Data Act

Der Nutzer kann die Bereitstellung von sog. „ohne weiteres verfügbaren Daten“ (engl. „readily availabla data“) verlangen (s. auch Frage 9). Dabei handelt es sich nicht um beliebige Daten, sondern nur um Produktdaten oder verbundene Dienstdaten, jeweils einschließlich der für die Interpretation erforderlichen Metadaten.

Der Begriff „ohne weiteres verfügbar“ hat mehrere Implikationen:

• Erfasst sind nur Daten, die der Dateninhaber ohne unverhältnismäßigen Aufwand rechtmäßig vom vernetzten Produkt oder verbundenen Dienst erhält oder erhalten kann. [Art. 2 Abs. 17 DA] Welche Arten von Daten das sind, bestimmt das Design des Produkts bzw. Dienstes. Der Hersteller hat keine Pflicht, bestimmte Daten als auslesbar zu gestalten. Im Wesentlichen kann er also durch seine Design-Entscheidungen bestimmen, welche Daten überhaupt zugänglich sein sollen. Verlassen Daten nicht die Komponente, in der sie generiert werden, sind sie auch nicht ohne weiteres verfügbar. [Erwägungsgrund 20 DA] Nur wenn Daten bestimmungsgemäß generell aus dem Produkt erhalten werden können (z.B. um sie in einer zentralen CPU zu speichern oder in ein zentrales Rechenzentrum des Dateninhabers zu übertragen), sind solche Daten ohne weiteres verfügbar. Es besteht also nach dem Data Act keine Pflicht zur Speicherung von Produktdaten und verbundenen Dienstdaten auf einer zentralen Rechnereinheit. [Erwägungsgrund 20 DA]
• Zum anderen sind nur Daten „ohne weiteres verfügbar“, die allenfalls ein geringes Maß an Bearbeitung aufweisen:
  • Die Rohdaten, also die vom vernetzten Produkt oder dem verbundenen Dienst unmittelbar und unbearbeitet gewonnenen Daten gehören zu den ohne weiteres verfügbaren Daten.
  • Auch ein gewisses Maß an Vorverarbeitung schadet nicht. Zu solchen vorverarbeiteten (pre-processed) Daten gehört es z.B., wenn Messdaten schon als eine bestimmte Temperatur, bestimmte Koordinaten, bestimmter Druck etc. interpretiert werden. Dabei darf es sich aber nur um eine einfache Bearbeitung handeln. [Art. 2 Nr. 17 DA]

Nicht mehr ohne weiteres verfügbare Daten liegen vor, wenn die Daten interpretiert oder durch Algorithmen manipuliert und ausgewertet werden (z.B. wenn die Ergebnisse verschiedener Sensoren eines automatisiert fahrenden Fahrzeugs zu einem Rundum-Bild der Umgebung zusammengeführt und ausgewertet werden, sog. Sensorfusion). Auf solche Auswertungen besteht kein Anspruch.

Fraglich ist, wie lange der Dateninhaber die Daten vorhalten muss. Die Erwägungsgründe legen nahe, dass dies nur für eine „angemessene“ Zeit der Fall sein muss. [Erwägungsgrund 24 DA] Systematisches Löschen, durch das die Zugangsmöglichkeit faktisch ausgeschlossen oder stark beschränkt wird, dürfte nicht zulässig sein. Anders dürfte es aber sein, wenn die Daten technisch bedingt laufend überschrieben werden, z.B. bei geringem Speicher und gleichzeitigem hohem Datenaufkommen.

Ein vernetztes Produkt ist, grob gesprochen, ein IoT (Internet-of-Things)-Produkt. Es hat folgende Eigenschaften:

• Es generiert, erhebt oder sammelt Daten über seine Umgebung oder seine Nutzung und
• es kann diese Produktdaten übermitteln, gleich auf welchem Weg (z.B. WLAN, physische Verbindung, NFC, 4G/5G).

