Federführender Industrieausschuss legt Position zum Data Act fest

Anwendungsbereich:

• Von den Datenteilungspflichten des Data Act ausgenommen werden sollen Daten, die mit Hilfe eigentumsrechtlich geschützter, komplexer Algorithmen aus den vom vernetzten Produkt erzeugten Daten abgeleitet werden, z.B. mit Hilfe von Sensorfusion, sowie Inhalte oder Daten, die zum Zweck der Speicherung oder Verarbeitung von dem vernetzten Produkt generiert oder von Dritten an das Produkt gesendet werden.
• Bereitzustellen sind dagegen Daten, die aus von einzelnen Sensoren erfassten Rohdaten abgeleitet werden, um sie als physikalische Größe verständlich zu machen (z.B. Temperatur, Druck, pH-Wert, Position oder Geschwindigkeit).
• Welche Daten genau umfasst sind, soll in sektorspezifischen Rechtsakten abhängig von den Besonderheiten des jeweiligen Sektors näher definiert werden. Dies gilt auch für sogenannte volatile Daten, die nicht oder nur vorübergehend vom vernetzten Produkt erfasst werden.

Definitionen:

• Generiert das Produkt personenbezogene Daten, soll nach dem Willen der Abgeordneten neben dem Eigentümer oder Mieter eines vernetzten Produkts auch der Betroffene „Nutzer“ sein.
•  „Dateninhaber“ soll jede Person sein oder werden, die auf Daten aus dem vernetzten Produkt zugegriffen hat und vertraglich zu deren Nutzung berechtigt ist.
• Zahlreiche Definitionen wurden ergänzt (z.B. Datenräume, Portabilität) bzw. aus anderen EU-Rechtsakten übernommen (z.B. Geschäftsgeheimnis oder Datenvermittlungsdienst)

Bereitstellung von Daten an andere Unternehmen (B2B):

• Daten müssen in einem komprimierten, strukturierten, üblichen und maschinenlesbaren Format zugänglich sein bzw. bereitgestellt werden.
• Daten sind so wie erzeugt bereitzustellen, müssen aber ggf. durch notwendige minimale Änderungen für Dritte nutzbar gemacht werden; zudem müssen auch die relevanten Metadaten mitgeliefert werden, die notwendig sind, um die Daten zu interpretieren und zu nutzen.
• Dateninhaber können den Antrag zurückweisen, wenn der Zugang zu den Daten nach nationalem oder EU-Recht verboten ist.
• Die Abgeordneten schlagen neue Haftungsausschlüsse für Dateninhaber, Nutzer und Datenempfänger vor, die sich an die gesetzlichen Regelungen und den Vertrag mit dem Nutzer halten. Sie sollen nicht für aus der Datenteilung resultierende Schäden haften.
• Nach dem Willen des beigeordneten JURI-Ausschusses sollen Geschäftsgeheimnisse erst offengelegt werden müssen, nachdem alle spezifischen notwendigen Maßnahmen nach der EU-Richtlinie über Geschäftsgeheimnisse erfüllt wurden (z.B. Ergreifen von technischen und organisatorische Schutzmaßnahmen, Vereinbarung von Haftungsregeln, Non Disclosure Agreements oder strengen Zugriffsprotokollen). Hält sich der Nutzer oder der Datenempfänger nicht daran, kann der Dateninhaber das Teilen von Geschäftsgeheimnissen aussetzen und dies dem Datenkoordinator mitteilen, der dann ggf. über den Streit entscheidet.
• Auch Datenvermittlungsdienste können im Auftrag des Nutzers vom Dateninhaber Daten anfordern, wodurch der Data Act mit dem Data Governance Act vernetzt wird.

Schutz vor missbräuchlichen Vertragsklauseln:

• Nicht mehr nur KMU, sondern alle Unternehmen unabhängig von ihrer Größe sollen Schutz vor missbräuchlichen Vertragsklauseln genießen.
• Eine Vertragsklausel soll nicht nur dann unfair sein, wenn ihre Verwendung entgegen Treu und Glauben grob von der guten Geschäftspraxis abweicht, sondern auch, wenn sie objektiv die Fähigkeit der anderen Partei beeinträchtigt, ihre berechtigten geschäftlichen Interessen an den Daten zu schützen, oder wenn sie ein erhebliches Ungleichgewicht zwischen den Rechten und Pflichten der Vertragsparteien schafft.
• Die Regeln über Vertragsklauseln sollen für alle neuen Verträge gelten; für bestehende Verträge gilt eine Schonfrist von 3 Jahren, innerhalb derer die Verträge ggf. anzupassen sind.

Bereitstellung von Daten an öffentliche Stellen (B2G):

• Unternehmen müssen nur noch nicht-personenbezogene Daten bereitstellen.
• Eine Bereitstellungspflicht besteht künftig nur noch in zwei Fällen: (1) kostenlos bei einem öffentlichen Notstand, der offiziell nach den gängigen Vorschriften im nationalen oder EU-Recht festgestellt werden muss, oder (2) gegen eine angemessene Vergütung bei gesetzlich vorgesehenen Aufgaben im öffentlichen Interesse, wenn Daten nicht freiwillig bereitgestellt, auf dem Markt erworben oder mit Hilfe bestehender gesetzlicher Verpflichtungen erlangt werden können.
•  Anträge öffentlicher Stellen werden von nationalen „Datenkoordinatoren“ koordiniert.

