Data act regulation

Um den Bedürfnissen der digitalen Wirtschaft gerecht zu werden und die Hindernisse für einen reibungslos funktionierenden Binnenmarkt für Daten zu beseitigen, muss ein harmonisierter Rahmen geschaffen werden, in dem festgelegt wird, wer unter welchen Bedingungen und auf welcher Grundlage berechtigt ist, Produktdaten oder verbundene Dienstdaten zu nutzen. Daher sollten die Mitgliedstaaten in den Angelegenheiten, die in den Anwendungsbereich der vorliegenden Verordnung fallen, keine zusätzlichen nationalen Anforderungen annehmen oder aufrechterhalten, sofern das in der vorliegenden Verordnung nicht ausdrücklich vorgesehen ist, da dies ihre direkte und einheitliche Anwendung beeinträchtigen würde. Ferner sollten auf Unionsebene ergriffene Maßnahmen die Verpflichtungen und Zusagen, die sich aus den von der Union geschlossenen internationalen Handelsabkommen ergeben, unberührt lassen.

Mit dieser Verordnung wird sichergestellt, dass die Nutzer eines vernetzten Produkts oder verbundenen Dienstes in der Union zeitnah auf die Daten zugreifen können, die bei der Nutzung dieses vernetzten Produkts oder verbundenen Dienstes generiert werden, und dass diese Nutzer die Daten verwenden und auch an Dritte ihrer Wahl weitergeben können. Sie verpflichtet Dateninhaber, die Daten unter bestimmten Umständen den Nutzern und Dritten ihrer Wahl bereitzustellen. Ferner wird sichergestellt, dass Dateninhaber den Datenempfängern in der Union Daten zu fairen, angemessenen und nichtdiskriminierenden Bedingungen und auf transparente Weise bereitstellen. Privatrechtliche Vorschriften sind im Gesamtrahmen für die Datenweitergabe von entscheidender Bedeutung. Daher werden mit dieser Verordnung die vertragsrechtlichen Vorschriften angepasst und die Ausnutzung vertraglicher Ungleichgewichte verhindert, die einen fairen Datenzugang und eine faire Datennutzung erschweren. Mit dieser Verordnung wird auch sichergestellt, dass die Dateninhaber den öffentlichen Stellen und der Kommission, der Europäischen Zentralbank oder Einrichtungen der Union die Daten bereitstellen, die im Falle außergewöhnlicher Notwendigkeit zur Wahrnehmung einer spezifischen Aufgabe im öffentlichen Interesse erforderlich sind. Darüber hinaus soll mit dieser Verordnung der Wechsel zwischen Datenverarbeitungsdiensten erleichtert und die Interoperabilität von Daten sowie von Mechanismen und Diensten für die Datenweitergabe in der Union verbessert werden. Diese Verordnung sollte nicht so ausgelegt werden, dass sie Dateninhabern ein neues Recht auf die Nutzung von Daten verleiht, die bei der Nutzung eines vernetzten Produkts oder verbundenen Dienstes generiert werden.

Die Datengenerierung ist das Ergebnis der Handlungen mindestens zweier Akteure, insbesondere des Entwicklers oder Herstellers eines vernetzten Produkts, bei dem es sich in vielen Fällen auch um einen Erbringer verbundener Dienste handeln kann, und des Nutzers des vernetzten Produkts oder des verbundenen Dienstes. Es stellen sich Fragen der Fairness in der digitalen Wirtschaft, da die von solchen vernetzten Produkten oder verbundenen Diensten erfassten Daten ein wichtiges Gut für Folgemarkt-Dienste, Nebendienste und sonstige Dienste sind. Um die wichtigen wirtschaftlichen Vorteile von Daten zu nutzen sowie um Unternehmen in der Union für die Weitergabe von Daten auf der Grundlage freiwilliger Vereinbarungen und für die Entwicklung einer datengetriebenen Wertschöpfung zu gewinnen, ist ein allgemeiner Ansatz für die Zuweisung von Rechten für den Datenzugang und die Datennutzung der Gewährung ausschließlicher Zugangs- und Nutzungsrechte vorzuziehen. In dieser Verordnung sind horizontale Regelungen vorgesehen, denen das Unionsrecht oder das nationale Recht folgen könnten, das die besonderen Gegebenheiten der betreffenden Sektoren Rechnung zu angeht.

Das Grundrecht auf den Schutz personenbezogener Daten wird insbesondere durch die Verordnungen (EU) 2016/679(⁶) und (EU) 2018/1725(⁷) des Europäischen Parlaments und des Rates gewahrt. Die Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates(⁸) schützt darüber hinaus die Privatsphäre und die Vertraulichkeit der Kommunikation, unter anderem mittels Bedingungen für die Speicherung personenbezogener und nicht-personenbezogener Daten auf Endgeräten und den Zugang dazu. Diese Gesetzgebungsakte der Union bilden die Grundlage für eine nachhaltige und verantwortungsvolle Datenverarbeitung, auch wenn Datensätze eine Mischung aus personenbezogenen und nicht-personenbezogenen Daten enthalten. Die vorliegende Verordnung ergänzt das Unionsrecht zum Schutz personenbezogener Daten und zum Schutz der Privatsphäre, insbesondere die Verordnungen (EU) 2016/679 und (EU) 2018/1725 und die Richtlinie 2002/58/EG, und lässt es unberührt. Keine Bestimmung dieser Verordnung sollte dahingehend angewandt oder ausgelegt werden, dass das Recht auf den Schutz personenbezogener Daten oder das Recht auf Privatsphäre und Vertraulichkeit der Kommunikation abgeschwächt oder eingeschränkt wird. Jegliche Verarbeitung personenbezogener Daten nach dieser Verordnung sollte dem Datenschutzrecht der Union entsprechen, einschließlich dem Erfordernis einer gültigen Rechtsgrundlage für die Verarbeitung gemäß Artikel 6 der Verordnung (EU) 2016/679 und gegebenenfalls den Bedingungen des Artikels 9 der genannten Verordnung und des Artikels 5 Absatz 3 der Richtlinie 2002/58/EG. Die vorliegende Verordnung stellt keine Rechtsgrundlage für die Erhebung oder Generierung personenbezogener Daten durch den Dateninhaber dar. Die vorliegende Verordnung verpflichtet die Dateninhaber, Nutzern Dritten seiner Wahl oder auf Anfrage eines Nutzers personenbezogene Daten bereitzustellen. Ein solcher Zugang sollte im Falle personenbezogener Daten gewährt werden, die vom Dateninhaber auf der Grundlage einer der in Artikel 6 der Verordnung (EU) 2016/679 genannten Rechtsgrundlagen verarbeitet werden. Handelt es sich bei dem Nutzer nicht um die betroffene Person, so bietet die vorliegende Verordnung keine Rechtsgrundlage für die Gewährung des Zugangs zu personenbezogenen Daten oder für deren Bereitstellung an Dritte und sollte nicht so verstanden werden, dass sie dem Dateninhaber ein neues Recht auf die Nutzung personenbezogener Daten, die bei der Nutzung eines vernetzten Produkts oder verbundenen Dienstes generiert wurden, verleiht. In diesen Fällen könnte es im Interesse des Nutzers liegen, die Erfüllung der Anforderungen des Artikels 6 der Verordnung (EU) 2016/679 zu ermöglichen. Da die vorliegende Verordnung die Datenschutzrechte der betroffenen Personen nicht beeinträchtigen sollte, kann der Dateninhaber Datenzugangsverlangen in diesen Fällen unter anderem nachkommen, indem er personenbezogene Daten anonymisiert oder, wenn ohne Weiteres verfügbare Daten personenbezogene Daten mehrerer betroffener Personen enthalten, nur personenbezogene Daten des Nutzers übermittelt.

Die Grundsätze der Datenminimierung und des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen sind von wesentlicher Bedeutung, wenn die Verarbeitung erhebliche Risiken für die Grundrechte des Einzelnen mit sich bringt. Unter Berücksichtigung des Stands der Technik sollten alle Parteien, die an der Datenweitergabe – einschließlich der Datenweitergabe im Anwendungsbereich dieser Verordnung – beteiligt sind, technische und organisatorische Maßnahmen zum Schutz dieser Rechte ergreifen. Zu diesen Maßnahmen gehören nicht nur Pseudonymisierung und Verschlüsselung, sondern auch der Einsatz zunehmend verfügbarer Technik, die es ermöglicht, Algorithmen direkt am Ort der Datengenerierung einzusetzen und wertvolle Erkenntnisse zu gewinnen, ohne dass die Daten zwischen den Parteien übertragen bzw. die Rohdaten oder strukturierten Daten selbst unnötig kopiert werden.

Sofern in der vorliegenden Verordnung nicht anders vorgesehen, lässt sie das nationale Vertragsrecht, einschließlich der Vorschriften über das Zustandekommen von Verträgen, ihre Gültigkeit oder ihre Rechtsfolgen oder über die Auswirkungen der Beendigung eines Vertrags, unberührt. Die vorliegende Verordnung ergänzt das Unionsrecht zur Förderung der Interessen der Verbraucher und zur Gewährleistung eines hohen Verbraucherschutzniveaus sowie zum Schutz ihrer Gesundheit, Sicherheit und wirtschaftlichen Interessen, insbesondere die Richtlinie 93/13/EWG des Rates(⁹) und der Richtlinien 2005/29/EG(¹⁰) und 2011/83/EU(¹¹) des Europäischen Parlaments und des Rates, und lässt es unberührt.

Diese Verordnung berührt nicht Rechtsvorschriften der Union nationale Rechtsvorschriften über die Datenweitergabe, den Datenzugang und die Datennutzung zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder zur Verfolgung von Straftaten oder der Strafvollstreckung oder für Zoll- und Steuerzwecke, unabhängig davon, auf welcher Rechtsgrundlage nach dem Vertrag über die Arbeitsweise der Europäischen Union (AEUV) diese Rechtsvorschriften der Union erlassen wurden, oder Rechtsvorschriften über die internationale Zusammenarbeit in diesem Bereich, insbesondere auf der Grundlage des Übereinkommens des Europarats über Computerkriminalität (ETS Nr. 185), das am 23. November 2001 in Budapest unterzeichnet wurde. Zu diesen Rechtsvorschriften gehören die Verordnungen (EU) 2021/784(¹²), (EU) 2022/2065(¹³) und (EU) 2023/1543(¹⁴) des Europäischen Parlaments und des Rates und die Richtlinie (EU) 2023/1544 des Europäischen Parlaments und des Rates(¹⁵). Die vorliegende Verordnung gilt nicht für die Erhebung oder das Teilen von oder den Zugang zu oder die Nutzung von Daten gemäß der Verordnung (EU) 2015/847 des Europäischen Parlaments und des Rates(¹⁶) sowie der Richtlinie (EU) 2015/849 des Europäischen Parlaments und des Rates(¹⁷). Die vorliegende Verordnung gilt nicht für nicht unter das Unionsrecht fallende Bereiche und berührt nicht die Zuständigkeiten der Mitgliedstaaten in Bezug auf die öffentliche Sicherheit, die Verteidigung oder die nationale Sicherheit, die Zoll- und Steuerverwaltung oder die Gesundheit und Sicherheit der Bürgerinnen und Bürger, unabhängig von der Art des Rechtsträgers, der von den Mitgliedstaaten mit der Wahrnehmung von Aufgaben im Zusammenhang mit diesen Zuständigkeiten betraut wurde.

Sofern nicht ausdrücklich in der vorliegenden Verordnung vorgesehen, sollten Rechtsvorschriften der Union, in denen Anforderungen an die physische Konzeption und die Daten für Produkte, die in der Union in Verkehr gebracht werden sollen, festgelegt werden, von dieser Verordnung unberührt bleiben.

Diese Verordnung ergänzt das Unionsrecht zur Festlegung von Barrierefreiheitsanforderungen für bestimmte Produkte und Dienstleistungen, insbesondere die Richtlinie (EU) 2019/882 des Europäischen Parlaments und des Rates(¹⁸), und lässt es unberührt.

Diese Verordnung berührt nicht die Rechtsakte der Union und der Mitgliedstaaten zum Schutz der Rechte des geistigen Eigentums, darunter die Richtlinien 2001/29/EG(¹⁹), 2004/48/EG(²⁰) und (EU) 2019/790(²¹) des Europäischen Parlaments und des Rates.

Vernetzte Produkte, die mittels ihrer Komponenten oder Betriebssysteme Daten über ihre Leistung, Nutzung oder Umgebung erlangen, generieren oder erheben und die diese Daten über einen elektronischen Kommunikationsdienst, eine physische Verbindung oder einen geräteinternen Zugang übermitteln können – häufig als Internet der Dinge bezeichnet –, sollten in den Anwendungsbereich dieser Verordnung fallen, mit Ausnahme von Prototypen. Beispiele für solche elektronischen Kommunikationsdienste umfassen insbesondere terrestrische Telefonnetze, Fernsehkabelnetze, Satellitennetze und Nahfeldkommunikationsnetze. Vernetzte Produkte kommen in allen Bereichen der Wirtschaft und Gesellschaft vor, einschließlich in privaten, zivilen oder gewerblichen Infrastrukturen, Fahrzeugen, medizinischer Ausrüstung, Lifestyle-Ausrüstung, Schiffen, Luftfahrzeugen, Haushaltsgeräten und Konsumgütern, Medizin- und Gesundheitsprodukten oder landwirtschaftlichen und industriellen Maschinen und Anlagen. Durch die Entscheidungen der Hersteller bei der Konzeption und gegebenenfalls durch das Unionsrecht oder das nationale Recht, mit dem sektorspezifischer Bedürfnisse und Ziele angegangen werden, oder durch die einschlägigen Entscheidungen der Wettbewerbsbehörden sollte vorgegeben werden, welche Daten von einem vernetzten Produkt bereitgestellt werden können.

Die Daten stellen digitalisierte Nutzerhandlungen und -vorgänge dar und sollten dementsprechend für den Nutzer zugänglich sein. Die Vorschriften für den Zugang zu und die Nutzung von Daten von vernetzten Produkten und verbundenen Diensten im Rahmen dieser Verordnung betreffen sowohl Produktdaten als auch verbundene Dienstdaten. Produktdaten bezeichnet Daten, die durch die Nutzung eines vernetzten Produkts generiert werden und die der Hersteller so konzipiert hat, dass sie von einem Nutzer, Dateninhaber oder Dritten – gegebenenfalls einschließlich des Herstellers – aus dem vernetzten Produkt abgerufen werden können. Verbundene Dienstdaten bezeichnet Daten, die ebenfalls die Digitalisierung von Nutzerhandlungen oder -vorgängen im Zusammenhang mit dem vernetzten Produkt darstellen und während der Erbringung eines verbundenen Dienstes durch den Anbieter generiert werden. Unter Daten, die bei der Nutzung eines vernetzten Produkts oder verbundenen Dienstes generiert werden, sollten absichtlich aufgezeichnete Daten oder Daten verstanden werden, die indirekt durch Nutzerhandlungen generiert werden, wie z. B. Daten über die Umgebung oder Interaktionen des vernetzten Produkts. Diese Daten sollten Daten über die Nutzung eines vernetzten Produkts einschließen, die von einer Benutzerschnittstelle oder über einen verbundenen Dienst generiert werden, und sollten sich nicht auf die Information beschränken, dass ein Produkt oder Dienst genutzt wurde, sondern alle Daten umfassen, die das vernetzte Produkt infolge einer solchen Nutzung generiert, wie z. B. automatisch von Sensoren generierte Daten und Daten, die von eingebetteten Anwendungen aufgezeichnet werden, einschließlich Anwendungen, die den Hardwarestatus und Funktionsstörungen angeben. Zu diesen Daten sollten auch Daten gehören, die von dem vernetzten Produkt oder verbundenen Dienst generiert werden, während der Nutzer inaktiv ist, etwa wenn er beschließt, ein vernetztes Produkt für einen bestimmten Zeitraum nicht zu verwenden, sondern es im Bereitschaftszustand zu belassen oder sogar auszuschalten, da sich der Status eines vernetzten Produkts oder seiner Komponenten, beispielsweise seiner Batterien, ändern kann, wenn sich das vernetzte Produkt im Bereitschaftszustand befindet oder ausgeschaltet ist. Daten, die nicht wesentlich verändert werden, d. h. Daten in Rohform, auch als Quell- oder Primärdaten bezeichnet, die sich auf Datenpunkte beziehen, die ohne jegliche weitere Form der Verarbeitung automatisch generiert werden, sowie Daten, die vor der Weiterverarbeitung und Auswertung aufbereitet wurden, um sie verständlich und nutzbar zu machen, fallen in den Anwendungsbereich dieser Verordnung. Dazu gehören Daten, die von einem einzelnen Sensor oder einer Gruppe miteinander verbundener Sensoren erhoben wurden, um die erfassten Daten für vielfältigere Anwendungsfälle verständlich zu machen, indem eine physikalische Größe oder Eigenschaft oder die Veränderung einer physikalischen Größe, wie Temperatur, Druck, Durchflussmenge, Ton, pH-Wert, Flüssigkeitsstand, Position, Beschleunigung oder Geschwindigkeit, bestimmt wird. Der Begriff „aufbereitete Daten“ sollte nicht so ausgelegt werden, dass der Dateninhaber dazu verpflichtet ist, wesentliche Investitionen in die Bereinigung und Transformation der Daten vorzunehmen. Die Daten, die bereitzustellen sind, sollten die einschlägigen Metadaten, einschließlich ihres grundlegenden Kontexts und Zeitstempels, umfassen, um die Daten in Kombination mit anderen Daten, z. B. Daten, die sortiert und mit anderen, mit ihnen verbundenen Datenpunkten klassifiziert wurden oder die in ein gängiges Format umformatiert wurden, nutzbar zu machen. Derartige Daten sind potenziell wertvoll für den Nutzer und unterstützen Innovationen und die Entwicklung digitaler und anderer Dienste zum Schutz der Umwelt, der Gesundheit und der Kreislaufwirtschaft, unter anderem indem sie die Wartung und Reparatur der betreffenden vernetzten Produkte erleichtern. Dagegen sollten aus solchen Daten gefolgerte oder abgeleitete Informationen, die das Ergebnis zusätzlicher Investitionen in die Zuweisung von Werten oder Erkenntnissen aus den Daten sind (insbesondere mittels komplexer proprietärer Algorithmen, einschließlich solcher, die Teil proprietärer Software sind), nicht in den Anwendungsbereich dieser Verordnung fallen, und somit sollten Dateninhaber bei diesen Daten auch nicht dazu verpflichtet sein, sie einem Nutzer oder Datenempfänger bereitzustellen, es sei denn, der Nutzer und der Dateninhaber haben etwas anderes vereinbart. Zu diesen Daten könnten insbesondere Informationen gehören, die durch Sensorfusion gewonnen werden, bei der Daten von mehreren Sensoren abgeleitet oder gefolgert werden, die in dem vernetzten Produkt unter Verwendung komplexer proprietärer Algorithmen erhoben werden und möglicherweise Rechten des geistigen Eigentums unterliegen.

Diese Verordnung ermöglicht es Nutzern vernetzter Produkte, Folgemarkt-Dienste, Nebendienste und sonstige Dienste zu nutzen, die auf Daten basieren, die von in diese Produkte eingebetteten Sensoren erhoben werden, wobei die Erhebung dieser Daten von potenziellem Nutzen für die Verbesserung der Leistung der vernetzten Produkte ist. Es ist wichtig, einerseits die Märkte für die Bereitstellung solcher mit Sensoren ausgestatteter vernetzter Produkte und damit verbundener Dienste und andererseits die Märkte für nicht verwandte Software und Inhalte wie Text-, Audio- oder audiovisuelle Inhalte, die häufig Rechten des geistigen Eigentums unterliegen, voneinander abzugrenzen. Daher sollten Daten, die von solchen mit Sensoren ausgestatteten vernetzten Produkten generiert werden, wenn ihre Nutzer Inhalte – unter anderem zur Nutzung durch einen Online-Dienst – aufzeichnen, übermitteln, anzeigen lassen oder abspielen, sowie die Inhalte selbst, die häufig Rechten des geistigen Eigentums unterliegen, nicht unter diese Verordnung fallen. Diese Verordnung sollte auch nicht für Daten gelten, die von dem vernetzten Produkt für die Zwecke der Speicherung oder Verarbeitung im Namen anderer Parteien, die keine Nutzer sind, erlangt oder generiert wurden oder auf die über das vernetzte Produkt zugegriffen wurde oder die an es übermittelt wurden, wie es etwa bei Servern oder Cloud-Infrastrukturen, die von ihren Eigentümern ausschließlich im Auftrag Dritter betrieben werden, unter anderem zur Nutzung durch einen Online-Dienst, der Fall sein kann.

Für Produkte, die zum Zeitpunkt des Erwerbs, der Anmietung oder des Leasings so mit einem verbundenen Dienst vernetzt sind, dass das vernetzte Produkt ohne diesen Dienst eine oder mehrere seiner Funktionen nicht ausführen könnte, oder der anschließend vom Hersteller oder von einem Dritten mit dem Produkt vernetzt wird, um die Funktionen des vernetzten Produkts zu ergänzen oder anzupassen, müssen Vorschriften festgelegt werden. Im Rahmen solcher verbundenen Dienste werden Daten zwischen dem vernetzten Produkt und dem Diensteanbieter ausgetauscht, das heißt, sie sollten als Dienste verstanden werden, die ausdrücklich mit dem Betrieb der Funktionen des vernetzten Produkts verknüpft sind, wie im Fall von Diensten, die gegebenenfalls Befehle an das vernetzte Produkt übermitteln, die sich wiederum auf dessen Aktivität oder Verhalten auswirken können. Dienste, die sich nicht auf den Betrieb des vernetzten Produkts auswirken und durch die keine Daten oder Befehle des Diensteanbieters an das vernetzte Produkt übermittelt werden, sollten nicht als verbundene Dienste gelten. Zu solchen Diensten könnten z. B. zusätzliche Beratungs-, Analyse- oder Finanzdienstleistungen oder regelmäßige Reparatur- und Wartungsdienste gehören. Verbundene Dienste können als Teil eines Kauf-, Miet- oder Leasingvertrags angeboten werden. Verbundene Dienste könnten auch für Produkte derselben Art erbracht werden, und Nutzer sollten ihre Erbringung – unter Berücksichtigung der Beschaffenheit des vernetzten Produkts und öffentlicher Erklärungen, die im Vorfeld des Vertragsschlusses von dem Verkäufer oder im Auftrag des Verkäufers, Vermieters, Leasinggebers oder anderer Personen in vorgelagerten Gliedern der Vertragskette, einschließlich des Herstellers, abgegeben wurden – vernünftigerweise erwarten können. Diese verbundenen Dienste können, unabhängig von den Datenerhebungsmöglichkeiten des vernetzten Produkts, mit dem sie verbunden sind, selbst Daten generieren, die für den Nutzer von Wert sind. Diese Verordnung sollte auch für verbundene Dienste gelten, die nicht vom Verkäufer, Vermieter oder Leasinggeber selbst, sondern von einem Dritten erbracht werden. Bei Zweifeln, ob die Erbringung des Dienstes Teil des Kauf-, Miet- oder Leasingvertrags ist, sollte diese Verordnung Anwendung finden. Weder die Stromversorgung noch die Bereitstellung der Konnektivität sind nach dieser Verordnung als verbundene Dienste auszulegen.