Beispiele: Smartwatches; vernetzte Fahrzeuge (connected cars); Industriemaschinen, die Nutzungs- oder Wartungsdaten übermitteln; Remote-Überwachungskameras etc. Ausgenommen sind Cloudspeicher oder andere Produkte, deren Hauptaufgabe die Datenspeicherung/-Verarbeitung/-Übertragung für Dritte ist.

Ein verbundener Dienst ist ein digitaler Dienst, der mit einem vernetzten Produkt verbunden ist und dessen Funktionen unterstützt.  Dabei kann es sich auch um Software handeln. Er verleiht, ergänzt, aktualisiert oder passt dessen Funktionen an, und zwar von Anfang an oder später. Die bloße Fähigkeit, Daten aus einem vernetzten Produkt auszulesen, reicht aber nicht; es muss ein Datenaustausch stattfinden, d.h. der Dienst muss die Produktfunktionen auch steuern können. 

Beispiele: Software-Updates, die die Sicherheit oder Leistung eines vernetzten Produkts verbessern oder neue Funktionen hinzufügen; Apps oder Dienste zur Fernwartung oder -diagnose; personalisierte Empfehlungen oder Werbung, die aufgrund Nutzerverhaltens angeboten werden.

Man kann Nutzer eines vernetzten Produkts oder eines verbundenen Dienstes sein (s. auch Frage 10). Beides wird gleich behandelt. Der Nutzer kann eine natürliche oder eine juristische Person sein. Nicht nur der Endverbraucher, der das Produkt oder den Dienst zu privaten Zwecken benutzt beziehungsweise bezieht, kann Nutzer sein, sondern auch ein Unternehmen.

• Der Nutzer eines vernetzten Produkts ist dessen Eigentümer oder jemand, der über einen Vertrag zeitlich begrenzt zur Nutzung des Produkts berechtigt ist, also insbesondere der Mieter oder Leasingnehmer. [Art. 2 Abs. 12 DA] Es können auch mehrere gleichzeitig Nutzer eines vernetzten Produkts sein, z.B. Miteigentümer. Entgegen dem deutschen Wortlaut („Besitzer“) reicht der bloß tatsächliche Besitz nicht aus. Hat jemand also z.B. eine Smartwatch (ein vernetztes Produkt) gekauft oder geleast, ist er/sie deren Nutzer. Verleiht er/sie gefälligkeitshalber an einen Freund, damit dieser sie zum Sport benutzen kann, wird der Freund damit noch nicht zum Nutzer, weil er kein vertragliches Nutzungsrecht erworben hat.
• Der Nutzer eines verbundenen Dienstes ist, wer den Dienst in Anspruch nimmt. [Art. 2 Abs. 12 DA] Der Data Act scheint hier keine vertragliche Beziehung zu fordern. Allerdings ist dies wohl so auszulegen, dass der Nutzer derjenige ist, der den Dienst (vertraglich) abonniert hat und der die Dienste auf dieser Grundlage in Anspruch nimmt.

Wer Dateninhaber ist, ist im Data Act unklar formuliert. [Art. 2 Abs. 13 DA] Bis zur Klärung ist es u.E. sinnvoll davon auszugehen, dass Dateninhaber derjenige ist, der die tatsächliche oder rechtliche Verfügungsbefugnis über die Daten hat. 

Problematisch an der Definition ist, dass nach ihr Dateninhaber derjenige sein soll, der aufgrund EU-Rechts das Recht oder die Verpflichtung hat, Daten zu nutzen und bereitzustellen. Das ist aber zirkulär, weil die Pflicht unter dem Data Act ja gerade den Dateninhaber trifft. In der deutschen Fassung kommt noch ein Übersetzungsfehler hinzu, der den Eindruck erweckt, es ginge nur um verbundene Dienstdaten („Daten […] zu nutzen und bereitzustellen, die sie während der Erbringung eines verbundenen Dienstes abgerufen oder generiert hat“).

Ja, es kann auch mehrere Nutzer parallel geben. 

