Der europäische Traum vom Binnenmarkt für Daten

Die europäische Datenraumregulierung

Die europäische Regulierung der Datenwirtschaft hat seit Erlass der Datenschutz-Grundverordnung (DSGVO) im Jahr 2016 erheblich an Dynamik gewonnen. Während die DSGVO primär den Schutz der Rechte natürlicher Personen adressierte, verfolgt die EU spätestens seit der europäischen Datenstrategie [1] im Jahr 2020 erkennbar das Ziel, den unionsweiten Zugang und Austausch von Daten gezielt zu fördern. Damit vollzieht sich ein regulatorischer Paradigmenwechsel von einem primär schützenden hin zu einem stärker nutzungsorientierten Ansatz. Hierdurch soll der Anteil der EU an der globalen Datenwirtschaft signifikant gesteigert werden.

Zentrale Zielvorstellung der Strategie ist die Schaffung eines europäischen Datenraums – eines Binnenmarkts für Daten. Eine wesentliche Säule dieses Konzepts bilden die sog. gemeinsamen europäischen Datenräume (engl. Common European Data Spaces), die bestehende Hemmnisse für den Datenaustausch abbauen und sowohl sektorspezifisch als auch sektorübergreifend das Teilen von Daten anregen sollen [1]. 

Mit dem Data Governance Act (DGA) und dem Data Act (DA) wurden hierzu erste horizontale – also sektorübergreifend geltende – Regelungen eingeführt. Darüber hinaus liegt mit der Verordnung über den europäischen Gesundheitsdatenraum (EHDS) bereits ein erstes spezifisches Regelungswerk vor. Auch in zahlreichen weiteren Domänen, wie etwa Mobilität oder industrieller Produktion, entstehen derzeit erste Datenräume sowie begleitende regulatorische Ansätze, die das Potenzial haben, die europäische Digitalwirtschaft nachhaltig zu verändern [2].

Der Erfolg der Datenstrategie hängt jedoch maßgeblich davon ab, dass tatsächlich ausreichende Anreize für das Teilen von Daten geschaffen werden. Zentral hierfür ist der Abbau bestehender rechtlicher Unsicherheiten und struktureller Hemmnisse in den jeweiligen Anwendungsbereichen. Komplexe Rechtsvorschriften und die Zersplitterung des Rechts wurden dabei von der Kommission als wesentliche Hindernisse für das Teilen von Daten identifiziert [3]. 

Vor diesem Hintergrund stellt sich die Frage, ob die gemeinsamen europäischen Datenräume geeignet sind, diese Hindernisse effektiv zu beseitigen und damit ein umfassendes Teilen von Daten zu ermöglichen. Der Beitrag geht dieser Frage in drei Schritten nach: Im Folgenden werden zunächst ausgewählte rechtliche Hindernisse dargestellt. Anschließend wird das Konzept der gemeinsamen europäischen Datenräume erläutert und anhand des EHDS analysiert, inwieweit diese Hindernisse überwunden werden können. 

Der Beitrag verfolgt dabei einen konzeptionell-rechtswissenschaftlichen Ansatz. Die Analyse basiert auf einschlägigen Rechtsakten der EU und behandelt rechtliche Hindernisse, die anhand ihrer Relevanz in der rechtswissenschaftlichen Literatur ausgewählt wurden. Das Ziel ist damit keine rechtsvergleichende oder empirische Untersuchung, sondern eine systematische Auswertung des EHDS hinsichtlich der Eignung, Hindernisse des Datenteilens abzubauen und ob dies auf industrielle Datenräume übertragen werden kann.

Ausgewählte rechtliche Hindernisse

Ein wesentliches Hindernis für das Teilen von Daten ergibt sich aus den Daten inhärenten Eigenschaften. Der Begriff der Daten ist dabei im Sinne des Art. 2 Nr. 1 DA als „jede digitale Darstellung von Handlungen, Tatsachen oder Informationen“ zu verstehen. Daten sind nicht-rival und unverbräuchlich, weshalb sie im Gegensatz zu physischen Wirtschaftsgütern gleichzeitig von mehreren Akteuren genutzt und beliebig vervielfältigt werden können [4].

