Data Governance Act (DGA)

Worum geht's?

Sie nutzen auf Ihrer Website oder in Ihrem Onlineshop Daten aus dem Besitz öffentlicher Stellen oder sind Anbieter eines Datenmarktplatzes? Dann sollten Sie den Data Governance Act kennen. Denn dieser legt Regeln für die Nutzung solcher Daten fest und gilt bereits seit einiger Zeit. Lesen Sie bei uns, was genau der DGA regelt und was für Sie wichtig ist.

1. Was ist der Data Governance Act?

Der Daten Governance Rechtsakt (kurz: DGA) ist eine Verordnung der Europäischen Union und eine Säule der Europäischen Datenstrategie, die aus insgesamt fünf Verordnungen besteht. Er ist bereits am 23. Juni 2022 in Kraft getreten.

Ziel und Hintergrund der sogenannten Europäischen Datenstrategie in Form des DGA ist die Schaffung eines Rahmens dafür, den Datenaustausch im europäischen Binnenmarkt zu verbessern, um die Werte aus den Daten optimal zu schöpfen (“Förderung der Wertschöpfung”).

Das soll erreicht werden, indem die EU die Bedingungen für die Verfügbarkeit, Nutzung und gemeinsame Verwendung von Daten - und das insbesondere für Zwecke der Forschung - verbessert. Dabei soll der DGA den europäischen Markt im Bereich datengestützter Innovationen wettbewerbsfähiger machen. Gleichzeitig will die EU das Vertrauen in den Datenaustausch stärken.

2. Was regelt der DGA genau?

Das sind die zentralen Inhalte des DGA, um diese Ziele konkret umzusetzen:

Weiterverwendung bestimmter Kategorien von Daten im Besitz öffentlicher Stellen

Öffentliche Stellen besitzen zahlreiche geschützte Daten, die sie nicht weitergeben dürfen. Dazu gehören geschäftliche Daten, nach geistigem Eigentum geschützte Daten und personenbezogene Daten. Der Zugang zu diesen Daten öffentlicher Stellen soll erleichtert werden.

Maßnahmen im Detail: Do's und Don'ts für öffentliche Stellen

• Öffentliche Stellen müssen geschützte Daten sichern, z. B. durch Anonymisierung, Aggregation und sichere Bereitstellungsverfahren.
• Sie dürfen die Daten nicht ausschließlich an ausgewählte Akteure weitergeben und so den Wettbewerb verhindern. Zwar gibt es hiervon Ausnahmen, wenn ein öffentliches Interesse besteht. Der DGA benennt diese aber konkret und abschließend.
• Sie müssen die Weiterverwendung von Daten transparent machen und dürfen dabei nicht diskriminieren.
• Sie müssen technisch-organisatorische Maßnahmen ergreifen, um eine Wiedererkennung der Personen zu verhindern, die Inhaber der personenbezogenen Daten sind.
• Sie müssen diese bei Datenpannen über den Verlust der personenbezogenen Daten informieren. Auch juristische Personen müssen sie über die missbräuchliche Nutzung von nicht-personenbezogenen Daten in Kenntnis setzen.
• Sie müssen mit denjenigen Verträge schließen, die die Daten weiterverwenden. Diese müssen sich darin verpflichten, die Daten zu schützen, sofern sie sie in Drittstaaten übermitteln möchten. Das betrifft vertrauliche Daten und Daten mit Rechten am geistigen Eigentum.
• Sie müssen ihre Daten an eine “Zentrale Informationsstelle” geben. Diese Stellen müssen die Mitgliedstaaten extra dafür einrichten, dass Interessenten einen leichteren Zugang zu den Daten haben. Die Kommission hat zu dem Zweck das durchsuchbare europäische Register für geschützte Daten im Besitz des öffentlichen Sektors (ERPD) eingerichtet.
• Sie haben für Anträge auf Wiederverwendung bis zu zwei Monate Zeit.
• Sie dürfen angemessene Gebühren verlangen, wenn Sie die Weiterverwendung genehmigen. Sie können die Gebühren senken oder ausschließen, wenn es um die Weiterverwendung von Daten für die wissenschaftliche Forschung (und weitere nichtkommerzielle Zwecke) oder für KMUs und Start-Ups geht.

Datenvermittlungsdienste

Das DGA legt Regeln für die gemeinsame Datennutzung durch sogenannte Datenvermittlungsdienste (auch: “Datenintermediäre”) fest, um die Datenweitergabe für den Wettbewerb zu optimieren. Das sind solche Dienste, die Dateninhaber mit Datennutzern zusammenbringen, um gemeinsam geschäftlich Daten zu teilen, z. B. Datenpools oder Marktplätze für Daten.

Maßnahmen im Detail: Do's und Don'ts für Datenvermittlungsdienste

• Datenvermittlungsdienste müssen neutral sein, dürfen die Daten also nicht zu eigenen anderen Zwecken nutzen.
• Sie müssen faire Preise aushandeln.
• Sie müssen sich in der EU anmelden bzw. einen Vertreter benennen, wenn sie nicht in der EU sitzen. Die EU-Kommission führt zu diesem Zweck ein zentrales Register anerkannter Datenvermittler, in dem alle anerkannten Datenintermediäre aufgeführt sind. Die Mitgliedstaaten müssen eine Behörde benennen, die für die Anmeldung zuständig ist.

Übrigens: Deutschland hat diese Vorgabe umgesetzt und als zuständige Behörde für die Anmeldung von Datenintermediären die Bundesnetzagentur benannt. Im zentralen Register ist aktuell ein anerkannter Datenvermittler aus Deutschland aufgeführt.