Das kann z.B. der Fall sein, wenn ein vernetztes Produkt mehreren gemeinsam gehört. Mehrere Nutzer wird es auch in Fällen der Miete oder des Leasing geben, weil dann mindestens noch ein Eigentümer des vernetzten Produkts existiert.

Grundsätzlich hat jeder Nutzer die Ansprüche auf Bereitstellung der ohne weiteres verfügbaren Produktdaten und verbundenen Dienstdaten (s. auch Frage 9). Aus dem Text des Data Act ergibt sich nicht unmittelbar, in welchem Umfang die Mit-Nutzer diesen Anspruch geltend machen können. Denkbar ist, dass jeder alle Daten verlangen kann, oder dass jeder Nutzer nur diejenigen Daten verlangen kann, die er selbst generiert hat, z.B. indem er das vernetzte Auto selbst gefahren oder die Smartwatch selbst am Handgelenk getragen hat.

Die Erwägungsgründe enthalten Ausführungen, die man so lesen könnte, dass die Lösung darin liegt, Nutzerkonten einzurichten, um mit diesen „jedem Nutzer den Zugang zu den von diesen generierten Daten [zu] ermöglichen“. [Erwägungsgrund 21] Allerdings ist das „Generieren von Daten“ keine Tatbestandsvoraussetzung dafür, dass ein Nutzer deren Herausgabe verlangen kann. Die Eigentümerin eines vernetzten Kfz kann z.B. auch die Daten herausverlangen, die ihr Mann generiert hat, dem sie das Auto leihweise überlassen hat (vorbehaltlich der datenschutzrechtlichen Fragestellungen). Es ist auch anerkannt, dass Daten verlangt werden können, die im Ruhezustand generiert werden, z.B. während das Auto parkt. In diesem Moment „generiert“ niemand aktiv die Daten. Es ist daher u.E. überzeugender, jedem Nutzer einen umfassenden Bereitstellungsanspruch an allen Produktdaten und verbundenen Dienstdaten zu geben, auch an Daten, die ein Mit-Nutzer aktiv generiert, z.B. indem er das Auto fährt. Bei personenbezogenen Daten gilt natürlich der Vorbehalt des Art. 4 Abs. 12 DA (s. auch Frage 19). Anderenfalls käme man auch zum Ergebnis, dass der „bloße“ Eigentümer, der ein Produkt vermietet oder verleast hat und es daher im Regelfall nicht selbst nutzt, nie Ansprüche auf Herausgabe der damit generierten Daten hätte. Der Eigentümer einer verleasten Kfz-Flotte hätte daher praktisch keine Ansprüche. Der Eigentümer soll aber nach dem Data Act explizit auch in den Kreis der Nutzer einbezogen sein, ohne dass er das Produkt notwendigerweise selbst nutzen muss.

Nur der aktuelle Nutzer hat den Anspruch auf Herausgabe der Produktdaten und verbundenen Dienstdaten (s. auch Frage 8).

In praktischer Hinsicht stellt sich die Frage, wie der jeweilige Nutzer identifiziert werden kann. In der Praxis werden dazu insbesondere Nutzerkonten in Frage kommen, über die ein Nutzer seinen Account schließen kann, wenn er das Produkt weiterverkauft. Der neue Nutzer kann dann einen neuen Account eröffnen. [Erwägungsgrund 21] Der Dateninhaber darf grundsätzlich eine geeignete Nutzeridentifizierung verlangen, um die Berechtigung eines Nutzers auf Datenzugang zu überprüfen. [Erwägungsgrund 29] Allerdings dürfen dabei keine Informationen verlangt werden, die „über das erforderliche Maß hinausgehen“. [Art. 5 Abs. 4 DA]

Ja, es müssen bestimmte Voraussetzungen erfüllt werden:

