Mobilität nicht personenbezogener Daten

Fragen und Antworten: Ein Rahmen für den freien Verkehr nicht personenbezogener Daten in der EU
Was ändert sich mit der neu angenommenen Verordnung?

Mit der Verordnung über den freien Verkehr nicht personenbezogener Daten haben das Europäische Parlament, der Rat und die Europäische Kommission eine politische Einigung über einen neuen Grundsatz erzielt, mit dem Datenlokalisierunganforderungen aufgehoben werden und gleichzeitig dafür gesorgt wird, dass die zuständigen Behörden für ordnungspolitische Kontrollzwecke Zugang zu Daten haben. Die Verordnung gilt nur für nicht personenbezogene Daten. Dabei handelt es sich um Daten, die sich nicht auf eine bestimmte oder bestimmbare Person beziehen, wie etwa anonymisierte und zwischen Maschinen ausgetauschte Daten.

In Kombination mit den europäischen Vorschriften über den Schutz personenbezogener Daten, die mit der Datenschutz-Grundverordnung eingeführt wurden, gewährleisten die neuen Maßnahmen den freien Datenverkehr in Europa – ein wesentliches Element der Strategie für einen digitalen Binnenmarkt.

Warum findet die Verordnung ausschließlich auf nicht personenbezogene Daten Anwendung?
Der neue Rahmen für den freien Verkehr nicht personenbezogener Daten ergänzt bestehende Rechtsvorschriften für personenbezogene Daten, die am 25. Mai 2018 in Kraft getreten sind. Neben einem hohen Schutzniveau für personenbezogene Daten sind in der Datenschutz-Grundverordnung (DSGVO) auch die Freizügigkeit und Übertragbarkeit personenbezogener Daten innerhalb der EU bereits vorgesehen. Die Verarbeitung und Speicherung personenbezogener Daten fallen in ihren Geltungsbereich. Die Mitgliedstaaten dürfen keine Datenlokalisierungsbeschränkungen zum Schutz personenbezogener Daten auferlegen.

Der neue Rahmen für den freien Verkehr nicht personenbezogener Daten vermeidet Überschneidungen und gewährleistet die Kohärenz mit bestehenden Rechtsvorschriften der EU. Mit ihm sollen für den freien Verkehr bei der Speicherung und Verarbeitung elektronischer Daten mit Ausnahme personenbezogener Daten EU-weit dieselben Vorschriften gelten. Zusammen mit der Datenschutz-Grundverordnung werden die neuen Maßnahmen für ein umfassendes und kohärentes Konzept beim freien Verkehr und der Übertragbarkeit von Daten in der EU sorgen.

Die Kommission wird Hinweise in Bezug auf die Wechselwirkung zwischen der Verordnung über den freien Verkehr nicht personenbezogener Daten und der Datenschutz-Grundverordnung insbesondere im Hinblick auf gemischte Datensätze veröffentlichen.

Warum müssen die Hindernisse für die Mobilität nicht personenbezogener Daten beseitigt werden?
Die datengestützte Innovation ist eine Grundvoraussetzung für Wachstum und Beschäftigung und kann die Wettbewerbsfähigkeit Europas auf dem globalen Markt erheblich steigern. Um den größtmöglichen Nutzen aus der Datenwirtschaft zu ziehen, ist es von wesentlicher Bedeutung, dass Daten über Grenzen hinweg fließen und über die nationalen Grenzen hinweg genutzt werden können.

Die Aufhebung der Datenlokalisierungsbeschränkungen gilt als der wichtigste Faktor, damit die Datenwirtschaft ihr volles Potenzial entfaltet und auf bis zu 739 Mrd. EUR im Jahr 2020 wächst, was einer Verdoppelung ihres Werts auf 4 Prozent des BIP entspräche [1].

Darüber hinaus würden durch die Abschaffung bestehender Datenlokalisierungsmaßnahmen die Kosten von Datendiensten sinken. Unternehmen wären bei der Gestaltung ihres Datenmanagements und ihrer Datenanalysen flexibler, wobei gleichzeitig ihre Nutzung und die Auswahl an Anbietern wachsen würden. Dies könnte zu einer Steigerung des BIP um bis zu 8 Mrd. EUR pro Jahr führen [2].

Was sind die gegenwärtigen Hindernisse für den freien Verkehr nicht personenbezogener Daten?
Derzeit hindern Datenlokalisierungsbeschränkungen seitens der Behörden der Mitgliedstaaten und Hindernisse für den freien Datenverkehr zwischen IT-Systemen (Praktiken des sogenannten "Vendor-lock-ins") Unternehmen und Organisationen in der EU daran, wirtschaftliche, soziale und geschäftliche Chancen optimal zu nutzen. Durch einen Mangel an Rechtssicherheit und Vertrauen entstehen zusätzliche Hindernisse für den freien Verkehr nicht personenbezogener Daten.

