Data Governance Act (DGA)

Langtitel: VO (EU) 2022/868 des Europäischen Parlaments und des Rates vom 30. Mai 2022 über europäische Daten-Governance und zur Änderung der Verordnung (EU) 2018/1724 (Daten-Governance-Rechtsakt)

Kurztitel: Daten-Governance-Rechtsakt; Data Governance Act (DGA)

Kurzübersicht

Ziele	Anwendungsbereich	Inhalt	Synergie	Konsequenzen
Förderung der Wiederverwendung von (geschützten) Daten des öffentlichen Sektors	Datennutzende	Vorgaben für die Verfügbarkeit von Daten des öffentlichen Sektors für die sichere Wiederverwendung	Rechtsgrundlagen für die Datennutzung nach der Datenschutz-Grundverordnung Richtlinie (EU) 2019/1024 über offene Daten und die Weiterverwendung von Informationen des öffentlichen Sektors.	Verwaltungsstrafen
Stärkung des Vertrauens in den Datenaustausch	Datenvermittlungsdienste	Schaffung eines neuen Geschäftsmodells zur Förderung von Datenvermittlungsdiensten, die Unternehmen oder Einzelpersonen helfen, Daten auf sichere Weise auszutauschen	Wettbewerbsrecht, ua Art 101 und Art 102 AEUV; UWG	Verwaltungsstrafen; Reputationsschäden; Entzug der Registrierungszulassung
Förderung von Datenaltruismus	Datenaltruistische Organisationen	Rahmen für die freiwillige Registrierung von Einrichtungen, die Daten erheben und verarbeiten, die für gemeinnützige Zwecke zur Verfügung gestellt werden		Verlust des Status als anerkannte datenaltruistische Organisation; Verwaltungsstrafen
Erfolgreiche Umsetzung des Rahmens für die Daten-Governance	Europäischer Dateninnovationsrat	Einrichtung des Europäischen Dateninnovationsrats zur Unterstützung und Beratung der Kommission bei der Umsetzung des DGA.	Der Dateninnovationsrat befolgt bzw nutzt die folgenden Grundsätze und Normen: Grundsätze des Europäischen Interoperabilitätsrahmens europäische und internationale Normen und Spezifikationen, auch im Rahmen der Multi-Stakeholder-Plattform der EU für die IKT-Normung, Kernvokabulare und CEF-Bausteine	Unzureichende Umsetzung kann zu ineffizienter Daten-Governance und Verzögerungen bei der Entwicklung des Datenbinnenmarkts führen.

Einführung

Hintergrund

Der Data Governance Act (DGA) und der Data Act (DA) bilden die erste Säule der Europäischen Datenstrategie. Sie schaffen den rechtlichen Rahmen für den vertrauenswürdigen und sicheren Datenaustausch im Binnenmarkt.

Die Europäische Datenstrategie verfolgt das Ziel, einen Binnenmarkt für Daten zu schaffen. Sie fördert den branchen- und länderübergreifenden Datenaustausch, um Europa als führende Datenwirtschaft zu positionieren – unter Wahrung hoher Datenschutz-, Sicherheits- und Ethikstandards.

Die nationale Begleitgesetzgebung zum DGA soll im Datenzugangsgesetz (DZG) erfolgen. Ein Ministerialentwurf wurde Anfang Oktober 2024 zur Begutachtung veröffentlicht.

Struktur

Der DGA regelt (Art 1 Abs 1 lit a bis d DGA):

• Bedingungen für die Weiterverwendung von Daten bestimmter Datenkategorien, die im Besitz öffentlicher Stellen sind, innerhalb der Union;
• einen Anmelde- und Aufsichtsrahmen für die Erbringung von Datenvermittlungsdiensten;
• einen Rahmen für die freiwillige Eintragung von Einrichtungen, die für altruistische Zwecke zur Verfügung gestellte Daten erheben und verarbeiten und
• einen Rahmen für die Einsetzung eines Europäischen Dateninnovationsrats.

Der DGA soll sicherstellen, dass der geschützte Charakter der Daten gewahrt bleibt, insbesondere im Hinblick auf die Rechte und Interessen Dritter. Er verpflichtet zur Einhaltung von Vertraulichkeitsvorgaben. Zudem schließt er die Vergabe exklusiver Rechte zur Nutzung der Daten ausdrücklich aus, um einen fairen und transparenten Zugang zu gewährleisten.

Zu beachten ist, dass der DGA keine Verpflichtungen für öffentliche Stellen vorsieht, die Datenweiterverwendung zu erlauben. Der DGA befreit öffentliche Stellen nicht von etwaigen Geheimhaltungspflichten (Art 1 Abs 2 DGA). Die Zugangsgewährung zu amtlichen Dokumenten richtet sich somit weiterhin nach besonderen Vorschriften des Unionsrechts und des nationalen Rechts.

Grundprinzipien

Die Grundprinzipien des Digital Governance Act orientieren sich am sog "FAIR"-Konzept (EG 2):

• Findable (auffindbar),
• Accessible (zugänglich),
• Interoperable (interoperabel)
• Reusable (wiederverwendbar)

Ziel

Daten, die mithilfe öffentlicher Gelder generiert oder erhoben wurden, sollen auch der Gesellschaft zugutekommen (EG 6 DGA).

Anwendungsbereich

Sachlich

Der sachliche Anwendungsbereich des DGA erstreckt sich ausschließlich auf digitale Daten (Art 2 Nr 1 DGA), die im Besitz öffentlicher Stellen sind.