Diese Eigenschaften erschweren die Begründung ausschließlicher Rechte an Daten als solchen [5]. Ein dem Urheberrecht oder dem Schutz von Geschäftsgeheimnissen vergleichbares ausschließliches Recht an Daten besteht – trotz Forderungen in der rechtswissenschaftlichen Literatur – nicht [6]. Der Rückgriff auf bestehende Rechte ist jedoch nur eingeschränkt möglich. So schützt etwa die Datenbank-Richtlinie (Richtlinie 96/9/EG) lediglich die Datenbank als Ganzes, nicht jedoch das einzelne Datum [7]. Investitionen in die Generierung von Daten werden daher überwiegend durch vertragliche Regelungen und den Geschäftsgeheimnisschutz abgesichert [7].

Bei einer Weitergabe an Dritte lassen sich diese Kontrollmechanismen jedoch kaum aufrechterhalten; auch beschränken sich vertragliche Schutzwirkungen grundsätzlich auf das Verhältnis der Vertragsparteien. Gleichzeitig besteht ein Interesse daran, fremde Daten mit eigenen Datensätzen zu kombinieren, um zusätzliche Erkenntnisse zu gewinnen. Diese gegenläufigen Interessen führen dazu, dass Unternehmen fremde Daten zwar nutzen, sie jedoch selbst nur begrenzt teilen wollen [8]. 

Beim Teilen personenbezogener Daten treten zusätzlich datenschutzrechtliche Hürden hinzu. So ergeben sich durch das komplexe Zusammenspiel der DSGVO mit den auf der europäischen Datenstrategie beruhenden Rechtsakten Rechtsunsicherheiten, die durch eine uneinheitliche Umsetzung in den Mitgliedstaaten sowie eine Fragmentierung durch nationales Recht zusätzlich verstärkt werden [3].

Problematisch ist dabei das Fehlen sektorspezifischer Regelungen auf der Ebene des Unionsrechts, was in vielen Bereichen zu einem Hemmnis für den unionsweiten Austausch von Daten führt. So führt etwa die extensive Auslegung des Begriffs der sensiblen personenbezogenen Daten häufig dazu, dass das Verarbeitungsverbot des Art. 9 Abs. 1 DSGVO greift [9]. Ohne sektorspezifische Regelungen kann in diesen Fällen regelmäßig keine der in Art. 9 Abs. 2 DSGVO vorgesehenen Ausnahmen herangezogen werden, selbst wenn ein angemessener Interessenausgleich durch entsprechende Regelungen möglich wäre. Vergleichbare Problemlagen zeigen sich auch in anderen Anwendungsfeldern, was die im Entwurf einer Digital-Omnibus-Verordnung vorgesehene Einführung spezieller Ausnahmen für KI-Systeme erklärt [10].

Zudem geht mit dem Teilen personenbezogener Daten regelmäßig eine Zweckänderung einher, die ohne Einwilligung oder spezifische Regelung einen Kompatibilitätstest nach Art. 6 Abs. 4 DSGVO erfordert. Dessen abstrakte Anforderungen führen zu weiteren Rechtsunsicherheiten, die geeignet sind, Unternehmen vom Teilen ihrer Daten abzuhalten. 

Das Konzept der gemeinsamen europäischen Datenräume

Diese und weitere Hürden sollen durch die gemeinsamen europäischen Datenräume adressiert werden. Das Konzept wurde erstmals in der europäischen Datenstrategie [1] ausführlicher skizziert, im DGA und DA rechtlich verankert und durch begleitende Dokumente weiter konkretisiert [11]. Nach Art. 30 lit. h DGA und Art. 33 Abs. 1 DA handelt es sich bei gemeinsamen europäischen Datenräumen „um zweck- oder sektorspezifische oder sektorübergreifende interoperable Rahmen für gemeinsame Normen und Verfahren für die Weitergabe oder die gemeinsame Verarbeitung von Daten“.

