„DSGVO-Hopper“ und die Grenzen der Betroffenenrechte

„DSGVO-Hopper“ und die Grenzen der Betroffenenrechte

Wann ein Auskunftsersuchen nach Art. 15 DSGVO ausnahmsweise als missbräuchlich bewertet werden kann Im Zusammenhang mit dem Betroffenenrecht stellt sich für Verantwortliche häufig die Frage nach der Grenze zwischen berechtigtem und missbräuchlichem Auskunftsersuchen.

Ein Nutzer meldet sich für einen Newsletter an. Kurz darauf verlangt er umfassende Auskunft nach Art. 15 Datenschutz-Grundverordnung (DSGVO). Wird die Auskunft verweigert oder aus Sicht des Betroffenen nicht vollständig beziehungsweise nicht fristgerecht erteilt, folgt eine Schadensersatzforderung nach Art. 82 Abs. 1 DSGVO – teils in erheblicher Höhe.

Für solche Konstellationen hat sich umgangssprachlich der Begriff „DSGVO-Hopping“ oder „DSGVO-Hopper“ etabliert. Gemeint sind Fälle, in denen Betroffene gezielt Datenverarbeitungen provozieren, um anschließend Ansprüche auf Auskunft und Schadensersatz geltend zu machen.

Das Amtsgericht (AG) Arnsberg hatte sich mit genau einer solchen Konstellation zu befassen. Seine Entscheidung zeigt: Betroffenenrechte sind zentral für den Datenschutz. Sie dürfen aber nicht dazu instrumentalisiert werden, künstlich Schadensersatzansprüche zu erzeugen.

Der Fall vor dem AG Arnsberg, Urt. v. 01.07.2026, Az. 42 C 434/23

In dem Verfahren vor dem AG Arnsberg, Az. 42 C 434/23, stritten ein familiengeführtes Optikunternehmen und ein in Wien wohnhafter Newsletter-Abonnent.

Das betroffene Unternehmen betreibt Filialen vor allem in Nordrhein-Westfalen und Niedersachsen. Der Onlineversand beschränkt sich auf Deutschland. Über seinen Newsletter informiert das Unternehmen über Sonderaktionen und Rabatte in seinen Filialen. Am 13. März 2023 meldete sich der Beklagte für den Newsletter an. Für die Anmeldung war lediglich die Angabe einer E-Mail-Adresse erforderlich. Der Beklagte gab jedoch zusätzlich seinen Vor- und Nachnamen an. Wenig später, am 29. März 2023, verlangte er per Fax umfassende Auskunft nach Art. 15 DSGVO. Dabei verwendete er einen Briefkopf mit vollständiger Wohnanschrift, E-Mail-Adresse und Faxnummer. Das Unternehmen verweigerte die Auskunft mit der Begründung, das Ersuchen sei rechtsmissbräuchlich. Es verwies unter anderem auf öffentlich zugängliche Berichte über ein wiederkehrendes Vorgehensmuster des Beklagten:

Newsletter-Anmeldung ►Auskunftsverlangen ►anschließende Geltendmachung von Schadensersatz.

Der Betroffene forderte daraufhin unter anderem eine Geldentschädigung in Höhe von mindestens 1.000 € wegen eines behaupteten Kontrollverlusts und emotionalen Ungemachs. Das Unternehmen erhob zunächst eine negative Feststellungsklage. Nachdem der Beklagte Widerklage auf Auskunft und Schadensersatz erhoben hatte, erklärten die Parteien die ursprüngliche Klage übereinstimmend für erledigt. Die Widerklage blieb ohne Erfolg (AG Arnsberg, Urt. v. 01.07.2026, Az. 42 C 434/23)

Auskunftsansprüche sind weitreichend – aber nicht grenzenlos

Art. 15 DSGVO gibt betroffenen Personen einen umfassenden Auskunftsanspruch. Sie können insbesondere erfahren,

  • ob personenbezogene Daten verarbeitet werden,
  • welche Daten verarbeitet werden,
  • zu welchen Zwecken die Verarbeitung erfolgt,
  • welche Empfänger Daten erhalten haben oder erhalten sollen und
  • wie lange die Daten gespeichert werden.

