KI-Transparenzpflichten – Klarheit oder Dschungel behördlicher Zuständigkeiten

KI-Transparenzpflichten

Mit unserem Beitrag Transparenzpflichten für KI vom 28.05.2026 hatten wir bereits auf die Kennzeichnungspflichten nach der Verordnung (EU) 2024/1689, dem AI Act, hingewiesen. Seit dem 2. August 2026 müssen Anbieter und Betreiber bestimmter KI-Systeme insbesondere die Transparenzpflichten aus Art. 50 AI Act beachten.

Aufsicht über KI-Modelle mit allgemeinem Verwendungszweck

Davon zu unterscheiden sind die Vorschriften für KI-Modelle mit allgemeinem Verwendungszweck (General Purpose AI -GPAI). Diese gelten bereits seit dem 2. August 2025. Die Europäische Kommission nimmt die Aufsicht über diese Modelle mit Unterstützung des Amts für künstliche Intelligenz (European AI-Office) wahr. GPAI-Modelle zeichnen sich durch erhebliche Allgemeinheit aus und können eine Vielzahl unterschiedlicher Aufgaben kompetent erfüllen.

Die zuständigen nationalen Behörden setzen die Vorschriften für andere KI-Systeme durch. Der Europäische Datenschutzbeauftragte ist für KI-Systeme zuständig, die von den Organen, Einrichtungen und sonstigen Stellen der EU eingesetzt werden verwendet werden.

Zuständigkeitsstruktur in Deutschland

In Deutschland ist am 29.07.2026 das „Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz“ (KI-MIG) in Kraft getreten. Für Deutschland ergibt sich hiernach die folgende Struktur für die jeweils zuständige Aufsichtsbehörde:

  • Allgemeine Marktüberwachungsbehörde sowie zentrale Anlauf- und Beschwerdestelle ist die Bundesnetzagentur. Soweit keine besondere sektorale Zuständigkeit eingreift, überwacht sie die Einhaltung des AI Acts.
  • Bei KI-Systemen, die mit Produkten oder Sicherheitsbauteilen in Zusammenhang stehen, auf die die in Anhang I Abschnitt A des AI Acts genannten Harmonisierungsrechtsvorschriften anzuwenden sind, ist die jeweils nach dem Produktrecht zuständige Marktüberwachungsbehörde verantwortlich, z.B. gemäß  Maschinenrichtlinie (2006/42/EG) oder  Spielzeugrichtlinie (2009/48/EG).
  • Für KI-Systeme, die in direktem Zusammenhang mit einer regulierten Finanztätigkeit stehen und von beaufsichtigten Finanzunternehmen eingesetzt werden, ist die Bundesanstalt für Finanzdienstleistungsaufsicht zuständig.

Cybersicherheit und Tests unter Realbedingungen

  • Bei Verdachtsfällen einer Nichteinhaltung KI-spezifischer Cybersicherheitsanforderungen informiert die nach Art. 52 Abs. 2 der Verordnung (EU) 2024/2847 zu benennende Marktüberwachungsbehörde die jeweils nach dem KI-MIG zuständige Marktüberwachungsbehörde. Übergangsweise nimmt das Bundesamt für Sicherheit in der Informationstechnik (BSI) diese Aufgabe wahr. Die zuständige Marktüberwachungsbehörde prüft anschließend, ob sie Maßnahmen ergreift.
  • Bei Tests von Hochrisiko-KI-Systemen unter Realbedingungen außerhalb eines KI-Reallabors ist ebenfalls die jeweils sachlich zuständige Marktüberwachungsbehörde zuständig. Sie prüft und genehmigt insbesondere den Testplan.

