Quo vadis Data Act?

Warum der Kommissionsentwurf für ein europäisches Datengesetz der Überarbei tung bedarf

Sebastian Rockstroh/Dr. Peter Katko*

Die EU möchte eine führende Rolle in der Datenwirtschaft übernehmen. Es soll ein Binnenmarkt für Daten entstehen, der auf einem verlässlichen Rechtsrahmen fußt. Die bis her erlassenen Rechtsakte ergeben aber (noch) kein in sich schlüssiges Konzept. Der EU-Gesetzgeber sollte auf eine Definition des Begriffs »Daten« verzichten und stattdessen Datenarten definieren. Das Datengesetz sollte überarbeitet werden, damit es sich in die bestehende Gesetzeslandschaft einfügt; dazu gehört auch die einheitliche Verwendung von Begrifflichkeiten

I. Einleitung

Die EU möchte zu einem weltweit führenden Akteur in der datenagilen Wirtschaft werden. Ein echter Binnenmarkt für Daten soll entstehen.¹ Nach Auffassung der Kommission wird das Potential der ständig zunehmenden Datenmenge aber ak ell nicht ausgeschöpft. Sie hat daher ein umfassendes Konzept für eine Datenwirtschaft entworfen, »das darauf abzielt, die Verwendung von Daten und datengestützten Produkten und Dienstleistungen sowie die Nachfrage danach im gesamten Binnenmarkt zu steigern«.² Herzstück des Datenwirt schaftsrechts³ soll ein europäisches Datengesetz (engl. Data Act) werden, mit dem Ziel, die rechtlichen, wirtschaftlichen und technischen Hindernisse zu beseitigen, die der Datennutzung angeblich im Wege stehen. Am 23.02.2022 legte die Kommission ihren endgültigen Vorschlag⁴ für ein Datengesetz (auch »DA-E«) vor.⁵ Als einen Haupthinderungsgrund für das Teilen von Daten nennt die Kommission im Folgenabschätzungsbericht⁶ die »Komplexität des regulatorischen Rahmenwerks für Unternehmen«.⁷ Von Komplexitätsreduzierung kann bisher keine Rede sein. Statt eines verlässlichen Rechtsrahmens für eine europäische Datenwirtschaft⁸ schafft der EU-Gesetzgeber einen Flickenteppich inkonsistenter Gesetzesakte.⁹ Es gelingt ihm nicht, den zentralen Begriff der »Daten« zu »greifen«,¹⁰ bestehende Begrifflichkeiten werden uneinheitlich verwendet¹¹ und sich mutmaßlich »ergänzende« Regelungen¹² führen zu Widersprüchen.¹³ Dieser Beitrag veranschaulicht die »Baustellen« anhand der Datenzugangsansprüche nach Art. 3, 4 und 5 DA-E und versucht, Lösungsmöglichkeiten aufzuzeigen.¹⁴

II. Zugang zu Daten nach dem Datengesetz

Produkte sind nach Art. 3 Abs. 1 DA-E so zu konzipieren und herzustellen und verbundene Dienste so zu erbringen, dass »die bei ihrer Nutzung erzeugten Daten« für den Nutzer zugänglich sind. Der Dateninhaber hat »die bei der Nutzung eines Produktes oder verbundenen Dienstes erzeugten Daten« nach Art. 4 Abs. 1 DA-E dem Nutzer¹⁵ und nach Art. 5 Abs. 1 DA-E – auf Verlangen des Nutzers – einem Dritten bereitzustellen. Das Datengesetz enthält in Art. 2 Definitionen zu »Daten«, »Produkt« und »verbundene Dienste«; offen bleibt, welche Daten »bei Nutzung eines Produktes oder eines verbundenen Dienstes erzeugt« werden.