Der Anspruch dient einem klaren Zweck. Betroffene sollen nachvollziehen können, ob und wie ihre personenbezogenen Daten verarbeitet werden. Erst diese Transparenz ermöglicht es ihnen, weitere Rechte wirksam wahrzunehmen, etwa Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch oder Beschwerde bei einer Datenschutzaufsichtsbehörde.

Allerdings erlaubt Art. 12 Abs. 5 lit. b DSGVO Verantwortlichen, bei offenkundig unbegründeten oder exzessiven Anträgen tätig zu werden. Sie können entweder ein angemessenes Entgelt verlangen oder die Bearbeitung des Antrags verweigern. Die Beweislast dafür, dass ein Antrag offenkundig unbegründet oder exzessiv ist, trägt jedoch der Verantwortliche. Diese Ausnahme ist eng auszulegen. Ein bloßer Verdacht, eine betroffene Person könne taktisch handeln oder später Schadensersatz verlangen, genügt nicht.

erster Auskunftsantrag kann exzessiv sein

Das AG Arnsberg (Amtsgericht Arnsberg, 42 C 434/23) stützte seine Entscheidung auf die im Verfahren ergangene Vorabentscheidung des Europäischen Gerichtshofs in der Rechtssache C‑526/24 (infocuriaws.curia.europa.eu/blob/download-file/317915/DE/html).

Danach kann auch ein erstmaliges Auskunftsersuchen exzessiv sein. Es kommt nicht allein darauf an, ob eine Person wiederholt Anträge stellt. Maßgeblich ist vielmehr eine Gesamtwürdigung aller Umstände des Einzelfalls.

Somit kann ein missbräuchliches Verhalten nahe liegen, wenn zwei Elemente zusammentreffen:

Objektive Umstände, aus denen sich ergibt, dass trotz formaler Berufung auf die DSGVO deren Zweck nicht erreicht wird, und eine missbräuchliche Absicht, sich durch künstlich geschaffene Voraussetzungen einen Vorteil zu verschaffen – etwa einen Schadensersatzanspruch.

Entscheidend ist, ob die betroffene Person die Auskunft tatsächlich benötigt, um die Verarbeitung ihrer Daten zu verstehen und ihre Datenschutzrechte wahrzunehmen. Wird der Auskunftsanspruch dagegen vor allem dazu eingesetzt, eine Grundlage für Zahlungsforderungen zu schaffen, kann die Grenze zur missbräuchlichen Rechtsausübung überschritten sein.

Anknüpfungspunkte im konkreten Fall

Das Amtsgericht nahm keine isolierte Betrachtung einzelner Umstände vor. Ausschlaggebend war vielmehr eine Vielzahl von Indizien, die in ihrer Gesamtschau für eine missbräuchliche Motivation sprachen.

Freiwillige Preisgabe zusätzlicher Daten

Für die Newsletter-Anmeldung genügte eine E-Mail-Adresse. Der Beklagte gab zusätzlich seinen vollständigen Namen an. Auch sein späteres Auskunftsersuchen enthielt per Fax mehr Angaben als erforderlich, nämlich seine vollständige Wohnanschrift, E-Mail-Adresse und Faxnummer.

Das Gericht wertete dies als widersprüchlich zu der späteren Darstellung, der Beklagte sei besonders datensensibel und leide durch den vermeintlichen Kontrollverlust über seine Daten unter Sorgen, Ängsten und emotionalem Ungemach.

Allein die freiwillige Angabe zusätzlicher Daten begründet selbstverständlich keinen Rechtsmissbrauch. Im Zusammenspiel mit den weiteren Umständen durfte sie jedoch als Indiz berücksichtigt werden.

Der kurze Zeitraum zwischen Anmeldung und Auskunftsersuchen

Zwischen Newsletter-Anmeldung und Auskunftsverlangen lag nach der Würdigung des Gerichts ein Zeitraum von lediglich neun Tagen.