Unter dem Nutzer eines vernetzten Produkts sollte eine natürliche oder juristische Person, z. B. ein Unternehmen, ein Verbraucher oder eine öffentliche Stelle, verstanden werden, die Eigentümer eines vernetzten Produkts oder – beispielsweise durch einen Miet- oder Leasingvertrag – Inhaber bestimmter befristeter Rechte auf Zugang zu Daten aus dem vernetzten Produkt oder auf deren Nutzung ist oder verbundene Dienste für das vernetzte Produkt in Anspruch nimmt. Diese Zugangsrechte sollten in keiner Weise eine Änderung der oder einen Eingriff in die Rechte betroffener Personen, die möglicherweise mit einem vernetzten Produkt oder einem verbundenen Dienst interagieren, in Bezug auf die von dem vernetzten Produkt oder während der Erbringung verbundener Dienste generierten personenbezogenen Daten bewirken. Der Nutzer trägt die Risiken und genießt die Vorteile der Nutzung des vernetzten Produkts und sollte auch Zugang zu den von ihm generierten Daten haben. Er sollte daher berechtigt sein, aus den von diesem vernetzten Produkt und allen verbundenen Diensten generierten Daten Nutzen zu ziehen. Ein Eigentümer, Mieter oder Leasingnehmer sollte ebenfalls als Nutzer gelten, auch in Fällen, in denen mehrere Rechtsträger als Nutzer gelten können. Im Falle mehrerer Nutzer kann jeder einzelne Nutzer auf unterschiedliche Weise zur Datengenerierung beitragen und ein Interesse an verschiedenen Formen der Nutzung haben; Beispiele sind das Flottenmanagement für ein Leasingunternehmen oder Mobilitätslösungen für Einzelpersonen, die einen Car-Sharing-Dienst nutzen.

Der Begriff „Datenkompetenz“ bezeichnet die Fähigkeiten, das Wissen und das Verständnis, die/das es Nutzern, Verbrauchern und Unternehmen, insbesondere KMU, die in den Anwendungsbereich dieser Verordnung fallen, ermöglichen, sich des potenziellen Werts der von ihnen generierten, produzierten und weitergegebenen Daten bewusst zu werden, und sie dazu motivieren, im Einklang mit den einschlägigen Rechtsvorschriften Zugang zu ihren Daten anzubieten und zu gewähren. Datenkompetenz sollte über den Erwerb von Wissen über Instrumente und Technologien hinausgehen und darauf abzielen, Bürgerinnen und Bürger und Unternehmen in die Lage zu versetzen und zu befähigen, aus einem inklusiven und fairen Datenmarkt Nutzen zu ziehen. Die Verbreitung von Maßnahmen zur Datenkompetenz und die Einführung angemessener Folgemaßnahmen könnten dazu beitragen, die Arbeitsbedingungen zu verbessern, und letztlich die Konsolidierung und den Innovationspfad der Datenwirtschaft in der Union unterstützen. Die zuständigen Behörden sollten Instrumente fördern und Maßnahmen ergreifen, um die Datenkompetenz von Nutzern und Rechtsträgern, die in den Anwendungsbereich dieser Verordnung fallen, zu verbessern und sie für ihre Rechte und Pflichten aus dieser Verordnung zu sensibilisieren.

In der Praxis sind nicht alle Daten, die durch vernetzte Produkte oder verbundene Dienste generiert werden, für ihre Nutzer leicht zugänglich, und es gibt häufig nur begrenzte Möglichkeiten in Bezug auf die Übertragbarkeit von Daten, die durch mit dem Internet vernetzte Produkte generiert werden. Die Nutzer sind daher nicht in der Lage, die Daten zu erlangen, die erforderlich sind, um Reparatur- und andere Dienste in Anspruch zu nehmen, und Unternehmen sind nicht in der Lage, innovative, bequeme und effizientere Dienste anzubieten. In vielen Sektoren können die Hersteller, da sie die Kontrolle über die technische Konzeption der vernetzten Produkte oder verbundener Dienste haben, bestimmen, welche Daten generiert werden und wie darauf zugegriffen werden kann, obwohl sie keinen Rechtsanspruch auf diese Daten haben. Daher muss sichergestellt werden, dass vernetzte Produkte so konzipiert und hergestellt sowie damit verbundene Dienste so konzipiert und erbracht werden, dass die Produktdaten und die verbundenen Dienstdaten, einschließlich der entsprechenden Metadaten, die zur Auslegung und Nutzung dieser Daten erforderlich sind, und zwar auch, um die Daten abrufen, nutzen oder weitergeben zu können, für einen Nutzer stets leicht und sicher zugänglich sind, und dies kostenlos, in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format. Produktdaten und verbundene Dienstdaten, die ein Dateninhaber rechtmäßig von dem vernetzten Produkt oder verbundenen Dienst erhält oder erhalten kann, etwa aufgrund der Konzeption des vernetzten Produkts, des Vertrags des Dateninhabers mit dem Nutzer über die Erbringung verbundener Dienste und seiner technischen Mittel für den Datenzugang ohne unverhältnismäßig hohen Aufwand, werden als „ohne Weiteres verfügbare Daten“ bezeichnet. Von ohne Weiteres verfügbaren Daten ausgenommen sind Daten, die bei der Produktnutzung generiert werden, sofern das vernetzte Produkt nicht dafür ausgelegt ist, dass solche Daten außerhalb der Komponente, in der sie generiert werden, oder des vernetzten Produkts als Ganzem gespeichert oder übermittelt werden. Diese Verordnung sollte daher nicht dahingehend ausgelegt werden, dass die Verpflichtung zur Speicherung von Daten auf der zentralen Rechnereinheit eines vernetzten Produkts besteht. Das Fehlen einer solchen Verpflichtung sollte den Hersteller oder Dateninhaber nicht daran hindern, solche Anpassungen auf freiwilliger Basis mit dem Nutzer zu vereinbaren. Die Konzeptionspflichten nach Maßgabe dieser Verordnung lassen auch den Grundsatz der Datenminimierung nach Artikel 5 Absatz 1 Buchstabe c der Verordnung (EU) 2016/679 unberührt und sollten nicht so verstanden werden, dass vernetzte Produkte und verbundene Dienste derart konzipiert werden müssen, dass damit auch andere als die für die Zwecke ihrer Verarbeitung erforderlichen personenbezogenen Daten gespeichert oder anderweitig verarbeitet werden. Es könnte Unionsrecht oder nationales Recht eingeführt werden, um weitere Besonderheiten festzulegen, wie etwa die Produktdaten, die über vernetzte Produkte oder verbundene Dienste zugänglich sein sollten, da diese Daten für den effizienten Betrieb, die Reparatur oder die Wartung dieser vernetzten Produkte oder verbundenen Dienste von wesentlicher Bedeutung sein können. Führen spätere Aktualisierungen oder Änderungen eines vernetzten Produkts oder eines verbundenen Dienstes durch den Hersteller oder eine andere Partei zu zusätzlichen zugänglichen Daten oder zu einer Einschränkung ursprünglich zugänglicher Daten, so sollten diese Änderungen dem Nutzer im Rahmen der Aktualisierung oder Änderung mitgeteilt werden.

Gelten mehrere Personen oder Rechtsträger als Nutzer, beispielsweise im Falle gemeinschaftlichen Eigentums oder wenn ein Eigentümer, Mieter oder Leasingnehmer gemeinsame Rechte am Datenzugang oder an der Datennutzung besitzt, so sollte die Konzeption des vernetzten Produkts oder verbundenen Dienstes oder der entsprechenden Schnittstelle jedem Nutzer den Zugang zu den von diesen generierten Daten ermöglichen. Die Nutzung von vernetzten Produkten, die Daten generieren, erfordert in der Regel, dass ein Nutzerkonto eingerichtet wird. Ein solches Konto ermöglicht es dem Nutzer, durch den Dateninhaber, bei dem es sich um den Hersteller handeln kann, identifiziert zu werden. Es kann auch als Kommunikationsmittel und zur Einreichung und Bearbeitung von Datenzugangsverlangen verwendet werden. Haben mehrere Hersteller oder Erbringer verbundener Dienste gemeinsam vernetzte Produkte an denselben Nutzer verkauft, vermietet oder verleast bzw. integrierte Dienste für diesen erbracht, so sollte sich der Nutzer an jede der Parteien wenden, mit der er einen Vertrag geschlossen hat. Hersteller oder Entwickler eines vernetzten Produkts, das in der Regel von mehreren Personen verwendet wird, sollten die erforderlichen Mechanismen einrichten, die gegebenenfalls die Einrichtung getrennter Nutzerkonten für einzelne Personen oder die Nutzung desselben Nutzerkontos durch mehrere Personen ermöglichen. Kontobezogene Lösungen sollten es den Nutzern ermöglichen, ihre Konten und die damit verbundenen Daten zu löschen, und könnten für Nutzer insbesondere in Fällen, in denen das Eigentum an dem Produkt auf andere Personen übergeht oder andere Personen das vernetzte Produkt nutzen, die Möglichkeit vorsehen, den Datenzugang, die Datennutzung oder die Datenweitergabe zu beenden oder deren Einstellung zu beantragen. Der Zugang sollte dem Nutzer auf der Grundlage einfacher Antragsverfahren gewährt werden, die eine automatische Ausführung ermöglichen und keine Prüfung oder Freigabe durch den Hersteller oder Dateninhaber erfordern. Dies bedeutet, dass die Daten nur bereitgestellt werden sollten, wenn der Nutzer tatsächlich Zugang wünscht. Ist die automatische Ausführung des Datenzugangsverlangens, beispielsweise über ein Nutzerkonto oder die mit dem vernetzten Produkt oder dem verbundenen Dienst bereitgestellte mobile Anwendung, nicht möglich, so sollte der Hersteller dem Nutzer mitteilen, wie auf die Daten zugegriffen werden kann.

Die vernetzten Produkte können so konzipiert sein, dass bestimmte Daten direkt von einem Datenspeicher auf dem Gerät oder von einem entfernten Server, an den die Daten übermittelt werden, zugänglich gemacht werden. Der Zugang zu Datenspeichern auf dem Gerät kann über kabelgebundene oder drahtlose lokale Funknetze ermöglicht werden, die mit einem öffentlich verfügbaren elektronischen Kommunikationsdienst oder Mobilfunknetz verbunden sind. Bei dem Server kann es sich um die eigenen lokalen Serverkapazitäten des Herstellers oder um die eines Dritten oder eines Cloud-Diensteanbieters handeln. Auftragsverarbeiter im Sinne von Artikel 4 Nummer 8 der Verordnung (EU) 2016/679 gelten nicht als Dateninhaber. Sie können jedoch ausdrücklich vom Verantwortlichen im Sinne von Artikel 4 Nummer 7 der Verordnung (EU) 2016/679 beauftragt werden, Daten bereitzustellen. Vernetzte Produkte können so konzipiert sein, dass der Nutzer oder ein Dritter die Daten auf dem vernetzten Produkt, auf einer Rechnerinstanz des Herstellers oder in einer von dem Nutzer oder Dritten ausgewählten Informations- und Kommunikationstechnologie-(IKT)-Umgebung verarbeiten kann.

Virtuelle Assistenten spielen eine immer wichtigere Rolle bei der Digitalisierung des Verbraucherumfelds und des beruflichen Umfelds und dienen als benutzerfreundliche Schnittstelle für die Wiedergabe von Inhalten, das Erlangen von Informationen oder die Aktivierung von Produkten, die mit dem Internet verbunden sind. Virtuelle Assistenten können beispielsweise in einer Smart-Home-Umgebung als zentrales Zugangstor dienen und erhebliche Mengen relevanter Daten darüber erfassen, wie Nutzer mit Produkten interagieren, die mit dem Internet verbunden sind, einschließlich solcher, die von Dritten hergestellt werden, und können die Nutzung der vom Hersteller bereitgestellten Schnittstellen, wie Touchscreens oder Smartphone-Apps, ersetzen. Unter Umständen möchte der Nutzer diese Daten Drittherstellern bereitstellen, um neuartige intelligente Dienste zu aktivieren. Virtuelle Assistenten sollten unter das in dieser Verordnung vorgesehene Datenzugangsrecht fallen. Unter das in dieser Verordnung vorgesehene Datenzugangsrecht sollten auch Daten fallen, die generiert werden, wenn ein Nutzer über einen virtuellen Assistenten, der von einem anderen Rechtsträger als dem Hersteller des vernetzten Produkts bereitgestellt wird, mit einem vernetzten Produkt interagiert. Allerdings sollten nur die aus der Interaktion zwischen dem Nutzer und einem vernetzten Produkt oder verbundenen Dienst über den virtuellen Assistenten anfallenden Daten von dieser Verordnung gedeckt sein. Vom virtuellen Assistenten erstellte Daten, die nicht mit der Verwendung eines vernetzten Produkts oder verbundenen Dienstes zusammenhängen, sind nicht von dieser Verordnung gedeckt.

Vor Abschluss eines Kauf-, Miet- oder Leasingvertrags für ein vernetztes Produkt sollte der Verkäufer, Vermieter oder Leasinggeber – bei dem es sich auch um den Hersteller handeln kann – dem Nutzer Informationen zu den Produktdaten die das vernetzte Produkt generieren kann, einschließlich der Art, des Formats und der geschätzten Datenmenge, auf klare und verständliche Weise bereitstellen. Dies könnte, soweit verfügbar, Informationen über Datenstrukturen, Datenformate, Vokabulare, Klassifizierungssysteme, Taxonomien und Codelisten sowie klare und ausreichende Informationen einschließen, die für die Ausübung der Nutzerrechte relevant sind, und darüber, wie die Daten gespeichert oder abgerufen werden können oder wie auf sie zugegriffen werden kann, einschließlich der Nutzungsbedingungen und der Dienstqualität von Anwendungsprogrammierschnittstellen oder gegebenenfalls der Bereitstellung von Software Development Kits. Diese Pflicht sorgt für Transparenz in Bezug auf die generierten Produktdaten und vereinfacht den Zugang für den Nutzer. Der Informationspflicht könnte beispielsweise dadurch nachgekommen werden, dass eine stabile URL-Adresse im Internet unterhalten wird, die als Weblink oder QR-Code verbreitet werden kann und zu den einschlägigen Informationen führt, die der Verkäufer, der Vermieter oder der Leasinggeber – bei dem es sich auch um den Hersteller handeln kann – dem Nutzer vor Abschluss eines Kauf-, Miet- oder Leasingvertrags für ein vernetztes Produkt bereitstellen könnte. Der Nutzer muss die Informationen in jedem Fall so speichern können, dass sie in der Folge eingesehen werden können und die unveränderte Wiedergabe der gespeicherten Informationen möglich ist. Zwar kann vom Dateninhaber nicht erwartet werden, dass er die Daten mit Blick auf die Bedürfnisse des Nutzers des vernetzten Produkts unbegrenzt speichert, jedoch sollte er eine angemessene Regelung in Bezug auf die Dauer der Datenspeicherung anwenden, gegebenenfalls im Einklang mit dem Grundsatz der Speicherbegrenzung nach Artikel 5 Absatz 1 Buchstabe e der Verordnung (EU) 2016/679, die die wirksame Anwendung der Datenzugangsrechte gemäß dieser Verordnung ermöglicht. Die Informationspflicht berührt nicht die Pflicht des Verantwortlichen, der betroffenen Person Informationen gemäß den Artikeln 12, 13 und 14 der Verordnung (EU) 2016/679 zu übermitteln. Die Pflicht, vor Abschluss eines Vertrags über die Erbringung eines verbundenen Dienstes die entsprechenden Informationen bereitzustellen, sollte beim potenziellen Dateninhaber liegen, unabhängig davon, ob der Dateninhaber einen Kauf-, Miet- oder Leasingvertrag für ein vernetztes Produkt abschließt. Ändern sich die Informationen während der Lebensdauer des vernetzten Produkts oder der Vertragslaufzeit für den verbundenen Dienst, einschließlich wenn sich der Zweck, zu dem diese Daten verwendet werden sollen, gegenüber dem ursprünglich vorgesehenen Zweck ändert, so sollten diesbezügliche Informationen auch dem Nutzer bereitgestellt werden.

Diese Verordnung sollte nicht so verstanden werden, dass sie Dateninhabern ein neues Recht auf die Nutzung von Produktdaten oder verbundener Dienstdaten verleiht. Ist der Hersteller eines vernetzten Produkts der Dateninhaber, so sollte ein Vertrag zwischen dem Hersteller und dem Nutzer die Grundlage für die Nutzung nicht-personenbezogener Daten durch den Hersteller bilden. Ein solcher Vertrag könnte Teil einer Vereinbarung über die Erbringung des verbundenen Dienstes sein, die zusammen mit dem Kauf-, Miet- oder Leasingvertrag für das vernetzte Produkt getroffen werden kann. Jede Vertragsklausel, nach der der Dateninhaber die Produktdaten oder verbundenen Dienstdaten nutzen darf, sollte für den Nutzer transparent sein, auch in Bezug auf die Zwecke, zu denen der Dateninhaber die Daten zu verwenden beabsichtigt. Zu diesen Verwendungszwecken könnten die Verbesserung der Funktionsweise des vernetzten Produkts oder verbundener Dienste, die Entwicklung neuer Produkte oder Dienste oder die Aggregation von Daten mit dem Ziel, die sich daraus ergebenden abgeleiteten Daten Dritten bereitzustellen, gehören, sofern diese abgeleiteten Daten es nicht ermöglichen, einzelne Daten zu ermitteln, die von dem vernetzten Produkt an den Dateninhaber übermittelt wurden, und es Dritten nicht ermöglichen, diese Daten aus dem Datensatz abzurufen. Jede Vertragsänderung sollte der fundierten Zustimmung des Nutzers bedürfen. Diese Verordnung hindert die Parteien nicht daran, Vertragsklauseln zu vereinbaren, die bewirken, dass die Nutzung von nicht-personenbezogenen Daten oder bestimmten Kategorien nicht-personenbezogenen Daten durch einen Dateninhaber ausgeschlossen oder eingeschränkt wird. Sie hindert die Parteien auch nicht daran, zu vereinbaren, dass Produktdaten oder verbundene Dienstdaten Dritten direkt oder indirekt, einschließlich sofern einschlägig über einen anderen Dateninhaber, bereitgestellt werden können. Darüber hinaus steht diese Verordnung auch sektorspezifischen Regulierungsanforderungen nach Unionsrecht oder nach mit dem Unionsrecht im Einklang stehendem nationalen Recht nicht entgegen, die die Nutzung bestimmter Daten durch den Dateninhaber aus genau festgelegten Gründen der öffentlichen Ordnung ausschließen oder einschränken würden. Ferner steht diese Verordnung dem nicht entgegen, dass Nutzer im Falle von Geschäftsbeziehungen zwischen Unternehmen Dritten oder Dateninhabern unter jeglichen rechtmäßigen Vertragsklauseln Daten bereitstellen, unter anderem indem sie vereinbaren, eine erneute Weitergabe dieser Daten zu begrenzen oder einzuschränken, oder dass Nutzer beispielsweise für den Verzicht auf ihr Recht, diese Daten zu verwenden oder weiterzugeben, eine angemessene Gegenleistung erhalten. Obwohl der Begriff „Dateninhaber“ öffentliche Stellen im Allgemeinen nicht einschließt, kann er jedoch öffentliche Unternehmen einschließen.

Um das Entstehen liquider, fairer und effizienter Märkte für nicht-personenbezogene Daten zu fördern, sollten die Nutzer vernetzter Produkte Daten mit minimalem rechtlichem und technischem Aufwand, auch für kommerzielle Zwecke, an andere weitergeben können. Für Unternehmen ist es derzeit oft schwierig, die Personal- oder EDV-Kosten zu rechtfertigen, die anfallen, um nicht-personenbezogene Datensätze oder Datenprodukte aufzubereiten und sie potenziellen Gegenparteien über Datenvermittlungsdienste, einschließlich Datenmarktplätze, anzubieten. Ein wesentliches Hindernis für die Weitergabe nicht-personenbezogener Daten durch Unternehmen ergibt sich daher aus der fehlenden Vorhersehbarkeit des wirtschaftlichen Ertrags von Investitionen in die Aufbereitung und Bereitstellung von Datensätzen oder Datenprodukten. Damit in der Union liquide, faire und effiziente Märkte für nicht-personenbezogene Daten entstehen können, muss geklärt werden, welche Partei das Recht hat, solche Daten auf einem Markt anzubieten. Nutzer sollten daher das Recht haben, nicht-personenbezogene Daten zu kommerziellen und nichtkommerziellen Zwecken an Datenempfänger weiterzugeben. Eine solche Datenweitergabe könnte direkt durch den Nutzer, auf Verlangen des Nutzers über einen Dateninhaber oder durch Datenvermittlungsdienste erfolgen. Datenvermittlungsdienste im Sinne der Verordnung (EU) 2022/868 des Europäischen Parlaments und des Rates(²²) könnten der Datenwirtschaft dienen, indem sie Geschäftsbeziehungen zwischen Nutzern, Datenempfängern und Dritten herstellen und die Nutzer bei der Ausübung ihres Datennutzungsrechts unterstützen, etwa indem sie die Anonymisierung der personenbezogenen Daten oder die Aggregation des Zugangs zu Daten von einer Vielzahl einzelner Nutzer sicherstellen. Sind Daten von der Verpflichtung eines Dateninhabers, sie Nutzern oder Dritten bereitzustellen, ausgenommen, so könnte der Umfang dieser Daten in dem zwischen dem Nutzer und dem Dateninhaber geschlossenen Vertrag über die Erbringung eines verbundenen Dienstes festgelegt werden, sodass die Nutzer leicht feststellen können, welche Daten ihnen für die Weitergabe an Datenempfänger oder Dritte bereitstehen. Dateninhaber sollten Dritten nicht-personenbezogene Produktdaten weder zu kommerziellen noch zu nichtkommerziellen Zwecken bereitstellen, außer es geht um die Erfüllung ihres Vertrags mit dem Nutzer; dies sollte die rechtlichen Anforderungen nach dem Unionsrecht oder dem nationalen Recht an einen Dateninhaber für die Bereitstellung von Daten unberührt lassen. Gegebenenfalls sollten Dateninhaber Dritte vertraglich dazu verpflichten, die von ihnen erhaltenen Daten nicht erneut weiterzugeben.