1. Daten nach dem Datengesetz

Der Begriff der »Daten« ist nicht nur für das Datengesetz, sondern für die Datenwirtschaft insgesamt von zentraler Bedeutung.¹⁶ Das Datengesetz definiert »Daten« in Art. 2 Nr. 1 DA-E als »jede digitale Darstellung von Handlungen, Tatsachen oder Informationen sowie jede Zusammenstellung solcher Handlungen, Tatsachen oder Informationen auch in Form von Ton-, Bildoder audiovisuellem Material.« »Digitale Darstellung«, »Handlung«, »Tatsache« oder »Information« sind nicht definiert. Die juristische Literatur zum Datengesetz hat diese Definition von »Daten«, soweit ersichtlich, bisher nicht thematisiert. Es soll daher an dieser Stelle der Frage nachgegangen werden, ob die Definition von »Daten« in Art. 2 Nr. 1 DA-E tatsächlich zu mehr Rechtsklarheit und damit -sicherheit führt oder ob es eher eine spezifische Definition einer Datenart z.B. »nutzergenerierter IoTDaten« bedarf und was deren Inhalt sein könnte.

a) »Daten« als freihaltebedürftiger Begriff

Bereits vor Veröffentlichung des Datengesetzes war eine Diskussion zur Bestimmung des Datenbegriffs entbrannt;¹⁷ denn der Begriff »Daten« wird im allgemeinen Sprachgebrauch, in der Informationstechnik und sogar in der EU-Gesetzgebung uneinheitlich in unterschiedlichen Zusammenhängen mit unterschiedlicher Bedeutung verwendet. 1646¹⁸ wurde der Begriff »Data« das erste Mal im Englischen aufgezeichnet.¹⁹ Die Art und Weise, wie wir den Begriff »Daten« heute verstehen, hat sich dabei nicht nur im Laufe der Zeit weiterentwickelt,²⁰ sondern variiert auch in Bezug auf den Kontext und die Perspektive.²¹ Der Duden kennt vier unterschiedliche Definitionen von Daten.²² Floridi²³ bringt es wie folgt auf den Punkt: »According to the epistemic (i.e. knowledge-oriented) interpretation, data are collections of facts. […] According to the informational interpretation, data are information. In this sense, for example, personal data are equivalent to information about the corresponding individual. […] According to the computational interpretation, data are collections (sets, strings, classes, clusters etc.) of binary elements (digits, symbols, electrical signals, magnetic patterns, etc.) […].« ISO/IEC 2382:2015 (Information technology — Vocabulary) definiert »Daten« als »reinterpretierbare Darstellung von Informationen in einer formalisierten Weise, die für die Kommunikation, Interpretation oder Verarbeitung geeignet ist. Anmerkung 1 zum Eintrag: Die Daten können von Menschen oder automatisch verarbeitet werden.«²⁴ Dieser Standard knüpft die Definition von »Daten« mithin an keine bestimmte Darstellungsform. Er kennt für Daten, wie sie das Datengesetz definiert, vielmehr den Begriff »digitale Daten«.²⁵ Der EU-Gesetzgeber hat bisher zumeist unterschiedliche Datenarten definiert, nutzt aber auch nur den Begriff »Information«: Computerdaten²⁶ meint die »Darstellung von Tatsachen, Informationen oder Konzepten in einer für die Verarbeitung in einem Informationssystem geeigneten Form«.²⁷ Personenbezogene Daten²⁸ sind »alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person […] beziehen«; die Darstellungsform ist grds. irrelevant.²⁹ Die FFoD-VO³⁰ behandelt »Daten, die keine personenbezogenen Daten im Sinne [der DSGVO] sind«, meint aber nur Informationen »in elektronischer Form«.³¹ Art. 5 Abs. 3 e-Privacy Richtlinie³² schützt Informationen,³³ die in einem Endgerät gespeichert sind.³⁴ Die Typgenehmigungsverordnung³⁵ gewährt Zugang zu Reparatur- und Wartungsinformationen. Die Beispiele ließen sich beliebig fortsetzen. Schurs Frage, »ob es überhaupt einen einheitlichen Datenbegriff geben sollte oder geben kann«,³⁶ ist nach dem Vorgesagten berechtigt. Es spricht mehr dafür, dass der EU-Gesetzgeber auf eine Definition von »Daten« verzichtet und stattdessen Dartenarten definiert, wie z.B. »nutzungsgenerierte IoT-Daten«;³⁷ zumindest bis er einen universell zu verwendenden Datenbegriff gefunden hat.