Der Begriff "Daten" ist weit zu verstehen und erfasst jegliche digitale Inhalte. Daten, die lediglich analog vorliegen, fallen somit nicht in den Anwendungsbereich. Beispiele sind Gesundheitsdaten, Mobilitätsdaten, Umweltdaten oder Agrardaten. Der Datenbegriff enstpricht somit Art 2 Z 24 DMA und Art 2 Z 1 DA.

Der Datenbegriff nach DSGVO und DGA

Der DGA enthält Bestimmungen über die Weiterverwendung von Daten, die

• im Besitz öffentlicher Stellen sind und
• aus den folgenden Gründen geschützt sind (Art 3 Abs 1 lit a bis d DGA):
  • geschäftliche Geheimhaltung, einschließlich Betriebsgeheimnisse, Berufsgeheimnisse, Unternehmensgeheimnisse,
  • statistische Geheimhaltung,
  • der Schutz geistigen Eigentums Dritter,
  • Datenschutz.

Daten, die im Besitz öffentlicher Stellen sind, sind vom Anwendungsbereich des DGA ausgenommen, wenn

• die Daten aus Gründen der öffentlichen Sicherheit, der Landesverteidigung oder der nationalen Sicherheit geschützt sind, oder
• die Bereitstellung der Daten nicht unter den öffentlichen Auftrag der betreffenden öffentlichen Stelle fällt.

Ausgenommen sind weiters Datenkategorien im Besitz folgender Einrichtungen (Art 3 Abs 2 DGA):

• öffentlicher Unternehmen,
• öffentlich-rechtlicher Rundfunkanstalten, sofern die Daten der Wahrnehmung eines öffentlichen Sendeauftrags dienen,
• Kultureinrichtungen und Bildungseinrichtungen.

Personell

Öffentliche Stellen

Die Regelungen zur Datenweiterverwendung adressieren alle in der EU tätigen öffentlichen Stellen. Das sind gem Art 2 Nr 17 DGA:

• Staat,
• Gebietskörperschaften,
• Einrichtungen des öffentlichen Rechts (zB Kammern, Universitäten, Religionsgemeinschaften, Anstalten oder Stiftungen des öffentlichen Rechts),
• Verbände, die aus einer oder mehreren dieser Körperschaften oder einer oder mehreren dieser Einrichtungen des öffentlichen Rechts bestehen.

Forschungseinrichtungen, die als öffentliche Stellen oder öffentlich-rechtliche Einrichtungen gegründet wurden, können erfasst sein (EG 12), nicht aber öffentliche Unternehmen.

Datenvermittlungsdienste

Unter Datenvermittlungsdienst ist gem Art 2 Nr 11 DGA ein Dienst zu verstehen, der eine unbestimmte Zahl von betroffenen Personen und Dateninhabern mit Datennutzern verbindet, um eine geschäftliche Beziehung zum Datenaustausch herzustellen. Nicht davon erfasst sind somit Dienste, die für geschlossene Nutzergruppen eingerichtet sind. Ist der Zugang zu den Daten etwa von der Zugehörigkeit zu einem Verein oder einem Unternehmen abhängig, liegt idR kein datenvermittlungsdienst iSd DGA vor.

• Dateninhaber (Art 2 Nr 8 DGA):
  • Eine juristische Person (inkl. öffentliche Stellen und internationale Organisationen) oder natürliche Person,
  • die selbst nicht die betroffene Person der Daten ist,
  • und nach EU- oder nationalem Recht befugt ist, Zugang zu den Daten (personenbezogen oder nicht-personenbezogen) zu gewähren oder diese weiterzugeben.

• Datennutzer (Art 2 Nr 9 DGA):
  • Eine natürliche oder juristische Person
  • die rechtmäßigen Zugang zu Daten (personenbezogen oder nicht-personenbezogen) hat,
  • und diese - bei personenbezogenen Daten unter Beachtung der DSGVO - für beliebige Zwecke (kommerziell oder nicht-kommerziell) nutzen darf.

Kategorien

Datenvermittlungsdienste lassen sich gem Art 10 DGA den folgenden 3 Kategorien zuordnen:

Bestimmung	Kategorie	Fallgruppen
Art 10 lit a DGA	Vermittlungsdienste zwischen Dateninhabern und potenziellen Datennutzern	Datenaustausch, Plattformen und Datenbanken, andere spezielle Infrastruktur
Art 10 lit b DGA	Vermittlungsdienste zwischen betroffenen und natürlichen Personen und Datennutzern	Datentreuhänder, Personal Information Management Systems (PIMS), Datenräume, Vermittlungsdienste zur Ausübung der DSGVO-Betroffenenrechte
Art 10 lit c DGA	Dienste von Datengenossenschaften	Organisationen, die die kollektiven Datenrechte und -interessen ihrer Mitglieder verwalten und vertreten

Datenaltruistische Organisationen

Datenaltruismus ist die freiwillige gemeinsame Nutzung von Daten ohne Gewinnerzielungsabsicht für Ziele von allgemeinem Interesse gem nationalem Recht, wie die Gesundheitsversorgung oder die wissenschaftliche Forschung (Art 2 Nr 16).

Räumlich

• Öffentliche Stellen sind vom DGA erfasst, wenn deren Zuständigkeitsbereich in der Europäischen Union liegt.