In konzentrierten Sektoren, in denen die Endnutzer durch eine kleine Zahl von Herstellern mit vernetzten Produkten versorgt werden, stehen den Nutzern unter Umständen nur begrenzte Möglichkeiten für den Datenzugang, die Datennutzung und die Weitergabe von Daten zur Verfügung. Unter diesen Umständen reichen vertragliche Vereinbarungen möglicherweise nicht aus, um das Ziel der Stärkung der Handlungsfähigkeit der Nutzer zu erreichen, was es den Nutzern erschwert, aus den Daten, die mit den von ihnen gekauften, gemieteten oder geleasten vernetzen Produkten generiert werden, Wert zu schöpfen. Folglich ist das Potenzial für innovative kleinere Unternehmen, datengestützte Lösungen auf wettbewerbsfähige Weise anzubieten, und für eine vielfältige Datenwirtschaft in der Union begrenzt. Diese Verordnung sollte daher auf den jüngsten Entwicklungen in bestimmten Sektoren aufbauen, wie dem Verhaltenskodex für die Weitergabe von Agrardaten im Wege eines Vertrags. Unionsrecht oder nationales Recht kann erlassen werden, um sektorspezifischen Bedürfnissen und Zielen Rechnung zu tragen. Darüber hinaus sollten Dateninhaber ohne Weiteres verfügbare Daten, bei denen es sich um nicht-personenbezogene Daten handelt, nicht verwenden, um Einblicke in die wirtschaftliche Lage, die Vermögenswerte oder die Produktionsmethoden des Nutzers oder in die Nutzung durch den Nutzer auf jegliche andere Art zu erlangen, die die gewerbliche Position dieses Nutzers auf den Märkten, auf denen dieser tätig ist, untergraben könnte. Dazu könnte gehören, dass Wissen über die Gesamtleistung eines Unternehmens oder eines landwirtschaftlichen Betriebs in Vertragsverhandlungen mit dem Nutzer über den potenziellen Erwerb des Produkts oder landwirtschaftlicher Erzeugnisse des Nutzers zu seinem Nachteil eingesetzt würde oder dass solche Informationen in größere aggregierte Datenbanken über bestimmte Märkte – z. B. Datenbanken über Ernteerträge für die kommende Erntesaison – eingegeben würden, da sich eine solche Verwendung indirekt negativ auf den Nutzer auswirken könnte. Dem Nutzer sollte die für die Verwaltung der Berechtigungen erforderliche technische Schnittstelle bereitgestellt werden, vorzugsweise mit fein abgestuften Berechtigungsoptionen (z. B. „Zugriff einmalig zulassen“ oder „Zugriff nur während der Nutzung der App oder des Dienstes zulassen“), einschließlich der Möglichkeit, solche Berechtigungen zu widerrufen.

Bei Verträgen zwischen einem Dateninhaber und einem Verbraucher als Nutzer eines vernetzten Produkts oder verbundenen Dienstes, das bzw. der Daten generiert, gilt das Verbraucherrecht der Union, insbesondere die Richtlinien 93/13/EWG und 2005/29/EG, damit ein Verbraucher keinen missbräuchlichen Vertragsklauseln unterliegt. Für die Zwecke dieser Verordnung sollten missbräuchliche Vertragsklauseln, die einem Unternehmen einseitig auferlegt werden, für das betreffende Unternehmen nicht verbindlich sein.

Dateninhaber können eine geeignete Nutzeridentifizierung verlangen, um die Berechtigung eines Nutzers auf Zugang zu den Daten zu überprüfen. Im Falle personenbezogener Daten, die von einem Auftragsverarbeiter im Auftrag des Verantwortlichen verarbeitet werden, sollten die Dateninhaber sicherstellen, dass das Zugangsverlangen vom Auftragsverarbeiter entgegengenommen und bearbeitet wird.

Dem Nutzer sollte es freistehen, die Daten zu jedem rechtmäßigen Zweck zu verwenden. Dazu gehören die Bereitstellung der Daten, die der Nutzer im Rahmen der Ausübung seiner Rechte nach dieser Verordnung erhalten hat, für einen Dritten, der einen Folgemarkt-Dienst anbietet, der möglicherweise mit einem von einem Dateninhaber bereitgestellten Dienst im Wettbewerb steht, oder die Anweisung hierzu an den Dateninhaber. Das Zugangsverlangen sollte vom Nutzer oder von einem bevollmächtigten Dritten gestellt werden, der im Namen eines Nutzers handelt, einschließlich von einem Erbringer eines Datenvermittlungsdienstes. Dateninhaber sollten sicherstellen, dass die einem Dritten bereitgestellten Daten so genau, vollständig, zuverlässig, relevant und aktuell sind wie die bei der Nutzung des vernetzten Produkts oder verbundenen Dienstes generierten Daten, auf die der Dateninhaber selbst zugreifen kann oder darf. Rechte des geistigen Eigentums sollten bei der Verarbeitung der Daten gewahrt werden. Es ist wichtig, dass weiter Anreize für Investitionen in Produkte bestehen, deren Funktionen auf der Nutzung der Daten von in diese Produkte eingebauten Sensoren basieren.

Nach der Richtlinie (EU) 2016/943 des Europäischen Parlaments und des Rates(²³) gilt der Erwerb, die Nutzung oder die Offenlegung eines Geschäftsgeheimnisses unter anderem dann als rechtmäßig, wenn der betreffende Erwerb oder die betreffende Nutzung oder Offenlegung nach Unionsrecht oder nationalem Recht vorgeschrieben oder zulässig ist. Nach dieser Verordnung sind Dateninhaber zwar dazu verpflichtet, bestimmte Daten gegenüber Nutzern oder vom Nutzer ausgewählten Dritten offenzulegen, selbst wenn diese Daten unter den Schutz des Geschäftsgeheimnisses fallen, doch sollte dies so ausgelegt werden, dass der Schutz von Geschäftsgeheimnissen nach Maßgabe der Richtlinie (EU) 2016/943 gewahrt wird. In diesem Zusammenhang sollten Dateninhaber dem Nutzer oder vom Nutzer ausgewählten Dritten die Wahrung der Vertraulichkeit von Daten, die als Geschäftsgeheimnisse gelten, vorschreiben können. Daher sollten Dateninhaber die Geschäftsgeheimnisse vor deren Offenlegung ermitteln und die Möglichkeit haben, mit Nutzern oder vom Nutzer ausgewählten Dritten notwendige Maßnahmen zur Wahrung ihrer Vertraulichkeit zu vereinbaren, unter anderem durch die Verwendung von Mustervertragsklauseln, Vertraulichkeitsvereinbarungen, strengen Zugangsprotokollen, technischen Standards und die Anwendung von Verhaltenskodizes. Neben der Verwendung der von der Kommission zu entwickelnden und zu empfehlenden Mustervertragsklauseln könnte auch die Festlegung von Verhaltenskodizes und technischen Standards in Bezug auf den Schutz von Geschäftsgeheimnissen bei der Verarbeitung der Daten dazu beitragen, das Ziel dieser Verordnung zu erreichen, und sollte daher vorangetrieben werden. Besteht keine Vereinbarung über die notwendigen Maßnahmen oder setzt ein Nutzer oder ein vom Nutzer ausgewählter Dritter diese vereinbarten Maßnahmen nicht um oder verstößt gegen die Vertraulichkeit von Geschäftsgeheimnissen, so sollte es dem Dateninhaber möglich sein, die Weitergabe der als Geschäftsgeheimnisse eingestuften Daten zu verweigern oder auszusetzen. In solchen Fällen sollte der Dateninhaber dem Nutzer oder dem Dritten seine Entscheidung unverzüglich schriftlich mitteilen und die nationale zuständige Behörde des Mitgliedstaats, in dem der Dateninhaber niedergelassen ist, davon unterrichten, dass er die Weitergabe von Daten verweigert oder ausgesetzt hat, und angeben, welche Maßnahmen nicht vereinbart oder umgesetzt wurden und – sofern relevant – bei welchen Geschäftsgeheimnissen die Vertraulichkeit verletzt wurde. Grundsätzlich können Dateninhaber ein Datenzugangsverlangen gemäß dieser Verordnung nicht allein aufgrund dessen ablehnen, dass bestimmte Daten als Geschäftsgeheimnisse gelten, da dies die beabsichtigte Wirkung dieser Verordnung untergraben würde. In Ausnahmefällen sollte es einem Dateninhaber, der Inhaber eines Geschäftsgeheimnisses ist, jedoch möglich sein, im Einzelfall ein Datenzugangsverlangen für die betreffenden spezifischen Daten abzulehnen, wenn er gegenüber dem Nutzer oder dem Dritten nachweisen kann, dass durch die Offenlegung dieses Geschäftsgeheimnisses trotz von dem Nutzer oder dem Dritten vorgenommener technischer und organisatorischer Maßnahmen mit hoher Wahrscheinlichkeit ein schwerer wirtschaftlicher Schaden entsteht. Ein schwerer wirtschaftlicher Schaden geht mit schweren irreparablen wirtschaftlichen Verlusten einher. Der Dateninhaber sollte seine Weigerung gegenüber dem Nutzer oder dem Dritten unverzüglich in schriftlicher Form ordnungsgemäß begründen und die zuständige Behörde hiervon in Kenntnis setzen. Eine solche Begründung sollte sich auf objektive Fakten stützen, aus denen hervorgeht, dass durch die Offenlegung bestimmter Daten die konkrete Gefahr eines schweren wirtschaftlichen Schadens zu erwarten ist, und weshalb die zum Schutz der verlangten Daten ergriffenen Maßnahmen als nicht ausreichend erachtet werden. In diesem Zusammenhang kann etwaigen negativen Auswirkungen auf die Cybersicherheit Rechnung getragen werden. Unbeschadet des Rechts, vor einem Gericht eines Mitgliedstaats Rechtsmittel einzulegen, kann der Nutzer oder der Dritte, der die Entscheidung des Dateninhabers, die Weitergabe von Daten abzuweisen oder zu verweigern oder auszusetzen, anfechten möchte, bei der zuständigen Behörde Beschwerde einlegen, die sodann unverzüglich entscheiden sollte, ob und unter welchen Bedingungen die Weitergabe der Daten beginnen oder wieder aufgenommen werden sollte, oder der Nutzer oder der Dritte kann mit dem Dateninhaber vereinbaren, eine Streitbeilegungsstelle mit der Angelegenheit zu befassen. Die in dieser Verordnung vorgesehenen Ausnahmen von den Datenzugangsrechten sollten in keiner Weise die Rechte der betroffenen Personen auf Zugang und Datenübertragbarkeit gemäß der Verordnung (EU) 2016/679 beschränken.

Das Ziel dieser Verordnung besteht nicht nur darin, die Entwicklung neuer, innovativer vernetzter Produkte oder verbundener Dienste zu fördern und Innovationen auf den Folgemärkten voranzutreiben, sondern auch darin, die Entwicklung völlig neuartiger Dienste unter Nutzung der betreffenden Daten anzuregen, auch auf der Grundlage von Daten aus einer Vielzahl von vernetzten Produkten oder verbundenen Diensten. Gleichzeitig soll mit der vorliegenden Verordnung verhindert werden, dass die Anreize für Investitionen in die Art vernetzter Produkte, von denen die Daten erlangt werden, verloren gehen, etwa wenn Daten zur Entwicklung eines konkurrierenden vernetzten Produkts genutzt werden, das insbesondere aufgrund seiner Merkmale, seines Preises und seines Verwendungszwecks von den Nutzern als austauschbar oder ersetzbar betrachtet wird. Diese Verordnung sieht kein Verbot der Entwicklung eines verbundenen Dienstes unter Nutzung der im Rahmen dieser Verordnung erlangten Daten vor, da dies eine unerwünschte abschreckende Wirkung auf Innovationen hätte. Die Innovationsanstrengungen der Dateninhaber werden durch das Verbot geschützt, Daten, zu denen im Rahmen dieser Verordnung Zugang besteht, für die Entwicklung eines vernetzten Konkurrenzprodukts zu nutzen. Ob ein vernetztes Produkt mit dem vernetzten Produkt, von dem die Daten stammen, im Wettbewerb steht, hängt davon ab, ob die beiden vernetzten Produkte auf demselben Produktmarkt miteinander konkurrieren. Dies ist auf der Grundlage der bewährten Grundsätze des Wettbewerbsrechts der Union zur Bestimmung des einschlägigen Produktmarkts zu entscheiden. Allerdings könnte ein rechtmäßiger Zweck der Nutzung der Daten, soweit die Anforderungen der vorliegenden Verordnung, des Unionsrechts oder des nationalen Rechts dabei erfüllt sind, Reverse Engineering (Nachkonstruktion) umfassen. Dabei kann es sich um Zwecke der Reparatur oder der Verlängerung der Lebensdauer eines vernetzten Produkts oder der Erbringung von Folgemarkt-Diensten für vernetzte Produkte handeln.

Ein Dritter, dem Daten bereitgestellt werden, kann eine natürliche oder juristische Person, wie etwa ein Verbraucher, ein Unternehmen, eine Forschungseinrichtung, eine gemeinnützige Organisation oder ein in beruflicher Eigenschaft handelnder Rechtsträger, sein. Wenn ein Dateninhaber dem Dritten die Daten bereitstellt, sollte er seine Position nicht missbrauchen, um einen Wettbewerbsvorteil auf Märkten zu erlangen, auf denen der Dateninhaber und der Dritte möglicherweise in direktem Wettbewerb stehen. Der Dateninhaber sollte ohne Weiteres verfügbare Daten daher nicht dazu nutzen, um Einblicke in die wirtschaftliche Lage, die Vermögenswerte oder Produktionsmethoden des Dritten oder die Nutzung durch den Dritten auf jegliche andere Weise zu erlangen, die die gewerbliche Position des Dritten auf den Märkten, auf denen dieser tätig ist, untergraben könnte. Der Nutzer sollte in der Lage sein, nicht-personenbezogene Daten zu kommerziellen Zwecken an Dritte weiterzugeben. Nach Zustimmung des Nutzers und vorbehaltlich der Bestimmungen dieser Verordnung sollten Dritte die vom Nutzer eingeräumten Datenzugangsrechte auf andere Dritte übertragen können, auch gegen Entgelt. Datenmittler zwischen Unternehmen und Personal Information Management Systemen (personal information management systems, PIMS), die in der Verordnung (EU) 2022/868 als Datenvermittlungsdienste bezeichnet werden, können Nutzer oder Dritte bei der Aufnahme von Geschäftsbeziehungen mit einer unbestimmten Zahl potenzieller Gegenparteien zu jedem in den Anwendungsbereich dieser Verordnung fallenden rechtmäßigen Zweck unterstützen. Sie könnten eine entscheidende Rolle bei der Aggregation des Zugangs zu Daten spielen, sodass Big-Data-Analysen oder maschinelles Lernen erleichtert werden können, vorausgesetzt dass die Nutzer die volle Kontrolle darüber behalten, ob sie ihre Daten zu einer solchen Aggregation bereitstellen und unter welchen kommerziellen Bedingungen ihre Daten zu nutzen sind.

Bei der Nutzung eines vernetzten Produkts oder verbundenen Dienstes können, insbesondere wenn es sich bei dem Nutzer um eine natürliche Person handelt, Daten generiert werden, die sich auf eine betroffene Person beziehen. Die Verarbeitung solcher Daten unterliegt den Vorschriften der Verordnung (EU) 2016/679, auch wenn personenbezogene und nicht-personenbezogene Daten in einem Datensatz untrennbar miteinander verbunden sind. Die betroffene Person kann der Nutzer oder eine andere natürliche Person sein. Zugang zu personenbezogenen Daten darf nur von einem Verantwortlichen oder einer betroffenen Person verlangt werden. Der Nutzer, der die betroffene Person ist, ist unter bestimmten Umständen gemäß der Verordnung (EU) 2016/679 berechtigt, auf die jenen Nutzer betreffenden personenbezogenen Daten zuzugreifen; diese Rechte bleiben von der vorliegenden Verordnung unberührt. Nach der vorliegenden Verordnung hat ein Nutzer, der eine natürliche Person ist, ferner das Recht auf Zugang zu allen durch die Nutzung eines vernetzten Produkts generierten Daten, ob personenbezogen oder nicht-personenbezogen. Handelt es sich beim Nutzer nicht um die betroffene Person, sondern um ein Unternehmen, einschließlich eines Einzelunternehmers, und wird das Produkt nicht gemeinsam in einem Haushalt verwendet, so gilt der Nutzer als Verantwortlicher. Dementsprechend benötigt ein Nutzer, der als Verantwortlicher Zugang zu personenbezogenen Daten, die bei der Nutzung eines vernetzten Produkts oder verbundenen Dienstes generiert werden, zu verlangen beabsichtigt, für die Verarbeitung der Daten eine Rechtsgrundlage gemäß Artikel 6 Absatz 1 der Verordnung (EU) 2016/679, wie etwa die Einwilligung der betroffenen Person oder die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist. Dieser Nutzer sollte sicherstellen, dass die betroffene Person angemessen über die spezifischen, eindeutigen und rechtmäßigen Zwecke der Verarbeitung dieser Daten und darüber informiert wird, wie die betroffene Person ihre Rechte wirksam ausüben kann. Handelt es sich bei dem Dateninhaber und dem Nutzer um gemeinsam Verantwortliche im Sinne des Artikels 26 der Verordnung (EU) 2016/679, so müssen sie in einer Vereinbarung in transparenter Form festlegen, wer von ihnen die einschlägigen Pflichten zur Einhaltung der genannten Verordnung erfüllt. Es sollte davon ausgegangen werden, dass ein solcher Nutzer, sobald Daten bereitgestellt wurden, seinerseits Dateninhaber werden kann, wenn jener Nutzer die Kriterien dieser Verordnung erfüllt, und damit seinerseits den Pflichten zur Bereitstellung von Daten im Rahmen dieser Verordnung unterliegen kann.

Produktdaten oder verbundene Dienstdaten sollten Dritten nur auf Verlangen des Nutzers bereitgestellt werden. Dementsprechend ergänzt die vorliegende Verordnung das in Artikel 20 der Verordnung (EU) 2016/679 verankerte Recht einer betroffenen Personen, die sie betreffenden personenbezogenen Daten in einem strukturierten, gängigen, maschinenlesbaren und interoperablen Format zu erhalten und sie auch einem anderen Verantwortlichen zu übertragen, wenn diese Daten mithilfe automatisierter Verfahren auf der Grundlage von Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a oder eines Vertrags gemäß Artikel 6 Absatz 1 Buchstabe b der genannten Verordnung verarbeitet werden. Betroffene Personen haben ebenfalls das Recht, zu erwirken, dass die personenbezogenen Daten von einem Verantwortlichen direkt an einen anderen Verantwortlichen übermittelt werden, jedoch nur sofern dies technisch machbar ist. In Artikel 20 der Verordnung (EU) 2016/679 wird präzisiert, dass dies Daten betrifft, die die betroffene Person bereitgestellt hat, ohne jedoch anzugeben, ob dies ein aktives Verhalten der betroffenen Person erfordert oder ob dies auch in Fällen gilt, in denen ein vernetztes Produkt oder verbundener Dienst durch seine Konzeption das Verhalten einer betroffenen Person oder andere Informationen in Bezug auf eine betroffene Person passiv erfasst. Die in dieser Verordnung enthaltenen Rechte ergänzen das Recht, personenbezogene Daten gemäß Artikel 20 der Verordnung (EU) 2016/679 auf verschiedene Weise zu erhalten und zu übertragen. Die vorliegende Verordnung gewährt Nutzern das Recht auf Zugang und darauf, einem Dritten alle Produktdaten oder verbundenen Dienstdaten bereitzustellen, unabhängig davon, ob es sich um personenbezogene Daten handelt, sowie unabhängig von der Unterscheidung zwischen aktiv bereitgestellten oder passiv erfassten Daten und von der Rechtsgrundlage für die Verarbeitung. Im Gegensatz zu Artikel 20 der Verordnung (EU) 2016/679 wird mit der vorliegenden Verordnung die technische Machbarkeit des Zugangs Dritter zu allen Arten von Daten, die in ihren Anwendungsbereich fallen – ob personenbezogen oder nicht-personenbezogen –, vorgeschrieben und gewährleistet, womit sichergestellt wird, dass technische Hindernisse den Zugang zu diesen Daten nicht mehr behindern oder verhindern. Außerdem ermöglicht sie es Dateninhabern, eine angemessene Gegenleistung für Kosten festlegen, die durch die Bereitstellung des direkten Zugangs zu den vom vernetzten Produkt des Nutzers generierten Daten entstehen, die von Dritten, nicht aber vom Nutzer zu tragen ist. Wenn ein Dateninhaber und ein Dritter nicht in der Lage sind, Bedingungen für einen solchen direkten Zugang zu vereinbaren, sollte die betroffene Person in keiner Weise daran gehindert werden, die in der Verordnung (EU) 2016/679 festgelegten Rechte, einschließlich des Rechts auf Datenübertragbarkeit, durch Einlegung von Rechtsbehelfen gemäß der genannten Verordnung auszuüben. In diesem Zusammenhang gilt, dass im Einklang mit der Verordnung (EU) 2016/679 durch einen Vertrag nicht die Verarbeitung besonderer Kategorien personenbezogener Daten durch den Dateninhaber oder den Dritten gestattet werden kann.

Der Zugang zu auf Endgeräten gespeicherten von über Endgeräte zugänglichen Daten unterliegt der Richtlinie 2002/58/EG und erfordert die Einwilligung des Teilnehmers oder Nutzers im Sinne der genannten Richtlinie, es sei denn, der Datenzugang ist unbedingt für die Bereitstellung eines vom Nutzer oder vom Teilnehmer ausdrücklich verlangten Dienstes der Informationsgesellschaft oder zum alleinigen Zweck der Übertragung einer Nachricht erforderlich. Die Richtlinie 2002/58/EG schützt die Integrität der Endgeräte eines Nutzers im Hinblick auf die Nutzung von Verarbeitungs- und Speicherfunktionen und die Sammlung von Informationen. Geräte des Internets der Dinge gelten als Endgeräte, wenn sie direkt oder indirekt mit einem öffentlichen Kommunikationsnetz verbunden sind.