b) »Digitale Darstellung«, »Handlung«, »Tatsache« und »Information«

Auch im Übrigen bleibt die Definition von »Daten« im Datengesetz unklar.38 Daten meint zunächst »digitale Darstellung von Handlungen, Tatsachen oder Informationen« und damit in Anlehnung an die »digitalen Daten« nach ISO/IEC 2382:2015 die Darstellung einer Handlung, Tatsache oder Information in Binärcode oder Hexadezimalcode. Mit Blick auf die sonstigen Datendefinitionen und die bisher geführten Diskussionen stellt sich die Frage, welcher Inhalt »Information«, »Handlung« und »Tatsachen« zukommt; es gibt weder einheitliche Begriffe noch einheitliche Konzepte.³⁹ ISO/ IEC 2382:2015 kennt »Handlung« und »Tatsache« als Untermenge von »Information«. Der Begriff »Tatsache« findet sich im gesamten Entwurf zum Datengesetz nur in der Definition von »Daten«. In ErwG 14 heißt es, »Daten stellen die digitalisierten Nutzerhandlungen und -vorgänge« dar«.⁴⁰ Aufgrund der unterschiedlichen Kontexte ist auch fraglich, ob auf die Erkenntnisse zum Begriff »Informationen« in Art. 4 Nr. 1 DSGVO zurückgegriffen werden kann. Auch die Nennung von Ton-, Bild- oder audiovisuellem Material ist unglücklich; diese Daten dürften gerade beim Hauptanwendungsfall der Anschlussdienste nur einen sehr geringen Anteil ausmachen; zumal Produkte, die in erster Linie zur Anzeige oder Wiedergabe von Inhalten oder zur Aufzeichnung und Übertragung von Inhalten bestimmt sind, nicht unter das Datengesetz fallen sollen.⁴¹

c) Das Datengesetz erfasst nur Daten, die bei Nutzung eines Produkts oder eines verbundenen Dienstes erzeugt werden

Im Folgenden soll der Frage nachgegangen werden, welche Daten »bei der Nutzung eines Produkts oder eines damit verbundenen Dienstes entstanden sind«.

aa) Produkt und verbundener Dienst

»Produkt« i.S.d. Art. 2 Nr. 2 DA-E meint – stark vereinfacht ausgedrückt – einen vernetzten⁴² körperlichen beweglichen Gegenstand. Ein »verbundener Dienst« (engl. related service) nach Art. 2 Nr. 3 DA-E ist ein »digitale[r] Dienst, einschließlich Software, der so in dieses Produkt integriert oder so mit ihm verbunden ist, dass das Produkt ohne ihn eine seiner Funktionen nicht ausführen könnte«. Die Definition von Produkt und verbundener Dienst entspricht fast wortgleich der Definition von »Waren mit digitalen Elementen« in Art. 2 Nr. 5 b) Warenkaufrichtlinie;⁴³ umgesetzt in §§ 327a Abs. 3 Satz 1, 475b BGB. Allerdings nur fast. Auch hier schafft das Datengesetz wieder unnötige Unklarheiten durch inkonsistente Verwendung von Begrifflichkeiten. Dies soll durch eine Gegenüberstellung⁴⁴ der Definitionen von »goods with digital elements« und »product and related service« verdeutlicht werden:

Tangible movable items that incorporate or are inter-connected with digital content or a digital service, , in such a way that the absence of that digital content
or digital service would prevent the goods from performing their functions.

Die Warenkauf-RL versteht unter digitalen Inhalten »Betriebssysteme, Anwendungen und andere Software«. Digitale Dienst(leistungen) sind z.B. Software as a Service oder die fortlaufende Bereitstellung von Verkehrsdaten in einem Navigationssystem.⁴⁵ Die Definition von »verbundener Dienst« nennt die »digitalen Inhalte« (engl. digital content) nicht, will aber »Software« als Teil des »digitalen Dienstes« erfasst wissen. Dass aber Waren mit digitalen Inhalten gemeint sein müssen, zeigen auch ErwG 14 (»physische Produkte, die mittels ihrer Komponenten Daten […] erzeugen«) und ErwG 16 (»in die ein Dienst so integriert oder die so mit ihm verbunden sind, dass das Produkt ohne ihn seine Funktionen nicht ausführen könnte«). Es handelt sich mithin um Daten, die »bei Nutzung« der reinen Hardware⁴⁶ anfallen oder »bei Nutzung« eines mit dieser verbundenen digitalen Dienstes, einschließlich auf dem Produkt laufender Software, allerdings nur, soweit dieser Dienst eine Funktion des Produktes ausführt.⁴⁷

