IT-Projekte

Welche Vergütung dürfen Dateninhaber verlangen, wenn sie Daten aus vernetzten Produkten an Dritte herausgeben müssen? Dr. Martin Schirmbacher erläutert, welche Anforderungen der Data Act an faire, angemessene und nichtdiskriminierende Vertragsbedingungen stellt.

In Folge 47 des Data Navigator Podcasts widmen sich Dr. Martin Schirmbacher und Dr. Hubertus von Rönne einem Thema, das seit Inkrafttreten des Data Act immer wieder als vermeintliches Gegenargument gegen Datenherausgabeansprüche angeführt wird: die DSGVO. Anlass ist unter anderem die dritte Denkwerkstatt der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit zum Data Act, die in der Vorwoche stattgefunden hat. Die Ausgangslage ist eindeutig: Der Data Act gilt ausdrücklich auch für personenbezogene Daten. Im Konfliktfall hat die DSGVO Vorrang. In der Praxis entsteht ein solcher Konflikt jedoch deutlich seltener, als häufig angenommen wird. Entscheidend ist dabei der sogenannte relative Personenbezug. Ob Daten personenbezogen sind, wird nicht abstrakt beurteilt, sondern aus der Perspektive des jeweils Verantwortlichen. Am Beispiel eines Busfahrers veranschaulichen Dr. Martin Schirmbacher und Dr. Hubertus von Rönne diesen Grundsatz: Für die Berliner Verkehrsbetriebe haben die Fahrerdaten einen Personenbezug, da sie wissen, wer zu welchem Zeitpunkt welchen Bus gefahren hat. Für den Bushersteller, der lediglich Fahrzeugdaten ohne persönliche Anmeldung erhält, fehlt diese Zuordnung in der Regel. Bei einem Windpark kann es umgekehrt sein: Der Hersteller kennt seine Wartungsmitarbeitenden, während der Windparkbetreiber sie üblicherweise nicht identifizieren kann. Daraus folgt: Derselbe Datensatz kann für eine Partei personenbezogen sein und für eine andere nicht. In Konstellationen nach dem Data Act ist es häufig gerade der Datenempfänger, der keinen Personenbezug herstellen kann. Entsteht beim Empfänger dennoch ein Personenbezug, benötigt dieser eine Rechtsgrundlage nach der DSGVO. In Betracht kommen insbesondere berechtigte Interessen. Der Hersteller kann sich für die Datenübermittlung wiederum auf Art. 6 Abs. 1 Satz 1 lit. c DSGVO stützen, da die Weitergabe aufgrund einer rechtlichen Verpflichtung aus dem Data Act erfolgt. Abschließend ordnen Dr. Martin Schirmbacher und Dr. Hubertus von Rönne die Zuständigkeiten der Aufsichtsbehörden ein. Für Beschwerden im Zusammenhang mit dem Data Act ist grundsätzlich die Bundesnetzagentur zuständig. Sobald personenbezogene Daten betroffen sind, muss sie die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit einbinden. Die Landesdatenschutzbehörden bleiben daneben für klassische Verstöße gegen die DSGVO zuständig – beispielsweise, wenn ein Landwirt beanstandet, dass ein Hersteller seine personenbezogenen Daten verarbeitet.

In Folge 46 des Data Navigator Podcasts geht es um Datenräume, digitale Souveränität und die Frage, wie Europa vertrauensvolle Dateninfrastrukturen schaffen kann. Zu Gast ist Ulrich Ahle, CEO von Gaia-X und zuvor langjähriger CEO der FIWARE Foundation. Er verfügt über mehr als dreißig Jahre Erfahrung in der IT-Branche – unter anderem bei Nixdorf Computer, Siemens und Atos – und war zudem Ortsvorsteher von Etteln, dem „digitalsten Dorf Deutschlands“. Im Gespräch erklärt Ulrich Ahle, warum Gaia-X kein europäischer Hyperscaler sein will. Ziel ist vielmehr der Aufbau eines Regelwerks und einer Open-Source-Infrastruktur, die dezentrale, vertrauenswürdige Datenräume auf Grundlage europäischer Werte ermöglichen. Zentrale Bausteine von Gaia-X sind digitale Identitäten und ein Compliance-Framework mit verschiedenen Souveränitätsstufen. In der höchsten Stufe sollen nur europäische Anbieter die Anforderungen erfüllen können – insbesondere, um den Zugriff durch extraterritoriale Regelungen wie den US Cloud Act auszuschließen. Ein praktisches Beispiel ist Catena-X, der Datenraum der Automobilindustrie. Besonders relevant ist hier der digitale Batteriepass, der ab dem 18. Februar 2027 verpflichtend wird. Er soll zahlreiche Informationen über den gesamten Lebenszyklus einer Batterie abbilden – von Rohstoffen über den CO₂-Fußabdruck bis zur Restkapazität. Datenräume können dabei helfen, komplexe Lieferketten transparenter zu machen und den Datenaustausch gegenüber bilateralen Lösungen deutlich zu vereinfachen. Außerdem spricht Ulrich Ahle über die Rolle von Gaia-X bei der Umsetzung des Data Act. Die Verbindung aus Datenraumtechnologie und gesetzlichen Datenzugangsrechten könnte dazu beitragen, die Bereitschaft zum Datenteilen zu erhöhen. Denn in vertrauenswürdigen Datenräumen lässt sich technisch festlegen, wer Daten nutzen darf, wofür sie verwendet werden dürfen und für welchen Zeitraum. Ein weiterer Schwerpunkt ist die internationale Entwicklung von Datenräumen. Da der Data Act nur in Europa gilt, globale Lieferketten aber grenzüberschreitende Datenflüsse erfordern, arbeitet Gaia-X an einer geografischen Erweiterung des Trust Frameworks – etwa mit Blick auf Japan, Korea, Kanada oder Brasilien. Auch China und verschiedene afrikanische Staaten beschäftigen sich mit vergleichbaren Konzepten. Ulrich Ahles zentrale Botschaft: Die Technologie für Datenräume ist inzwischen weitgehend vorhanden. Entscheidend sind nun die praktische Anwendung, der operative Betrieb und tragfähige Geschäftsmodelle. Nur wenn Datenräume dauerhaft in den Markt gebracht werden, können sie ihre Wirkung für digitale Souveränität, Datennutzung und europäische Wettbewerbsfähigkeit entfalten.

