Der Data Act (das Datengesetz): Was müssen Dateninhaber konkret beachten und umsetzen?

In diesem Blog-Beitrag soll der Frage nachgegangen werden, was Dateninhaber nach dem Data-Act konkret zu beachten haben.

‍

Data Act: Was haben Dateninhaber auf technischer Ebene zu berücksichtigen?

Betrachten wir zunächst, was Dateninhaber auf einer technischen Ebene zu beachten haben, um mit dem Data-Act compliant zu sein.

Wegweisend ist hier Art 3 Abs 1 Data-Act welcher besagt, dass Produkte und verbundene Dienste, so konzipiert sein müssen, dass:

die Produktdaten, und verbundenen Dienstdaten einschließlich der relevanten Metadaten (dass sind also im wesentlichen jene Daten, die bei Nutzung des Produkts generiert werden) für den Nutzer: 

 
• Einfach
 
• Sicher
 
• Unentgeltlich
 
• Umfassend und strukturiert 
 
• In einem gängigen und maschinenlesbaren Format

dirket zugänglich gemacht werden (sofern technisch durchführbar).

Gefragt ist daher eine Zugangsgewährung in Form von Access by design. Das bedeutet, dass die Produkte in ihrer Herstellung bereits so konzipiert werden müssen, dass die bei derNutzung erzeugten Daten standardmäßig für die Nutzer zugänglich sind. Hier werden letztlich gewisse Schnittstellen definiert werden müssen und auch Prozesse implementiert werden, wie mit Anfragen auf Datenzugang umgegangen wird - hier unter anderem wer ist zuständig und letztlich auch verantwortlich. 

Ein heikler Punkt in Bezug auf die Weitergabe der Daten ist, dass Daten keinen Unbefugten zugänglich gemacht werden. Daher kommt auch dem Authentifizierungsverfahren eine wichtige Rollezu. Hierzu sieht Art 4 Abs 5 Datengesetz vor, dass hier nicht überbordende Schwellen aufgebaut werden dürfen und erinnert dabei an Art 12 DSGVO. In Art 11 ist geregelt, dass der Dateninhaber geeignete technische Schutzmaßnahmen, einschließlich intelligenter Verträge (das Gesetz sieht aucheine Legaldefinition von Smart-Contracts vor) ergreifen kann/muss um eine unbefugte Nutzung oder Offenlegung von Daten zu verhindern. 

Das Datengesetz: Welche Informationspflichten sieht der Data-Act für Dateninhaber vor?

‍

Bezüglich der Informationspflichtn sieht Art 3 Abs 2 Data-Act vor, dass vor Abschluss eines Kauf-, Miet- oder Leasingsvertrages mindestens folgende Informationen in klarer und verständlicherWeise bereitgestellt werden müssen:

‍

- die Art, das Format und der geschätzte Umfang der Produktdaten, die das vernetzte Produkt generieren kann 

- die Angabe, ob das vernetzte Produkt in der Lage ist, Daten kontinuierlich und in Echtzeit zu generieren

- die Angabe, ob das vernetzte Produkt in der Lage ist, Daten auf einem Gerät  oder einem entfernten Server zu speichern, gegebenenfalls einschließlich der vorgesehenen Speicherdauer

- die Angabe, wie der Nutzer auf die Daten zugreifen, sie abrufen und gegebenenfalls löschen kann, einschließlich der technischen Mittel hierfür sowie

- die betreffenden Nutzungsbedingungen und die betreffende Dienstqualität

Vor Abschluss eines Vertrags zur Erbringung eines verbundenden Dienstes hingegen stellt der Anbieter dieses Dienstes dem Nutzer mindestens folgende Informationen in klarer und verständlicher Art und Weise bereit:

• die Art, der geschätzte Umfang und die Häufigkeit der Erhebung von Produktdaten
• Potentielle Dateninhaber
• die Identität des potentiellen Dateninhaber
• das Kommunikationsmittel wie mit dem Dateninhaber Kontakt aufgenommen werden kann
• der Hinweis auf die Beschwerdemöglichkeit
• die Dauer des Vertrages sowie die vorzeitige Beendigung eines solchen Vertrages

Der Data-Act: To-Do`s für den Dateninhaber

Neben der genannten Verpflichtung, einen "Data Access by Design" zu etablieren und der Erfüllung von Informationspflichten, treffend den Dateninhaber auch umfassende Pflichten im Bereich der Vertragsgestaltung. Diese Pflichten sind Gegenstand eines seperaten Blog-Beitrag.

‍

Das Datengesetz bringt zusammenfassend für Dateninhaber eine Reihe von To-Do`s. Diese sind:

• Technischer Natur: Hier soll ein sicherer und einfacher Datenaustausch ermöglicht werden
• Es entstehen Informationspflichten: Die Nutzer müssen etwa darüber informiert werden, wer konkret Dateninhaber ist und wie der Datenaustausch     bewerkstelligt wird
• Und vertragstechnischer Natur: Daten müssen im Sinne von FRAND (fair, reasonable, non-discriminatory) bereitgestellt werden, was sich auch in den Verträgen widerspiegeln muss

‍

‍

‍