• Privatwirtschaftliche Akteure fallen in den Anwendungsbereich, wenn sie
  • ihren Sitz in der EU haben oder
  • ihre Dienste in der EU anbieten.

Zeitlich

Nach der Annahme am 16. Mai 2022 trat der DGA am 23. Juni 2022 in Kraft. Die Bestimmungen sind seit dem 24. September 2023 anwendbar.

Aufgrund mangelnder Umsetzung der nationalen Begleitgesetzgebung zur Durchführung des DGA in mehreren Mitgliedstaaten hat die Kommission bereits Vertragsverletzungsverfahren, unter anderem gegen Österreich und Deutschland, eingeleitet.

Zentrale Inhalte

Antrag auf Weiterverwendung geschützter Daten durch eine Forschungseinrichtung

Weiterverwendung geschützter Daten (Kap II)

Der DGA ermöglicht es, wertvolle Erkenntnisse aus geschützten Daten zu gewinnen. Er sieht klare Regeln und Schutzmaßnahmen vor, um die Weiterverwendung zu erleichtern, soweit dies durch andere Rechtsvorschriften erlaubt ist.

Bedingungen für die Weiterverwendung

Den öffentlichen Stellen wird die heikle Aufgabe auferlegt, einerseits den Schutz der Daten zu wahren und andererseits die Weiterverwendung im Einklang mit nationalen oder unionsrechtlichen Vorgaben zu ermöglichen.

Zu diesem Zweck müssen die öffentlichen Stellen Bedingungen für die Weiterverwendung aufstellen (Art 5 Abs 1 DGA). Diese Bedingungen dürfen gem Art 5 Abs 2 DGA nicht diskriminierend sein, dh, zwischen Weiterverwendern darf nicht unsachlich unterschieden werden. Weiters müssen sie transparent, verhältnismäßig und objektiv gerechtfertigt ausgestaltet sein und dürfen den Wettbewerb nicht behindern. Ein besonderer Fokus liegt auf der Förderung des Datenzugangs für kleine und mittlere Unternehmen (KMU) sowie Start-ups, um Innovation und wirtschaftliches Wachstum zu fördern (EG 2 DGA).

Folgende Maßnahmen können die öffentlichen Stellen zum Schutz der Daten ergreifen:

• Der Zugang zur Weiterverwendung kann davon abhängig gemacht werden, dass
  • personenbezogene Daten anonymisiert wurden,
  • vertrauliche Geschäftsinformationen verändert, aggregiert oder aufbereitet wurden.
• Der Zugang kann durch Fernzugriff oder in einer sicheren Verarbeitungsumgebung (zB in Datenräumen) gewährt werden.
• Der Zugang kann innerhalb bestimmter Räumlichkeiten unter Einhaltung hoher Sicherheitsstandards erfolgen.

Die Bedingungen sind von den öffentlichen Stellen den nationalen Zentralen Informationsstellen zur Verfügung zu stellen, über welche diese zugänglich gemacht werden.

Es gilt grundsätzlich ein Verbot von Ausschließlichkeitsvereinbarungen. Nur in Ausnahmefällen kann bei allgemeinem Interesse eine öffentliche Stelle einem Unternehmen ein solches ausschließliches Recht unter sehr restriktiven Bedingungen gewähren (Art 4 DGA).

Antragsverfahren für die Weiterverwendung (Art 9 DGA)

Auf Antrag entscheidet zunächst die zuständige öffentliche Stelle über die Weiterverwendung der Daten. Hierfür hat sie grundsätzlich zwei Monate Zeit.

Gegen die Entscheidung der öffentlichen Stelle besteht ein wirksamer Rechtsbehelfsanspruch jeder Person, die davon direkt betroffen ist. Die Ausgestaltung richtet sich nach nationalem Recht.

Öffentliche Stellen können für die Genehmigung der Weiterverwendung angemessene Gebühren erheben, die die erforderlichen Kosten nicht übersteigen dürfen, und sollten Anreize durch Gebührensenkungen oder -befreiungen für Forschung, nichtkommerzielle Zwecke, KMU und Start-ups schaffen.

Datenvermittlungsdienste (Kap III)

Datenvermittlungsdienste fungieren als neutrale Organisatoren für die Nutzung und Zusammenführung von Daten. Dabei zeichnen sie sich durch Neutralität und Transparenz aus. Es erfolgt keine Monetarisierung der Daten. Einzelpersonen und Unternehmen behalten die volle Kontrolle über ihre Daten.

Anmeldung (Art 11 DGA)

Geschütztes Logo für Datenvermittlungsdienste, die in der EU anerkannt sind

Die Tätigkeit kann erst aufgenommen werden, nachdem eine Anmeldung erfolgt ist.

Die Kommission führt ein aktuelles Register aller angemeldeten Anbieter von Datenvermittlungsdiensten.

Behördenzuständigkeit

• Dienst mit Niederlassung in der EU: Zuständig ist die Behörde in dem Mitgliedstaat, in dem der Dienst seine Hauptniederlassung hat.
• Dienst ohne Niederlassung in der EU: Hat ein Anbieter keine Niederlassung in der EU, bietet seine Dienste aber in einem oder mehreren Mitgliedstaaten an, so ist ein gesetzlicher Vertreter in einem dieser Mitgliedstaaten zu benennen. Zuständig ist dann der Mitgliedstaat, in dem sich der gesetzliche Vertreter befindet.

