Was ist der Daten-Governance-Rechtsakt (DGA)?

Was ist der DatenGovernance-Rechtsakt (DGA)? Sven Hetmank Technische Universität Dresden DaTNet-Paper 02 DOI: 10.82115/1778-w640 Veröffentlichungsdatum: September 2025 DaTNet-Paper 02 Seite 2 von 12 Was ist der Daten-Governance-Rechtsakt (DGA)? I. Was ist der DGA und welche Ziele werden damit verfolgt? Der DGA wurde als eine Verordnung der Europäischen Union am 30. Mai 2022 verabschiedet, trat am 23. Juni 2022 in Kraft und gilt seit dem 24. September 2023 (Art. 38 DGA). Mit ihm sollen einheitliche Vorschriften geschaffen werden, um die Entwicklung eines digitalen europäischen Binnenmarktes für Daten sowie eine vertrauenswürdige und sichere Datengesellschaft und -wirtschaft voranzutreiben, und zwar insbesondere durch drei Zielrichtungen: • Es soll die Nutzung von geschützten Daten im Besitz öffentlicher Stellen erleichtert werden (siehe unten II. und Kapitel II des DGA). • Es soll die Etablierung neutraler und vertrauenswürdiger Akteure gefördert werden, die die Bereitstellung von Daten vermitteln („Datenvermittlungsdienste“, siehe unten III. und Kapitel III des DGA). • Es soll das Vertrauen in die Vermittlung durch sog. datenaltruistische Organisationen gestärkt (siehe unten IV. und Kapitel IV des DGA). Adressiert wird mit dem DGA die Verfügbarkeit sowohl von personenbezogenen als auch von nicht personenbezogenen Daten. Dies wirft eine Vielzahl von Berührungspunkten mit anderen Rechtsvorschriften auf, deren Einhaltung von den Normadressaten des DGA zusätzlich zu beachten ist. Hierzu zählen insbesondere: • das Datenschutzrecht • das Urheberrecht • der Data Act sowie • die Verordnung über den europäischen Gesundheitsdatenraum (EHDS). Flankiert wird der DGA schließlich auf nationaler Ebene durch nationale Durchführungsgesetze. In Deutschland gibt es derzeit nur Entwürfe für ein DatenGovernance-Gesetz (DGG) und für eine Gebührenordnung. DaTNet-Paper 02 Seite 3 von 12 II. Was regelt der DGA für Daten im Besitz öffentlicher Stellen? Daten, die von öffentlichen Stellen unter Einsatz öffentlicher Mittel erhoben oder generiert wurden, sollen nach dem Willen des Verordnungsgebers auch der Gesellschaft zugutekommen (Erwägungsgrund 6 Satz 1 DGA). Da Daten im Besitz der öffentlichen Hand bislang nur unzureichend genutzt werden, (Erwägungsgrund 6 Satz 6 DGA) sollen mit dem DGA in der gesamten Union einheitliche Bedingungen für den Zugang und Nutzung solcher Daten etabliert werden, (Erwägungsgrund 6 Satz 8 DGA) wie insbesondere • ein grundsätzliches Verbot von Ausschließlichkeitsvereinbarungen für die Weiterverarbeitung, einschließlich Bedingungen für Ausnahmen von diesem Verbot (Art. 4 DGA), • die Pflicht zur Bekanntmachung der Bedingungen zur Weiterverwendung (Art. 5 Abs. 1 DGA), • die Pflicht zur diskriminierungsfreihen, transparenten, verhältnismäßigen und objektiv gerechtfertigten Ausgestaltung der Bedingungen zur Weiterverwendung (Art. 5 Abs. 2 DGA), • die Pflicht zur Absicherung der Achtung des Schutzes betroffener Personen und Dateninhaber, insbesondere im Hinblick auf den Schutz personenbezogener Daten und vertraulicher Geschäftsinformationen, durch entweder: o Sicherstellung der Anonymisierung von personenbezogenen Daten bzw. der Veränderung von, vertraulichen Geschäftsinformationen, o die Beschränkung des Zugangs auf Fernzugriff in einer sicheren Verarbeitungsumgebung oder o durch die Beschränkung des Zugangs auf einen physischen Zugriff in den physischen Räumen der öffentlichen Stelle, • die Sicherstellung der Integrität und Funktion der