bb) Bei der Nutzung erzeugt

Welche Daten genau als »bei Nutzung« eines Produktes oder verbundenen Dienstes »erzeugt« anzusehen sind, definiert das Datengesetz nicht.⁴⁸ Das Datengesetz sieht die Datenerzeugung als das Ergebnis des Handelns von mindestens zwei Akteuren an: dem Entwickler oder Hersteller eines Produkts und dessen Nutzer.⁴⁹ Dabei ist auch die Verwendung des Begriffs »Nutzer« missverständlich, denn gemeint ist der Eigentümer, Mieter oder Leasingnehmer des Produkts,⁵⁰ der nicht gleichzeitig der tatsächlich Nutzende sein muss.⁵¹ Mit dem Datengesetz soll ein »harmonisierter Rahmen geschaffen werden, in dem festgelegt wird, wer – außer dem Hersteller oder einem anderen Dateninhaber – unter welchen Bedingungen und auf welcher Grundlage berechtigt ist, auf die Daten zuzugreifen, die durch Produkte oder verbundene Dienste erzeugt werden.«⁵² Die Kommission scheint den Umfang der Zugangsansprüche über einen Abwägungsprozess bestimmt zu haben, in den sie den Beitrag zur Datenerzeugung und die Interessen der beteiligten Akteure, aber auch der Gesellschaft allgemein hat einfließen lassen.⁵³ Der Beitrag des Nutzers ist die Investition in das Produkt und dessen Nutzung: Die dabei erzeugten Daten stellen die Digitalisierung von Nutzeraktionen und -vorgängen dar und nur diese sollen für den Nutzer entsprechend zugänglich sein.⁵⁴ Hierzu gehören Daten, die vom Nutzer absichtlich aufgezeichnet werden, Nebenprodukt der Nutzerhandlung sind, wie z.B. Diagnosedaten, und Daten, die ohne Zutun des Nutzers erzeugt werden, z.B. wenn sich das Produkt im »Staby-Modus« befindet, sowie Daten, die in Zeiten aufgezeichnet werden, in denen das Produkt ausgeschaltet ist.⁵⁵ Ausdrücklich ausgenommen sind aus diesen reinen Nutzungsdaten abgeleitete oder gefolgerte Daten.⁵⁶ Dem Gesetzgeber geht es in ErwG 14 auch nicht um den Schutz der Software, die die Daten ableitet;⁵⁷ es geht ihm um eine Abwägung der Verursachungsbeiträge für die Datenerzeugung. Die Kommission argumentiert, dass der Einsatz einer geschützten Software die Abwägung zu Lasten des Nutzers ausfallen lässt. Die Abgrenzung wird schwierig. Das Max Planck Institut befürwortet daher, die erfassten Daten enger abzugrenzen, nämlich nur in Bezug auf die Daten, die auf der ersten Kodierung basieren, die bei Nutzung des Produkts oder des damit verbundenen Dienstes erfolgt.⁵⁸ Der Dateninhaber stellt die Daten »auf einfaches Verlangen« zur Verfügung (Art. 4 Abs. 1 DA-E). Das Zugangsrecht erfasst mithin nur Daten, die ab diesem Zeitpunkt erzeugt werden (ex nunc). Der Dateninhaber kann Daten nur bereitstellen, wenn er von dem Verlangen weiß; andernfalls wird er die erzeugten Daten verwerfen oder im Einklang mit den geltenden Daten schutzgesetzen anonymisieren. Wäre der Dateninhaber auch zur Herausgabe bereits erhobener (historischer) Daten verpflichtet, müsste er alle Daten für den Nutzer kennzeichnen, um sie später auf diesen rückführbar zu machen. Dies kann aus zwei Gründen nicht gewollt sein: Das Datengesetz selbst spricht an mehreren Stellen von der Datenminimierung.⁵⁹ Diese Pflicht würde zudem zu einer Art Dateneigentum für Nutzer, die natürliche Personen sind, führen, da diese ihre Rechte z.B. nach Art. 17 Abs. 1 DSGVO ausüben könnten. Juristischen Personen stehen diese Rechte nicht zu.

