ITrechtler

horak Rechtsanwälte · Fachanwälte

Jahr: 2023

  • Data Act im Amtsblatt: Neue Datenzugangsrechte ab September 2025

    Archivbeitrag – Rechtsstand 2023. Der Data Act gilt seit 12. September 2025; in Deutschland ist seit 30. Mai 2026 das Data-Act-Durchführungsgesetz mit der Bundesnetzagentur als Aufsicht in Kraft. Den aktuellen Stand finden Sie auf unserer Seite Data Act.

    Am 22. Dezember 2023 ist die Verordnung (EU) 2023/2854 über harmonisierte Vorschriften für einen fairen Datenzugang und eine faire Datennutzung im Amtsblatt der EU veröffentlicht worden, besser bekannt als Data Act. Sie tritt am 11. Januar 2024 in Kraft und gilt im Wesentlichen ab dem 12. September 2025. Für Hersteller vernetzter Produkte, Anbieter digitaler Dienste und Cloud-Anbieter beginnt damit eine Übergangszeit von gut 20 Monaten.

    Datenzugang bei vernetzten Produkten

    Kern des Data Act ist ein Anspruch der Nutzer vernetzter Produkte auf die Daten, die bei der Nutzung entstehen. Erfasst sind Maschinen, Fahrzeuge, Smart-Home-Geräte, Medizin- und Agrartechnik sowie verbundene Dienste, etwa Steuerungs-Apps. Nutzer können verlangen, dass der Dateninhaber ihnen die verfügbaren Daten samt Metadaten unverzüglich, kostenlos und maschinenlesbar bereitstellt (Art. 4). Sie können außerdem die Weitergabe an einen Dritten verlangen, zum Beispiel an einen unabhängigen Wartungsdienstleister (Art. 5).

    Für Produkte, die ab dem 12. September 2026 in Verkehr gebracht werden, kommt die Pflicht hinzu, den Datenzugang bereits im Design vorzusehen (Art. 3 Abs. 1). Wer heute Produkte entwickelt, die 2026 auf den Markt kommen, muss das jetzt einplanen.

    Die Daten gehören nicht mehr selbstverständlich dem Hersteller

    Eine der größten praktischen Folgen: Der Dateninhaber darf nicht personenbezogene Produktdaten nur noch auf Grundlage eines Vertrags mit dem Nutzer verwenden. Viele Hersteller werten Nutzungsdaten heute ohne ausdrückliche Vereinbarung für Produktentwicklung oder neue Geschäftsmodelle aus. Das braucht künftig eine Datenlizenz mit dem Kunden.

    Unfaire Klauseln in B2B-Datenverträgen

    Art. 13 führt eine Inhaltskontrolle für Klauseln über Datenzugang und Datennutzung ein, die ein Unternehmen einem anderen einseitig auferlegt. Unwirksam ist etwa ein Haftungsausschluss für Vorsatz und grobe Fahrlässigkeit. Weitere Klauseln werden als unfair vermutet. Das betrifft Liefer-, Lizenz- und Wartungsverträge ebenso wie Einkaufsbedingungen.

    Cloud-Wechsel

    Anbieter von Datenverarbeitungsdiensten, also IaaS, PaaS und SaaS, müssen ihren Kunden den Wechsel zu einem anderen Anbieter ermöglichen. Die Kündigungsfrist darf höchstens zwei Monate betragen, die Datenübertragung muss regelmäßig innerhalb von 30 Tagen erfolgen. Wechselentgelte sind zunächst auf die Kosten begrenzt und entfallen ab dem 12. Januar 2027 ganz.

    Geschäftsgeheimnisse

    Hersteller befürchten, über den Datenzugang Know-how preiszugeben. Der Data Act sieht vor, dass Geschäftsgeheimnisse nur offengelegt werden müssen, wenn zuvor Schutzmaßnahmen vereinbart sind. In Ausnahmefällen darf die Herausgabe verweigert werden. Das setzt voraus, dass Geheimnisse im Sinne des GeschGehG überhaupt dokumentiert und geschützt sind.

    Was jetzt zu tun ist

    • Produkte und Dienste daraufhin prüfen, ob sie unter den Data Act fallen
    • Datenflüsse und Datenkategorien erfassen
    • Nutzungsbedingungen um eine Datenlizenz und Informationen zum Datenzugang ergänzen
    • B2B-Musterverträge an Art. 13 ausrichten
    • als Cloud-Anbieter Wechselprozesse und Vertragsklauseln vorbereiten

    Offen sind noch die nationalen Durchsetzungsregeln und die zuständige Behörde in Deutschland.

