Data Act: Datenzugang und Geschäftsgeheimnisschutz (Grützmacher)

Der Data Act reguliert den Zugang zu maschinen- bzw. systemgenerierten Daten.¹ Ziel der EU-Kommission war es, mit dem Data Act das Recht des Stärkeren, nämlich die Möglichkeit der Hersteller, den Datenzugang faktisch zu monopolisieren, aufzubrechen.² Im Kern geht es dabei um den Zugang zu Daten von vernetzten Produkten, die datengenierende Sensoren oder Systeme enthalten. Erfasst werden aber letztlich mit der sperrigen Definition des Art. 2 Nr. 5 DA auch weitere „Gegenstände“, welche sonst Daten über ihre Nutzung oder Umgebung erlangen, generieren oder erheben und welche Produktdaten übermitteln können. Dazu zählen etwa die Daten von IoT-Devices³ oder die Daten von Connected Cars, aber auch von Medizinprodukten und vielem mehr. Nicht erfasst sind nach Art. 2 Nr. 5 DA Systeme, deren Hauptfunktion die Speicherung, Verarbeitung oder Übertragung von Daten im Namen einer anderen Partei mit Ausnahme des Nutzers ist. Das sind etwa die Server eines Cloudanbieters.⁴ Zudem zielt die Regulierung auf Daten von sog. verbundenen Diensten i.S.v. Art. 2 Nr. 6 DA.⁵

Diese Daten nutzen zu können, ist sowohl für Nutzer etwa von IoT-Devices, Maschinen, Fahrzeugen und anderen Systemen mit eingebetteten Softwarelösungen als auch für Dritte interessant, und zwar insbesondere, wenn es darum geht, komplementäre Dienstleistungs- und Datenmärkte zu erschließen. Für den Dateninhaber schafft dies auf diesen Märkten aus seiner Sicht mitunter unerwünschten Wettbewerb. Überdies aber muss der Dateninhaber – ggf. etwa der Hersteller von Fahrzeugen, Anlagen, Maschinen und Systemen – fürchten, dass im Zuge des Datenzugangs bzw. der Datenweitergabe wertvolles Know-how an den Nutzer bzw. an Dritte abfließen könnte.

Es stellt sich mithin die Frage, in welchem Umfang der Schutz von Geschäftsgeheimnissen durch die Datenzugangsansprüche ausgehöhlt wird oder ob – anders gewendet – der Data Act dem Geheimnisschutz ausreichend gerecht wird. Denn treffend hat hierzu bereits Grapentin angemerkt, dass die Datenzugangsrechte des Data Act zwar durch den Datenschutz und den Geheimnisschutz eingeschränkt würden, aber nur der Datenschutz insofern weitgehend unberührt bleibe.⁶

Datenzugangspflichten und -ansprüche und der Geschäftsgeheimnisschutz sind unter dem Data Act Antipoden. Eine nähere Analyse des Data Act zeigt dabei, dass der EU-Gesetzgeber größere Sympathie für den Datenzugang hegt als für den Geheimnisschutz, obwohl große Teile der europäischen Industrie – so etwa der Anlagen- und Maschinenbau, die Fahrzeugindustrie und die Hersteller von Medizinprodukten – sich insbesondere auf letzteren stützen müssen. Um dieses zu erkennen, sind die Datenzugangspflichten und -rechte und deren Einschränkungen näher zu beleuchten.

Der DA fordert⁷ zunächst in Art. 3 Abs. 1 DA einen konzeptionell vorgesehenen Datenzugang (Data Access by Design). Nach dieser Norm sind vernetzte Produkte und verbundene Dienste so zu konzipieren und herzustellen bzw. zu erbringen, dass die Produktdaten und verbundenen Dienstdaten (jeweils samt Metadaten) standardmäßig für den Nutzer einfach, sicher, unentgeltlich, in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format sowie, soweit relevant und technisch durchführbar,⁸ direkt zugänglich sind. Dabei geht es letztlich um alle Produktdaten, auch solche, die dem Dateninhaber nicht ohne Weiteres zugänglich sind, aber eben nur, wenn sich der direkte Zugang technisch erreichen lässt. Auch muss der Nutzer die Daten mitunter selbst aktiv abrufen,⁹ sie müssen eben nur zugänglich sein.

Demgegenüber subsidiär ¹⁰ hat der Dateninhaber , also oftmals z.B. wiederum der Hersteller oder Diensteanbieter, nach Art. 4 Abs. 1 Satz 1 DA dem Nutzer „ohne Weiteres verfügbare Daten“¹¹ (samt Metadaten) unverzüglich, einfach, sicher, unentgeltlich und in einem umfassenden, gängigen und maschinenlesbaren Format und mitunter, d.h. soweit relevant und technisch durchführbar, in der gleichen Qualität wie für den Dateninhaber bereitzustellen. Die Bereitstellung hat, wiederum nur soweit relevant und technisch durchführbar, kontinuierlich und in Echtzeit zu erfolgen sowie nach Satz 2, soweit verlangt und technisch durchführbar, auf elektronischem Weg.

Die Abgrenzung der produktbezogenen Pflichten nach Art. 3 Abs. 1 DA und der den Dateninhaber treffenden Pflichten nach Art. 4 Abs. 1 DA ist dabei unklar.¹² Auf den ersten Blick erscheinen die Regelungen gar widersprüchlich. Denn soweit die Verschaffung des Datenzugangs nach Art. 4 Abs. 1 DA entsprechend dessen Sätzen 1 und 2 technisch durchführbar bzw. für den Dateninhaber sogar ohne Weiteres, also leicht, definitionsgemäß ohne unverhältnismäßigen Aufwand zugänglich ist, müsste er eigentlich (...)