Der EU Data Act erfordert klare Verträge zu Datenzugang und -nutzung

EU Data Act: Basisfakten zur Verordnung

Der Verordnung 2023/2854 über «harmonisierte Vorschriften für einen fairen Datenzugang und eine faire Datennutzung», kurz der Data Act der EU: 

• wurde am 22.12.2023 publiziert, trat im Januar 2024 in Kraft und wird ab 12. September 2025 anwendbar. Es gilt eine Übergangsfrist für den Verkauf von nicht dem Data Act entsprechenden Produkten bis September 2026. 
   
• will verhindern, dass einzelne Marktteilnehmer mit grosser Marktmacht den Zugang zu wichtigen, zumeist industriellen, nicht-personenbezogenen Daten ungleich bestimmen und dadurch innovative Geschäftsmodelle, vor allem von kleineren Unternehmen und Start-ups, behindern.
   
• verpflichtet unter anderem Anbieter von vernetzten Produkten und Diensten, Nutzern Zugang zu den von ihnen erzeugten Daten zu ermöglichen.
   
• schreibt vor, dass der Zugang und die Bereitstellung von Daten im Business-to-Business-Bereich nur unter fairen, angemessenen und nichtdiskriminierenden Bedingungen (sh. FRAND-Prinzip) erfolgen dürfen.
   
• gilt für Unternehmenstätigkeiten innerhalb der EU. Damit sind Schweizer Firmen betroffen, falls diese in die EU exportieren bzw. dort Handel betreiben. Das umfasst sowohl die Pflichten als auch die Rechte, die der Data Act einräumt. Kleinst- und Kleinunternehmen (weniger als 10 bzw. 50 Beschäftigten und weniger als 2 bzw. 10 Mio. EUR Jahresumsatz, sh. 2003/361/EG) sind von den Anforderungen des Data Acts ausgenommen, sofern diese nicht Teil eines grösseren Unternehmens sind oder als Unterauftragsnehmer agieren. Sie können jedoch als Nutzende bzw. Dritte vom Data Act profitieren.

(Dringliche) Notwendigkeit von Verträgen

Mit dem EU Data Act entsteht eine Notwendigkeit für vertragliche Regelungen.

Eine Expertengruppe der EU hat im April 2025 einen Bericht vorgelegt («Final Report of the Expert Group on B2B Data Sharing and Cloud Computing Contracts»), in welchem sogenannte Model Contractual Terms (MCTs) vorgeschlagen werden. Dabei werden vier relevante Fälle unterschieden: 

1. Vertrag zwischen einer datenhaltenden Partei und einer nutzenden Person eines vernetzten Produkts oder verbundenen Dienstes, bei dem die datenhaltende Partei Daten nutzen möchte, die durch das Produkt bzw. den Dienst generiert wurden – häufig vereinfacht als Vertrag zwischen Hersteller/in und Kunde/in formulierbar.
    
2. Vertrag zwischen einer nutzenden Person eines vernetzten Produkts oder Dienstes und einem dritten datenempfangenden Unternehmen, wenn die nutzende Person die datenhaltende Partei bittet, Daten an diese weiterzugeben – häufig vereinfacht als Vertrag zwischen Kunde/in und Dritten formulierbar.
    
3. Vertrag zwischen einer datenhaltenden Partei und einer dritten datenempfangenden Partei (z. B. Unternehmen), wenn die datenhaltende Partei rechtlich verpflichtet ist, auf Wunsch der nutzenden Person Daten an die empfangende Partei weiterzugeben – häufig vereinfacht als Vertrag zwischen Hersteller/in und Dritten formulierbar.
    
4. Freiwillige Datenteilung zwischen mehreren datenbereitstellenden Parteien und datenempfangenden Parteien, bei der keine gesetzliche Verpflichtung zur Bereitstellung besteht, sondern Daten einvernehmlich geteilt werden.