Erforderliche Informationen

Folgende Informationen sind zwingend bei der Anmeldung zu übermitteln:

• der Rechtsstatus, die Rechtsform, die Eigentümerstruktur, die relevanten Tochtergesellschaften und, sofern gegeben, die Registernummer,
• die Anschrift der Hauptniederlassung in der Union, falls zutreffend, und die Anschrift einer etwaigen Zweigniederlassung in einem anderen Mitgliedstaat oder des gesetzlichen Vertreters,
• eine öffentliche Website mit vollständigen und aktuellen Informationen über den Anbieter und seine Tätigkeiten,
• die Kontaktpersonen und Kontaktangaben,
• eine Beschreibung des Datenvermittlungsdienstes und Angaben dazu, unter welche Kategorie dieser Datenvermittlungsdienst fällt,
• den voraussichtlichen Tag der Aufnahme der Tätigkeit, falls dies ein anderer als der Tag der Anmeldung ist.

Führen des Logos

Die Kommission hat gemeinsame Logos für anerkannte Anbieter von Datenvermittlungsdiensten eingeführt. Diese Logos sollen es den Interessenträgern erleichtern, vertrauenswürdige Akteure im Datenmarkt der EU zu identifizieren. Anbieter, die die im DGA festgelegten Anforderungen erfüllen und sich für die Nutzung der Logos entscheiden, müssen diese gut sichtbar auf allen Veröffentlichungen anbringen. Die Logos sind durch eine Verordnung geregelt und als Marken geschützt.

Das Logo kann von der offiziellen Website der Europäischen Union in diversen Formaten heruntergeladen werden.

Pflichten

Die Erbringung von Datenvermittlungsdiensten setzt die Einhaltung folgender Bedingungen voraus (Art 12 DGA):

• Zweckbindungsgrundsatz: Die Daten dürfen ausschließlich zur Bereitstellung für Datennutzer verwendet werden.
• Unahängigkeit: Die Dienstleistung erfolgt über eine separate juristische Person.
• Kopplungsverbot: Kommerzielle Bedingungen werden nicht von der Nutzung weiterer Dienste desselben Anbieters abhängig gemacht.
  • Praxistipp: Das Verbot gilt nicht gegenüber Betroffenen. Anbieter können daher die Erbringung von Datenvermittlungsdiensten gegenüber Betroffenen davon abhängig machen, dass diese andere Dienstleistungen des Unternehmens in Anspruch nehmen.
• Verwendung von Daten zur Dienstentwicklung: Daten, die in Bezug auf Tätigkeiten einer Person zur Erbringung des Datenvermittlungsdienstes erhoben werden, wie Zeit- oder Standortangaben, werden nur zur Entwicklung des Dienstes verwendet.
• Zurverfügungstellung der Daten: Daten, die in Bezug auf Tätigkeiten einer Person zur Erbringung des Datenvermittlungsdienstes erhoben werden, können auf Anfrage den Dateninhabern zur Verfügung gestellt werden.
  • Synergie mit der DSGVO: Natürliche Personen haben in Bezug auf ihre personenbezogenen Daten bereits aufgrund von Art 15 DSGVO Anspruch auf Auskunft über ihre Daten.
• Datenformat und Umwandlung: Die Daten werden im Originalformat bereitgestellt; Umwandlungen erfolgen nur zur Verbesserung der Interoperabilität oder auf Wunsch des Datennutzers.
  • Praxistipp: Lock-in-Effekte sind zu vermeiden.
• Zusätzliche Werkzeuge: Zusätzliche Dienste und Werkzeuge zur Erleichterung des Datenaustauschs (zB Anonymisierung, vorübergehende Speicherung, Konvertierung) werden nur auf ausdrücklichen Antrag oder mit Zustimmung der betroffenen Personen oder des Dateninhabers angeboten.
  • Praxistipp: Auch konkludente Willenserklärungen, die auf Initiative des Datenmittlers hin erteilt werden, sind möglich.
• Transparenz und Fairness: Der Zugang zu den Datenvermittlungsdiensten ist fair, transparent und nichtdiskriminierend.
  • Praxistipp: Transparenz kann durch Angaben auf der Website, die nach Art 11 zwingend einzurichten ist, gewährleistet werden.
• Betrugs- und Missbrauchsprävention: Der Anbieter verfügt über Verfahren, um betrügerische oder missbräuchliche Nutzung seiner Datenvermittlungsdienste zu verhindern.
  • Praxistipp: Anbieter sollten ein Compliance-System implementieren, das betrügerische oder missbräuchliche Nutzung identifiziert und gezielte Maßnahmen wie den Ausschluss von Nutzern ermöglicht, die gegen AGB oder gesetzliche Vorschriften verstoßen.
• Weiterführung bei Insolvenz: Bei Insolvenz stellt der Anbieter die fortlaufende Datenbereitstellung sicher und ermöglicht den Zugang zu den Daten. Datenvermittlungsdienste nach Art 10 lit b und lit c müssen Betroffenen und Datennutzern die Ausübung von Rechten ermöglichen.
  • Synergie mit Insolvenzrecht: Die Regelung kann in einem Spannungsverhältnis zum Insolvenzrecht stehen.
  • Synergie mit der DSGVO: Betroffenenrechte nach der DSGVO stehen ohnehin unabhängig von einer etwaigen Insolvenz zu.
• Interoperabilität: Der Anbieter gewährleistet Interoperabilität mit anderen Datenvermittlungsdiensten.
• Schutzmaßnahmen: Der Anbieter ergreift Maßnahmen, um rechtswidrige Datenübertragungen und den rechtwidrigen Zugang zu nicht personenbezogenen Daten zu verhindern.
  • Praxistipp: Als angemessene Maßnahmen zählen etwa die Verschlüsselung der Daten oder innerbetriebliche Vorgaben. Einschlägige technische Standards, Verhaltenskodizes und Zertifizierungen auf Unionsebene sind einzuhalten.
• Unterrichtung bei Datenmissbrauch: Dateninhaber werden bei unbefugter Datenübertragung oder -nutzung unverzüglich informiert.
  • Synergie mit der DSGVO: Nach Art 34 DSGVO sind im Falle eines Data Breaches betroffene Personen nur zu informieren, wenn ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen besteht. Der DGA verpflichtet hingegen zu einer Information bei jeder Verletzung nicht personenbezogener Daten, die Risiken spielen keine Rolle.
• Sicherheitsniveau: Es werden Maßnahmen für einen angemessenen Schutz nicht personenbezogener Daten und den höchsten Schutz sensibler wettbewerbsrelevanter Informationen (wie Informationen über Kund*innen, Produktionskosten, Kapazitäten) ergriffen.
  • Synergie mit der DSGVO: Art 32 DSGVO enthält eine entsprechende Verpflichtung in Bezug auf personenbezogene Daten: demnach sind geeignete technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.
• Interessenwahrung für betroffene Personen: Anbieter, die für betroffene Personen tätig sind, handeln im Interesse der Betroffenen und informieren sie vor Erteilung einer Einwilligung auf prägnante, transparente, verständliche und leicht zugängliche Weise über die beabsichtigte Datennutzung und die üblichen Geschäftsbedingungen für solche Nutzungen.
• Werkzeuge zur Einholung von Einwilligungen, Widerrufsrecht und Informationen über Drittländer: Der Anbieter stellt Werkzeuge für die Einwilligungs- und Erlaubniserteilung, sowie zum Widerruf bereit und gibt ggf das Drittland, in dem die Datennutzung stattfinden soll, an.
• Protokollierpflicht: Der Anbieter führt ein Protokoll über seine Datenvermittlungstätigkeiten.
  • Synergie mit der DSGVO: Werden personenbezogene Daten verarbeitet, so bestehen bei der Protokollierpflicht Überschneidungen mit Art 30 Abs 1 DSGVO, der die Pflicht zur Führung eines Verarbeitungsverzeichnisses vorsieht.

