Freier Datenverkehr von Unternehmen

Ein Rahmen für den freien Fluss nicht personenbezogener Daten in der EU
Mit einer Verordnung sollen Hindernisse beseitigt werden, die dem freien Datenverkehr von Unternehmen, öffentlichen Verwaltungen sowie Bürgern in der EU im Wege stehen

Mit der Verordnung über den freien Fluss nicht personenbezogener Daten schlägt die Kommission einen neuen Grundsatz vor, wonach Datenlokalisierungsanforderungen abgeschafft und den zuständigen Behörden Zugangsrechte zur ordnungspolitischen Kontrolle gewährt werden.

In Kombination mit den europäischen Vorschriften über den Schutz personenbezogener Daten, die mit der Datenschutz-Grundverordnung (DS-GVO) eingeführt wurden, schaffen die neuen Maßnahmen einen gemeinsamen europäischen Datenraum – ein wesentliches Element der Strategie für einen digitalen Binnenmarkt.

Was sind die wichtigsten Bestandteile des Vorschlags?
Mit der Verordnung sollen Hindernisse beseitigt werden, die dem freien Datenverkehr von Unternehmen, öffentlichen Verwaltungen sowie Bürgern in der EU im Wege stehen:

a) Sie fördert das reibungslose Funktionieren des Binnenmarktes, indem der freie Verkehr nicht personenbezogener Daten innerhalb der EU gewährleistet wird. Sie beseitigt ungerechtfertigte oder unverhältnismäßige nationale Vorschriften, die Unternehmen bei der Auswahl eines Standorts für die Speicherung oder Verarbeitung ihrer Daten behindern oder einschränken. Die Mitgliedstaaten müssen der Kommission neue oder bestehende Datenlokalisierungsanforderungen mitteilen.

b) Sie stellt sicher, dass die zuständigen Behörden Zugang zu Daten haben, die in einem anderen Mitgliedstaat gespeichert oder verarbeitet werden, damit sie ihren Aufgaben entsprechend ihrem ordnungspolitischen Auftrag nachkommen können, wie sie es auch bei in ihrem eigenen Hoheitsgebiet gespeicherten Daten tun.

c) Sie unterstützt die Entwicklung im Rahmen der Selbstregulierung auferlegter Verfahrenskodizes, um den Anbieterwechsel bei Cloud-Diensten zu erleichtern, beispielsweise durch Aufklärung der Nutzer über die Bedingungen, unter denen sie Daten außerhalb ihrer IT-Umgebungen übertragen können.

d) Sie schafft eine zentrale Anlaufstelle pro Mitgliedstaat, die mit den Anlaufstellen der anderen Mitgliedstaaten und der Kommission zusammenarbeitet, um für die wirksame Anwendung der neuen Vorschriften für den freien Fluss nicht personenbezogener Daten zu sorgen.

Warum müssen die Hindernisse für die Datenmobilität beseitigt werden?
Die datengestützte Innovation ist eine Grundvoraussetzung für Wachstum und Beschäftigung und kann die Wettbewerbsfähigkeit Europas auf dem globalen Markt erheblich steigern. Um den größtmöglichen Nutzen aus der Datenwirtschaft zu ziehen, ist es von wesentlicher Bedeutung, dass Daten über Grenzen hinweg fließen und über die nationalen Grenzen hinweg genutzt werden können.

Die Aufhebung der Datenlokalisierungsbeschränkungen gilt als der wichtigste Faktor, damit die Datenwirtschaft ihr volles Potenzial entfaltet und auf bis zu 739 Mrd. EUR im Jahr 2020 wächst, was einer Verdoppelung ihres Werts auf 4 Prozent des BIP entspräche.

Darüber hinaus würden durch die Abschaffung bestehender Datenlokalisierungsmaßnahmen die Kosten von Datendiensten sinken. Unternehmen wären bei der Gestaltung ihres Datenmanagements und ihrer Datenanalysen flexibler, wobei gleichzeitig ihre Anbieternutzung und ‑auswahl wachsen würde. Dies könnte zu einer Steigerung des BIP um bis zu 8 Mrd. EUR pro Jahr führen.

Was sind die gegenwärtigen Hindernisse für den freien Fluss nicht personenbezogener Daten?
Derzeit hindern Datenlokalisierungsbeschränkungen seitens der Behörden der Mitgliedstaaten und Hindernisse für den freien Datenverkehr zwischen IT-Systemen (Praktiken des sogenannten Vendor-lock-ins) Unternehmen und Organisationen in der EU daran, wirtschaftliche, soziale und geschäftliche Chancen zu nutzen. Durch einen Mangel an Rechtssicherheit und Vertrauen entstehen zusätzliche Hindernisse für den freien Fluss nicht personenbezogener Daten.