Eine konkrete rechtliche Ausgestaltung oder eine unionsrechtliche Definition des Oberbegriffs „Datenraum“ fehlt bislang [12]. Zur begrifflichen Einordnung kann auf die Definition des Gaia-X Hub Deutschland zurückgegriffen werden, wonach ein Datenraum eine „föderierte, offene Infrastruktur für souveränen Datenaustausch ist, die auf gemeinsamen Vereinbarungen, Regeln und Standards beruht“ [13].

Ein Datenraum in diesem Sinne ist somit nicht mit einem klassischen „Data Room“ im Rahmen von Unternehmenskäufen gleichzusetzen, sondern ähnelt in der Idealvorstellung eher dem Internet. Vergleichbar ermöglicht er einen dezentralisierten Datenaustausch auf Grundlage gemeinsamer Standards und Protokolle. Gemeinsame europäische Datenräume sind vor diesem Hintergrund als auf den Werten der Europäischen Union beruhende Datenräume zu verstehen, die den Austausch von Daten innerhalb einzelner Sektoren sowie sektorenübergreifend ermöglichen sollen [2]. Die Union verfolgt dabei einen flexiblen Regulierungsansatz und greift nur dort regulierend ein, wo ein konkreter sektoraler Bedarf besteht.

Ein solcher Bedarf wurde insbesondere im Gesundheitssektor deutlich, weshalb mit dem EHDS erstmals eine umfassende Regulierung eines gemeinsamen europäischen Datenraums geschaffen wurde [14]. Der EHDS kann als Blaupause für weitere Datenräume dienen [15] und zeigt, wie auch besonders sensible Daten für im öffentlichen Interesse liegende Zwecke nutzbar gemacht werden können. Neben der Primärnutzung regelt er insbesondere die Sekundärnutzung elektronischer Gesundheitsdaten, also deren Weiterverarbeitung zu Zwecken des öffentlichen Interesses.

Nach der Konzeption des EHDS unterliegen Gesundheitsdateninhaber einer Bereitstellungspflicht auf Grundlage einer Datengenehmigung, die von einer Zugangsstelle erteilt wird. Die Daten werden den Gesundheitsdatennutzern in einer sicheren Verarbeitungsumgebung gemäß Art. 2 Nr. 20 DGA bereitgestellt, die den besonderen Anforderungen des EHDS zu entsprechen hat. Diese Vorgabe wird vom EHDS durch weitere Vorgaben, etwa Anonymisierung oder Pseudonymisierung, flankiert. Auch ist ein Herunterladen von personenbezogenen elektronischen Gesundheitsdaten nicht gestattet, und die Verarbeitung ist nur zu den genehmigten Zwecken zulässig. 

Potenzial gemeinsamer europäischer Datenräume 

Der EHDS adressiert zentrale rechtliche Hindernisse durch die Einführung einer Bereitstellungspflicht, die durch privilegierte Zwecke der Sekundärnutzung im öffentlichen Interesse gerechtfertigt wird. Hierdurch wird die Kontrolle der Dateninhaber für diese Zwecke eingeschränkt, während eine sichere Verarbeitungsumgebung den Abfluss der Daten und eine unkontrollierte Weitergabe verhindern soll. Auf diese Weise werden sowohl die Interessen der Dateninhaber als auch – bei personenbezogenen Daten – die Rechte der Betroffenen berücksichtigt. Konzeptionell zielt der EHDS damit auf einen Ausgleich zwischen Datennutzung für die Gesellschaft und Datensouveränität der Dateninhaber und natürlichen Personen.

