Data Act – die unterschätzte EU-Verordnung

Er wird unterschätzt, obwohl sein Anwendungsbereich in der Aufzugsbranche groß ist. Ein IT-Fachanwalt hat für das LIFTjournal die wichtigsten Auswirkungen und Pflichten für die Unternehmen zusammengestellt.

Von Christian Schultz, LL.M.

Was ist der Data Act? Der Data Act ist eine neue Verordnung der Europäischen Union. Bei der Nutzung vernetzter Produkte fallen eine Vielzahl von wertvollen Daten an. Die Nutzung dieser Daten regelt der Data Act grundlegend neu. Als Teil der neuen EU-Digitalisierungsgesetze wird der Data Act aktuell am meisten unterschätzt. Die wichtigsten Regelungen gelten schon ab dem 12. September 2025 – Handlungsbedarf besteht deshalb bereits heute.

Welche Daten werden vom Data Act erfasst? Wichtig am Data Act ist, dass er auch für "Maschinendaten" gilt. Im Gegensatz zur bekannten Datenschutz-Grundverordnung (DSGVO) gilt der Data Act (Grafik 1) damit auch für sogenannte nicht-personenbezogene Daten. Deshalb ist der Data Act auch für Industrieunternehmen relevant, die bisher in ihrem Kerngeschäft eher wenig Berührungspunkte mit Vereinbarungen zur Datennutzung hatten.

Für welche Produkte gilt der Data Act? Der Data Act gilt für vernetzte Produkte und verbundene Dienste. Für die Aufzugsbranche ist der Anwendungsbereich deshalb groß: Weil Aufzüge schon heute aus einer Vielzahl von vernetzten Komponenten bestehen, ist der Data Act für Unternehmen entlang der gesamten Vertriebskette relevant – von Herstellung über Vertrieb bis zur Wartung. Als vernetztes Produkt zählt zum Beispiel eine smarte Komponente, die den Standort des Aufzugs, Wartungsdaten oder Nutzungsstatistiken erfasst.

Kräfteverhältnisse neu ordnen

Foto: © Europäische Union

Welche neuen Pflichten bringt der Data Act für Hersteller von Aufzügen oder Komponenten? Eine der wichtigsten Änderungen ist, dass Hersteller künftig eine vertragliche Erlaubnis vom Nutzer benötigen, um Nutzungsdaten ihrer Produkte verwerten zu können. Der rein faktische Zugriff auf die Daten reicht nicht mehr aus; es muss eine vertragliche Vereinbarung mit dem Nutzer bestehen (Grafik 2).

Wie wirkt sich der Data Act auf die Nutzung von Maschinendaten aus? Der Data Act ordnet die Kräfteverhältnisse zwischen Dateninhabern und Nutzern neu. Nutzer haben künftig die rechtliche Kontrolle darüber, ob und wie ihre generierten Daten verwendet werden können. Dateninhaber sollten daher sicherstellen, dass sie zeitnah eine vertragliche Vereinbarung mit den Nutzern schließen, damit sie wertvolle Nutzungsdaten auch in Zukunft nutzen dürfen. Dabei meint "Nutzer" in der Regel nicht jeden einzelnen Fahrgast, sondern zum Beispiel die jeweiligen Eigentümergemeinschaften und ggf. die Mieter des Gebäudes.

Müssen gesammelte Nutzungsdaten dem Nutzer zur Verfügung gestellt werden? Ja, und zwar sowohl die Rohdaten als auch die zugehörigen Metadaten, wenn die Rohdaten ansonsten nicht sinnvoll genutzt werden können. Ausgeklammert sind dagegen investitionsintensiv angereicherte Rohdaten und daraus abgeleitete Erkenntnisse. Bereitgestellt wird entweder unmittelbar am Produkt selbst (Display, Schnittstelle, QR-Code) oder zumindest auf Anfrage.

Herausgabe verweigern oder aussetzen

Foto: © Europäische Union

Müssen solche Nutzungsdaten auch an andere Personen als den Nutzer herausgegeben werden? Ja, wenn der Nutzer das verlangt. Allerdings gibt es Einschränkungen: Wenn bei der Weitergabe von Nutzungsdaten Geschäftsgeheimnisse berührt werden, müssen vor Weitergabe genaue geheimniswahrende Maßnahmen vereinbart werden (zum Beispiel Vertraulichkeitsvereinbarungen und technische Sicherheitsmaßnahmen). Kommt keine für alle Seiten faire Einigung zustande oder hält sich eine Seite nicht an die getroffenen Vereinbarungen, kann der Dateninhaber die Herausgabe verweigern oder aussetzen. Hält man Nutzungsdaten aber unberechtigt zurück, droht ein Bußgeld.

Wie schließe ich als Hersteller eine Vereinbarung mit dem Endkunden? Besonders Zulieferer und Hersteller ohne Endkundenkontakt sollten sicherstellen, dass die Vereinbarung zur Datennutzung entlang der gesamten Vertriebskette weitergereicht wird. Dies schafft einen "verlängerter Arm" zu den Nutzern und ermöglicht gleichzeitig einen Regress, falls die Klausel trotz Abrede nicht weitergereicht wird.

Was ist jetzt aktuell zu tun? Unternehmen sollten nun analysieren, welche Daten durch die Nutzung vernetzter Produkte oder Dienste aktuell generiert werden und wie diese Daten im Unternehmen genutzt werden sollen eine Datennutzungsvereinbarung entwerfen und bestehende Verträge ergänzen.

Der Autor ist Fachanwalt für IT-Recht und Senior Associate bei der internationalen Wirtschaftskanzlei Fieldfisher.

Weitere Informationen: fieldfisher.com