Data Act 2023/2854 DE

c)	die Bereitstellung von Daten durch Dateninhaber für öffentliche_Stellen, die Kommission, die Europäische Zentralbank und Einrichtungen_der_Union, soweit eine außergewöhnliche Notwendigkeit der Nutzung dieser Daten zur Wahrnehmung einer spezifischen Aufgabe von öffentlichem Interesse besteht,

d)	die Erleichterung des Wechsels zwischen Datenverarbeitungsdiensten,

e)	die Einführung von Schutzmaßnahmen gegen den unrechtmäßigen Zugang Dritter zu nicht-personenbezogenen Daten und

f)	die Entwicklung von Interoperabilitätsnormen für Daten, die abgerufen, übertragen und genutzt werden sollen.

(2) Die vorliegende Verordnung erstreckt sich auf personenbezogene und nicht-personenbezogene Daten, einschließlich der folgenden Arten von Daten, in den folgenden Zusammenhängen:

a)	Kapitel II gilt für Daten, mit Ausnahme von Inhalten, die die Leistung, Nutzung und Umgebung von vernetzten Produkten und verbundenen Diensten betreffen;

b)	Kapitel III gilt für alle Daten des Privatsektors, die rechtlichen Verpflichtungen mit Blick auf die Datenweitergabe unterliegen;

c)	Kapitel IV gilt für alle Daten des Privatsektors, die auf der Grundlage von Verträgen zwischen Unternehmen abgerufen und genutzt werden;

d)	Kapitel V gilt für alle Daten des Privatsektors mit Schwerpunkt auf nicht-personenbezogenen Daten;

e)	Kapitel VI gilt für alle von Anbietern von Datenverarbeitungsdiensten verarbeiteten Daten und Dienste;

f)	Kapitel VII gilt für alle nicht-personenbezogenen Daten, die in der Union von Anbietern von Datenverarbeitungsdiensten gehalten werden.

(3) Diese Verordnung gilt für

a)	Hersteller vernetzter Produkte, die in der Union in Verkehr gebracht werden, und Anbieter verbundener_Dienste, unabhängig vom Ort der Niederlassung dieser Hersteller oder Anbieter;

b)	die Nutzer der unter Buchstabe a genannten vernetzten Produkte oder verbundenen Dienste in der Union;

c)	Dateninhaber, unabhängig vom Ort ihrer Niederlassung, die Datenempfängern in der Union Daten bereitstellen;

d)	Datenempfänger in der Union, denen Daten bereitgestellt werden;

öffentliche_Stellen, die Kommission, die Europäische Zentralbank und Einrichtungen_der_Union, die von Dateninhabern verlangen, Daten bereitzustellen, soweit eine außergewöhnliche Notwendigkeit der Nutzung dieser Daten zur Wahrnehmung einer speziellen Aufgabe im öffentlichen Interesse besteht, sowie die Dateninhaber, die solche Daten auf ein solches Verlangen hin bereitstellen;

f)	Anbieter von Datenverarbeitungsdiensten, unabhängig vom Ort ihrer Niederlassung, die Kunden in der Union solche Dienste anbieten;

g)	Teilnehmer an Datenräumen und Anbieter von Anwendungen, die intelligente Verträge verwenden, und Personen, deren gewerbliche, geschäftliche oder berufliche Tätigkeit die Einführung intelligenter Verträge für andere im Zusammenhang mit der Durchführung einer Vereinbarung umfasst.

(4) Wird in dieser Verordnung auf vernetzte Produkte oder verbundene Dienste Bezug genommen, so gilt, dass diese Bezugnahmen auch virtuelle_Assistenten einschließen, soweit diese mit einem vernetzten Produkt oder verbundenen Dienst interagieren.

(5) Diese Verordnung gilt unbeschadet des Unionsrechts und des nationalen Rechts über den Schutz personenbezogener Daten, die Privatsphäre, die Vertraulichkeit der Kommunikation und die Integrität von Endgeräten, die für personenbezogene Daten gelten, die im Zusammenhang mit den in der vorliegenden Verordnung festgelegten Rechten und Pflichten verarbeitet werden, insbesondere der Verordnungen (EU) 2016/679 und (EU) 2018/1725 und der Richtlinie 2002/58/EG, einschließlich der Befugnisse und Zuständigkeiten der Aufsichtsbehörden und der Rechte der betroffenen Personen. Soweit Nutzer betroffene_Personen sind, ergänzen die in Kapitel II dieser Verordnung festgelegten Rechte das Auskunftsrecht von betroffenen Personen und das Recht auf Datenübertragbarkeit gemäß Artikel 15 bzw. Artikel 20 der Verordnung (EU) 2016/679. Im Falle eines Widerspruchs zwischen der vorliegenden Verordnung und dem Unionsrecht in Bezug auf den Schutz personenbezogener Daten bzw. der Privatsphäre oder den im Einklang mit dem Unionsrecht erlassenen nationalen Rechtsvorschriften haben das Unionsrecht oder das nationale Recht zum Schutz personenbezogener Daten bzw. der Privatsphäre Vorrang.

(6) Die vorliegende Verordnung gilt weder für freiwillige Vereinbarungen über den Datenaustausch zwischen privaten und öffentlichen Stellen – insbesondere freiwillige Vereinbarungen über die Datenweitergabe –, noch greift sie ihnen vor.

Die vorliegende Verordnung berührt nicht die Rechtsakte der Union und die nationalen Rechtsakte über die Datenweitergabe, den Datenzugang und die Datennutzung zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, oder für Zoll- und Steuerzwecke insbesondere die Verordnungen (EU) 2021/784, (EU) 2022/2065 und (EU) 2023/1543 und die Richtlinie (EU) 2023/1544 oder die internationale Zusammenarbeit in diesem Bereich. Die vorliegende Verordnung gilt nicht für die Datenerhebung, die Datenweitergabe, die Datennutzung oder den Datenzugang gemäß der Verordnung (EU) 2015/847 und der Richtlinie (EU) 2015/849. Die vorliegende Verordnung gilt nicht in den nicht unter das Unionsrecht fallenden Bereichen und berührt keinesfalls die Zuständigkeiten der Mitgliedstaaten in Bezug auf die öffentliche Sicherheit, die Verteidigung oder die nationale Sicherheit, unabhängig von der Art der Einrichtung, die von den Mitgliedstaaten mit der Wahrnehmung von Aufgaben im Zusammenhang mit diesen Zuständigkeiten betraut wurde, oder ihre Befugnis, andere wesentliche staatliche Funktionen zu wahren, einschließlich der Gewährleistung der territorialen Unversehrtheit des Staates und der Aufrechterhaltung der öffentlichen Ordnung. Die vorliegende Verordnung berührt nicht die Zuständigkeiten der Mitgliedstaaten in Bezug auf die Zoll- und Steuerverwaltung oder die Gesundheit und Sicherheit der Bürger.

(7) Mit der vorliegenden Verordnung wird der Selbstregulierungsansatz der Verordnung (EU) 2018/1807 ergänzt, indem allgemein geltende Verpflichtungen in Bezug auf den Cloud- Wechsel hinzugefügt werden.

(8) Diese Verordnung berührt nicht die Rechtsakte der Union und die nationalen Rechtsakte zur Gewährleistung des Schutzes der Rechte des geistigen Eigentums, insbesondere die Richtlinien 2001/29/EG, 2004/48/EG und (EU) 2019/790.