Datenschutzaufsicht und parallele Verfahren

Die Datenschutzaufsichtsbehörden des Bundes und der Länder sind nach § 9 Abs. 4 Nr. 1 KI-MIG grundsätzlich als einzubeziehende „sonstige Behörden“ genannt. Sie werden dadurch nicht allgemein zu Marktüberwachungsbehörden nach dem AI Act. Bei datenschutzrelevanten KI-Anwendungen können sie jedoch weiterhin aufgrund ihrer eigenen Befugnisse tätig werden. Dadurch können neben einem KI-rechtlichen Marktüberwachungsverfahren auch datenschutzrechtliche Verfahren nach der Datenschutz-Grundverordnung entstehen. Die Kooperation nach § 9 KI-MIG soll widersprüchliche Aufsicht vermeiden, enthält aber keine ausdrückliche Sanktionskoordination. Bei parallelen Verfahren wird deshalb insbesondere der Verhältnismäßigkeitsgrundsatz und gegebenenfalls das Verbot der Doppelbestrafung aus Art. 50 der Charta der Grundrechte der Europäischen Union zu beachten sein.

Offene Fragen für die Praxis

Abzuwarten bleib auch, ob die Zuständigkeitsstruktur in der Praxis zu unübersichtlichen Zuständigkeiten, divergierenden Auslegungen und Mehrfachbefassungen verschiedener Marktüberwachungsbehörden bei demselben KI-System führt.

Autor

Matthias Rosa ist Rechtsanwalt und Fachanwalt für IT-Recht und schwerpunktmäßig im Datenschutz-, KI- und Datenrecht tätig.

Schadensersatz bei Datenpanne im Bewerbungsverfahren

BGH: Kontrollverlust mit konkreter Folge

Der sogenannte Kontrollverlust über personenbezogene Daten ist immer wieder Gegenstand gerichtlicher Auseinandersetzungen, z.B, wenn Steuerunterlagen an einen falschen Empfänger versandt werden[i] oder im Fall einer verspäteten Auskunft[ii]. Im Kern geht es um die Frage, ob daraus ein Schadensersatzanspruch der betroffenen Person folgen kann.

Übermittelt ein Unternehmen versehentlich Informationen aus einem laufenden Bewerbungsverfahren an einen unbeteiligten Dritten und nimmt dieser die Informationen zur Kenntnis, kann dies einen ersatzfähigen immateriellen Schaden des Bewerbers begründen. So entschied der Bundesgerichtshof (BGH) mit Urteil vom 23. Juni 2026[iii].

Im Streitfall versandte das Unternehmen über die Plattform XING versehentlich eine Nachricht mit personenbezogenen Daten des Klägers an einen Dritten. Dieser hatte zuvor gemeinsam mit dem Kläger in demselben Unternehmen gearbeitet. Die fehlgeleitete Nachricht enthielt nicht nur die Information über die Bewerbung des Klägers, sondern auch Angaben zu dessen Gehaltsvorstellungen und zur angebotenen Vergütung:

„Lieber Herr K[Nachname des Klägers], ich hoffe es geht Ihnen gut! Unser Leiter – Herr R[…] – findet ihr Händler Profil sehr interessant. Jedoch können wir Ihre Gehaltsvorstellungen nicht erfüllen. Er kann 80k + variable Vergütung anbieten. Wäre das unter diesen Gesichtspunkten weiterhin für Sie interessant? Ich freue mich von Ihnen zu hören und wünsche Ihnen einen guten Start in den Dienstag. Viele Grüße, I[…] J[…]“

Der Empfänger leitete diese Nachricht an den Kläger weiter und fragte ab, ob sie für ihn bestimmt war und ob er auf Stellensuche sei. Der Kläger befürchtete dabei, dass dieser die Informationen ebenso weitergeben oder daraus einen Wettbewerbsvorteil ziehen könnte. Er verlangte deshalb von dem Unternehmen, bei dem er sich beworben hatte, Schadensersatz und Unterlassung. Besonders belastend war für er, dass ein Dritter aus derselben Branche nun nicht nur von seiner Bewerbung wusste, sondern auch Kenntnis von seiner Gehaltsforderung und der aus seiner Sicht nachteiligen Verhandlungsposition hatte.

