Welche Pflichten gelten für Datenvermittlungsdienste im Sinne des Daten- Governance-Rechtsakts?

Welche Pflichten gelten für Datenvermittlungsdienste im Sinne des DatenGovernance-Rechtsakts? Sven Hetmank Technische Universität Dresden DaTNet-Paper 06 DOI: 10.82115/89ry-w619 Veröffentlichungsdatum: September 2025 Veröffentlichungsdatum: September 2025 DaTNet-Paper 06 Seite 2 von 18 Welche Pflichten gelten für Datenvermittlungsdienste im Sinne des Daten-Governance-Rechtsakts? Für Datenvermittlungsdienste im Sinne des Data Governance Act (DGA, → DaTNet Paper 03 “Was sind Datenvermittlungsdienste im Sinne des Daten-Governance-Rechtsakts?”) sind in Kapitel 3 des DGA bestimmte Anforderungen geregelt. Insbesondere unterliegen die erfassten Datenvermittlungsdienste der Anmeldeverpflichtung nach Art. 11 DGA und die Erbringung ihrer Vermittlungsdienste muss nach den Bedingungen des Art. 12 DGA erfolgen. Zusätzlich regeln Art. 13 - 14 DGA die Überwachung dieser Dienste durch eine Aufsichtsbehörde. Schließlich ist in Art. 15 DGA klargestellt, dass die Pflichten des DGA nicht für datenaltruistische Organisationen und andere Einrichtungen ohne Erwerbszweck gelten. 1. Anmeldepflicht (Art. 11 DGA) Nach Art. 11 DGA muss sich jeder Anbieter, der beabsichtigt Datenvermittlungsdienste zu erbringen, bei der für Datenvermittlungsdienste zuständigen Behörde anmelden. Die Erbringung der Dienste ohne eine solche Anmeldung ist verboten (Art. 11 Abs. 4 und Art. 11 Abs. 5 DGA). Hinweis 1: In Deutschland wird die Bundesnetzagentur für die Anmeldung zuständig sein, vgl. § 2 DGG-Entwurf.1 Solange aber das DGG als Durchführungsgesetz nicht beschlossen und in Kraft getreten ist, ist die Anmeldung in Deutschland zur Zeit praktisch nicht möglich. 1 Referentenentwurf eines Gesetzes zur Durchführung der EU-Verordnung über europäische Daten-Governance, Daten-Governance-Gesetz – DGG, BT-Drucksache 20/13090. Hinweis: Die Pflichten nach Art. 11 bis 14 DGA gelten nur für Datenvermittlungsdienste im Sinne des Art. 10 DGA. Die in dieser Vorschrift niedergelegten Vorgaben decken sich aber im Wesentlichen mit der Definition für Datenvermittlungsdienste in Art. 2 Nr. 11 DGA. Für die Frage, welche Datenvermittlungsdienste dem Pflichtenkatalog des DGA unterliegen, kann daher auf das DaTNeT Paper 03 “Was sind Datenvermittlungsdienste im Sinne des Daten-Governance-Rechtsakts?” verwiesen werden. DaTNet-Paper 06 Seite 3 von 18 Eine Genehmigung ist nicht erforderlich, d.h. nach der ordnungsgemäßen Anmeldung können Datenvermittlungsdienste mit der Erbringung ihrer Dienste beginnen, ohne eine Bestätigung der zuständigen Behörde abwarten zu müssen (Art. 11 Abs. 4 DGA). Die Anmeldung wird voraussichtlich gebührenpflichtig sein, vgl. § 5 DGG-Entwurf, § 1 „Verordnungsentwurf zur Einführung einer Besonderen Gebührenverordnung“ 1 sowie Art. 11 Abs. 11 DGA. Es ist geplant, dass die Gebühren nach Zeitaufwand festgesetzt werden, wobei sich die Stundensätze nach den allgemeinen pauschalen Stundensätzen der Allgemeinen Gebührenverordnung 2 (aktuell zwischen 39,60 Euro und 93,61 Euro) richten sollen. Die Anmeldung muss gemäß Art. 11 Abs. 6 DGA die folgenden Angaben enthalten: • den Namen, • den Rechtsstatus, die Rechtsform, die Eigentümerstruktur, die relevanten Tochtergesellschaften und bei Eintragung in einem Handelsregister oder einem anderen vergleichbaren öffentlichen nationalen Register, die Registernummer, 1 Entwurf Verordnung zur Einführung einer Besonderen Gebührenverordnung des Bundesministeriums für Wirtschaft und Klimaschutz für individuell zurechenbare öffentliche Leistungen im Zusammenhang mit der Wahrnehmung von Aufgaben nach dem Daten-GovernanceRechtsakt und zur Änderung der Besonderen Gebührenverordnung der Bundesnetzagentur. 