Der Data Act (DA)
Verordnung (EU) 2023/2854
Der Data Act (Verordnung zum fairen Zugang und zur Nutzung von Daten) harmonisiert die Regeln für den Zugriff auf und die Nutzung von (vor allem nicht-personenbezogenen) Daten im Europäischen Wirtschaftsraum (EWR).
Insbesondere enthält er dafür Datenzugangs- und Datennutzungsrechte in Zusammenhang mit vernetzten Produkten (sog. Internet-of-Things) oder verbundenen Diensten. Dadurch soll die Datenverfügbarkeit erhöht, die Daten leichter zugänglich und nutzbar gemacht und damit datengesteuerte Innovationen gefördert werden.
Er gilt
- für Hersteller vernetzter Produkte und Anbieter verbundener Dienste, wenn diese im EWR in Verkehr gebracht werden (unabhängig, wo der Hersteller/Anbieter seinen Sitz hat);
- für die Nutzer solcher vernetzter Produkte oder verbundener Dienste;
- für Dateninhaber, die Daten an Datenempfänger im EWR zur Verfügung stellen;
- Datenempfänger im EWR, wenn sie solche Daten erhalten;
- für nationale und europäische öffentliche Stellen, wenn sie Daten von Dateninhabern unter bestimmten Voraussetzungen verlangen;
- Anbieter von Datenverarbeitungsdiensten; und
- für Teilnehmer an Datenräumen und Anbieter von Anwendungen, die Smart Contracts verwenden.
Unter einem vernetzten Produkt versteht der Data Act Geräte, die über das Internet oder andere Netzwerke miteinander kommunizieren und Daten sammeln, senden oder empfangen; wie z.B. Smart-Home-Geräte, Connected Cars wie Elektrofahrzeuge, Smartwatches, Smart Farming Geräte in der Landwirtschaft wie Bodensensoren oder vernetzte Traktoren, Industriemaschinen oder Roboter in der Produktion, verfolgbare Container oder Paletten mit Sensoren, intelligente Strassenlaternen, digitale Preisschilder oder elektronische Türschlösser.
Ein verbundener Dienst bezieht sich auf eine Dienstleistung, die mit vernetzten Geräten und Systemen interagiert oder diese ergänzt. Solche Dienste sammeln, verarbeiten oder nutzen Daten, die von vernetzten Produkten/Geräten erzeugt werden, um den Nutzern einen Mehrwert zu bieten.
Kernpunkte des Data Acts sind:
1. Zugang zu Daten
Die Datenweitergabe von Unternehmen an Verbraucher und zwischen Unternehmen (B2B) soll reguliert werden, insbesondere soll sichergestellt werden, dass Nutzer von vernetzten Geräten und Diensten Zugang zu den von ihnen erzeugten Daten erhalten. Das bedeutet, dass zukünftig Unternehmen Daten nicht nur für sich behalten dürfen, sondern sie auch den Nutzern zur Verfügung stellen müssen. Zum Beispiel: Wer ein Gesundheitsüberwachungsgerät oder Industriemaschinen nutzt, hat Zugang zu den generierten Daten und kann sie für eigene Zwecke weiter-verwenden (z. B. Anpassung von Ernährungsgewohnheiten oder Wartungsvorhersagen).
Durch den Zugang von Kleinst- und Kleinunternehmen zu Daten soll zusätzlich die Datenwirtschaft in ihrer Gesamtheit gestärkt werden, um Innovationen zu fördern und neue Geschäftsmodelle zu ermöglichen.
Der Data Act enthält jedoch weiterhin Schutzklauseln, durch die sensible Informationen wie Geschäftsgeheimnisse geschützt bleiben, auch wenn Daten geteilt werden.
2. Faire Bedingungen für den Datenaustausch
Der Data Act legt fest, dass Bedingungen für den Datenaustausch zwischen Dateninhaber und Datenempfänger fair, angemessen und nichtdiskriminierend sein müssen. Es darf zwar eine angemessene Entschädigung für den Transfer von Daten verlangt werden; gegenüber Kleinstunternehmen, KMU und gemeinnützigen Forschungseinrichtungen dürfen jedoch nicht mehr als die Kosten für die Bereitstellung der Daten in Rechnung gestellt werden. Das dient dem Schutz kleinerer Unternehmen, da diese oft keinen gleichberechtigten Zugang zu solchen Daten haben.