cc) Hersteller/Dateninhaber

Nach ErwG 4 soll »ein harmonisierter Rahmen geschaffen werden, in dem festgelegt wird, wer – außer dem Hersteller oder einem anderen Dateninhaber – unter welchen Bedingungen und auf welcher Grundlage berechtigt ist, auf die Daten zuzugreifen, die durch Produkte oder verbundene Dienste erzeugt werden.« Es sind mithin nur Daten umfasst, die der Dateninhaber in eigener Herrschaftssphäre speichert oder die Datenspeicherung kontrolliert.⁶⁰

dd) Geschäftsgeheimnisse nur im Ausnahmefall offenzulegen

Geschäftsgeheimnisse sind nach Art. 4 Abs. 3 DA-E nur offenzulegen, wenn »alle besonderen Maßnahmen getroffen worden sind, die erforderlich sind, um die Vertraulichkeit der Geschäftsgeheimnisse, insbesondere gegenüber Dritten, zu wahren«. Nach Art. 5 Abs. 8 DA-E werden Geschäftsgeheimnisse »Dritten gegenüber nur insoweit offengelegt, als dies für den zwischen dem Nutzer und dem Dritten vereinbarten Zweck unbedingt erforderlich ist und der Dritte alle zwischen ihm und dem Dateninhaber vereinbarten besonderen Maßnahmen getroffen hat, die erforderlich sind, um die Vertraulichkeit des Geschäftsgeheimnisses zu wahren«. Diese, wenn auch nur beschränkte Pflicht zur Offenlegung von Geschäftsgeheimnissen, irritiert. Die Kommission betont in der Begründung noch, dass »der Schutz vertraulicher Geschäftsdaten sowie von Geschäftsgeheimnissen ein wichtiger Aspekt für einen reibungslos funktionierenden Binnenmarkt [ist]«. Mit dem Datengesetz werde »die Wahrung von Geschäftsgeheimnissen […] gewährleistet«. ErwG 28 stellt den Grundsatz auf, dass Geschäftsgeheimnisse zu respektieren sind.⁶¹ Die Pflicht zur Offenlegung führt zu Widersprüchen inhaltlicher Art und bezüglich gesellschaftlich akzeptierter grundrechtlichen Abwägungsergebnisse.

i) Art. 20 DSGVO zu Geschäftsgeheimnissen

Art. 5 Abs. 1 DA-E soll »das Recht [ergänzen], personenbezogene Daten gemäß Artikel 20 der Verordnung (EU) 2016/679 auf verschiedene Weise zu erhalten und zu übertragen.«⁶² Art. 20 Abs. 1 i.V.m. Abs. 4 DSGVO nimmt Geschäftsgeheimnisse der verantwortlichen Stelle aber ausdrücklich aus.⁶³ Das European Data Protection Board (EDPB) befasst sich in seiner Stellungnahme 01/2022⁶⁴ umfangreich mit der Parallelnorm in Art. 15 Abs. 4 DSGVO. Das EDPB schildert anhand von Beispielen nachvollziehbar den Prozess vom Antrag auf Zugang zu den eigenen personenbezogenen Daten bis zur teilweisen Zurückweisung des Anspruchs bzgl. solcher Daten, die Geschäftsgeheimnisse der verantwortlichen Stelle beinhalten. Dass Unternehmen künftig Zugang zu personenbezogenen Daten des Datensubjekts nach Art. 15 Abs. 4 und Art. 20 Abs. 4 DSGVO verweigern können, soweit diese Geschäftsgeheimnisse enthalten, zu den von ihren eigenen Produkten erzeugten Daten aber nicht, ist weder systematisch noch rational nachvollziehbar. Es kann zudem zu großen praktischen Problemen führen, da es für Unternehmen entscheidend sein wird, ob der Nutzer gerade einen Anspruch nach Art. 15 bzw. 20 DSGVO oder nach Art. 4 bzw. Art. 5 DA-E geltend macht.

i) Art. 17 Abs. 2, 16 GRCh als Schranke des Datengesetzes

Dass die Datenzugangsansprüche auch die Pflicht zur Offenbarung von Geschäftsgeheimnissen umfassen sollen, könnte gegen Art. 17 Abs. 2, 16 GRCh verstoßen und nicht gerechtfertigt sein.⁶⁵

2. Schutzbereich

Der Schutz von Geschäftsgeheimnissen stellt nach ständiger Rechtsprechung des EuGH einen allgemeinen Grundsatz des Unionsrechts dar⁶⁶ und wird neben Art. 17 Abs. 2 GRCh⁶⁷ auch durch Art. 16 GRCh gewährleistet. Die unternehmerische Freiheit umfasst insbesondere das Recht jedes Unternehmens, in den Grenzen seiner Verantwortlichkeit für seine eigenen Handlungen frei über seine wirtschaftlichen, technischen und finanziellen Ressourcen verfügen zu können.⁶⁸ Zusätzlich stützen lässt sich der Schutz von Geschäftsgeheimnissen auch auf Art. 6 Abs. 2 EUV i.V.m. Art. 1 I Zusatzprotokoll zur EMRK, das den Schutz des Eigentums gewährt.⁶⁹