• Für die Bereitstellung sowohl für den Nutzer als auch für einen Dritten müssen die Daten wie folgt bereitgestellt werden: unverzüglich, einfach, sicher, in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format. Nur soweit dies relevant und technisch durchführbar ist, müssen die Daten kontinuierlich und in Echtzeit bereitgestellt werden. [Art. 4 Abs. 1 und 5 Abs. 1]
• Für Dritte müssen die Daten darüber hinaus in derselben Qualität zur Verfügung gestellt werden wie für den Dateninhaber. [Art. 5 Abs. 1] Bei der Bereitstellung für den Nutzer direkt gilt dieses Erfordernis nur „falls relevant und technisch durchführbar“. [Art. 4 Abs. 1]
• Die Bereitstellung muss für den Nutzer stets unentgeltlich geschehen, auch bei einer Bereitstellung an einen von ihm benannten Dritten. [Art. 4 Abs. 1 und 5 Abs. 1] Ist der Dritte ein Unternehmen, darf der Dateninhaber von diesem eine Gegenleistung nach FRAND-Grundsätzen verlangen (s. auch Frage 25).

Noch nicht geklärt ist, was unter „Bereitstellung“ zu verstehen ist. Denkbar ist, dass Anspruch auf eine Herausgabe einer Kopie der Daten besteht, aber auch, dass der Zugriff z.B. auf einen Server des Dateninhabers ausreichend ist, auf dem die Daten liegen und dort gelesen und ggf. ausgewertet und manipuliert werden können. Da der Data Act z.B. in Art. 11 Abs. 1 (wenn auch in einem anderen Zusammenhang) von einem Recht des Nutzers spricht, „eine Kopie der Daten zu erhalten“, erscheint uns ein bloßes Zugangsrecht ohne Erhalt einer Kopie regelmäßig nicht ausreichend zu sein.

Es kommt darauf an, wem die Daten bereitgestellt werden.

• Dem Nutzer müssen die Daten kostenlos bereitgestellt werden. [Art. 4 Abs. 1 DA]
• Daten, die ein Dateninhaber einem anderen als dem Nutzer zur Verfügung stellen muss, gelten die Regeln des Kapitels III, einschließlich Art. 9 DA (s. auch Frage 25). Danach darf von einem Dritten eine Gegenleistung verlangt werden, wenn dieser Dritte ein Unternehmen ist. Diese Gegenleistung darf aber nicht beliebig hoch sein. Die Bedingungen müssen immer angemessen und diskriminierungsfrei sein. [Art. 9 Abs. 1]
• Handelt es sich beim Dritten nicht um ein Unternehmen, insbesondere also um einen Verbraucher oder um eine öffentliche Einrichtung, gilt Art. 9 DA nicht. Ob und ggf. in welcher Höhe in solchen Fällen eine Gegenleistung verlangt werden kann, ist offen. Die Erwägungsgründe sprechen davon, dass die angemessene Gegenleistung des Art. 9 DA keine Bezahlung für die Daten selbst darstelle, sondern lediglich Investitionsanreize darstellen solle. [Erwägungsgrund 46] Das könnte man so interpretieren, dass für die Daten generell keine Bezahlung gefordert werden darf, sondern nur Investitionsanreize im gesetzlich geregelten Umfang. Insoweit muss die Rechtsentwicklung abgewartet werden.

Das kommt darauf an, ob die Daten dem Nutzer oder einem Dritten bereitgestellt werden.

• Der Nutzer darf die bereitgestellten Daten grundsätzlich für jeden legalen Zweck nutzen. Er darf sie auch an Dritte weitergeben, auch für kommerzielle Zwecke. Ausnahme: Er darf die Daten nicht zur Entwicklung eines konkurrierenden Produktes nutzen (erlaubt ist die Entwicklung eines konkurrierenden verbundenen Diensts) und die Daten auch nicht in dieser Absicht weitergeben. Auch darf der Nutzer die Daten nicht verwenden, um Einblicke in die wirtschaftliche Lage, die Vermögenswerte und die Produktionsmethoden des Herstellers oder des Dateninhabers zu erlangen. [Art. 4 Abs. 10].
• Werden die Daten einem Dritten bereitgestellt, richtet sich der Umfang des Nutzungsrechts danach, was dieser mit dem Nutzer vereinbart hat. [Art. 6 Abs. 1] 