Um zu verhindern, dass Nutzer ausgenutzt werden, sollten Dritte, denen die Daten auf Verlangen des Nutzers bereitgestellt wurden, diese Daten nur zu den mit dem Nutzer vereinbarten Zwecken verarbeiten und sie nur an andere Dritte weitergeben, wenn der Nutzer seine Einwilligung zu dieser Datenweitergabe gegeben hat.

Im Einklang mit dem Grundsatz der Datenminimierung sollten Dritte nur auf solche Informationen zugreifen, die für die Erbringung des vom Nutzer verlangten Dienstes erforderlich sind. Nachdem der Dritte Zugang zu den Daten erhalten hat, sollte er diese zu den mit dem Nutzer vereinbarten Zwecken verarbeiten, ohne dass der Dateninhaber eingreift. Es sollte für den Nutzer genauso einfach sein, den Zugang Dritter zu den Daten zu verweigern oder zu beenden, wie es für ihn ist, den Zugang zu den Daten zu gestatten. Weder Dritte noch Dateninhaber sollten die Ausübung der Wahlmöglichkeiten oder Rechte der Nutzer unangemessen erschweren, auch nicht, indem sie ihnen Wahlmöglichkeiten auf nicht neutrale Weise anbieten, oder den Nutzer zwingen, täuschen oder manipulieren, oder indem sie – auch mittels einer digitalen Benutzerschnittstelle oder eines Teils davon –, die Autonomie, Entscheidungsfähigkeit oder freie Wahlmöglichkeiten des Nutzers untergraben oder beeinträchtigen. In diesem Zusammenhang sollten Dritte oder Dateninhaber bei der Gestaltung ihrer digitalen Schnittstellen nicht auf sogenannte „Dark Patterns“ zurückgreifen. „Dark Patterns“ sind Gestaltungstechniken, die dazu dienen, Verbraucher zu Entscheidungen, die negative Folgen für sie haben, zu verleiten oder sie zu täuschen. Diese manipulativen Techniken können eingesetzt werden, um Nutzer, insbesondere schutzbedürftige Verbraucher, zu unerwünschtem Verhalten zu bewegen und zu täuschen, indem sie zu Entscheidungen über die Datenoffenlegung angeregt werden, sowie um die Entscheidungsfindung der Nutzer des Dienstes unverhältnismäßig in einer Weise zu beeinflussen, die ihre Autonomie, Entscheidungsfähigkeit oder Wahlmöglichkeiten untergräbt oder beeinträchtigt. Übliche und rechtmäßige Geschäftspraktiken, die mit dem Unionsrecht im Einklang stehen, sollten an sich nicht als „Dark Patterns“ angesehen werden. Dritte und Dateninhaber sollten ihren Pflichten nach dem einschlägigen Unionsrecht nachkommen, insbesondere den Anforderungen der Richtlinien 98/6/EG(²⁴) und 2000/31/EG(²⁵) des Europäischen Parlaments und des Rates sowie der Richtlinien 2005/29/EG und 2011/83/EU.

Dritte sollten auch davon absehen, Daten, die in den Anwendungsbereich dieser Verordnung fallen, für das Profiling einer Person zu verwenden, es sei denn, solche Verarbeitungstätigkeiten sind unbedingt erforderlich, um den vom Nutzer verlangten Dienst zu erbringen, einschließlich im Kontext der automatisierten Entscheidungsfindung. Die Anforderung, Daten zu löschen, wenn diese für den mit dem Nutzer vereinbarten Zweck nicht mehr erforderlich sind, ergänzt – sofern in Bezug nicht-personenbezogene Daten nichts anderes vereinbart wurde – das Recht der betroffenen Person auf Löschung gemäß Artikel 17 der Verordnung (EU) 2016/679. Wenn ein Dritter ein Anbieter eines Datenvermittlungsdienstes ist, gelten die in der Verordnung (EU) 2022/868 für die betroffene Person vorgesehenen Schutzvorkehrungen. Der Dritte kann die Daten für die Entwicklung eines neuen und innovativen vernetzten Produkts oder verbundenen Dienstes, nicht aber für die Entwicklung eines konkurrierenden vernetzten Produkts verwenden.

Start-ups, kleine Unternehmen und Unternehmen, die nach Artikel 2 des Anhangs der Empfehlung 2003/361/EG als mittlere Unternehmen einzustufen sind, sowie Unternehmen aus traditionellen Branchen mit weniger entwickelten digitalen Fähigkeiten haben Schwierigkeiten, Zugang zu einschlägigen Daten zu erlangen. Ziel dieser Verordnung ist es, diesen Rechtsträgern den Zugang zu Daten zu erleichtern und gleichzeitig sicherzustellen, dass die entsprechenden Pflichten so verhältnismäßig wie möglich sind, um eine Übervorteilung zu vermeiden. Durch die Anhäufung und Aggregation gewaltiger Datenmengen und die technologische Infrastruktur für ihre Monetarisierung ist in der digitalen Wirtschaft gleichzeitig eine kleine Zahl sehr großer Unternehmen mit beträchtlicher wirtschaftlicher Macht entstanden. Zu diesen sehr großen Unternehmen gehören Betreiber zentraler Plattformdienste, die ganze Plattformökosysteme in der digitalen Wirtschaft kontrollieren, sodass es bestehenden oder neuen Marktteilnehmern nicht möglich ist, ihnen ihre Position streitig zu machen oder mit ihnen in Wettbewerb zu treten. Die Verordnung (EU) 2022/1925 des Europäischen Parlaments und des Rates(²⁶) zielt darauf ab, diese Ineffizienzen und Ungleichgewichte zu beheben, indem die Kommission ein Unternehmen als „Torwächter“ benennen kann und diesen Torwächtern eine Reihe von Pflichten auferlegt wird, darunter das Verbot, bestimmte Daten ohne Einwilligung zusammenzuführen, und die Pflicht, wirksames Rechte auf Datenübertragbarkeit gemäß Artikel 20 der Verordnung (EU) 2016/679 zu gewährleisten. Gemäß der Verordnung (EU) 2022/1925 und angesichts der einzigartigen Fähigkeit dieser Unternehmen, Daten zu erwerben, ist es zur Erreichung des Ziels der vorliegenden Verordnung nicht erforderlich und somit in Bezug auf die den entsprechenden Pflichten unterliegenden Dateninhaber unverhältnismäßig, solchen Torwächtern ein Datenzugangsrecht einzuräumen. Ihre Einbeziehung dürfte auch die Vorteile einschränken, die die vorliegende Verordnung im Zusammenhang mit der gerechten Verteilung der Datenwertschöpfung unter den Marktteilnehmern für KMU bewirken kann. Dies bedeutet, dass ein als Torwächter benanntes Unternehmen, das zentrale Plattformdienste betreibt, auf der Grundlage der vorliegenden Verordnung keinen Zugang zu Nutzerdaten verlangen oder erhalten kann, die bei der Nutzung eines vernetzten Produkts oder verbundenen Dienstes oder eines virtuellen Assistenten generiert werden. Darüber hinaus dürfen Dritte, denen Daten auf Verlangen des Nutzers bereitgestellt werden, die Daten keinem Torwächter bereitstellen. Beispielsweise darf der Dritte keinen Torwächter mit der Erbringung des Dienstes beauftragen. Dies hindert Dritte jedoch nicht daran, Datenverarbeitungsdienste in Anspruch zu nehmen, die von einem Torwächter angeboten werden. Außerdem hindert es diese Unternehmen nicht daran, dieselben Daten auf andere rechtmäßige Weise zu erlangen und zu nutzen. Die Zugangsrechte gemäß der vorliegenden Verordnung tragen zu einer größeren Auswahl an Dienstleistungen für die Verbraucher bei. Da freiwillige Vereinbarungen zwischen Torwächtern und Dateninhabern hiervon unberührt bleiben, würde eine Beschränkung der Zugangsgewährung für Torwächter diese nicht vom Markt ausschließen oder daran hindern, ihre Dienste anzubieten.

Angesichts des derzeitigen Stands der Technik wäre es zu aufwendig, Kleinstunternehmen und Kleinunternehmen weitere Konzeptionspflichten für vernetzte Produkte, die von ihnen hergestellt oder konzipiert, oder verbundene Dienste, die von ihnen erbracht werden, aufzuerlegen. Dies ist jedoch nicht der Fall, wenn ein Kleinstunternehmen oder Kleinunternehmen ein Partnerunternehmen oder ein verbundenes Unternehmen im Sinne von Artikel 3 des Anhangs der Empfehlung 2003/361/EG hat, das nicht als Kleinstunternehmen oder Kleinunternehmen gilt, und das mit der Herstellung oder Konzeption eines vernetzten Produkts oder mit der Erbringung eines verbundenen Dienstes beauftragt wird. In solchen Fällen ist das Unternehmen, das einem Kleinstunternehmen oder Kleinunternehmen den Herstellungs- oder Konzeptionsauftrag erteilt hat, in der Lage, dem Auftragnehmer angemessenen zu entschädigen. Ein Kleinstunternehmen oder Kleinunternehmen kann jedoch als Dateninhaber den Anforderungen dieser Verordnung unterliegen, wenn es nicht der Hersteller des vernetzten Produkts oder ein Erbringer verbundener Dienste ist. Für ein Unternehmen, das seit weniger als einem Jahr als mittleres Unternehmen eingestuft ist, sowie für von einem mittleren Unternehmen vor weniger als einem Jahr auf den Markt gebrachte vernetzte Produkte sollte eine Übergangszeit gelten. Dieser Zeitraum von einem Jahr erlaubt es einem mittleren Unternehmen, sich anzupassen und vorzubereiten, bevor es auf dem Dienstleistungsmarkt für die von ihm hergestellten vernetzten Produkte auf Grundlage der Zugangsrechte gemäß dieser Verordnung dem Wettbewerb ausgesetzt ist. Diese Übergangszeit gilt nicht, wenn ein solches mittleres Unternehmen ein Partnerunternehmen oder ein verbundenes Unternehmen hat, das nicht als Kleinstunternehmen oder Kleinunternehmen gilt, oder wenn ein solches mittleres Unternehmen mit der Herstellung oder Konzeption eines vernetzten Produkts oder der Erbringung eines verbundenen Dienstes beauftragt wurde.

Unter Berücksichtigung der Vielzahl von vernetzten Produkten, mit denen hinsichtlich Art, Umfang und Häufigkeit unterschiedliche Daten generiert werden, die mit unterschiedlichen Daten- und Cybersicherheitsrisiken einhergehen und wirtschaftliche Chancen von unterschiedlichem Wert bieten, und um die Kohärenz der Verfahren für die Datenweitergabe im Binnenmarkt, auch sektorübergreifend, sicherzustellen und faire Verfahren für die Datenweitergabe selbst in jenen Bereichen zu fördern und voranzubringen, in denen ein solches Recht auf Datenzugang nicht vorgesehen ist, enthält diese Verordnung horizontale Vorschriften über die Ausgestaltung des Datenzugangs in all jenen Fällen, in denen ein Dateninhaber nach dem Unionsrecht oder nationalen Rechtsvorschriften, die im Einklang mit Unionsrecht erlassen wurden, verpflichtet ist, einem Datenempfänger Daten bereitzustellen. Ein solcher Zugang sollte auf fairen, angemessenen, nichtdiskriminierenden und transparenten Bedingungen beruhen. Diese allgemeinen Zugangsvorschriften gelten nicht für Datenbereitstellungspflichten gemäß der Verordnung (EU) 2016/679. Die freiwillige Datenweitergabe bleibt von diesen Vorschriften unberührt. Die unverbindlichen Mustervertragsklauseln für die Datenweitergabe zwischen Unternehmen, die die Kommission erarbeiten und empfehlen wird, können den Parteien dabei helfen, Verträge zu schließen, die faire, angemessene und nichtdiskriminierende Bedingungen enthalten und in transparenter Weise umgesetzt werden sollen. Der Abschluss von Verträgen, die die unverbindlichen Mustervertragsklauseln beinhalten können, sollte nicht bedeuten, dass das Recht auf Weitergabe von Daten an Dritte in irgendeiner Weise an das Bestehen eines solchen Vertrags geknüpft ist. Sollten die Parteien – auch mit Unterstützung von Streitbeilegungsstellen – nicht in der Lage sein, einen Vertrag über die Datenweitergabe zu schließen, so ist das Recht, Daten an Dritte weiterzugeben, vor nationalen Gerichten einklagbar.

Auf der Grundlage des Grundsatzes der Vertragsfreiheit sollte es den Parteien freistehen, in ihren Verträgen im Rahmen der allgemeinen Zugangsvorschriften für die Bereitstellung von Daten die genauen Bedingungen für die Bereitstellung von Daten auszuhandeln. Die Bedingungen solcher Verträge könnten sich auch auf technische und organisatorische Maßnahmen, auch in Bezug auf die Datensicherheit, erstrecken.

Um sicherzustellen, dass die Bedingungen für einen obligatorischen Datenzugang für beide Vertragsparteien fair sind, sollten die allgemeinen Vorschriften über Datenzugangsrechte auf die Vorschrift zur Vermeidung missbräuchlicher Vertragsklauseln Bezug nehmen.

In Vereinbarungen über die Bereitstellung von Daten, die im Rahmen der Geschäftsbeziehungen zwischen Unternehmen abgeschlossen werden, sollte unabhängig davon, ob es sich um große Unternehmen oder KMU handelt, nicht zwischen vergleichbaren Kategorien von Datenempfängern unterschieden werden. Zum Ausgleich des Mangels an Informationen über die in verschiedenen Verträgen enthaltenen Bedingungen, der es dem Datenempfänger erschwert, zu beurteilen, ob die Bedingungen für die Bereitstellung der Daten nichtdiskriminierend sind, sollte es in der Verantwortung der Dateninhaber liegen, nachzuweisen, dass eine Vertragsklausel nichtdiskriminierend ist. Es liegt keine rechtswidrige Diskriminierung vor, wenn der Dateninhaber für die Bereitstellung von Daten unterschiedliche Vertragsklauseln vorsieht, sofern diese Unterschiede aus objektiven Gründen gerechtfertigt sind. Diese Pflichten gelten unbeschadet der Verordnung (EU) 2016/679.

Um weitere Investitionen in die Generierung und Bereitstellung wertvoller Daten zu fördern, einschließlich Investitionen in einschlägige technische Instrumente, zugleich aber unverhältnismäßige Belastungen bei Datenzugang und Datennutzung zu vermeiden, da die Datenweitergabe dadurch wirtschaftlich nicht mehr tragfähig wäre, enthält diese Verordnung den Grundsatz, dass Dateninhaber eine angemessene Gegenleistung verlangen können, wenn sie gemäß Unionsrecht oder nationalem Recht, das im Einklang mit Unionsrecht erlassen wurde, verpflichtet sind, einem Datenempfänger im Rahmen von Geschäftsbeziehungen zwischen Unternehmen Daten bereitzustellen. Diese Gegenleistung sollte nicht als Bezahlung für die Daten selbst verstanden werden. Die Kommission sollte Leitlinien erlassen, anhand derer eine angemessene Gegenleistung in der Datenwirtschaft berechnet werden kann.

Erstens kann eine angemessene Gegenleistung für die Erfüllung der Verpflichtung gemäß Unionsrecht oder nationalen Rechtsvorschriften, die im Einklang mit Unionsrecht erlassen wurden, einem Datenzugangsverlangen nachzukommen, einen Ausgleich für die Kosten umfassen, die mit der Bereitstellung der Daten verbunden sind. Dies können technische Kosten sein, beispielsweise Kosten, die für die Wiedergabe, die elektronische Verbreitung und die Speicherung von Daten erforderlich sind, nicht aber die Kosten der Datensammlung oder -produktion. Die technischen Kosten könnten ferner die Kosten für die Verarbeitung umfassen, die im Vorfeld der Bereitstellung der Daten erforderlich ist, einschließlich der mit der Formatierung der Daten verbundenen Kosten. Kosten im Zusammenhang mit der Bereitstellung der Daten können auch die Kosten für die Erleichterung konkreter Datenweitergabeverlangen umfassen. In Abhängigkeit von der Datenmenge sowie von den für die Bereitstellung der Daten getroffenen Vereinbarungen können diese Kosten zudem unterschiedlich hoch ausfallen. Durch langfristige Vereinbarungen zwischen Dateninhabern und Datenempfängern, z. B. über ein Abonnementmodell oder die Verwendung von intelligenten Verträgen, können die Kosten im Rahmen regelmäßiger oder wiederholter Transaktionen in einer Geschäftsbeziehung niedriger sein. Kosten im Zusammenhang mit der Bereitstellung von Daten beziehen sich entweder auf ein bestimmtes Verlangen oder decken mehrere Verlangen ab. Im letzteren Fall sollten die Kosten für die Bereitstellung der Daten nicht von einem einzelnen Datenempfänger in voller Höhe getragen werden. Zweitens kann die angemessene Gegenleistung auch eine Marge umfassen, außer in Bezug auf KMU und gemeinnützige Forschungseinrichtungen. Die Marge kann in Abhängigkeit von den Faktoren, die mit den Daten selbst im Zusammenhang stehen, etwa Menge, Format oder Art der Daten, unterschiedlich bemessen sein. Sie kann die Kosten für die Erhebung der Daten berücksichtigen. Daher kann die Marge geringer ausfallen, wenn der Dateninhaber die Daten für sein eigenes Unternehmen erhoben hat, ohne wesentliche Investitionen zu tätigen, oder aber höher ausfallen, wenn in die Datenerhebung für die Zwecke des Unternehmens des Dateninhabers stark investiert werden muss. In Fällen, in denen sich die Nutzung der Daten durch den Datenempfänger nicht auf die eigenen Tätigkeiten des Dateninhabers auswirkt, kann die Marge begrenzt oder sogar ausgeschlossen werden. Außerdem könnte die Gegenleistung dadurch, dass die Daten von einem vernetzten Produkt, das Eigentum des Nutzers ist oder von ihm gemietet oder geleast wird, mitgeneriert werden, vergleichsweise niedriger ausfallen als in anderen Fällen, in denen die Daten, etwa bei der Erbringung eines verbundenen Dienstes, vom Dateninhaber generiert werden.

Ein Eingreifen ist nicht erforderlich, wenn Daten zwischen großen Unternehmen weitergegeben werden oder wenn es sich beim Dateninhaber um ein kleines oder mittleres Unternehmen und beim Datenempfänger um ein großes Unternehmen handelt. In diesen Fällen wird davon ausgegangen, dass die Unternehmen in der Lage sind, innerhalb angemessener und nichtdiskriminierender Grenzen eine Gegenleistung auszuhandeln.

Um KMU vor übermäßigen wirtschaftlichen Belastungen zu schützen, die ihnen die Entwicklung und den Betrieb innovativer Geschäftsmodelle übermäßig erschweren würden, sollte die von ihnen zu tragende angemessene Gegenleistung für die Bereitstellung von Daten die mit der Bereitstellung der Daten direkt verbundenen Kosten nicht übersteigen. Mit der Bereitstellung direkt verbundene Kosten sind jene Kosten, die den einzelnen Datenzugangsverlangen zuzurechnen sind, wobei zu berücksichtigen ist, dass der Dateninhaber die erforderlichen technischen Schnittstellen oder die erforderliche Software und Netzanbindung dauerhaft einzurichten hat. Dieselbe Regelung sollte für gemeinnützige Forschungseinrichtungen gelten.

In hinreichend begründeten Fällen, auch wenn es notwendig ist, die Beteiligung der Verbraucher und den Wettbewerb zu gewährleisten oder Innovationen auf bestimmten Märkten zu fördern, kann Unionsrecht oder in nationalem Recht, das im Einklang mit Unionsrecht erlassen wurde, eine festgelegte Gegenleistung für die Bereitstellung bestimmter Arten von Daten vorgeschrieben werden.

Transparenz ist ein wichtiger Grundsatz, um sicherzustellen, dass die von einem Dateninhaber verlangte Gegenleistung angemessen ist oder, falls es sich bei dem Datenempfänger um ein KMU oder eine gemeinnützige Forschungseinrichtung handelt, dass die Gegenleistung nicht die Kosten übersteigt, die direkt mit der Bereitstellung der Daten für den Datenempfänger verbunden und jeweils dem einzelnen Verlangen zuzurechnen sind. Damit Datenempfänger beurteilen und überprüfen können, ob die Gegenleistung den Anforderungen dieser Verordnung entspricht, sollte der Dateninhaber dem Datenempfänger ausreichend detaillierte Informationen für die Berechnung der Gegenleistung bereitstellen.

Alternative Möglichkeiten zur Beilegung innerstaatlicher und grenzüberschreitender Streitigkeiten im Zusammenhang mit der Bereitstellung von Daten sollten Dateninhabern und Datenempfängern gleichermaßen zur Verfügung stehen, sodass das Vertrauen in die Datenweitergabe gestärkt wird. Falls sich die Parteien nicht auf faire, angemessene und nichtdiskriminierende Bedingungen für die Bereitstellung von Daten einigen können, sollten die Streitbeilegungsstellen den Parteien eine einfache, schnelle und kostengünstige Lösung anbieten. Während in dieser Verordnung nur die Bedingungen festgelegt sind, die Streitbeilegungsstellen erfüllen müssen, um zertifiziert zu werden, steht es den Mitgliedstaaten frei, spezifische Vorschriften für das Zertifizierungsverfahren, einschließlich des Ablaufs oder des Widerrufs der Zertifizierung, zu erlassen. Die in dieser Verordnung enthaltenen Bestimmungen über die Streitbeilegung sollten die Mitgliedstaaten nicht dazu verpflichten, Streitbeilegungsstellen einzurichten.

Das Streitbeilegungsverfahren im Rahmen dieser Verordnung ist ein freiwilliges Verfahren, das es Nutzern, Dateninhabern und Datenempfängern ermöglicht, zu vereinbaren, Streitbeilegungsstellen mit ihren Streitigkeiten zu befassen. Daher sollte es den Parteien freistehen, sich an eine Streitbeilegungsstelle ihrer Wahl zu wenden, sei es innerhalb oder außerhalb der Mitgliedstaaten, in denen diese Parteien niedergelassen sind.

Um zu vermeiden, dass – insbesondere in einer grenzüberschreitenden Situation – zwei oder mehr Streitbeilegungsstellen mit derselben Streitigkeit befasst werden, sollte ein Ersuchen zur Streitbeilegung von einer Streitbeilegungsstelle ablehnt werden können, wenn es bereits bei einer anderen Streitbeilegungsstelle oder einem Gericht eines Mitgliedstaats eingereicht wurde.

