA das Recht auf einen wirksamen gerichtlichen Rechtsbehelf. Bleibt eine zuständige Behörde bei einer Beschwerde untätig, können betroffene Personen gemäß nationalem Recht entweder einen gerichtlichen Rechtsbehelf einlegen oder eine Nachprüfung durch eine unparteiische Stelle beantragen.

Streitbeilegungsstelle

Die Mitgliedstaaten können Streitbeilegungsstellen benennen. Diese Stellen sind zuständig für Streitigkeiten zu Sicherheits- und Geschäftsgeheimnisschutz, fairen und diskriminierungsfreien Bedingungen bei Datenzugang und -nutzung. Voraussetzung ist jedoch, dass beide Parteien der Schiedsentscheidung freiwillig vorab zustimmen.

Zivilgerichtliche Rechtsdurchsetzung

Die Ansprüche nach dem DA, insb Datenzugangsansprüche oder die Anforderungen an das Cloud-Switching, können auch vor den ordentlichen Gerichten eingeklagt werden. Der ordentliche Rechtsweg ist parallel zu einem etwaigen Beschwerdeverfahren möglich.

Sanktionen

Sanktionen für Verstöße gegen den DA müssen bis 12. 9. 2025 durch nationales Recht konkretisiert werden. Der DA verlangt lediglich, dass diese wirksam, verhältnismäßig und abschreckend sind. Prozentangaben wie nach der DSGVO sieht der DA nicht vor.Geldstrafen mit Rückwirkung sind grds möglich (Art 37 Abs 5 lit d DA).

Bei der Verhängung von Geldbußen sollen gem Art 40 Abs 3 DA insb die folgenden Kriterien berücksichtigt werden:

• Art, Schwere, Umfang und Dauer des Verstoßes;
• getroffene Maßnahmen zur Schadenbehebung und -minderung;
• frühere Verstöße;
• die finanziellen Vorteile, die durch den Verstoß erzielt hat;
• sonstige erschwerende oder mildernde Umstände des jeweiligen Falls;
• der Jahresumsatz der verstoßenden Partei im vorangegangenen Geschäftsjahr in der Union.

Davon unberührt bleibt die Möglichkeit der Datenschutzbehörde, Geldstrafen nach der DSGVO zu verhängen. Diese können 20 Mio EUR oder bis zu 4 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs betragen (Art 40 Abs 4 DA iVm Art 83 Abs 5 DSGVO).

EDIB (European Data Innovation Board/Europäischer Dateninnovationsrat)

Der Europäische Dateninnovationsrat (EDIB) wurde gem Art 29 DGA eingesetzt. Nach dem DA unterstützt der EDIB die Kommission und die zuständigen Behörden durch Beratung, Förderung der Zusammenarbeit, Entwicklung harmonisierter Normen und Leitlinien sowie bei der Koordination grenzüberschreitender Verfahren zur einheitlichen Anwendung des DA (Art 42 DA).

Mustervertragsklauseln der Kommission

Bis zum 12. 9. 2025 wird die Kommission unverbindliche Mustervertragsklauseln für den Datenzugang und die Datennutzung bereitstellen, insb

• Bedingungen für eine angemessene Gegenleistung ,
• Bedingungen für den Schutz von Geschäftsgeheimnissen,
• Standardvertragsklauseln für Verträge über Cloud-Computing.

Es gibt zwar keine Verpflichtung, diese Musterverträge zu verwenden. Im Streitfall könnten diese jedoch indizieren, wie angemessene und ausgewogene Vereinbarungen aussehen sollen.

Weiterführende Literatur

Einführende Werke

• Hoeren/Pinelli, Data Law (2025, iE).
• Hennemann/Ebner/Karsten, Data Act. An Introduction (2024), https://www.nomos-elibrary.de/10.5771/9783748918691/data-act?page=1.
• Knyrim, DA - Data Act (2025).
• Sattler/Zech (Hrsg), The Data Act. First Assessments (2024), https://digitalrecht-z.uni-trier.de/index.php/drz/catalog/book/36.
• Schreiber/Pommerening/Schoel, Der neue Data Act² (2024).
• Steinrötter (Hrsg), Europäische Plattformregulierung. DSA | DMA | P2B-VO | DGA | DA | AI Act | DSM-RL (2023).
• Steinrötter/Heinze/Denga (Hrsg), EU Platform Regulation. A Handbook (2025).

Kommentare und Sammelbände

• Augsberg/Gehring (Hrsg), Datensouveränität: Positionen zur Debatte (2022).
• Bomhard/Schmidt-Kessel, EU Data Act (2025, iE).
• Czychowski/Lettl/Steinrötter, Data Act (2025, iE).
• Paschke/Schumacher, EU Data Act (2025).
• Specht/Hennemann, Data Act. Data Governance Act² (2025, iE).
• Wolff/Brink/Ungern-Sternberg, BeckOK Datenschutzrecht⁴⁹ (1. 8. 2024).

Weiterführende Links

• Europäische Kommission, Frequently Asked Questions Data Act, V 1.2, https://ec.europa.eu/newsroom/dae/redirection/document/108144 (Stand 3. 2. 2025).
• Europäische Kommission, Datengesetz, https://digital-strategy.ec.europa.eu/de/policies/data-act (Stand 10. 10. 2024).
• Europäische Kommission, Datengesetz erklärt, https://digital-strategy.ec.europa.eu/en/factpages/data-act-explained (Stand 29. 1. 2025).