In Folge 44 des Data Navigator Podcast geht es um FRAND im Data Act, also die Frage, zu welchen Bedingungen Dateninhaber IoT-Daten an Dritte herausgeben müssen und was sie dafür verlangen dürfen. Martin Schirmbacher und Hubertus von Rönne erläutern die Einzelheiten der neuen gesetzlichen Regelung. Ausgangspunkt ist das bekannte Dreieck: Ein Nutzer (z.B. Windparkbetreiber) weist den Hersteller (z.B. Vestas) an, Betriebsdaten direkt an einen Dritten (z.B. das Startup Turbit) zu schicken. Dafür muss zwischen Hersteller und Drittem ein Vertrag geschlossen werden (siehe Art. 8 Data Act), und die Vergütung richtet sich nach Art. 9 DA, das alles zu FRAND-Bedingungen. Der Nutzer darf die Daten dagegen ohne Entgelt herausverlangen. Martin und Hubertus gehen im Detail durch, welche Kosten der Hersteller verlangen darf (Bereitstellungskosten, Onboarding, ggf. Marge und Investitionskosten – letztere aber zum Beispiel nicht gegenüber KMU), welche Abrechnungsmodelle die Draft Guidelines der Kommission vorsehen und was „non-discriminatory" in der Praxis bedeutet. Zentraler Grundsatz: Der Wert der Daten selbst darf nicht bepreist werden . Das Fazit: Die Vergütungsfragen werden sich sektorspezifisch unterschiedlich entwickeln. Aktuell scheitert es oft noch an Grundlegendem: Welche Daten fließen überhaupt, wie sind sie zuzuordnen? Das Petitum bleibt: Hersteller, Nutzer und Datenempfänger müssen sich sektorintern zusammensetzen und auch über die Konditionen der Datenbereitstellung sprechen.

Der Data Act birgt viele Unklarheiten. Wir haben die häufigsten Fragen zum Data Act aus Vorträgen und Mandatsarbeit gesammelt und beantwortet. Ist Ihre Frage nicht dabei? Dann nehmen Sie gerne mit uns Kontakt auf!

Künstliche Intelligenz (KI), die in Unternehmen den Einkauf übernimmt, autonom Produktbestände überwacht, Preise recherchiert und Bestellungen auslöst. Der proaktive Assistent, der E-Mails beantwortet, Kalender verwaltet und Flüge eincheckt. Oder AI-to-AI- bzw. Multi-Agent-Systeme, die den kompletten Checkout übernehmen und bei denen alle Prozesse sowohl auf Seiten des Käufers als auch des Verkäufers vollständig innerhalb einer KI-Oberfläche ablaufen – der Einsatz von KI-Agenten bzw. Agentic AI verspricht ganz neue Möglichkeiten. Unternehmen und insbesondere Händler, die sich dafür entscheiden, an diesem neuen KI-basierten Ökosystem teilzunehmen, müssen vor allem auch die rechtlichen Fallstricke beachten: Welche rechtlichen Spielregeln gelten, wenn die KI auf einmal eigenständig Verträge aushandelt und schließt? Wer haftet wofür?

Der Data Act und Europas neue Datenordnung: Dieser Praxisratgeber hilft Ihnen, die neuen Anforderungen der Verordnung zu verstehen – von Daten­zugangs­rechten bis zur Inter­operabilität. Verfasst von Dr. Martin Schirmbacher, Marcus Czempinski und Jan Mönikes, richtet er sich an Datenschutz‑ und IT‑Verantwortliche sowie juristische Berater.

Unter dem Titel „Vom Paragraphen zur Praxis“ diskutieren Expert:innen aus Recht, Verwaltung und Versicherungswirtschaft die regulatorischen Neuerungen, deren Auswirkungen auf Unternehmen und zeigen konkrete Handlungsempfehlungen – u.a. zu Meldepflichten, Absicherung von Cyberrisiken und den Anforderungen an digitale Produkte.