Der BGH bejahte einen immateriellen Schaden dem Grunde nach. Maßgeblich ist Art. 82 Abs. 1 der Datenschutz-Grundverordnung (DSGVO). Die Vorschrift kennt keine Erheblichkeitsschwelle, d.h. ein Schaden muss nicht besonders schwer wiegen. Die betroffene Person muss jedoch darlegen und gegebenenfalls beweisen, dass ihr tatsächlich ein immaterieller Schaden entstanden ist. Entscheidend ist nicht allein der Datenschutzverstoß, sondern dessen konkrete Auswirkung auf die betroffene Person. Dies zeigt sich insbesondere in der Kontaktaufnahme durch den unbefugten Empfänger.

Kontrollverlust braucht einen belegbaren Effekt

Die fehlerhafte Übermittlung der Nachricht stellte eine Datenschutzverletzung dar. Für einen Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO muss die betroffene Person, hier der Bewerber, jedoch darlegen und beweisen, dass sie einen immateriellen Schaden erlitten hat. Dies kann ein Verlust der Kontrolle über personenbezogene Daten sein. Nach der Auffassung des BGH, muss die unbefugte Übermittlung im konkret eine nachteilige Auswirkung für die betroffene Person haben. Weder eine abstrakte Gefahr noch die bloße Behauptung einer Beeinträchtigung genügen. Eine besondere Erheblichkeitsschwelle besteht allerdings nicht.

Im konkreten Fall waren diese Voraussetzungen jedoch erfüllt. Der irrtümlich angeschriebene Dritte nahm die Nachricht zur Kenntnis und kontaktierte den Kläger wegen dessen Bewerbung. Damit blieb die unbefugte Übermittlung nicht folgenlos. Die Daten hatten den vorgesehenen Empfängerkreis verlassen und eine konkrete Reaktion ausgelöst.

Auch die Sorge vor einer missbräuchlichen Verwendung personenbezogener Daten kann nach Art. 82 Abs. 1 DSGVO einen immateriellen Schaden begründen. Sie muss jedoch nachvollziehbar sein und sich als tatsächliche Beeinträchtigung der betroffenen Person darstellen. Im vorliegenden Fall war der Empfänger in derselben Branche tätig und wusste nun von der Bewerbung des Klägers. Seine Rückfrage machte den Kontrollverlust für den Kläger konkret erfahrbar.

Die Entscheidung wird besonders anschaulich, wenn man den Inhalt der Nachricht berücksichtigt. Offenbart wurden nicht lediglich Kontaktdaten oder die abstrakte Tatsache einer Bewerbung. Der Dritte erhielt konkrete Informationen über die berufliche Neuorientierung des Klägers, seine Gehaltsvorstellungen und das Gegenangebot des potenziellen Arbeitgebers. Gerade diese Kombination machte den Kontrollverlust für den Kläger spürbar.

Unterlassung erfordert mehr als einen Fehler

Der Unterlassungsanspruch hingegeben scheiterte. Die DSGVO enthält selbst keinen eigenständigen Anspruch, mit dem eine betroffene Person künftige rechtswidrige Verarbeitungen vorsorglich untersagen lassen kann, soweit sie nicht zugleich die Löschung der betreffenden Daten verlangt.

Ein Anspruch nach nationalem Recht kann dennoch in Betracht kommen, insbesondere § 1004 Abs. 1 S. 2, § 823 Absatz 1 des Bürgerlichen Gesetzbuchs (BGB) in Verbindung mit Artitkel 1 Abs. 1 und Art. 2 Abs. 1 des Grundgesetzes sowie § 1004 Abs. 1 S. 2 BGB analog, § 823 Abs. 2 BGB in Verbindung mit Art. 6 DSGVO. Voraussetzung ist jedoch stets eine Wiederholungsgefahr.

