Data Act

Das neue EU-Datengesetz und Auswirkungen auf Unternehmen

15 Dez 2022

Im Februar 2022 hat die EU-Kommission den Entwurf eines neuen Datengesetzes vorgelegt, welches zum Ziel hat, im EU-Raum mehr Daten nutzbar zu machen. Dieser als „Data Act“ bezeichnete Entwurf soll unter anderem neue Wege für einen einfachen Wechsel zwischen Cloud-Anbietern beschreiten und auch die Basis für einen transparenten Zugang von Unternehmern zu ihren Daten schaffen. Der Data Act ist somit Teil einer Strategie zur Regelung einer digitalen Zukunft im EU-Raum, zu der auch die im Jahr 2017 in Kraft getretene Datenschutzgrundverordnung (DSGVO) gehört. Doch welche Bedeutung hat der Gesetzentwurf für Unternehmen in Deutschland und Europa und welche Risiken und Chancen ergeben sich hieraus?

Data Act sorgt für Transparenz und Vertrauen

Die EU-Kommission hat sich mit dem Data Act das Ziel gesetzt, mehr Eindeutigkeit und Transparenz in der Rechtslage in Sachen Datenaustausch und Datenzugriff zu ermöglichen. Die unklare Rechtslage war bislang das größte Problem, wenn es um die Pflichten der Offenlegung und Nutzung von personenbezogenen sowie unternehmerischen Daten ging. Hier möchte der Data Act jetzt klare Vorgaben darüber aufstellen, wer und unter welchen Voraussetzungen auf Daten zugreifen und diese weitergeben und/oder verarbeiten darf. Mit dem aktuellen Gesetzentwurf plant die EU-Kommission, die Rechte und Pflichten von Dateninhabern und Anbietern exakt zu definieren, wodurch mehr Vertrauen und vor allen Dingen Rechtssicherheit geschaffen werden soll. Unternehmen und Verbrauchern sollen mehr Kontrolle über ihre Dateninfrastrukturen eingeräumt werden.

Anwendung des Data Acts in der Praxis widersprüchlich

Der Data-Act-Entwurf soll mit seinen Regelungen sowohl auf Hersteller von vernetzten Produkten als auch auf Anbieter von digitalen Dienstleistungen und darüber hinaus auf deren Nutzer anwendbar sein. Das Gesetz erfasst Anbieter und Nutzer, die Daten austauschen, die einen Sitz in der EU haben, aber erstmals auch Datenverarbeitungsdienste, die im außereuropäischen Raum ansässig sind und ihre Services ihren Kunden in der Europäischen Union anbieten.

Der Anwendungsbereich bezieht sich jedoch – und das scheint etwas widersprüchlich zu sein – ausschließlich auf physische Produkte, die mittels ihrer implementierten Funktionen Daten aggregieren und diese über einen Kommunikationsdienst übermitteln. Vom Anwendungsbereich ausgenommen sind jedoch beispielsweise Smartphones und Tablet-PCs, die vorrangig zur Anzeige von Inhalten oder zur Übertragung von Inhalten an Online-Dienste eingesetzt werden. Aber gerade in diesen Fällen dürften erfahrungsgemäß große Datenmengen erzeugt werden. In der Praxis könnte dies bedeuten, dass etwa ein WLAN-Radio, welches Daten über die Hörgewohnheiten seines Besitzers generiert, vom Data Act erfasst werden würde, wogegen ein Streaming-Anbieter außen vor bliebe.

Umsetzung und Auswirkungen auf deutsche Unternehmen

Mit der Einführung des Data Acts stehen Unternehmen vor der Problematik zu beurteilen, ob ihre Produkte und Dienstleistungen vom Anwendungsbereich umfasst sind. Allein aus diesem Grund ist es geboten, sich bereits jetzt mit dieser Thematik auseinanderzusetzen. Gerade wegen der Vielzahl an Produkten mit Möglichkeiten der Datenverarbeitung und -übermittlung und der mitunter nur geringen Unterscheidbarkeit wird die Beurteilung des zutreffenden Anwendungsbereichs schwierig sein.