technischen Systeme, soweit der Zugang auf Fernzugriff oder auf den physischen Zugriff beschränkt werden soll, (Art. 5 Abs. 4 DGA), • die Pflicht zur Absicherung des Schutzes der Daten (Art. 5 Abs. 3 DGA), ggf. Gewährleistung von Geheimhaltung, Untersagung von Re-Identifizierung sowie Unterrichtungspflichten bei unbefugter Weiterverwendung (Art. 5 Abs. 5 DGA) • Ggf. Unterstützungspflichten bei der Einholung von Einwilligungen und Erlaubnissen (Art. 5 Abs. 6 DGA), • die Pflicht zur Beachtung von geistigen Eigentumsrechten sowie zur Sicherstellung der Wahrung der geschäftlichen und statistischen Vertraulichkeit, (Art. 5 Abs. 7 und 8 DGA), DaTNet-Paper 02 Seite 4 von 12 • Bedingungen, Unterrichtungsund Unterstützungspflichten für Fälle der Datenübertragung in Drittländer (Art. 5 Abs. 9 ff. DGA), • Vorgaben für die Gebührenerhebung (Art. 6 DGA) und die zuständigen Stellen (Art. 7 DGA), • die Einrichtung von Zentralen Informationsstellen als Anlaufstellen für potentielle Weiterverwender (Art. 8 DGA) sowie • Vorgaben für das Verfahren für Anträge auf die Weiterverwendung, insbesondere im Hinblick auf die Entscheidungsfrist (zwei Monate) und zur Überprüfbarkeit der getroffenen Entscheidung durch eine unparteiische Stelle (Art. 9 DGA). Demgegenüber enthält der DGA keine Bereitstellungsverpflichtung seitens der öffentlichen Stellen, genauso wenig wie eine Rechtsgrundlage für die Verarbeitung personenbezogener Daten. III. Was gilt für Datenvermittlungsdienste? Datenvermittlungsdienste sollen dazu beitragen, Daten zu bündeln und den Austausch personenbezogener und nicht personenbezogener Daten zu erleichtern. Im dritten Kapitel des DGA werden daher harmonisierte Rahmenbedingungen für solche Dienste festgelegt, um die Datenwirtschaft durch Neutralität des Datenzugangs sowie Sicherstellung von Datenübertragbarkeit und Interoperabilität für alle Datennutzer zu öffnen und Lock-inEffekte zu vermeiden. Insbesondere ist vorgeschrieben, dass die Erbringung bestimmter, in Art. 10 DGA aufgelisteter Datenvermittlungsdienste einer Anmeldung nach Art. 11 DGA bedürfen und bestimmten Anforderungen nach Art. 12 DGA unterliegen, deren Einhaltung nach Art. 14 DGA von der zuständigen Behörde (in Deutschland der Bundesnetzagentur) überwacht wird. 1. Was sind Datenvermittlungsdienste? Datenvermittlungsdienste sind natürliche oder juristische Personen, die als neutrale Vermittler zwischen Datengebern und Datennutzern fungieren. Ihre Hauptaufgabe besteht darin, den Austausch von Daten durch technische, rechtliche oder sonstige Mittel zu erleichtern und zu fördern. Nach Art. 2 Nr. 11 DGA werden als Datenvermittlungsdienste allerdings nur solche Dienste erfasst, mit denen Hinweis: Vergleichbare Vorgaben finden sich bereits im Datennutzungsgesetz (DNG). Während das DNG die Weitergabe von offenen Daten regelt, erfasst der DGA lediglich bestimmte geschützte Daten, die beispielsweise einer gesetzlichen Geheimhaltung unterliegen oder die als personenbezogene Daten der Datenschutzgrundverordnung (DSGVO) unterfallen. DaTNet-Paper 02 Seite 5 von 12 • Geschäftsbeziehungen zwischen einer unbestimmten Anzahl von Datengebern einerseits und Datennutzern andererseits hergestellt werden sollen, • um die gemeinsame Datennutzung, auch für die Zwecke der Ausübung der Rechte betroffener Personen in Bezug auf personenbezogene Daten, zu ermöglichen. Hinzu kommt, dass nach dem Willen des Verordnungsgebers Dienste nicht erfasst sein sollen, wenn sie • Daten aggregieren, anreichern oder umwandeln, um deren Wert erheblich zu steigern, • urheberrechtlich