Neue Datenzugangsrechte Wie man sich auf den EU Data Act vorbereitet

Anbieter zum Thema

netfiles GmbH

Insider Research

STACKIT GmbH & Co. KG

Ab September 2025 müssen die Vorgaben des Data Acts der EU umgesetzt werden. Dazu müssen insbesondere die Strategien für den Datenzugang überprüft werden. Es stellt sich dabei die Frage, wie Datenzugänge nach Data Act und gleichzeitig nach Datenschutz-Grundverordnung (DSGVO) gewährleistet werden können. Gibt es Widersprüche oder Synergien? Wir geben einen Überblick.

Neue Regulierungen haben so einiges gemeinsam: Kurz vor ihrer Anwendbarkeit besteht immer noch Rechtsunsicherheit, viele Unternehmen haben noch nicht mit der Umsetzung begonnen oder wissen gar nicht, was zu tun ist oder ob sie betroffen sind. Beim Data Act der EU ist das Datum, ab wann die Vorgaben umgesetzt sein müssen, schon sehr nahe: 12. September 2025.

Doch die große Mehrheit der Unternehmen hat sich damit noch überhaupt nicht beschäftigt, wie eine Bitkom-Umfrage zeigte. Nur ein Prozent der Unternehmen hat demnach die Vorgaben vollständig umgesetzt, weitere vier Prozent zumindest teilweise. Zehn Prozent haben laut Bitkom gerade erst mit der Umsetzung begonnen, 30 Prozent haben noch nicht damit angefangen. Mehr als die Hälfte (52 %) glaubt, dass sie vom Data Act nicht betroffen ist. Das ist aber ein Irrtum.

„Der Data Act betrifft so gut wie jedes Unternehmen, aber die meisten haben sich damit noch gar nicht ernsthaft befasst“, sagte Bitkom-Präsident Dr. Ralf Wintergerst. „Beim Data Act darf sich das Drama der Datenschutz-Grundverordnung nicht wiederholen“.

Kommentar von Daniel Esser, Qunis

Der EU Data Act – warum Unternehmen mehr als nur juristische Compliance brauchen

Doch nicht nur die Rechtsunsicherheit beim Data Act erinnert an die DSGVO, auch der Gegenstand der Regulierung zeigt Überschneidungen, es geht um den Zugang zu Daten: Der Data Act ist ein Regelwerk für den Datenzugang und die Datennutzung, das den Schutz der Grundrechte achtet und weitreichende Vorteile für die europäische Wirtschaft und Gesellschaft bietet, so die EU-Kommission. Der Data Act soll die Verfügbarkeit von Daten – insbesondere von Industriedaten – erhöhen und datengesteuerte Innovationen bei gleichzeitiger Gewährleistung einer fairen Verteilung des Datenwerts auf alle Akteure der Datenwirtschaft fördern.

Datenzugang zwischen DSGVO und Data Act

Auf den ersten Blick scheint der Data Act den Datenzugang weiter machen zu wollen, während die DSGVO den Datenzugang beschränken will. Doch der Widerspruch ist nur scheinbar. So erklärt die EU-Kommission: Die Datenschutz-Grundverordnung (DSGVO) findet uneingeschränkt auf alle Verarbeitungstätigkeiten personenbezogener Daten Anwendung, auch für solche nach dem Data Act.

In einigen Fällen präzisiert und ergänzt der Data Act die DSGVO (z. B. Echtzeit-Portabilität von Daten aus Internet-of-Things (loT)-Objekte), so die EU-Kommission. In anderen Fällen schränkt das Datenschutzgesetz die Weiterverwendung von Daten durch Dritte ein. Im Falle eines Konflikts zwischen der DSGVO und dem Data Act gilt die DSGVO zum Schutz personenbezogener Daten.

Deadline: 12. September

Cloud Switching ohne Hindernisse

Was aber besagt der Data Act grundsätzlich zum Datenzugang, welcher Leitgedanke steckt dahinter? Der Data Act gibt Nutzern vernetzter Produkte (Unternehmen oder Einzelpersonen, die ein solches Produkt besitzen, leasen oder mieten) eine größere Kontrolle über die von ihnen generierten Daten, während Anreize für diejenigen, die in Datentechnologien investieren, erhalten bleiben. Darüber hinaus werden allgemeine Bedingungen für Situationen festgelegt, in denen ein Unternehmen gesetzlich verpflichtet ist, Daten an ein anderes Unternehmen oder öffentliche Stellen weiterzugeben.