3. Eingriff

Verlangt der Staat die Offenlegung von Geschäftsgeheimnissen, ist Art. 17 Abs. 2, 16 GRCh berührt, weil hierdurch die ausschließliche Nutzungsmöglichkeit des betroffenen Wissens für den eigenen Erwerb beeinträchtigt werden kann.⁷⁰ Wird exklusives wettbewerbserhebliches Wissen Konkurrenten zugänglich gemacht, mindert dies die Möglichkeiten eines Grundrechtsträgers, die eigene Berufsausübung unter Rückgriff auf dieses Wissen erfolgreich zu gestalten. Der Anreiz zu innovativem unternehmerischem Handeln kann entfallen, weil die Investitionskosten für das betroffene Wissen nicht amortisiert werden können, während Konkurrenten dieses unter Einsparung entsprechender Kosten zur Grundlage ihres eigenen beruflichen Erfolgs nutzen können.⁷¹

4. Fehlende Rechtfertigung

Eine Einschränkung der Chartarechte muss gem. Art. 52 Abs. 1 Satz 1 GRCh zunächst gesetzlich vorgesehen sein. Die gesetzliche Grundlage muss hinreichend klar und genau sein. Denn hinter dem Gesetzesvorbehalt steht der Gedanke der Vorhersehbarkeit von Einschränkungen für den Grundrechtsträger.⁷² Nach Art. 52 Abs. 1 Satz 2 der Charta dürfen Einschränkungen dieser Rechte und Freiheiten unter Wahrung des Grundsatzes der Verhältnismäßigkeit nur vorgenommen werden, wenn sie erforderlich sind und den von der Union anerkannten dem Gemeinwohl dienenden Zielsetzungen oder den Erfordernissen des Schutzes der Rechte und Freiheiten anderer tatsächlich entsprechen.⁷³ Der Grundsatz der Verhältnismäßigkeit verlangt, dass die Handlungen der Unionsorgane geeignet sind, die mit der fraglichen Regelung zulässigerweise verfolgten Ziele zu erreichen, und nicht die Grenzen dessen überschreiten, was zur Erreichung dieser Ziele geeignet und erforderlich ist. Die Regelung dürfte schon nicht erforderlich sein. Die Regelung ist erforderlich, wenn der Eingriff auf die aus Art. 17 Abs. 2, 16 GRCh garantierten Rechte in dem Sinne auf das absolut Notwendige beschränkt ist, dass diese Zielsetzung vernünftigerweise nicht ebenso wirksam mit anderen Mitteln erreicht werden kann.⁷⁴ Der EU-Gesetzgeber hat mit Art. 15 Abs. 4 und Art. 20 Abs. 4 DSGVO gerade gezeigt, dass Datenzugangsansprüche nicht die Offenlegung von Geschäftsgeheimnissen erfordern. Dies wird vom European Data Protection Board in seiner Stellungnahme 01/2022 (Entwurf)⁷⁵ bestätigt und mit folgenden Ausführungen untermauert: »The right to protection of personal data is not an absolute right. Hence also the exercise of the right of access has to be balanced against other fundamental rights in accordance with the principle of proportionality.« Die Regelung dürfte zudem nicht angemessen sein. Eine Regelung ist angemessen, wenn der durch sie bedingte Eingriff nicht außer Verhältnis zu ihrer Zielsetzung steht, was insbesondere eine Gewichtung der Bedeutung dieser Zielsetzung und der Schwere dieses Eingriffs impliziert. Mit Blick auf Art. 20 Abs. 4 DSGVO ist schon schwer vermittelbar, dass der Schutz von Geschäftsgeheimnissen den Grundrechten aus Art. 8 GRCh vorgeht, den nicht grundrechtlich geschützten Datenzugangsansprüchen aus dem Datengesetz aber nicht. Eigentum am Produkt vermittelt dem Nutzer bisher gerade kein Recht an den durch Nutzung erzeugten Daten. Zech hat zudem herausgearbeitet, dass das Eigentumsrecht am Produkt dem Kopieren von Daten nicht entgegensteht, da keine Eigentumsbeeinträchtigung gegeben ist.⁷⁶ Der Gesetzgeber hätte den Zugriff auf Daten auch schlicht untersagen können.