Am 11. Januar 2024 trat die EU-Datenschutzverordnung (EU) 2023/2854 in Kraft, zwanzig Tage nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union. Die Verordnung gilt ab dem 12. September 2025. Sie verpflichtet Hersteller vernetzter Produkte und Anbieter zugehöriger Dienstleistungen zu grundlegenden neuen Pflichten und betrifft eine Vielzahl von Branchen: von der Fertigungsindustrie und dem Energiesektor über das Gesundheitswesen bis hin zur Automobilindustrie. Wer im geschäftlichen Kontext Daten erzeugt, verarbeitet oder nutzt, sollte sich daher rechtzeitig mit dem Anwendungsbereich dieser Verordnung auseinandersetzen.
Was regelt das Datenschutzgesetz?
Das Datenschutzgesetz ist Teil der europäischen Datenstrategie, die Europas Wettbewerbsposition in der Datenwirtschaft stärken soll. Die Verordnung legt fest, wer Zugriff auf Daten hat, die durch die Nutzung von Produkten oder Dienstleistungen generiert werden, und unter welchen Bedingungen diese Daten weitergegeben werden müssen. Es handelt sich dabei nicht um ein allgemeines Recht auf alle Daten, sondern um einen Rahmen mit sechs spezifischen Bereichen: Nutzerzugriff auf Produkt- und Dienstleistungsdaten, fairer B2B-Datenaustausch, öffentlicher Zugriff in Ausnahmefällen, Wechsel zwischen Datenverarbeitungsdiensten, Schutz vor internationalem staatlichem Zugriff auf nicht-personenbezogene Daten und Interoperabilität.
Pflichten für Unternehmen: Produktgestaltung
Vernetzte Produkte müssen so konzipiert und hergestellt werden, dass die generierten Daten standardmäßig einfach, sicher, kostenlos und in einem maschinenlesbaren Format direkt für den Nutzer zugänglich sind. Nutzer vernetzter Produkte – beispielsweise Smart-Home-Geräte, Industriemaschinen oder Fahrzeuge – erhalten dadurch das Recht auf Zugriff auf die Daten, die durch die Nutzung des jeweiligen Produkts entstehen. Hersteller und Dienstleister dürfen diese Daten nicht länger ausschließlich für sich behalten.
Wichtig ist, dass diese Verpflichtung schrittweise in Kraft tritt. Obwohl das Datenschutzgesetz insgesamt ab dem 12. September 2025 gilt, betrifft die Design- und Herstellungsverpflichtung für vernetzte Produkte erst Produkte, die nach dem 12. September 2026 in Verkehr gebracht werden. Bereits bestehende Produkte sind daher noch nicht erfasst.
Faire Bedingungen beim B2B-Datenaustausch
Die Verordnung enthält spezifische Regelungen zu Vertragsbedingungen in B2B-Datenverträgen . Eine von einem Unternehmen einseitig auferlegte Klausel ist für die andere Partei nicht bindend, wenn sie unbillig ist. Eine Klausel gilt als einseitig auferlegt, wenn die andere Partei trotz Verhandlungsversuchen keinen Einfluss auf ihren Inhalt nehmen konnte. Die Beweislast hierfür trägt die Partei, die die Klausel aufgenommen hat.
Eine Vertragsklausel ist unlauter, wenn ihre Verwendung grob von den Grundsätzen des guten Geschäftsverkehrs abweicht und gegen Treu und Glauben verstößt. Die Verordnung nennt als Beispiele Klauseln, die die Haftung für Vorsatz oder grobe Fahrlässigkeit ausschließen, die andere Partei an der Nutzung ihrer eigenen Daten hindern, eine einseitige Kündigung mit unangemessen kurzer Frist ermöglichen oder die einseitige Vornahme wesentlicher Preis- oder anderer wichtiger Änderungen gestatten. Die rechtliche Folge ist, dass die unlautere Klausel die andere Partei nicht bindet, während die übrigen Vertragsbestimmungen, soweit die Klausel abtrennbar ist, weiterhin gelten.
Wechselwirkung mit der DSGVO
Das Datenschutzgesetz ergänzt die Datenschutz-Grundverordnung (DSGVO), doch besteht ein wichtiges Zusammenspiel zwischen beiden. Die DSGVO erfasst ebenfalls personenbezogene Daten, trennt diese aber nicht vom Datenschutzrecht. Sofern der Nutzer nicht die betroffene Person ist, deren personenbezogene Daten angefordert werden, dürfen diese Daten nur dann bereitgestellt werden, wenn eine gültige Rechtsgrundlage gemäß Artikel 6 DSGVO vorliegt. Das Datenschutzgesetz stellt daher keine eigenständige Ausnahme von der DSGVO dar: Der Datenzugriff nach dem Datenschutzgesetz entbindet die Beteiligten weder von ihren DSGVO-Pflichten , noch bietet er eine Grundlage für die weitere Speicherung oder Wiederverwendung der bereitgestellten Daten über den Zweck ihrer Erhebung hinaus.