3. Vermeidung von missbräuchlichen Vertragsklauseln
Der Data Act richtet sich gegen unfaire Vertragsbedingungen, insbesondere sollen einseitig auferlegte «Take-it-or-leave-it»-Bedingungen, die in der Regel kleinere Unternehmen benachteiligen, als missbräuchlich angesehen und verboten werden. Beispielsweise, wenn ein Unternehmen seine Marktmacht ausnutzt und seinem Vertragspartner die Nutzung der Daten, die von einem IoT-Gerät erzeugt werden, untersagt oder ihn verpflichtet, die gewonnenen Daten ausschliesslich für Produkte oder Dienstleistungen des Unternehmens als Datenanbieters zu nutzen.
4. Datenaustausch zwischen Unternehmen und Behörden
In Ausnahme- und Notfällen, wie etwa Naturkatastrophen, sollen Behörden Zugriff auf private Daten bzw. Daten von Unternehmen erhalten. Beispielsweise könnten Behörden bei Hochwassergefahr Echtzeit-Daten von Wetterstationen oder Pegelmessgeräten privater Unternehmen nutzen, um Evakuierungen zu planen. Ein finanzieller Ausgleich ist vorgesehen. Hierbei können Unternehmen zur Datenübermittlung verpflichtet werden. Kleinst- und Kleinunternehmen müssen Daten nur in bestimmten Fällen übermitteln. Generell gebührt den Unternehmen ein finanzieller Ausgleich für die Bereitstellung der Daten.
5. Interoperabilität und Datenportabilität
Der Data Act fördert weiters den reibungslosen Wechsel zwischen Datenverarbeitungsdiensten. Dabei werden etwa Transparenzpflichten bei Cloud-Verträgen oder offene Schnittstellen vorgeschrieben. Ab 12. Januar 2027 ist überdies die Erhebung von Wechselgebühren gänzlich verboten. Ebenso sollen harmonisierte Normen (standardisierte Datenformate) und offene Interoperabilitätsspezifikationen (APIs) vorgeschrieben werden.
Auswirkungen auf Liechtenstein
Der Data Act ist aufgrund der EWR-Mitgliedschaft für Liechtenstein relevant. Unternehmen in Liechtenstein sind demgemäss nach Übernahme des Rechtsakts in den EWR grundsätzlich zur Datenweitergabe verpflichtet bzw. stehen ihnen gleichzeitig ebenso die Zugangsrechte offen. Der Datenaustausch soll die Wirtschaft fördern und effektivere Prozesse ermöglichen.
Es sind verschiedene positive Auswirkungen zu erwarten. Insbesondere sind durch die bessere Datenverfügbarkeit von externen Daten Effizienzsteigerungen und Kostenreduktionen bei Unternehmen zu erwarten, weil Lieferketten verbessert, Marktanalysen präziser durchgeführt oder Produktionsprozesse optimiert werden können. Ebenso wird mit positiven Effekten im Bereich der Nachhaltigkeit gerechnet, da Ressourcen effektiver eingesetzt werden können, z.B. durch Reduzierung von Abfall oder Senkung des Energieverbrauchs, oder im Sinne der Kreislaufwirtschaft Produkte länger im Kreislauf gehalten, Reparaturen erleichtert oder Recyclingprozesse verbessert werden. Private erhalten zusätzlich mehr Kontrolle über ihre Daten oder Daten, die von ihren IoT-Geräten erzeugt werden, auch indem sie zwischen Daten- oder Cloud-Anbietern leichter wechseln können.
Der Data Act gilt grundsätzlich ab 12. September 2025. Die Pflichten in Zusammenhang mit vernetzten Produkten und mit ihnen verbundenen Diensten in Bezug auf den Datenzugang gelten ein Jahr später ab 12. September 2026. Die Bestimmungen zu missbräuchlichen Vertragsklauseln sind ab dem 12. September 2027 anwendbar. Unabhängig von der EWR-Übernahme sind die Vorgaben des Data Acts für Unternehmen aus Liechtenstein, die ihre Produkte in der EU in Verkehr bringen, verpflichtend («Marktortprinzip»).
Verordnungstext und Status EWR-Übernahme
Anpsrechperson
Dr. iur. Judith Sild