(9) Die vorliegende Verordnung ergänzt, und berührt nicht, das Unionsrecht, mit dem die Interessen der Verbraucher gefördert und ein hohes Verbraucherschutzniveau sichergestellt sowie die Gesundheit, Sicherheit und wirtschaftlichen Interessen der Verbraucher geschützt werden, insbesondere die Richtlinien 93/13/EWG, 2005/29/EG und 2011/83/EU.

(10) Diese Verordnung steht dem Abschluss freiwilliger rechtmäßiger Verträge über die Datenweitergabe – einschließlich auf der Grundlage der Gegenseitigkeit geschlossener Verträge –, die den Anforderungen dieser Verordnung entsprechen, nicht entgegen.

Artikel 2

Begriffsbestimmungen

Für die Zwecke dieser Verordnung bezeichnet der Ausdruck

1.	„ Daten“ jede digitale Darstellung von Handlungen, Tatsachen oder Informationen sowie jede Zusammenstellung solcher Handlungen, Tatsachen oder Informationen auch in Form von Ton-, Bild- oder audiovisuellem Material;

2.	„ Metadaten“ eine strukturierte Beschreibung der Inhalte oder der Nutzung von Daten, die das Auffinden eben jener Daten bzw. deren Verwendung erleichtert;

3.	„personenbezogene Daten“ personenbezogene Daten im Sinne des Artikels 4 Nummer 1 der Verordnung (EU) 2016/679;

4.	„nicht-personenbezogene Daten“ Daten, die keine personenbezogenen Daten sind;

„ vernetztes_Produkt“ einen Gegenstand, der Daten über seine Nutzung oder Umgebung erlangt, generiert oder erhebt und der Produktdaten über einen elektronischen Kommunikationsdienst, eine physische Verbindung oder einen geräteinternen Zugang übermitteln kann und dessen Hauptfunktion nicht die Speicherung, Verarbeitung oder Übertragung von Daten im Namen einer anderen Partei – außer dem Nutzer – ist;

„ verbundener_Dienst“ einen digitalen Dienst, bei dem es sich nicht um einen elektronischen Kommunikationsdienst handelt, – einschließlich Software –, der zum Zeitpunkt des Kaufs, der Miete oder des Leasings so mit dem Produkt verbunden ist, dass das vernetzte Produkt ohne ihn eine oder mehrere seiner Funktionen nicht ausführen könnte oder der anschließend vom Hersteller oder einem Dritten mit dem Produkt verbunden wird, um die Funktionen des vernetzten produkts zu ergänzen, zu aktualisieren oder anzupassen;

„ Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit Daten oder Datensätzen, wie etwa das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, der Abruf, das Abfragen, die Nutzung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, der Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

„ Datenverarbeitungsdienst“ eine digitale Dienstleistung, die einem Kunden bereitgestellt wird und einen flächendeckenden und auf Abruf verfügbaren Netzzugang zu einem gemeinsam genutzten Pool konfigurierbarer, skalierbarer und elastischer Rechenressourcen zentralisierter, verteilter oder hochgradig verteilter Art ermöglicht, die mit minimalem Verwaltungsaufwand oder minimaler Interaktion des Diensteanbieters rasch bereitgestellt und freigegeben werden können;

9.	„ gleiche_Dienstart“ eine Reihe von Datenverarbeitungsdiensten, die dasselbe Hauptziel haben und dasselbe Dienstmodell für die Datenverarbeitung sowie dieselben Hauptfunktionen aufweisen;

10.	„ Datenvermittlungsdienst“ einen Datenvermittlungsdienst im Sinne von Artikel 2 Nummer 11 der Verordnung (EU) 2022/868;

11.	„ betroffene_Person“ eine betroffene_Person gemäß Artikel 4 Nummer 1 der Verordnung (EU) 2016/679;

12.	„ Nutzer“ eine natürliche oder juristische Person, die ein vernetztes_Produkt besitzt oder der vertraglich zeitweilige Rechte für die Nutzung des vernetzten produkts übertragen wurden oder die verbundenen Dienste in Anspruch nimmt;

13.

„ Dateninhaber“ eine natürliche oder juristische Person, die nach dieser Verordnung, nach geltendem Unionsrecht oder nach nationalen Rechtsvorschriften zur Umsetzung des Unionsrechts berechtigt oder verpflichtet ist, Daten – soweit vertraglich vereinbart, auch Produktdaten oder verbundene_Dienstdaten – zu nutzen und bereitzustellen, die sie während der Erbringung eines verbundenen Dienstes abgerufen oder generiert hat;

14.

„ Datenempfänger“ eine natürliche oder juristische Person, die zu Zwecken innerhalb ihrer gewerblichen, geschäftlichen, handwerklichen oder beruflichen Tätigkeit handelt, ohne Nutzer eines vernetzten Produktes oder verbundenen Dienstes zu sein, und dem vom Dateninhaber Daten bereitgestellt werden, einschließlich eines Dritten, dem der Dateninhaber auf Verlangen des Nutzers oder im Einklang mit einer rechtlichen Verpflichtung aus anderem Unionsrecht oder aus nationalen Rechtsvorschriften, die im Einklang mit Unionsrecht erlassen wurden, Daten bereitstellt;

15.

„ Produktdaten“ Daten, die durch die Nutzung eines vernetzten produkts generiert werden und die der Hersteller so konzipiert hat, dass sie über einen elektronischen Kommunikationsdienst, eine physische Verbindung oder einen geräteinternen Zugang von einem Nutzer, Dateninhaber oder Dritten – gegebenenfalls einschließlich des Herstellers – abgerufen werden können;

16.

„ verbundene_Dienstdaten“ Daten, die die Digitalisierung von Nutzerhandlungen oder Vorgängen im Zusammenhang mit dem vernetzten Produkt darstellen und vom Nutzer absichtlich aufgezeichnet oder als Nebenprodukt der Handlung des Nutzers während der Bereitstellung eines verbundenen Dienstes durch den Anbieter generiert werden;

17.	„ohne Weiteres verfügbare Daten“ Produktdaten und verbundene_Dienstdaten, die ein Dateninhaber ohne unverhältnismäßigen Aufwand rechtmäßig von dem vernetzten Produkt oder verbundenen Dienst erhält oder erhalten kann, wobei über eine einfache Bearbeitung hinausgegangen wird;

18.	„ Geschäftsgeheimnis“ ein Geschäftsgeheimnis im Sinne von Artikel 2 Nummer 1 der Richtlinie (EU) 2016/943;

19.	„Inhaber eines Geschäftsgeheimnisses“ den Inhaber eines Geschäftsgeheimnisses im Sinne von Artikel 2 Nummer 2 der Richtlinie (EU) 2016/943;

20.	„ Profiling“ Profiling im Sinne des Artikels 4 Absatz 4 der Verordnung (EU) 2016/679;

21.	„ Bereitstellung_auf_dem_Markt“ jede entgeltliche oder unentgeltliche Abgabe eines vernetzten produkts zum Vertrieb, Verbrauch oder zur Verwendung auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit;

22.	„ Inverkehrbringen“ die erstmalige Bereitstellung eines vernetzten produkts auf dem Unionsmarkt;

23.	„ Verbraucher“ jede natürliche Person, die zu Zwecken handelt, die außerhalb ihrer gewerblichen, geschäftlichen, handwerklichen oder beruflichen Tätigkeit liegen;

24.	„ Unternehmen“ eine natürliche oder juristische Person, die in Bezug auf von dieser Verordnung erfasste Verträge und Vorgehensweisen zu Zwecken im Zusammenhang mit ihrer gewerblichen, geschäftlichen, handwerklichen oder beruflichen Tätigkeit handelt;

25.	„Kleinunternehmen” ein Kleinunternehmen im Sinne des Artikels 2 Absatz 2 des Anhangs der Empfehlung 2003/361/EG;

26.	„ Kleinstunternehmen“ ein Kleinstunternehmen im Sinne des Artikels 2 Absatz 3 des Anhangs der Empfehlung 2003/361/EG;

27.	„ Einrichtungen_der_Union“ die Einrichtungen, Stellen und Agenturen der Union, die gemäß Rechtsakten eingerichtet wurden, die auf der Grundlage des Vertrags über die Europäische Union, des AEUV oder des Vertrags zur Gründung der Europäischen Atomgemeinschaft angenommen wurden;

28.	„ öffentliche_Stelle“ die nationalen, regionalen und lokalen Behörden, Körperschaften und Einrichtungen des öffentlichen Rechts der Mitgliedstaaten oder Verbände, die aus einer oder mehreren dieser Behörden, Körperschaften oder Einrichtungen bestehen;

29.

