EU Data Act: Praxisleitfaden Teil 2 – Praxistipps zu Datennutzungsverträgen

Vertragliche Absicherung der Datennutzung

Der Data Act schafft umfassende Verpflichtungen und Herausforderungen für Anbieter vernetzter Produkte und verbundener Dienste.

Dieser Teil unseres fünfteiligen Leitfadens zeigt konkret, was der Dateninhaber mit den Daten tun darf – und was nicht.

Er erklärt die wichtigen Regelungen, ihre praktischen Auswirkungen und gibt praxisnahe Tipps zur rechtssicheren Gestaltung von Datennutzungsverträgen.

Business sichern, Risiken minimieren, Chancen nutzen.

Sie können auch hier klicken, um die Präsentation als PDF-Datei herunterladen.

1. Zustimmungserfordernis nach Artikel 4 Absatz 13 Data Act

Seit dem 12. September 2025 dürfen Dateninhaber Produktdaten und verbundene Dienstdaten nur mit vertraglicher Zustimmung des Nutzers für eigene Zwecke nutzen.

• Erfasste Daten: Das Zustimmungserfordernis gilt nur für Produktdaten und verbundene Dienstdaten.
• Nicht erfasste Daten: Das Zustimmungserfordernis gilt nicht für veredelte Daten oder Personendaten.
• Implizite Vereinbarung: Die Nutzung der Daten zur Erbringung der Leistung an den Nutzer ist bereits implizit vereinbart.

2. Was sind “eigene Zwecke”?

Alle Zwecke, die über die Erbringung der Leistung hinausgehen, gelten als eigene Zwecke und erfordern eine vertragliche Vereinbarung:

• Produktverbesserung und Produktentwicklung: Dies umfasst die Verbesserung eigener Produkte und Dienste sowie die Entwicklung neuer Produkte und Dienste.
• Optimierung, Qualitätsmanagement und Wartung: Dazu gehören Predictive Maintenance, Fehleranalyse, Debugging und Garantie-Monitoring.
• Analyse, Aggregation, Veredelung und Datenhandel: Dies beinhaltet die Zusammenführung, Auswertung, Aufbereitung von Daten sowie deren Handel.
• KI-Training: Die Verwendung der Daten zum Training von KI-Systemen und Algorithmen fällt ebenfalls unter eigene Zwecke.

3. Kein Kopplungsverbot – aber Grenzen

Zulässige Koppelung: Für einen Datennutzungsvertrag gilt kein Kopplungsverbot. Der Dateninhaber darf den Verkauf oder die Nutzung eines Produkts oder Dienstes davon abhängig machen, dass der Nutzer weitreichende Datennutzungsrechte einräumt.

Praxistipp: Anbieter sollten die Zustimmung zu Nutzungsrechten direkt bei Registrierung im Nutzerportal oder in der App nachweisbar einholen.

Wichtige Einschränkungen: Es gibt jedoch klare Grenzen für diese Koppelung. Klauseln dürfen nicht missbräuchlich sein gemäß Artikel 13 des Data Act. Das Transparenzgebot verlangt, dass Verwendungszwecke klar benannt werden. Zudem schützt der Wettbewerbsschutz vor wirtschaftlicher Ausspähung des Nutzers oder Einschränkung der Datennutzung des Nutzers.

4. Gesetzliche Einschränkungen

Der Data Act sieht gesetzliche Einschränkungen oder Verbote für die Nutzung vor:

1. Wirtschaftliche Ausspähung des Nutzers verboten: Der Dateninhaber darf Nutzerdaten nicht verwenden, um Einblicke in die Geschäftslage, Vermögenswerte oder Produktionsmethoden des Nutzers zu gewinnen, die diesem wirtschaftlich schaden könnten.
2. Schutz der Nutzerinteressen: Die Eigennutzung durch den Dateninhaber darf die wirtschaftliche Nutzung der Daten durch den Nutzer selbst nicht behindern. Es darf keine Exklusivität für den Hersteller geben und keine Untersagung der Weitergabe der Daten durch den Nutzer.

5. Weitergabe an Dritte

Die Weitergabe von Daten an Dritte durch den Dateninhaber zu eigenen Zwecken muss explizit im Vertrag mit dem Nutzer festgehalten werden. Der Dateninhaber muss im Vertrag mit den Dritten dafür sorgen, dass der Dritte denselben Beschränkungen unterliegt.

• Vertrag mit Nutzer: Eine explizite Weitergabe-Erlaubnis an Dritte ist erforderlich.
• Zweckbindung: Die Durchreichung der Pflichten an Dritte muss sichergestellt werden.