Das AG Arnsberg sah darin ein weiteres Indiz. Es bezweifelte, dass in diesem frühen Stadium ein ernsthaftes Interesse daran bestanden habe, die konkrete Datenverarbeitung des Unternehmens zu überprüfen. Gerade bei einem Newsletter, für dessen Anmeldung nur wenige Daten erhoben werden, kann ein sehr zeitnahes Auskunftsersuchen den Verdacht begründen, dass es weniger um Transparenz als um die Vorbereitung weiterer Ansprüche geht.

Auch hier gilt: Ein rasch gestelltes Auskunftsersuchen ist nicht automatisch missbräuchlich. Die DSGVO kennt keine Mindestwartezeit. Der zeitliche Abstand kann aber im Rahmen einer Gesamtwürdigung relevant sein.

Kein nachvollziehbares Interesse am Newsletter

Der Beklagte wohnte in Wien. Das Unternehmen informierte mit seinem Newsletter über Rabattaktionen in Filialen in Nordrhein-Westfalen; der Onlineversand war auf Deutschland beschränkt. Er erklärte, er halte sich regelmäßig in Deutschland auf, unter anderem bei Freunden in Düsseldorf. Das Gericht sah diese Behauptung jedoch nicht ausreichend belegt. Darüber hinaus bezweifelte es, dass eine in Nordrhein-Westfalen rabattiert erworbene Brille für eine in Wien wohnhafte Person wirtschaftlich sinnvoll sein könne. Insbesondere bei Gewährleistungsfällen und Nachjustierungen sei die räumliche Distanz erheblich. Damit konnte das Gericht kein plausibles persönliches Interesse des Beklagten an gerade diesem Newsletter feststellen.

Öffentliche Berichte über ein wiederkehrendes Vorgehensmuster

Das Unternehmen hatte sich außerdem auf öffentlich zugängliche Informationen aus Blogs, Foren und anwaltlichen Veröffentlichungen berufen. Danach sollte der Beklagte in vergleichbaren Fällen nach einem wiederkehrenden Muster vorgehen: Anmeldung für Newsletter, Auskunftsverlangen nach Art. 15 DSGVO und anschließende Forderung von Schadensersatz. Solche Internetinformationen sind für sich genommen kein sicherer Beweis. Das AG Arnsberg hat sie daher nicht isoliert verwertet. Es hielt sie aber für berücksichtigungsfähig, weil weitere konkrete Indizien für eine missbräuchliche Absicht vorlagen. Zusätzlich wertete das Gericht, dass der Beklagte trotz angeordneten persönlichen Erscheinens nicht erschien und sein Prozessbevollmächtigter die Fragen zum persönlichen Interesse am Newsletter nur eingeschränkt beantworten konnte.

Keine Auskunft – und auch kein Schadensersatz

Das AG Arnsberg kam zu dem Ergebnis, dass das Unternehmen die Auskunft nach Art. 12 Abs. 5 lit. b DSGVO verweigern durfte. Der Auskunftsanspruch aus Art. 15 DSGVO bestand daher im konkreten Fall nicht. Auch der geltend gemachte Anspruch auf immateriellen Schadensersatz nach Art. 82 Abs. 1 DSGVO wurde abgewiesen. Nach Auffassung des Gerichts lag bereits kein Datenschutzverstoß vor, weil die Auskunftsverweigerung berechtigt gewesen sei. Das Gericht führte zudem aus, dass der behauptete Kontrollverlust und die Unsicherheit über die Datenverarbeitung jedenfalls maßgeblich durch das Verhalten des Beklagten selbst ausgelöst worden seien. Damit fehle es an einem ersatzfähigen, durch einen DSGVO-Verstoß verursachten Schaden. Die Widerklage wurde insgesamt abgewiesen. Der Beklagte trägt die Kosten des Rechtsstreits und des Vorabentscheidungsverfahrens. Der Beklagte kann jedoch gegen das Urteil Berufung einlegen, so dass die Sache dann noch einmal dem Landgericht (LG) Arnsberg vorgelegt werden könnte.