2 Vgl. § 4 des Verordnungsentwurfes zur Einführung einer Besonderen Gebührenverordnung sowie Anlage 1 der Allgemeinen Gebührenverordnung (AGebV). Hinweis 2: Für Dienste, die zum 23.6.2022 bereits tätig waren, gilt gemäß Art. 37 DGA eine dreijährige Übergangsfrist: Sie müssen die Verpflichtungen der Art. 11 ff. DGA – und damit auch die Anmeldepflicht – somit erst ab dem 24.9.2025 einhalten. Hinweis 3: Die Anmeldung muss also lediglich formal korrekt und vollständig vorgenommen werden, damit die Tätigkeit als Datenvermittlungsdienst aufgenommen werden darf. Ob der Anmelder die Anforderungen des DGA auch tatsächlich einhält, wird von der für die Anmeldung zuständigen Behörde im Rahmen dieses Anmeldeverfahrens dagegen nicht geprüft. DaTNet-Paper 06 Seite 4 von 18 • die Anschrift der Hauptniederlassung und falls zutreffend, die Anschrift einer etwaigen Zweigniederlassung in einem anderen Mitgliedstaat oder des gesetzlichen Vertreters (Anbieter von Datenvermittlungsdiensten die nicht in der Union niedergelassen sind, müssen einen gesetzlichen Vertreter benennen, vgl. Art. 11 Abs. 3 DGA), • eine öffentliche Website mit vollständigen und aktuellen Informationen, • die Kontaktpersonen und Kontaktangaben, • eine Beschreibung des beabsichtigten Datenvermittlungsdienstes und Angaben dazu, unter welche der in Art. 10 DGA genannten Kategorien dieser Datenvermittlungsdienst fällt (also insbesondere, ob es um die Vermittlung von nichtpersonenbezogenen Daten, personenbezogene Daten oder um die Tätigkeit als Datengenossenschaft geht), • den voraussichtlichen Tag der Aufnahme der Tätigkeit, falls dies ein anderer als der Tag der Anmeldung ist. Erst nach Einreichung einer vollständigen und ordnungsgemäßen Anmeldung dürfen Anbieter von Datenvermittlungsdiensten nach Art. 11 Abs. 4 und Abs. 5 DGA ihre Tätigkeit in allen Mitgliedstaaten der EU aufnehmen (“Verbot mit Anmeldevorbehalt”). 2. Meldepflicht bei Änderungen der bei der Anmeldung gemachten Angaben und bei Einstellung des Dienstes (Art. 11 Abs. 12 und Abs. 13 DGA) Bei einer späteren Änderung der übermittelten Informationen muss die Anmeldebehörde (in Deutschland also die Bundesnetzagentur) innerhalb von 14 Tagen nach dem Datum der Änderung benachrichtigt werden (Art. 11 Abs. 12 DGA). Die Einstellung der Tätigkeiten durch die Datenvermittlungsdienste muss ebenfalls innerhalb von 15 Tagen der zuständigen Behörde gemeldet werden (Art. 11 Abs. 13 DGA). Hinweis: Eine weitergehende Überprüfung wird nach Art. 11 Abs. 9 UAbs. 1 DGA lediglich auf (kostenpflichtigen) Antrag vorgenommen. Wer sich einer solchen freiwilligen “Complianceprüfung“ unterzieht, kann das Label “in der EU anerkannter Datenvermittler“ führen und ein entsprechendes Logo verwenden. Die Kosten hierfür bestimmen sich nach dem Zeitaufwand. Aus den Vorgaben des DGA ergibt sich jedoch nicht, welchen Umfang die Bestätigungsprüfung haben muss. Damit lässt sich auch kaum einschätzen, welches Qualitätssignal von einer solchen Bestätigung letztlich ausgehen wird. DaTNet-Paper 06 Seite 5 von 18 3. Pflichten die bei der