geschützte Inhalte vermitteln (wie z.B. Filme, Musik, Bilder), • die Daten nur einem geschlossenen Nutzerkreis zugänglich machen. Hinweis 1: Grundsätzlich können laut Erwägungsgrund 27 Satz 3 auch öffentliche Stellen als Datenvermittlungsdienste im Sinne des DGA erfasst sein. Jedoch ist auch für sie erforderlich, dass sie das Ziel verfolgen, Geschäftsbeziehungen zwischen einer unbestimmten Anzahl von Datengebern und Datennutzern herzustellen. Dies wird beispielsweise bei von Hochschulen oder Forschungseinrichtungen betriebenen Datenbzw. Publikationsrepositorien regelmäßig nicht zutreffen. Hinweis 2: Um als Datenvermittlungsdienst i.S.d. DGA erfasst zu sein, ist nicht erforderlich, dass es bereits zu einer Datenübermittlung gekommen ist. Erfasst werden vielmehr auch Dienste, die lediglich Vorfeldtätigkeiten ausüben (vgl. den Wortlaut: “...durch technische, rechtliche oder sonstige Mittel…”). Hinweis 3: Im DGA findet sich keine Definition des Begriffs „Geschäftsbeziehung“. Daher ist insbesondere umstritten, ob für die Annahme einer Geschäftsbeziehung erforderlich ist, dass Datengeber für die von ihnen zur Verfügung gestellten Daten eine Gegenleistung oder einen anderen Vorteil – z.B. in Form eines Entgelts, eines Gutscheins, eines Datenzugangs oder auch einer Unterstützungsleistung – erhalten (oder erbringen) müssen. Gegen eine solche Auslegung könnte allerdings sprechen, dass dann die Regelung des Art. 15 DGA und die Ausnahme für datenaltruistische Organisationen rein deklaratorisch wäre. Denn weil sich die Begründung von Geschäftsbeziehungen und Datenaltruismus gegenseitig ausschließen, würden für das altruistische Datenteilen die Vorgaben des Kapitels III des DGA ohnehin nicht gelten. Gleichwohl sprechen die besseren Gründe für das Erfordernis einer Gegenleistung, weil andernfalls dem Begriff der „Geschäftsbeziehungen“ keine tatbestandsbegrenzende Wirkung zukäme und überflüssig wäre. -> Weitere Erläuterungen hierzu finden Sie in unserem DaTNet-Paper 03 „Was sind Datenvermittlungsdienste?“ -> Weitere Erläuterungen hierzu finden Sie in unserem DaTNet-Paper 03 “Was sind Datenvermittlungsdienste?”. DaTNet-Paper 02 Seite 6 von 12 Hinweis 4: Neben der Frage, was unter einer „Geschäftsbeziehung“ zu verstehen ist, bestehen weitere Unklarheiten: • Liegen Datenvermittlungsdienste i.S.d DGA auch dann vor, wenn ein Dienst ausschließlich „Zwecke der Ausübung der Rechte betroffener Personen“ verfolgt (wie z.B. die Durchsetzung von Auskunftsrechten, das Recht auf Datenportabilität oder Löschpflichten) aber keine Bereitstellung von Daten im eigentlichen Sinne? • Liegen Datenvermittlungsdienste i.S.d. DGA auch dann vor, wenn diese Dienste lediglich auf das „Einwilligungsmanagement“ für die Nutzung von bereits vorhandenen Daten abzielen, nicht aber auch auf die Bereitstellung dieser Daten oder auch nur den Zugang zu diesen Daten? • Nach welchen Kriterien ist zu bestimmen, ob die Vermittlung nach Art. 2 Nr. 11 DGA auf eine „unbestimmte Anzahl von betroffenen Personen oder Dateninhabern einerseits und Datennutzern andererseits“ abzielt bzw. eine „geschlossene Gruppe“ i.S.v. Art. 2 Nr. 11 lit. c DGA vorliegt? Genügt für das Vorliegen einer geschlossenen Gruppe, dass der Zugang z.B. regional begrenzt ist? Was gilt, wenn der Zugang von einer Mitgliedschaft abhängig ist, die bei Vorliegen allgemeiner Kriterien gewährt wird? • Nach welchen Kriterien ist zu bestimmen, ob Daten i.S.d. Art. 2 Nr. 11 lit. a DGA „aggregiert, angereichert oder umgewandelt werden, um deren Wert erheblich zu steigern“? Ist