Data Act: Für mehr Kontrolle über die eigenen Daten

Vor fast einem Jahr hat die Europäische Kommission ihren Vorschlag für den Data Act veröffentlicht. Die Verordnung ist Teil der Europäischen Datenstrategie, mit der in Europa ein Markt für Daten geschaffen und reguliert werden soll. Dabei soll der Data Act definieren, wie Daten besser und rechtssicher nutzbar gemacht werden können.

Im Interview erklärt Florian Glatzner, Referent im Team Digitales und Medien des vzbv, warum die Regulierung der Datennutzung und -weitergabe relevant für Verbraucher:innen ist.

Herr Glatzner, wofür gibt es den Data Act?

Mit dem Data Act sollen Daten unter Achtung der europäischen Grundwerte verfügbarer gemacht werden. Er soll regeln, unter welchen Bedingungen Unternehmen, Institutionen oder auch Verbraucher:innen ihre und die von ihren vernetzten Geräten erzeugten Daten erhalten und anderen Akteuren zur Verfügung stellen können.

Mit Hilfe der Regulierung sollen zudem die Verbraucher:innen mehr Kontrolle darüber bekommen, was mit ihren Daten passiert – für wen, was und wie sie diese zur Verfügung stellen wollen. Wenn Verbraucher:innen bisher zum Beispiel einen Fitness-Tracker kaufen, können sie ihre Trainingsdaten oft nur vom Anbieter analysieren lassen. Künftig können sie aber auch vom Anbieter verlangen, diese Daten an eine andere Plattform zu übertragen, die ihnen möglicherweise bessere Auswertungsmöglichkeiten bietet.

Was sind die Chancen des Data Act?

Über unsere Daten gewähren wir einen Einblick in unser Leben, machen unsere Gewohnheiten und Vorlieben transparent. Und ganz alltäglich produzieren wir immer mehr Daten. Zum Beispiel über vernetzte Geräte – sei es in Form von Staubsauger-Robotern in der Wohnung oder Fitness-Tracker am Handgelenk. Dass wir als Verbraucher:innen wissen und kontrollieren können, wer diese Daten für welche Zwecke auswertet und weiterverwendet, ist wichtig, damit wir keine ungewollten Einblicke gewähren und die Daten zum Nachteil der Verbraucher:innen genutzt werden. Stattdessen sollen die Menschen ihre Daten zu ihrem Vorteil einsetzen können. Und bei entsprechender Regulierung können die Daten auch für hilfreiche Anwendungen im Gemeininteresse verarbeitet werden. Zum Beispiel könnten Informationen darüber, wann der Scheibenwischer eines Autos aktiviert wird, zur besseren Vorhersage des Wetters verwendet werden.

Für eine gerechte Verteilung der Wertschöpfung ist entscheidend, wer die Kontrolle über diese Daten hat, welche Zugangsmöglichkeiten bestehen und wie diese ausgestaltet werden. Ein Beispiel: Derzeit stehen die Daten, die ein modernes, vernetztes Auto generiert, unter der alleinigen Kontrolle der Hersteller. Der Zugang zu diesen Daten oder das Fehlen eines solchen Zugangs kann aber künftig darüber entscheiden, ob Verbraucher:innen eine günstige Reparaturwerkstatt an der Ecke aufsuchen können oder die teureren Leistungen des KFZ-Herstellers in Anspruch nehmen müssen.

Eine gut gestaltete Verordnung könnte außerdem die Entwicklung neuer Produkte und Dienstleistungen fördern und Innovation und Wachstum auf dem digitalen Markt anregen. Deshalb unterstützt der vzbv auch die Ziele des Data Act.

Das klingt alles sehr positiv. Gibt es auch Risiken, die durch den Data Act entstehen?