„ öffentlicher_Notstand“ eine zeitlich begrenzte Ausnahmesituation – wie etwa Notfälle im Bereich der öffentlichen Gesundheit, Notfälle infolge von Naturkatastrophen sowie von Menschen verursachte Katastrophen größeren Ausmaßes, einschließlich schwerer Cybersicherheitsvorfälle –, die sich negativ auf die Bevölkerung der Union oder eines Mitgliedstaats bzw. eines Teils davon auswirkt, das Risiko schwerwiegender und dauerhafter Folgen für die Lebensbedingungen, die wirtschaftliche Stabilität oder die finanzielle Stabilität oder die Gefahr einer erheblichen und unmittelbaren Beeinträchtigung wirtschaftlicher Vermögenswerte in der Union oder in dem betroffenen Mitgliedstaat birgt und die nach den einschlägigen Verfahren des Unionsrechts oder des nationalen Rechts festgestellt und amtlich ausgerufen wurde;

30.	„ Kunde“ eine natürliche oder juristische Person, die mit einem Anbieter von Datenverarbeitungsdiensten eine vertragliche Beziehung eingegangen ist, um einen oder mehrere Datenverarbeitungsdienste in Anspruch zu nehmen;

31.

„ virtuelle_Assistenten“ Software, die Aufträge, Aufgaben oder Fragen verarbeiten kann, auch aufgrund von Eingaben in Ton- und Schriftform, mit Gesten oder Bewegungen, und die auf der Grundlage dieser Aufträge, Aufgaben oder Fragen den Zugang zu anderen Diensten gewährt oder die Funktionen von vernetzten Produkten steuert;

32.	„ digitale_Vermögenswerte“ Elemente in digitaler Form – einschließlich Anwendungen –, für die der Kunde ein Nutzungsrecht hat, unabhängig von der vertraglichen Beziehung mit dem Datenverarbeitungsdienst, den er wechseln möchte;

33.	„ IKT-Infrastruktur_in_eigenen_Räumlichkeiten“ IKT-Infrastruktur und Rechenressourcen, die im Eigentum des Kunden stehen oder vom Kunden gemietet oder geleast werden und die sich im Rechenzentrum des Kunden befinden und von ihm oder einem Dritten betrieben wird bzw. werden;

34.

„ Wechsel“ den Prozess, an dem ein Quellenanbieter von Datenverarbeitungsdiensten, ein Kunde eines Datenverarbeitungsdienstes und gegebenenfalls ein übernehmender Anbieter von Datenverarbeitungsdiensten beteiligt sind und bei dem der Kunde eines Datenverarbeitungsdienstes von der Nutzung eines Datenverarbeitungsdienstes zur Nutzung eines anderen Datenverarbeitungsdienstes der gleichen Dienstart oder eines anderen Dienstes, der von einem anderen Anbieter von Datenverarbeitungsdiensten angeboten wird oder der einem einer IKT-Infrastruktur_in_eigenen_Räumlichkeiten angeboten wird, auch durch Extraktion, Umwandlung und Hochladen der Daten, wechselt;

35.

„ Datenextraktionsentgelte“ Datenübertragungsentgelte, die den Kunden dafür in Rechnung gestellt werden, dass ihre Daten über das Netz aus der IKT-Infrastruktur eines Anbieters von Datenverarbeitungsdiensten in die Systeme anderer Anbieter oder in IKT-Infrastruktur_in_eigenen_Räumlichkeiten extrahiert werden;

36.

„ Wechselentgelte“ andere Entgelte als Standarddienstentgelte oder Sanktionen bei vorzeitiger Kündigung, die ein Anbieter von Datenverarbeitungsdiensten bei einem Kunden für die Handlungen erhebt, die in dieser Verordnung für den Wechsel zu den Systemen eines anderen Anbieters oder IKT-Infrastruktur_in_eigenen_Räumlichkeiten vorgeschrieben sind, einschließlich Datenextraktionsentgelten;

37.

„ Funktionsäquivalenz“ die Wiederherstellung – auf der Grundlage der exportierbaren Daten und digitalen Vermögenswerte des Kunden – eines Mindestmaßes an Funktionalität in der Umgebung eines neuen Datenverarbeitungsdienstes der gleichen Dienstart nach dem Wechsel, wenn der übernehmende Datenverarbeitungsdienst als Reaktion auf dieselbe Eingabe für gemeinsame Funktionen, die dem Kunden im Rahmen des Vertrags bereitgestellt werden, ein materiell vergleichbares Ergebnis erbringt;

38.

„exportierbare Daten“ für die Zwecke von den Artikeln 23 bis 31 und Artikel 35 die Eingabe- und Ausgabedaten einschließlich Metadaten, die unmittelbar oder mittelbar durch die Nutzung des Datenverarbeitungsdienstes durch den Kunden oder gemeinsam generiert werden, mit Ausnahme der Vermögenswerte oder Daten eines Anbieters von Datenverarbeitungsdiensten oder Dritter, die durch Rechte des geistigen Eigentums geschützt sind oder ein Geschäftsgeheimnis darstellen;

39.

„ intelligenter_Vertrag“ ein Computerprogramm, das für die automatisierte Ausführung einer Vereinbarung oder eines Teils davon verwendet wird, wobei eine Abfolge elektronischer Datensätze verwendet wird und die Integrität dieser Datensätze sowie die Richtigkeit ihrer chronologischen Reihenfolge gewährleistet werden;

40.	„ Interoperabilität“ die Fähigkeit von zwei oder mehr Datenräumen oder Kommunikationsnetzen, Systemen, vernetzten Produkten, Anwendungen, Datenverarbeitungsdiensten oder Komponenten, Daten auszutauschen und zu nutzen, um ihre Funktionen auszuführen;

41.	„offene Interoperabilitätsspezifikationen“ eine technische Spezifikation im Bereich der Informations- und Kommunikationstechnologie, die leistungsbezogen darauf ausgerichtet sind, die Interoperabilität zwischen Datenverarbeitungsdiensten herzustellen;

42.	„ gemeinsame_Spezifikationen“ ein Dokument, bei dem es sich nicht um eine Norm handelt und das technische Lösungen enthält, die es ermöglichen, bestimmte Anforderungen und Pflichten, die im Rahmen dieser Verordnung festgelegt worden sind, zu erfüllen;

43.	„ harmonisierte_Norm“ eine harmonisierte_Norm im Sinne des Artikels 2 Nummer 1 Buchstabe c der Verordnung (EU) Nr. 1025/2012.