Gleichwohl verhindert eine sichere Verarbeitungsumgebung die Gewinnung von Informationen nicht vollständig, da bereits der Zugriff auf die Daten entsprechende Einblicke ermöglicht. Eine Bereitstellungspflicht kann daher selbst unter technischen Schutzmaßnahmen eine erhebliche Belastung für Dateninhaber und ein Risiko für Betroffene darstellen. Vor diesem Hintergrund erscheint die Beschränkung der Bereitstellungspflicht im EHDS auf privilegierte Zwecke sachgerecht. Da solche privilegierten Zwecke nicht in allen, insbesondere nicht in rein wirtschaftlichen Sektoren vorliegen, ist die Konzeption des EHDS nicht ohne Weiteres auf die gesamte Wirtschaft übertragbar.

Allerdings zeigen die Art. 3 ff. DA, dass Bereitstellungspflichten nicht nur für privilegierte Zwecke, sondern grundsätzlich auch zur Adressierung identifizierter Marktstörungen möglich sind. Danach können Nutzer von IoT-Geräten – etwa der Eigentümer eines Gerätes – die Heraus- oder Weitergabe der durch die Nutzung der Geräte generierten Daten vom Dateninhaber verlangen, während dieser die Heraus- oder Weitergabe nur eingeschränkt verweigern kann, etwa wenn Geschäftsgeheimnisse betroffen sind.

Diese Regelungen sind insbesondere für industrielle Datenräume und damit für Initiativen wie Manufacturing-X von Bedeutung, die das Ziel verfolgen, einen souveränen und interoperablen Austausch von Produktions- und Maschinendaten entlang industrieller Wertschöpfungsketten zu ermöglichen [16]. So können die Bereitstellungspflichten der Art. 3 ff. DA grundsätzlich die identifizierten Hemmnisse hinsichtlich des Austauschs von Maschinendaten reduzieren und so den Austausch entlang der Wertschöpfungskette zu fördern.

Gleichwohl verbleiben zahlreiche Datenkategorien, die nicht durch IoT-Geräte oder verbundene Dienste erzeugt und somit auch nicht von den Bereitstellungspflichten erfasst werden. Soweit auf Marktstörungen beruhende Datenaustauschhemmnisse bestehen bleiben, erscheint es sachgerecht, auch im rein wirtschaftlichen Bereich und damit im Kontext industrieller Datenräume weitere sektorspezifische Bereitstellungspflichten einzuführen.

Zusätzlich zur gesetzlichen Bereitstellungspflicht kann eine Übernahme des Konzepts der sicheren Verarbeitungsumgebung des EHDS in industrielle Datenräume eine Möglichkeit darstellen, Hemmnisse des Datenaustauschs bei freiwilligen Bereitstellungen zu verringern, sofern durch eine geeignete rechtlich-technische Ausgestaltung dieser sichergestellt wird, dass eine Bereitstellung nicht mit dem Risiko eines vollständigen Verlusts der Kontrolle verbunden ist.

Darüber hinaus könnten in Anlehnung an die Vorschriften der Art. 60 f. EHDS mit der Teilnahme an einem industriellen Datenraum verbindliche Nutzungsregeln einhergehen, die zu den vertraglichen Pflichten hinzutreten. In Verbindung mit einem Sanktionsregime zur Ahndung unbefugter Nutzung oder Weitergabe, wie etwa Bußgelder, Vertragsstrafen oder einem Ausschluss aus dem Datenraum, könnten faktisch datenbezogene Kontrollrechte der Dateninhaber geschaffen und das Defizit fehlender Rechte an den Daten zumindest funktional kompensiert werden.

