Der Data Act - Daten für alle?

Am 12. September 2025 wird der Data Act der EU wirksam. Es steht zu
befürchten, dass viele Unternehmen darauf kaum vorbereitet sind. In
Episode 142 des c't-Datenschutz-Podcasts diskutieren Holger und
Joerg mit Carolin Loy vom Bayerischen Landesamt für
Datenschutzaufsicht über die weitreichenden Folgen der neuen
Verordnung. Der Data Act soll Datensilos aufbrechen und Nutzern
Zugang zu Daten verschaffen, die bei der Verwendung vernetzter
Geräte entstehen, vom Auto über die Kaffeemaschine bis zur
Solaranlage. Bisher kontrollieren viele Hersteller diese Daten
exklusiv. Künftig müssen sie sie auf Verlangen herausgeben, auch an
Dritte. Die EU-Kommission erhofft sich davon jährlich bis zu 200
Milliarden Euro zusätzliches Wirtschaftswachstum durch neue
datenbasierte Geschäftsmodelle. Die praktische Umsetzung stellt
Unternehmen vor massive Probleme. Sie müssen ab sofort
Datenlizenzverträge mit Nutzern schließen und Schnittstellen zur
Datenherausgabe schaffen. Die von der EU-Kommission versprochenen
Mustervertragsklauseln existieren zehn Tage vor dem Stichtag nur
als Entwurf. "Das schadet vor allem denjenigen, die das Gesetz
anwenden müssen", kritisiert Loy die mangelhafte Vorbereitung.
Besonders komplex stellt sich die Abgrenzung von personenbezogenen
und nicht-personenbezogenen Daten dar. Bei personenbezogenen Daten
greift weiterhin die DSGVO mit Vorrang. Das heißt, Unternehmen
benötigen eine Rechtsgrundlage für die Herausgabe. Dies führt zu
einem Dilemma: Verweigern sie die Herausgabe mangels
Rechtsgrundlage, verstoßen sie möglicherweise gegen den Data Act.
Geben sie Daten ohne Rechtsgrundlage heraus, verletzen sie die
DSGVO. Weitere Unsicherheit schafft die fehlende Aufsichtsstruktur.
Deutschland hat noch keine zuständige Behörde für
nicht-personenbezogene Daten benannt. Ein Referentenentwurf vom
Jahresanfang sah die Bundesnetzagentur vor, für personenbezogene
Daten sollte die Bundesbeauftragte für Datenschutz zentral
zuständig sein, was die föderale Aufsichtsstruktur der
Datenschutzaufsicht aushebeln würde. Nach der vorgezogenen
Bundestagswahl im Februar wurde der Entwurf der damaligen
Ampelkoalition obsolet, ein neuer liegt noch nicht vor. Die
Expertin Loy empfiehlt Unternehmen dringend, ihre Datenbestände zu
analysieren und zwischen personenbezogenen und anderen Daten zu
trennen. Sie müssen Informationspflichten nach dem Data Act
erfüllen und Verträge vorbereiten. Im Zweifel rät sie, vom
Personenbezug auszugehen und Herausgabeanfragen zunächst kritisch
zu prüfen. Während die Diskutanten die Grundidee des Data Acts –
mehr Datenzugang und Wettbewerb – durchaus begrüßen, kritisieren
sie die Umsetzung. Gerade der Mittelstand sei mit der Flut neuer
Digitalgesetze völlig überfordert, moniert Joerg. Die komplexe
Verzahnung mit der DSGVO schaffe mehr Rechtsunsicherheit als
Klarheit.