• Sie dürfen die Daten nur so nutzen, wie Sie es mit dem Nutzer abgesprochen haben. Wenn es sich um personenbezogene Daten handelt, haben Sie außerdem die DSGVO zu beachten. [Art. 6 Abs. 1 DA]
• Sie haben die Daten zu löschen, wenn Sie den Zweck der vereinbarten Nutzung erfüllt haben, es sei denn, Sie haben mit dem Nutzer etwas Anderes vereinbart. [Art. 6 Abs. 1 DA]
• Sie dürfen die Daten nicht ohne die Zustimmung des Nutzers an einen anderen Dritten weitergeben. Ist die Weitergabe erlaubt, ist sicherzustellen, dass der Empfänger in den Daten enthaltene Geschäftsgeheimnisse schützt. [Art. 6 Abs. 2 lit. c, d DA] (Siehe zum Schutz von Geschäftsgeheimnissen Frage 20)
• Sie dürfen kein Produkt entwickeln, das mit dem des Nutzers konkurriert, und Sie dürfen die Daten auch nicht zu diesem Zweck weitergeben. [Art. 6 Abs. 2 lit. e DA]
• Sie haben jede Nutzung der Daten zu vermeiden, die die Sicherheit des Produkts oder des Dienstes gefährden könnte. [Art. 6 Abs. 2 lit. f DA]
• Sie dürfen vom Nutzer nicht verlangen, dass er Ihnen die Daten exklusiv zur Verfügung stellt. [Art. 6 Abs. 2 lit. h DA]

Nein. Als Dateninhaber dürfen Sie die von einem vernetzten Produkt oder einem verbundenen Dienst generierten Daten nur nutzen, wenn es dafür eine Rechtsgrundlage gibt.

• Handelt es sich bei den Daten um personenbezogene Daten i.S.d. DSGVO? Dann dürfen Sie diese Daten nutzen, wenn und soweit dies durch die DSGVO erlaubt ist. Sie müssen die datenschutzrechtlichen Regeln einhalten.
• Handelt es sich um nicht personenbezogene Daten? Dann dürfen Sie diese nur nutzen, wenn und soweit Ihnen der Nutzer dies vertraglich erlaubt hat [Art. 4 Abs. 13 DA]. Sie brauchen dann also unbedingt einen Vertrag mit dem Nutzer.

In jedem Fall verboten ist:

• Die Verwendung der Daten, um daraus Einblicke in die wirtschaftliche Lage, die Vermögenswerte oder die Produktionsmethoden des Nutzers (oder eines Dritten, an den der Nutzer die Daten weitergegeben hat), zu gewinnen.
• Die Verwendung für die Entwicklung eines Produkts, das mit dem vernetzten Produkt oder dem verbundenen Dienst, von dem die Daten stammen, im Wettbewerb steht;
• die Weitergabe der Daten an andere Dritte, es sei denn, der Nutzer hat dies genehmigt.

Nein. Wenn es sich um personenbezogene Daten handelt, müssen datenschutzrechtliche Beschränkungen beachtet werden.

Das bedeutet, dass einem Nutzer auch auf dessen Verlangen hin personenbezogene Daten nur bereitgestellt werden dürfen, wenn dieser die „betroffene Person“ i.S.d. DSGVO ist (also es sich um seine Daten handelt). Wenn das nicht der Fall ist, darf der Dateninhaber die Daten nur dann an den Nutzer herausgeben, wenn es dafür eine Rechtsgrundlage nach der DSGVO gibt. [Art. 4 Abs. 12 DA] Die Pflicht zur Bereitstellung sowie das Recht auf Zugang zu den Daten sind keine Rechtsgrundlage im Sinne der DSGVO, so dass die Bereitstellung der Daten dann nur zulässig ist, wenn beispielsweise eine Einwilligung, eine vertragliche Notwendigkeit oder die Notwendigkeit zur Wahrung berechtigter Interessen vorliegt. [Art. 6 Abs. 1 lit. a, b, f DSGVO]

Dies verlangt den Dateninhabern eine regulatorische Gratwanderung ab. Ein zu starker Fokus auf den Datenschutz kann zu einer Verletzung der Datenbereitstellungspflicht nach dem Data Act führen, ein zu starker Fokus auf den Datenzugang kann zu einer Verletzung des Datenschutzrechts führen. Die Dateninhaber werden möglicherweise nicht darum herumkommen, die Einrichtung individueller Nutzerkonten zu verlangen – mit der Konsequenz, dass Daten, die ursprünglich nicht personenbezogen waren, zu personenbezogenen Daten werden.