Was Unternehmen daraus mitnehmen sollten

Die Entscheidung ist kein Freifahrtschein, Auskunftsersuchen bei einem bloßen Missbrauchsverdacht abzulehnen. Gerade weil Art. 15 DSGVO eine zentrale Betroffenenrechtsnorm ist, bleibt eine pauschale oder vorschnelle Ablehnung riskant.

HandlungsempfehlungBedeutung
Einzelfall sorgfältig prüfenDie Annahme eines Missbrauchs setzt belastbare, konkrete Indizien voraus. Allgemeine Vermutungen reichen nicht.
Gesamtwürdigung dokumentierenRelevant können etwa der Anlass der Datenerhebung, der zeitliche Ablauf, die freiwillige Datenangabe, das erkennbare Interesse an der Leistung und weitere objektive Umstände sein.
Öffentliche Informationen nur ergänzend nutzenBerichte aus dem Internet sollten nie die alleinige Grundlage einer Ablehnung sein. Sie können nur zusammen mit weiteren Tatsachen Bedeutung gewinnen.
Fristen nach Art. 12 Abs. 3 DSGVO beachtenAuskunftsersuchen sind grundsätzlich unverzüglich, spätestens binnen eines Monats zu beantworten.
Ablehnung nachvollziehbar begründenWird ein Antrag nicht bearbeitet, sind die Gründe sowie die Möglichkeit einer Beschwerde bei einer Aufsichtsbehörde und eines gerichtlichen Rechtsbehelfs mitzuteilen, Art. 12 Abs. 4 DSGVO.
Keine „Negativ-Auskunft“ mit einer Missbrauchsablehnung verwechselnSind keine personenbezogenen Daten vorhanden, ist dies grundsätzlich mitzuteilen. Das ist rechtlich etwas anderes als die Ablehnung eines exzessiven oder offenkundig unbegründeten Antrags.

Fazit

Das Urteil des AG Arnsberg verdeutlicht, dass die DSGVO kein Instrument zur gezielten Generierung von Schadensersatzforderungen ist. Betroffenenrechte dienen der Transparenz und dem Schutz personenbezogener Daten – nicht der künstlichen Herstellung einer Anspruchslage.

Gleichzeitig bleibt die Hürde für eine Ablehnung hoch. Unternehmen müssen konkrete Tatsachen darlegen können, aus denen sich ein missbräuchliches Vorgehen ergibt. Entscheidend ist immer die sorgfältige Würdigung des Einzelfalls.

Für die Praxis bedeutet das: Auskunftsersuchen sollten ernst genommen, fristgerecht bearbeitet und sauber dokumentiert werden. Wenn sich jedoch mehrere belastbare Indizien für ein systematisches und sachfremdes Vorgehen verdichten, kann Art. 12 Abs. 5 lit. b DSGVO eine rechtmäßige Grundlage bieten, die Auskunft zu verweigern.

Autor

Matthias Rosa ist Rechtsanwalt und Fachanwalt für IT-Recht und schwerpunktmäßig im Datenschutz-, KI- und Datenrecht tätig.

Vereinbaren Sie jetzt Ihren Beratungstermin! https://varyfy.de/kontakt/

Rule of Two: DSGVO-Leitplanken für KI-Agenten

Rule of Two: DSGVO-Leitplanken für KI-Agenten

Die spanische Datenschutzbehörde (AEPD) hat im Februar 2026 einen 71-seitigen Leitfaden zur Nutzung von KI-Agenten veröffentlicht. Darin beschreibt sie eine simple, aber äußerst wirksame Regel für den sicheren Einsatz von KI-Agenten:

die „Rule of Two“.

Was ist die Rule of Two?