Um die einheitliche Anwendung dieser Verordnung zu gewährleisten, sollten die Streitbeilegungsstellen die von der Kommission zu entwickelnden und zu empfehlenden unverbindlichen Mustervertragsklauseln sowie Unionsrecht oder nationales Recht zur Festlegung der Verpflichtungen zur Weitergabe von Daten oder Leitlinien der einschlägigen Fachbehörden für die Anwendung dieses Rechts berücksichtigen.

Die Parteien eines Streitbeilegungsverfahrens sollten nicht daran gehindert werden, ihre Grundrechte auf einen wirksamen Rechtsbehelf und ein faires Verfahren auszuüben. Daher sollte die Entscheidung, eine Streitbeilegungsstelle mit einer Streitigkeit zu befassen, diesen Parteien nicht das Recht nehmen, bei einem Gericht eines Mitgliedstaats Rechtsmittel einzulegen. Die Streitbeilegungsstellen sollten jährliche Tätigkeitsberichte öffentlich verfügbar machen.

Dateninhaber können geeignete technische Schutzmaßnahmen anwenden, um die unrechtmäßige Offenlegung von oder den unrechtmäßigen Zugang zu Daten zu verhindern. Diese Maßnahmen sollten jedoch weder zwischen Datenempfängern unterscheiden noch den Zugang zu Daten und deren Nutzung für Nutzer oder Datenempfänger beeinträchtigen. Im Falle missbräuchlicher Praktiken eines Datenempfängers, wie Irreführung des Dateninhabers durch Bereitstellung falscher Informationen in der Absicht, die Daten für unrechtmäßige Zwecke zu nutzen, einschließlich der Entwicklung eines konkurrierenden vernetzten Produkts auf der Grundlage der Daten, kann der Dateninhaber und gegebenenfalls, falls es sich nicht um die gleiche Person handelt, der Inhaber eines Geschäftsgeheimnisses oder der Nutzer den Dritten oder den Datenempfänger auffordern, unverzüglich Korrektur- oder Abhilfemaßnahmen zu ergreifen. Derartige Aufforderungen, insbesondere Aufforderungen zur Einstellung der Herstellung, des Angebots oder des Inverkehrbringens von Waren, abgeleiteten Daten oder Dienstleistungen sowie Aufforderungen zur Beendigung der Einfuhr, Ausfuhr und Lagerung rechtsverletzender Waren bzw. zu deren Vernichtung, sollten im Hinblick darauf bewertet werden, ob sie in Bezug auf die Interessen des Dateninhabers, des Inhabers des Geschäftsgeheimnisses oder des Nutzers verhältnismäßig sind.

Wenn sich eine Partei in einer stärkeren Verhandlungsposition befindet, besteht die Gefahr, dass sie diese Position bei Verhandlungen über den Zugang zu Daten zum Nachteil der anderen Vertragspartei ausnutzen könnte, mit dem Ergebnis, dass der Zugang zu Daten wirtschaftlich weniger tragfähig und bisweilen untragbar ist. Solche vertraglichen Ungleichgewichte schaden allen Unternehmen, die nicht wirklich in der Lage sind, die Bedingungen für den Zugang zu Daten auszuhandeln, und die unter Umständen keine andere Wahl haben, als nicht verhandelbare Vertragsklauseln zu akzeptieren. Daher sollten missbräuchliche Vertragsklauseln in Bezug auf den Datenzugang und die Datennutzung oder die Haftung und Rechtsbehelfe bei Verletzung oder Beendigung datenbezogener Pflichten für Unternehmen nicht bindend sein, wenn diese Bedingungen diesen Unternehmen einseitig auferlegt wurden.

Bei den Vorschriften über Vertragsklauseln sollte der Grundsatz der Vertragsfreiheit als wesentliches Konzept in den Geschäftsbeziehungen zwischen Unternehmen berücksichtigt werden. Daher sollten nicht alle Vertragsklauseln einer Missbräuchlichkeitsprüfung unterzogen werden, sondern nur jene Klauseln, die einseitig auferlegt werden. Dies betrifft Situationen ohne Verhandlungsspielraum, in denen eine Partei eine bestimmte Vertragsklausel einbringt und das andere Unternehmen den Inhalt dieser Klausel trotz Verhandlungsversuchs nicht beeinflussen kann. Vertragsklauseln, die lediglich von einer Partei eingebracht und von dem anderen Unternehmen akzeptiert werden, oder Klauseln, die zwischen den Vertragsparteien ausgehandelt und anschließend in geänderter Form vereinbart werden, sollten nicht als einseitig auferlegt gelten.

Darüber hinaus sollten die Vorschriften über missbräuchliche Vertragsklauseln nur für diejenigen Bestandteile eines Vertrags gelten, die sich auf die Bereitstellung von Daten beziehen, d. h. Vertragsklauseln über den Datenzugang und die Datennutzung sowie die Haftung oder Rechtsbehelfe bei Verletzung und Beendigung datenbezogener Pflichten. Andere Teile desselben Vertrags, die nicht mit der Bereitstellung von Daten zusammenhängen, sollten nicht der in dieser Verordnung festgelegten Missbräuchlichkeitsprüfung unterliegen.

Kriterien für die Ermittlung missbräuchlicher Vertragsklauseln sollten nur auf überzogene Vertragsklauseln angewandt werden, bei denen eine stärkere Verhandlungsposition missbraucht wurde. Die überwiegende Mehrheit der Vertragsklauseln, die für eine Partei wirtschaftlich günstiger sind als für die andere, einschließlich derjenigen, die in Verträgen zwischen Unternehmen üblich sind, sind ein normaler Ausdruck des Grundsatzes der Vertragsfreiheit und gelten weiterhin. Für die Zwecke dieser Verordnung würde eine grobe Abweichung von der guten Geschäftspraxis unter anderem bedeuten, dass die Partei, der die Bedingung einseitig auferlegt wurde, in ihrer Fähigkeit, ihr berechtigtes geschäftliches Interesse an den betreffenden Daten zu schützen, objektiv beeinträchtigt wird.

Um für Rechtssicherheit zu sorgen, wird in dieser Verordnung eine Liste von Klauseln festgelegt, die stets als missbräuchlich gelten und eine Liste von Klauseln, bei denen davon ausgegangen wird, dass sie missbräuchlich sind. Im letzteren Fall sollte das Unternehmen, das die Vertragsklausel vorschreibt, in der Lage sein, die Vermutung der Missbräuchlichkeit zu widerlegen, indem es nachweist, dass eine in dieser Verordnung aufgeführte Vertragsklausel im konkreten Fall nicht missbräuchlich ist. Ist eine Vertragsklausel nicht in der Liste der Klauseln aufgeführt, die stets als missbräuchlich gelten oder bei denen davon ausgegangen wird, dass sie missbräuchlich sind, so findet die allgemeine Missbräuchlichkeitsbestimmung Anwendung. In diesem Zusammenhang sollten die in dieser Verordnung als missbräuchlich aufgeführten Vertragsklauseln als Maßstab für die Auslegung der allgemeinen Missbräuchlichkeitsbestimmung dienen. Schließlich können von der Kommission erstellte und empfohlene unverbindliche Mustervertragsklauseln für Verträge über die Datenweitergabe zwischen Unternehmen für Wirtschaftsunternehmen auch bei der Aushandlung von Verträgen hilfreich sein. Wird eine Vertragsklausel für missbräuchlich erklärt, so sollte der betreffende Vertrag ohne diese Klausel weiterhin gelten, es sei denn, die missbräuchliche Klausel ist nicht von den übrigen Vertragsklauseln abtrennbar.

Im Falle außergewöhnlicher Notwendigkeit kann es erforderlich sein, dass öffentliche Stellen, die Kommission, die Europäische Zentralbank oder Einrichtungen der Union bei der Wahrnehmung ihrer gesetzlichen Pflichten im öffentlichen Interesse vorhandene Daten, gegebenenfalls einschließlich beigefügter Metadaten, die von einem Unternehmen gehalten werden, nutzen, um auf öffentliche Notlagen oder andere Ausnahmesituationen zu reagieren. Unter einer außergewöhnlichen Notwendigkeit sind – im Gegensatz zu sonstigen Umständen, die möglicherweise geplant oder terminiert sind oder regelmäßig oder häufig eintreten, – Umstände zu verstehen, die nicht vorhersehbar und zeitlich begrenzt sind. Während der Begriff „Dateninhaber“ öffentliche Stellen im Allgemeinen nicht einschließt, kann er öffentliche Unternehmen umfassen. Forschungseinrichtungen und Forschungsförderungseinrichtungen könnten auch als öffentliche Stellen oder Einrichtungen des öffentlichen Rechts eingerichtet sein. Um die Belastung der Unternehmen zu begrenzen, sollten Kleinstunternehmen und Kleinunternehmen nur dann verpflichtet sein, öffentlichen Stellen, der Kommission, der Europäischen Zentralbank oder Einrichtungen der Union Daten bereitzustellen, wenn solche Daten in Fällen außergewöhnlicher Notwendigkeit erforderlich sind, um auf einen öffentlichen Notstand zu reagieren und öffentliche Stellen, die Kommission, die Europäische Zentralbank oder die Einrichtungen der Union solche Daten unter gleichwertigen Bedingungen auf andere Weise nicht rechtzeitig und wirksam beschaffen können.

Bei öffentlichen Notständen wie Notlagen im Bereich der öffentlichen Gesundheit, Notlagen aufgrund von Naturkatastrophen, einschließlich solcher, die durch den Klimawandel und die Umweltzerstörung noch verschärft werden, sowie von Menschen verursachter schwerer Katastrophen, wie großen Cybersicherheitsvorfällen, wird das öffentliche Interesse an der Verwendung der Daten schwerer wiegen als das Interesse der Dateninhaber, frei über die von ihnen gehaltenen Daten zu verfügen. In einem solchen Fall sollten die Dateninhaber verpflichtet werden, die Daten öffentlichen Stellen, der Kommission, der Europäischen Zentralbank oder Einrichtungen der Union auf deren Verlangen bereitzustellen. Das Vorliegen eines öffentlichen Notstands sollte in Übereinstimmung mit dem Unionsrecht oder nationalen Recht und auf der Grundlage der jeweils einschlägigen Verfahren, einschließlich der Verfahren der einschlägigen internationalen Organisationen festgestellt oder erklärt werden. In solchen Fällen sollte die öffentliche Stelle nachweisen, dass die Daten, die Gegenstand des Verlangens sind, nicht auf andere Weise rechtzeitig und wirksam und unter gleichwertigen Bedingungen erlangt werden konnten, beispielsweise durch die freiwillige Bereitstellung von Daten durch ein anderes Unternehmen oder Abfragen einer öffentlichen Datenbank.

Eine außergewöhnliche Notwendigkeit kann sich auch aus Situationen ergeben, die keinen Notstand darstellen. In solchen Fällen sollte es einer öffentlichen Stelle, der Kommission, der Europäischen Zentralbank oder einer Einrichtung der Union nur gestattet sein, nicht-personenbezogene Daten zu verlangen. Die öffentliche Stelle sollte nachweisen, dass die Daten erforderlich sind, um eine bestimmte Aufgabe im öffentlichen Interesse zu erfüllen, die gesetzlich ausdrücklich vorgesehen ist, etwa die Erstellung amtlicher Statistiken oder die Eindämmung oder Überwindung eines öffentlichen Notstands. Darüber hinaus kann ein solches Verlangen nur gestellt werden, wenn die öffentliche Stelle, die Kommission, die Europäische Zentralbank oder eine Einrichtung der Union spezifische Daten ermittelt hat, die sie auf andere Weise nicht rechtzeitig und wirksam und unter gleichwertigen Bedingungen erlangen könnte, und nur, wenn sie alle anderen zur Verfügung stehenden Mittel ausgeschöpft hat, um diese Daten zu erlangen, wie etwa die Beschaffung der Daten über freiwillige Vereinbarungen, einschließlich des Erwerbs von nicht-personenbezogenen Daten auf dem Markt, wobei der jeweilige Marktkurs geboten wird, oder durch Rückgriff auf bestehende Verpflichtungen zur Bereitstellung von Daten oder den Erlass neuer Rechtsvorschriften, die die rechtzeitige Verfügbarkeit der Daten gewährleisten könnten. Ferner sollten die Bedingungen und Grundsätze für Verlangen etwa in Bezug auf Zweckbindung, Verhältnismäßigkeit, Transparenz und Befristung gelten. Werden Daten verlangt, die für die Erstellung amtlicher Statistiken erforderlich sind, so sollte die anfragende öffentliche Stelle auch nachweisen, ob sie nach nationalem Recht befugt ist, nicht-personenbezogene Daten auf dem Markt zu erwerben.

Diese Verordnung sollte weder für freiwillige Vereinbarungen über den Datenaustausch zwischen privaten und öffentlichen Stellen, einschließlich der Bereitstellung von Daten durch KMU, gelten noch diesen vorgreifen, und sie lässt Rechtsakte der Union unberührt, die verbindliche Auskunftsersuchen öffentlicher Stellen an private Einrichtungen vorsehen. Die den Dateninhabern auferlegten Pflichten zur Bereitstellung von Daten, die nicht auf einer außergewöhnlichen Notwendigkeit beruhen, insbesondere wenn die Datengrundlage und die Dateninhaber bekannt sind oder die Daten regelmäßig genutzt werden können, wie im Falle von Berichtspflichten und sich aus dem Binnenmarkt ergebenden Pflichten, sollten von dieser Verordnung nicht berührt werden. Datenzugangsanforderungen, die dazu dienen, die Einhaltung der geltenden Vorschriften zu überprüfen, sollten von dieser Verordnung ebenfalls nicht berührt werden, auch in Fällen, in denen öffentliche Stellen die Aufgabe der Überprüfung der Einhaltung der Vorschriften anderen als öffentlichen Stellen übertragen.

Diese Verordnung ergänzt das Unionsrecht und das nationale Recht, die den Zugang zu Daten für statistische Zwecke und deren Nutzung für statistische Zwecke regeln, insbesondere die Verordnung (EG) Nr. 223/2009 des Europäischen Parlaments und des Rates(²⁷) und die nationalen Rechtsakte im Zusammenhang mit amtlichen Statistiken, und lässt diese unberührt.

Bei der Wahrnehmung ihrer Aufgaben in den Bereichen Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder Ordnungswidrigkeiten oder der Vollstreckung strafrechtlicher und verwaltungsrechtlicher Sanktionen sowie der Erhebung von Daten für Steuer- oder Zollzwecke sollten sich öffentliche Stellen, die Kommission, die Europäische Zentralbank oder Einrichtungen der Union auf ihre Befugnisse im Rahmen des Unionsrechts oder des nationalen Rechts stützen. Diese Verordnung berührt daher nicht die Gesetzgebungsakte für die Datenweitergabe, den Datenzugang und die Datennutzung in diesen Bereichen.

Im Einklang mit Artikel 6 Absätze 1 und 3 der Verordnung (EU) 2016/679 ist ein verhältnismäßiger, begrenzter und vorhersehbarer Rahmen auf Unionsebene erforderlich, wenn es um die Wahl der Rechtsgrundlage für die Bereitstellung von Daten durch Dateninhaber für öffentliche Stellen, die Kommission, die Europäische Zentralbank und die Einrichtungen der Union im Fall außergewöhnlicher Notwendigkeit geht, um sowohl Rechtssicherheit zu gewährleisten als auch den Verwaltungsaufwand für Unternehmen so gering wie möglich zu halten. Zu diesem Zweck sollten Datenverlangen öffentlicher Stellen, der Kommission, der Europäischen Zentralbank oder der Einrichtungen der Union an Dateninhaber hinsichtlich ihres Umfangs und ihrer Detailstufe spezifisch, transparent und verhältnismäßig sein. Der Zweck des Verlangens und die beabsichtigte Nutzung der verlangten Daten sollten konkret und eindeutig erläutert werden, wobei der anfragenden Stelle eine angemessene Flexibilität bei der Wahrnehmung ihrer Aufgaben im öffentlichen Interesse einzuräumen ist. Das Verlangen sollte auch den berechtigten Interessen der Dateninhaber, an die es gerichtet wird, Rechnung tragen. Der Aufwand für die Dateninhaber sollte so gering wie möglich gehalten werden, indem die anfragenden Stellen verpflichtet werden, den Einmaligkeitsgrundsatz einzuhalten, der verhindert, dass dieselben Daten mehrmals oder von mehreren öffentlichen Stellen, der Kommission, der Europäischen Zentralbank oder den Einrichtungen der Union verlangt werden. Zur Gewährleistung der Transparenz sollten Datenverlangen, die von der Kommission, der Europäischen Zentralbank oder Einrichtungen der Union gestellt werden, unverzüglich von der die Daten verlangenden Stelle veröffentlicht werden. Die Europäische Zentralbank und die Einrichtungen der Union sollten die Kommission über ihre Verlangen unterrichten. Wenn das Datenverlangen von einer öffentlichen Stelle gestellt wurde, sollte diese Stelle auch den Datenkoordinator des Mitgliedstaats, in dem die öffentliche Stelle niedergelassen ist, unterrichten. Es sollte sichergestellt werden, dass alle Verlangen online öffentlich verfügbar sind. Nach einer solchen Unterrichtung über ein Datenverlangen kann die zuständige Behörde beschließen, die Rechtmäßigkeit des Verlangens zu bewerten, und ihre Aufgaben im Zusammenhang mit der Durchsetzung und Anwendung dieser Verordnung wahrnehmen. Der Datenkoordinator sollte sicherstellen, dass alle von öffentlichen Stellen gestellten Verlangen online öffentlich verfügbar sind.

Mit der Datenbereitstellungspflicht soll sichergestellt werden, dass öffentliche Stellen, die Kommission, die Europäische Zentralbank oder Einrichtungen der Union über das erforderliche Wissen zur Bewältigung oder Verhinderung öffentlicher Notstände oder zu deren Überwindung oder zur Aufrechterhaltung der Kapazitäten zur Erfüllung bestimmter, gesetzlich ausdrücklich vorgesehener Aufgaben verfügen. Bei den von diesen Stellen erlangten Daten kann es sich um Geschäftsgeheimnisse handeln. Daher sollten weder die Verordnung (EU) 2022/868 noch die Richtlinie (EU) 2019/1024 des Europäischen Parlaments und des Rates(²⁸) für Daten gelten, die im Rahmen der vorliegenden Verordnung bereitgestellt werden, und diese Daten sollten nicht als offene Daten betrachtet werden, die Dritten zur Weiterverwendung zur Verfügung stehen. Dies sollte jedoch die Anwendbarkeit der Richtlinie (EU) 2019/1024 auf die Weiterverwendung amtlicher Statistiken, für deren Erstellung gemäß dieser Verordnung erlangte Daten verwendet wurden, unberührt lassen, sofern sich die Weiterverwendung nicht auf die zugrunde liegenden Daten erstreckt. Darüber hinaus sollte dies die Möglichkeit der Weitergabe der Daten zu Forschungszwecken oder für die Entwicklung, Erstellung und Verbreitung amtlicher Statistiken unberührt lassen, sofern die in der vorliegenden Verordnung festgelegten Bedingungen erfüllt sind. Öffentliche Stellen sollten auch Daten, die sie gemäß der vorliegenden Verordnung erlangt haben, mit anderen öffentlichen Stellen, der Kommission, der Europäischen Zentralbank oder Einrichtungen der Union austauschen dürfen, um die außergewöhnliche Notwendigkeit auszuräumen, wegen der sie verlangt wurden.

Dateninhaber sollten die Möglichkeit haben, je nach Art der in dem Verlangen geltend gemachten außergewöhnlichen Notwendigkeit unverzüglich und in jedem Fall spätestens innerhalb von fünf oder 30 Arbeitstagen entweder eine Änderung des Verlangens einer öffentlichen Stelle, der Kommission, der Europäischen Zentralbank oder einer Einrichtung der Union abzulehnen oder dieses zu beantragen. Gegebenenfalls sollte der Dateninhaber diese Gelegenheit haben, wenn er keine Kontrolle über die verlangten Daten hat, d. h. wenn er keinen unmittelbaren Zugang zu den Daten hat und deren Verfügbarkeit nicht feststellen kann. Die Nichtbereitstellung der Daten sollte sich begründen lassen, wenn nachgewiesen werden kann, dass das Verlangen mit einem zuvor von einer anderen öffentlichen Stelle oder von der Kommission, der Europäischen Zentralbank oder einer Einrichtung der Union zu demselben Zweck eingereichten Verlangen vergleichbar ist und der Dateninhaber nicht über die Löschung der Daten gemäß dieser Verordnung informiert wurde. Wenn ein Dateninhaber das Verlangen ablehnt oder dessen Änderung beantragt, sollte er die Ablehnung gegenüber der öffentlichen Stelle, der Kommission, der Europäischen Zentralbank oder der Einrichtung der Union, die das Verlangen gestellt hat, begründen. Wenn in Bezug auf die verlangten Datensätze die Datenbankrechte sui generis gemäß der Richtlinie 96/9/EG des Europäischen Parlaments und des Rates(²⁹) Anwendung finden, sollten die Dateninhaber ihre Rechte in einer Weise ausüben, die die öffentliche Stelle, die Kommission, die Europäische Zentralbank oder Einrichtung der Union nicht daran hindert, die Daten im Einklang mit dieser Verordnung zu erlangen oder weiterzugeben.

Im Falle einer außergewöhnlichen Notwendigkeit im Zusammenhang mit öffentlichen Notstandsmaßnahmen sollten öffentliche Stellen nach Möglichkeit nicht-personenbezogene Daten verwenden. Im Falle von Verlangen, die auf einer außergewöhnlichen Notwendigkeit beruhen, die nicht im Zusammenhang mit einem öffentlichen Notstand steht, können keine personenbezogenen Daten verlangt werden. Wenn personenbezogene Daten Gegenstand des Verlangens sind, sollte der Dateninhaber die Daten stets anonymisieren. Ist es unbedingt erforderlich, mit den Daten für eine öffentliche Stelle, die Kommission, die Europäische Zentralbank oder eine Einrichtung der Union auch personenbezogene Daten bereitzustellen oder erweist sich eine Anonymisierung als unmöglich, so sollte die Stelle, die die Daten verlangt, die strikte Notwendigkeit und die besonderen und begrenzten Zwecke der Verarbeitung nachweisen. Die geltenden Vorschriften über den Schutz personenbezogener Daten sollten eingehalten werden. Die Bereitstellung der Daten und ihre anschließende Nutzung sollten mit Schutzvorkehrungen für die Rechte und Interessen der von diesen Daten betroffenen Personen einhergehen.