Nach einem bereits begangenen Verstoß spricht grundsätzlich eine tatsächliche Vermutung für das Bestehen einer Wiederholungsgefahr. Diese Vermutung kann jedoch unter strengen Voraussetzungen widerlegt werden. Hier sah der BGH eine einmalige Sondersituation. Die beanstandete Nachricht stand in einem konkreten Bewerbungsverfahren, das inzwischen beendet war. Deshalb bestand keine hinreichende Wahrscheinlichkeit, dass sich eine vergleichbare Verletzung gegenüber dem Kläger wiederholen würde.

Höhe des Schadens

Über die Höhe des immateriellen Schadensersatzes entschied der BGH dagegen nicht abschließend. Er verwies den Rechtsstreit insoweit an das Berufungsgericht (Oberlandesgericht Frankfurt/Main) zurück, was die Höhe des Schadensersatzes zu bestimmen hat.

Fazit

Ein fehlgeleiteter Datensatz oder eine versehentlich versandte Nachricht löst nicht automatisch einen Schadensersatzanspruch aus. Erreichen die Informationen jedoch einen unbefugten Dritten und hat dies konkrete nachteilige Folgen für die betroffene Person, kann ein Anspruch auf immateriellen Schadensersatz bestehen. Unternehmen müssen Ihre Prozesse im Bewerbungsprozess im Griff haben. Berechtigungskonzepte, aber auch Empfängerprüfungen, Freigaben und Meldewege müssen zuverlässig funktionieren.Eine Datenpanne endet nicht immer mit einem Klick auf „Zurückrufen“.

AUTOR

Matthias Rosa ist Rechtsanwalt und Fachanwalt für IT-Recht und schwerpunktmäßig im Datenschutz-, KI- und Datenrecht tätig.


[i] Europäischer Gerichtshof (EuGH) v. 20.06.2024 – C-590/22 PS

[ii] Bundesarbeitsgericht (BAG): Urt. v. 20.02.2025, Az.: 8 AZR 61/24

[iii] BGH, Urt. v. 23.06.2026, Az. VI ZR 97/22

Rule of Two: DSGVO-Leitplanken für KI-Agenten

Rule of Two: DSGVO-Leitplanken für KI-Agenten

Die spanische Datenschutzbehörde (AEPD) hat im Februar 2026 einen 71-seitigen Leitfaden zur Nutzung von KI-Agenten veröffentlicht. Darin beschreibt sie eine simple, aber äußerst wirksame Regel für den sicheren Einsatz von KI-Agenten:

die „Rule of Two“.

Was ist die Rule of Two?

Die Grundregel ist denkbar einfach

Ein KI-Agent sollte maximal 2 von 3 dieser Eigenschaften gleichzeitig haben:  

  1. Verarbeitung nicht-vertrauenswürdiger Eingaben
    z.B. User-Prompts, E-Mails von außen, Formulardaten aus dem Web
  2. Zugriff auf sensible Daten
    z.B. Kundendatenbank, Gesundheitsdaten, Finanzdaten, Personaldaten
  3. Autonome Aktionen mit Personenbezug
    z.B. automatisch E-Mails versenden, Zahlungen auslösen, Daten löschen, Verträge abschließen

Die Kombination aller drei ohne menschliche Aufsicht ist zu vernmeiden:

Vereint ein KI-Agent alle drei Eigenschaften, werden weitere Maßnahmen las Minimum erforderlich:

  • Zusätzliche Sicherheitsmaßnahmen
    Verstärkte Authentifizierung, Prompt-Injection-Schutz, Input-Validierung, Anomalie-Erkennung
  • Verpflichtende menschliche Aufsicht (Human-in-the-Loop)
    Kritische Aktionen müssen vor der Ausführung von Menschen geprüft und freigegeben werden
  • Erweiterte Dokumentation für DSGVO-Compliance
    Detaillierte Risikoanalyse, Datenschutz-Folgenabschätzung (DSFA), Aufzeichnung aller Entscheidungen

Die Rule of Two wird zwar für sich gesehen nicht allein ausreichen, um für eine DSGVO-konformität bei dem Einsatz von KI-Agenten zu sorgen, sie ist aber mindestens mehr als nur eine technische Empfehlung.