KAPITEL II

DATENWEITERGABE VON UNTERNEHMEN AN VERBRAUCHER UND ZWISCHEN UNTERNEHMEN

Artikel 4

Rechte und Pflichten von Nutzern und Dateninhabern in Bezug auf den Zugang zu sowie die Nutzung und die Bereitstellung von Produktdaten und verbundenen Dienstdaten

(1) Soweit der Nutzer nicht direkt vom vernetzten Produkt oder verbundenen Dienst aus auf die Daten zugreifen kann, stellen die Dateninhaber dem Nutzer ohne Weiteres verfügbare Daten einschließlich der zur Auslegung und Nutzung der Daten erforderlichen Metadaten unverzüglich, einfach, sicher, unentgeltlich, in einem umfassenden, gängigen und maschinenlesbaren Format und – falls relevant und technisch durchführbar – in der gleichen Qualität wie für den Dateninhaber kontinuierlich und in Echtzeit bereit. Dies geschieht auf einfaches Verlangen auf elektronischem Wege, soweit dies technisch durchführbar ist.

(2) Nutzer und Dateninhaber können den Zugang zu sowie die Nutzung oder die erneute Weitergabe von Daten vertraglich beschränken, wenn eine solche Verarbeitung die im Unionsrecht oder im nationalen Recht festgelegten Sicherheitsanforderungen des vernetzten produkts beeinträchtigen und damit zu schwerwiegenden nachteiligen Auswirkungen auf die Gesundheit oder die Sicherheit von natürlichen Personen führen könnte. Die für die betreffenden Sektoren zuständigen Behörden können den Nutzern und Dateninhabern in diesem Zusammenhang technisches Fachwissen bereitstellen. Verweigert der Dateninhaber die Weitergabe von Daten gemäß diesem Artikel, so teilt er dies der gemäß Artikel 37 benannten zuständigen Behörde mit.

(3) Unbeschadet des Rechts des Nutzers, jederzeit vor einem Gericht eines Mitgliedstaats Rechtsmittel einzulegen, kann der Nutzer im Zusammenhang mit einer Streitigkeit mit dem Dateninhaber in Bezug auf die in Absatz 2 genannten vertraglichen Beschränkungen oder Verbote

a)	gemäß Artikel 37 Absatz 5 Buchstabe b eine Beschwerde bei der zuständigen Behörde einlegen oder

b)	mit dem Dateninhaber vereinbaren, gemäß Artikel 10 Absatz 1 eine Streitbeilegungsstelle mit der Angelegenheit zu befassen.

(4) Die Dateninhaber dürfen die Ausübung der Wahlmöglichkeiten oder Rechte durch den Nutzer nach diesem Artikel nicht unangemessen erschweren, auch nicht dadurch, dass sie dem Nutzer in nicht neutraler Weise Wahlmöglichkeiten anbieten oder die Autonomie, die Entscheidungsfreiheit oder die Wahlfreiheit des Nutzers durch die Struktur, die Gestaltung, die Funktion oder die Funktionsweise einer digitalen Benutzerschnittstelle oder eines Teils davon unterlaufen oder beeinträchtigen.

(5) Um zu überprüfen, ob eine natürliche oder juristische Person als Nutzer für die Zwecke von Absatz 1 einzustufen ist, verlangt der Dateninhaber von dieser Person keine Informationen, die über das erforderliche Maß hinausgehen. Dateninhaber bewahren keine Informationen über den Zugang des Nutzers zu den verlangten Daten – insbesondere keine Protokolldaten – auf, die über das hinausgehen, was für die ordnungsgemäße Ausführung des Zugangsverlangens des Nutzers und für die Sicherheit und Pflege der Dateninfrastruktur erforderlich ist.

(6) Geschäftsgeheimnisse werden gewahrt und nur offengelegt, wenn vom Dateninhaber und vom Nutzer vor der Offenlegung alle Maßnahmen getroffen worden sind, die erforderlich sind, um die Vertraulichkeit der Geschäftsgeheimnisse, insbesondere gegenüber Dritten, zu wahren. Der Dateninhaber oder, wenn sie nicht dieselbe Person sind, der Inhaber des Geschäftsgeheimnisses ermittelt, auch in den relevanten Metadaten, die als Geschäftsgeheimnisse geschützten Daten und vereinbart mit dem Nutzer angemessene technische und organisatorische Maßnahmen, die erforderlich sind, um die Vertraulichkeit der weitergegebenen Daten, insbesondere gegenüber Dritten, zu wahren; dies gilt etwa für Mustervertragsklauseln, Vertraulichkeitsvereinbarungen, strenge Zugangsprotokolle, technische Normen und die Anwendung von Verhaltenskodizes.

(7) Wenn keine Einigung über die in Absatz 6 genannten erforderlichen Maßnahmen erzielt wird oder wenn vom Nutzer die gemäß Absatz 6 vereinbarten Maßnahmen nicht umgesetzt werden oder die Vertraulichkeit der Geschäftsgeheimnisse verletzt wird, kann der Dateninhaber die Weitergabe von Daten, die als Geschäftsgeheimnisse eingestuft wurden, verweigern oder gegebenenfalls aussetzen. Die Entscheidung des Dateninhabers ist ordnungsgemäß zu begründen und dem Nutzer unverzüglich schriftlich mitzuteilen. In solchen Fällen teilt der Dateninhaber der gemäß Artikel 37 benannten zuständigen Behörde mit, dass er die Weitergabe von Daten verweigert oder ausgesetzt hat, und gibt an, welche Maßnahmen nicht vereinbart oder umgesetzt wurden und bei welchen Geschäftsgeheimnissen die Vertraulichkeit untergraben wurde.

(8) Wenn unter außergewöhnlichen Umständen der Dateninhaber, der Inhaber eines Geschäftsgeheimnisses ist, nachweisen kann, dass er trotz der vom Nutzer gemäß Absatz 6 des vorliegenden Artikels getroffenen technischen und organisatorischen Maßnahmen mit hoher Wahrscheinlichkeit einen schweren wirtschaftlichen Schaden durch die Offenlegung von Geschäftsgeheimnissen erleiden wird, kann er ein Datenzugangsverlangen für die betreffenden speziellen Daten im Einzelfall ablehnen. Dieser Nachweis ist auf der Grundlage objektiver Fakten, insbesondere der Durchsetzbarkeit des Schutzes von Geschäftsgeheimnissen in Drittländern, der Art und des Vertraulichkeitsgrads der verlangten Daten sowie der Einzigartigkeit und Neuartigkeit des vernetzten produkts hinreichend zu begründen und dem Nutzer unverzüglich schriftlich vorzulegen. Verweigert der Dateninhaber die Weitergabe von Daten gemäß vorliegendem Absatz, so teilt er dies der gemäß Artikel 37 benannten zuständigen Behörde mit.

(9) Unbeschadet des Rechts eines Nutzers, jederzeit vor einem Gericht eines Mitgliedstaats Rechtsmittel einzulegen, kann die Entscheidung eines Dateninhabers, die Weitergabe von Daten gemäß den Absätzen 7 und 8 abzulehnen, zu verweigern oder auszusetzen, von einem Nutzer angefochten werden, indem er

a)	gemäß Artikel 37 Absatz 5 Buchstabe b eine Beschwerde bei der zuständigen Behörde einreicht, die unverzüglich entscheidet, ob und unter welchen Bedingungen die Weitergabe der Daten beginnt oder wieder aufgenommen wird, oder

b)	mit dem Dateninhaber vereinbart, gemäß Artikel 10 Absatz 1 eine Streitbeilegungsstelle mit der Angelegenheit zu befassen.