Datenaltruistische Organisationen (Kap IV)

Datenaltruismus stellt ein innovatives Konzept in der europäischen Datenstrategie dar. Es ermöglicht die freiwillige gemeinsame Nutzung von Daten für Ziele von allgemeinem Interesse, ohne dass dafür ein Entgelt fließt. Grundlage ist die Einwilligung der betroffenen Personen oder die Erlaubnis der Dateninhaber. Die Ziele, die damit verfolgt werden, sind vielfältig und im nationalen Recht verankert - sie reichen von der Verbesserung der Gesundheitsversorgung über die Bekämpfung des Klimawandels bis hin zur wissenschaftlichen Forschung im allgemeinen Interesse. Daten können direkt bei natürlichen oder juristischen Personen gesammelt oder von Dritten, einschließlich öffentlicher Stellen, erhoben und weiterverarbeitet werden. Um den Prozess zu vereinfachen und zu harmonisieren, wurde ein europäisches Einwilligungsformular für Datenaltruismus eingeführt. Dieses Instrument fördert die transparente und ethische Nutzung von Daten für gesellschaftlich relevante Zwecke und stärkt gleichzeitig das Vertrauen der Bürgerinnen und Bürger in den Datenaustausch.

Eintragungsvoraussetzungen

Geschütztes Logo für datenaltruistische Organisationen, die in der EU anerkannt sind

Folgende Voraussetzungen müssen erfüllt sein, damit eine Organisation eingetragen werden kann:

Die Einrichtung muss

• datenaltruistische Tätigkeiten durchführen;
• gemäß nationalem Recht Rechtspersönlichkeit haben, um ggf gemäß dem nationalen Recht Ziele von allgemeinem Interesse zu erreichen;
• selbst ohne Erwerbszweck tätig sein und rechtlich unabhängig von jeder Organisation, die Erwerbszwecke verfolgt, handeln;
• die Datenaltruismus-Tätigkeiten über eine Struktur ausüben, die von ihren anderen Tätigkeiten funktionell getrennt ist;
• dem Regelwerk gem Art 22 Abs 1 DGA entsprechen.

Führen des Logos

Anerkannte datenaltruistische Organisationen können das entsprechende Logo der Europäischen Kommission. Zusätzlich muss ein QR-Code zum öffentlichen EU-Register beigefügt werden. Diese Maßnahme soll Transparenz und Vertrauen auf dem Datenmarkt stärken.

Einwilligungsformular

Um die Datenerhebung zu erleichtern, wird ein europäisches Einwilligungsformular entwickelt. Es soll modular aufgebaut, sowie sektor- und zweckbezogen anpassbar sein und sicherstellen, dass betroffene Personen gemäß der DSGVO ihre Einwilligung erteilen und widerrufen können. Die Kommission erlässt hierzu nach Konsultation relevanter Gremien Durchführungsrechtsakte und stellt das Formular in verständlicher, druckbarer sowie elektronisch maschinenlesbarer Form bereit.