In der Praxis könnte der Data Act den Datenschutz schwächen. Das wäre zum Beispiel der Fall, wenn Unternehmen durch die neuen Regelungen an mehr personenbezogene Daten gelangen, ohne dass im Ausgleich angemessene rechtliche Schutzmaßnahmen eingeführt werden. Und die derzeit im Entwurf vorgeschlagenen Nutzungsverträge für Daten könnten Verbraucher:innen überfordern. In diesen Verträgen wird bestimmt, für welche Zwecke die Datenempfänger die übermittelten Daten weiterverwenden dürfen. Die Folgen einer solchen Datenweitergabe abzuschätzen, ist aber sehr komplex. Unternehmen könnten das leicht ausnutzen, um Menschen zu übervorteilen oder Fehlanreize zu bieten.

Die bisherigen Vorschläge der Europäischen Kommission schränken diese Zwecke bisher nicht ein. Datenempfänger könnten die eingekauften Daten also für jegliche Zwecke verarbeiten, die sie mit den Nutzer:innen vorab vereinbart haben. Ein Unternehmen könnte also Verbraucher:innen gegen einen kleinen finanziellen Ausgleich anbieten, dass diese die Daten ihres vernetzten Kühlschranks kontinuierlich und in Echtzeit an das Unternehmen übertragen, welches daraus wiederum Profile bildet und diese Profile zu Werbezwecke an weitere Datenhändler verkauft. Während ein solches Geschäftsmodell mit Blick auf nicht-personenbezogenen Daten unproblematisch sein könnte, wären entsprechende Geschäftsmodelle bei personenbezogenen Daten höchst kritisch. Zum Beispiel, wenn Daten des Fitness-Trackers an Gesundheitskassen weiterverkauft werden, die aufgrund dessen neue Tarifstrukturen einführen. Besonders einkommensschwache Bevölkerungsgruppen – wie Jugendliche oder Empfänger:innen von staatlichen Transferleistungen – könnten sich entscheiden, ihre knappen finanziellen Mittel mit dem Verkauf personenbezogener Daten zu erhöhen.

Welche Verbesserungen sind aus Verbrauchersicht am aktuellen Entwurf notwendig?

Ziel sollte sein, gesellschaftlich wünschenswerte Geschäftsmodelle zu ermöglichen und gleichzeitig Geschäftsmodelle auszuschließen, die das bisherige Daten- und Verbraucherschutzniveau erodieren lassen.

Um diesem Ideal näher zu kommen, fordert der vzbv unter anderem, dass personenbezogene Daten unter dem Data Act nicht für jeden Zweck verarbeitet werden dürfen. Stattdessen sollten konkrete Zwecke definiert werden, für die die Verarbeitung zur Verfügung gestellter personenbezogener Daten genehmigt werden.

Gleichzeitig sollten es Datenempfänger gestattet sein, den betroffenen Personen andere Dienstleistungen mit den Daten anzubieten. Wichtig ist, dass diese Angebote von den Verbraucher:innen explizit gewünscht werden oder für Forschung und Innovation im Gemeinwohlinteresse genutzt werden. Die direkte Vermarktung der Daten sollte dagegen untersagt werden – wie der Verkauf oder die Verwendung zu Werbezwecken. Genauso sollte verboten sein, Verbraucher:innen mit finanziellen Anreizen dazu zu bringen, ihre personenbezogenen Daten zur Verfügung zu stellen.

Gleichzeitig sollte es erlaubt sein, nicht-personenbezogene Daten zu den bestimmten Zwecken auch ohne Vereinbarung mit dem Nutzer zu verarbeiten. Dies würde Anreize für Geschäftsmodelle setzen, die auf nicht-personenbezogenen Daten beruhen.

Wann können Verbraucher:innen mit der Umsetzung der neuen Regelungen rechnen?

Derzeit beraten das Europäische Parlament und der Rat der Europäischen Union ihre jeweiligen Positionen zum Entwurf der Europäischen Kommission. Aktuell erwarten wir, dass dieser Prozess im Laufe des ersten Halbjahrs 2023 abgeschlossen wird. Anschließend werden die drei Institutionen in den sogenannten Trilog-Verhandlungen den Data Act verhandeln. Ein weiteres Jahr später – also voraussichtlich Ende 2024 – könnte der Data Act dann europaweit gültig werden.