Unternehmen, die diese Regel bei der Entwicklung und dem Betrieb von KI-Agenten berücksichtigen, reduzieren nicht nur rechtliche Risiken, sondern schaffen auch vertrauenswürdigere Systeme für ihre Nutzer. Die „Rule of Two“ gehört zumindest für die Entwicklung von KI-Agenten, auch in zur KI-Kompetenz.

Quelle und weiterführende Informationen

Die vollständigen Leitlinien der AEPD finden Sie hier:
Agentic Artificial Intelligence – AEPD Guide (PDF)

Autor

Matthias Rosa ist Rechtsanwalt und Fachanwalt für IT-Recht und schwerpunktmäßig im Datenschutz-, KI- und Datenrecht tätig.

Vereinbaren Sie jetzt Ihren Beratungstermin! https://varyfy.de/kontakt/

Unternehmen werden ab dem 19.06.2026 Anlaufstelle für Beschwerden in UK

Änderung des Datenschutzrechts in UK!

Ab dem 19.06.2026 werden für UK Unternehmen primäre Anlaufstelle für Datenschutzbeschwerden

Ab dem 19. Juni 2026 gilt für Unternehmen unter britischem Datenschutzrecht eine wichtige Neuerung: Sie müssen ein formelles und nachvollziehbares Beschwerdemanagementsystem einrichten, speziell für Anliegen, die die Nutzung personenbezogener Daten betreffen. Dieses System ist parallel zu den bereits etablierten Prozessen für Betroffenenrechte zu führen, etwa für Auskunfts- oder Löschanfragen.

Grundlage der Änderung ist der Data (Use and Access) Act 2025 (DUAA). Diese Vorschrift ergänz den britischen Data Protection Act 2018. Konkret geht es Section 164A des Data Protection Act 2018:

164AComplaints by data subjects to controllers

(1)A data subject may make a complaint to the controller if the data subject considers that, in connection with personal data relating to the data subject, there is an infringement of the UK GDPR or Part 3 of this Act.

(2)A controller must facilitate the making of complaints under this section by taking steps such as providing a complaint form which can be completed electronically and by other means.

(3)If a controller receives a complaint under this section, the controller must acknowledge receipt of the complaint within the period of 30 days beginning when the complaint is received.

(4)If a controller receives a complaint under this section, the controller must without undue delay—

(a)take appropriate steps to respond to the complaint, and

(b)inform the complainant of the outcome of the complaint.

(5)The reference in subsection (4)(a) to taking appropriate steps to respond to the complaint includes—

(a)making enquiries into the subject matter of the complaint, to the extent appropriate, and

(b)informing the complainant about progress on the complaint.

https://www.legislation.gov.uk/ukpga/2018/12/section/164A

Damit werden Unternehmen zur ersten Anlaufstelle für datenschutzrechtliche Beschwerden in Großbritannien. Betroffene Personen können sich auch direkt die britische Aufsichtsbehörde, das Information Commissioner’s Office (ICO) wenden.

Wichtig: Die europäische Datenschutz-Grundverordnung (DSGVO) ist von dieser Änderung nicht betroffen

Für betroffene Unternehmen bedeutet dies:

  • Beschwerden müssen innerhalb festgelegter Fristen und Verfahren direkt von Unternehmen bearbeitet werden können
  • Das Beschwerderecht muss in Datenschutzinformationen und bei der Beantwortung von Betroffenenanfragen erwähnt werden
  • Die Bearbeitung von Beschwerden wird sichtbar, überprüfbar und somit für die Aufsichtsbehörde relevant
  • Unzureichende oder inkonsistente Bearbeitung erhöht die Wahrscheinlichkeit von aufsichtsbehördlichem, Handeln

Diese Anforderungen bauen auf bestehenden Rechenschafts- und Transparenzpflichten der UK GDPR auf. Dabei findet eine Erweiterung der operative Beschwerdebearbeitung statt.