Daten, die öffentlichen Stellen, der Kommission, der Europäischen Zentralbank oder Einrichtungen der Union wegen einer außergewöhnlichen Notwendigkeit bereitgestellt werden, sollten nur für die Zwecke des Datenverlangens genutzt werden, es sei denn, der Dateninhaber, der die Daten bereitgestellt hat, hat ausdrücklich zugestimmt, dass die Daten für andere Zwecke genutzt werden. Sofern nichts anderes vereinbart wurde, sollten die Daten gelöscht werden, sobald sie für den im Verlangen genannten Zweck nicht mehr erforderlich sind, und der Dateninhaber sollte davon in Kenntnis gesetzt werden. Diese Verordnung baut auf den bestehenden Zugangsregelungen der Union und der Mitgliedstaaten auf und bewirkt keine Änderung des nationalen Rechts für den Zugang der Öffentlichkeit zu Dokumenten im Zusammenhang mit Transparenzpflichten. Daten sollten gelöscht werden, sobald sie nicht mehr benötigt werden, um diesen Transparenzpflichten nachzukommen.

Bei der Weiterverwendung von Daten, die von Dateninhabern bereitgestellt werden, sollten öffentliche Stellen, die Kommission, die Europäische Zentralbank oder Einrichtungen der Union sowohl geltendes Unionsrecht oder nationales Recht als auch die vertraglichen Pflichten des Dateninhabers einhalten. Sie sollten sowohl davon absehen, ein vernetztes Produkt oder einen verbundenen Dienst zu entwickeln oder zu verbessern, das/die mit dem vernetzten Produkt oder des verbundenen Dienstes des Dateninhabers im Wettbewerb steht, als auch davon, die Daten zu diesen Zwecken an Dritte weiterzugeben. Außerdem sollten sie einen Dateninhaber auf dessen Ersuchen hin öffentlich anerkennen und für die Gewährleistung der Sicherheit der erhaltenen Daten verantwortlich sein. Ist die Offenlegung von Geschäftsgeheimnissen des Dateninhabers gegenüber öffentlichen Stellen, der Kommission, der Europäischen Zentralbank oder Einrichtungen der Union unbedingt erforderlich, um den Zweck zu erfüllen, für den die Daten verlangt wurden, so sollte dem Dateninhaber die Vertraulichkeit dieser Daten vor deren Offenlegung zugesichert werden.

Wenn es um den Schutz eines bedeutenden öffentlichen Gutes geht, wie etwa die Bewältigung öffentlicher Notstände, sollte von der öffentlichen Stelle, der Kommission, der Europäischen Zentralbank oder der betreffenden Einrichtung der Union nicht erwartet werden, dass sie den Unternehmen für die erlangten Daten eine Gegenleistung gewähren. Öffentliche Notstände sind seltene Ereignisse, und nicht alle derartigen Notstände erfordern die Nutzung von Daten, die von Unternehmen gehalten werden. Gleichzeitig könnte die Verpflichtung zur Bereitstellung von Daten für Kleinstunternehmen und Kleinunternehmen eine erhebliche Belastung darstellen. Diese Unternehmen sollten daher selbst im Kontext öffentlicher Notstandsmaßnahmen eine Gegenleistung verlangen können. Es ist nicht wahrscheinlich, dass die Geschäftstätigkeit der Dateninhaber durch die Inanspruchnahme dieser Verordnung durch öffentliche Stellen, die Kommission, die Europäische Zentralbank oder Einrichtungen der Union beeinträchtigt wird. Da Fälle einer außergewöhnlichen Notwendigkeit, bei denen es sich nicht um die Bewältigung eines öffentlichen Notstands handelt, jedoch unter Umständen häufiger sind, sollten Dateninhaber in diesen Fällen Anspruch auf eine angemessene Gegenleistung haben, die die mit der Erfüllung des Verlangens verbundenen technischen und organisatorischen Kosten nicht übersteigen sollte, sowie auf die angemessene Marge, die zur Bereitstellung der Daten für die öffentliche Stelle, die Kommission, die Europäische Zentralbank oder die Einrichtung der Union erforderlich ist. Die Gegenleistung sollte nicht als Bezahlung für die Daten selbst und nicht als obligatorisch verstanden werden. Dateninhaber sollten keine Gegenleistung verlangen können, wenn die nationalen statistischen Ämter oder andere für die Erstellung von Statistiken zuständige nationale Behörden Dateninhabern aufgrund des nationalen Rechts keine Gegenleistung für die Bereitstellung von Daten gewähren dürfen. Die öffentliche Stelle, die Kommission, die Europäische Zentralbank oder die betreffende Einrichtung der Union sollte in der Lage sein, die Höhe der vom Dateninhaber geforderten Gegenleistung anzufechten, indem sie die zuständige Behörde des Mitgliedstaats, in dem der Dateninhaber niedergelassen ist, mit der Angelegenheit befassen.

Die öffentliche Stelle, die Kommission, die Europäische Zentralbank oder eine Einrichtung der Union sollte befugt sein, die Daten, die sie aufgrund des Verlangens erlangt hat, an andere Stellen oder Personen weiterzugeben, wenn dies zur Durchführung wissenschaftlicher oder analytischer Tätigkeiten erforderlich ist, die sie nicht selbst durchführen kann, sofern diese Tätigkeiten mit dem Zweck des Datenverlangens vereinbar sind. Sie sollte den Dateninhaber rechtzeitig über eine solche Weitergabe unterrichten. Die Daten können unter den gleichen Umständen auch zur Entwicklung, Erstellung und Verteilung amtlicher Statistiken an die nationalen statistischen Ämter und Eurostat weitergegeben werden. Die betreffenden Forschungstätigkeiten sollten jedoch mit dem Zweck des Datenverlangens vereinbar sein, und der Dateninhaber sollte über die Weitergabe der von ihm bereitgestellten Daten informiert werden. Einzelpersonen, die Forschung betreiben, oder Forschungsorganisationen, an die diese Daten weitergegeben werden können, sollten entweder gemeinnützig sein oder in staatlich anerkanntem Auftrag im öffentlichen Interesse handeln. Organisationen sollten für die Zwecke dieser Verordnung nicht als Forschungsorganisationen gelten, wenn sie in erheblichem Maße dem Einfluss gewerblicher Unternehmen unterliegen, die aufgrund der strukturellen Gegebenheiten Kontrolle ausüben können und dadurch einen bevorzugten Zugang zu den Forschungsergebnissen erhalten könnten.

Zur Bewältigung eines grenzüberschreitenden öffentlichen Notstands oder einer anderen außergewöhnlichen Notwendigkeit können Datenverlangen an Dateninhaber in anderen Mitgliedstaaten als dem der anfragenden öffentlichen Stelle gerichtet werden. In diesem Fall sollte die anfragende öffentliche Stelle die zuständige Behörde des Mitgliedstaats unterrichten, in dem der Dateninhaber niedergelassen ist, damit diese das Verlangen anhand der in der vorliegenden Verordnung festgelegten Kriterien prüfen kann. Dies sollte auch für Verlangen der Kommission, der Europäischen Zentralbank oder einer Einrichtung der Union gelten. Falls personenbezogene Daten verlangt werden, sollte die öffentliche Stelle die für die Überwachung der Anwendung der Verordnung (EU) 2016/679 zuständige Aufsichtsbehörde in dem Mitgliedstaat, in dem die öffentliche Stelle niedergelassen ist, informieren. Die betreffende zuständige Behörde sollte befugt sein, die öffentliche Stelle, die Kommission, die Europäische Zentralbank oder die Einrichtung der Union darauf hinzuweisen, dass sie mit den öffentlichen Stellen des Mitgliedstaats zusammenarbeiten muss, in dem der Dateninhaber niedergelassen ist, um den Verwaltungsaufwand für den Dateninhaber zu minimieren. Hat die zuständige Behörde hinsichtlich der Vereinbarkeit des Verlangens mit dieser Verordnung triftige Einwände, so sollte sie das Verlangen der öffentlichen Stelle, der Kommission, der Europäischen Zentralbank oder der Einrichtung der Union ablehnen, die diesen Einwänden ihrerseits Rechnung tragen sollte, bevor sie weitere Maßnahmen – einschließlich der erneuten Einreichung des Verlangens – ergreift.

Die Fähigkeit der Kunden von Datenverarbeitungsdiensten, einschließlich Cloud- und Edge-Diensten, von einem Datenverarbeitungsdienst unter Wahrung eines Mindestumfangs von Dienstfunktionen – und ohne dass es zu Ausfallzeiten kommt – zu einem anderen zu wechseln oder ohne unangemessene Erschwernisse und Datenübertragungskosten Dienste mehrerer Anbieter zu nutzen, ist eine wesentliche Voraussetzung für einen stärker wettbewerbsorientierten Markt mit geringeren Marktzutrittsschranken für neue Anbieter von Datenverarbeitungsdiensten sowie für die Sicherstellung einer besseren Resilienz der Nutzer dieser Dienste. Kunden, die von unentgeltlichen Angeboten profitieren, sollten auch von den in dieser Verordnung festgelegten Bestimmungen für den Wechsel profitieren, damit diese Angebote nicht zu einer Abhängigkeitssituation für die Kunden führen.

Mit der Verordnung (EU) 2018/1807 des Europäischen Parlaments und des Rates(³⁰) werden Anbieter von Datenverarbeitungsdiensten angehalten, Verhaltensregeln für die Selbstregulierung zu entwickeln und wirksam umzusetzen, die bewährte Verfahren umfassen, unter anderem zur Erleichterung des Wechsels des Anbieters von Datenverarbeitungsdiensten und der Übertragung von Daten. Da die Verbreitung daraufhin entwickelter Selbstregulierungsrahmen zurückhaltend ausfiel und es generell an offenen Standards und Schnittstellen mangelt, muss für Anbieter von Datenverarbeitungsdiensten eine Reihe regulatorischer Mindestverpflichtungen festgelegt werden, um jene vorkommerziellen, gewerblichen, technischen, vertraglichen und organisatorischen Hindernisse auszuräumen, die im Fall eines Anbieterwechsels des Kunden nicht nur zu einer geminderten Datenübertragungsgeschwindigkeit führen, sondern den effektiven Vollzug des Wechsels zwischen Datenverarbeitungsdiensten verhindern.

Datenverarbeitungsdienste sollten Dienste umfassen, die den ortsunabhängigen und bedarfsgesteuerten Netzzugang zu einem konfigurierbaren, skalierbaren und elastischen gemeinsam genutzten Pool verteilter Ressourcen ermöglichen. Zu diesen Rechenressourcen zählen Ressourcen wie etwa Netze, Server oder sonstige virtuelle oder physische Infrastrukturen, Software – einschließlich Tools zur Entwicklung von Software –, Speicher, Anwendungen und Dienste. Dass sich Kunden von Datenverarbeitungsdiensten selbst, ohne Interaktion mit dem Anbieter von Datenverarbeitungsdiensten Rechenkapazitäten wie Serverzeit oder Netzwerkspeicherplatz zuweisen können, könnte als minimaler Verwaltungsaufwand und minimale Interaktion zwischen Anbieter und Kunde beschrieben werden. Der Begriff „ortsunabhängig“ wird verwendet, um zu beschreiben, dass die Bereitstellung der Rechenkapazitäten über das Netz und der Zugang zu ihnen über Mechanismen erfolgt, die den Einsatz heterogener Thin- oder Thick-Client-Plattformen (von Webbrowsern bis hin zu mobilen Geräten und Arbeitsplatzrechnern) fördern. Der Begriff „skalierbar“ bezeichnet Rechenressourcen, die unabhängig von ihrem geografischen Standort vom Anbieter von Datenverarbeitungsdiensten flexibel zugewiesen werden, um Nachfrageschwankungen auszugleichen. Der Begriff „elastisch “ dient zur Beschreibung der Rechenressourcen, die entsprechend der Nachfrage bereitgestellt und freigegeben werden, um je nach Arbeitsaufkommen zügig verfügbare Ressourcen auf- bzw. abbauen zu können. Der Begriff „gemeinsam genutzter Pool“ dient zur Beschreibung der Rechenressourcen, die mehreren Nutzern bereitgestellt werden, die über einen gemeinsamen Zugang auf den Dienst zugreifen, wobei die Verarbeitung jedoch für jeden Nutzer getrennt erfolgt, obwohl der Dienst über dieselbe elektronische Ausrüstung erbracht wird. Der Begriff „verteilt“ dient zur Beschreibung der Rechenressourcen, die sich auf verschiedenen vernetzten Computern oder Geräten befinden und die untereinander durch Nachrichtenaustausch kommunizieren und sich koordinieren. Der Begriff „hochgradig verteilt“ dient zur Beschreibung der Datenverarbeitungsdienste, bei denen Daten näher an dem Ort verarbeitet werden, an dem sie generiert oder erhoben werden, z. B. in einem vernetzten Datenverarbeitungsgerät. Edge-Computing, eine Form dieser hochgradig verteilten Datenverarbeitung, dürfte neue Geschäftsmodelle und Cloud-Dienste hervorbringen, die von Anfang an offen und interoperabel sein sollten.

Der generische Begriff „Datenverarbeitungsdienste“ umfasst eine beträchtliche Zahl von Diensten mit einer sehr großen Bandbreite an unterschiedlichen Anwendungszwecken, Funktionen und technischen Strukturen. Nach allgemeinem Verständnis von Anbietern und Nutzern und im Einklang mit weit verbreiteten Standards fallen Datenverarbeitungsdienste unter eines oder mehrere der folgenden drei Modelle für die Bereitstellung von Datenverarbeitungsdiensten, nämlich „Infrastructure-as-a-Service“ (IaaS), „Platform-as-a-Service“ (PaaS) und „Software-as-a-Service“ (SaaS). Bei diesen Modellen für die Bereitstellung von Diensten handelt es sich um eine spezifische, vorgefertigte Kombination von IKT-Ressourcen, die von einem Anbieter von Datenverarbeitungsdiensten angeboten wird. Diese drei grundlegenden Bereitstellungsmodelle für Datenverarbeitungsdienste werden weiter durch neue Variationen ergänzt, die jeweils eine ganz bestimmte Kombination von IKT-Ressourcen aufweisen, wie z. B. „Storage-as-a-Service“ und „Database-as-a-Service“. Datenverarbeitungsdienste können detaillierter kategorisiert und in eine nicht erschöpfende Liste von Datenverarbeitungsdiensten unterteilt werden, die dasselbe Hauptziel und dieselben Hauptfunktionen sowie dieselbe Art von Datenverarbeitungsmodellen haben, die nicht mit den operativen Merkmalen des Dienstes (gleiche Dienstart) in Zusammenhang stehen. Dienste, die der gleichen Dienstart angehören, können zwar dasselbe Modell für die Bereitstellung von Datenverarbeitungsdiensten aufweisen, doch während zwei Datenbanken dem Anschein nach dasselbe Hauptziel haben können, könnten sie nach Berücksichtigung ihres Datenverarbeitungsmodells, ihres Vertriebsmodells und der Anwendungsfälle, auf die sie ausgerichtet sind, in eine detailliertere Unterkategorie vergleichbarer Dienste fallen. Dienste der gleichen Dienstart können unterschiedliche und konkurrierende Merkmale wie Leistung, Sicherheit, Robustheit und Qualität des Dienstes aufweisen.

Wenn der ursprüngliche Anbieter von Datenverarbeitungsdiensten die Extraktion der dem Kunden gehörenden exportierbaren Daten behindert, kann das die Wiederherstellung der Dienstfunktionen in der Infrastruktur des übernehmenden Anbieters von Datenverarbeitungsdiensten behindern. Um die Ausstiegsstrategie des Kunden zu erleichtern, unnötige und aufwändige Aufgaben zu vermeiden und sicherzustellen, dass der Kunde keine seiner Daten durch den Vollzug des Wechsels verliert, sollte der ursprüngliche Anbieter von Datenverarbeitungsdiensten den Kunden im Voraus über den Umfang der Daten unterrichten, die exportiert werden können, sobald dieser Kunde beschließt, zu einem anderen Dienst, der von einem anderen Anbieter von Datenverarbeitungsdiensten angeboten wird, oder zu einer IKT-Infrastruktur in eigenen Räumlichkeiten zu wechseln. Der Begriff „exportierbare Daten“ sollte zumindest die Eingabe- und Ausgabedaten – einschließlich Metadaten –, die durch die Nutzung des Datenverarbeitungsdienstes durch den Kunden unmittelbar oder mittelbar generiert oder gemeinsam generiert werden, umfassen, mit Ausnahme der Vermögenswerte oder Daten von dem Anbieter von Datenverarbeitungsdiensten oder von einem Dritten. Vermögenswerte oder Daten von dem Anbieter von Datenverarbeitungsdiensten oder von einem Dritten, die durch Rechte des geistigen Eigentums geschützt sind oder Geschäftsgeheimnisse dieses Anbieters oder Dritten darstellen, oder Daten im Zusammenhang mit der Integrität und Sicherheit des Dienstes, bei denen der Anbieter von Datenverarbeitungsdiensten im Falle eines Exports Cybersicherheitsrisiken ausgesetzt ist, sollten von den exportierbaren Daten ausgenommen sein. Diese Ausnahmen sollten den Vollzug des Wechsels weder behindern noch verzögern.

Digitale Vermögenswerte beziehen sich auf Elemente in digitaler Form, für die der Kunde das Nutzungsrecht hat, einschließlich Anwendungen und Metadaten im Zusammenhang mit der Konfiguration von Einstellungen, der Sicherheit und der Verwaltung von Zugangs- und Kontrollrechten, sowie andere Elemente wie Darstellungen von Virtualisierungstechnologien, einschließlich virtueller Maschinen und Container. Digitale Vermögenswerte können übertragen werden, sofern der Kunde ein Nutzungsrecht hat, das unabhängig von der vertraglichen Beziehung mit dem Datenverarbeitungsdienst, den er wechseln möchte, besteht. Die vorstehend genannten anderen Elemente sind die Voraussetzung dafür, dass der Kunde seine Daten und Anwendungen im Umfeld des übernehmenden Anbieters von Datenverarbeitungsdiensten effektiv nutzen kann.

Ziel dieser Verordnung ist es, den Wechsel zwischen Datenverarbeitungsdiensten zu erleichtern, wozu die Bedingungen und Maßnahmen gehören, die notwendig sind, damit ein Kunde in der Lage ist, einen Vertrag für einen Datenverarbeitungsdienst zu kündigen, einen oder mehrere neue Verträge mit verschiedenen Anbietern von Datenverarbeitungsdiensten zu schließen, seine exportierbaren Daten und digitalen Vermögenswerte zu übertragen und gegebenenfalls von Funktionsäquivalenz zu profitieren.

Der Wechsel ist ein Vorgang, der vom Kunden ausgeht und aus mehreren Schritten – einschließlich Datenextraktion – besteht, was das Herunterladen der Daten aus dem Ökosystem des ursprünglichen Anbieters von Datenverarbeitungsdiensten bezeichnet, die Umwandlung der Daten, wenn diese so strukturiert sind, dass sie nicht in das Schema des Zielspeicherorts passen, sowie das Hochladen der Daten in einen neuen Zielspeicherort. In bestimmten, in dieser Verordnung beschriebenen Situationen sollte es auch als Wechsel gelten, wenn ein bestimmter Dienst aus dem Vertrag herausgelöst und zu einem anderen Anbieter verlegt wird. Der Wechsel wird manchmal von einem Dritten im Namen des Kunden vollzogen. Dementsprechend sollten alle in dieser Verordnung festgelegten Rechte und Pflichten des Kunden, einschließlich der Verpflichtung, nach Treu und Glauben zusammenzuarbeiten, so verstanden werden, dass sie unter diesen Umständen auch für den betreffenden Dritten gelten. Anbieter von Datenverarbeitungsdiensten und Kunden tragen in Abhängigkeit vom Verfahrensschritt ein unterschiedliches Maß an Verantwortung. So ist beispielsweise der ursprüngliche Anbieter von Datenverarbeitungsdiensten dafür verantwortlich, die Daten in ein maschinenlesbares Format zu extrahieren, während der Kunde und der übernehmende Anbieter von Datenverarbeitungsdiensten die Daten in die neue Umgebung hochladen müssen, sofern kein spezieller professioneller Übergangsdienst in Anspruch genommen wird. Ein Kunde, der beabsichtigt, die in dieser Verordnung vorgesehenen Rechte im Zusammenhang mit dem Wechsel auszuüben, sollte den ursprünglichen Anbieter von Datenverarbeitungsdiensten von der Entscheidung, entweder zu einem anderen Anbieter von Datenverarbeitungsdiensten oder zu einer IKT-Infrastruktur in eigenen Räumlichkeiten zu wechseln oder die Vermögenswerte und exportierbaren Daten des Kunden zu löschen, in Kenntnis setzen.

Funktionsäquivalenz bedeutet, dass nach einem Wechsel ein Mindestfunktionsumfang auf der Grundlage der exportierbaren Daten und digitalen Vermögenswerte des Kunden in der Umgebung des neuen Datenverarbeitungsdienstes der gleichen Dienstart wiederhergestellt wird, wobei der übernehmende Datenverarbeitungsdienst bei gemeinsam genutzten Funktionen, die dem Kunden im Rahmen des Vertrags bereitgestellt werden, ein im Wesentlichen vergleichbares Ergebnis liefert. Von Anbietern von Datenverarbeitungsdiensten kann nur erwartet werden, dass sie die Funktionsäquivalenz in Bezug auf die Funktionen ermöglichen, die sowohl vom ursprünglichen als auch vom übernehmenden Datenverarbeitungsdienst unabhängig voneinander angeboten werden. Anbieter von Datenverarbeitungsdiensten sind nach der vorliegenden Verordnung nur zur Erleichterung der Funktionsäquivalenz verpflichtet, wenn sie Dienste des Bereitstellungsmodells IaaS anbieten.

Datenverarbeitungsdienste werden in verschiedenen Bereichen verwendet und weisen hinsichtlich ihrer Komplexität und der Dienstart Unterschiede auf. Dies ist insbesondere mit Blick auf den Übertragungsvorgang und den entsprechenden Zeitrahmen zu berücksichtigen. Eine Verlängerung des Übergangszeitraums geltend zu machen, wenn der Wechsel aus technischen Gründen nicht in der vorgesehenen Zeit abgeschlossen werden kann, sollte aber dessen ungeachtet nur in hinreichend begründeten Fällen geltend gemacht werden können. Die Beweislast sollte in dieser Hinsicht vollständig beim Anbieter des betreffenden Datenverarbeitungsdienstes liegen. Dies gilt unbeschadet des ausschließlichen Rechts des Kunden, den Übergangszeitraum einmal um einen Zeitraum zu verlängern, der seines Erachtens seinen eigenen Zwecken besser entspricht. Der Kunde kann sich vor oder während des Übergangszeitraums auf dieses Recht auf Verlängerung berufen, wobei zu berücksichtigen ist, dass der Vertrag während des Übergangszeitraums weiterhin gilt.