Cloud-Portabilität und -Umstellung
Ein separates Kapitel verpflichtet Anbieter von Datenverarbeitungsdiensten, den Wechsel zu einem anderen Anbieter zu erleichtern. Sie dürfen keine vorvertraglichen, kaufmännischen, technischen, vertraglichen oder organisatorischen Hindernisse schaffen, die Kunden am Wechsel hindern. Ab dem 12. Januar 2027 dürfen Anbieter von Datenverarbeitungsdiensten ihren Kunden keine Wechselgebühren mehr berechnen. Die eigentliche Übertragung von Daten und Konfigurationen muss ohne unangemessene Verzögerung und in keinem Fall nach einer obligatorischen Übergangsfrist von maximal dreißig Tagen erfolgen. Für Unternehmen, die stark von einem einzelnen Cloud-Anbieter abhängig sind, bietet dies eine neue Verhandlungsposition bei der Verlängerung oder Neuverhandlung von Verträgen.
Öffentlicher Zugang in Ausnahmefällen
Die Verordnung räumt öffentlichen Stellen unter strengen Auflagen die Möglichkeit ein, in Ausnahmefällen – wie etwa einem öffentlichen Notstand – Zugang zu personenbezogenen Daten zu verlangen. In diesem Fall sind Dateninhaber, mit Ausnahme von Kleinst- und Kleinunternehmen, verpflichtet, die erforderlichen Daten unentgeltlich zur Verfügung zu stellen. In anderen Ausnahmefällen hat der Dateninhaber Anspruch auf eine angemessene Entschädigung. Diese Befugnis unterliegt den in der Verordnung festgelegten Grundsätzen der Verhältnismäßigkeit und Subsidiarität.
Durchsetzung in den Niederlanden
In den Niederlanden ist die Durchsetzung der Verordnung durch das Umsetzungsgesetz (Uitvoeringswet dataverordening) gesetzlich verankert. Die niederländische Behörde für Verbraucher und Märkte (ACM) ist für den größten Teil der Verordnung zuständig, insbesondere für die Kapitel zu Produktdaten, B2B-Datenaustausch und Cloud-Portabilität. Die niederländische Datenschutzbehörde (AP) ist für die datenschutzrelevanten Aspekte und die Verarbeitung personenbezogener Daten gemäß bestimmten Artikeln und Kapitel V zuständig. Beide Behörden können in ihrem jeweiligen Zuständigkeitsbereich Maßnahmen ergreifen, indem sie Anordnungen erlassen, die mit einer Geldbuße oder einem Bußgeld verbunden sind. Das Umsetzungsgesetz sieht zudem eine Kooperations- und Informationsaustauschvereinbarung zwischen der ACM und der AP vor, um ein koordiniertes Vorgehen bei sich überschneidenden Fragestellungen zu ermöglichen.
Was bedeutet das in der Praxis?
Unternehmen, die vernetzte Produkte entwickeln, importieren oder vertreiben, sollten ihr Produktdesign und ihre Vertragsstruktur jetzt anhand des Datenschutzgesetzes überprüfen. Für Produkte, die nach dem 12. September 2026 auf den Markt gebracht werden, gelten die Design- und Zugänglichkeitsverpflichtungen uneingeschränkt. Dienstleister, die Daten im Auftrag von Nutzern verarbeiten, sollten prüfen, welche Datenweitergabepflichten für sie gelten und ob bestehende Vereinbarungen – einschließlich einseitig erstellter Datenklauseln – damit übereinstimmen.
Wer bis zum Beginn der Durchsetzung wartet, riskiert, den Anschluss zu verlieren. Produkte, Dienstleistungen und Verträge rechtzeitig an die neuen Regeln anzupassen, ist nicht nur eine Frage der Einhaltung , sondern eröffnet auch Chancen: Unternehmen, die ihren Kunden Transparenz und Datenzugriff bieten, heben sich in einem Markt hervor, der den Umgang von Unternehmen mit Daten zunehmend kritisch betrachtet.
Haben Sie Fragen zu den Auswirkungen des EU-Datenschutzgesetzes auf Ihr Unternehmen oder Ihre Verträge? Die Anwälte von Law & More helfen Ihnen gerne weiter.
Häufig gestellte Fragen
Gilt das Datenschutzgesetz bereits für meine bestehenden vernetzten Produkte?