dieses Kriterium erfüllt, wenn Daten gebündelt und mittels KI-basierter Verfahren validiert werden und auf diese Weise deren Vertrauenswürdigkeit sichergestellt wird? Genügt es, dass durch Aufbereitung der Daten eine standardisierte Datennutzung ermöglicht wird? →Weitere Erläuterungen hierzu finden Sie in unserem DaTNetPaper 03 „Was sind Datenvermittlungsdienste?” DaTNet-Paper 02 Seite 7 von 12 2. Wie erfüllen Datenvermittlungsdienste ihre Anmeldepflicht? Wer beabsichtigt, einen Datenvermittlungsdienst i.S.d. oben genannten Definition anzubieten, muss sich gemäß Art. 11 Abs. 1 und 2 DGA bei der für seine Hauptniederlassung zuständigen Behörde im Sinne des Art. 13 DGA - in Deutschland die Bundesnetzagentur - anmelden. Die Anmeldung muss die folgenden Angaben zum Anbieter von Datenvermittlungsdiensten enthalten: • den Namen • den Rechtsstatus, die Rechtsform, die Eigentümerstruktur, die relevanten Tochtergesellschaften und bei Eintragung in einem Handelsregister oder einem anderen vergleichbaren öffentlichen nationalen Register, die Registernummer, • die Anschrift der Hauptniederlassung und falls zutreffend, und die Anschrift einer etwaigen Zweigniederlassung in einem anderen Mitgliedstaat oder des gesetzlichen Vertreters (Anbieter von Datenvermittlungsdiensten die nicht in der Union niedergelassen sind, müssen einen gesetzlichen Vertreter benennen (Art. 11 Abs. 3 DGA), • eine öffentliche Website mit vollständigen und aktuellen Informationen • die Kontaktpersonen und Kontaktangaben • eine Beschreibung des beabsichtigten Datenvermittlungsdienstes und Angaben dazu, unter welche der in Art. 10 genannten Kategorien dieser Datenvermittlungsdienst fällt (also insbesondere, ob es um die Vermittlung von nicht-personenbezogenen Daten, personenbezogene Daten oder um die Tätigkeit als Datengenossenschaft geht), • den voraussichtlichen Tag der Aufnahme der Tätigkeit, falls dies ein anderer als der Tag der Anmeldung ist. Erst nach Einreichung einer vollständigen und ordnungsgemäßen Anmeldung dürfen Anbieter von Datenvermittlungsdiensten nach Art. 11 Abs. 4 und 5 DGA ihre Tätigkeit – unter Einhaltung der Vorgaben aus insbesondere Art. 12 DGA – in allen Mitgliedstaaten aufnehmen („Verbot mit Anmeldevorbehalt“). Hinweis 1: Es genügt die kostenfreie Anmeldung bei der Bundesnetzagentur. Es ist also keine Genehmigung erforderlich und es erfolgt auch keine inhaltliche Prüfung von materiell-rechtlichen Voraussetzungen. Eine solche Überprüfung wird nach Art. 11 Abs. 9 UAbs. 1 DGA lediglich auf (kostenpflichtigen) Antrag vorgenommen. Wer sich einer solchen freiwilligen „Complianceprüfung“ unterzieht, kann das Label „in der EU anerkannter Datenvermittler“ führen und ein entsprechendes Logo verwenden. Die Kosten hierfür bestimmen sich nach dem Zeitaufwand. DaTNet-Paper 02 Seite 8 von 12 3. Welche Pflichten gelten für die Erbringung der Datenvermittlungsdienste? Anbieter, die Datenvermittlungsdienste nach der oben genannten Definition erbringen, unterliegen nicht nur einer Anmeldepflicht, sondern müssen bei der Erbringung ihrer Datenvermittlungsdienste auch die Anforderungen beachten, die in Art. 12 DGA festgelegt sind. Diese lassen sich in fünf Kategorien unterteilen: • Erstens: Neutralität der Datenvermittlungsdienste, wozu insbesondere folgende Anforderungen gehören: o Verbot der Nutzung von erhaltenen Daten für andere Zwecke, und zwar ▪ soweit es um die Daten geht, für die er den Vermittlungsdienst erbringt, dürfen diese nicht für andere Zwecke verwendet werden, als sie den Datennutzern zur Verfügung