1. Rolle und Datenbestand klären

Unternehmen sollten zunächst prüfen, ob und in welcher Rolle sie unter den Data Act fallen – etwa als Hersteller, Anbieter verbundener Dienste, Dateninhaber, Nutzer oder Anbieter von Datenverarbeitungsdiensten. Darauf aufbauend ist systematisch zu erfassen, welche Daten durch die Nutzung dieser Produkte oder Dienste entstehen. Dabei ist klar zu unterscheiden, welche Produkt- und Nutzungsdaten vom Data Act erfasst sind und welche internen Unternehmensdaten nicht unter die Regelungen der Verordnung fallen.

2. Nutzer eindeutig identifizieren

Im nächsten Schritt müssen Dateninhaber sicherstellen, dass sie rechtmäßig feststellen können, wer als Nutzer im Sinne des Data Act gilt. Dazu gehört die Klärung, ob es sich um Verbraucher oder um unternehmerische Nutzer handelt und auf welcher Grundlage diese Personen oder Unternehmen zur Nutzung des Produkts oder Dienstes berechtigt sind. Eine eindeutige Nutzeridentifikation ist Voraussetzung dafür, Datenzugangsrechte korrekt zu gewähren.

3. Technische Zugriffsmöglichkeiten schaffen

Dateninhaber sind verpflichtet, geeignete technische Lösungen einzurichten, die es Nutzern ermöglichen, auf die von ihnen erzeugten Daten zuzugreifen. Dieser Zugang muss einfach, unentgeltlich, zeitnah sowie in einem strukturierten, gängigen und maschinenlesbaren Format erfolgen. Soweit relevant und technisch möglich, sollten Daten bereits während der Nutzung direkt zugänglich sein, etwa über digitale Schnittstellen oder Nutzeroberflächen.

4. Weitergabe an Dritte ermöglichen

Darüber hinaus müssen Dateninhaber organisatorisch und technisch in der Lage sein, Daten auf Verlangen des Nutzers an einen von diesem benannten Dritten weiterzugeben. Die Weitergabe hat ohne unnötige Verzögerung zu erfolgen und muss sich strikt an dem vom Nutzer festgelegten Zweck orientieren. Der Dateninhaber bleibt dabei verantwortlich dafür, dass die Weitergabe rechtmäßig erfolgt.

Eine Ausnahme enthält der Data Act für Kleinst- und Kleinunternehmen. Diese sind von bestimmten Pflichten zur Datenbereitstellung ausgenommen, insbesondere von der Pflicht, Daten auf Anfrage anderer Unternehmen bereitzustellen. Diese Ausnahme gilt nur, wenn sie nicht Teil eines Konzerns sind, der insgesamt die Schwellenwerte überschreitet. Die Verordnung will damit verhindern, dass sehr kleine Marktteilnehmer durch umfangreiche Datenbereitstellungspflichten überfordert werden.

5. Faire Zugangsbedingungen definieren

Die Bedingungen, unter denen Daten zugänglich gemacht oder weitergegeben werden, müssen fair, angemessen und diskriminierungsfrei ausgestaltet sein. Dateninhaber sollten transparente Kriterien für den Datenzugang festlegen und sicherstellen, dass etwaige Gegenleistungen den Vorgaben des Art. 9 Data Act entsprechen, insbesondere angemessen und nichtdiskriminierend sind; für bestimmte Empfänger gelten besondere Begrenzungen.

6. Geschäftsgeheimnisse schützen

Sofern die betroffenen Daten Geschäftsgeheimnisse enthalten, sind Dateninhaber verpflichtet, geeignete Schutzmaßnahmen zu ergreifen. Dazu zählen insbesondere vertragliche und technische Vorkehrungen, die eine unzulässige Weiterverwendung verhindern. Der bloße Verweis auf Geschäftsgeheimnisse rechtfertigt jedoch keine vollständige Verweigerung des Datenzugangs, sondern erfordert eine ausgewogene Lösung zwischen Schutzinteressen und Zugangsrechten.

7. Verträge und AGB überprüfen und anpassen

Bestehende Verträge und allgemeine Geschäftsbedingungen sollten daraufhin überprüft werden, ob sie den Vorgaben des Data Act entsprechen. Klauseln, die den Zugang zu Daten unangemessen einschränken oder Nutzer benachteiligen, sind anzupassen oder zu entfernen. Ziel ist es, ausgewogene und rechtskonforme Vertragsregelungen zum Umgang mit Daten zu etablieren.

8. Prozesse für Behördenanfragen einrichten

Dateninhaber sollten interne Verfahren für den Umgang mit Anfragen öffentlicher Stellen vorbereiten. Insbesondere für Situationen außergewöhnlichen Bedarfs ist festzulegen, wie Daten rechtmäßig, zweckgebunden und zeitlich begrenzt bereitgestellt werden. Eine strukturierte Vorgehensweise erhöht die Rechtssicherheit und stellt sicher, dass die gesetzlichen Anforderungen eingehalten werden.

9. Wechsel- und Portabilitätspflichten beachten

Anbieter von Datenverarbeitungsdiensten müssen die Wechsel- und Portabilitätsanforderungen des Data Act beachten und bestehende Hindernisse für Anbieterwechsel (einschließlich der Mitnahme ihrer Daten), parallele Nutzung oder den Wechsel in die eigene IT-Infrastruktur abbauen.

10. Dokumentation und Nachweisführung sicherstellen

Abschließend sollten sämtliche Maßnahmen im Zusammenhang mit dem Datenzugang, der Datenweitergabe, der Entgeltgestaltung und dem Schutz sensibler Informationen dokumentiert werden. Eine lückenlose Nachweisführung erleichtert nicht nur die interne Steuerung, sondern dient auch der Vorbereitung auf mögliche Prüfungen durch zuständige Behörden.