Transparenzanforderungen

Art 20 DGA

zuständige Behörde

Art 23 f DGA

Datenweitergabe in Drittländer

Um das hohe Schutzniveau der EU auch bei der Übermittlung von nicht personenbezogenen Daten an Drittländer zu wahren, wurden spezifische Garantien entwickelt. Diese verpflichten den Weiterverwender im Drittland, ein dem EU-Recht äquivalentes Schutzniveau für die betreffenden Daten sicherzustellen. Zudem muss er die Gerichtsbarkeit der EU in relevanten Fällen akzeptieren. Analog zur DSGVO sieht der Rechtsrahmen Instrumente wie Angemessenheitsbeschlüsse und Mustervertragsklauseln vor. Diese ermöglichen eine standardisierte und rechtssichere Übermittlung von Daten in Drittländer. Angemessenheitsbeschlüsse attestieren einem Drittland ein angemessenes Schutzniveau, während Mustervertragsklauseln vertragliche Garantien zwischen Datenexporteur und -importeur festlegen.

Zentrale Informationsstellen

Die Mitgliedstaaten richten zentrale Informationsstellen ein, die potentiellen Datennutzer*innen Informationen darüber zur Verfügung stellen, welche Daten von welchen Behörden gespeichert werden.

Das Europäische Register für geschützte Daten im Besitz des öffentlichen Sektors (ERPD) bei der Kommission stellt darauf aufbauend ein durchsuchbares Register dieser Informationen bereit. Damit wird gewährleistet, dass die Weiterverwendung von Daten im Binnenmarkt und darüber hinaus erleichtert wird.

Europäischer Dateninnovationsrat (EDIB, Kap VI)

Der Europäische Dateninnovationsrat spielt eine zentrale Rolle bei der Gestaltung der europäischen Datenwirtschaft. Seine Hauptaufgaben umfassen den Austausch bewährter Praktiken, insbesondere im Bereich der Datenvermittlung, des Datenaltruismus und der Nutzung nicht-offener öffentlicher Daten. Dabei liegt ein besonderer Fokus auf der Förderung sektorübergreifender Interoperabilitätsstandards. In seiner beratenden Funktion tauscht der EDIB Informationen aus und bietet Expertise zu datenrelevanten Themen. Zudem besitzt er die Befugnis, Leitlinien für gemeinsame europäische Datenräume vorzuschlagen. Dies schließt Empfehlungen zum angemessenen Schutz von Datenübermittlungen außerhalb der Union ein, was angesichts der globalen Datenströme von großer Bedeutung ist. Durch diese vielfältigen Aufgaben trägt der EDIB maßgeblich dazu bei, ein kohärentes und innovationsfreundliches Datenökosystem in Europa zu schaffen. (EG 53 f)

Zusammensetzung (Art 29 Abs 1 DGA)

• Vertreter*innen der für Datenvermittlungsdienste zuständigen nationalen Behörden,
• Vertreter*innen der für die Registrierung von datenaltruistischen Organisationen zuständigen nationalen Behörden,
• Vertreter*innen des Europäischen Datenschutzausschusses,
• Vertreter*innen des Europäischen Datenschutzbeauftragten,
• Vertreter*innen der Agentur der Europäischen Union für Cybersicherheit (ENISA),
• Vertreter*innen der Europäischen Kommission,
• Der/die KMU-Beauftragte der EU oder ein*e vom Netz der KMU-Beauftragten benannte*r Vertreter*in,
• Andere Vertreter*innen von maßgeblichen Stellen in bestimmten Sektoren und von Stellen mit spezifischen Fachkenntnissen.

Die Expert*innengruppe wird in thematische Untergruppen untergliedert (Art 29 Abs 2 DGA).

Aufgaben (Art 30 DGA)

In Art 30 lit a bis m DGA werden 13 Aufgaben des Dateninnovationsrates genannt. Diese lassen sich folgendermaßen zusammenfassen:

• Entwicklung einer einheitlichen Praxis bei der Umsetzung des DGA (Art 30 lit a bis c),
• Entwicklung einheitlicher Leitlinien zum Schutz von Daten und zur Cybersicherheit (Art 30 lit d und e),
• Beratung und Unterstützung der Kommission bei der Normentwicklung und -verbesserung (Art 30 lit f und g),
• Unterbreitung von Leitlinien zu gemeinsamen europäischen Datenräumen (Art 30 lit h),
• Erleichterung der Zusammenarbeit zwischen den Mitgliedstaaten und zwischen den nationalen Behörden (Art 30 lit i und j),
• Prüfung des Erlasses von Durchführungsrechtsakten gem Art 5 Abs 11 (Mustervertrtagsklauseln) und 12 DGA (Anerkennung eines angemessenen Schutzniveaus in Drittstaaten) (Art 30 lit k),
• Entwicklung eines europäischen Einwilligungsformulars für Datenaltruismus gem Art 25 Abs 1 (Art 30 lit l),
• Verbesserung des internationalen Regelungsumfelds, einschließlich der Normung (Art 30 lit m).

Auch nach dem Data Act kommen dem EDIB gewisse Aufgaben zu.

Fallbeispiele

Exemplarisch lassen sich einige Plattformen nennen:

Daten-Vermittlungsdienste

• Die Deutsche Telekom bietet mit dem Data Intelligence Hub eine Plattform an, auf der Unternehmen Informationen, wie Produktionsdaten, verwalten, bereitstellen und verwerten können.
• Agdatahub bietet basierend auf der Dawex-Technologie eine Plattform für landwirtschaftliche Daten. Sie ermöglicht den Datenaustausch in der Agrarbranche.