Die Grundregel ist denkbar einfach

Ein KI-Agent sollte maximal 2 von 3 dieser Eigenschaften gleichzeitig haben:  

  1. Verarbeitung nicht-vertrauenswürdiger Eingaben
    z.B. User-Prompts, E-Mails von außen, Formulardaten aus dem Web
  2. Zugriff auf sensible Daten
    z.B. Kundendatenbank, Gesundheitsdaten, Finanzdaten, Personaldaten
  3. Autonome Aktionen mit Personenbezug
    z.B. automatisch E-Mails versenden, Zahlungen auslösen, Daten löschen, Verträge abschließen

Die Kombination aller drei ohne menschliche Aufsicht ist zu vernmeiden:

Vereint ein KI-Agent alle drei Eigenschaften, werden weitere Maßnahmen las Minimum erforderlich:

  • Zusätzliche Sicherheitsmaßnahmen
    Verstärkte Authentifizierung, Prompt-Injection-Schutz, Input-Validierung, Anomalie-Erkennung
  • Verpflichtende menschliche Aufsicht (Human-in-the-Loop)
    Kritische Aktionen müssen vor der Ausführung von Menschen geprüft und freigegeben werden
  • Erweiterte Dokumentation für DSGVO-Compliance
    Detaillierte Risikoanalyse, Datenschutz-Folgenabschätzung (DSFA), Aufzeichnung aller Entscheidungen

Die Rule of Two wird zwar für sich gesehen nicht allein ausreichen, um für eine DSGVO-konformität bei dem Einsatz von KI-Agenten zu sorgen, sie ist aber mindestens mehr als nur eine technische Empfehlung.

Unternehmen, die diese Regel bei der Entwicklung und dem Betrieb von KI-Agenten berücksichtigen, reduzieren nicht nur rechtliche Risiken, sondern schaffen auch vertrauenswürdigere Systeme für ihre Nutzer. Die „Rule of Two“ gehört zumindest für die Entwicklung von KI-Agenten, auch in zur KI-Kompetenz.

Quelle und weiterführende Informationen

Die vollständigen Leitlinien der AEPD finden Sie hier:
Agentic Artificial Intelligence – AEPD Guide (PDF)

Autor

Matthias Rosa ist Rechtsanwalt und Fachanwalt für IT-Recht und schwerpunktmäßig im Datenschutz-, KI- und Datenrecht tätig.

Vereinbaren Sie jetzt Ihren Beratungstermin! https://varyfy.de/kontakt/

Unternehmen werden ab dem 19.06.2026 Anlaufstelle für Beschwerden in UK

Änderung des Datenschutzrechts in UK!

Ab dem 19.06.2026 werden für UK Unternehmen primäre Anlaufstelle für Datenschutzbeschwerden

Ab dem 19. Juni 2026 gilt für Unternehmen unter britischem Datenschutzrecht eine wichtige Neuerung: Sie müssen ein formelles und nachvollziehbares Beschwerdemanagementsystem einrichten, speziell für Anliegen, die die Nutzung personenbezogener Daten betreffen. Dieses System ist parallel zu den bereits etablierten Prozessen für Betroffenenrechte zu führen, etwa für Auskunfts- oder Löschanfragen.

Grundlage der Änderung ist der Data (Use and Access) Act 2025 (DUAA). Diese Vorschrift ergänz den britischen Data Protection Act 2018. Konkret geht es Section 164A des Data Protection Act 2018:

164AComplaints by data subjects to controllers

(1)A data subject may make a complaint to the controller if the data subject considers that, in connection with personal data relating to the data subject, there is an infringement of the UK GDPR or Part 3 of this Act.

(2)A controller must facilitate the making of complaints under this section by taking steps such as providing a complaint form which can be completed electronically and by other means.

(3)If a controller receives a complaint under this section, the controller must acknowledge receipt of the complaint within the period of 30 days beginning when the complaint is received.

(4)If a controller receives a complaint under this section, the controller must without undue delay—

(a)take appropriate steps to respond to the complaint, and

(b)inform the complainant of the outcome of the complaint.

(5)The reference in subsection (4)(a) to taking appropriate steps to respond to the complaint includes—

(a)making enquiries into the subject matter of the complaint, to the extent appropriate, and

(b)informing the complainant about progress on the complaint.

https://www.legislation.gov.uk/ukpga/2018/12/section/164A

Damit werden Unternehmen zur ersten Anlaufstelle für datenschutzrechtliche Beschwerden in Großbritannien. Betroffene Personen können sich auch direkt die britische Aufsichtsbehörde, das Information Commissioner’s Office (ICO) wenden.