Wechselentgelte sind Entgelte, die Anbieter von Datenverarbeitungsdiensten bei ihren Kunden für den Vollzug des Wechsels erheben. Üblicherweise sollen mit diesen Entgelten die Kosten, die dem ursprünglichen Anbieter von Datenverarbeitungsdiensten durch den Wechsel entstehen können, an den Kunden, der den Wechsel wünscht, weitergegeben werden. Gängige Beispiele für Wechselentgelte sind mit der Datenübertragung von einem Anbieter von Datenverarbeitungsdiensten zu einem anderen oder von einem Anbieter zu einer IKT-Infrastruktur in den eigenen Räumlichkeiten verbundene Kosten („Datenextraktionsentgelte“) oder durch spezifische Unterstützungstätigkeiten während des Vollzugs des Wechsels anfallende Kosten. Unangemessen hohe Datenextraktionsentgelte und andere ungerechtfertigte Entgelte, die in keinem Zusammenhang mit den tatsächlichen Kosten des Wechsels stehen, behindern Anbieterwechsel seitens des Kunden, schränken den freien Datenfluss ein, können den Wettbewerb einschränken und zu Abhängigkeitsverhältnissen des Kunden in Bezug auf einen bestimmten Dienst führen, da Anreize, sich für einen anderen oder weiteren Diensteanbieter zu entscheiden, verringert werden. Daher sollten Wechselentgelte nach drei Jahren nach dem Tag des Inkrafttretens dieser Verordnung abgeschafft werden. Anbieter von Datenverarbeitungsdiensten sollten bis zu diesem Zeitpunkt ermäßigte Wechselentgelte erheben können.

Der ursprüngliche Anbieter von Datenverarbeitungsdiensten sollte bestimmte Aufgaben auslagern und Dritten für die Erfüllung der in dieser Verordnung festgelegten Verpflichtungen eine Gegenleistung erbringen können. Die Kosten für die vom ursprünglichen Anbieter von Datenverarbeitungsdiensten beschlossene Auslagerung von Diensten während des Vollzugs des Wechsels sollte nicht der Kunde tragen, und diese Kosten sollten als ungerechtfertigt gelten, es sei denn, sie decken Leistungen, die der Anbieter von Datenverarbeitungsdiensten auf Bitte des Kunden um zusätzliche Unterstützung beim Wechsel hin erbringt, die über die in dieser Verordnung ausdrücklich festgelegten Pflichten des Anbieters beim Wechsel hinausgehen. Diese Verordnung hindert Kunden nicht daran, Dritten für die Unterstützung im Migrationsprozess eine Gegenleistung zu erbringen, bzw. sie hindert Parteien nicht daran, im Einklang mit dem Unionsrecht oder dem nationalen Recht Verträge über Datenverarbeitungsdienste mit fester Laufzeit zu vereinbaren, einschließlich verhältnismäßiger Sanktionen für die vorzeitige Kündigung dieser Verträge. Zur Förderung des Wettbewerbs sollte die schrittweise Abschaffung der mit dem Wechsel von Datenverarbeitungsdiensten verbundenen Entgelte insbesondere die Abschaffung der Datenextraktionsentgelte umfassen, die von einem Anbieter von Datenverarbeitungsdiensten beim Kunden erhoben werden. Standarddienstentgelte für die Erbringung der Datenverarbeitungsdienste selbst sind keine Wechselentgelte. Diese Standarddienstentgelte sind nicht widerrufsfähig und gelten, bis der Vertrag über die Erbringung des betreffenden Dienstes nicht mehr gilt. Kunden können nach dieser Verordnung die Erbringung zusätzlicher Dienste verlangen, die über die nach dieser Verordnung bestehenden Pflichten des Anbieters beim Wechsel hinausgehen. Diese zusätzlichen Dienste können vom Anbieter erbracht und in Rechnung gestellt werden, wenn sie auf Verlangen des Kunden erbracht werden und der Kunde dem Preis dieser Dienste im Voraus zustimmt.

Um einer Bindung an bestimmte Anbieter zu Lasten des Wettbewerbs und der Entwicklung neuer Dienste entgegenzuwirken, bedarf es eines ambitionierten und innovationsfördernden regulatorischen Konzepts für Interoperabilität. Die Interoperabilität zwischen Datenverarbeitungsdiensten erfordert mehrere Schnittstellen und Infrastrukturebenen sowie Software und beschränkt sich selten auf die einfache Frage, ob sie erreicht werden kann oder nicht. Der Aufbau der nötigen Interoperabilität ist vielmehr von einer Kosten-Nutzen-Analyse abhängig, mit der ermittelt wird, ob es sinnvoll ist, die vernunftgemäß vorhersehbaren Ergebnisse anzustreben. Die Norm ISO/IEC 19941:2017 ist eine wichtige internationale Norm, die einen wichtigen Bezugspunkt hinsichtlich der Verwirklichung der Ziele dieser Verordnung bildet, da sie technische Erwägungen zur Klärung der Komplexität eines solchen Verfahrens umfasst.

Wenn Anbieter von Datenverarbeitungsdiensten ihrerseits Kunden von Datenverarbeitungsdiensten sind, die von einem Dritten erbracht werden, können sie selbst vom wirksameren Vollzug des Wechsels profitieren, während sie in Bezug auf eigene Dienstangebote weiter an die Pflichten nach dieser Verordnung gebunden bleiben.

Anbieter von Datenverarbeitungsdiensten sollten verpflichtet sein, im Rahmen ihrer Fähigkeiten und in einem angemessenen Verhältnis zu ihren jeweiligen Verpflichtungen jede Hilfe und Unterstützung zu leisten, die erforderlich ist, um den Wechsel zum Dienst eines anderen Anbieters von Datenverarbeitungsdiensten erfolgreich, effektiv und sicher zu vollziehen. Diese Verordnung verpflichtet Anbieter von Datenverarbeitungsdiensten nicht dazu, neue Kategorien von Datenverarbeitungsdiensten, auch nicht innerhalb der IKT-Infrastruktur verschiedener Anbieter von Datenverarbeitungsdiensten oder auf deren Grundlage zu entwickeln, um die Funktionsäquivalenz in einer anderen als der eigenen Umgebung zu gewährleisten. Der ursprüngliche Anbieter von Datenverarbeitungsdiensten hat weder Zugang zur noch Einblick in die Umgebung des übernehmenden Anbieters von Datenverarbeitungsdiensten. Funktionsäquivalenz sollte also nicht dahingehend verstanden werden, dass sie den ursprünglichen Anbieter von Datenverarbeitungsdiensten zur Wiederherstellung des betreffenden Dienstes innerhalb der Infrastruktur des übernehmenden Anbieters von Datenverarbeitungsdiensten verpflichtet. Der ursprüngliche Anbieter von Datenverarbeitungsdiensten sollte vielmehr im Rahmen seiner Befugnisse alle ihm vernünftigerweise zur Verfügung stehenden Maßnahmen ergreifen, um die Verwirklichung der Funktionsäquivalenz zu ermöglichen, indem er Kapazitäten, angemessene Informationen, Dokumentation, technische Unterstützung und gegebenenfalls die erforderlichen Instrumente bereitstellt.

Anbieter von Datenverarbeitungsdiensten sollten zudem dazu verpflichtet werden, bestehende Hindernisse auszuräumen und keine neuen Hindernisse zu schaffen; dies gilt auch in Bezug auf Kunden, die zu einer IKT-Infrastruktur in eigenen Räumlichkeiten wechseln möchten. Hindernisse können unter anderem vorkommerzieller, gewerblicher, technischer, vertraglicher oder organisatorischer Art sein. Anbieter von Datenverarbeitungsdiensten sollten ferner dazu verpflichtet werden, Hindernisse für die Herauslösung eines bestimmten einzelnen Dienstes aus anderen, im Rahmen eines Vertrags erbrachten Datenverarbeitungsdiensten zu beseitigen und einen Wechsel für den betreffenden Dienst zu ermöglichen, wenn einer solchen Herauslösung keine größeren, nachweislichen technischen Hindernisse entgegenstehen.

Während des gesamten Vollzugs des Wechsels sollte ein hohes Maß an Sicherheit gewahrt werden. Das bedeutet, dass der ursprüngliche Anbieter von Datenverarbeitungsdiensten das Sicherheitsniveau, zu dem er sich in Bezug auf den Dienst verpflichtet hat, auf alle technischen Modalitäten – wie Netzverbindungen oder physische Geräte – ausdehnen sollte, für die er während des Vollzugs des Wechsels verantwortlich ist. Bestehende Rechte im Zusammenhang mit der Kündigung von Verträgen, einschließlich derjenigen, die mit der Verordnung (EU) 2016/679 und der Richtlinie (EU) 2019/770 des Europäischen Parlaments und des Rates(³¹) eingeführt wurden, sollten davon unberührt bleiben. Die vorliegende Verordnung darf nicht so verstanden werden, dass ein Anbieter von Datenverarbeitungsdiensten daran gehindert wird, Kunden neue und verbesserte Dienste, Merkmale und Funktionen anzubieten oder auf dieser Grundlage mit anderen Anbietern von Datenverarbeitungsdiensten in Wettbewerb zu treten.

Die Informationen, die Anbieter von Datenverarbeitungsdiensten Kunden bereitstellen müssen, könnten die Ausstiegsstrategie der Kunden unterstützen. Die Informationen sollten Folgendes umfassen: Verfahren für die Einleitung des Wechsels vom Datenverarbeitungsdienst, die maschinenlesbaren Datenformate, in die die Nutzerdaten exportiert werden können, die Instrumente für den Datenexport – einschließlich offener Schnittstellen – und Informationen zur Kompatibilität mit harmonisierten Normen oder gemeinsamen Spezifikationen auf der Grundlage offener Interoperabilitätsspezifikationen, Informationen über bekannte technische Beschränkungen und Einschränkungen, die sich auf den Vollzug des Wechsels auswirken könnten, und die geschätzte Zeit, die erforderlich ist, um den Wechsel zu vollziehen.

Um die Interoperabilität und den Wechsel zwischen Datenverarbeitungsdiensten zu erleichtern, sollten Nutzer und Anbieter von Datenverarbeitungsdiensten die Verwendung von Instrumenten für die Umsetzung und die Einhaltung der Vorschriften in Erwägung ziehen, vor allem derjenigen, die von der Kommission in Form eines EU-Regelwerks für die Cloud sowie eines Leitfadens für die Vergabe öffentlicher Aufträge für Datenverarbeitungsdiensten veröffentlicht wurden. Insbesondere Standardvertragsklauseln sind geeignet, da sie das Vertrauen in Datenverarbeitungsdienste stärken, ein ausgewogeneres Verhältnis zwischen Nutzern und Anbietern von Datenverarbeitungsdiensten schaffen und die Rechtssicherheit in Bezug auf die Bedingungen für den Wechsel zu anderen Datenverarbeitungsdiensten erhöhen. In diesem Zusammenhang sollten Nutzer und Anbieter von Datenverarbeitungsdiensten die Verwendung der Standardvertragsklauseln oder anderer Instrumente für die Einhaltung von Vorschriften durch Selbstregulierung – sofern diese den Anforderungen dieser Verordnung entsprechen –, in Erwägung ziehen, die von einschlägigen Gremien oder Sachverständigengruppen, die nach Unionsrecht eingerichtet wurden, ausgearbeitet wurden.

Um den Wechsel zwischen Datenverarbeitungsdiensten zu erleichtern, sollten alle beteiligten Parteien, einschließlich des ursprünglichen und des übernehmenden Anbieters von Datenverarbeitungsdiensten, nach Treu und Glauben zusammenarbeiten, um den Vollzug des Wechsels wirksam zu gestalten, und die sichere und fristgemäße Übertragung der erforderlichen Daten in einem gängigen, maschinenlesbaren Format über eine offene Schnittstelle zu ermöglichen und dabei die Dienstkontinuität zu wahren.

Datenverarbeitungsdienste für Dienste, bei denen die meisten Hauptmerkmale speziell auf konkrete Vorgaben eines einzelnen Kunden zugeschnitten sind oder bei denen alle Komponenten für die Zwecke eines einzelnen Kunden entwickelt wurden, sollten von einigen der für den Wechsel zwischen Datenverarbeitungsdiensten geltenden Verpflichtungen ausgenommen werden. Dienste, die der Anbieter von Datenverarbeitungsdiensten über seinen Dienstleistungskatalog im großen kommerziellen Maßstab anbietet, sollten nicht dazu gehören. Es gehört zu den Verpflichtungen des Anbieters von Datenverarbeitungsdiensten, potenzielle Kunden solcher Dienste vor Abschluss eines Vertrags ordnungsgemäß über diejenigen in dieser Verordnung festgelegten Verpflichtungen zu informieren, die nicht für die betreffenden Dienste gelten. Der Anbieter von Datenverarbeitungsdiensten ist nicht daran gehindert, solche Dienste letztlich in großem Maßstab einzuführen; in diesem Fall müsste er jedoch alle in dieser Verordnung festgelegten Verpflichtungen für den Wechsel erfüllen.

Im Einklang mit der Mindestanforderung, den Wechsel von Anbietern von Datenverarbeitungsdiensten zu ermöglichen, zielt diese Verordnung auch darauf ab, die Interoperabilität für die parallele Nutzung mehrerer Datenverarbeitungsdienste durch ergänzende Funktionen zu verbessern. Dies betrifft Situationen, in denen Kunden einen Vertrag im Hinblick auf den Wechsel zu einem anderen Anbieter von Datenverarbeitungsdiensten nicht kündigen, sondern mehrere Dienste verschiedener Anbieter parallel und interoperabel genutzt werden, um die ergänzenden Funktionen der verschiedenen Dienste in der Systemkonfiguration des Kunden nutzen zu können. Im Gegensatz zu der einmaligen Extraktion, die beim Vollzug eines Wechsels erforderlich ist, kann die Datenextraktion von einem zu einem anderen Anbieter von Datenverarbeitungsdiensten mit dem Ziel, die parallele Nutzung von Diensten zu erleichtern, jedoch bekanntlich ein fortlaufender Vorgang sein. Anbieter von Datenverarbeitungsdiensten sollten daher für die Datenextraktion zu Zwecken der parallelen Nutzung nach drei Jahren nach dem Tag des Inkrafttretens der vorliegenden Verordnung weiterhin Datenextraktionsentgelte erheben können, die die anfallenden Kosten nicht übersteigen. Dies ist unter anderem für die erfolgreiche Einführung von Multi-Cloud-Strategien wichtig, die es Kunden ermöglichen, zukunftssichere IT-Strategien umzusetzen, und die Abhängigkeit von einzelnen Anbietern von Datenverarbeitungsdiensten verringern. Durch die Erleichterung eines Multi-Cloud-Ansatzes für Kunden von Datenverarbeitungsdiensten kann außerdem – wie in der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates(³²) in Bezug auf Anbieter von Finanzdienstleistungen festgestellt – dazu beigetragen werden, die Betriebsstabilität der digitalen Systeme der Kunden zu stärken.

Offene Interoperabilitätsspezifikationen und -normen, die gemäß Anhang II der Verordnung (EU) Nr. 1025/2012 des Europäischen Parlaments und des Rates(³³) im Bereich der Interoperabilität und Übertragbarkeit entwickelt wurden, werden voraussichtlich eine Cloud-Umgebung mit mehreren Anbietern ermöglichen, was eine wesentliche Voraussetzung für offene Innovation in der europäischen Datenwirtschaft ist. Da die Akzeptanz festgelegter Normen auf dem Markt im Rahmen der 2016 abgeschlossenen Initiative zur Koordinierung der Cloud-Normung (CSC) zurückhaltend ausfiel, muss sich die Kommission auch darauf verlassen, dass die Marktteilnehmer einschlägige offene Interoperabilitätsspezifikationen entwickeln, um mit dem raschen technologischen Fortschritt in dieser Branche Schritt zu halten. Solche offenen Interoperabilitätsspezifikationen können dann von der Kommission in Form gemeinsamer Spezifikationen erlassen werden. Wenn ferner nicht nachgewiesen wurde, dass gemeinsame Spezifikationen oder Normen, die eine wirksame Cloud-Interoperabilität der Verarbeitung von Daten auf PaaS- und SaaS-Ebene erleichtern, durch marktgesteuerte Verfahren festgelegt werden können, sollte die Kommission auf der Grundlage der vorliegenden Verordnung und im Einklang mit der Verordnung (EU) Nr. 1025/2012 in der Lage sein, europäische Normungsgremien mit der Entwicklung solcher Normen für bestimmte Dienstarten zu beauftragen, für die solche Normen noch nicht existieren. Darüber hinaus wird die Kommission die Marktteilnehmer anhalten, einschlägige offene Interoperabilitätsspezifikationen zu entwickeln. Im Anschluss an eine Konsultation der Interessenträger sollte die Kommission im Wege von Durchführungsrechtsakten durch einen Verweis in einer zentralen Datenbank der Union für Normen für die Interoperabilität von Datenverarbeitungsdiensten vorschreiben können, dass für bestimmte Dienstarten harmonisierte Normen für die Interoperabilität oder gemeinsame Interoperabilitätsspezifikationen verwendet werden. Anbieter von Datenverarbeitungsdiensten sollten die Kompatibilität mit diesen harmonisierten Normen und gemeinsamen Spezifikationen auf der Grundlage offener Interoperabilitätsspezifikationen sicherstellen, die die Sicherheit oder die Integrität der Daten nicht beeinträchtigen sollten. Auf harmonisierte Normen für die Interoperabilität von Datenverarbeitungsdiensten und gemeinsame Spezifikationen auf der Grundlage offener Interoperabilitätsspezifikationen wird nur verwiesen, wenn sie den in dieser Verordnung festgelegten Kriterien entsprechen, die denselben Stellenwert haben wie die Anforderungen in Anhang II der Verordnung (EU) Nr. 1025/2012 und die in der internationalen Norm ISO/IEC 19941:2017 definierten Interoperabilitätsaspekte. Darüber hinaus sollte bei der Normung den Bedürfnissen von KMU Rechnung getragen werden.

Drittländer können Gesetze, Verordnungen und sonstige Rechtsakte erlassen, die darauf ausgerichtet sind, dass nicht-personenbezogene Daten, die – auch in der Union – außerhalb der Landesgrenzen gespeichert sind, übertragen werden können bzw. staatliche Stellen direkten Zugang zu solchen Daten haben. In Drittländern ergangene Gerichtsurteile oder Entscheidungen anderer Justiz- oder Verwaltungsbehörden, einschließlich Strafverfolgungsbehörden, mit denen eine solche Übertragung von oder ein solcher Zugang zu nicht-personenbezogenen Daten gefordert wird, sollten vollstreckbar sein, wenn sie sich auf eine internationale Vereinbarung, etwa ein Rechtshilfeabkommen, stützen, das zwischen dem anfragenden Drittland und der Union oder einem Mitgliedstaat besteht. Mitunter kann es auch dazu kommen, dass die sich aus dem Recht eines Drittlands ergebende Verpflichtung zur Übertragung von oder Gewährung des Zugangs zu nicht-personenbezogenen Daten einer nach Unionsrecht oder nach dem nationalen Recht des betreffenden Mitgliedstaats bestehenden Verpflichtung zum Schutz dieser Daten entgegensteht, insbesondere, was den Schutz der Grundrechte des Einzelnen, wie das Recht auf Sicherheit und das Recht auf einen wirksamen Rechtsbehelf, oder die grundlegenden Interessen eines Mitgliedstaats im Zusammenhang mit der nationalen Sicherheit oder Verteidigung sowie den Schutz sensibler Geschäftsdaten, einschließlich des Schutzes des Geschäftsgeheimnisses, und den Schutz von Rechten des geistigen Eigentums, darunter auch vertragliche Vertraulichkeitspflichten nach einem solchen Gesetz, betrifft. Besteht keine internationale Vereinbarung zur Regelung dieser Fragen, so sollte die Übertragung von oder der Zugang zu nicht-personenbezogenen Daten nur gestattet sein, wenn überprüft wurde, dass das Rechtssystem des betreffenden Drittlands die Begründung und die Verhältnismäßigkeit sowie die hinreichende Bestimmtheit der gerichtlichen Anordnung oder Entscheidung vorschreibt und dem Adressaten die Möglichkeit einräumt, dem zuständigen Gericht des Drittlands, das zur gebührenden Berücksichtigung der einschlägigen rechtlichen Interessen des Bereitstellers der Daten befugt ist, seinen begründeten Einwand zur Überprüfung vorzulegen. Nach Möglichkeit sollte der Anbieter von Datenverarbeitungsdiensten den Kunden, dessen Daten verlangt werden, im Rahmen des Datenzugangsverlangens der Behörde des Drittlands vor der Gewährung des Zugangs zu diesen Daten unterrichten können, um zu überprüfen, ob ein solcher Zugang möglicherweise gegen Unionsrecht oder nationales Recht verstößt, wie etwa ein solches über den Schutz sensibler Geschäftsdaten, einschließlich des Schutzes des Geschäftsgeheimnisses und der Rechte des geistigen Eigentums sowie vertraglicher Vertraulichkeitspflichten.

Um das Vertrauen in Daten weiter zu stärken, ist es wichtig, dass Schutzvorkehrungen, die Unionsbürgern, der öffentlichen Hand und Unternehmen die Kontrolle über ihre Daten gewährleisten sollen, so weit wie möglich umgesetzt werden. Darüber hinaus sollten das Recht, die Werte und die Standards der Union unter anderem in Bezug auf Sicherheit, Datenschutz und Privatsphäre sowie Verbraucherschutz gewahrt werden. Um einen unrechtmäßigen staatlichen Zugang der Behörden von Drittländern zu nicht-personenbezogenen Daten zu verhindern, sollten dieser Verordnung unterliegende Anbieter von Datenverarbeitungsdiensten wie Cloud- und Edge-Diensten alle zumutbaren Maßnahmen ergreifen, um den Zugang zu Systemen zu verhindern, in denen nicht-personenbezogenen Daten gespeichert werden, gegebenenfalls auch durch die Verschlüsselung von Daten, häufige Audits, die Überprüfung der Einhaltung der einschlägigen Systeme für die Sicherheitszertifizierung und die Änderung der Unternehmenspolitik.