Erbringung der Datenvermittlungsdienste zu beachten sind Anbieter, die Datenvermittlungsdienste im Sinne des DGA erbringen, unterliegen nicht nur einer Anmeldepflicht, sondern müssen bei der Erbringung ihrer Datenvermittlungsdienste auch die Anforderungen beachten, die in Art. 12 DGA festgelegt sind. Der Pflichtenkatalog des Art. 12 DGA enthält erstens Anforderungen für die grundsätzliche Organisation und die Ausgestaltung des Geschäftsmodells, zweitens Vorgaben zur Ausgestaltung der Zugangsund Nutzungsbedingungen und drittens sonstige technische und organisatorische Vorkehrungen für die Datenbereithaltung und -bereitstellung. a) Pflichten im Hinblick auf Organisation und Geschäftsmodell Eine erste zentrale Pflicht des Art. 12 DGA zielt darauf ab, durch Vorgaben für die Organisation und das Geschäftsmodell sicherzustellen, dass Datenvermittlungsdienste als reine Mittler ohne eigene Interessen und unabhängig von anderen Interessenträgern agieren. Dies wird vor allem durch drei Vorgaben versucht, zu erreichen: • eine strenge Zweckbindung in Bezug auf die vermittelten Daten nach Art. 12 lit. a DGA, • eine Zweckbindung für Daten, die in Bezug auf die Nutzung des Dienstes erhoben werden, Art. 12 lit. c DGA • sowie die Pflicht, den Dienst durch eine gesonderte juristische Person bereitzustellen, Art. 12 lit. a, letzter Halbsatz DGA. (1) Strenge Zweckbindung in Bezug auf vermittelte Daten nach Art. 12 lit. a DGA Die von den Dateninhabern und den betroffenen Personen erhaltenen, gehaltenen und vermittelten Daten dürfen ausschließlich für die Erbringung von Datenvermittlungsdiensten verwendet werden (sog. “Zweckbindung”, vgl. Art. 12 lit. a DGA). Insbesondere darf der Datenvermittlungsdienst die Daten nicht für eigene Zwecke verwenden. DaTNet-Paper 06 Seite 6 von 18 Allerdings sieht der DGA auch Ausnahmen von diesem engen Zweckbindungsgrundsatz vor: • Daten dürfen unter bestimmten Umständen für die Umwandlung (Konvertierung) in ein anderes Format verwendet werden (Art. 12 lit. d DGA, siehe dazu unten). • Daten dürfen für Zusatzdienste und Zusatzwerkzeuge verwendet werden, allerdings nur auf ausdrücklichen Antrag oder mit Zustimmung der Datengeber und nur zur Erleichterung des Datenaustausches (Art. 12 lit. e DGA, siehe dazu unten). • Daten sollen außerdem genutzt werden dürfen, um die Nutzbarkeit für den Datennutzer oder die Interoperabilität zu verbessern (Erwägungsgrund 32 Satz 8 DGA). (2) Zweckbindung für Daten, die in Bezug auf Nutzung des Dienstes erhoben werden, Art. 12 lit. c DGA (“Metadaten”) Ergänzt wird das Zweckbindungsgebot nach Art. 12 lit. a DGA durch Art. 12 lit. c DGA, wonach auch die Daten, die erst im Rahmen der Kontaktaufnahme und in Bezug auf die Nutzung des Datenvermittlungsdienstes erstmalig von ihren Nutzern gesammelt werden, nur für die Entwicklung des Datenvermittlungsdienstes verwendet werden dürfen, nicht aber für andere Zwecke. Solche “Metadaten” dürfen also nur für Zwecke der Sicherstellung der Funktionalität und Sicherheit des Dienstes verwendet werden (wie z.B. für die Aufdeckung von Betrug oder im Interesse der Cybersicherheit), aber nicht für andere Zwecke, wie etwa für Forschungsoder Werbezwecke. Hintergrund: Der Gesetzgeber hat sich vom Prinzip der Datenneutralität leiten lassen: Indem der Datenvermittlungsdienst als reiner Mittler agiert, ohne gleichzeitig eigene Nutzungsmöglichkeiten an den Daten zu haben, soll