Data Governance Act

Der Data Governance Act (DGA), amtlich Verordnung (EU) 2022/868 über europäische Daten-Governance, ist am 23. Juni 2022 in Kraft getreten und gilt seit dem 24. September 2023 unmittelbar in allen Mitgliedstaaten. Er ist eine Säule der europäischen Datenstrategie und verfolgt ein anderes Ziel als die DSGVO: Während die DSGVO den Schutz personenbezogener Daten regelt, schafft der DGA Strukturen und Vertrauensmechanismen, damit Daten überhaupt geteilt und weiterverwendet werden können. Der DGA ist dabei ausdrücklich kein Datenschutzrecht zweiter Ordnung – Art. 1 Abs. 3 DGA stellt klar, dass die DSGVO unberührt bleibt und im Konfliktfall vorgeht. Der DGA begründet insbesondere keine eigene Rechtsgrundlage für die Verarbeitung personenbezogener Daten.

Inhaltlich ruht der DGA auf drei Säulen. Erstens regeln Art. 3 bis 9 DGA die Weiterverwendung geschützter Daten, die bei öffentlichen Stellen liegen und wegen Betriebs- und Geschäftsgeheimnissen, statistischer Geheimhaltung, Rechten des geistigen Eigentums Dritter oder ihres Personenbezugs nicht unter die Open-Data-Richtlinie fallen; verlangt werden unter anderem diskriminierungsfreie Bedingungen, angemessene Entgelte, sichere Verarbeitungsumgebungen sowie Anonymisierung oder Pseudonymisierung. Zweitens unterwerfen Art. 10 bis 15 DGA sogenannte Datenvermittlungs- oder Datenmittlungsdienste einem Anzeigeverfahren und einem strengen Neutralitätsgebot: Wer zwischen Dateninhabern und Datennutzern vermittelt, darf die vermittelten Daten nicht für eigene Zwecke verwerten und muss den Dienst rechtlich und wirtschaftlich getrennt betreiben; im Gegenzug darf er das EU-Label "in der Union anerkannter Anbieter von Datenvermittlungsdiensten" führen. Drittens regeln Art. 16 bis 25 DGA den Datenaltruismus: Organisationen, die Daten freiwillig und ohne Gegenleistung für Gemeinwohlzwecke wie Forschung, Gesundheit oder Klimaschutz bündeln, können sich als "in der Union anerkannte datenaltruistische Organisation" registrieren lassen und müssen dafür Transparenz-, Dokumentations- und Zweckbindungspflichten erfüllen; Art. 25 DGA sieht ein einheitliches europäisches Einwilligungsformular vor.

Für die Aufsicht benennen die Mitgliedstaaten zuständige Behörden für Datenvermittlungsdienste und Datenaltruismus sowie zentrale Informationsstellen; auf Unionsebene berät der Europäische Dateninnovationsrat. In Deutschland verzögerte sich die nationale Durchführungsgesetzgebung erheblich; vorgesehen ist eine Zuständigkeit der Bundesnetzagentur, während die Datenschutzaufsicht über personenbezogene Daten unverändert bei den Datenschutzaufsichtsbehörden bleibt. Praktisch bedeutet das eine doppelte Prüfung: Neben den DGA-Pflichten braucht jede Verarbeitung personenbezogener Daten weiterhin eine Rechtsgrundlage nach Art. 6 – und bei besonderen Kategorien nach Art. 9 – DSGVO, eine saubere Rollenverteilung sowie Garantien für Drittlandübermittlungen. Der DGA steht zudem im Verbund mit dem Data Act (Verordnung (EU) 2023/2854), der Zugangs- und Wechselrechte an vernetzten Produktdaten schafft. Zu beachten ist, dass die Europäische Kommission im Rahmen ihrer Digital-Omnibus-Vorschläge eine Straffung und teilweise Zusammenführung des Datenrechts angestoßen hat; ob und wie der DGA dabei geändert oder in den Data Act überführt wird, ist noch nicht abschließend entschieden.