In der Praxis bedeutet dies, dass ein Unternehmen tatsächlich oder gefühlt nicht in der Lage ist, Cloud-Dienste in vollem Umfang zu nutzen, die kostengünstigsten Standorte für IT-Ressourcen zu wählen, zwischen Dienstanbietern zu wechseln oder seine Daten zurück in seine eigenen IT-Systeme zu übertragen. Nach dem Grundsatz des freien Verkehrs nicht personenbezogener Daten können Unternehmen die Dopplung ihrer Daten an mehreren Standorten vermeiden, neue Märkte mit mehr Selbstvertrauen erschließen und ihre Tätigkeiten leichter ausweiten.

Gibt es konkrete Beispiele für Datenlokalisierungsauflagen?
Durch Studien, Gespräche mit Interessenträgern und öffentliche Konsultationen hat die Kommission festgestellt, dass der Standort für die Speicherung oder Verarbeitung von Daten in vielerlei Weise eingeschränkt ist. Datenlokalisierungsbeschränkungen, die die Datenmobilität unmittelbar oder mittelbar begrenzen, treten in verschiedenen Formen und in unterschiedlichen Sektoren auf.

Beispiele:
>> Aufsichtsbehörden raten Finanzdienstleistern an, ihre Daten im Inland zu speichern;
>> Vertraulichkeitsvorschriften (z. B. im Gesundheitssektor) sehen eine lokale Datenspeicherung und ‑verarbeitung vor;
>> nach allgemeinen Vorschriften müssen vom öffentlichen Sektor generierte Informationen – unabhängig von ihrer Vertraulichkeit – im Inland gespeichert werden.

Während Datenlokalisierungsbeschränkungen in bestimmten Zusammenhängen (z. B. öffentliche Sicherheit) gerechtfertigt und verhältnismäßig sein können, besteht eine Tendenz zu ungerechtfertigten Datenlokalisierungsbeschränkungen sowohl in Europa als auch weltweit. Dies beruht oftmals auf der irrigen Annahme, dass lokale Dienste grundsätzlich sicherer als grenzüberschreitende Dienste sind.

Werden Datenflüsse zwischen der EU und Drittstaaten ebenfalls erfasst?
Nein, die Verordnung gilt nur für die Datenmobilität innerhalb der EU.

In welchen Fällen werden zuständige Behörden Zugang zu Daten erhalten, die in einem anderen EU-Mitgliedstaat gespeichert sind?
Die Verordnung stellt sicher, dass die zuständigen Behörden Zugang zu Daten haben, die in einem anderen Mitgliedstaat gespeichert oder verarbeitet werden, damit sie ihren Aufgaben entsprechend ihrem ordnungspolitischen Auftrag nachkommen können, wie sie es auch bei in ihrem eigenen Hoheitsgebiet gespeicherten Daten tun. Grundsätzlich darf die Speicherung oder sonstige Verarbeitung von Daten im Ausland nicht als Vorwand dienen, um den nationalen Regulierungsbehörden den Zugang zu Daten zu verweigern. Ein solcher Zugang wird in Fällen gewährt werden müssen, in denen eine nationale Regulierungsbehörde rechtlich befugt ist, den Zugang von einem bestimmten Dateninhaber zu verlangen, und soweit dies zur Wahrnehmung der amtlichen Pflichten der Regulierungsbehörde erforderlich ist.

Erhält eine Regulierungsbehörde nicht unmittelbar vom Dateninhaber Zugang zu den Daten, könnte sie einen bestimmten etablierten Mechanismus für die Zusammenarbeit nutzen, um einen anderen Mitgliedstaat um Unterstützung zu ersuchen. Findet kein bestimmter Mechanismus für die Zusammenarbeit Anwendung bzw. besteht kein solcher, sieht die neue Verordnung einen standardmäßigen Mechanismus für die Zusammenarbeit zwischen den zuständigen Behörden vor. Falls unbedingt erforderlich, können auch einstweilige Maßnahmen gegen Nutzer, die den freien Datenverkehr missbrauchen und der Regulierungsbehörde die Daten nicht zur Verfügung stellen, angeordnet werden. Erfordern derartige einstweilige Maßnahmen eine Verlagerung der Daten für mehr als 180 Tage, so muss die Kommission die Vereinbarkeit der Maßnahmen mit dem Unionsrecht prüfen.

Ferner schafft die Verordnung eine zentrale Anlaufstelle pro Mitgliedstaat, die mit den Anlaufstellen der anderen Mitgliedstaaten und der Kommission zusammenarbeitet, um für die wirksame Anwendung dieser neuen Vorschriften für den freien Verkehr nicht personenbezogener Daten zu sorgen.