In der Praxis bedeutet dies, dass ein Unternehmen tatsächlich oder gefühlt nicht in der Lage ist, Cloud-Dienste in vollem Umfang zu nutzen, die kostengünstigste Standorte für IT-Ressourcen zu wählen, zwischen Dienstanbietern zu wechseln oder seine Daten zurück in Seine eigenen IT-Systeme zu übertragen. Nach dem Grundsatz des freien Flusses nicht personenbezogener Daten können Unternehmen die Dopplung ihrer Daten an mehreren Standorten vermeiden, neue Märkte mit mehr Selbstvertrauen erschließen und ihre Tätigkeiten leichter ausweiten.

Gibt es Beispiele für Datenlokalisierungbeschränkungen?
Die Kommission hat im Rahmen von Studien, Gesprächen mit Interessenträgern und mehreren öffentlichen Konsultationen zahlreiche Beschränkungen aufgrund von Datenlokalisierungsanforderungen im Zusammenhang mit der Speicherung oder Verarbeitung von Daten ausgemacht. Datenlokalisierungsbeschränkungen, die die Datenmobilität unmittelbar oder mittelbar begrenzen, treten in verschiedenen Formen und in unterschiedlichen Sektoren, z. B. im öffentlichen Sektor auf.

Zum Beispiel:
>> Aufsichtsbehörden raten Finanzdienstleistern an, ihre Daten im Inland zu speichern.
>> Vertraulichkeitsvorschriften (z. B. im Gesundheitssektor) sehen eine lokale Datenspeicherung und ‑verarbeitung vor.

Nach umfassenden Vorschriften müssen vom öffentlichen Sektor generierte Informationen – unabhängig von ihrer Vertraulichkeit – im Inland gespeichert werden.

Während Datenlokalisierungsbeschränkungen in bestimmten Zusammenhängen (z. B. öffentliche Sicherheit) gerechtfertigt und verhältnismäßig sein können, besteht eine Tendenz zu ungerechtfertigten Datenlokalisierungsbeschränkungen sowohl in Europa als auch weltweit. Dies beruht oftmals auf der irrigen Annahme, dass lokale Dienste grundsätzlich sicherer als grenzüberschreitende Dienste sind.

Warum beschränkt sich der Vorschlag auf nicht personenbezogene Daten?
Der neue Rahmen für den freien Verkehr nicht personenbezogener Daten ergänzt bereits bestehende Rechtsvorschriften für personenbezogene Daten, die am 25. Mai 2018 in Kraft treten werden. Neben einem hohen Schutzniveau für personenbezogene Daten sind in der Datenschutz-Grundverordnung (DS-GVO) auch die Freizügigkeit und Übertragbarkeit personenbezogener Daten innerhalb der EU bereits vorgesehen. Die Verarbeitung und Speicherung personenbezogener Daten fallen in ihren Geltungsbereich. Die Mitgliedstaaten dürfen keine Datenlokalisierungsbeschränkungen zum Schutz personenbezogener Daten auferlegen.

Der neue Rahmen für den freien Verkehr nicht personenbezogener Daten vermeidet Überschneidungen und gewährleistet die Kohärenz mit bestehenden Rechtsakten der EU. Mit ihm sollen für den freien Verkehr bei der Speicherung und Verarbeitung elektronischer Daten mit Ausnahme personenbezogener Daten EU-weit dieselben Vorschriften gelten. Zusammen mit der DS-GVO werden die neuen Maßnahmen für ein umfassendes und kohärentes Konzept beim freien Verkehr und der Übertragbarkeit von Daten in der EU sorgen.

Sind Datenflüsse zwischen der EU und Drittstaaten ebenfalls abgedeckt?
Nein, die Verordnung über einen Rahmen für den freien Fluss nicht personenbezogener Daten in der Europäischen Union erstreckt sich ausschließlich auf die Datenmobilität innerhalb der EU.

Wann werden die zuständigen Behörden Zugang zu Daten erhalten, die in einem anderen EU-Mitgliedstaat gespeichert sind?
Grundsätzlich darf die Speicherung oder sonstige Verarbeitung von Daten im Ausland nicht als Vorwand dienen, um den nationalen Regulierungsbehörden den Zugang zu Daten zu verweigern. Ein solcher Zugang wird in Fällen gewährt werden müssen, in denen eine nationale Regulierungsbehörde rechtlich befugt ist, den Zugang von einem bestimmten Dateninhaber einzufordern und soweit dies zur Wahrnehmung der amtlichen Pflichten der Regulierungsbehörde erforderlich ist.

Hat eine Regulierungsbehörde die Mittel erschöpft, um unmittelbar vom Dateninhaber Zugang zu den Daten zu erhalten, könnte sie einen bestimmten etablierten Mechanismus für die Zusammenarbeit nutzen, um einen anderen Mitgliedstaat um Unterstützung zu ersuchen. Findet kein bestimmter Mechanismus für die Zusammenarbeit Anwendung bzw. besteht kein solcher, sieht die Verordnung einen standardmäßigen Mechanismus für die Zusammenarbeit zwischen den zuständigen Behörden vor.

