Data Act der EU: Diskussion um die Aufsichtsstruktur

Erneut plant die Bundesregierung, die Bundenetzagentur zur zentralen Behörde für die Aufsicht über ein wichtiges EU-Gesetz zu machen. Auch die BfDI bekommt eine Zuständigkeit, die Landesdatenschutzbehörden sind damit aber unzufrieden. Der Artikel geht auf ihre Kritik ein und gibt einen Ausblick.

Wozu der Data Act?

Mit dem „Data Act“ (zu Deutsch „Datenverordnung“) hat die EU in ihrer Digitalgesetzgebung einen weiteren Pflock eingeschlagen. Der Data Act regelt den Zugang zu Daten und ihre Nutzung in der EU. Die Verordnung ist bereits in Kraft, ihre Geltung beginnt ab dem 12. September 2025. Das Gesetz soll Innovation und Wettbewerb stärken – indem es z. B. Abhängigkeiten von großen Cloudanbietern reduziert. Für Aufgaben von öffentlichem Interesse soll zudem der Austausch von Daten zwischen Unternehmen und Behörden erleichtert werden. Das gilt beispielsweise für öffentliche Notfälle wie schwere Naturkatastrophen.

Parallelen zur KI-Verordnung

Für die Anwendung und Durchsetzung der Verordnung müssen die Mitgliedstaaten nach Art. 37 Data Act zuständige Behörden benennen. Das können bestehende oder neue Behörden sein. Wie auch bei der KI-Verordnung benennt die Bundesregierung in ihrem Referentenentwurf die Bundesnetzagentur als die zentrale Behörde. Aber auch hier zeigt sich: Der Datenschutz ist nicht außen vor. So wird die Zuständigkeit für die Aufsicht über die Verarbeitung personenbezogener Daten der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) zugewiesen.

Kritik der Landedatenschutzbehörden

Wie bereits bei der KI-Verordnung, zeigt sich auch beim Data Act: Die Etablierung der neuen Aufsichtsstruktur sorgt für Diskussionen. Die Datenschutzaufsichtsbehörden der Länder sind unzufrieden mit dem Gesetzesentwurf. Sie möchten dessen §3 Abs. 1 streichen lassen. Der Entwurf sieht die (alleinige) Zuständigkeit der BfDI für die Überwachung der Anwendung der DSGVO und des weiteren Unions- und nationalen Rechts zum Schutz personenbezogener Daten vor. Mitte März reichten die Landesdatenschutzbehörden hierzu eine Stellungnahme beim BMWK ein. Aus dieser gehen drei Dinge hervor:

• Fehlende Praktikabilität: Die Datenschutzbehörden halten die Regelung zur Zusammenarbeit der BfDI mit der Bundesnetzagentur in §3 des Referentenentwurfs für nicht praktikabel. Sie weisen u. a. auf Abgrenzungsprobleme und Doppelstrukturen bei der Aufsicht hin. Wenn ein Sachverhalt nicht klar abgrenzbar sei, dann könne sowohl die BfDI als auch eine Landedatenschutzbehörde zuständig sein.
• Verstoß gegen Verfassungsrecht: U. a. fehle es hier an der gemäß Art. 87 Abs. 3 GG für die Übertragung einer Verwaltungskompetenz auf eine Bundesbehörde erforderlichen Gesetzgebungskompetenz des Bundes.
• Verstoß gegen das Unionsrecht: Der europäische Gesetzgeber wolle u. a. die Zuständigkeitsordnung der DSGVO beibehalten. Das folge aus der Formulierung „auch“ in Art. 37 Abs. 3 Data Act, in dem steht:

„Die für die Überwachung der Anwendung der Verordnung (EU) 2016/679 zuständigen Aufsichtsbehörden sind bezüglich des Schutzes personenbezogener Daten auch für die Überwachung der Anwendung der vorliegenden Verordnung zuständig (…).“

Die neue Bundesregierung hat ein weiteres To-do

Nicht nur der Referentenentwurf zur KI-Marktüberwachung sollte bei der neuen Bundesregierung auf Wiedervorlage sein. Nach den gewichtigen Kritikpunkten der Landesdatenschutzbehörden gilt es, auch den Vorschlag zum Data Act noch einmal zu prüfen. Unklar ist, welche Stoßrichtung die neu Zuständigen hier vorgeben werden. Klar ist, dass sie ein ganzes Stück Arbeit vor sich haben.