(10) Der Nutzer darf die aufgrund eines Verlangens nach Absatz 1 erlangten Daten weder zur Entwicklung eines vernetzten produkts nutzen, das mit dem vernetzten Produkt, von dem die Daten stammen, im Wettbewerb steht, noch darf er diese Daten mit dieser Absicht an einen Dritten weitergeben oder nutzen, um Einblicke in die wirtschaftliche Lage, die Vermögenswerte und die Produktionsmethoden des Herstellers oder gegebenenfalls des Dateninhabers zu erlangen.

(11) Der Nutzer darf keine Zwangsmittel einsetzen oder Lücken in der zum Schutz der Daten bestehenden technischen Infrastruktur eines Dateninhabers ausnutzen, um Zugang zu Daten zu erlangen.

(12) Handelt es sich bei dem Nutzer nicht um die betroffene_Person, deren personenbezogene Daten verlangt werden, so darf der Dateninhaber personenbezogene Daten, die bei der Nutzung eines vernetzten Produktes oder verbundenen Dienstes generiert werden, dem Nutzer nur dann bereitstellen, wenn es für die Verarbeitung eine gültige Rechtsgrundlage gemäß Artikel 6 der Verordnung (EU) 2016/679 gibt und gegebenenfalls die Bedingungen des Artikels 9 jener Verordnung sowie des Artikels 5 Absatz 3 der Richtlinie 2002/58/EG erfüllt sind.

(13) Der Dateninhaber darf ohne Weiteres verfügbare Daten, bei denen es sich um nicht-personenbezogene Daten handelt, nur auf der Grundlage eines Vertrags mit dem Nutzer nutzen. Der Dateninhaber darf solche Daten nicht verwenden, um daraus Einblicke in die wirtschaftliche Lage, Vermögenswerte und Produktionsmethoden des Nutzers oder in die Nutzung durch den Nutzer auf jegliche andere Art, die die gewerbliche Position dieses Nutzers auf Märkten, auf denen dieser tätig ist, untergraben könnte, zu erlangen.

(14) Dateninhaber dürfen nicht-personenbezogene Produktdaten Dritten zu keinen anderen kommerziellen oder nichtkommerziellen Zwecken als zur Erfüllung ihres Vertrags mit dem Nutzer bereitstellen. Gegebenenfalls werden Dritte von Dateninhabern vertraglich verpflichtet, die von ihnen erhaltenen Daten nicht erneut weiterzugeben.

Artikel 5

Recht des Nutzers auf Weitergabe von Daten an Dritte

(1) Auf Verlangen eines Nutzers oder einer im Namen eines Nutzers handelnden Partei stellt der Dateninhaber einem Dritten ohne Weiteres verfügbare Daten sowie die für die Auslegung und Nutzung dieser Daten erforderlichen Metadaten unverzüglich, für den Nutzer unentgeltlich, in derselben Qualität, die dem Dateninhaber zur Verfügung steht, einfach, sicher, für den Nutzer unentgeltlich, in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format und, soweit relevant und technisch durchführbar, kontinuierlich und in Echtzeit bereit. Die Daten werden durch den Dateninhaber für den Dritten gemäß den Artikeln 8 und 9 bereitgestellt.

(2) Absatz 1 gilt nicht für ohne Weiteres verfügbare Daten im Zusammenhang mit der Prüfung neuer vernetzter Produkte, Stoffe oder Verfahren, die noch nicht in Verkehr gebracht werden, es sei denn, ihre Verwendung durch Dritte ist vertraglich genehmigt.

(3) Ein Unternehmen, das gemäß Artikel 3 der Verordnung (EU) 2022/1925 als Torwächter benannt wurde, gilt nicht als im Sinne des vorliegenden Artikels zugelassener Dritter und ist daher nicht berechtigt,

a)	einen Nutzer dazu aufzufordern oder durch geschäftliche Anreize in irgendeiner Weise, auch durch eine finanzielle oder sonstige Gegenleistung, dafür zu gewinnen, Daten, die vom Nutzer aufgrund eines Verlangens nach Artikel 4 Absatz 1 erlangt wurden, für einen seiner Dienste bereitzustellen;

b)	einen Nutzer dazu aufzufordern oder durch geschäftliche Anreize dafür zu gewinnen, vom Dateninhaber zu verlangen, gemäß Absatz 1 dieses Artikels Daten für einen seiner Dienste bereitzustellen;

c)	von einem Nutzer Daten zu erhalten, die der Nutzer aufgrund eines Verlangens nach Artikel 4 Absatz 1 erlangt hat.

(4) Für die Zwecke der Überprüfung, ob eine natürliche oder juristische Person für die Zwecke von Absatz 1 als Nutzer oder als Dritter einzustufen ist, werden vom Dateninhaber oder Dritten keine Informationen verlangt, die über das erforderliche Maß hinausgehen. Die Dateninhaber bewahren keine Informationen über den Zugang des Dritten zu den verlangten Daten auf, die über das hinausgehen, was für die ordnungsgemäße Ausführung des Zugangsverlangens des Dritten und für die Sicherheit und Pflege der Dateninfrastruktur erforderlich ist.

(5) Der Dritte darf keine Zwangsmittel verwenden oder Lücken in der zum Schutz der Daten bestehenden technischen Infrastruktur des Dateninhabers ausnutzen, um Zugang zu Daten zu erlangen.

(6) Der Dateninhaber darf ohne Weiteres verfügbare Daten nicht verwenden, um daraus Einblicke in die wirtschaftliche Lage, Vermögenswerte und Produktionsmethoden des Dritten oder in die Nutzung durch den Dritten auf jegliche andere Art, die die gewerbliche Position des Dritten auf den Märkten, auf denen dieser tätig ist, untergraben könnte, zu erlangen, es sei denn, der Dritte hat eine solche Nutzung genehmigt und hat die technische Möglichkeit, diese Genehmigung jederzeit einfach zu widerrufen.

(7) Handelt es sich bei dem Nutzer nicht um die betroffene_Person, deren personenbezogene Daten verlangt werden, so dürfen personenbezogene Daten, die bei der Nutzung eines vernetzten Produktes oder verbundenen Dienstes generiert werden, nur dann vom Dateninhaber dem Dritten bereitgestellt werden, wenn es für die Verarbeitung eine gültige Rechtsgrundlage gemäß Artikel 6 der Verordnung (EU) 2016/679 gibt und gegebenenfalls die Bedingungen des Artikels 9 jener Verordnung sowie des Artikels 5 Absatz 3 der Richtlinie 2002/58/EG erfüllt sind.

(8) Die Ausübung der Rechte der betroffenen Person gemäß der Verordnung (EU) 2016/679 und insbesondere des Rechts auf Datenübertragbarkeit gemäß Artikel 20 jener Verordnung darf durch Versäumnisse seitens des Dateninhabers oder des Dritten, Vorkehrungen für die Übermittlung der Daten zu treffen, nicht behindert, verhindert oder beeinträchtigt werden.

(9) Geschäftsgeheimnisse werden gewahrt und Dritten gegenüber nur insoweit offengelegt, als diese Offenlegung für den zwischen dem Nutzer und dem Dritten vereinbarten Zweck unbedingt erforderlich ist. Der Dateninhaber oder, wenn sie nicht dieselbe Person sind, der Inhaber des Geschäftsgeheimnisses ermittelt, auch in den relevanten Metadaten, die als Geschäftsgeheimnisse geschützten Daten und vereinbart mit dem Dritten alle angemessenen technischen und organisatorischen Maßnahmen, die erforderlich sind, um die Vertraulichkeit der weitergegebenen Daten zu wahren; dies gilt etwa für Mustervertragsklauseln, Vertraulichkeitsvereinbarungen, strenge Zugangsprotokolle, technische Normen und die Anwendung von Verhaltenskodizes.