    Fragen dazu? Wir beraten Hersteller, Nutzer und Cloud-Anbieter zum Data Act. Nutzen Sie unsere Onlineberatung. Mehr unter Data Act, Cloud und IoT-Recht.

  • EuGH zum SCHUFA-Score: Scoring kann automatisierte Entscheidung sein

    Archivbeitrag – Rechtsstand 2023. Der Gesetzgeber hat reagiert: § 31 BDSG wird am 20. November 2026 durch den neuen § 37a BDSG zu Scoring und Bonitätsprüfung ersetzt; für KI-gestützte Kreditprüfungen gilt zudem der AI Act. Den aktuellen Stand finden Sie auf unserer Seite Datenschutz.

    Mit Urteil vom 7. Dezember 2023 (Rs. C-634/21) hat der Gerichtshof der Europäischen Union entschieden, dass bereits die automatisierte Erstellung eines Wahrscheinlichkeitswerts durch eine Auskunftei eine automatisierte Entscheidung im Sinne von Art. 22 Abs. 1 DSGVO sein kann. Voraussetzung ist, dass ein Dritter, etwa eine Bank, seine Entscheidung über Begründung, Durchführung oder Beendigung eines Vertrags maßgeblich auf diesen Wert stützt. Das Urteil betrifft weit mehr als die SCHUFA.

    Der Ausgangsfall

    Hintergrund ist ein Verfahren einer Verbraucherin, der ein Vertrag mit einem Dritten verweigert worden war, nachdem dieser einen ungünstigen Scorewert der SCHUFA erhalten hatte. Sie verlangte von der Auskunftei Auskunft über die gespeicherten Daten und die Berechnung sowie die Löschung aus ihrer Sicht falscher Einträge. Ein deutsches Verwaltungsgericht legte dem EuGH die Frage vor, ob schon die Erstellung des Scores unter Art. 22 DSGVO fällt.

    Was der EuGH entschieden hat

    Der EuGH legt den Begriff der Entscheidung weit aus. Er sieht eine Rechtsschutzlücke, wenn man nur auf die abschließende Entscheidung der Bank abstellt: Die Auskunftei wäre dann nicht an Art. 22 gebunden, die Bank könnte über die Berechnung keine Auskunft geben, weil sie die Logik nicht kennt. Deshalb ist bereits das Scoring erfasst, wenn der Score für die Entscheidung des Dritten maßgeblich ist.

    Fällt das Scoring unter Art. 22 Abs. 1 DSGVO, ist es grundsätzlich verboten. Es ist nur zulässig, wenn eine der Ausnahmen des Art. 22 Abs. 2 greift: Erforderlichkeit für einen Vertrag, ausdrückliche Einwilligung oder eine Rechtsgrundlage im Unionsrecht oder im Recht der Mitgliedstaaten, die angemessene Schutzmaßnahmen vorsieht.

    Problem § 31 BDSG

    Die deutsche Regelung zum Scoring in § 31 BDSG kommt als solche Rechtsgrundlage in Betracht. Der EuGH äußert jedoch durchgreifende Bedenken, ob die Vorschrift mit der DSGVO vereinbar ist, weil sie weitgehend Fragen des Verbraucherschutzes regelt und die Grenzen der Öffnungsklausel möglicherweise überschreitet. Die abschließende Prüfung obliegt dem vorlegenden Gericht. Wir rechnen damit, dass der Gesetzgeber nachbessern muss.

    Folgen für Auskunfteien, Banken und andere Anwender

    Betroffen sind nicht nur Auskunfteien. Das Urteil lässt sich auf alle Konstellationen übertragen, in denen ein Dienstleister automatisiert einen Wert berechnet, auf den ein anderes Unternehmen seine Entscheidung im Wesentlichen stützt: Betrugsprävention im Onlinehandel, Bewerberauswahl durch HR-Software, Risikoprüfung bei Versicherungen oder Mietinteressenten.

    Für die Praxis heißt das:

    • Prüfen, ob ein eingesetzter oder angebotener Score für Entscheidungen maßgeblich ist
    • eine tragfähige Ausnahme nach Art. 22 Abs. 2 DSGVO dokumentieren
    • menschliche Überprüfung ermöglichen, das Recht auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung sicherstellen
    • Auskunftsprozesse nach Art. 15 Abs. 1 lit. h DSGVO um aussagekräftige Informationen über die involvierte Logik ergänzen

    Unternehmen, die eigene Scoring-Modelle oder KI-Systeme für Kredit-, Bewerber- oder Kundenentscheidungen einsetzen, sollten ihre Prozesse jetzt überprüfen. Der Grat zwischen bloßer Unterstützung und maßgeblicher Grundlage einer Entscheidung ist schmal.