Eines der Kernziele des Data-Act-Entwurfs soll es sein, eine sinnvolle Bewertung der Daten zu erreichen. Hier sieht das Gesetzesvorhaben eine Privilegierung von kleinen und mittleren Unternehmen vor. Diese sollen nämlich von der geplanten Regelung ausgenommen werden. Zu diesen Unternehmensgrößenordnungen zählen Firmen, die höchstens 49 Mitarbeiter haben und einen maximalen Jahresumsatz von zehn Millionen Euro erwirtschaften oder über eine Bilanzsumme von höchstens zehn Millionen Euro verfügen.

Es ist bereits absehbar, dass die Auswirkungen dieser geplanten Privilegierung immens sein werden, denn allein in Deutschland zählen etwa 99,4 Prozent aller Unternehmen zu den gemäß dieser Definition kleinen oder mittelgroßen Unternehmen. Somit würden sehr viele Firmen dieser Größenordnung von den Regelungen des Data Acts ausgenommen werden, während lediglich größere Unternehmen in der Pflicht zur Einhaltung des Gesetzes stehen.

Für junge Start-ups, aber auch für kleine bis mittelgroße Unternehmen bieten sich mit dem Data Act eine Reihe von neuen datenbasierten Geschäftsmodellen. Dies setzt allerdings voraus, dass diese Firmen ihren Nutzern so viel Mehrwert bieten, dass diese ihre anderweitig generierten Daten für neue Anwendungen zur Verfügung stellen. Unternehmen, die Dienste von Cloud-Providern nutzen, soll es erleichtert werden, mit ihren Unternehmensdaten problemlos zu anderen Cloud-Anbietern wechseln können. Viele Anbieter von Managed-Cloud-Diensten ermöglichen dies schon heute mit nur wenigen Klicks.

Wechsel zwischen Cloud-Anbietern soll vereinfacht werden

Bisher gestaltete sich der Wechsel von Edge-, Cloud- oder anderen datenverarbeitenden Diensten aufgrund technischer, wirtschaftlicher oder organisatorischer Barrieren meist schwierig. Oft wurde ein solches Vorhaben durch einengende Verträge erschwert. Zudem verzichten viele Nutzer auf einen Wechsel des Cloud-Anbieters, da eine durchgehende Serviceverfügbarkeit und Zugriff auf die Daten während des Wechsels nicht gewährleistet werden konnte und dies meist auch mit erheblichen Anpassungen auf Unternehmensseite verbunden war. Dies soll mit Inkrafttreten des Data Acts wesentlich vereinfacht werden, um mit der Stärkung des EU-Datenmarktes mehr Wettbewerb zu fördern.

Ausblick und Fazit

Je mehr Daten zwischen Anwendungen fließen, umso besser können Unternehmen ihre Services und Produkte an die Bedürfnisse ihrer Nutzer anpassen. Wenn mit Einführung des Data Acts dafür gesorgt wird, dass Cloud-Lösungen die Daten ihrer Nutzer verarbeiten können, stehen die Chancen dafür gut, dass Unternehmen zukünftig neuen gesellschaftlichen Mehrwert produzieren können. Dafür ist aber ein möglichst baldiges Inkrafttreten des Data Acts vonnöten, denn die Industrie steht schon in den Startlöchern: Laut Studien von KPMG und BITKOM Research setzen bereits acht von zehn Firmen auf die Cloud.

Damit die europäische Datenwirtschaft mit den führenden Tech-Industrien in aller Welt mithalten kann, muss der Data Act entsprechend konzipiert sein. Gleichzeitig muss natürlich weiterhin ein hoher Datenschutz-Level eingehalten werden, damit die Nutzer auch in Zukunft die Kontrolle über ihre personengebundenen Daten behalten.