das Vertrauen in diese Dienste gestärkt werden. Zu beachten ist aber, dass sich die Neutralitätspflicht nur auf die Daten bezieht, nicht dagegen auf das Verhältnis des Vermittlers zu den Datengebern oder Datennutzern. Daher steht die Neutralitätspflicht des Art. 12 DGA auch nicht einem Geschäftsmodell entgegen, das einseitig auf die Wahrnehmung von Interessen nur einer der beteiligten Seiten abzielt (z.B. auf die Wahrnehmung der datenschutzrechtlichen Betroffenenrechte gegenüber den Datennutzern). Hinweis: Für die im dritten Punkt genannte Ausnahme ist zu beachten, dass Erwägungsgründe nur der Erläuterung des Verordnungstextes dienen und keinen eigenen Regelungscharakter haben. Man wird daher bis zur Klärung durch den EuGH nicht mit Sicherheit sagen können, inwieweit sich Datenvermittlungsdienste auf diese zuletzt genannte Ausnahme wirklich berufen können. DaTNet-Paper 06 Seite 7 von 18 (3) Bereitstellung durch eine gesonderte juristische Person, Art. 12 lit. a, letzter Halbsatz DGA Schließlich werden Datenvermittlungsdienste durch Art. 12 lit. a DGA dazu verpflichtet, ihre Vermittlungsdienste über eine gesonderte juristische Person bereitzustellen. Durch eine solche rechtliche “Entflechtung” soll Interessenkonflikten vorgebeugt werden (Gefahr der Selbstbevorzugung) und es soll eine organisatorische und strukturelle Trennung zwischen Bereitstellung, Vermittlung und Nutzung der Daten erreicht werden (vgl. Erwägungsgründe 32 und 33 DGA). Das bedeutet, dass Anbieter, die Daten auch selbst als Dateninhaber bereitstellen und/oder als Datennutzer selbst nutzen, ihre Datenübermittlungstätigkeiten zwingend in eine gesonderte juristische Person ausgliedern müssen. Hierzu kommen alle Rechtsformen des nationalen Rechts in Betracht, wie insbesondere eine GmbH oder eine Genossenschaft. Erläuterung: Während Art. 12 lit. a DGA die Daten erfasst, die die Dateninhaber und die betroffenen Personen bereitstellen, geht es bei Art. 12 lit. c DGA um die Daten, die bei der Erbringung der Datenvermittlungsdienste erstmalig entstehen. Als Beispiele für solche Metadaten nennt der Gesetzgeber Datum, Uhrzeit und Geolokalisierungsdaten, Dauer der Tätigkeit sowie Verbindungen zu anderen natürlichen oder juristischen Personen, die von der den Datenvermittlungsdienst nutzenden Person hergestellt werden. Hinweis: Art. 12 lit. c DGA legt ferner fest, dass die erhobenen Metadaten den Dateninhabern auf Anfrage zur Verfügung zu stellen sind. Hinweis: Aus dem DGA ergibt sich nicht, welche konkreten Anforderungen an eine solche organisatorische Trennung zu stellen sind. Insbesondere stellt sich die Frage, ob eine strukturelle Ausgliederung genügt oder ob darüber hinaus eine materielle Unabhängigkeit im Sinne einer strikten Weisungsfreiheit der gesonderten juristischen Person zu fordern ist. In Betracht kommen verschiedene Auslegungsmöglichkeiten: • Ausreichend könnte einerseits eine strukturelle Ausgliederung in ein Tochterunternehmen sein, ohne dass eine strikte Weisungsfreiheit oder wirtschaftliche Unabhängigkeit zu fordern ist.2 Dafür könnte sprechen, dass der Wortlaut des Art. 12 lit. a DGA gerade keine Weisungsfreiheit und auch keine Unabhängigkeit fordert und auch Erwägungsgrund 33 lediglich von einer “strukturellen Trennung” spricht. Weiter könnte ein Umkehrschluss aus Art. 12 lit. b DGA und Art. 11 Abs. 6 lit. b DGA ins Feld geführt werden, wo die Existenz verbundener