    Fragen dazu? Wir prüfen Ihre Scoring- und Entscheidungsprozesse. Nutzen Sie unsere Onlineberatung. Mehr unter Datenschutz, KI im Personalbereich und Datenschutz-Folgenabschätzung.

  • EU-US Data Privacy Framework: Neuer Angemessenheitsbeschluss für die USA

    Archivbeitrag – Rechtsstand 2023. Das EuG hat den Angemessenheitsbeschluss im September 2025 bestätigt; ein Verfahren vor dem EuGH ist weiterhin möglich. Den aktuellen Stand finden Sie auf unserer Seite Datentransfer in Drittländer.

    Die Europäische Kommission hat am 10. Juli 2023 den Angemessenheitsbeschluss für das EU-US Data Privacy Framework (DPF) angenommen. Damit gibt es drei Jahre nach dem Schrems-II-Urteil des EuGH, mit dem im Juli 2020 das Privacy Shield fiel, wieder eine Grundlage nach Art. 45 DSGVO für Datenübermittlungen in die USA. Für viele Unternehmen, die Cloud-, CRM- oder Analysedienste aus den USA nutzen, vereinfacht sich die Lage. Ganz erledigt ist das Thema nicht.

    Wie das Data Privacy Framework funktioniert

    Der Beschluss gilt nicht für die USA insgesamt, sondern nur für US-Unternehmen, die sich beim US-Handelsministerium zertifiziert haben. Sie verpflichten sich auf Datenschutzgrundsätze, die denen des Privacy Shield ähneln. Die Liste der teilnehmenden Unternehmen veröffentlicht das Handelsministerium. Unternehmen, die bereits unter dem Privacy Shield zertifiziert waren, können ihre Teilnahme mit vergleichsweise geringem Aufwand umstellen.

    Neu sind die Zusagen auf US-Seite: Der Zugriff von Nachrichtendiensten soll auf das Notwendige und Verhältnismäßige beschränkt werden, und für Betroffene aus der EU wird ein zweistufiges Rechtsbehelfsverfahren geschaffen, an dessen Ende ein neues Data Protection Review Court steht. Die Kommission will das Funktionieren des Rahmens nach einem Jahr erstmals überprüfen.

    Was sich für Unternehmen ändert

    Übermittelt ein Unternehmen personenbezogene Daten an einen zertifizierten US-Empfänger, ist keine zusätzliche Garantie nach Art. 46 DSGVO mehr nötig. Standardvertragsklauseln und ein Transfer Impact Assessment sind dann für diesen Transfer nicht erforderlich.

    Wichtig: Die US-Garantien zum Behördenzugriff gelten für alle Übermittlungen in die USA, auch wenn sie auf Standardvertragsklauseln gestützt sind. Das erleichtert die Bewertung im Transfer Impact Assessment auch für Empfänger, die nicht zertifiziert sind.

    Was Sie jetzt prüfen sollten

    • Für jeden US-Dienstleister in der Liste des Handelsministeriums prüfen, ob eine aktive Zertifizierung besteht und welche Datenkategorien sie abdeckt
    • Verzeichnis von Verarbeitungstätigkeiten und Datenschutzerklärung anpassen: Rechtsgrundlage für den Transfer ist nun gegebenenfalls Art. 45 DSGVO
    • Standardvertragsklauseln trotzdem beibehalten, wo sie bereits vereinbart sind. Sie dienen als Rückfallebene, falls der Beschluss gekippt wird
    • Auftragsverarbeitungsverträge mit Unterauftragnehmern auf US-Bezug prüfen

    Bestandsrisiko: Schrems III

    Der österreichische Datenschutzaktivist Max Schrems und seine Organisation noyb haben bereits angekündigt, den Beschluss anzugreifen. Ob das DPF hält, hängt im Kern davon ab, ob der EuGH die US-Zusagen als gleichwertig ansieht. Wir halten ein erneutes Verfahren vor dem EuGH für wahrscheinlich. Ein Ergebnis wird aber Jahre auf sich warten lassen.

    Unsere Empfehlung lautet daher, das DPF zu nutzen, die Dokumentation aber so aufzubauen, dass ein Wechsel auf Standardvertragsklauseln kurzfristig möglich ist. Bei besonders sensiblen Daten, etwa Gesundheits- oder Beschäftigtendaten, bleibt die Frage nach EU-Alternativen und Verschlüsselung mit Schlüssel in der EU relevant.

    Fragen dazu? Wir prüfen Ihre Datenübermittlungen und Verträge mit US-Anbietern. Nutzen Sie unsere Onlineberatung. Mehr unter Datentransfer in Drittländer, Auftragsverarbeitung und Microsoft 365.

