Verordnung (EU) 2023/2854 (Data Act): Das musst du als Onlinehändler wissen

Die Europäische Union entwickelt ihre Datenstrategie kontinuierlich weiter, um Innovation und fairen Wettbewerb im digitalen Binnenmarkt zu fördern. Ein zentrales Element dieser Strategie ist die Verordnung (EU) 2023/2854, besser bekannt als Data Act. Diese Verordnung schafft einheitliche Regeln für den Zugang zu und die Nutzung von Daten in der EU. In diesem Beitrag erfährst du, was hinter dem Data Act steckt, welche Verpflichtungen er mit sich bringt und worauf du als Onlinehändler besonders achten solltest.

1. Hintergrund und Ziel des Data Act

Mit dem Data Act verfolgt die EU das Ziel, ein gerechtes, transparentes und innovatives Daten-Ökosystem zu schaffen. Im Kern geht es darum, den Wert von Daten besser nutzbar zu machen und gleichzeitig die Rechte aller Beteiligten – Unternehmen wie Verbraucher – zu wahren. Folgende Aspekte stehen dabei im Vordergrund:

1. Erleichterter Datenaustausch zwischen Unternehmen (B2B) und zwischen Unternehmen und Behörden (B2G)
2. Verhinderung von Monopolstellungen einzelner Plattformen oder Dateninhaber
3. Transparente Regeln für die Nutzung und Weitergabe von Daten, insbesondere bei vernetzten Produkten und IoT-Geräten
4. Wahrung der Interessen der Verbraucher und Schutz ihrer Daten

Obwohl der Data Act hauptsächlich den Umgang mit Nicht-Personendaten (z. B. Maschinendaten, IoT-Daten) regelt, kann es Überschneidungen mit anderen EU-Vorschriften geben – etwa mit der Datenschutz-Grundverordnung (DSGVO), wenn Daten doch personenbezogen werden können.

2. Anwendungsbereich: Wen betrifft der Data Act?

Grundsätzlich richtet sich der Data Act an:

• Hersteller und Anbieter vernetzter Produkte und zugehöriger Dienstleistungen (z. B. IoT-Gerätehersteller, Software-Anbieter)
• Unternehmen, die Daten nutzen, sammeln oder weiterverarbeiten, darunter auch Onlinehändler, die Daten aus ihren digitalen Geschäftsprozessen erheben
• Öffentliche Stellen, die im Rahmen von B2G-Regelungen Daten anfordern können (z. B. in Krisensituationen)

Auch wenn du als Onlinehändler auf den ersten Blick nicht an die Verarbeitung großer Mengen von IoT-Daten denkst, können diverse Geschäftsbereiche vom Data Act betroffen sein:

• Du nutzt vielleicht Tracking-Tools oder Analysefunktionen für dein Warenwirtschaftssystem.
• Du verkaufst vernetzte Produkte, sei es Smart-Home-Equipment oder Wearables.
• Du tauscht Daten mit Logistik- oder Payment-Dienstleistern aus.

In all diesen Fällen können die Bestimmungen des Data Act für dich relevant sein.

3. Zentrale Verpflichtungen im Überblick

3.1 Fairer Zugang und Datenteilung (B2B und B2G)

• Fairer B2B-Zugang: Unternehmen, die Daten sammeln oder kontrollieren (z. B. durch vernetzte Produkte oder Plattformen), sind verpflichtet, diese Daten zu fairen, angemessenen und diskriminierungsfreien Bedingungen mit anderen Unternehmen zu teilen.
• B2G-Zugang: In bestimmten Fällen, etwa bei Notlagen oder im öffentlichen Interesse, können Behörden Daten von Unternehmen anfordern. Dafür gelten im Data Act klare Rahmenbedingungen, damit keine Geschäftsgeheimnisse unangemessen offengelegt werden müssen.

3.2 Vertragsklauseln und Transparenz

• Vertragliche Mindeststandards: Der Data Act legt fest, dass Verträge zum Datenaustausch klare Bedingungen enthalten müssen – beispielsweise zu Preisen, Nutzungsrechten und Haftung. Einseitige Klauseln, die kleinere Marktteilnehmer benachteiligen, sollen verhindert werden.
• Transparenzanforderungen: Du musst offenlegen, welche Daten erhoben und wie sie verarbeitet werden, vor allem, wenn vernetzte Produkte im Spiel sind (z. B. Smart Devices, Wearables). Deine Kunden sollen in verständlicher Form nachvollziehen können, welche Datennutzung stattfindet.

3.3 Schutz von Geschäftsgeheimnissen

• Wahrung vertraulicher Informationen: Gerade für innovative Geschäftsideen ist es wichtig, dass nicht sämtliche Daten „frei“ zur Verfügung stehen. Der Data Act berücksichtigt das, indem er vorschreibt, dass bei jeglicher Datenteilung angemessene Maßnahmen zum Schutz von Geschäftsgeheimnissen einzuhalten sind.
• Verhältnismäßigkeit: Behörden oder Dritte dürfen nur die Daten erhalten, die notwendig sind, um einen konkreten Zweck zu erfüllen. Eine umfassende Einsicht in alle Firmendaten ist nicht gestattet.

3.4 Wechsel des Dienstleisters

• Portabilität: Ein zentrales Anliegen des Data Act ist es, Lock-in-Effekte zu verringern. Wenn du beispielsweise Cloud-Dienste für deinen Online-Shop nutzt, sollst du leichter zu einem anderen Anbieter wechseln können, ohne den Zugriff auf deine Daten zu verlieren.
• Keine unzumutbaren Vertragsstrafen: Anbieter dürfen keine überhöhten Gebühren oder komplizierten vertraglichen Hürden setzen, um den Wechsel zu erschweren.