Herausforderung: Bei der Einhaltung der Zweckbindung bei Cloud- oder SaaS-Anbietern gibt es besondere Herausforderungen, da diese oft Allgemeine Geschäftsbedingungen mit Eigennutzungsrechten haben.

Achtung: Cloud- oder SaaS-Anbieter haben oft Allgemeine Geschäftsbedingungen, die eine Eigennutzung der Daten zum Beispiel zur Verbesserung ihrer KI vorsehen. Dies kann im Konflikt mit der Vereinbarung mit dem Nutzer stehen.

6. Zeitliche Geltung und Bestandsgeräte

• 12. September 2025: Mit Inkrafttreten gelten die Regeln für alle Daten, die seit diesem Datum generiert werden.
• Bestandsgeräte: Auch Produkte, die vor diesem Datum verkauft wurden, sind betroffen.
• Neue Verträge nötig: Mit bestehenden Nutzern müssen neue vertragliche Grundlagen geschaffen werden.

Unbekannte Nutzer: Laut EU-Kommission darf die Datenverarbeitung bei unbekannten Nutzern fortgesetzt werden.

Bekannte Nutzer: Sobald der Nutzer bekannt wird, muss die Vereinbarung nachgeholt werden.

Praxistipp: User Account und In-App-Zustimmungen nutzen

Nutzen Sie User Account, In-App-Zustimmungen oder Firmware-Update-Bestätigungen als Mechanismus, um die erforderliche vertragliche Einigung nach Artikel 4 Absatz 13 rechtssicher einzuholen – auch bei bestehenden Nutzern.

1. Integration: Bauen Sie einen Zustimmungsdialog in User Account, In-App oder Update-Prozess ein.
2. Transparenz: Stellen Sie eine klare Darstellung der Nutzungszwecke sicher.
3. Dokumentation: Sorgen Sie für eine rechtssichere Speicherung der Zustimmung.

7. Praxistipp: Veredelung als “Safe Harbor”

Die für Dateninhaber kritischsten Pflichten gelten nicht für “veredelte” Daten, die das Ergebnis erheblicher Investitionen mit proprietären Algorithmen oder Know-How sind.

• Zustimmungsfreiheit: Für die Nutzung veredelter Daten ist keine vertragliche Zustimmung des Nutzers nach Artikel 4 Absatz 13 erforderlich.
• Schutz vor Konkurrenz: Veredelte Daten müssen nicht an Dritte wie beispielsweise konkurrierende Wartungsanbieter herausgegeben werden.
• Flexibilität: Die strenge Zweckbindung des Data Acts entfällt bei der Weitergabe veredelter Daten an selbst gewählte Partner.

8. Transparenzpflichten, Inhalte und Praxistipps zu Datennutzungsverträgen

Der Data Act legt hohe Anforderungen an die Transparenz und Inhalte von Datennutzungsverträgen fest.

9. Vorvertragliche Informationspflichten

Vor Vertragsschluss müssen dem Nutzer umfassende Informationen über Datenzugang und -nutzung bereitgestellt werden. Die Anforderungen unterscheiden sich für vernetzte Produkte und verbundene Dienste.

1. Vernetzte Produkte (Artikel 3 Absatz 2):
   
   • Verpflichtet ist jeder in der Vertriebskette
   • Inhalt: Informationen über abrufbare Daten und Zugangsmöglichkeiten, konkrete Nutzungszwecke und Weitergabe an Dritte
   • Zeitpunkt: Vor Vertragsschluss
2. Verbundene Dienste (Artikel 3 Absatz 3): Hier sind ausführlichere Informationen erforderlich über die Identität des Anbieters (Dateninhaber), generierte oder gesammelte Daten, Zugriffsmöglichkeiten für Nutzer und Weitergabe an Dritte (nur innerhalb der EU).

Praxistipp: Bei mehreren Nutzern wie beispielsweise Leasinggeber und -nehmer muss jeder einzeln informiert werden!

10. Transparenzpflicht im Detail

Vertragsklauseln zur Datennutzung müssen die beabsichtigten Verwendungszwecke der Produktdaten und verbundenen Dienstdaten inklusive Metadaten für den Nutzer klar und transparent benennen.

1. Verbesserung und Entwicklung neuer Produkte und Dienste: Es ist eine konkrete Beschreibung geplanter Innovationen erforderlich.
2. Aggregation, Analyse und Veredelung, Datenhandel: Die Zusammenführung, Auswertung und Aufbereitung von Datenbeständen muss klar beschrieben werden.
3. Optimierung, Qualitätsmanagement und Wartung: Fehleranalyse, Debugging, Qualitätssicherung und Garantie-Monitoring müssen transparent dargestellt werden.
4. KI-Training mit Daten: Die Verwendung der Daten zum Training von KI-Modellen und Algorithmen muss explizit benannt werden.

