Weitere Fragen und Antworten

Rohdaten, vorverarbeitete Daten und Metadaten sind vom Data Act umfasst. Rohdaten werden ohne eine Form der Weiterverarbeitung automatisch generiert. Vorverarbeitete Daten werden vor der Auswertung aufbereitet, um sie verständlich und nutzbar zu machen. Dies kann beispielsweise die Umrechnung in verständlichere Größeneinheiten oder Plausibilisierungen einschließen. Metadaten beschreiben generierte Daten und machen diese verständlicher, indem diese mit Zusatzinformationen angereichert werden (beispielsweise Angabe der Einheit oder Zeitstempel).

Vom Data Act umfasst sind beispielsweise Daten, die von einem einzelnen Sensor oder einer Gruppe von Sensoren gesammelt werden wie Temperatur, Druck, Durchflussrate, Audio, pH-Wert, Flüssigkeitsstand, Position, Beschleunigung oder Geschwindigkeit.

Nicht vom Data Act eingeschlossen sind abgeleitete Daten. Dies sind hochgradig angereicherte Daten, die eine Herleitung/Ableitung von Informationen ermöglichen, die das Ergebnis zusätzlicher Investitionen des Dateninhabers sind, insbesondere durch die Anwendung komplexer Algorithmen, die möglicherweise auch Rechten des geistigen Eigentums unterliegen können. Diese Daten müssen nicht herausgegeben werden.

Geschäftsgeheimnisse werden vom Data Act geschützt. Auch wenn von der Datenbereitstellungspflicht des Data Act grundsätzlich auch Geschäftsgeheimnisse erfasst sind, wird deren Schutz nicht aufgehoben. Die im Data Act verankerte „Handbremse für Geschäftsgeheimnisse“ ist ein Mechanismus zum Schutz von Geschäftsgeheimnissen und gibt Bedingungen vor, unter denen ein Dateninhaber in Ausnahmefällen Geschäftsgeheimnisse zurückhalten, aussetzen oder ihre Weitergabe verweigern kann.

An den bestehenden gesetzlichen Bestimmungen zum Schutz von Geschäftsgeheimnissen ändert sich durch den Data Act nichts. Es gilt weiterhin uneingeschränkt die Richtlinie (EU) 2016/943 über den Schutz vertraulichen Know-hows und vertraulicher Geschäftsinformationen, die in Deutschland durch das Gesetz zum Schutz von Geschäftsgeheimnissen (GeschGehG) umgesetzt wurde. Danach ist ein Geschäftsgeheimnis eine Information, die

• weder allgemein bekannt, noch ohne Weiteres zugänglich ist und daher einen wirtschaftlichem Wert besitzt,
• durch angemessene Geheimhaltungsmaßnahmen durch den Inhaber geschützt wird, und
• bei der ein berechtigtes Interesse an der Geheimhaltung besteht.

Mit der Handbremse für Geschäftsgeheimnisse gehen verschiedene Rechte und Pflichten einher, insbesondere:

• Dateninhaber müssen Geschäftsgeheimnisse bereits vorvertraglich identifizieren und benennen. Eine nachträgliche Einstufung von Daten als Geschäftsgeheimnis ist generell nicht vorgesehen.
• Ein Dateninhaber hat das Recht, vor der Offenlegung seiner Daten von Nutzern und Dritten zu verlangen, dass sie die Vertraulichkeit von Geschäftsgeheimnissen wahren, indem sie erforderlichen technischen und organisatorischen Maßnahmen (TOMs) zustimmen und diese umsetzen. Als Maßnahmen können sich beispielsweise Mustervertragsklauseln, Vertraulichkeitsvereinbarungen, strenge Zugangsprotokolle, technische Normen oder Verhaltenskodizes eignen. Eine Weigerung der Datenbereitstellung ist nur im Ausnahmefall möglich, beispielsweise wenn keine Vereinbarung getroffen wird oder Nutzer/Dritte die vereinbarten TOMs nicht umsetzen. Die Mechanismen zum Schutz von Geschäftsgeheimnissen dürfen nicht missbräuchlich genutzt werden, um den Datenzugang unverhältnismäßig einzuschränken.
• Der Dateninhaber kann die Herausgabe beziehungsweise Weitergabe von Geschäftsgeheimnissen auch verweigern, wenn ein objektiver Nachweis dafür erbracht wird, dass die Offenlegung seiner Geschäftsgeheimnisse mit hoher Wahrscheinlichkeit einen schweren wirtschaftlichen Schaden zur Folge hätte. Demnach müsste für den Dateninhaber ein schwerer und nicht wiedergutzumachender wirtschaftlicher Verlust entstehen.

Sofern Daten zurückgehalten, ausgesetzt oder die Weitergabe verweigert wird, muss die Entscheidung des Dateninhabers einerseits gegenüber Nutzern/Dritten begründet werden und andererseits die zuständige Behörde hierüber benachrichtigt werden. Für Dateninhaber, die ihre Hauptniederlassung in Deutschland haben, ist die Bundesnetzagentur als zuständige Behörde benannt.

Die Datenzugangsansprüche des Data Act gelten gleichermaßen für nicht-personenbezogene Daten und für personenbezogene Daten. Die Verarbeitung personenbezogener Daten unterliegt dabei den bekannten Vorschriften der Datenschutz-Grundverordnung. Sofern personenbezogene Daten betroffen sind, muss also beispielsweise im Zuge eines Herausgabeverlangens eine gültige Rechtsgrundlage gemäß Artikel 6 DSGVO für die Verarbeitung personenbezogener Daten vorliegen. Eine solche liegt jedenfalls vor, wenn der die Bereitstellung verlangende Nutzer und die datenschutzrechtlich betroffene Person identisch sind. Handelt es sich bei dem Nutzer nicht um die betroffene Person, so bietet der Data Act keine Rechtsgrundlage für die Gewährung des Zugangs zu personenbezogenen Daten oder für deren Bereitstellung an Dritte.