Wie wird es durch die Verordnung einfacher, den Datendienstleister zu wechseln? Welche Vorteile bringt ein einfacherer Anbieterwechsel?
Die Kommission wird die Entwicklung im Rahmen der Selbstregulierung auferlegter Verfahrenskodizes unterstützen und fördern, um den Anbieterwechsel zu erleichtern. Die Verordnung enthält besondere Vorgaben für solche Verfahrensregeln. Beispielweise müssen die Nutzer über die Bedingungen informiert werden, unter denen sie Daten außerhalb ihrer IT-Umgebungen übertragen können. In den Verfahrensregeln sollten auch bewährte Praktiken in Bezug auf die Prozesse, technischen Anforderungen, zeitlichen Abläufe und Kosten, die bei einem Anbieterwechsel entstehen können, berücksichtigt werden.

Die an der Selbstregulierung Beteiligten müssen Pläne zur Sensibilisierung für die Verhaltenskodizes vorlegen. In vier Jahren wird die Kommission die Umsetzung der Verhaltenskodizes überprüfen. Gelangt die Kommission zu der Auffassung, dass keine ausreichenden Fortschritte erzielt wurden, so kann sie zusätzliche Maßnahmen vorschlagen.

Die Möglichkeit der unbehinderten Übertragung von Daten und die Transparenz der geltenden Bedingungen sind wichtige Voraussetzungen für die bewusste Wahl eines Cloud-Dienstes durch die Nutzer und für einen wirksamen Wettbewerb auf den Datenverarbeitungsmärkten. Sie dürften das Vertrauen gewerblicher Nutzer in grenzüberschreitende Angebote und damit ihr Vertrauen in den Binnenmarkt stärken.

Wie wird sich diese Verordnung auf die Bürgerinnen und Bürger der EU auswirken?
Die Verordnung über den freien Verkehr nicht personenbezogener Daten gilt für andere Daten als personenbezogene Daten. Aus diesem Grund wirkt sie sich vor allem auf Nutzer von Datenspeicherungs- und -verarbeitungsdiensten in Unternehmen und im öffentlichen Sektor bzw. auf Einzelpersonen in einer beruflichen Funktion aus. Die Verordnung über den freien Verkehr nicht personenbezogener Daten gehört zu einer Reihe von Vorschlägen im Rahmen der Strategie für einen digitalen Binnenmarkt. Andere Vorschläge können die Bürgerinnen und Bürger unmittelbarer betreffen.

Zum Beispiel werden durch das Vertragsrecht für die Bereitstellung digitaler Inhalte die Verbraucherrechte bei der Kündigung von Verträgen mit Anbietern digitaler Inhalte, beispielsweise Anbietern von Cloud-Diensten, oder bei der Wiedererlangung personenbezogener Daten, die von Anbietern digitaler Inhalte verarbeitet werden, gestärkt. Zur Vermeidung von Überschneidungen mit diesen und anderen EU-Instrumenten gilt die Verordnung über den freien Verkehr nicht personenbezogener Daten nicht unmittelbar für die Bürgerinnen und Bürger. Allerdings dürften die Bürgerinnen und Bürger durch einen wettbewerbsfähigeren und offeneren Binnenmarkt für Datenspeicherungs- und -verarbeitungsdienste in der EU indirekt von dieser Verordnung profitieren.

Wie wird sich die Verordnung auf den öffentlichen Sektor auswirken?
In dieser Verordnung geht es um die Wahlfreiheit für Unternehmen, aber auch für den öffentlichen Sektor. Es heißt darin ausdrücklich, dass Behörden ebenso wenig wie Unternehmen oder andere gewerbliche Nutzer zur Auslagerung von Daten an Cloud-Diensteanbieter gezwungen werden. Ferner wird klargestellt, dass die Verordnung nicht für die interne Organisation der Datenverarbeitung zwischen Behörden und öffentlichen Einrichtungen gilt, bei der keine vertragliche Vergütung privater Dienstleister stattfindet.

Dagegen verbietet die Verordnung Verwaltungsvorschriften (z. B. regulatorische Leitlinien) zur Auferlegung von Datenlokalisierungsanforderungen bei der Vergabe öffentlicher Aufträge. Dies bedeutet, dass Behörden bei Strategien und Praktiken im Bereich der Auftragsvergabe für Cloud-Dienste davon absehen sollten, die Lokalisierung der Datenverarbeitung in ihrem eigenen Hoheitsgebiet vorzuschreiben, es sei denn, dies ist eindeutig aus Gründen der öffentlichen Sicherheit gerechtfertigt.