Wichtig: Die europäische Datenschutz-Grundverordnung (DSGVO) ist von dieser Änderung nicht betroffen

Für betroffene Unternehmen bedeutet dies:

  • Beschwerden müssen innerhalb festgelegter Fristen und Verfahren direkt von Unternehmen bearbeitet werden können
  • Das Beschwerderecht muss in Datenschutzinformationen und bei der Beantwortung von Betroffenenanfragen erwähnt werden
  • Die Bearbeitung von Beschwerden wird sichtbar, überprüfbar und somit für die Aufsichtsbehörde relevant
  • Unzureichende oder inkonsistente Bearbeitung erhöht die Wahrscheinlichkeit von aufsichtsbehördlichem, Handeln

Diese Anforderungen bauen auf bestehenden Rechenschafts- und Transparenzpflichten der UK GDPR auf. Dabei findet eine Erweiterung der operative Beschwerdebearbeitung statt.

Welche Unternehmen sind betroffen?

Die neue Pflicht Beschwerden entgegen zu nehmen, richtet sich an jedes Unternehmen, das als Verantwortlicher im Sinne der UK GDPR (https://www.gov.uk/data-protection) personenbezogene Daten verarbeitet und damit unter die Beschwerdepflichten des Data Protection Act 2018 fällt.

Konkret betroffen sind:

  • Verantwortliche – unabhängig von ihrem Standort –, die über Zweck und Mittel der Verarbeitung britischer personenbezogener Daten entscheiden
  • Nicht-britische Unternehmen, die Waren oder Dienstleistungen für Personen im Vereinigten Königreich anbieten oder deren Verhalten beobachten
  • Unternehmen in gemeinsamen Verantwortlichkeiten und Konzernstrukturen, in denen Entscheidungen zur Datenverarbeitung gemeinsam getroffen werden

Hinweis für Auftragsverarbeiter:
Auftragsverarbeiter sind von der Pflicht nicht direkt betroffen. Allerdings können hier Unterstützungspflichten bei der Bearbeitung von Beschwerden bestehen.

Was ist neu?

Betroffene Unternehmen müssen ab dem Stichtag Mindeststandards für die Bearbeitung datenschutzrechtlicher Beschwerden erfüllen.

Kernpflichten

Sanktionen bei Nichteinhaltung

Bei Verstößen gegen das Beschwerdeverfahren drohen Geldbußen von bis zu £8,7 Millionen oder 2 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist). Bei schwerwiegenden Datenschutzverstößen, die im Rahmen der Untersuchung festgestellt werden, können Bußgelder sogar höher ausfallen.

Weitere Informationen

Das ICO bietet folgende offizielle Guidance (Stand Mai 2026):

Hauptseite: https://ico.org.uk/for-organisations/how-to-deal-with-data-protection-complaints/

Bei Rückfragen zu dem Thema stehen wir gerne zur Verfügung: KONTAKT | VARY.FY

Unsere Takeaways vom Data Protection Day 2026 in Brüssel

AUTOREN

Matthias Rosa ist Rechtsanwalt und Fachanwalt für IT-Recht und schwerpunktmäßig im Datenschutz-, KI- und Datenrecht tätig.

Sarah Tavcer ist Rechtsanwältin und seit einigen Jahren als externe Datenschutzbeauftragte und Datenschutzberaterin tätig. Außerdem ist die zertifizierte KI-Compliance-Beauftragte.

KI-Output = Urheberrechtsverletzung? GEMA vs. Open AI

In diesem Zusammenhang hatte die GEMA seit 2024 im Impressum ihrer Webseite einen Nutzungsvorbehalt zum sogenannten Text und Data Mining2, die automatisierte Analyse großer Mengen digitaler Daten, um Muster, Zusammenhänge und neue Erkenntnisse zu gewinnen, für die in ihrem Repertoire enthaltenen Werke aufgenommen.