⁷⁷ Geschäftsgeheimnisse sind offenzulegen, wenn »besondere Maßnahmen« zur Wahrung der Vertraulichkeit der Geschäftsgeheimnisse getroffen wurden. Was solche besonderen Maßnahmen sind, spezifiziert die Kommission nicht. Eine Information gilt nur als Geschäftsgeheimnis, wenn sie »Gegenstand von den Umständen entsprechenden angemessenen Geheimhaltungsmaßnahmen« ist (Art. 2 Nr. 1 c) der Geschäftsgeheimnisrichtlinie). Eine von der Kommission selbst in Auftrag gegebene Studie zu Geschäftsgeheimnissen im Kontext der Datenökonomie kommt zu dem Ergebnis, dass die Geschäftsgeheimnisrichtlinie »eine relativ neue Richtlinie« sei, mit der »Unternehmen noch nicht viel Erfahrung […] gesammelt« haben und insbesondere nicht abschließend rechtlich geklärt sei, was »angemessene Geheimhaltungsmaßnahmen« sind.⁷⁸ Leistner⁷⁹ fasst dies wie folgt zusammen: »Insgesamt bildet die bisher zur Geschäftsgeheimnis-RL und zum GeschGehG vorliegende, ganz vereinzelte Rechtsprechung noch kein verlässliches oder gar einheitliches Bild. Kleinster gemeinsamer Nenner ist die Betonung des Einzelfallcharakters.« Mit dem OLG Stuttgart sollten daher besser strengere Maßnahmen ergriffen werden, »solange es hierzu noch keine gefestigte Judikatur gibt«.⁸⁰ Die EU-Kommission entlässt den Dateninhaber in diesen scheinbar unauflösbaren Zielkonflikt: Gib die Information heraus, sobald »besondere Maßnahmen« getroffen sind, aber ergreife ausreichend Maßnahmen, damit deine Information weiter als Geschäftsgeheimnis gilt. Zech hat bereits 2016 darauf hingewiesen, dass der Geschäftsgeheimnisschutz für Daten bei Verbrauchern nicht praktikabel ist: »Trade secrets generally require more complex contracts than licenses relying on IP. […] For consumers the amount of legal expertise to enter into such contract is not easily obtainable. […] for consumers the use of technical protection measures seems impractical.«⁸¹ Die EU-Kommission zitiert diesen Beitrag,⁸² zieht aber die notwendigen Schlüsse nicht. Die Verpflichtung des Nutzers und des Dritten zum Abschluss von Geheimhaltungsvereinbarungen in Art. 4 Abs. 3 und Art. 5 Abs. 8 DA-E sind nicht auseichend, da es sich lediglich um schuldrechtliche Verpflichtungen handelt. Gerade bei der geplanten massenhaften Herausgabe der Daten an mehrere Nutzer und Dritte ist nicht mehr nachvollziehbar, an welcher Stelle das Geschäftsgeheimnis offenbart wurde. SpechtRiemenschneider weist zurecht darauf hin, dass die Pflicht zur Offenlegung von Geschäftsgeheimnissen den grundrechtlich geschützten Rechten und Interessen der Dateninhaber nicht gerecht wird.⁸³ Es drängt sich eine recht einfache Lösung auf: Art. 4 Abs. 3 und Art. 5 Abs. 8 DA-E werden gestrichen und durch eine Regelung entsprechend Art. 20 Abs. 4 DSGVO ersetzt: Das Recht gemäß Abs. 1 darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen. Der EU-Gesetzgeber kann diese Entscheidung nach Art. 41 DA-E in zwei Jahren überprüfen und, sollten die Datenzugangsansprüche aufgrund von Geschäftsgeheimnissen nicht funktionieren, wovon nicht auszugehen ist, eine Offenlegung von Geschäftsgeheimnissen vorsehen.

III. Fazit

Der EU-Gesetzgeber sollte auf eine Definition des Begriffs »Daten« verzichten und stattdessen Datenarten definieren. Das Datengesetz sollte überarbeitet werden, damit es sich in die bestehende Gesetzeslandschaft einfügt; dazu gehört auch die einheitliche Verwendung von Begrifflichkeiten.

Bildnachweis: elnariz/stock.adobe.com