Unternehmen des Datenvermittlungsdienstes als rechtmäßige Möglichkeit vorausgesetzt wird. DaTNet-Paper 06 Seite 8 von 18 Zudem verlangt Art. 12 lit. a DGA nach seinem Wortlaut, dass der “Anbieter von Datenvermittlungsdiensten” die Vermittlungstätigkeiten durch eine gesonderte juristische Person erbringt. Aus der Vorschrift ergibt sich also nicht, dass ein Anbieter die Eigenschaft als Datenvermittlungsdienst verliert oder aufgeben muss, wenn er diesen Dienst durch eine gesonderte juristische Person anbietet. Der Gesetzgeber scheint vielmehr davon auszugehen, dass der Anbieter ein Datenvermittlungsdienst i.S.d. DGA bleibt, auch wenn er die Datenvermittlung durch eine gesonderte juristische Person bereitstellt. Als ein “Anbieter von Datenvermittlungsdiensten” kann aber nur angesehen werden, wer auch weiterhin solche Tätigkeiten “in den Händen hält”, was aber kaum noch gesagt werden könnte, wenn der Anbieter jegliche Form der Weisungshoheit und Einflussmöglichkeit aufgeben müsste. • Es könnte aber andererseits auch argumentiert werden, dass nach ständiger Rechtsprechung des Europäischen Gerichtshofs (EuGH) Begriffe des Unionsrecht, die nicht abschließend definiert sind, anhand ihres Kontextes bestimmt werden, wobei bei verschiedenen möglichen Auslegungen derjenigen der Vorzug zu geben ist, die die praktische Wirksamkeit der unionsrechtlichen Vorschrift sichert (effet utile). Danach könnte zu beachten sein, dass das Trennungsgebot in einem Zusammenhang mit der im selben Satz der Vorschrift geforderten Zweckbindung steht. Daher dürfte das Trennungsgebot gerade darauf abzielen, die strenge Zweckbindung des Art. 12 lit. a DGA zu flankieren, was aber mit einer bloß formellen Ausgliederung der juristischen Person nicht unbedingt sichergestellt wäre, insbesondere wenn das Tochterunternehmen die Interessen der Muttergesellschaft zu berücksichtigen hätte. Daher könnte sehr wohl zu fordern sein, dass mit der Ausgliederung sicherzustellen ist, dass der Datenvermittlungsdienst innerhalb der Unternehmensorganisation jedenfalls gegenüber den datengebenden und datennutzenden Einheiten und wenigstens im Hinblick auf die Tätigkeit als Datenvermittlungsdienst weisungsfrei ist. Gegen ein solches Verständnis spricht auch nicht der Umkehrschluss aus Art. 12 lit. b DGA und Art. 11 Abs. 6 lit. b DGA, da aus diesen Vorschriften lediglich geschlussfolgert werden kann, dass der Datenvermittlungsdienst Teil eines verbundenen Unternehmens sein kann. Dagegen ergibt sich daraus nicht, dass die Unternehmensverbindung vollkommen weisungsfrei sein darf. 2 Kristina Schreiber/Patrick Pommerening/Philipp Schoel. Der neue Data Act, § 12 Rn. 94; Meinhard Schröder, in: Beck´scher Onlinekommentar, Datenschutzrecht, Art. 12 DGA Rn. 16; Pascal Schumacher/Mirjam Lück, in: Anne Paschke/Daniel Rücker (Hrsg.), Art. 12 Rn. 9; Heiko Richter, Europäisches Datenprivatrecht: Lehren aus dem Kommissionsvorschlag für eine „Verordnung über europäische Daten-Governance“, ZEuP 2021, 634 (654); Moritz Hennemann/Lukas von Ditfurth, Datenintermediäre und Data Governance Act, NJW 2022, 1905 (1908 f.); Gerald Spindler, Schritte zur europaweiten Datenwirtschaft – der Vorschlag einer Verordnung zur europäischen Data Governance, CR 2021, 98 (104). DaTNet-Paper 06 Seite 9 von 18 b) Pflichten im Hinblick auf die Ausgestaltung der Zugangsund Nutzungsbedingungen Ein zweiter zentraler Pfeiler des Pflichtenkatalogs