In welchen Fällen sind Dienstanbieter nicht verpflichtet, den Behörden eines anderen EU-Mitgliedstaats Daten zur Verfügung zu stellen?
Ein Mitgliedstaat, der von der Regulierungsbehörde eines anderen Mitgliedstaats um Hilfe ersucht wurde, um Zugang zu Daten zu erhalten, kann dieses Ersuchen nur ablehnen, wenn dies im Widerspruch zu seiner öffentlichen Ordnung stünde. Die Dienstanbieter kommen weiterhin in den Genuss aller geltenden Verfahrensrechte und gesetzlich vorgesehenen Verfahrensgarantien, einschließlich des Rechts auf einen wirksamen Rechtsbehelf und einer gegebenenfalls erforderlichen vorherigen richterlichen Genehmigung für den Zugang zu den Räumlichkeiten.

Wie wird die Kommission Verhaltenskodizes zur Erleichterung der Anbieterwechsels fördern?
Die Kommission wird die Entwicklung im Rahmen der Selbstregulierung auferlegter Verfahrenskodizes unterstützen und fördern, um den Anbieterwechsel zu erleichtern und um dafür zu sorgen, dass diese Anbieter den gewerblichen Nutzern vor Abschluss des Vertrags über die Datenspeicherung und -verarbeitung ausreichend genaue, klare und transparente Informationen zu den geltenden Regeln und Bedingungen bereitstellen.

Verschiedene Aspekte der Prozesse, technischen Anforderungen, zeitlichen Abläufe und Kosten, die bei einem Anbieterwechsel entstehen können, sollten berücksichtigt werden. Dies kann auch die Prozesse und den Standort etwaiger Daten-Backups, verfügbare Datenformate und ‑träger, die erforderliche IT-Konfiguration und Minimal-Bandbreite des Netzes umfassen. Auch der erforderliche Zeitraum, bevor der Übertragungsprozess eingeleitet werden kann, sowie der Zeitraum, in dem die Daten für die Übertragung verfügbar bleiben, und Garantien für den Datenzugang im Falle der Insolvenz des Anbieters sind in Betracht zu ziehen.

Die Kommission wird dafür Sorge tragen, dass die Anbieter die einschlägigen Verhaltenskodizes innerhalb eines Jahres nach dem Beginn der Anwendung der Verordnung wirksam umsetzen. Die Kommission wird ferner prüfen, ob die Anbieter die Transparenzanforderungen einhalten. Sollte die Kommission Mängel bei der Einhaltung feststellen, so kann sie zusätzliche Maßnahmen vorschlagen.

Welche Auswirkungen auf die Datensicherheit sind zu erwarten?
In der neuen Verordnung wird klargestellt, dass alle derzeit für Unternehmen und öffentliche Verwaltungen gültigen Sicherheitsanforderungen auch weiterhin gelten, wenn diese sich für die Datenspeicherung oder -verarbeitung in einem anderen Mitgliedstaat bzw. für die Nutzung von Cloud-Diensten entscheiden. Daher wird die Aufmerksamkeit der Unternehmen durch die Verordnung verstärkt auf ihre Verantwortung für die Sicherheit bei der Datenspeicherung und ‑verarbeitung im grenzüberschreitenden Kontext gelenkt.

Die neuen Maßnahmen stützen sich auf die Umsetzungsmechanismen gemäß der Richtlinie über die Sicherheit von Netz- und Informationssystemen, um die Widerstandsfähigkeit gegenüber Cyberangriffen bei der grenzüberschreitenden Speicherung und sonstigen Verarbeitung von Daten zu stärken. Zusammen mit diesem Entwurf einer Verordnung hat die Kommission vorgeschlagen, die Reaktionsfähigkeit der EU auf Cyberattacken zu verbessern, und hat einen neuen Rahmen für die Cybersicherheit vorgelegt, um Cyberbedrohungen besser vorauszusehen, darauf zu reagieren und diese abzuwehren. Außerdem hat sie einen neuen europäischen Rahmen für die Cybersicherheitszertifizierung vorgeschlagen, um Angebot und Nachfrage für grenzüberschreitende Cloud- und andere Dienste zu stimulieren und das System viel transparenter und effizienter zu gestalten.