Organisationen für Datenaltruismus

• Die Smart Citizen-Plattform ermöglicht es Bürger*innen, Daten über Lärm und Luftverschmutzung in ihrer Umgebung zu teilen, die sie mit Sensoren erfassen. Behörden oder Wissenschafter*innen können diese Daten dann nutzen, um Lösungen zu entwickeln.
• Die deutsche Corona-Datenspende-App sammelte Daten wie Herzfrequenz, Körpertemperatur, Blutdruck und Schlafmuster, die freiwillig von Nutzenden von Fitness-Armbändern und Smartwatches übermittelt wurden. Diese Daten wurden Wissenschafter*innen zur Verfügung gestellt, um Corona-Hotspots rascher zu erkennen.

Synergien

Der DGA umfasst sektorenübergreifende Regelungen über den Datenaustausch und grundlegende Anforderungen an die Daten-Governance (EG 3 DGA).

Zum komplexen Verhältnis zu anderen Vorschriften enthält der DGA selbst einige Regelungen.

DSGVO

Der DGA gilt für geschützte Daten, worunter sowohl personenbezogene, als auch nicht personenbezogene Daten fallen können. Werden personenbezogene Daten verarbeitet, so kommen die Regeln der DSGVO und des Datenschutzgesetzes vorrangig zur Anwendung (EG 4, Art 1 Abs 3 DGA). Zu beachten ist, dass der DGA keine eigene Rechtsgrundlage für die Verarbeitung personenbezogener Daten schafft.

Auch die Datenschutzverordnung für die Stellen der EU (VO (EU) 2018/1725), die ePrivacy-RL (RL 2002/58/EG) sowie die JI-RL (RL (EU) 2016/680) lässt der DGA ausdrücklich unberührt (Art 1 Abs 3 DGA).

Es ist zu befürchten, dass das unklare Verhältnis zwischen Datenschutzrecht und DGA zu einer eher zurückhaltenden Anwendung des DGA führen könnte. Auch werde dadurch kein Anreiz geschaffen, sich als datenaltruistische Organisation zu engagieren.

Datenschutzrechtliche Rollenverteilung

Der DGA enthält keine ausdrückliche Regelung zur Rollenverteilung zwischen der öffentlichen Stelle, die eine Weiterverwendung personenbezogener (nicht anonymisierte) Daten ermöglicht, und dem Datennutzer. Es wird vertreten, dass diese als gemeinsam Verantwortliche iSv Art 26 DSGVO anzusehen sind und konsequenterweise eine entsprechende Vereinbarung zur gemeinsamen Verantwortlichkeit abzuschließen haben.

Datenaltruistische Organisationen: Organisation ist Verantwortlicher iSd Art 4 Z 7 DSGVO.

Sektorspezifische Datenräume

Sektorspezifische EU-Rechtsvorschriften für konkrete Datenräume, beispielsweise der EHDS für den Gesundheitsbereich, sollen die allgemeinen Bestimmungen ergänzen und Regelungen für spezifische Datenräume unter Berücksichtigung der jeweiligen Branchenanforderungen schaffen.

Open Data-Regulierung

Daten im öffentlichen Sektor

Die Open Data und PSI 2-RL regelt die Weiterverwendung nicht geschützter Daten, dh öffentlich zugänglicher Informationen (Open Data), die sich im Besitz des öffentlichen Sektors befinden (EG 8 Open Data und PSI 2-RL). Sie zielt darauf ab, den Wert öffentlicher Daten für Wirtschaft und Gesellschaft zu erhöhen, indem sie deren breite Zugänglichkeit und faire Nutzungsbedingungen fördert. Kernpunkte sind die kostenlose oder kostengünstige Bereitstellung von Daten, insbesondere für KMU und Start-ups, sowie die Einbeziehung von Daten öffentlicher Unternehmen und aus der Forschung. Die Richtlinie soll Innovation fördern, gesellschaftliche Herausforderungen adressieren und die Entwicklung neuer Technologien wie KI unterstützen. Die RL über offene Daten wurde in Österreich durch das Informationsweiterverwendungsgesetz 2022 (IWG 2022) umgesetzt.

Ua verpflichtet das IWG 2022 öffentliche Stellen sowie Öffentliche Unternehmen, Forscher, Forschungseinrichtungen und Forschungsförderungseinrichtungen dazu, Dokumente, die zur Weiterverwendung verfügbar sind, durch Bestandslisten und maschinenlesbare Formate zugänglich zu machen und mit dem Portal data.gv.at zu verknüpfen, sofern dies zumutbar ist (§ 11 IWG 2022).

Personenbezogene Daten und vertrauliche Geschäftsinformationen dürfen nach der Open Data und PSI 2-RL nur in anonymisierter oder aggregierter Form freigegeben werden. Der DGA ergänzt diese Richtlinie, indem Vorschriften für die Nutzung nicht-öffentlicher Daten vorgesehen werden, ohne den Schutz der Informationen zu beeinträchtigen.

