Data Act und DSGVO: Definition und rechtliche Bedeutung (AI Act / Data Act)

Grundsatz der Schnittstelle Data Act ↔ DSGVO: der Data Act „erlaubt" Datenzugang/-weitergabe nicht — er setzt die DSGVO als Sperrklausel voraus. Das bedeutet: personenbezogene Daten unterliegen weiterhin der DSGVO; die Data-Act-Pflichten (Datenzugang nach Art. 4–5, FRAND-Weitergabe nach Art. 9–11, Switching nach Art. 13–15) müssen DSGVO-konform ausgeführt werden. Konkret: der Dateninhaber (oft Verantwortlicher nach DSGVO) darf personenbezogene Daten nur dann weitergeben, wenn eine DSGVO-Rechtsgrundlage vorliegt (Vertrag Art. 6 Abs. 1 lit. b, Einwilligung lit. a, berechtigtes Interesse lit. f, gesetzliche Pflicht lit. c). Besondere Datenkategorien (Art. 9 DSGVO — Gesundheitsdaten, biometrische Daten zur Identifizierung) haben noch engere Voraussetzungen. Der Data Act schafft keine neue Rechtsgrundlage für die Datenverarbeitung.

DSGVO-Pflichten bei Datenweitergabe nach Data Act: (1) Rechtsgrundlage — Dateninhaber/Datennutzer/Datenempfänger brauchen je eigene DSGVO-Rechtsgrundlage für die jeweilige Verarbeitung (Zugang, Weitergabe, Empfang, Nutzung); (2) Betroffenenrechte — Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Beschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) bleiben voll anwendbar; der Datenempfänger wird zum Verantwortlichen; (3) Auftragsverarbeitung (Art. 28) — bei Datenweitergabe im Auftrag (z. B. an Dienstleister); (4) Datenschutz-Folgenabschätzung (Art. 35) — bei hochriskanter Verarbeitung (z. B. umfassende Verhaltens-/Gesundheitsdatenweitergabe); (5) Verträge — klare Verantwortungsverteilung, Verarbeitungszweck-Begrenzung, Sicherheitsvorkehrungen; (6) Datensicherheit (Art. 32) — Verschlüsselung, Zugangskontrolle, Protokollierung. Über die DSGVO hinaus: Trade Secrets-Schutz (Art. 4 Abs. 3 Data Act).

Praktisch erforderlich: eine konsolidierte Daten-/Datenschutz-Strategie, die Data Act + DSGVO + AI Act verknüpft. Schritte: (1) Dateninventar — welche Daten sind personenbezogen/besondere Kategorien? (2) Rechtsgrundlagen-Matrix — je Datenkategorie und Verarbeitungszweck; (3) Verträge — zwischen Dateninhaber, Datennutzer, Datenempfänger, Auftragsverarbeiter (Art. 28), klare Verantwortungsverteilung; (4) Betroffenen-Rechte-Prozesse — Anlaufstelle, Bearbeitung, Weiterleitung über mehrere Akteure; (5) DSFA bei hochriskanter Verarbeitung; (6) Datensicherheit — Verschlüsselung, Zugangskontrolle, Anonymisierung/Pseudonymisierung, wo möglich. Für KI-Anwendungen, die auf Data-Act-Daten aufbauen: AI Act kommt hinzu — Hochrisiko-Pflichten bei anwendbarer Einstufung, GPAI bei Foundation-Modellen. Aufsichtlich: Datenschutz-Aufsichten (DSK) und Datenzugangsbehörden (DE: BMWK) koordinieren; die Kommission veröffentlicht Leitlinien zur Vermeidung doppelter Anforderungen. Eine integrierte Compliance-Architektur ist Haftschutz und Wettbewerbsvorteil.