4. Was bedeutet das konkret für dich als Onlinehändler?

1. Überprüfe deine Datenströme
   Analysiere, welche Daten in deinem Geschäftsmodell anfallen – von Kundendaten (z. B. Bestell- und Zahlungsinformationen) über Produktdaten (z. B. Lagerbestände, Verkaufshistorie) bis hin zu Daten von Smart Devices, falls du solche anbietest.
2. Transparente Kommunikation
   Stell sicher, dass du klar dokumentierst und kommunizierst, welche Daten du zu welchem Zweck nutzt. Das gilt sowohl gegenüber deinen Kunden als auch gegenüber möglichen Geschäftspartnern.
3. Verträge mit Dienstleistern anpassen
   Prüfe deine bestehenden Verträge auf Klauseln zum Datenaustausch. Enthalten sie Regelungen, die den Prinzipien des Data Act widersprechen (z. B. ausbeuterische Klauseln, einseitige Haftungsüberwälzung)? Gegebenenfalls solltest du Vertragsanpassungen vornehmen.
4. Sicherheits- und Geheimnisschutz
   Implementiere oder überprüfe bestehende Maßnahmen zum Schutz von Geschäftsgeheimnissen. Du musst in der Lage sein, genau zu definieren, welche Daten öffentlich oder an Dritte weitergegeben werden dürfen – und welche vertraulich bleiben.
5. Dataportabilität
   Wenn du Cloud-Services oder andere Software-Lösungen verwendest, überprüfe, wie einfach oder schwierig ein Wechsel zu einem anderen Anbieter wäre. Der Data Act stärkt deine Rechte in diesem Bereich, sodass du mehr Freiräume hast.

5. Umsetzung und Sanktionen

• Umsetzungsfrist
  Da es sich um eine EU-Verordnung handelt, gilt der Data Act ab dem im Text festgelegten Stichtag unmittelbar in allen EU-Mitgliedstaaten. Es bedarf keiner weiteren nationalen Umsetzung. Prüfe deshalb rechtzeitig, bis wann du deine Prozesse in Einklang bringen musst.
• Bußgelder
  Wenn du die Vorgaben missachtest, kannst du mit erheblichen Sanktionen rechnen. Die konkrete Höhe der Bußgelder kann von Land zu Land unterschiedlich ausfallen, da nationale Aufsichtsbehörden zuständig sind.
• Kontrolle und Durchsetzung
  In Deutschland werden voraussichtlich Behörden wie das Bundeskartellamt oder bestimmte Landesbehörden für die Überwachung zuständig sein. Je nach Regelungsbereich (z. B. Datenschutz) kann auch die Datenschutzaufsicht (DSK) involviert sein.

6. Praxistipps, um vorbereitet zu sein

1. Mach einen Daten-Audit
   Inventarisiere alle Daten, die bei dir anfallen, und ordne sie Kategorien (z. B. Kundendaten, Transaktionsdaten, Maschinendaten) zu. So siehst du auf einen Blick, wer in deinem Unternehmen Zugriff auf welche Daten hat.
2. Rechtliche Beratung
   Hol dir im Zweifel professionelle Unterstützung, etwa durch IT- und Datenschutz-Fachanwälte. Gerade bei komplexen Datenströmen lohnt sich ein genauer Blick auf mögliche Verpflichtungen.
3. Interne Schulungen
   Deine Mitarbeiter sollten verstehen, welche neuen Anforderungen der Data Act mit sich bringt – insbesondere Teams aus IT, Produktmanagement, Logistik und Kundenservice.
4. Prozesse neu aufsetzen
   Überdenke deine Prozesse für die Datennutzung und den Datenaustausch. Stell sicher, dass du Daten nachweislich löschen oder pseudonymisieren kannst, falls sich das aus dem Data Act (oder der DSGVO) ergibt.
5. Vernetzung mit Branchenverbänden
   Oft bieten Verbände wie der Bundesverband E-Commerce oder der Handelsverband Deutschland Leitfäden und Webinare an. Dort bekommst du konkrete Handlungsempfehlungen und Hilfestellungen.

7. Fazit

Der Data Act (EU) 2023/2854 ist ein wichtiger Meilenstein in der europäischen Datenpolitik und betrifft längst nicht nur Tech-Giganten, sondern auch dich als Onlinehändler. Sei dir bewusst, welche Daten in deinen Prozessen anfallen, und stelle sicher, dass du die neuen Regeln zu Transparenz, fairer Datennutzung und Datenteilung einhältst. Zwar liegt der Fokus auf Nicht-Personendaten, doch in der Praxis lässt sich das selten strikt von personenbezogenen Informationen trennen – eine gute Compliance-Strategie berücksichtigt deshalb auch die Vorgaben aus der DSGVO.

Das Wichtigste ist, sich frühzeitig mit den neuen Pflichten auseinanderzusetzen, um Abmahnungen, Bußgeldern und Image-Schäden vorzubeugen. Mit einer sorgfältigen Dateninventur, angepassten Verträgen und transparenten Prozessen machst du deinen Online-Shop fit für die Zukunft und nutzt gleichzeitig das Potenzial, das Daten für dein Geschäft mit sich bringen.

Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine individuelle Rechtsberatung.