EU-Musterklauseln für den Data Act: Umfang und Grenzen

Die Europäische Kommission hat ein Paket von nicht bindenden Musterklauseln (MCT) und Standardvertragsklauseln (SCC) veröffentlicht, das darauf abzielt, die Vertragsgestaltung unter dem Data Act (Verordnung (EU) 2023/2854) zu vereinfachen. Dieses Dokument schafft keine neuen rechtlichen Verpflichtungen, sondern bietet einen Referenzrahmen, damit die Parteien, insbesondere KMU, Verträge erstellen können, die den Bestimmungen zum Zugang und zur Nutzung von Daten aus vernetzten Produkten entsprechen.

Das Hauptziel besteht darin, die vertragliche Fragmentierung zu reduzieren und die Reibungsverluste in den Verhandlungen zwischen Unternehmen zu minimieren. Die Klauseln sind hauptsächlich für B2B-Beziehungen verfasst, obwohl der offizielle Text angibt, dass sie auch auf Beziehungen zwischen Unternehmen und Verbrauchern angepasst werden können, wenn die einschlägigen Verbraucherschutzvorschriften einbezogen werden. Ihre Verwendung ist freiwillig und anpassbar, was bedeutet, dass sie die Notwendigkeit einer spezifischen rechtlichen Prüfung für jeden Einzelfall nicht ersetzen.

Das Paket umfasst vier Klauselsätze, die die im Data Act festgelegten obligatorischen Datenaustauschbeziehungen abdecken. Der erste Satz regelt die Beziehung zwischen dem Datenträger und dem Nutzer und definiert die Rechte auf Zugang und Nutzung der von einem vernetzten Produkt erzeugten Daten. Der zweite behandelt die Beziehung zwischen dem Nutzer und einem Datenempfänger Dritter, wenn der Nutzer den Träger anweist, die Daten zu teilen.

Die anderen beiden Sätze konzentrieren sich auf die Interaktionen zwischen dem Datenträger und den Empfängern Dritter und decken sowohl die Fälle ab, in denen der Träger gesetzlich verpflichtet ist, die Daten bereitzustellen, als auch die Bedingungen für die Vergütung für diesen Austausch. Diese Klauseln entsprechen dem Kapitel IV des Data Act, das feststellt, dass einseitig auferlegte Klauseln nicht bindend sind, wenn sie als missbräuchlich gelten, und bieten somit eine Grundlage für ein vertragliches Gleichgewicht.

Es ist grundlegend, diese Data-Act-Klauseln von den Standardvertragsklauseln (SCC) der DSGVO zu unterscheiden, die von Anbietern wie Microsoft, IBM und AWS bereits für internationale Übertragungen personenbezogener Daten verwendet werden. Während die DSGVO-SCC sich auf den Schutz personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums konzentrieren, konzentrieren sich die neuen Data-Act-MCT auf den Zugang zu Daten, die von vernetzten Produkten erzeugt werden, einschließlich nicht personenbezogener Daten.

Große Cloud-Anbieter bieten bereits Konformitätsmechanismen für Datenhoheit und Datenresidenz an, aber die neuen Musterklauseln führen einen spezifischen Ansatz für die Portabilität von Produktdaten ein. Dies macht bestehende Datenschutzrichtlinien nicht ungültig, sondern fügt eine spezifische vertragliche Schicht für den Austausch von Betriebsdaten vernetzter Geräte hinzu, ein Bereich, den Standard-Cloud-Richtlinien oft nicht mit derselben Granularität detaillieren.

Für Unternehmen, die Cloud-Infrastrukturen in der EU verwalten, ist die Hauptimplikation die Notwendigkeit, ihre Serviceverträge zu überprüfen, um diese Klauseln einzubinden, wenn sie ihre Operationen mit dem Data Act abstimmen möchten. Dies ist insbesondere für KMU relevant, die diese Modelle als Ausgangspunkt nutzen können, um komplexe Verhandlungen zu vermeiden. Die Übernahme dieser Klauseln kann die Vertragsprozesse beschleunigen und größere Rechtssicherheit bieten.

Unternehmen sollten jedoch nicht davon ausgehen, dass die Einbeziehung dieser Klauseln die vollständige Konformität garantiert. Sie müssen sicherstellen, dass ihre Cloud-Anbieter die erforderlichen Mechanismen für den Datenzugriff und die Datenausfuhr technisch unterstützen. Die praktische Entscheidung besteht darin zu bewerten, ob der Anbieter Datenausfuhr-APIs anbietet, die mit den Anforderungen des Data Act kompatibel sind, da vertragliche Klauseln keine technischen Fähigkeiten auferlegen können, die der Anbieter nicht besitzt.

Die Musterklauseln befassen sich nicht mit Leistungsaspekten, technischer Sicherheit oder Verfügbarkeit von Cloud-Diensten. Sie konzentrieren sich ausschließlich auf die Rechte des Zugangs, der Nutzung und des Teilens von Daten. Daher müssen Unternehmen weiterhin auf Service-Level-Agreements (SLA) und spezifische Sicherheitsrichtlinien jedes Anbieters angewiesen sein, um die Integrität und Verfügbarkeit ihrer Infrastrukturen zu gewährleisten.

Darüber hinaus haben diese Klauseln, da sie nicht bindend sind, an sich keine Gesetzeskraft. Ihr Wert liegt in der Standardisierung und der Reduzierung der Transaktionskosten. Organisationen müssen sich bewusst sein, dass jede Änderung dieser Klauseln ihre Ausrichtung auf den Data Act ungültig machen könnte, daher wird empfohlen, sie unverändert zu belassen oder minimale Änderungen unter Aufsicht von Rechtsexperten vorzunehmen.