in Art. 12 DGA zielt auf die Ausgestaltung der Zugangsbedingungen ab. Diese unterliegen einem Kopplungsverbot (Art. 12 lit. b DGA) und sie müssen fair, transparent und diskriminierungsfrei sein (Art. 12 lit. f DGA). (1) Kopplungsverbot nach Art. 12 lit. b DGA Nach Art. 12 lit. b DGA darf der Anbieter des Datenvermittlungsdienstes sein Leistungsangebot (also insbesondere die Datenvermittlung) gegenüber Dateninhabern oder Datennutzern nicht von der Nutzung anderer Dienste abhängig machen, die der Anbieter des Datenvermittlungsdienstes oder ein mit ihm verbundenes Unternehmen (zusätzlich) anbieten. Damit schreibt der Gesetzgeber ein so genanntes Kopplungsverbot vor. Damit ergibt sich ein höchst unbefriedigendes Bild: Während im Schrifttum die Weisungsfreiheit überwiegend nicht gefordert wird, könnte sich angesichts der oben aufgezeigten Unsicherheit bis zur Klärung durch den EuGH gleichwohl eine Ausgestaltung empfehlen, bei der eine gewisse Weisungsfreiheit und Unabhängigkeit sichergestellt ist (z.B. keine Besetzung mit gleichem Entscheidungsund Leitungspersonal, durch klare Aufgabenzuordnungen in Arbeitsverträgen, kein Angewiesensein auf die Dienstleistungen des verbundenen Unternehmens, vertraglicher bzw. gesellschaftsvertraglicher Ausschluss von operativen Weisungsrechten, etc.). . Hinweis 1: Das Kopplungsverbot soll das Neutralitätsgebot flankieren. Datenvermittlungsdienste sollen die neutrale Vermittlung von Daten gewährleisten und diese nicht als Hebel für die Inanspruchnahme von kostenpflichtigen Zusatzangeboten missbrauchen dürfen. Hinweis 2: Das Kopplungsverbot gilt nach dem Wortlaut des Gesetzes ausdrücklich nur gegenüber Dateninhabern und Datennutzern, nicht dagegen gegenüber betroffenen Personen. Dies bedeutet, dass Angebote von Datenvermittlungsdiensten die gegenüber betroffenen Personen im Hinblick auf die Vermittlung ihrer personenbezogenen Daten erbracht werden, sehr wohl von weiteren Zusatzleistungen abhängig gemacht werden dürfen. Als Beispiel kommt etwa in Betracht, dass von betroffenen Personen für die Vermittlung ihrer personenbezogenen Daten verlangt wird, dass sie gleichzeitig ein etwaiges Einwilligungsund Informationsverwaltungssystem (sogenanntes Personal Information Management System, PIMS) nutzen oder ein Zusatzangebot zum Management ihrer Betroffenenrechte in Anspruch nehmen. DaTNet-Paper 06 Seite 16 von 18 (7) besondere Pflichten beim Anbieten von datenschutzrechtlichen Unterstützungsleistungen sowie von Einwilligungsund Erlaubniswerkzeugen (Art. 12 lit. m und n DGA) Die Pflichten aus Art. 12 lit. m und n DGA sind zu beachten, wenn Anbieter von Datenvermittlungsdiensten • betroffene Personen bei der Ausübung ihrer datenschutzrechtlichen Rechte unterstützen (lit. m) oder • Werkzeuge für die Einholung von Einwilligungen und Erlaubnissen bereitstellen (lit. n), und zwar o für die Verarbeitung von personenbezogen Daten (Einwilligung) o oder für die Verarbeitung nicht personenbezogener Daten (Erlaubnis). Hinweis 1: Will ein Anbieter von Datenvermittlungsdiensten personenbezogene Daten vermitteln, so ist für jede einzelne Datenverarbeitung eine eigene Rechtsgrundlage nach Art. 6 Abs. 1 DGSVO erforderlich, also sowohl für die Erhebung der Daten als auch für die Übermittlung, die Speicherung und die anschließende Nutzung. Als eine solche Rechtsgrundlage kommt insbesondere die Einwilligung der betroffenen Personen in