Welche Unternehmen sind betroffen?

Die neue Pflicht Beschwerden entgegen zu nehmen, richtet sich an jedes Unternehmen, das als Verantwortlicher im Sinne der UK GDPR (https://www.gov.uk/data-protection) personenbezogene Daten verarbeitet und damit unter die Beschwerdepflichten des Data Protection Act 2018 fällt.

Konkret betroffen sind:

  • Verantwortliche – unabhängig von ihrem Standort –, die über Zweck und Mittel der Verarbeitung britischer personenbezogener Daten entscheiden
  • Nicht-britische Unternehmen, die Waren oder Dienstleistungen für Personen im Vereinigten Königreich anbieten oder deren Verhalten beobachten
  • Unternehmen in gemeinsamen Verantwortlichkeiten und Konzernstrukturen, in denen Entscheidungen zur Datenverarbeitung gemeinsam getroffen werden

Hinweis für Auftragsverarbeiter:
Auftragsverarbeiter sind von der Pflicht nicht direkt betroffen. Allerdings können hier Unterstützungspflichten bei der Bearbeitung von Beschwerden bestehen.

Was ist neu?

Betroffene Unternehmen müssen ab dem Stichtag Mindeststandards für die Bearbeitung datenschutzrechtlicher Beschwerden erfüllen.

Kernpflichten

Sanktionen bei Nichteinhaltung

Bei Verstößen gegen das Beschwerdeverfahren drohen Geldbußen von bis zu £8,7 Millionen oder 2 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist). Bei schwerwiegenden Datenschutzverstößen, die im Rahmen der Untersuchung festgestellt werden, können Bußgelder sogar höher ausfallen.

Weitere Informationen

Das ICO bietet folgende offizielle Guidance (Stand Mai 2026):

Hauptseite: https://ico.org.uk/for-organisations/how-to-deal-with-data-protection-complaints/

Bei Rückfragen zu dem Thema stehen wir gerne zur Verfügung: KONTAKT | VARY.FY

Unsere Takeaways vom Data Protection Day 2026 in Brüssel

AUTOREN

Matthias Rosa ist Rechtsanwalt und Fachanwalt für IT-Recht und schwerpunktmäßig im Datenschutz-, KI- und Datenrecht tätig.

Sarah Tavcer ist Rechtsanwältin und seit einigen Jahren als externe Datenschutzbeauftragte und Datenschutzberaterin tätig. Außerdem ist die zertifizierte KI-Compliance-Beauftragte.

KI-Output = Urheberrechtsverletzung? GEMA vs. Open AI

In diesem Zusammenhang hatte die GEMA seit 2024 im Impressum ihrer Webseite einen Nutzungsvorbehalt zum sogenannten Text und Data Mining2, die automatisierte Analyse großer Mengen digitaler Daten, um Muster, Zusammenhänge und neue Erkenntnisse zu gewinnen, für die in ihrem Repertoire enthaltenen Werke aufgenommen.


  1. https://www.justiz.bayern.de/gerichte-und-behoerden/landgericht/muenchen-1/presse/2025/11.php ↩︎
  2. vgl. § 44b UrhG ↩︎
  3. Vgl. § 14 UrhG ↩︎
  4. vgl. EuGH 05.03.2015, C-463/12 Rn. 35 – Copydan). ↩︎
  5. LG München I, Endurteil v. 11.11.2025 – 42 O 14139/24 Rn 183 ↩︎
  6. Vgl. § 44b UrhG ↩︎
  7. Vgl. § 60 d UrhG ↩︎
  8. LG München I, Endurteil v. 11.11.2025 – 42 O 14139/24 Rn 172 ↩︎
  9. Carlini et al. 2021, a.a.O., Anlage K 23.1, S. 2634: „[We] find that over 600 of [the examined samples] are verbatim samples from the [model]-2 training data (confirmed in collaboration with the creators of [model]-2) ↩︎
  10. https://www.tagesschau.de/wirtschaft/digitales/openai-gema-songtexte-100.html ↩︎