(10) Wenn keine Einigung über die in Absatz 9 des vorliegenden Artikels genannten erforderlichen Maßnahmen erzielt wird oder wenn von dem Dritten die gemäß Absatz 9 des vorliegenden Artikels vereinbarten Maßnahmen nicht umgesetzt werden oder die Vertraulichkeit der Geschäftsgeheimnisse verletzt wird, kann der Dateninhaber die Weitergabe von Daten, die als Geschäftsgeheimnisse ermittelt wurden, verweigern oder gegebenenfalls aussetzen. Die Entscheidung des Dateninhabers ist ordnungsgemäß zu begründen und dem Dritten unverzüglich schriftlich mitzuteilen. In solchen Fällen teilt der Dateninhaber der gemäß Artikel 37 benannten zuständigen Behörde mit, dass er die Weitergabe von Daten verweigert oder ausgesetzt hat, und gibt an, welche Maßnahmen nicht vereinbart oder umgesetzt wurden und bei welchen Geschäftsgeheimnissen die Vertraulichkeit verletzt wurde.

(11) Wenn unter außergewöhnlichen Umständen der Dateninhaber, der Inhaber eines Geschäftsgeheimnisses ist, nachweisen kann, dass er trotz der vom Dritten gemäß Absatz 9 des vorliegenden Artikels getroffenen technischen und organisatorischen Maßnahmen mit hoher Wahrscheinlichkeit einen schweren wirtschaftlichen Schaden durch eine Offenlegung von Geschäftsgeheimnissen erleiden wird, kann er das Datenzugangsverlangen für die betreffenden speziellen Daten im Einzelfall ablehnen. Dieser Nachweis ist auf der Grundlage objektiver Fakten, insbesondere der Durchsetzbarkeit des Schutzes von Geschäftsgeheimnissen in Drittländern, der Art und des Grads der Vertraulichkeit der verlangten Daten sowie der Einzigartigkeit und Neuartigkeit des vernetzten produkts hinreichend zu begründen und Dritten unverzüglich schriftlich vorzulegen. Verweigert der Dateninhaber die Weitergabe von Daten gemäß diesem Absatz, so teilt er dies der gemäß Artikel 37 benannten zuständigen Behörde mit.

(12) Unbeschadet des Rechts Dritter, jederzeit vor einem Gericht eines Mitgliedstaats Rechtsmittel einzulegen, kann ein Dritter, der eine Entscheidung des Dateninhabers, die Weitergabe von Daten gemäß den Absätzen 10 und 11 abzulehnen, zu verweigern oder auszusetzen, anfechten möchte:

a)	gemäß Artikel 37 Absatz 5 Buchstabe b eine Beschwerde bei der zuständigen Behörde einreichen, die unverzüglich entscheidet, ob und unter welchen Bedingungen die Weitergabe der Daten beginnt oder wieder aufgenommen wird, oder

b)	mit dem Dateninhaber vereinbaren, gemäß Artikel 10 Absatz 1 eine Streitbeilegungsstelle mit der Angelegenheit zu befassen.

(13) Das Recht gemäß Absatz 1 darf die Rechte betroffener Personen gemäß dem geltenden Unionsrecht und nationalen Recht über den Schutz personenbezogener Daten nicht beeinträchtigen.

Artikel 6

Pflichten Dritter, die Daten auf Verlangen des Nutzers erhalten

(1) Ein Dritter verarbeitet die ihm nach Artikel 5 bereitgestellten Daten nur zu den Zwecken und unter den Bedingungen, die er mit dem Nutzer vereinbart hat und gemäß dem geltenden Unionsrecht und nationalen Recht über den Schutz personenbezogener Daten, einschließlich der Rechte der betroffenen Person, soweit personenbezogene Daten betroffen sind. Der Dritte löscht die Daten, sobald sie für den vereinbarten Zweck nicht mehr benötigt werden, sofern mit dem Nutzer in Bezug auf nicht-personenbezogene Daten nichts anderes vereinbart wurde.

(2) Dem Dritten ist untersagt,

den Nutzern die Ausübung ihrer Wahlmöglichkeiten oder ihrer Rechte gemäß Artikel 5 und dem vorliegenden Artikel übermäßig zu erschweren, auch nicht, indem er den Nutzern Wahlmöglichkeiten auf nicht neutrale Weise anbietet, oder die Nutzer in irgendeiner Weise zwingt, täuscht oder manipuliert oder – auch mittels einer digitalen Benutzerschnittstelle oder eines Teils davon – die Autonomie, Entscheidungsfähigkeit oder Wahlmöglichkeiten des Nutzers zu untergraben oder zu beeinträchtigen;

b)	unbeschadet des Artikels 22 Absatz 2 Buchstaben a und c der Verordnung (EU) 2016/679, die erhaltenen Daten für das Profiling zu nutzen, es sei denn, dies ist erforderlich, um den vom Nutzer gewünschten Dienst zu erbringen;

die erhaltenen Daten einem anderen Dritten bereitzustellen, es sei denn, die Daten werden auf der Grundlage eines Vertrags mit dem Nutzer bereitgestellt, und vorausgesetzt, der andere Dritte trifft alle zwischen dem Dateninhaber und dem Dritten vereinbarten Maßnahmen, die erforderlich sind, um die Vertraulichkeit von Geschäftsgeheimnissen zu wahren;

d)	die erhaltenen Daten einem Unternehmen, das gemäß Artikel 3 der Verordnung (EU) 2022/1925 als Torwächter benannt wurde, bereitzustellen;

die erhaltenen Daten zu nutzen, um ein Produkt zu entwickeln, das mit dem vernetzten Produkt, von dem die Daten stammen, im Wettbewerb steht, oder die Daten zu diesem Zweck an einen anderen Dritten weiterzugeben. Dritten ist ferner untersagt, ihnen bereitgestellte nicht-personenbezogene Produktdaten oder verbundene_Dienstdaten zu nutzen, um Einblicke in die wirtschaftliche Lage, die Vermögenswerte und die Produktionsmethoden des Dateninhabers oder die Nutzung durch den Dateninhaber zu gewinnen;

f)	die erhaltenen Daten in einer Weise zu verwenden, die nachteilige Auswirkungen auf die Sicherheit des vernetzten produkts oder des verbundenen Dienstes haben;

g)	die mit dem Dateninhaber oder dem Inhaber der Geschäftsgeheimnisse gemäß Artikel 5 Absatz 9 vereinbarten Maßnahmen zu missachten und die Vertraulichkeit von Geschäftsgeheimnissen zu untergraben;

h)	den Nutzer, bei dem es sich um einen Verbraucher handelt, daran zu hindern – einschließlich auf der Grundlage eines Vertrags –, die erhaltenen Daten anderen Parteien bereitzustellen.

Artikel 7

Umfang der Pflichten zur Datenweitergabe von Unternehmen an Verbraucher und zwischen Unternehmen

(1) Die Pflichten nach diesem Kapitel gelten nicht für Daten, die bei der Nutzung von vernetzten Produkten generiert werden, die von einem Kleinstunternehmen oder einem Kleinunternehmen hergestellt oder konzipiert werden oder die bei der Nutzung von verbundenen Diensten generiert werden, die von einem solchen Unternehmen erbracht werden, sofern dieses Unternehmen kein Partnerunternehmen oder kein verbundenes Unternehmen im Sinne des Artikels 3 des Anhangs der Empfehlung 2003/361/EG hat, das nicht als Kleinstunternehmen oder Kleinunternehmen gilt, und sofern das Kleinstunternehmen oder Kleinunternehmen nicht als Unterauftragnehmer mit der Herstellung oder der Konzeption eines vernetzten produkts oder der Erbringung eines verbundenen Dienstes beauftragt wurde.