Informationsfreiheit

Das IFG soll ab dem 1.9.2025 den Zugang zu staatlichen Informationen und staatsnaher unternehmerischer Informationen ermöglichen. Insbesondere schafft das IFG eine aktive verfassungsgesetzliche Informationsverpflichtung und ein verfassungsgesetzlich gewährleisteten Recht auf Zugang zu Informationen. Ausnahmen gelten bei bestimmten öffentlichen und überwiegenden privaten Interessen (insb aufgrund des Grundrechts auf Datenschutz).

Konsequenzen/Sanktionen

Sanktionen

Datenvermittlungsdienste: Verstöße gegen Art 11 (Anmeldung der Anbieter von Datenvermittlugnsdiensten) oder Art 12 (Bedingungen für die Erbringung von Datenvermittlungsdiensten) können durch die zuständige Behörde geahndet werden. Die Höhe etwaiger Geldbußen ist durch nationales Recht vorzusehen (Art 34 Abs 1 DGA).

Auch private Rechtsdurchsetzung durch Mittbewerber oder Dateninhaber möglich

Im DZG-Entwurf ist vorgesehen...

Rechtsbehelfe

Jede natürliche oder juristische Person, die von einer Entscheidung einer öffentlichen Stelle bzw. einer zuständigen Stelle betroffen ist, sollte ein wirksames Recht auf gerichtliche Überprüfung dieser Entscheidung vor den Gerichten des Mitgliedstaates haben, in dem diese Stelle ihren Sitz hat.

Kontroll- und Aufsichtsbehörden

Die Benennung von nationalen Behörden zur Überwachung von Datenvermittlungsdiensten und zur Errichtung eines Registers für datenaltruistische Organisationen obliegt den nationalen Gesetzgebern. Art 13 bis 26 DGA nennen konkrete Anforderungen, denen diese Behörden entsprechen müssen. In einigen Mitgliedstaaten wurden unter anderem Minister, aber auch Telekommunikations-Aufsichtsbehörden oder Datenschutzbehörden mit diesen Aufgaben betraut.

Der DZG-Entwurf sieht folgende Zuständigkeiten vor:

• Zentrale Informationsstelle (ZIS): die*der für Angelegenheiten der Digitalisierung zuständige Bundesminister*in (§ 4 Abs 1 DZG-Entwurf);
• Zuständige Behörde für Datenvermittlungsdienste und für die Registrierung von datenaltruistischen Organisationen: die*der für Angelegenheiten der Digitalisierung zuständige Bundesminister*in (§ 3 Abs 1 DZG-Entwurf);
• Zuständige Stellen: Werden erst durch VO des*der für Angelegenheiten der Digitalisierung zuständigen Bundesminister*in festgelegt (§ 5 Abs 2 DZG-Entwurf).

Die Aufgaben der Datenschutzbehörden bleiben davon unberührt. Es ist eine effektive Zusammenarbeit zwischen den ernannten Behörden mit den Datenschutzbehörden sicherzustellen (Art 13 Abs 3 DGA, Art 23 Abs 3 DGA, EG 4). Dasselbe gilt laut Art 13 Abs 3 DGA für die Befugnisse der nationalen Wettbewerbsbehörden, der für Cybersicherheit zuständigen Behörden und anderer einschlägiger Fachbehörden.

Weiterführende Literatur

Einführungsbücher

• Knyrim, DGA - Data Governance Act (2023).
• Schreiber/Pommerening/Schoel, Der neue Data Act (DA) mit Data Governance Act (DGA) (2024, iE).
• Schreiber/Pommerening/Schoel, New Data Governance Act. A Practitioner's Guide (2023).
• Steinrötter (Hrsg), Europäische Plattformregulierung. DSA | DMA | P2B-VO | DGA | DA | AI Act | DSM-RL (2023).
• Steinrötter/Heinze/Denga (Hrsg), EU Platform Regulation. A Handbook (2025).

Kommentare

• Paschke/Rücker, Data Governance Act: DGA (2024).
• Specht/Hennemann, Data Governance Act (2023).
• Specht-Riemenschneider/Hennemann, Data Governance Act (2024, iE).
• Steinrötter, Europäische Plattformregulierung (2023).
• Wolff/Brink/v. Ungern-Sternberg, BeckOK Datenschutzrecht⁴⁹ (2024).

Weiterführende Links

• Europäische Kommission, Daten-Governance-Gesetz erläutert, https://digital-strategy.ec.europa.eu/de/policies/data-governance-act-explained.
• Bundeskanzleramt Österreich, Der europäische Weg für eine starke Datenwirtschaft, https://www.digitalaustria.gv.at/Themen/Daten.html.
• Europäische Kommssion, Handbuch für Datenvermittlungsdienste, https://ec.europa.eu/newsroom/dae/redirection/document/97665.
• Europäische Kommssion, Handbuch für datenaltruistische Organisationen, https://ec.europa.eu/newsroom/dae/redirection/document/97666.
• Europäische Kommission, Praktischer Leitfaden zum Daten-Governance-Gesetz, https://ec.europa.eu/newsroom/dae/redirection/document/108539.
• Europäische Kommision, Register der Datenvermittlungsdienste, https://digital-strategy.ec.europa.eu/de/policies/data-intermediary-services.
• Europäische Kommision, European data: Das offizielle Portal für Daten zu Europa, https://data.europa.eu/data/datasets?locale=en.
• Europäische Kommission, Liste der zuständigen nationalen Stellen und Behörden, https://ec.europa.eu/newsroom/dae/redirection/document/98966.
• International Data Spaces Association (IDSA), Data Spaces Radar, https://www.dataspaces-radar.org/radar/.