Der Data Act und seine Auswirkungen auf die Windenergie

Pflichten für Hersteller

Umfang der bereitzustellenden Daten 

Der Umfang ergibt sich aus Art. 2 Abs. 17 Data Act:

Das Zugangsrecht umfasst bei der Nutzung erstellte Daten, sowohl personenbezogene als auch nicht personenbezogene Daten. 

Datenschutzrechtliche Vorgaben

Beim Zugang zu personenbezogenen Daten gelten vorrangig die Regelungen der Datenschutz-Grundverordnung (DSGVO). Der Nutzer benötigt eine Rechtsgrundlage nach Art. 6 DSGVO. Personenbezogene Daten Dritter können aus Sicht eines Unternehmens auch die eigenen Beschäftigten betreffen. Eine Lösung kann die Anonymisierung bieten, da anonymisierte Daten vom Anwendungsbereich der DSGVO ausgenommen sind. 

Praxisbeispiel: Betriebsführer und Vergleichsanlagen

Verwaltet ein Betriebsführer Windenergieanlagen verschiedener Betreiber, darf er nicht ohne Weiteres alle Anlagendaten nutzen – etwa für sogenannte Ausfallberechnungen gegenüber Versicherungen. 

Bei einem Anlagenausfall zahlt die Versicherung den entgangenen Ertrag auf Basis der theoretisch möglichen Stromproduktion. Diese wird anhand von Vergleichsanlagen berechnet – also Anlagen desselben Herstellers und Typs in vergleichbarer Umgebung (z. B. im rheinhessischen Bergland). Gehören diese Anlagen unterschiedlichen Betreibern, greift der Data Act. Eine Nutzung dieser Daten erfordert dann beispielsweise eine vertragliche Grundlage. 

Behörden können Unternehmen unter bestimmten außergewöhnlichen Voraussetzungen, etwa bei Naturkatastrophen oder akuter Energieknappheit, verpflichten, bestimmte Daten herauszugeben. Voraussetzung ist, dass diese Daten dringend zur Bewältigung der Notlage benötigt werden und nicht anders beschaffbar sind. 

Bereitstellung und Ablehnungsfristen 

Die Daten sind grundsätzlich unverzüglich bereitzustellen. Um den Aufwand zu minimieren, sind technische, organisatorische und rechtliche Maßnahmen zu berücksichtigen. „Bereitstellen“ bedeutet nicht zwingend Übermittlung – eine sogenannte In-situ-Bereitstellung direkt am vernetzten Produkt genügt. 

Unternehmen können ein behördliches Datenverlangen ablehnen, müssen dies jedoch unverzüglich, spätestens innerhalb von fünf Arbeitstagen nach Eingang tun. In allen anderen Fällen außergewöhnlicher Notwendigkeit beträgt die Ablehnungsfrist 30 Arbeitstage. 

Um sogenannte „Lock-in-Effekte“ zu verhindern – also die Bindung an einen Anbieter, weil ein Wechsel zu kompliziert, zu teuer oder mit Datenverlust verbunden wäre -, verpflichtet der Data Act, Anbieter von Datenverarbeitungsdiensten, technische und vertragliche Hürden abzubauen. 

Der „Umzug“ eigener Daten von einem Cloud-Service zu einem anderen soll einfacher und unkomplizierter werden. Anbieter müssen den Wechsel innerhalb von maximal 30 Tagen ermöglichen. Vertragsklauseln, die einen Wechsel behindern, sind unwirksam. 