Das Gleiche gilt für Daten, die durch die Nutzung von vernetzten Produkten generiert werden, die von einem Unternehmen hergestellt werden, das seit weniger als einem Jahr als mittleres Unternehmen Sinne des Artikels 2 des Anhangs der Empfehlung 2003/361/EG eingestuft ist, oder für verbundene Dienste, die von einem solchen Unternehmen erbracht werden, und für vernetzten Produkte für ein Jahr nach dem Zeitpunkt ihres Inverkehrbringens durch ein mittleres Unternehmen.

(2) Vertragsklauseln, die zum Nachteil des Nutzers die Anwendung der Rechte des Nutzers nach diesem Kapitel ausschließen, davon abweichen oder die Wirkung dieser Rechte abändern, sind für den Nutzer nicht bindend.

KAPITEL III

PFLICHTEN DER DATENINHABER, DIE GEMÄSS DEM UNIONSRECHT VERPFLICHTET SIND, DATEN BEREITZUSTELLEN

Artikel 11

Technische Schutzmaßnahmen über die unbefugte Nutzung oder Offenlegung von Daten

(1) Ein Dateninhaber kann geeignete technische Schutzmaßnahmen, einschließlich intelligenter Verträge und Verschlüsselung, anwenden, um den unbefugten Zugang zu Daten, einschließlich Metadaten, zu verhindern und die Einhaltung der Artikel 5, 6, 8 und 9 sowie der für die Datenbereitstellung vereinbarten Mustervertragsklauseln sicherzustellen. Bei solchen technischen Schutzmaßnahmen dürfen weder Datenempfänger unterschiedlich behandelt werden noch dürfen Nutzer an der Ausübung ihres Rechts, eine Kopie der Daten zu erhalten, Daten abzurufen, zu verwenden oder auf diese zuzugreifen oder Dritten nach Artikel 5 Daten bereitzustellen, oder Dritte an der Ausübung ihrer Rechte nach dem Unionsrecht oder den nationalen Rechtsvorschriften, die im Einklang mit dem Unionsrecht angenommen wurden, gehindert werden. Nutzer, Dritte und Datenempfänger dürfen solche technischen Schutzmaßnahmen nur ändern oder aufheben, wenn der Dateninhaber dem zugestimmt hat.

(2) Unter den in Absatz 3 genannten Umständen kommt der Dritte oder der Datenempfänger den Aufforderungen des Dateninhabers und gegebenenfalls des Inhabers des Geschäftsgeheimnisses – wenn es sich nicht um dieselbe Person handelt – oder des Nutzers unverzüglich nach:

a)	die vom Dateninhaber bereitgestellten Daten und alle etwaigen Kopien davon zu löschen;

das Herstellen, Anbieten, Inverkehrbringen oder Verwenden von Waren, abgeleiteten Daten oder Dienstleistungen, die auf den mit den Daten erlangten Kenntnissen beruhen, oder das Einführen, Ausführen oder Lagern von in diesem Sinne rechtsverletzenden Waren einzustellen und alle rechtsverletzenden Waren zu vernichten, wenn die ernsthafte Gefahr besteht, dass die unrechtmäßige Verwendung dieser Daten dem Dateninhaber, dem Inhaber des Geschäftsgeheimnisses oder dem Nutzer einen erheblichen Schaden zufügt, bzw. sofern eine solche Maßnahme im Hinblick auf die Interessen des Dateninhabers, des Inhabers des Geschäftsgeheimnisses oder des Nutzers nicht unverhältnismäßig wäre;

c)	den Nutzer über die unbefugte Nutzung oder Offenlegung der Daten und über die Maßnahmen, die ergriffen wurden, um die unbefugte Nutzung oder Offenlegung der Daten zu unterbinden, zu unterrichten;

d)	die Partei, die durch den Missbrauch oder die Offenlegung dieser unrechtmäßig abgerufenen oder genutzten Daten geschädigt wurde, zu entschädigen.

(3) Absatz 2 findet Anwendung, wenn ein Dritter oder ein Datenempfänger

a)	zwecks Erlangung der Daten einem Dateninhaber falsche Informationen gegeben, Täuschungs- oder Zwangsmittel eingesetzt oder Lücken in der zum Schutz der Daten bestehenden technischen Infrastruktur der Daten missbraucht hat,

b)	die bereitgestellten Daten für nicht genehmigte Zwecke, einschließlich der Entwicklung eines konkurrierenden vernetzten produkts im Sinne von Artikel 6 Absatz 2 Buchstabe e, genutzt hat,

c)	unrechtmäßig Daten an eine andere Partei weitergegeben hat,

d)	die gemäß Artikel 5 Absatz 9 vereinbarten technischen und organisatorischen Maßnahmen nicht aufrechterhalten hat oder

e)	die vom Dateninhaber gemäß Absatz 1 des vorliegenden Artikels angewandten technischen Schutzmaßnahmen ohne Zustimmung des Dateninhabers verändert oder aufgehoben hat.

(4) Absatz 2 gilt ebenfalls, wenn ein Nutzer die vom Dateninhaber angewandten technischen Schutzmaßnahmen ändert oder aufhebt oder die vom Nutzer im Einvernehmen mit dem Dateninhaber oder, wenn sie nicht dieselbe Person sind, dem Inhaber des Geschäftsgeheimnisses getroffenen technischen und organisatorischen Maßnahmen zur Wahrung von Geschäftsgeheimnissen nicht aufrechterhält, sowie für jede andere Partei, die die Daten von dem Nutzer unter Verstoß gegen diese Verordnung erhält.

(5) Hat der Datenempfänger gegen Artikel 6 Absatz 2 Buchstabe a oder b verstoßen, so haben die Nutzer dieselben Rechte wie Dateninhaber gemäß Absatz 2 des vorliegenden Artikels.

Artikel 33

Wesentliche Anforderungen an die Interoperabilität von Daten, von Mechanismen und Diensten für die Datenweitergabe sowie von gemeinsamen europäischen Datenräumen

(1) Teilnehmer an Datenräumen, die anderen Teilnehmern Daten oder Datendienste anbieten, müssen die folgenden wesentlichen Anforderungen zur Erleichterung der Interoperabilität von Daten, von Mechanismen und Diensten für die Datenweitergabe sowie von gemeinsamen europäischen Datenräumen erfüllen, bei denen es sich um zweck- oder sektorspezifische oder sektorübergreifende interoperable Rahmen für gemeinsame Normen und Verfahren für die Weitergabe oder die gemeinsame Verarbeitung von Daten – unter anderem für die Entwicklung neuer Produkte und Dienste, wissenschaftliche Forschung oder Initiativen der Zivilgesellschaft – handelt:

a)	Datensatzinhalte, Nutzungsbeschränkungen, Lizenzen, Datenerhebungsmethoden, Datenqualität und Unsicherheiten sind – gegebenenfalls in maschinenlesbarem Format – hinreichend beschrieben, um dem Empfänger das Auffinden der Daten, den Datenzugang und die Datennutzung zu ermöglichen;

b)	die Datenstrukturen, Datenformate, Vokabulare, Klassifizierungssysteme, Taxonomien und Codelisten, sofern verfügbar, werden in einer öffentlich verfügbaren und einheitlichen Weise beschrieben;

die technischen Mittel für den Datenzugang, wie etwa Anwendungsprogrammierschnittstellen, sowie ihre Nutzungsbedingungen und die Dienstqualität sind ausreichend beschrieben, um den automatischen Datenzugang und die automatische Datenübermittlung zwischen den Parteien, auch kontinuierlich, im Massen-Download oder in Echtzeit in einem maschinenlesbaren Format zu ermöglichen, sofern dies technisch machbar ist und das reibungslose Funktionieren des vernetzten produkts nicht beeinträchtigt;

d)	es werden gegebenenfalls die Mittel bereitgestellt, mit denen die Interoperabilität von Tools für die Automatisierung der Ausführung von Verträgen über die Datenweitergabe, wie intelligenten Verträgen, ermöglicht wird.