Ja, auch Geschäftsgeheimnisse sind grundsätzlich offenzulegen. Zur Wahrung der Vertraulichkeit können aber technische und organisatorische Maßnahmen (TOM) verlangt werden. Geeignete Maßnahmen sind unter anderem die Verwendung von Mustervertragsklauseln, Vertraulichkeitsvereinbarungen, strengen Zugangsprotokollen sowie Verhaltenskodizes.

Nur in zwei Fällen kann die Datenherausgabe verweigert werden:

• Wenn eine Einigung über die erforderlichen Maßnahmen nicht zustande kommt oder der Nutzer die Umsetzung dieser Maßnahmen unterlässt. Der Dateninhaber muss dann seine Entscheidung ausreichend begründen, dem Nutzer schriftlich mitteilen und auch die Aufsichtsbehörde benachrichtigen. [Art. 4 Abs. 6 und 7, Art. 5 Abs. 9 und 10 DA]
• Wenn der Dateninhaber nachweisen kann, dass trotz Geheimhaltungsmaßnahmen mit hoher Wahrscheinlichkeit mit einem ernsthaften wirtschaftlichen Schaden zu rechnen ist. Auch diese Verweigerung muss ausreichend begründet und der Aufsichtsbehörde mitgeteilt werden. [Art. 4 Abs. 8, Art. 5 Abs. 11 DA]

Nein. Vertragsklauseln, die die Ansprüche des Nutzers einschränken, sind für diesen nicht bindend. [Art. 7 Abs. 2 DA]

Eine Ausnahme gilt nur, wenn anderenfalls gesetzliche Sicherheitsanforderungen beeinträchtigt würden und deswegen die Gesundheit oder die Sicherheit von natürlichen Personen gefährdet wäre. [Art. 4 Abs. 2 DA] Theoretisch kann hierbei an den neuen Cyber Resilience Act gedacht werden, der Sicherheitsanforderungen an vernetzte Produkte bringen wird.

Ja, es besteht eine vorvertragliche Informationspflicht. [Art. 3 Abs. 2, 3 DA]

Informiert werden muss unter anderem über

• Die Art, das Format und den Umfang der Daten, die generiert werden
• die Möglichkeit, kontinuierlich und in Echtzeit Daten zu erzeugen
• die Speichermöglichkeiten
• die Möglichkeit des Datenzugriffs seitens des Nutzers

In praktischer Hinsicht lässt sich die vorvertragliche Informationspflicht durch die Einrichtung eines Weblinks, der zu den Informationen führt, erfüllen.

Unter drei Voraussetzungen: B2B-Verkehr, Datenbezug und einseitiges Auferlegen.

• Die Missbrauchskontrolle des Data Act im Kapitel IV gilt nur im B2B-Bereich, nicht im Verhältnis zu Verbrauchern. Sie gilt im B2B-Bereich aber für alle Unternehmen und nicht nur im Verhältnis zu Kleinst-, kleinen oder mittleren Unternehmen. Es kann aber nicht ausgeschlossen werden, dass die Wertungen der B2B-Missbrauchskontrolle unter dem Data Act auch mittelbar in die AGB-Kontrolle im Verhältnis zu Verbrauchern einfließen werden.
• Die Klausel muss inhaltlich einen Datenbezug aufweisen. Das ist der Fall, wenn sie sich auf den Datenzugang, die Datennutzung, die Haftung oder Rechtsbehelfe bezüglich datenbezogener Pflichten bezieht.
• Die Klausel muss einseitig auferlegt sein. „Einseitig auferlegt“ im Sinne des Data Act ist eine Klausel, wenn sie von einer Partei eingebracht wurde und die andere Partei sie trotz eines Verhandlungsversuchs nicht beeinflussen kann. [Art. 13 Abs. 6 DA] Es ist nach dem Wortlaut nicht ausreichend, dass eine Partei eine Klausel einbringt und die andere Partei sie schlicht akzeptiert. Wird dies von den Gerichten so angewendet, wird sich die Rechtslage vom deutschen Verständnis von allgemeinen Geschäftsbedingungen unterscheiden.