Wie wird sich diese Verordnung auf die Bürgerinnen und Bürger der EU auswirken?
Die Verordnung über den freien Fluss nicht personenbezogener Daten gilt für andere Daten als personenbezogene Daten. Aus diesem Grund wirkt sie sich vor allem auf Unternehmen und gewerbliche Nutzer von Diensten zur Speicherung oder sonstigen Verarbeitung von Daten bzw. Einzelpersonen in einer beruflichen Funktion aus. Die Verordnung über den freien Fluss nicht personenbezogener Daten gehört zu einer Reihe von Vorschlägen im Rahmen der Strategie für einen digitalen Binnenmarkt. Andere Vorschläge können die Bürgerinnen und Bürger unmittelbarer betreffen.

Zum Beispiel werden durch das Vertragsrecht für die Bereitstellung digitaler Inhalte die Verbraucherrechte bei der Kündigung von Verträgen mit Anbietern digitaler Inhalte, beispielsweise Anbietern von Cloud-Diensten, oder bei der Wiedererlangung personenbezogener Daten, die von Anbietern digitaler Inhalte verarbeitet werden, gestärkt. Zur Vermeidung von Überschneidungen mit diesen und anderen EU-Instrumenten gilt die Verordnung über den freien Fluss nicht personenbezogener Daten nicht unmittelbar für die Bürgerinnen und Bürger. Allerdings dürften die Bürgerinnen und Bürger durch einen wettbewerbsfähigeren und offeneren Binnenmarkt für Datenspeicherungs- und -verarbeitungsdienste in der EU indirekt von dieser Verordnung profitieren.

Was hat die Kommission unternommen, um die EU-Datenwirtschaft zu fördern?
Im Jahr 2014 schlug die Kommission in der Mitteilung "Für eine florierende datengesteuerte Wirtschaft" Maßnahmen vor, um den Übergang zu einer datengesteuerten Wirtschaft zu beschleunigen, insbesondere durch die Entwicklung eines EU-weiten Datenökosystems und die Förderung datengesteuerter Innovation. Auch die Beseitigung von Hindernissen für den freien Fluss nicht personenbezogener Daten ist eine der wichtigsten in der Halbzeitüberprüfung der Strategie für einen digitalen Binnenmarkt angekündigten Maßnahmen.

Dieser Vorschlag ergänzt die Maßnahmen zum Aufbau einer europäischen Datenwirtschaft, die im Januar 2017 eingeleitet wurden und mit denen die Kommission die bestmögliche Nutzung des Potenzials digitaler Daten zum Vorteil der Wirtschaft und der Gesellschaft vorantreiben will. Es werden die Hindernisse für den freien Datenverkehr sowie weitere, neu entstehende Herausforderungen für die europäische Datenwirtschaft bewertet.

Der Vorschlag baut außerdem auf dem Paket zur Digitalisierung der europäischen Industrie vom April 2016 auf, zu dem auch die Europäische Cloud-Initiative für eine Lösung zur Speicherung, gemeinsamen Nutzung und Weiterverwendung wissenschaftlicher Daten mittels einer Hochleistungscloud gehört. Er stützt sich ferner auf die Überarbeitung des Europäischen Interoperabilitätsrahmens, deren Ziel es ist, die digitale Zusammenarbeit zwischen öffentlichen Verwaltungen in Europa zu verbessern.

Die Nutzung der digitalen Möglichkeiten, einschließlich des Einsatzes datengesteuerter Technologien und Dienste, zählt auch zu den Zielen der gestern vorgestellten ganzheitlichen Strategie für die Industriepolitik.

Welche zusätzlichen Maßnahmen prüft die Kommission?
Von Januar bis April 2017 führte die Kommission eine öffentliche Konsultation zum Aufbau einer europäischen Datenwirtschaft durch, um Meinungen der Interessenträger zu aufkommenden Fragen im Bereich der Datenwirtschaft einzuholen, z. B. zum Zugang zu nicht personenbezogenen Daten zwischen Unternehmen und zu neuen Technologien wie dem Internet der Dinge, fortschrittlicher Robotik und autonomen Systemen. Begleitend zur Verordnung über den freien Fluss nicht personenbezogener Daten wurde jetzt ein vollständiger Bericht veröffentlicht.

Im Hinblick auf den Zugang zu Daten zwischen Unternehmen sind zahlreiche Interessenträger für den Ausbau der gemeinsamen Datennutzung. Die meisten Interessenträger sind der Ansicht, dass der Rechtsrahmen zum jetzigen Zeitpunkt nicht geändert werden sollte, und bevorzugen nichtregulatorische Maßnahmen. Die Europäische Kommission prüft derzeit, wie diese Ergebnisse in die Praxis umzusetzen sind. In Bezug auf die Herausforderungen im Zusammenhang mit der Haftung bei neuen Technologien wird die Kommission weiter Erkenntnisse zusammentragen und zusätzliche Untersuchungen durchführen, ehe sie Maßnahmen angekündigt.
(Europäische Kommission: ra)

eingetragen: 23.09.17
Home & Newsletterlauf: 24.10.17

Meldungen: Europäische Kommission