Die Anforderungen können allgemeiner Art sein oder bestimmte Sektoren betreffen, müssen aber die Wechselwirkungen mit Anforderungen aus anderem Unionsrecht oder aus nationalem Recht in vollem Umfang berücksichtigen.

(2) Der Kommission wird die Befugnis übertragen, gemäß Artikel 45 dieser Verordnung delegierte Rechtsakte zur Ergänzung dieser Verordnung durch die nähere Bestimmung der in Absatz 1 des vorliegenden Artikels festgelegten wesentlichen Anforderungen zu erlassen, und zwar in Bezug auf diejenigen Anforderungen, die naturgemäß nicht die beabsichtigte Wirkung entfalten können, sofern sie nicht in verbindlichen Rechtsakten der Union näher spezifiziert werden, und mit Ziel, den technologischen Entwicklungen und Marktentwicklungen angemessen Rechnung zu tragen.

Die Kommission berücksichtigt den Rat des EDIB gemäß Artikel 42 Buchstabe c, wenn sie delegierte Rechtsakte erlässt.

(3) Bei Teilnehmern an Datenräumen, die Daten oder Datendienste für andere Teilnehmer an Datenräumen anbieten, die ganz oder teilweise den harmonisierten Normen entsprechen, deren Fundstellen im Amtsblatt der Europäischen Union veröffentlicht werden, wird die Konformität mit den in Absatz 1 festgelegten wesentlichen Anforderungen vermutet, soweit diese Anforderungen durch diese harmonisierten Normen oder Teile dieser harmonisierten Normen erfasst werden.

(4) Die Kommission beauftragt gemäß Artikel 10 der Verordnung (EU) Nr. 1025/2012 eine oder mehrere europäische Normungsorganisationen damit, Entwürfe für harmonisierte_Normen zu erarbeiten, die den in Absatz 1 des vorliegenden Artikels festgelegten wesentlichen Anforderungen genügen.

(5) Die Kommission kann im Wege von Durchführungsrechtsakten gemeinsame_Spezifikationen erlassen, die einige oder alle in Absatz 1 festgelegten wesentlichen Anforderungen erfassen, sofern folgende Voraussetzungen erfüllt sind:

Die Kommission hat gemäß Artikel 10 Absatz 1 der Verordnung (EU) Nr. 1025/2012 eine oder mehrere europäische Normungsorganisationen damit beauftragt, eine harmonisierte_Norm zu erarbeiten, die den in Absatz 1 des vorliegenden Artikels festgelegten wesentlichen Anforderungen genügt, und

i)	der Auftrag wurde entweder nicht angenommen,

ii)	die harmonisierten Normen für diesen Auftrag sind nicht innerhalb der gemäß Artikel 10 Absatz 1 der Verordnung (EU) Nr. 1025/2012 gesetzten Frist vorgelegt worden oder

iii)	die harmonisierten Normen erfüllen den Auftrag nicht, und

im Amtsblatt der Europäischen Union ist für die harmonisierten Normen, die die einschlägigen, in Absatz 1 des vorliegenden Artikels festgelegten wesentlichen Anforderungen erfassen, keine Fundstelle gemäß der Verordnung (EU) Nr. 1025/2012 veröffentlicht, und wird eine solche Fundstelle voraussichtlich auch nicht innerhalb einer angemessenen Frist veröffentlicht werden.

Diese Durchführungsrechtsakte werden gemäß dem in Artikel 46 Absatz 2 genannten Prüfverfahren erlassen.

(6) Vor der Ausarbeitung eines Entwurfs des in Absatz 5 des vorliegenden Artikels genannten Durchführungsrechtsakts teilt die Kommission dem in Artikel 22 der Verordnung (EU) Nr. 1025/2012 genannten Ausschuss mit, dass die Bedingungen von Absatz 5 des vorliegenden Artikels ihres Erachtens erfüllt sind.

(7) Bei der Ausarbeitung des Entwurfs des in Absatz 5 genannten Durchführungsrechtsakts berücksichtigt die Kommission den Rat des EDIB und die Standpunkte anderer einschlägiger Gremien oder Expertengruppen und konsultiert ordnungsgemäß alle einschlägigen Interessenträger.

(8) Bei Teilnehmern an Datenräumen, die Daten oder Datendienste für andere Teilnehmer an Datenräumen anbieten, die ganz oder teilweise den gemeinsamen Spezifikationen entsprechen, die gemäß den in Absatz 5 genannten Durchführungsrechtsakten festgelegt wurden, wird die Konformität mit den in Absatz 1 festgelegten wesentlichen Anforderungen vermutet, soweit diese Anforderungen ganz oder teilweise durch diese gemeinsamen Spezifikationen erfasst werden.

(9) Wird eine harmonisierte_Norm von einer europäischen Normungsorganisation angenommen und der Kommission für die Zwecke der Veröffentlichung ihrer Fundstelle im Amtsblatt der Europäischen Union vorgeschlagen, so bewertet die Kommission die harmonisierte_Norm gemäß der Verordnung (EU) Nr. 1025/2012. Wird die Fundstelle einer harmonisierten Norm im Amtsblatt der Europäischen Union veröffentlicht, so werden die in Absatz 5 des vorliegenden Artikels genannten Durchführungsrechtsakte, die dieselben wesentlichen Anforderungen erfassen, wie sie von dieser harmonisierten Norm erfasst sind, von der Kommission ganz oder teilweise aufgehoben.

(10) Ist ein Mitgliedstaat der Auffassung, dass eine gemeinsame Spezifikation den in Absatz 1 festgelegten wesentlichen Anforderungen nicht vollständig entspricht, so setzt er die Kommission durch die Übermittlung einer ausführlichen Erläuterung davon in Kenntnis. Die Kommission bewertet die ausführliche Erläuterung und kann gegebenenfalls den Durchführungsrechtsakt ändern, durch den die fragliche gemeinsame Spezifikation festgelegt wurde.

(11) Die Kommission kann unter Berücksichtigung des Vorschlags des EDIB gemäß Artikel 30 Buchstabe h der Verordnung (EU) 2022/868 zur Festlegung von interoperablen Rahmen für gemeinsame Normen und Verfahren für das Funktionieren gemeinsamer europäischer Datenräume Leitlinien annehmen.

Artikel 43

Datenbanken, die bestimmte Daten enthalten

Das in Artikel 7 der Richtlinie 96/9/EG festgelegte Schutzrecht sui generis findet keine Anwendung, wenn Daten mittels eines in den Anwendungsbereich der vorliegenden Verordnung – und insbesondere der Artikel 4 und 5 dieser Verordnung – fallenden vernetzten produkts oder verbundenen Dienstes erlangt oder erzeugt wurden.

KAPITEL XI

SCHLUSSBESTIMMUNGEN

whereas

keyboard_tab Data Act 2023/2854 DE

Data Act 2023/2854 DE