Betracht (Art. 6 Abs. 1 lit. a DSGVO). Hinzu kommt, dass betroffenen Personen nach der DSGVO sogenannte Betroffenenrechte zustehen, die von den verantwortlichen Datenverarbeitern zu gewährleisten sind. Für Anbieter von Datenvermittlungsdiensten kann es sich daher anbieten, sowohl bei der Ausübung der Betroffenenrechte als auch bei der Einholung einer Einwilligung zu unterstützen bzw. entsprechende Werkzeuge bereitzustellen. Hinweis 3: “Höchstes Sicherheitsniveau” für wettbewerbsrelevante Informationen deutet darauf hin, dass der Gesetzgeber den Anbietern hier kaum noch einen Ermessensspielraum zubilligt und insbesondere ein zu hoher Aufwand und zu hohe Kosten nicht mehr ins Gewicht fallen können. Hinweis 2: Was angemessen ist, bestimmt sich nach vernünftigem Ermessen, wobei insbesondere die Verschlüsselung der Daten und innerbetriebliche Vorgaben in Betracht kommen, genauso wie verpflichtende Vorgaben gegenüber den Empfängern von Daten, insbesondere im Hinblick auf die Einhaltung der einschlägigen technischen Standards, Verhaltenskodizes und Zertifizierungen (Erwägungsgrund 23 DGA). Der Anbieter ist verpflichtet, bei seiner Entscheidung über die angemessenen Maßnahmen sämtliche Belange der beteiligten und betroffenen Akteure gegeneinander abzuwägen. Je sensibler die Daten sind und je mehr ein unrechtmäßiger Zugriff zu einem Schaden für Beteiligte oder sonstige Dritte führen kann, um so größere Anstrengungen und Aufwendungen können vom Anbieter zu fordern sein. DaTNet-Paper 06 Seite 17 von 18 Für Anbieter von Datenvermittlungsdiensten gelten dann die folgenden Pflichten: • Wenn Anbieter von Datenvermittlungsdiensten betroffene Personen bei der Ausübung ihrer datenschutzrechtlichen Rechte unterstützen (lit. m), müssen sie: o im besten Interesse der betroffenen Personen handeln; o die betroffenen Personen informieren und – soweit erforderlich – beraten, und zwar: ▪ in prägnanter, transparenter, verständlicher und leicht zugänglicher Weise, ▪ bevor die betroffenen Personen ihre Einwilligung erteilen, ▪ im Hinblick auf die beabsichtigte Nutzung der Daten durch die Datennutzer und die üblichen Geschäftsbedingungen für solche Nutzungen. • Wenn Anbieter von Datenvermittlungsdiensten Werkzeuge für die Einholung von Einwilligungen (zur Nutzung personenbezogener Daten) oder einer Erlaubnis (zur Nutzung nicht personenbezogener Daten) anbieten, dann müssen sie: o gegebenenfalls die Betroffenen bzw. die Dateninhaber über das Hoheitsgebiet des Drittlandes (also außerhalb der EU), in dem die Datennutzung stattfinden soll, informieren sowie o den betroffenen Personen bzw. den Dateninhabern Werkzeuge zum Widerruf der Einwilligung bzw. Erlaubnis bereitstellen (vgl. für personenbezogene Daten Art. 82 DSGVO). (8) Protokollierungspflicht (Art. 12 lit. o DGA) Schließlich sind Anbieter von Datenvermittlungsdiensten nach Art. 12 lit. o DGA verpflichtet, ein Protokoll über die Datenvermittlungstätigkeit zu führen. Aus dem DGA ergeben sich weder Umfang noch Inhalt, Details, Form oder gar Zweck dieser Pflicht. Es liegt aber nahe, dass damit die Einhaltung der anderen Pflichten des Art. 12 DGA nachgewiesen werden soll. Insofern wäre insbesondere zu protokollieren: • falls die Daten für eigene Zwecke verwendet wurden, die Art und der Grund dafür, • zu welchen Bedingungen welche Dienste jeweils angeboten und aus welchen Gründen Zugang zum Dienst gewährt oder versagt worden