Die Verordnung gilt ab dem 12. September 2025. Die Verpflichtung, vernetzte Produkte so zu gestalten, dass die Daten für die Nutzer zugänglich sind, gilt jedoch erst für Produkte, die nach dem 12. September 2026 in Verkehr gebracht werden. Produkte, die bereits vor diesem Datum auf dem Markt waren, fallen noch nicht darunter. Hersteller und Importeure tun dennoch gut daran, ihre Produktentwicklung jetzt an die neuen Anforderungen anzupassen, damit zukünftige Produkte bei Markteinführung den Vorschriften entsprechen.
Was soll ich tun, wenn mein Datenvertrag Klauseln enthält, die den Zugriff auf Daten einschränken?
Nach dem Datenschutzgesetz können einseitig auferlegte Vertragsbedingungen, die die andere Partei an der Nutzung oder Verwertung ihrer eigenen Daten hindern, als unfair und somit nicht bindend angesehen werden. Es empfiehlt sich, bestehende Datenverträge auf solche Klauseln überprüfen zu lassen. Die Beweislast dafür, dass eine Klausel nicht einseitig auferlegt wurde, liegt bei der Partei, die sie aufgenommen hat. Eine frühzeitige Neuverhandlung ist in der Regel effektiver als das Abwarten, bis die andere Partei die Verordnung geltend macht.
Darf ich personenbezogene Daten gemäß dem Datenschutzgesetz ohne Rechtsgrundlage der DSGVO weitergeben?
Nein. Das Datenschutzgesetz bietet keine eigenständige Grundlage für die Offenlegung personenbezogener Daten. Sofern der Nutzer nicht die betroffene Person ist, deren personenbezogene Daten angefordert werden, dürfen diese Daten nur dann bereitgestellt werden, wenn eine gültige Rechtsgrundlage gemäß Art. 6 DSGVO vorliegt. Darüber hinaus bietet der Datenzugriff nach dem Datenschutzgesetz keine Grundlage für eine weitere Speicherung oder Wiederverwendung der offengelegten personenbezogenen Daten über den ursprünglichen Zweck hinaus. Die Einhaltung der DSGVO und des Datenschutzgesetzes muss daher gleichzeitig gewährleistet sein.
Darf ich als Cloud-Service-Anbieter weiterhin Wechselgebühren erheben?
Ab dem 12. Januar 2027 ist es Anbietern von Datenverarbeitungsdiensten untersagt, ihren Kunden Wechselgebühren zu berechnen. Darüber hinaus dürfen ab dem 12. September 2025 keine technischen, vertraglichen oder organisatorischen Hindernisse mehr errichtet werden, die einen Wechsel behindern. Die eigentliche Datenübertragung beim Wechsel muss zudem unverzüglich und spätestens innerhalb einer Übergangsfrist von dreißig Tagen abgeschlossen sein. Bestehende Verträge mit längeren Laufzeiten oder Wechselgebühren sollten überprüft werden.
Welche Aufsichtsbehörde ist in den Niederlanden für die Durchsetzung des Datenschutzgesetzes zuständig?
Die Durchsetzung der Verordnung ist zwischen der niederländischen Behörde für Verbraucherschutz und Märkte (ACM) und der niederländischen Datenschutzbehörde (AP) aufgeteilt. Die ACM ist für den größten Teil der Verordnung zuständig, einschließlich der Bestimmungen zu Produktdaten, B2B-Datenaustausch und Cloud-Portabilität. Die AP ist für die datenschutzrelevanten Elemente und die Verarbeitung personenbezogener Daten gemäß bestimmten Artikeln und Kapitel V zuständig. Beide Behörden können Anordnungen erlassen, die mit einer Geldbuße oder einem Bußgeld verbunden sind. Gegen solche Entscheidungen stehen die üblichen verwaltungsrechtlichen Rechtsbehelfe zur Verfügung, darunter Widerspruch, Beschwerde und einstweiliger Rechtsschutz.
Gilt das Datenschutzgesetz auch für kleine Unternehmen?
Die Verordnung differenziert in einigen Punkten nach Unternehmensgröße. So sind beispielsweise Kleinstunternehmen und kleine Unternehmen bei öffentlichen Notfallanfragen zur Datenbereitstellung von der Pflicht befreit; ihnen steht in diesen Fällen eine angemessene Entschädigung zu. Für die übrigen Pflichten – darunter die Zugänglichkeitspflicht für vernetzte Produkte und der Fairnesstest für B2B-Bedingungen – gibt es keine generelle Ausnahme für kleine und mittlere Unternehmen. Kleinere Anbieter vernetzter Produkte oder Cloud-Dienste müssen ihre Geschäftstätigkeit daher rechtzeitig an die Verordnung anpassen.