Der Data Act stärkt damit die Datensouveränität und ermöglicht die nahtlose Fortführung der eigenen Datenhistorie bei einem neuen Anbieter. 

Beispiel: Betreiber cloudbasierter Asset-Management- und SCADA-Software sollen künftig leichter den Anbieter wechseln können.

Ein zentrales Anliegen des Data Acts ist der Schutz von Geschäftsgeheimnissen und vertraulichen Informationen, insbesondere wenn Unternehmen verpflichtet werden, solche Daten an Nutzer oder Dritte weiterzugeben. Der Data Act erkennt dieses Schutzbedürfnis ausdrücklich an. 

Unternehmen, die Daten bereitstellen müssen, sind nicht verpflichtet, Geschäftsgeheimnisse oder vertrauliche Informationen preiszugeben, sofern keine angemessenen Schutzmaßnahmen getroffen werden (Art. 4 Abs. 6, Art. 8 Abs. 6). 

Das bedeutet: 

  • Der Datenempfänger muss geeignete Maßnahmen zum Schutz der erhaltenen Geschäftsgeheimnisse treffen. 
  • Es dürfen keine Daten weitergegeben werden, wenn dies mit einem unvertretbaren Risiko für die Preisgabe von Geschäftsgeheimnissen verbunden wäre. 

Die Parteien können vertraglich festlegen, wie Geschäftsgeheimnisse geschützt werden – etwa über: 

  • Vertraulichkeitsvereinbarungen (NDAs) 
  • Beschränkungen der Nutzung und Weitergabe 
  • Technische Zugriffsbeschränkungen 

Der Data Act sieht vor, dass Empfänger von Daten, die Geschäftsgeheimnisse enthalten, diese nicht für eigene Zwecke außerhalb der vereinbarten Nutzung verwenden dürfen. 

Wenn trotz aller Maßnahmen ein unvertretbares Risiko für die Offenlegung von Geschäftsgeheimnissen besteht, können Unternehmen die Herausgabe verweigern.

Befürchtet ein Windturbinen-Hersteller, dass durch die Herausgabe von Sensordaten an Betreiber oder Dritte sensible Informationen – etwa zu Algorithmen, Betriebsstrategien oder Wartungsprozessen – offengelegt werden, kann er Schutzmaßnahmen verlangen. Erst wenn diese vereinbart und umgesetzt sind, muss er die Daten bereitstellen. Kommt es dennoch zu einem unvertretbaren Risiko, kann die Herausgabe abgelehnt werden.

Der Data Act stellt einen Paradigmenwechsel dar. Er versucht, die enorme wirtschaftliche Kraft, die in den Daten des Internets der Dinge steckt, für alle nutzbar zu machen, während er gleichzeitig die Grundrechte des Datenschutzes wahren will. Dieses Spannungsfeld zwischen Öffnung und Schutz wird Hersteller und Anwender in den kommenden Jahren intensiv beschäftigen. 

Für Betreiber und Betriebsführer von Windenergieanlagen ist dies ein echter Gewinn: Kein Betteln mehr um Daten. Der Data Act liefert den rechtlichen Hebel zur Daten-Demokratisierung. 

Die entscheidende Frage für Unternehmen wird nun sein: Wie werden die Kompetenzen und die technische Infrastruktur aufgebaut, um aus dieser neuen Datenflut nicht nur Compliance-Pflichten, sondern echte Wettbewerbsvorteile zu generieren?

KI-KOMPETENZ

AI LITERACY – Eine Einführung in den Begriff und seine gesetzliche Verankerung im AI Act

  • Bereitstellung von Ressourcen (Personal, Infrastruktur, Technologie)
  • Sicherstellung der Kompetenz der Beschäftigten
  • Bewusstseinsbildung zur KI-Politik und individuellen Rollen

Ein Ansatz könnte in drei Kompetenzstufen liegen, bei denen zwischen Grundverständnis, fortgeschrittene Kenntnisse und toolspezifische Kompetenzen unterschieden wird.