11. Praxistipp: Vertragsklauseln

Praktische Empfehlungen für Dateninhaber zur Umsetzung der Vorgaben in Datennutzungsverträgen:

• Klare Nutzerinformationen: Erstellen Sie Nutzerinformationen ähnlich einer Datenschutzerklärung, die über Datenkategorien, Erfassungsarten und konkrete Nutzungszwecke inklusive Weitergabe an Dritte informieren.
• Definition der lizenzierten Daten: Beziehen Sie auch zukünftige Daten mit ein durch die Definition von wichtigen Datenquellen und Sensoren.
• Definition von “veredelten Daten”: Definieren Sie im Vertrag präzise, welche Daten als “veredelt” gelten.
• Ausdrückliche und weite Nutzungsrechte: Sichern Sie sich ausdrücklich Nutzungsrechte über Artikel 4 Absatz 13 hinaus und formulieren Sie eher zu viele als zu wenig Zwecke.
• Umfassende Zweckbeschreibung: Verwenden Sie eine “modulare Zweckbindung” mit Kernzwecken und Erweiterungsoptionen.

Weitere praktische Empfehlungen für Dateninhaber zur Umsetzung der Vorgaben in Datennutzungsverträgen:

• Bei Herausgabe geschuldete Datenqualität regeln: Regeln Sie die spezifizierte Qualität. “Ist-Zustand”-Klauseln könnten nach Artikel 13 Absatz 5 Data Act missbräuchlich sein.
• Vertraulichkeitsvereinbarungen für Geschäftsgeheimnisse mit Vertragsstrafen: Verpflichten Sie Nutzer und Dritte Datenempfänger zur Respektierung von Geschäftsgeheimnissen mit Vertragsstrafen bei Zuwiderhandlung.
• Vorrangklausel vor Geheimhaltung: Nutzungsrechte des Dateninhabers sollten Standard-Geheimhaltungsklauseln im Kollisionsfall ausdrücklich vorgehen.
• Data Processing Agreements (DPA) mit Cloud und SaaS Anbietern prüfen: Prüfen Sie, ob diese mit den Nutzungseinschränkungen aus Artikel 4 Absatz 13 konform sind.
• Kartellrecht (Artikel 101 AEUV) beachten! Die Datenherausgabe, die einen Informationsaustausch darstellt, kann mit Konkurrenz nach Kartellrecht ein bußgeldbewehrtes Verbot darstellen.

12. Dringende To-Dos

1. Sofortiger Vertrags-Audit: Prüfen Sie alle Allgemeinen Geschäftsbedingungen, Kauf- und Serviceverträge sofort auf Nutzungsrechte und Geheimhaltungsklauseln. Ohne explizite Klauseln haben Dateninhaber seit dem 12. September 2025 de facto keine Nutzungsrechte mehr.
2. Transparenz implementieren: Stellen Sie klare Nutzerinformationen über Daten und Nutzungszwecke inklusive Weitergabe an Dritte bereit.
3. Implementierung von Zustimmungsmechanismen: Nutzen Sie User Account, In-App-Dialoge oder Update-Prozesse für die rechtssichere Einholung der Zustimmung.
4. Nutzungsrechte durch Vertragsupdates sichern: Sichern Sie zukunftsfähige weite Nutzungsrechte über Vertragsänderungen.
5. Veredelungsstrategie umsetzen: Identifizieren Sie alle wichtigen Daten und veredeln Sie diese nachweisbar mit Investitionen.
6. Vertragskette sichern: Stellen Sie die Weitergabe vertraglicher Nutzungsrechte und Beschränkungen in der Vertragskette sicher.
7. Technisches Rechtemanagement und Datenflüsse: Implementieren Sie Rechtemanagement-Systeme für konforme Datenflüsse.

Fortsetzung folgt: Ihr Weg durch die Data-Act-Transformation

Die kommenden Teile dieses Leitfadens beleuchten entscheidende Details und Praxistipps für die erfolgreiche Umsetzung des Data Act.

Teil 3: Unfaire Klauseln behandelt die Erkennung und Anpassung unwirksamer Vertragsbedingungen.

Teil 4: Datenzugangsansprüche gibt Praxistipps zu Access-by-Design, Datenzugang für Nutzer und Herausgabe an Dritte sowie zum Schutz Ihrer wertvollen Assets.

Teil 5: Wechsel von Datenverarbeitungsdiensten präsentiert vertragliche, operative und kommerzielle Lösungen beim Anbieterwechsel.

Bleiben Sie dran!