Ausgenommen von der Missbrauchskontrolle sind Klauseln, die den Hauptgegenstand des Vertrages oder die Angemessenheit des Preises festlegen. [Art. 13 Abs. 8 DA] Dies entspricht deutscher Praxis, die ebenfalls die essentialia negotii nicht als allgemeine Geschäftsbedingungen ansieht.

Der Data Act verfolgt einen dreistufigen Ansatz: 

1. Normiert sind zunächst Klauseln, die stets als missbräuchlich gelten, die “Blacklist”. [Art. 13 Abs. 4 DA] Dabei handelt es sich um Klauseln ohne Wertungsmöglichkeit. 
2. Klauseln mit Wertungsmöglichkeit enthält die “Greylist”. [Art. 13 Abs. 5 DA] Deren Missbräuchlichkeit wird vermutet, kann aber von den Unternehmen widerlegt werden. 
3. Klauseln, die inhaltlich weder der “Blacklist” noch der “Greylist” unterfallen, können missbräuchlich nach dem allgemeinen Missbrauchsverbot sein. [Art. 13 Abs. 3 DA]

Stets missbräuchlich sind unter anderem Klauseln,

• die die Haftung der Partei für vorsätzliche oder grob fahrlässige Handlungen ausschließen. [Art. 13 Abs. 4 lit. a DA]
• die festlegen, dass die auferlegende Partei bestimmt, ob die gelieferten Daten vertragsgemäß sind. [Art. 13 Abs. 4 lit. c DA]

Die Missbräuchlichkeit wird beispielsweise vermutet,

• wenn die Partei, der die Klausel einseitig auferlegt wurde, daran gehindert wird,
  • die von ihr während der Vertragslaufzeit bereitgestellten oder generierten Daten zu nutzen oder in angemessener Weise zu nutzen, zu erfassen, darauf zuzugreifen, oder sie zu kontrollieren oder zu verwerten. [Art. 13 Abs. 5 lit. c DA]
  • während der Vertragslaufzeit oder einer angemessenen Zeit nach Kündigung des Vertrags eine Kopie der von ihr bereitgestellten oder generierten Daten zu erhalten. [Art. 13 Abs. 5 lit. e DA] oder
• wenn sich die auferlegende Partei die Möglichkeit einräumt,
  • den Vertrag mit einer unangemessen kurzen Frist zu kündigen. [Art. 13 Abs. 5 lit. f DA]
  • wesentliche Bedingungen in Bezug auf Art, Format, Qualität oder Menge der Daten ohne Begründunge abzuändern, ohne im Gegenzug der anderen Partei das Recht der Kündigung einzuräumen. [Art. 13 Abs. 5 lit. g DA]

Die allgemeine Missbräuchlichkeitsbestimmung erfordert eine grobe Abweichung von der guten Geschäftspraxis bei Datenzugang und Datennutzung oder einen Verstoß gegen das Gebot von Treu und Glauben. [Art. 13 Abs. 3 DA] Diese sehr unbestimmte Fassung ermöglicht eine mehr oder weniger restriktive Auslegung. Unklar ist insbesondere, ob die beiden Aspekte, grobe Abweichung von der guten Geschäftspraxis und Verstoß gegen Treu und Glauben, kumulativ oder alternativ vorliegen müssen. Nur die deutsche Fassung beinhaltet ein „oder“, nach der englischen Fassung sind die Elemente kumulativ erforderlich.