  1. https://www.justiz.bayern.de/gerichte-und-behoerden/landgericht/muenchen-1/presse/2025/11.php ↩︎
  2. vgl. § 44b UrhG ↩︎
  3. Vgl. § 14 UrhG ↩︎
  4. vgl. EuGH 05.03.2015, C-463/12 Rn. 35 – Copydan). ↩︎
  5. LG München I, Endurteil v. 11.11.2025 – 42 O 14139/24 Rn 183 ↩︎
  6. Vgl. § 44b UrhG ↩︎
  7. Vgl. § 60 d UrhG ↩︎
  8. LG München I, Endurteil v. 11.11.2025 – 42 O 14139/24 Rn 172 ↩︎
  9. Carlini et al. 2021, a.a.O., Anlage K 23.1, S. 2634: „[We] find that over 600 of [the examined samples] are verbatim samples from the [model]-2 training data (confirmed in collaboration with the creators of [model]-2) ↩︎
  10. https://www.tagesschau.de/wirtschaft/digitales/openai-gema-songtexte-100.html ↩︎

Der Data Act und seine Auswirkungen auf die Windenergie

Pflichten für Hersteller

Umfang der bereitzustellenden Daten 

Der Umfang ergibt sich aus Art. 2 Abs. 17 Data Act:

Das Zugangsrecht umfasst bei der Nutzung erstellte Daten, sowohl personenbezogene als auch nicht personenbezogene Daten. 

Datenschutzrechtliche Vorgaben

Beim Zugang zu personenbezogenen Daten gelten vorrangig die Regelungen der Datenschutz-Grundverordnung (DSGVO). Der Nutzer benötigt eine Rechtsgrundlage nach Art. 6 DSGVO. Personenbezogene Daten Dritter können aus Sicht eines Unternehmens auch die eigenen Beschäftigten betreffen. Eine Lösung kann die Anonymisierung bieten, da anonymisierte Daten vom Anwendungsbereich der DSGVO ausgenommen sind. 

Praxisbeispiel: Betriebsführer und Vergleichsanlagen

Verwaltet ein Betriebsführer Windenergieanlagen verschiedener Betreiber, darf er nicht ohne Weiteres alle Anlagendaten nutzen – etwa für sogenannte Ausfallberechnungen gegenüber Versicherungen. 

Bei einem Anlagenausfall zahlt die Versicherung den entgangenen Ertrag auf Basis der theoretisch möglichen Stromproduktion. Diese wird anhand von Vergleichsanlagen berechnet – also Anlagen desselben Herstellers und Typs in vergleichbarer Umgebung (z. B. im rheinhessischen Bergland). Gehören diese Anlagen unterschiedlichen Betreibern, greift der Data Act. Eine Nutzung dieser Daten erfordert dann beispielsweise eine vertragliche Grundlage. 

Behörden können Unternehmen unter bestimmten außergewöhnlichen Voraussetzungen, etwa bei Naturkatastrophen oder akuter Energieknappheit, verpflichten, bestimmte Daten herauszugeben. Voraussetzung ist, dass diese Daten dringend zur Bewältigung der Notlage benötigt werden und nicht anders beschaffbar sind. 

Bereitstellung und Ablehnungsfristen 

Die Daten sind grundsätzlich unverzüglich bereitzustellen. Um den Aufwand zu minimieren, sind technische, organisatorische und rechtliche Maßnahmen zu berücksichtigen. „Bereitstellen“ bedeutet nicht zwingend Übermittlung – eine sogenannte In-situ-Bereitstellung direkt am vernetzten Produkt genügt. 

Unternehmen können ein behördliches Datenverlangen ablehnen, müssen dies jedoch unverzüglich, spätestens innerhalb von fünf Arbeitstagen nach Eingang tun. In allen anderen Fällen außergewöhnlicher Notwendigkeit beträgt die Ablehnungsfrist 30 Arbeitstage. 

Um sogenannte „Lock-in-Effekte“ zu verhindern – also die Bindung an einen Anbieter, weil ein Wechsel zu kompliziert, zu teuer oder mit Datenverlust verbunden wäre -, verpflichtet der Data Act, Anbieter von Datenverarbeitungsdiensten, technische und vertragliche Hürden abzubauen. 

Der „Umzug“ eigener Daten von einem Cloud-Service zu einem anderen soll einfacher und unkomplizierter werden. Anbieter müssen den Wechsel innerhalb von maximal 30 Tagen ermöglichen. Vertragsklauseln, die einen Wechsel behindern, sind unwirksam. 