Normung und semantische Interoperabilität sollten eine wichtige Rolle bei der Bereitstellung technischer Lösungen zur Gewährleistung der Interoperabilität innerhalb von und zwischen gemeinsamen europäischen Datenräumen spielen, bei denen es sich um zweck- oder sektorspezifische oder sektorübergreifende interoperable Rahmen für gemeinsame Normen und Verfahren für die Weitergabe oder die gemeinsame Verarbeitung von Daten, unter anderem für die Entwicklung neuer Produkte und Dienste, wissenschaftliche Forschung oder zivilgesellschaftliche Initiativen, handelt. In dieser Verordnung sollten bestimmte wesentliche Interoperabilitätsanforderungen festgelegt werden. Teilnehmer an Datenräumen, die anderen Teilnehmern Daten oder Datendienste anbieten und bei denen es sich um Stellen handelt, die die Weitergabe von Daten innerhalb gemeinsamer europäischer Datenräume erleichtern oder daran beteiligt sind, einschließlich Dateninhaber, sollten diese Anforderungen erfüllen, soweit sie Elemente betreffen, die ihrer Kontrolle unterliegen. Die Einhaltung dieser Vorschriften kann durch die Einhaltung der in dieser Verordnung festgelegten wesentlichen Anforderungen gewährleistet oder aufgrund der Einhaltung von harmonisierten Normen oder gemeinsamen Spezifikationen im Rahmen einer Konformitätsvermutung vermutet werden. Um die Konformität mit den Interoperabilitätsanforderungen zu erleichtern, muss eine Konformitätsvermutung für die Interoperabilitätslösungen vorgesehen werden, die ganz oder teilweise den harmonisierten Normen gemäß der Verordnung (EU) Nr. 1025/2012 entsprechen, welche den Standardrahmen für die Erarbeitung der Normen, nach denen solche Konformitätsvermutungen vorgesehen werden, bildet. Die Kommission sollte die Hindernisse für die Interoperabilität bewerten und den Normungsbedarf priorisieren, sodass sie auf dieser Grundlage gemäß der Verordnung (EU) Nr. 1025/2012 eine oder mehrere europäische Normungsorganisationen damit beauftragen kann, Entwürfe für harmonisierte Normen zu erarbeiten, die die in der vorliegenden Verordnung festgelegten wesentlichen Anforderungen erfüllen. Führen solche Aufträge nicht zu harmonisierten Normen oder reichen solche harmonisierten Normen nicht aus, um die Konformität mit den wesentlichen Anforderungen der vorliegenden Verordnung zu gewährleisten, so sollte die Kommission, sofern sie dabei die Rolle und die Funktionen der Normungsorganisationen gebührend achtet, in der Lage sein, gemeinsame Spezifikationen in den genannten Bereichen zu erlassen. Gemeinsame Spezifikationen sollten nur als außergewöhnliche Ausweichlösung erlassen werden, um die Einhaltung der wesentlichen Anforderungen dieser Verordnung zu erleichtern, oder wenn der Normungsprozess blockiert ist, oder bei Verzögerungen bei der Festlegung geeigneter harmonisierter Normen. Ist eine Verzögerung auf die technische Komplexität der betreffenden Norm zurückzuführen, so sollte die Kommission dies berücksichtigen, bevor sie die Festlegung gemeinsamer Spezifikationen in Erwägung zieht. Gemeinsame Spezifikationen sollten offen und inklusiv erarbeitet werden und gegebenenfalls dem Rat des gemäß der Verordnung (EU) 2022/868 eingerichteten Europäischen Dateninnovationsrates (EDIB) Rechnung tragen. Darüber hinaus könnten in den verschiedenen Sektoren – auf der Grundlage ihrer jeweiligen besonderen Bedürfnisse – auch gemeinsame Spezifikationen im Einklang mit Unionsrecht oder nationalem Recht erlassen werden. Darüber hinaus sollte die Kommission in die Lage versetzt werden, die Erarbeitung harmonisierter Normen für die Interoperabilität von Datenverarbeitungsdiensten in Auftrag zu geben.

Um die Interoperabilität von Instrumenten für die automatisierte Durchführung von Vereinbarungen über die Datenweitergabe zu fördern, müssen wesentliche Anforderungen an intelligente Verträge festgelegt werden, die Fachkräfte für andere erstellen oder in Anwendungen integrieren, die die Umsetzung von Vereinbarungen über die Datenweitergabe unterstützen. Um die Konformität solcher intelligenten Verträge mit diesen wesentlichen Anforderungen zu erleichtern, muss eine Konformitätsvermutung für die intelligenten Verträge vorgesehen werden, die ganz oder teilweise den harmonisierten Normen gemäß der Verordnung (EU) Nr. 1025/2012 entsprechen. Der Begriff „intelligenter Vertrag“ in der vorliegenden Verordnung ist technologieneutral. Intelligente Verträge können beispielsweise mit einem elektronischen Vorgangsregister verbunden werden. Die wesentlichen Anforderungen sollten nur für Anbieter intelligenter Verträge gelten, nicht aber dann, wenn sie intern intelligente Verträge, die ausschließlich für den internen Gebrauch bestimmt sind, ausarbeiten. Die wesentliche Anforderung, sicherzustellen, dass intelligente Verträge ausgesetzt und beendet werden können, setzt die gegenseitige Zustimmung der Parteien zu der Vereinbarung über die Datenweitergabe voraus. Die Anwendbarkeit der einschlägigen Vorschriften des Zivil-, Vertrags- und Verbraucherschutzrechts auf Vereinbarungen über die Datenweitergabe bleibt von der Nutzung intelligenter Verträge für die automatisierte Ausführung solcher Vereinbarungen unberührt oder sollte davon unberührt bleiben.

Zum Nachweis, dass die wesentlichen Anforderungen dieser Verordnung erfüllt sind, sollte der Anbieter eines intelligenten Vertrags – oder in dessen Ermangelung die Person, deren gewerbliche, geschäftliche oder berufliche Tätigkeit die Einführung intelligenter Verträge für Andere im Zusammenhang mit der Durchführung einer Vereinbarung oder Teilen davon über die Bereitstellung von Daten im Kontext der vorliegenden Verordnung beinhaltet, – eine Konformitätsbewertung durchführen und eine EU-Konformitätserklärung ausstellen. Diese Konformitätsbewertung sollte den allgemeinen Grundsätzen nach der Verordnung (EG) Nr. 765/2008 des Europäischen Parlaments und des Rates(³⁴) und dem Beschluss (EG) Nr. 768/2008 des Europäischen Parlaments und des Rates(³⁵) unterliegen.

Abgesehen davon, dass professionelle Entwickler intelligenter Verträge zur Erfüllung wesentlicher Anforderungen verpflichtet werden müssen, ist es auch wichtig, diejenigen Teilnehmer in Datenräumen, die anderen Teilnehmern innerhalb von gemeinsamen europäischen Datenräumen und über diese Datenräume Daten oder datenbasierte Dienste anbieten, dazu anzuhalten, die Interoperabilität von Instrumenten für die Datenweitergabe – einschließlich intelligenter Verträge – zu unterstützen.

Um die Anwendung und Durchsetzung dieser Verordnung zu gewährleisten, sollten die Mitgliedstaaten eine oder mehrere zuständige Behörden benennen. Benennt ein Mitgliedstaat mehr als eine zuständige Behörde, so sollte er unter ihnen auch einen Datenkoordinator benennen. Die zuständigen Behörden sollten miteinander zusammenarbeiten. Durch die Ausübung ihrer Ermittlungsbefugnisse im Einklang mit den geltenden nationalen Verfahren sollten die zuständigen Behörden in der Lage sein, Informationen zu suchen und zu erhalten, insbesondere in Bezug auf die Tätigkeiten von Stellen in ihrem Zuständigkeitsbereich und – auch im Rahmen gemeinsamer Untersuchungen – unter gebührender Berücksichtigung des Umstands, dass Aufsichts- und Durchsetzungsmaßnahmen in Bezug auf in die Zuständigkeit eines anderen Mitgliedstaats fallende Rechtsträger von der zuständigen Behörde dieses anderen Mitgliedstaats, gegebenenfalls im Einklang mit den Verfahren für die grenzüberschreitende Zusammenarbeit, erlassen werden sollten. Die zuständigen Behörden sollten einander rechtzeitig unterstützen, insbesondere wenn eine zuständige Behörde in einem Mitgliedstaat über relevante Informationen für eine von den zuständigen Behörden in anderen Mitgliedstaaten durchgeführte Untersuchung verfügt oder solche Informationen sammeln kann, zu denen die zuständigen Behörden in dem Mitgliedstaat, in dem die Einrichtung niedergelassen ist, keinen Zugang haben. Die zuständigen Behörden und die Datenkoordinatoren sollten in einem von der Kommission geführten öffentlichen Register aufgeführt werden. Der Datenkoordinator könnte im Hinblick auf die Erleichterung der Zusammenarbeit in grenzüberschreitenden Situationen zusätzliche Hilfe bieten, wenn etwa einer zuständigen Behörde eines bestimmten Mitgliedstaats nicht bekannt ist, an welche Behörde sie sich im Mitgliedstaat des Datenkoordinators wenden sollte, wenn beispielsweise der Fall mehr als eine zuständige Behörde oder mehr als einen Sektor betrifft. Der Datenkoordinator sollte als zentrale Anlaufstelle für alle Fragen im Zusammenhang mit der Anwendung dieser Verordnung handeln. Wurde kein Datenkoordinator benannt, so sollte die zuständige Behörde die dem Datenkoordinator gemäß dieser Verordnung übertragenen Aufgaben übernehmen. Die für die Überwachung der Einhaltung des Datenschutzrechts zuständigen Behörden und die nach Unionsrecht oder nationalem Recht benannten zuständigen Behörden sollten in ihren Zuständigkeitsbereichen für die Anwendung dieser Verordnung verantwortlich sein. Um Interessenkonflikte zu vermeiden, sollten die Behörden, die im Bereich der Bereitstellung von Daten im Anschluss an ein Verlangen aufgrund einer außergewöhnlichen Notwendigkeit für die Anwendung und Durchsetzung dieser Verordnung zuständig sind, nicht das Recht haben, ein solches Verlangen zu stellen.

Zur Durchsetzung ihrer Rechte gemäß dieser Verordnung sollten natürliche und juristische Personen das Recht haben, bei Verletzung ihrer Rechte aus dieser Verordnung durch Beschwerdeeinlegung Rechtsmittel einzulegen. Der Datenkoordinator sollte natürlichen und juristischen Personen auf Anfrage alle erforderlichen Informationen bereitstellen, damit sie bei der betreffenden zuständigen Behörde Beschwerde einlegen können. Diese Behörden sollten zur Zusammenarbeit verpflichtet sein, damit die Beschwerde angemessen bearbeitet und wirksam und zügig beschieden werden kann. Um den Mechanismus des Netzwerks für die Zusammenarbeit im Verbraucherschutz zu nutzen und Verbandsklagen zu ermöglichen, werden mit dieser Verordnung die Anhänge der Verordnung (EU) 2017/2394 des Europäischen Parlaments und des Rates(³⁶) und der Richtlinie (EU) 2020/1828 des Europäischen Parlaments und des Rates(³⁷) geändert.

Die zuständigen Behörden sollten sicherstellen, dass für Verstöße gegen die in dieser Verordnung festgelegten Pflichten Sanktionen gelten. Solche Sanktionen könnten finanzielle Sanktionen, Verwarnungen, Verweise oder Anordnungen, die Geschäftspraxis mit den in dieser Verordnung festgelegten Verpflichtungen in Einklang zu bringen, einschließen. Die von den Mitgliedstaaten festgelegten Sanktionen sollten wirksam, verhältnismäßig und abschreckend sein und den Empfehlungen des EDIB Rechnung tragen und somit dazu beitragen, dass bei der Festlegung und Anwendung von Sanktionen ein Höchstmaß an Kohärenz erreicht wird. Die zuständigen Behörden sollten gegebenenfalls einstweilige Maßnahmen ergreifen, um die Auswirkungen eines mutmaßlichen Verstoßes zu begrenzen, solange die Untersuchung dieses Verstoßes noch nicht abgeschlossen ist. Dabei sollten sie unter anderem Art, Schwere, Ausmaß und Dauer der Pflichtverletzung im Hinblick auf das betreffende öffentliche Interesse, den Umfang und die Art der ausgeübten Tätigkeiten und die wirtschaftliche Leistungsfähigkeit de verstoßenden Partei berücksichtigen. Sie sollten auch berücksichtigen, ob der Rechtsverletzer seinen Pflichten aus dieser Verordnung systematisch oder wiederholt nicht nachkommt. Um die Einhaltung des Grundsatzes ne bis in idem zu gewährleisten und insbesondere zu vermeiden, dass ein und derselbe Verstoß gegen die Pflichten aus dieser Verordnung mehr als einmal geahndet wird, sollte ein Mitgliedstaat, der beabsichtigt, seine Zuständigkeit in Bezug auf eine verstoßende Partei auszuüben, die nicht in der Union niedergelassen ist und keinen Vertreter in der Union benannt hat, unverzüglich alle Datenkoordinatoren und die Kommission unterrichten.

Der EDIB sollte die Kommission bei der Koordinierung der nationalen Verfahren und Strategien zu den unter diese Verordnung fallenden Themen sowie bei der Verwirklichung ihrer Ziele in Bezug auf die technische Normung zur Verbesserung der Interoperabilität beraten und unterstützen. Er sollte auch eine Schlüsselrolle übernehmen, wenn es darum geht, zwischen den zuständigen Behörden umfassende Gespräche über die Anwendung und Durchsetzung der vorliegenden Verordnung auf den Weg zu bringen. Der betreffende Informationsaustausch soll den wirksamen Zugang zur Justiz sowie die Durchsetzung und justizielle Zusammenarbeit in der gesamten Union verbessern. Neben anderen Aufgaben sollten die zuständigen Behörden den EDIB als Plattform für die Bewertung, Koordinierung und Annahme von Empfehlungen zur Festlegung von Sanktionen für Verstöße gegen diese Verordnung nutzen. Er sollte es den zuständigen Behörden ermöglichen, mit Unterstützung der Kommission einen optimalen Ansatz für die Festlegung und Verhängung solcher Sanktionen abzustimmen. Dieser Ansatz verhindert eine Fragmentierung und räumt den Mitgliedstaaten gleichzeitig Flexibilität ein, und er sollte zu wirksamen Empfehlungen führen, die die einheitliche Anwendung dieser Verordnung unterstützen. Außerdem sollte dem EDIB bei den Normungsverfahren und der Annahme gemeinsamer Spezifikationen im Wege von Durchführungsrechtsakten und bei der Annahme delegierter Rechtsakte zur Einführung eines Überwachungsmechanismus für die von den Anbietern von Datenverarbeitungsdiensten erhobenen Wechselentgelte und zur weiteren Präzisierung der wesentlichen Anforderungen an die Interoperabilität von Daten, von Mechanismen und Diensten für die Datenweitergabe sowie an die gemeinsamen europäischen Datenräume eine beratende Rolle zukommen. Ferner sollte er die Kommission bei der Annahme der Leitlinien zur Festlegung von Interoperabilitätsspezifikationen für das Funktionieren der gemeinsamen europäischen Datenräume beraten und unterstützen.

Um Unternehmen bei der Ausarbeitung und Aushandlung von Verträgen zu unterstützen, sollte die Kommission unverbindliche Mustervertragsklauseln für Verträge über die Datenweitergabe zwischen Unternehmen erstellen und empfehlen, erforderlichenfalls unter Berücksichtigung der Bedingungen in bestimmten Sektoren und bestehender Verfahren mit freiwilligen Datenweitergabemechanismen. Diese Mustervertragsklauseln sollten in erster Linie eine praktische Handhabe bieten, um insbesondere KMU den Abschluss eines Vertrags zu erleichtern. Werden die Mustervertragsbestimmungen umfassend und durchgehend verwendet, so dürften sie sich auch positiv auf die Gestaltung von Verträgen über den Datenzugang und die Datennutzung auswirken und somit insgesamt zu faireren Vertragsbeziehungen beim Datenzugang und bei der Datenweitergabe führen.

Damit nicht das Risiko besteht, dass die Inhaber von Daten, die durch physische Komponenten wie Sensoren eines vernetzten Produkts und eines verbundenen Dienstes erlangt oder generiert wurden, oder anderen maschinengenerierten Daten in Datenbanken das Schutzrecht sui generis gemäß Artikel 7 der Richtlinie 96/9/EG geltend machen und dadurch insbesondere die wirksame Ausübung des Rechts der Nutzer auf Datenzugang und Datennutzung sowie des Rechts auf die Weitergabe von Daten an Dritte gemäß dieser Verordnung behindern, sollte klargestellt werden, dass das Schutzrecht sui generis für solche Datenbanken nicht gilt. Dies berührt nicht die mögliche Anwendung des Schutzrechts sui generis gemäß Artikel 7 der Richtlinie 96/9/EG auf Datenbanken, die Daten enthalten, die nicht in den Anwendungsbereich dieser Verordnung fallen, sofern die Schutzanforderungen gemäß Absatz 1 jenes Artikels erfüllt sind.

Damit den technischen Aspekten von Datenverarbeitungsdiensten Rechnung getragen wird, sollte der Kommission die Befugnis übertragen werden, gemäß Artikel 290 AEUV Rechtsakte zur Ergänzung dieser Verordnung zu erlassen, um einen Überwachungsmechanismus der von den Anbietern von Datenverarbeitungsdiensten auf dem Markt verlangten Wechselentgelte einzuführen, und um die wesentlichen Anforderungen im Hinblick auf die Interoperabilität für Teilnehmer von Datenräumen, die anderen Teilnehmern an Datenräumen Daten oder Datendienste anbieten, weiter zu präzisieren. Es ist von besonderer Bedeutung, dass die Kommission im Zuge ihrer Vorbereitungsarbeit angemessene Konsultationen, auch auf der Ebene von Sachverständigen, durchführt, die mit den Grundsätzen in Einklang stehen, die in der Interinstitutionellen Vereinbarung vom 13. April 2016 über bessere Rechtsetzung(³⁸) niedergelegt wurden. Um insbesondere für eine gleichberechtigte Beteiligung an der Vorbereitung delegierter Rechtsakte zu sorgen, erhalten das Europäische Parlament und der Rat alle Dokumente zur gleichen Zeit wie die Sachverständigen der Mitgliedstaaten, und ihre Sachverständigen haben systematisch Zugang zu den Sitzungen der Sachverständigengruppen der Kommission, die mit der Vorbereitung der delegierten Rechtsakte befasst sind.

Zur Gewährleistung einheitlicher Bedingungen für die Durchführung dieser Verordnung sollten der Kommission Durchführungsbefugnisse eingeräumt werden bezüglich der Annahme gemeinsamer Spezifikationen zur Sicherstellung der Interoperabilität der Daten, der Mechanismen und Diensten für die Datenweitergabe und der gemeinsamen europäischen Datenräume, bezüglich gemeinsamer Spezifikationen für die Interoperabilität von Datenverarbeitungsdiensten und bezüglich gemeinsamer Spezifikationen für die Interoperabilität intelligenter Verträge. Auch sollten der Kommission Durchführungsbefugnisse eingeräumt werden bezüglich der Veröffentlichung der Bezugnahmen auf harmonisierten Normen und gemeinsamen Spezifikationen für die Interoperabilität von in der zentralen Datenbank der Union für Normen für die Interoperabilität von Datenverarbeitungsdiensten. Diese Befugnisse sollten im Einklang mit der Verordnung (EU) Nr. 182/2011 des Europäischen Parlaments und des Rates(³⁹) ausgeübt werden.

Diese Verordnung sollte Vorschriften unberührt lassen, die besonderen Bedürfnissen einzelner Sektoren oder Bereichen von öffentlichem Interesse Rechnung tragen. Solche Vorschriften können zusätzliche Anforderungen an die technischen Aspekte des Datenzugangs, wie Schnittstellen für den Datenzugang, oder an die Art und Weise umfassen, wie der Datenzugang gewährt werden könnte, z. B. direkt über das Produkt oder über Datenvermittlungsdienste. Ebenso können solche Vorschriften Beschränkungen der Rechte der Dateninhaber auf Zugang zu oder Nutzung von Nutzerdaten oder andere Aspekte betreffen, die über den Datenzugang und die Datennutzung hinausgehen, wie z. B. Governance-Aspekte oder Sicherheitsanforderungen, einschließlich Anforderungen an die Cybersicherheit. Diese Verordnung sollte auch spezifischere Vorschriften im Zusammenhang mit der Entwicklung gemeinsamer europäischer Datenräume oder – vorbehaltlich der in dieser Verordnung festgelegten Ausnahmen – Unionsrecht oder nationales Recht zur Zugänglichmachung von Daten und zur Genehmigung ihrer Nutzung für die Zwecke der wissenschaftlichen Forschung unberührt lassen.

Diese Verordnung sollte die Anwendung der Wettbewerbsvorschriften, insbesondere der Artikel 101 und 102 AEUV unberührt lassen. Die in dieser Verordnung vorgesehenen Vorschriften dürfen nicht dazu verwendet werden, den Wettbewerb entgegen den Vorschriften des AEUV einzuschränken.

Damit sich die Teilnehmer, die in den Anwendungsbereich dieser Verordnung fallen, an die neuen Vorschriften dieser Verordnung anpassen und die notwendigen technischen Vorkehrungen treffen können, sollten diese Vorschriften erst ab dem 12. September 2025 anwendbar werden.

Der Europäische Datenschutzbeauftragte und der Europäische Datenschutzausschuss wurden gemäß Artikel 42 Absätze 1 und 2 der Verordnung (EU) 2018/1725 angehört und haben am 4. Mai 2022 ihre Stellungnahmen abgegeben.

Da die Ziele dieser Verordnung, nämlich die Gewährleistung einer fairen Aufteilung des Wertes von Daten auf die Akteure der Datenwirtschaft und Förderung eines fairen Zugangs zu Daten und ihrer Nutzung, um zur Schaffung eines echten Binnenmarktes für Daten beizutragen, von den Mitgliedstaaten nicht ausreichend verwirklicht werden können, sondern vielmehr wegen des Umfangs und der Wirkungen der Maßnahme und der grenzüberschreitenden Nutzung der Daten auf Unionsebene besser zu verwirklichen sind, kann die Union im Einklang mit dem in Artikel 5 des Vertrags über die Europäische Union verankerten Subsidiaritätsprinzip tätig werden. Entsprechend dem in demselben Artikel genannten Grundsatz der Verhältnismäßigkeit geht diese Verordnung nicht über das für die Verwirklichung dieser Ziele erforderliche Maß hinaus —