Anwendung und Durchsetzung

• Die Mitgliedstaaten müssen eine Behörde als „Datenkoordinator“ benennen. Dieser soll die Anwendung und Durchsetzung des Data Act koordinieren, als einzige Kontaktstelle („single point of contact“) gegenüber der EU-Kommission fungieren und den Mitgliedstaat im Europäischen Dateninnovationsrat vertreten, der nun auch unter dem Data Act beratende und unterstützende Funktion erhalten soll.
• Benennen Dateninhaber und -empfänger mit Sitz außerhalb der EU keinen gesetzlichen Vertreter oder verweigern sie Informationen, kann die zuständige Behörde als letztes Mittel die Dienste oder den Datenzugang aussetzen.
• Die Kooperation zwischen den nationalen Behörden der Mitgliedstaaten wird gestärkt.
• Der Rechtsschutz gegenüber Entscheidungen von Behörden und wegen Nichteinhaltung des Data Acts durch andere Unternehmen soll durch verschiedene Regelungen verbessert werden.
• Die Kommission soll die Auswirkungen des Data Act noch weitergehender bewerten und innerhalb von zwei Jahren insbesondere auch überprüfen müssen, wie der Data Act mit anderen Rechtsakten zusammenspielt, inwieweit er die Erzeugung und Nutzung qualitativ hochwertiger Datensätze für EU-Unternehmen attraktiv macht, die Vertraulichkeit von Geschäftsgeheimnissen wahrt, ohne das Teilen von Daten zu behindern, und wie er sich auf Innovationen, Startups, KMU und den internationalen Datentransfer auswirkt. Bei Mängeln soll die Kommission eine Änderungsverordnung vorschlagen.

Komplexe Zuständigkeiten im EU-Parlament

Wegen der hohen Bedeutung des Data Act waren die Zuständigkeiten innerhalb des Europäischen Parlaments nach längeren Verhandlungen auf insgesamt vier Ausschüsse verteilt worden. So sind neben dem federführenden Industrieausschuss der Binnenmarktausschuss (IMCO) und der Rechtsausschuss (JURI) und als assoziierte Ausschüsse für den gesamten Data Act zuständig. Für einige Spezialthemen wurden gesonderte Zuständigkeiten vereinbart. So sicherte sich u.a. der IMCO-Ausschuss exklusive Kompetenzen für die Regeln betreffend den Wechsel und Interoperabilität von Cloud-Diensten, während der Rechtsausschuss ausschließlich für den Schutz geistiger Eigentumsrechte und insbesondere von Geschäftsgeheimnissen zuständig ist. Der ebenfalls beigeordnete Ausschuss für bürgerliche Freiheiten (LIBE) befasst sich exklusiv mit den Regeln zum Schutz personenbezogener Daten und dem Zusammenspiel mit der DSGVO. Die drei assoziierten Ausschüsse IMCO, JURI und LIBE haben ihre Stellungnahmen bereits Ende Januar bzw. Anfang Februar vorgelegt. Nunmehr hat auch der ITRE-Ausschuss über die mehr als 1000 internen Änderungsanträge abgestimmt und wird in Kürze seinen finalen Bericht veröffentlichen.

Wie geht es weiter?

Das Plenum des EU-Parlaments wird nach derzeitiger Planung auf der Plenartagung vom 13. bis 16. März 2023 über den Data Act abstimmen und die finale Position EU-Parlaments insgesamt festlegen. Noch nicht klar ist hingegen, wann der Rat der Europäischen Union als Mitgesetzgeber seine Position zum Data Act beschließen wird. Die Mitgliedstaaten haben zwar bereits mehrere Kompromisstexte diskutiert, ihren gemeinsamen Standpunkt jedoch noch nicht festgelegt. Sobald sich EU-Parlament und Rat auf ihre Positionen festgelegt haben, können die Trilogverhandlungen zwischen den EU-Organen starten.

Hintergrund:

Die EU-Kommission hatte am 23. Februar 2022 ihren Vorschlag für einen EU „Data Act“ vorgelegt. Das cep hat diesen Vorschlag in einer ausführlichen cepAnalyse Nr. 11/2022 untersucht.

Der Data Act gilt als wichtiger Baustein der der europäischen Datenstrategie, der den Austausch und der die europäische Datenwirtschaft entscheidend voranbringen soll. Er deckt eine ganze Reihe von Regelungsbereichen ab, die alle darauf abzielen, den Austausch und die Nutzung von Daten zwischen Unternehmen (B2B), zwischen Unternehmen und Verbrauchern (B2C) und zwischen Unternehmen und der öffentlichen Hand (B2G) zu verbessern. Zu den zentralen Vorschriften des Data Act gehört die Pflicht für Hersteller vernetzter Produkte wie Fahrzeuge, Haushaltsgeräte und Maschinen, den Nutzern dieser Produkte oder auf deren Verlangen auch Dritten die von dem vernetzten Produkt erzeugten Daten zur Verfügung zu stellen.

Dr. Anja Hoffmann, cep-Expertin für Binnenmarkt und digitale Wirtschaft