Datenaltruismus

Durch “Datenaltruismus” sollen Einzelpersonen und Unternehmen ihre Daten einfacher für bestimmte Zwecke im allgemeinen Interesse teilen können. Diese Zwecke sind z. B.

• Forschung
• Bekämpfung des Klimawandels
• Verbesserung öffentlicher Dienstleistungen

Der DGA soll in erster Linie gewährleisten, dass die Personen und Unternehmen sicher sein können, dass ihre Daten nach den Werten und Grundsätzen der EU behandelt werden.

Maßnahmen im Detail: To-Do's für Einrichtungen, die an solchen Daten interessiert sind

• Einrichtungen, die an diese Daten gelangen möchten, müssen sich als “datenaltruistische Organisation” eintragen lassen.
• Sie müssen immer transparent agieren und berichten.
• Sie müssen Betroffene umfassend über Zwecke, Orte etc. der Datenverarbeitung informieren.
• Sie müssen technische Sicherheitsmaßnahmen zum Schutz der Daten schaffen. Dazu erhalten sie ein entsprechendes Regelwerk zum Datenaltruismus.
• Sie müssen sich in das Register anerkannter Datenaltruismus-Organisationen der Europäischen Kommission eintragen lassen, damit sich Interessierte darüber informieren können.

Europäischer Innovationsrat für Daten

Die EU hat den Europäischen Innovationsrat für Daten (European Data Innovation Board, EDIB) eingerichtet, um den Datenaustausch in Bezug auf die oben genannten Maßnahmen zu vereinfachen und Leitlinien für angemessenen Datenschutz vorzuschlagen. Mitglieder sind Vertreter verschiedener Einrichtungen. Beispiele:

• in den Mitgliedstaaten zuständige Behörde für Datenübermittlung
• in den Mitgliedstaaten zuständige Behörde für Datenaltruismus
• Europäischer Datenschutzbeauftragter

Internationale Datenströme

Die Europäische Datenstrategie hat das Ziel eines offenen, durchsetzungsfähigen Ansatzes für den internationalen Datenfluss. Der DGA regelt dabei aber gleichzeitig den Schutz der Daten. Dafür gibt es auch Garantien im Zusammenhang mit nicht-personenbezogenen Daten.

Diese ähneln den Garantien für personenbezogene Daten nach der DSGVO: Hierzu gehören etwa, dass

• bei Datenverwendungen im Drittland ein angemessenes Schutzniveau vergleichbar mit dem innerhalb der EU zu gewährleisten ist oder
• die Kommission Angemessenheitsbeschlüsse und Mustervertragsklauseln erlassen kann.

3. Welche neuen Pflichten ergeben sich für Unternehmer, Webseitenbetreiber und Online-Shops?

Wenn Sie als Unternehmen einen Marktplatz für Daten oder einen Datenpool betreiben, müssen Sie die Pflichten des Data Governance Act (DGA) beachten. Als sonstiger Unternehmer, Websitebetreiber und Online-Shop sind Sie vom DGA betroffen, sofern Sie Daten nutzen möchten, die dem öffentlichen Sektor angehören.

Sie müssen dann die oben genannten rechtlichen und technischen Vorgaben einhalten, um an die Daten zu gelangen. Nutzen Sie diese, müssen Sie Anforderungen an den Datenschutz und die Datensicherheit beachten. Dazu gehört insbesondere, dass Sie die Rechte Dritter, wie Geschäftsgeheimnisse, und die geistigen Eigentumsrechte der Betroffenen beachten.

Als Betreiber eines Datenmarktplatzes müssen Sie sich zudem bei der zuständigen Behörde anmelden. Außerdem müssen Sie transparente Prozesse etablieren, aus denen deutlich wird, wie Sie mit den geschützten Daten umgehen.

4. Wann müssen Sie die neuen Pflichten umsetzen?

Die Pflichten des Data Governance Act DGA müssen Sie bereits seit dem 24. September 2023 beachten. Seitdem gilt die Verordnung unmittelbar, das heißt, es schadet nicht, wenn die Mitgliedstaaten sie noch nicht (vollständig) in nationales Recht umgesetzt haben. Wenn Sie am 23. Juni 2022 Datenvermittlungsdienste anbieten, müssen Sie die Verpflichtungen ab dem 24. September 2025 einhalten (Art. 37 DGA).

5. Welche Strafen drohen, wenn Sie sich nicht an das neue DGA halten?

Die Mitgliedstaaten werden in Art. 34 DGA verpflichtet Vorschriften über Sanktionen zu erlassen, die sie bei Verstößen gegen den DGA verhängen. Nach Art. 14 Abs. 4 DGA sollen abschreckende Geldstrafen gegen Datenvermittlungsdienste möglich sein. Was das konkret bedeutet, ist unklar, denn die Mitgliedstaaten sind mit der Umsetzung im Verzug.

6. Fazit

Der DGA ist insbesondere für Datenintermediäre und öffentliche Stellen relevant. Das Ziel, den Zugang und Austausch von Daten zu erleichtern, kann durch die Pflichten erfüllt werden. Da sie sehr umfangreich sind, könnten die Regeln aber auch einen Abschreckungseffekt haben. Dafür spricht, dass sich zum Beispiel bisher fast keine interessierten Einrichtungen registriert haben.

• Zurück zur Übersicht: "Datenschutz"
• Recht auf informationelle Selbstbestimmung (Grundgesetz)
• BDSG-neu
• Kopplungsverbot
• ePrivacy Verordnung
• Privacy Shield (nicht mehr gültig!)
• TMG
• TDDDG (ehemals TTDSG)
• EU-US Data Privacy Framework
• Hinweisgeberschutzgesetz
• Digital Service Act - EU-Gesetz über digitale Inhalte
• Digitale Dienste Gesetz (DDG)