Der Data Act stärkt damit die Datensouveränität und ermöglicht die nahtlose Fortführung der eigenen Datenhistorie bei einem neuen Anbieter. 

Beispiel: Betreiber cloudbasierter Asset-Management- und SCADA-Software sollen künftig leichter den Anbieter wechseln können.

Ein zentrales Anliegen des Data Acts ist der Schutz von Geschäftsgeheimnissen und vertraulichen Informationen, insbesondere wenn Unternehmen verpflichtet werden, solche Daten an Nutzer oder Dritte weiterzugeben. Der Data Act erkennt dieses Schutzbedürfnis ausdrücklich an. 

Unternehmen, die Daten bereitstellen müssen, sind nicht verpflichtet, Geschäftsgeheimnisse oder vertrauliche Informationen preiszugeben, sofern keine angemessenen Schutzmaßnahmen getroffen werden (Art. 4 Abs. 6, Art. 8 Abs. 6). 

Das bedeutet: 

  • Der Datenempfänger muss geeignete Maßnahmen zum Schutz der erhaltenen Geschäftsgeheimnisse treffen. 
  • Es dürfen keine Daten weitergegeben werden, wenn dies mit einem unvertretbaren Risiko für die Preisgabe von Geschäftsgeheimnissen verbunden wäre. 

Die Parteien können vertraglich festlegen, wie Geschäftsgeheimnisse geschützt werden – etwa über: 

  • Vertraulichkeitsvereinbarungen (NDAs) 
  • Beschränkungen der Nutzung und Weitergabe 
  • Technische Zugriffsbeschränkungen 

Der Data Act sieht vor, dass Empfänger von Daten, die Geschäftsgeheimnisse enthalten, diese nicht für eigene Zwecke außerhalb der vereinbarten Nutzung verwenden dürfen. 

Wenn trotz aller Maßnahmen ein unvertretbares Risiko für die Offenlegung von Geschäftsgeheimnissen besteht, können Unternehmen die Herausgabe verweigern.

Befürchtet ein Windturbinen-Hersteller, dass durch die Herausgabe von Sensordaten an Betreiber oder Dritte sensible Informationen – etwa zu Algorithmen, Betriebsstrategien oder Wartungsprozessen – offengelegt werden, kann er Schutzmaßnahmen verlangen. Erst wenn diese vereinbart und umgesetzt sind, muss er die Daten bereitstellen. Kommt es dennoch zu einem unvertretbaren Risiko, kann die Herausgabe abgelehnt werden.

Der Data Act stellt einen Paradigmenwechsel dar. Er versucht, die enorme wirtschaftliche Kraft, die in den Daten des Internets der Dinge steckt, für alle nutzbar zu machen, während er gleichzeitig die Grundrechte des Datenschutzes wahren will. Dieses Spannungsfeld zwischen Öffnung und Schutz wird Hersteller und Anwender in den kommenden Jahren intensiv beschäftigen. 

Für Betreiber und Betriebsführer von Windenergieanlagen ist dies ein echter Gewinn: Kein Betteln mehr um Daten. Der Data Act liefert den rechtlichen Hebel zur Daten-Demokratisierung. 

Die entscheidende Frage für Unternehmen wird nun sein: Wie werden die Kompetenzen und die technische Infrastruktur aufgebaut, um aus dieser neuen Datenflut nicht nur Compliance-Pflichten, sondern echte Wettbewerbsvorteile zu generieren?

KI-KOMPETENZ

AI LITERACY – Eine Einführung in den Begriff und seine gesetzliche Verankerung im AI Act

  • Bereitstellung von Ressourcen (Personal, Infrastruktur, Technologie)
  • Sicherstellung der Kompetenz der Beschäftigten
  • Bewusstseinsbildung zur KI-Politik und individuellen Rollen

Ein Ansatz könnte in drei Kompetenzstufen liegen, bei denen zwischen Grundverständnis, fortgeschrittene Kenntnisse und toolspezifische Kompetenzen unterschieden wird.