Welche Auswirkungen auf die Datensicherheit sind zu erwarten?
In der neuen Verordnung wird klargestellt, dass alle derzeit für Unternehmen und öffentliche Verwaltungen gültigen Sicherheitsanforderungen auch weiterhin gelten, wenn diese Einrichtungen sich für die Datenspeicherung oder -verarbeitung in einem anderen Mitgliedstaat bzw. für die Nutzung von Cloud-Diensten entscheiden. Daher wird die Aufmerksamkeit der Unternehmen durch die Verordnung verstärkt auf ihre Verantwortung für die Sicherheit bei der Datenspeicherung und -verarbeitung im grenzüberschreitenden Kontext gelenkt.

Die neuen Maßnahmen stützen sich auf die Umsetzungsmechanismen gemäß der Richtlinie über die Sicherheit von Netz- und Informationssystemen, um die Widerstandsfähigkeit gegenüber Cyberangriffen bei der grenzüberschreitenden Speicherung und Verarbeitung von Daten zu stärken. Neben dieser Verordnung hat die Kommission vorgeschlagen, die Reaktionsfähigkeit der EU auf Cyberangriffe zu verbessern, und hat einen neuen Rahmen für die Cybersicherheit vorgestellt, um Cyberbedrohungen besser vorauszusehen, darauf zu reagieren und diese abzuwehren. Dazu gehört auch der Vorschlag für einen neuen europäischen Rahmen für die Cybersicherheitszertifizierung. Die künftige Entwicklung von Zertifizierungssystemen für die Cloud in einem solchen Rahmen wird letztendlich Angebot und Nachfrage in Bezug auf grenzüberschreitende Cloud- und sonstige Datendienste stärken und das ganze System sehr viel vertrauenswürdiger machen, sodass die Nutzung von Cloud-Diensten durch Unternehmen in der EU angeregt wird.

Was hat die Kommission unternommen, um die EU-Datenwirtschaft zu fördern?
Im Jahr 2014 schlug die Kommission in ihrer Mitteilung "Für eine florierende datengesteuerte Wirtschaft" Maßnahmen vor, um den Übergang zu einer datengesteuerten Wirtschaft zu beschleunigen, insbesondere durch die Entwicklung eines EU-weiten Datenökosystems und die Förderung datengesteuerter Innovation. Auch die Beseitigung von Hindernissen für den freien Verkehr nicht personenbezogener Daten ist eine der wichtigsten in der Halbzeitüberprüfung der Strategie für einen digitalen Binnenmarkt angekündigten Maßnahmen.

Diese Verordnung ergänzt die Maßnahmen zum Aufbau einer europäischen Datenwirtschaft, die im Januar 2017 eingeleitet wurden und mit denen die Kommission die bestmögliche Nutzung des Potenzials digitaler Daten zum Vorteil der Wirtschaft und der Gesellschaft vorantreiben will. Es werden die Hindernisse für den freien Datenverkehr sowie weitere, neu entstehende Herausforderungen für die europäische Datenwirtschaft bewertet.

Die Verordnung baut außerdem auf dem Paket zur Digitalisierung der europäischen Industrie vom April 2016 auf, zu dem auch die Europäische Cloud-Initiative für eine Lösung zur Speicherung, gemeinsamen Nutzung und Weiterverwendung wissenschaftlicher Daten mittels einer hochleistungsfähigen Cloud gehört. Sie stützt sich ferner auf die Überarbeitung des Europäischen Interoperabilitätsrahmens, um die digitale Zusammenarbeit zwischen öffentlichen Verwaltungen in Europa zu verbessern.

Zur Ergänzung des gemeinsamen europäischen Datenraums veröffentlichte die Kommission am 25. April 2018 zusätzliche Vorschläge zur Stärkung der europäischen Datenwirtschaft, einschließlich der Überprüfung der Richtlinie über Informationen des öffentlichen Sektors und Leitlinien für den Austausch von Daten zwischen Unternehmen sowie in Bezug auf die künstliche Intelligenz, die Haftung bei Datendiensten und die Verbreitung von wissenschaftlichen Informationen.

(*) Bei diesen Fragen und Antworten handelt es sich um eine verkürzte Fassung des MEMO/17/3191 vom 19.9.2017.

[1] IDC 2017, European Data Market Study (Untersuchung des europäischen Datenmarktes), Abschlussbericht.
[2] ECIPE-Kurzbericht 2016, "Unleashing Internal Data Flows in the EU: An Economic Assessment of Data Localisation Measures in the EU Member States" (Freisetzung interner Datenflüsse in der EU: Eine wirtschaftliche Bewertung der Datenlokalisierungsmaßnahmen in den EU-Mitgliedstaaten).
MEMO/18/4249
(Europäische Kommission: ra)

eingetragen: 08.07.18
Newsletterlauf: 31.07.18

Meldungen: Europäische Kommission