Die Regelungen des EHDS zeigen ferner, wie datenschutzrechtliche Hürden durch gemeinsame europäische Datenräume adressiert werden können. Die Erteilung einer Datengenehmigung führt dazu, dass die beteiligten Akteure sowohl die Anforderungen des Art. 9 Abs. 2 DSGVO erfüllen als auch die Kompatibilität der Zwecke nach Art. 6 Abs. 4 DSGVO gegeben ist [15]. Dies setzt allerdings voraus, dass die in den EHDS-Vorschriften vorgesehenen Voraussetzungen eingehalten werden, wobei derzeit noch nicht absehbar ist, ob diese einen angemessenen Interessenausgleich gewährleisten.

Gleichwohl könnte der zugrunde liegende Regelungsansatz auf die Verarbeitung personenbezogener Daten in industriellen Datenräumen übertragen werden, um mittels sektorspezifischer Regelungen bestehende datenschutzrechtliche Hürden gezielt zu reduzieren. Je nach Regelungstiefe könnten sektorspezifische Vorgaben unter Umständen gar eine Bewertung der datenschutzrechtlichen Anforderungen durch Laien ermöglichen, ohne dass eine umfassende Rechtsberatung erforderlich wäre, wovon insbesondere KMU profitieren könnten.

Andererseits birgt die Einführung sektorspezifischer Regelungen die Gefahr einer fragmentierungsbedingten Komplexität, die sich etwa in Abgrenzungsschwierigkeiten niederschlagen könnte. Abhilfe könnten hierbei die derzeitigen Reformbestrebungen der Union schaffen, sofern es gelingt, die bestehende Komplexität deutlich zu reduzieren, ohne dabei das Schutzniveau zu senken.

Die Regelungen des EHDS hinsichtlich des sektorübergreifenden Austauschs von Daten bleiben jedoch unscharf und werden durch entsprechende Befugnisse der Kommission – etwa in Art. 75 Abs. 12 EHDS – auf Durchführungsrechtsakte und damit in die Zukunft verlagert, weshalb bislang nicht beurteilt werden kann, ob ein sektorübergreifender Austausch von Daten zwischen den gemeinsamen europäischen Datenräumen tatsächlich möglich sein wird.

Datenräume als Mittel zur Verwirklichung des europäischen Binnenmarkts für Daten?

Der EHDS zeigt, dass Datenräume in der Theorie geeignet sind, bestimmte rechtliche Hürden abzubauen und zumindest partiell Anreize zum Teilen von Daten zu schaffen. Die Regelungen lassen sich jedoch nur eingeschränkt auf die gesamte Datenwirtschaft übertragen. Insbesondere die Bindung an privilegierte öffentliche Zwecke begrenzt ihre Übertragbarkeit auf rein wirtschaftliche Kontexte. Allerdings erscheint eine Übertragung der Regelungen dennoch angezeigt, sofern und soweit auf Marktstörungen beruhende Datenaustauschhemmnisse durch die Einführung von sektorspezifischen Bereitstellungspflichten beseitigt werden können. Zugleich wird deutlich, dass sektorspezifische Regelungen allein nicht ausreichen, um die Zielsetzungen der europäischen Datenstrategie in industriellen Datenräumen zu erreichen, weshalb ergänzende Anpassungen und Reformen des bestehenden Rechtsrahmens erforderlich sind.

Darüber hinaus ist offen, ob Datenräume überhaupt praktisch umgesetzt werden können. Ohne eine funktionierende praktische Umsetzung können die identifizierten rechtlichen Probleme jedoch nicht gelöst werden. Der Erfolg der Umsetzung wird daher maßgeblich darüber entscheiden, ob die Vision der Europäischen Kommission eines europäischen Binnenmarkts für Daten über den Gesundheitssektor hinaus Realität werden kann.

Dieser Beitrag entstand im Rahmen des Projekts „EDWI“ (Förderkennzeichen: 02J24A110), das durch das Bundesministerium für Forschung, Technologie und Raumfahrt gefördert wird.

Dies ist ein Originalbeitrag. Die englische Übersetzung finden Sie unter der DOI: 10.30844/I4SE.26.4.2