  • EuGH zu Art. 82 DSGVO: Kein Schadensersatz ohne Schaden, aber auch keine Bagatellgrenze

    Archivbeitrag – Rechtsstand 2023. Der EuGH und der BGH haben die Linie seitdem fortentwickelt, etwa zum Kontrollverlust als Schaden (BGH, Urteil vom 18. November 2024, VI ZR 10/24). Den aktuellen Stand finden Sie auf unserer Seite Bußgeld und Schadensersatz.

    Mit Urteil vom 4. Mai 2023 (Rs. C-300/21, Österreichische Post) hat der Gerichtshof der Europäischen Union erstmals Grundsatzfragen zum immateriellen Schadensersatz nach Art. 82 DSGVO entschieden. Die Entscheidung war mit Spannung erwartet worden, weil deutsche Gerichte bislang sehr unterschiedlich urteilten: Manche sprachen schon für den bloßen Verstoß Geld zu, andere verlangten einen spürbaren Nachteil von einigem Gewicht.

    Der Fall

    Die Österreichische Post hatte als Adresshändlerin Informationen über die vermutete Parteiaffinität österreichischer Bürger gesammelt. Mithilfe eines Algorithmus ordnete sie den Kläger einer bestimmten politischen Partei zu. Weitergegeben wurden die Daten nicht. Der Kläger fühlte sich durch die Zuordnung bloßgestellt und verlangte immateriellen Schadensersatz. Die österreichischen Instanzgerichte wiesen die Klage ab, weil ein bloßer Verstoß und ein Gefühl des Kontrollverlusts keinen Schaden darstellten. Der österreichische Oberste Gerichtshof legte dem EuGH drei Fragen vor.

    Die drei Kernaussagen des EuGH

    • Der bloße Verstoß gegen die DSGVO begründet noch keinen Schadensersatzanspruch. Erforderlich sind ein Verstoß, ein materieller oder immaterieller Schaden und ein Kausalzusammenhang zwischen beiden.
    • Eine Erheblichkeitsschwelle gibt es nicht. Der Anspruch darf nicht davon abhängig gemacht werden, dass der immaterielle Schaden einen bestimmten Grad an Erheblichkeit erreicht.
    • Die Bemessung des Schadensersatzes richtet sich nach dem innerstaatlichen Recht der Mitgliedstaaten. Dabei sind der Äquivalenz- und der Effektivitätsgrundsatz zu wahren. Der Schadensersatz soll den erlittenen Schaden vollständig ausgleichen, einen Strafcharakter hat er nicht.

    Was das für die Praxis bedeutet

    Beide Seiten können dem Urteil etwas abgewinnen. Für Unternehmen ist wichtig, dass Kläger einen Schaden darlegen und beweisen müssen. Pauschale Behauptungen, man sei verunsichert oder verärgert, reichen nicht ohne Weiteres. Die deutschen Gerichte werden genauer prüfen müssen, worin der Schaden konkret besteht.

    Für Betroffene ist entscheidend, dass die Bagatellgrenze fällt. Auch geringe immaterielle Schäden sind ersatzfähig. Das spricht für viele Verfahren mit eher niedrigen Beträgen, die in der Summe für Unternehmen dennoch teuer werden können, etwa nach Datenlecks mit tausenden Betroffenen.

    Offen bleibt, welche Anforderungen an den Nachweis eines immateriellen Schadens zu stellen sind, etwa ob die begründete Befürchtung eines Datenmissbrauchs genügt. Dazu sind weitere Verfahren beim EuGH anhängig.

    Wie Unternehmen sich aufstellen sollten

    Nach unserer Erfahrung entstehen die meisten Schadensersatzklagen aus drei Konstellationen: Datenpannen, verspätete oder unvollständige Auskünfte nach Art. 15 DSGVO und unzulässige Weitergaben an Dritte. Wir empfehlen:

    • Auskunftsersuchen fristgerecht und vollständig beantworten, Prozesse dafür dokumentieren
    • Datenpannen sauber nach Art. 33 und 34 DSGVO behandeln und die Kommunikation mit Betroffenen abstimmen
    • im Prozess konsequent bestreiten, dass ein konkreter Schaden eingetreten ist, und Kausalität prüfen
    • bei Massenverfahren früh eine Verteidigungsstrategie und Textbausteine entwickeln

    Wer auf Klägerseite steht, sollte die eigenen Beeinträchtigungen frühzeitig und konkret festhalten.

    Fragen dazu? Wir vertreten Unternehmen und Betroffene in Verfahren nach Art. 82 DSGVO. Nutzen Sie unsere Onlineberatung. Mehr unter Bußgeld und Schadensersatz, Datenpanne und Datenschutz.