Data Act: Folgenabschätzung veröffentlicht

Am 28.05.2021 veröffentlichte die EU-Kommission die Folgenabschätzung zum Data Act. Der Data Act wurde bereits in der Datenstrategie vom Februar 2020 angekündigt. Die EU-Kommission plant den Verordnungsvorschlag in der zweiten Jahreshälfte 2021 zu präsentieren. Parallel zur Folgenabschätzung wurde eine Konsultation geöffnet. Bis zum 25.06.2021 haben Stakeholder Zeit, der EU-Kommission ihren Input zugeben.

Die EU-Kommission schlägt die folgenden Policy-Optionen vor, die vom Data Act adressiert werden können (aber nicht müssen):

Verbesserter Zugang zu Daten des privaten Sektors für den öffentlichen Sektor

• Der Data Act könnte einen flexibleren Rahmen für Anforderungen, Transparenzanforderungen und Schutzmaßnahmen für den Datenzugriff B2G enthalten.
• Der Data Act könnte sowohl den Ad-hoc- als auch den regelmäßigeren Zugang zu und die Nutzung von solchen Datenquellen abdecken, die aufgrund ihrer Größe und ihres Volumens keiner Meldepflicht unterliegen können (Big Data) und die besser nur für bestimmte Anwendungsfälle genutzt werden.
• Schaffung von Vermittlungsstrukturen, die die Nachfrage bündeln und öffentliche Stellen, die an bestimmten Daten interessiert sind, sowie Dateninhaber des privaten Sektors zusammenbringen.
• Eine weitere Möglichkeit wäre ein Recht des öffentlichen Sektors auf Zugang zu privat gehaltenen Daten für eine Reihe von definierten Zwecken von öffentlichem Interesse festzulegen.

Sicherstellung der Fairness des Datenzugriffs und der Datennutzung B2B

• Spezifische Transparenzverpflichtungen für Hersteller von verbundenen Gegenständen in Bezug auf die Rechte auf Zugang zu und Verwendung von nicht personenbezogenen Daten bei gewerblicher Nutzung.
• Ein B2B-Fairness-Test zur Vermeidung einseitig auferlegter unfairer Bedingungen für den Zugang zu und die Nutzung von Daten.
• Festlegung von Datenzugangs und Datennutzungsrechten für nicht-personenbezogene Daten.
• Überprüfung der Database Directive mit dem übergeordneten Ziel, die Rechtssicherheit für den Zugang zu und den Handel mit Daten zu erhöhen. Die Überprüfung soll sicherstellen, dass die Anwendung der Richtlinie, insbesondere das Sui-generis-Recht, kein Hindernis für den Zugang zu und die Nutzung von maschinell erzeugten Daten darstellt.

Datenportabilität

• Ein Rechtsinstrument, welches in Übereinstimmung mit Artikel 20 DSGVO technische Spezifikationen vorsehen würde, die Einzelpersonen helfen, das Recht auf Datenübertragbarkeit zu nutzen.
• Erhöhung der Datenportabilität im Cloud-Markt. Hierzu werden drei Policy-Optionen vorgeschlagenen, mit einem steigenden Umfang an Regulierung.
• Die Vorgabe von Standardvertragsklauseln, die auf der Grundlage von Elementen der von der Industrie bereits bereitgestellten Verhaltenskodizes (z.B. SWIPO) entwickelt werden.
• Formulierung übergeordneter rechtlicher Anforderungen hinsichtlich der Datenportabilität für alle Anbieter von Cloud-Computing-Diensten auf dem Markt.
• Die Entwicklung spezifischerer rechtlicher Anforderungen, die unterschiedliche Bedingungen vertraglicher, technischer und wirtschaftlicher Natur der Datenportabilität definieren.

Smart Contracts

Im Kontext des B2G- und B2B-Datenzugriffs und der Datennutzung sowie der Portabilität personenbezogener Daten durch die Betroffenen haben Smart Contracts ein großes Potenzial.

Deswegen will die EU-Kommission die Schaffung von grundlegenden Anforderungen für Smart Contracts, die mit einem potenziellen Auftrag an die europäischen Normungsorganisationen zur Festlegung technischer Normen für Smart Contracts einhergehen könnten, prüfen.

Datentransfers in Drittstaaten

Um die Risiken zu mindern, die sich aus dem behördlichen Zugriff auf nicht personenbezogene Daten von in der Union niedergelassenen Unternehmen ergeben, die von Cloud-Computing-Diensteanbietern vorgehalten werden, und um das Vertrauen in die Nutzung von Cloud-Computing-Diensten zu gewährleisten, werden die folgenden beiden Policy-Optionen in Betracht gezogen:

• Schaffung einer Verpflichtung für Cloud-Computing-Diensteanbieter, den Nutzer jedes Mal zu benachrichtigen, wenn sie ein Ersuchen ausländischer Behörden um Zugang zu Daten erhalten, soweit dies nach dem betreffenden ausländischen Recht möglich ist, sowie die Kommission über alle verschiedenen Gesetze von Nicht-EU-Rechtsordnungen mit extraterritorialer Wirkung zu informieren, denen sie unterliegen.
• Cloud-Computing-Diensteanbieter zu verpflichten, sicherzustellen, dass sie alle angemessenen rechtlichen, technischen und organisatorischen Maßnahmen ergreifen, um die Übermittlung von oder den Zugriff auf nicht personenbezogene Daten von Unternehmen mit Sitz in der Union zu verhindern, wenn eine solche Übermittlung oder ein solcher Zugriff gegen EU- oder nationales Recht verstoßen würde.

Quelle: DATEV eG Informationsbüro Brüssel