1. Ausgangslage: Zwei europäische Verordnungen mit unterschiedlichem Fokus
Sowohl die Datenschutz-Grundverordnung (DSGVO) als auch der Data Act sind unmittelbar geltende EU-Verordnungen. Beide verfolgen das Ziel, die Datenökonomie in Europa zu regulieren – jedoch mit unterschiedlicher Zielrichtung:
- DSGVO: Schutz personenbezogener Daten natürlicher Personen und Sicherung ihrer informationellen Selbstbestimmung.
- Data Act: Regelung des Datenzugangs, der Datennutzung und der Interoperabilität für alle Daten – unabhängig vom Personenbezug.
Während die DSGVO also den Schutz der Privatsphäre in den Mittelpunkt stellt, zielt der Data Act auf einen fairen Datenmarkt ab. Mehr zur Funktionsweise des Data Act können Sie hier nachlesen.
2. Der Data Act in der Praxis – Regulierung von Datenzugang und Interoperabilität
Der europäische Gesetzgeber möchte mit dem Data Act den fairen Zugang zu Daten sicherstellen, insbesondere in technologiegetriebenen Branchen wie IoT oder SaaS. Hersteller und Diensteanbieter sollen Nutzern ermöglichen, die bei der Nutzung ihrer Produkte entstehenden Daten zu exportieren und weiterzuverwenden. Dadurch sollen sogenannte Vendor-Login-Effekte vermieden werden, bei denen Unternehmen oder Verbraucher an einzelne Anbieter gebunden sind.
Der Data Act verpflichtet Hersteller daher, vertragliche Regelungen zu schaffen, die Nutzern eine Datenlizenz einräumen. Diese ist vergleichbar mit einem Recht an den eigenen Nutzungsdaten. In der Folge entstehen neue vertragliche Pflichten – insbesondere zur Einholung entsprechender Zustimmungen und zur Schaffung von technischen Exportmöglichkeiten.
3. Vorrang DSGVO oder Data Act? – Die rechtliche Einordnung
Die Frage, ob die DSGVO Vorrang vor dem Data Act hat, lässt sich nach derzeitigem Stand klar beantworten: Beide Regelungswerke stehen grundsätzlich nebeneinander. Es handelt sich nicht um ein Über- oder Unterordnungsverhältnis, sondern um eine sogenannte Idealkonkurrenz. Das heißt:
- Die DSGVO gilt weiterhin für alle personenbezogenen Daten und regelt insbesondere Einwilligungen, Informationspflichten und Betroffenenrechte.
- Der Data Act ergänzt dies, indem er Anforderungen für den Zugriff und die Weitergabe sämtlicher – auch nicht-personenbezogener – Daten festlegt.
In der Praxis überschneiden sich die Anwendungsbereiche häufig. So enthalten etwa Daten moderner Fahrzeuge sowohl technische Informationen als auch personenbezogene Nutzerprofile. In solchen Fällen greifen beide Verordnungen gleichzeitig. Das bedeutet, dass das Unternehmen sowohl die datenschutzrechtlichen Anforderungen der DSGVO einhalten als auch die Zugangs- und Interoperabilitätsvorgaben des Data Act erfüllen muss.
4. Keine Konkurrenz, sondern Ergänzung
Ein Vorrang der DSGVO vor dem Data Act besteht also nicht. Beide wirken vielmehr ergänzend. So kann der Data Act zusätzliche Rechte und Pflichten schaffen, etwa bezüglich der Weitergabe von Maschinendaten, während die DSGVO weiterhin die rechtmäßige Verarbeitung personenbezogener Daten sicherstellt.
Gerade in hybriden Datenumgebungen – etwa bei SaaS-Anbietern oder vernetzten Fahrzeugen – bedeutet das: Unternehmen müssen ihre Verträge, Prozesse und technischen Systeme so gestalten, dass sie beiden Regelungen gerecht werden. Ein externer Datenschutzbeauftragter kann hier wertvolle Unterstützung bieten, um Compliance sicherzustellen und Risiken zu minimieren.
5. Fazit: Gleichrangige Regelungsregime mit Überschneidung
Weder die DSGVO noch der Data Act haben grundsätzlich Vorrang – beide Verordnungen gelten parallel und ergänzen sich. Unternehmen sollten daher prüfen, welche Datenarten sie verarbeiten und welche Regelungen jeweils greifen. Für personenbezogene Daten ist die DSGVO maßgeblich, für alle übrigen – insbesondere technischen oder maschinell erzeugten – Daten kommt der Data Act hinzu.
Vertiefende Vergleiche zwischen den beiden Regelungswerken finden Sie in unserem Beitrag „Data Act vs. DSGVO – Wo liegen die Unterschiede?“.
Die Herausforderung der Zukunft wird darin liegen, beide Systeme in Einklang zu bringen und Datenströme so zu gestalten, dass sie rechtskonform, interoperabel und zugleich wirtschaftlich nutzbar bleiben.