zu stellen (lit. a, siehe aber die Ausnahmen in Erwägungsgrund 33 Nr. 7: Verwendung zur Verbesserung der eigenen Dienste und der Nutzbarkeit oder Interoperabilität, sowie die Ausnahme nach lit. d) ▪ soweit es um die Daten geht, die für Zwecke der Bereitstellung des Dienstes erhoben wurden, dürfen diese für keine anderen Zwecke verwendet werden (lit. c, es geht hier also in Abgrenzung zu lit. a nicht um die Daten, deren Zugang vermittelt werden soll, erfasst sind hier vielmehr die Daten, die bei der Inanspruchnahme des Dienstes gesammelt werden, wie etwa Datum und Dauer der Nutzung des Dienstes) ▪ soweit es um Daten geht, die mit Zustimmung der Datenbereitsteller für das Angebot von Zusatzdiensten erhoben werden, dürfen diese für keine anderen Zwecke verwendet werden (lit. e) o Trennungsgebot, wonach die Datenvermittlung durch eine gesonderte juristische Person erfolgen muss, die von anderen Tätigkeiten des Anbieters getrennt ist (lit. a), wobei unklar ist, wie weit die Entflechtung reichen muss, insbesondere, inwieweit eine Weisungsfreiheit zu fordern ist, o Diskriminierungsverbot gegenüber Datengebern und Datennutzern (lit. b), insbesondere im Hinblick auf die Nutzungsbedingungen und Kosten des Dienstes, Hinweis 2: Für Dienste, die zum 23.6.2022 bereits tätig waren, gilt gemäß Art. 37 DGA eine dreijährige Übergangsfrist: Sie müssen die Verpflichtungen der Art. 11 ff. - und damit auch die Anmeldepflicht - somit erst ab dem 24.9.2025 einhalten. DaTNet-Paper 02 Seite 9 von 12 o Umwandlungsverbot (lit. d, der Anbieter darf die erhaltenen Daten nur konvertieren, (1.) um entweder Interoperabilität herzustellen, oder (2.) wenn der Nutzer dies verlangt, oder (3.) er dazu gesetzlich verpflichtet ist, wie etwa nach Art. 33 DGA oder (4.) dies der Harmonisierung mit internationalen oder europäischen Datenstandards dient. Ist die Konvertierung nicht durch Gesetz vorgegeben, muss der Anbieter den betroffenen Personen oder Dateninhabers aber in jedem Fall eine Opt-Out-Möglichkeit einräumen, bevor er von den genannten Ausnahmetatbeständen Gebrauch macht. • Zweitens: Diskriminierungsfreie, faire und transparente Zugangsbedingungen (lit. f) • Drittens: Einfacher Zugang zu den vermittelten Daten durch Sicherstellung von Interoperabilitätsund Standardisierung (lit. i) • Viertens: Gewährleistung eines Datensicherheitsniveaus, insbesondere durch o Vorkehrungen gegen Täuschung, missbräuchliche Praktiken, unrechtmäßige Übertragung und unrechtmäßigem Zugang (lit. g, h, j, k, l, n und o) o Gewährleistung der angemessenen Weiterführung und Absicherung bei Insolvenz (lit. h) o Informationspflichten bei Datenverarbeitungen außerhalb der EU (lit. n) o Pflicht der Protokollierung der Datenvermittlungsdiensttätigkeit (lit. o) • Fünftens: Treuhänderische Interessenbindung und Beratung für Dienste die gegenüber datenschutzrechtlich betroffenen Personen angeboten werden (lit. m), insbesondere die Verpflichtung, die Rechteausübung „im besten Interesse“ der betroffenen Personen zu erleichtern, also u.a. im Hinblick auf Erklärung und Widerruf der datenschutzrechtlichen Einwilligung, das Auskunfts-, Berichtigungs-, Löschungsund Datenportabilitätsrecht (Art. 15 ff. DSGVO). Bewertung: Die Anforderungen in Art. 12 DGA sind größtenteils allgemein und unbestimmt gehalten und auch die Erwägungsgründe bieten allenfalls Anhaltspunkte für ihre weitere Konkretisierung. Die daraus resultierende Rechtsunsicherheit dürfte ein freiwilliges Datenteilen und damit die Etablierung von Datenvermittlungsdiensten eher hemmen als fördern.