Die EU-Kommission betont: Der Data Act steht in vollem Einklang mit den Datenschutzvorschriften, insbesondere der DSGVO. Ist der Nutzer nicht die betroffene Person, deren Daten angefordert werden, können personenbezogene Daten nur dann zur Verfügung gestellt werden, wenn eine gültige Rechtsgrundlage (zum Beispiel Einwilligung) vorliegt. Dies ist eine wichtige Überlegung, da die gemeinsam generierten Daten oft sowohl personenbezogene als auch nicht personenbezogene Daten enthalten, die möglicherweise schwer zu trennen sind, so die EU-Kommission.

Digitalstrategien nach Data Act und DSGVO

Offensichtlich können zumindest die Bedenken von Unternehmen zerstreut werden, die ihre Daten- und Digitalstrategie nach DSGVO ausgerichtet hatten und nun fürchten, die Datenzugänge zu personenbezogenen Daten jetzt auch noch nach dem Data Act organisieren zu müssen, womöglich mit Widersprüchen.

Die EU-Kommission gibt auch Beispiele zu Datenzugängen nach Data Act: Das Datengesetz gibt Einzelpersonen und Unternehmen das Recht, auf die Daten zuzugreifen, die durch ihre Nutzung intelligenter Objekte, Maschinen und Geräte erzeugt werden. Nutzer verbundener Produkte können sich dafür entscheiden, diese Daten mit Dritten zu teilen. Dies wird es Aftermarket-Dienstleistern (z. B. Reparaturdienstleistern) ermöglichen, ihre Dienstleistungen zu verbessern und zu erneuern.

Datennutzung versus Datenschutz

Kommt jetzt die Kehrtwende im Datenschutz?

Dem steht der Datenschutz nicht entgegen, bei Personenbezug findet die DSGVO Anwendung. „Datennutzbarkeit und Datenschutz schließen einander nicht aus“, sagt auch die Bundesdatenschutzbeauftragte. Die Landesbeauftragte für den Datenschutz in Sachsen-Anhalt Maria Christina Rost erklärt dies so: „Der Datenschutz ist Garant für eine datenschutzkonforme Datennutzung“.

Dennoch besteht Handlungsbedarf, denn der Data Act schafft neue Möglichkeiten für den Datenzugang. Unternehmen und Behörden müssten sich nun der herausfordernden Aufgabe stellen, den Zugang zu Daten zu gewähren und dabei die Datenschutzbestimmungen einzuhalten, so der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit. Wer die Chancen aus dem Data Act für sich nutzen wolle, sollte sich mit den Zugangsansprüchen auseinandersetzen. Wer künftig den Pflichten des Rechtsakts Data Act unterliegt, müsse sich auf Zugangsanträge vorbereiten und Strategien für den Schutz personenbezogener Daten und Geschäftsgeheimnisse entwickeln.

Dabei lässt die Datenschutzaufsicht aus Hamburg die Unternehmen und Behörden aber nicht allein und hat eine Handreichung zum Data Act veröffentlicht. Eine der Kernaussagen für das Zusammenwirken von DSGVO und Data Act ist: „Nach der Zielrichtung des Data Acts sind grundsätzlich alle Arten von Daten unter Umständen mit Dritten zu teilen, personenbezogene Daten jedoch nur, wenn das Datenschutzrecht dem nicht entgegensteht. In vielen Fällen wird es aber an einer Rechtsgrundlage für die Herausgabe personenbezogener Unternehmensdaten fehlen. Daher betreffen die Kernpflichten des Data Acts faktisch überwiegend nichtpersonenbezogene Daten.“

Startschuss für Auditor

DSGVO-Zertifizierung speziell für Cloud-Dienste verfügbar

Datenschutz-Organisation hilft dem Data Act

Trotzdem sollte man seine Maßnahmen für den Datenschutz nicht beiseiteschieben, wenn es um die Umsetzung des Data Acts geht. Vielmehr helfen Maßnahmen aus dem Datenschutz bei der Umsetzung des Data Acts sogar. Wer für den Datenschutz Transparenz über seine Daten gewonnen hat und auch ein Verfahrensverzeichnis erstellt hat, kann diese Visibilität und die Prozesse zur Erfassung, Dokumentation und Kontrolle der Verfahren auf den Bereich der nichtpersonenbezogenen Daten übertragen.

Der Datenschutz ist letztlich also kein Hindernis, sondern sogar eine Hilfe für den Data Act, er muss natürlich beachtet werden, aber er liefert Vorgehensmodelle und Prozesse, wie man mit der Prüfung von Daten und Datenzugängen umgehen sollte. Auch hier geht es darum, Synergien zu nutzen und doppelte Überlegungen und Strukturen zu vermeiden.

Definition: Der Schlüssel zu Datenschutz und Compliance

Was sind Souveräne Clouds?

(ID:50505994)