sind, Hinweis 2: Als datenschutzrechtliche Betroffenenrechte kommen insbesondere in Betracht: Die Erteilung einer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), der Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO), das Auskunftsrecht (Art. 15 DSGVO), das Berichtigungsrecht (Art. 16 DSGVO), der Löschungsanspruch (Art. 17 DSGVO), das Recht auf Datenübertragbarkeit (Art. 20 DSGVO), das Beschwerderecht (Art. 77 DSGVO) sowie die Geltendmachung von Schadensersatzansprüchen (Art. 82 DSGVO). DaTNet-Paper 06 Seite 18 von 18 • inwieweit gegebenenfalls Metadaten erhoben und verarbeitet wurden, • in welchem Format Daten erhalten, gegebenenfalls konvertiert und weitergegeben worden sind und gegebenenfalls aus welchem Grund, • welche zusätzlichen Werkzeuge angeboten wurden und aus welchem Grund, • welche technischen und organisatorischen Sicherheitsmaßnahmen ergriffen worden sind, um unrechtmäßigen Zugang zu verhindern und das jeweils erforderliche angemessenes Sicherheitsniveau zu gewährleisten, • wie gegebenenfalls Informationen und Werkzeuge für das Rechtemanagement bereitgestellt wurden. 4. Durchsetzung der Pflichten und Sanktionierung Die Einhaltung der oben genannten Pflichten und der sonstigen Anforderungen des 3. Kapitels des DGA soll nach dem Entwurf für ein Durchführungsgesetz von der Bundesnetzagentur überprüft und durchgesetzt werden (§ 6 Abs. 1 DGG-Entwurf). Dazu ermittelt sie den Sachverhalt von Amts wegen und bestimmt Art und Umfang der Ermittlungen und kann von den Anbietern Informationen anfordern. Stellt die Bundesnetzagentur einen Pflichtverstoß fest, so teilt sie dem Anbieter dies mit und gibt ihm Gelegenheit, innerhalb von 30 Tagen nach Erhalt der Mitteilung dazu Stellung zu nehmen (§ 6 Abs. 2 DGG-Entwurf). Zur Beendigung eines Verstoßes kann die Bundesnetzagentur den betreffenden Anbieter auffordern, die betreffenden Anforderungen innerhalb einer angemessenen Frist, in schwerwiegenden Fällen unverzüglich, zu erfüllen (§ 6 Abs. 3 DGGEntwurf). Kommt der Anbieter des Datenvermittlungsdienstes dieser Aufforderung nicht innerhalb der gesetzten Frist nach, kann die Bundesnetzagentur die erforderlichen Maßnahmen anordnen. Sie kann insbesondere die Verschiebung des Beginns oder eine Aussetzung der Erbringung des Datenvermittlungsdienstes bis zur Beendigung des Verstoßes anordnen (§ 6 Abs. 4 DGG-Entwurf). Bei schwerwiegenden oder wiederholten Verstößen kann die Bundesnetzagentur die Bereitstellung des Datenvermittlungsdienstes untersagen (§ 6 Abs. 5 DGG-Entwurf). Zur Durchsetzung derartiger Anordnungen kann die Bundesnetzagentur zudem nach Maßgabe des Verwaltungsvollstreckungsgesetzes ein Zwangsgeld in Höhe von bis zu 500.000 Euro - auch mehrfach - festsetzen (§ 6 Abs. 6 DGGEntwurf). In Betracht kommt nach deutschem Recht ferner eine private Rechtsdurchsetzung durch Wettbewerber und bestimme anspruchsberechtigte Stellen (wie z.B. Verbraucherverbände) nach §§ 8 ff. des Gesetzes gegen unlauteren Wettbewerb (UWG). 4 Welche Pflichten gelten für Datenvermittlungsdienste im Sinne des Daten-Governance-Rechtsakts? © 2025 by Sven Hetmank is licensed under CC BY-ND 4.0. To view a copy of this license, visit https://creativecommons.org/licenses/by-nd/4.0/ 4 Vgl. hierzu Louisa Specht-Riemenschneider, in: Louisa Specht Riemenschneider/Moritz Hennemann (Hrsg.), Nomos Handkommentar, Data Governance Act. 2. Auflage 2025, Art. 12 Rn. 105 ff.