Der Data Act steht neben der Datenschutz-Grundverordnung. Beide Regelwerke haben unterschiedliche Ausgangspunkte, können sich in der Praxis aber sehr wirksam ergänzen.
Art. 15 DS-GVO gibt betroffenen Personen einen Anspruch auf Auskunft über ihre personenbezogenen Daten. Die betroffene Person kann unter anderem erfahren, welche personenbezogenen Daten verarbeitet werden, zu welchen Zwecken dies geschieht, welche Kategorien von Daten betroffen sind, an wen Daten weitergegeben wurden und wie lange sie gespeichert werden. Außerdem kann sie eine Kopie ihrer personenbezogenen Daten verlangen.
Der Data Act geht darüber hinaus. Er kann auch solche Daten erfassen, die nicht personenbezogen sind, aber aus der Nutzung eines vernetzten Produkts oder verbundenen Dienstes stammen. Das ist der entscheidende Unterschied.
Art. 15 DS-GVO beantwortet die Frage: Welche personenbezogenen Daten werden über mich verarbeitet?
Der Data Act beantwortet zusätzlich die Frage: Welche nutzungsbezogenen, technischen oder produktbezogenen Daten sind aus dem vernetzten Produkt oder Dienst verfügbar?
Gerade diese Kombination kann für die Aufklärung eines Sachverhalts entscheidend sein. Der Nutzer ist nicht mehr allein darauf beschränkt, personenbezogene Daten nach Datenschutzrecht anzufordern. Er kann zusätzlich prüfen, ob auch produkt- oder dienstbezogene Daten nach dem Data Act herauszugeben sind.
Konkrete Anforderungen an eine Datenanfrage
Es ist hier jedoch entscheidend, dass eine Datenanfrage möglichst konkret gestellt wird. Allgemeine Formulierungen wie „Bitte übersenden Sie alle vorhandenen Daten“ sind in der Praxis häufig wenig hilfreich.
Besser ist es, den betroffenen Vorgang genau zu beschreiben. Dazu gehört, welches Produkt oder welcher Dienst betroffen ist, welcher Zeitraum relevant ist, welches Ereignis oder welche Fragestellung aufgeklärt werden soll und welche Daten hierfür benötigt werden.
Soll ein Dritter eingeschaltet werden, sollte dieser konkret benannt werden. Außerdem sollte erklärt werden, weshalb die Daten an diesen Dritten übermittelt werden sollen. Das kann zum Beispiel die technische Prüfung, die Fehleranalyse, die Schadenbewertung, die Wartung, die rechtliche Prüfung oder die Durchsetzung beziehungsweise Abwehr von Ansprüchen sein.
Auch sollte angegeben werden, ob die Anfrage auf Art. 4 Abs. 1 Data Act, auf Art. 5 Abs. 1 Data Act, auf Art. 15 DS-GVO oder auf eine Kombination dieser Rechte gestützt wird.
Gerade diese Kombination wird in der Praxis häufig sinnvoll sein. Denn der Data Act kann technische und sachbezogene Produktdaten erfassen, während Art. 15 DS-GVO den Zugang zu personenbezogenen Daten eröffnet.
Grenzen des Datenzugangs
Der Data Act schafft neue Möglichkeiten, aber keinen grenzenlosen Anspruch auf jede denkbare Information.
Der Anspruch bezieht sich auf Daten, die in den Anwendungsbereich des Data Act fallen und für den Dateninhaber verfügbar sind. Er bedeutet nicht automatisch, dass der Dateninhaber neue Bewertungen, Gutachten oder Analysen erstellen muss.
Außerdem können Geschäftsgeheimnisse, Sicherheitsinteressen, Rechte Dritter und datenschutzrechtliche Anforderungen zu berücksichtigen sein. Diese Punkte führen nicht automatisch dazu, dass eine Anfrage abgelehnt werden darf. Sie müssen aber im Einzelfall geprüft und angemessen berücksichtigt werden.
Für Kundinnen und Kunden bedeutet das: Der Data Act ist ein starkes Instrument, aber kein pauschaler Freibrief. Wer Daten erhalten möchte, sollte den Anspruch sauber begründen, den Zweck klar benennen und mögliche Datenschutzfragen von Anfang an mitdenken.
Bedeutung für Kundinnen und Kunden
Für Kundinnen und Kunden liegt die praktische Bedeutung des Data Act darin, dass relevante Daten aus vernetzten Produkten nicht mehr allein im Herrschaftsbereich von Herstellern oder Anbietern verbleiben müssen.
Wer ein vernetztes Produkt nutzt, kann unter bestimmten Voraussetzungen verlangen, dass verfügbare Daten bereitgestellt werden. Nach Art. 4 Abs. 1 Data Act können diese Daten dem Nutzer selbst zur Verfügung gestellt werden. Nach Art. 5 Abs. 1 Data Act kann der Nutzer außerdem anweisen, dass die Daten unmittelbar an einen ausgewählten Dritten gehen.
In Verbindung mit Art. 15 DS-GVO entsteht dadurch ein deutlich erweitertes Instrumentarium. Personenbezogene Daten können über den Datenschutzanspruch zugänglich werden. Technische, nutzungsbezogene und sachbezogene Daten können über den Data Act hinzukommen. Zusammen können diese Ansprüche helfen, technische Vorgänge, Schäden, Störungen oder sonstige streitige Sachverhalte besser aufzuklären.