Der Data Act enthält Vorgaben zum Umgang mit Daten von vernetzen Produkten und verpflichtet Unternehmen dazu, vertragliche Regelungen mit ihrer tatsächlichen Systemarchitektur abzustimmen. Denn in einem Vertrag sind Zusagen schnell gemacht, doch muss das zugrundeliegende System diese auch technisch erfüllen können.
Wir erklären, wie Sie Vertragsklauseln so gestalten, dass sie die Anforderungen des Data Acts erfüllen – und was Sie lieber nicht zusagen sollten.
Wofür braucht es Data-Act-konforme Vertragsklauseln bei vernetzten Produkten?
Art. 2 des Data Acts definiert die Rollen der Beteiligten am Datenaustausch vernetzter Produkte und Dienste:
- Dateninhaber ist der Hersteller des vernetzten Produkts oder der Dienstanbieter.
- Nutzer ist jede natürliche oder juristische Person, die das Produkt besitzt, mietet oder least.
- Datenempfänger ist jeder, der vom Dateninhaber Daten bekommt, ohne selbst Nutzer zu sein.
Zwischen diesen Parteien ist ein Vertrag erforderlich, der Zugangs,- Nutzungs- und Weitergaberechte der erzeugten Daten regelt.
Hierbei spielt die Praxistauglichkeit solcher Regelungen die entscheidende Rolle. Wer Datenzugänge, Reaktionszeiten, Fristen oder Sicherheitsmaßnahmen vertraglich zusagt, muss diese später auch technisch einhalten können und braucht dafür eine Systemarchitektur, die diesen Anforderungen tatsächlich auch gerecht werden kann.
Wie sind Data-Act-konforme Vertragsklauseln zu gestalten?
Mustervertragsklauseln für den Data Act
Die EU-Kommission hat für den Datenaustausch nach Kapitel II und III des Data Acts Mustervertragsklauseln (MCTs) entwickelt. Diese können Unternehmen nutzen, um die rechtlichen Vorgaben zur gemeinsamen Datennutzung einfach und klar in ihren Verträgen zu integrieren.
Dabei decken die MCTs die wichtigsten Konstellationen ab:
- das Verhältnis zwischen Dateninhaber und Nutzer bzgl. des Datenzugriffs, der Datennutzung und der Datenweitergabe;
- das Verhältnis zwischen Nutzer und Datenempfänger, also die Bedingungen, unter denen ein vom Nutzer ausgewählter Dritter die Daten verwenden darf;
- das Verhältnis zwischen Dateninhaber und Datenempfänger, wenn Daten auf Wunsch des Nutzers weitergegeben werden.
Standardvertragsklauseln
Ebenso wurden von der EU-Kommission für den Wechsel zwischen Datenverarbeitungsdiensten (Kapitel VI des Data Acts) feste Standardvertragsklauseln (SSCs) festgelegt. Diese Klauseln sollen Unternehmen helfen, den Übergang zu einem anderen Anbieter rechtlich klar und praktisch zu regeln (Exit und Switching). Damit wird gewährleistet, dass der Vertrag nicht nur den laufenden Betrieb regelt, sondern auch einen geordneten Wechsel sowie das Vertragsende umfasst. Dazu gehören auch Vorgehen zur Datenportabilität, zu Übergabeformaten, Unterstützungspflichten, Rückgabefristen, Löschkonzepte und Übergangsleistungen.
Darüber hinaus gibt es weitere Standardvertragsklauseln, die ein faires Vertragsverhältnis absichern sollen und damit verhindern, dass eine Seite der anderen einseitig ungünstige Bedingungen auferlegt.
Service Level Agreement
Mit dem Service Level Agreement (SLA) sind vertragliche Leistungszusagen gemeint. Darin wird festgelegt, wie zum Beispiel der Support erreichbar ist, wie schnell auf Probleme reagiert wird, wie lange eine Störung maximal dauern darf, was als Beginn einer Frist gilt, welche Eskalationsstufen vorgesehen sind und welche Systeme einbezogen werden.
Erst wenn das SLA mit der tatsächlichen System- und Betriebsrealität zusammenpasst und für beide Seiten klar ist, welche Leistungen erwartet werden können, ist der Vertrag wirklich belastbar.
Bei einem SLA ist es wichtig, Ziele klar und realistisch zu formulieren. Ein SLA bietet nur dann einen Mehrwehrt, wenn es nicht nur isoliert als juristisch sauberes Leistungsversprechen formuliert wird, sondern an messbare Systemparameter gekoppelt ist.
Dafür muss zunächst festgelegt werden, welche IT-Leistungen betroffen sind und was davon messbar ist bzw. wie gemessen werden soll (Kriterien, Messmethoden). Aus diesen Punkten werden dann konkrete Kennzahlen gebildet, die im nächsten Schritt mit dem jeweiligen Dienstleister abgestimmt werden müssen, um zu prüfen, welche Ziele realistisch sind und wo die Technik ihre Grenzen hat.
Beispiel: Wer eine Bereitstellung „innerhalb von 24 Stunden“ zusagt, muss zuerst intern prüfen, ob die Kapazitäten dafür gegeben sind. Damit soll gewährleistet werden, dass Fristen nicht einfach so festgelegt werden, sondern mit Startpunkt, Messmethode, Verantwortlichkeit und Ausnahmen versehen werden.
Welche Klauseln sind gemäß Data Act riskant oder unzulässig?
Es sind vor allem solche Klauseln kritisch, die ein Unternehmen im Vergleich zu seinem Vertragspartner im B2B-Bereich einseitig benachteiligen, indem sie ihm unangemessene Pflichten, Risiken oder Einschränkungen auferlegen. Ziel von Kapitel IV des Data Acts ist, Unternehmen, insbesondere kleine und mittlere Unternehmen, vor solchen Klauseln zu schützen. Dabei sind gerade stärkere Marktpositionen und vorgegebene, nicht verhandelbare Bedingungen (alles oder nichts) problematisch.
Konkret bedeutet das, dass die Vertragsklauseln auf Einseitigkeit und Angemessenheit überprüft werden müssen. Eine unangemessene Benachteiligung liegt dann vor, wenn
- Datenzugänge pauschal verweigert werden,
- Fristen unangemessen kurz gesetzt sind,
- Haftungsbegrenzungen unverhältnismäßig streng sind oder
- der Vertragspartner eine einseitige Änderungsbefugnis hat.
Maßstab der Angemessenheitsprüfung ist das FRAND-Prinzip (Fair, Reasonable and Non-Discriminatory). Artikel 8 des Data Acts greift diesen Maßstab auf, um ausgewogene und faire Vertragsbedingungen sicherzustellen, damit die Rechte aus dem Data Act in der Praxis nicht leerlaufen. Vertragliche Rechte und Pflichten müssen daher nachvollziehbar, verhältnismäßig und ohne sachfremde Benachteiligung ausgestaltet sein.
Welche Pflichten müssen an Supplier durchgereicht werden?
Unternehmen können ihre Pflichten oft nicht allein erfüllen, wenn sie für ihre Produkte oder Dienste auf andere Supplier angewiesen sind.
Was ein Unternehmen selbst gegenüber seinem Kunden verspricht, muss es oft auch von seinen Vertragspartnern verlangen. Wenn also eine schnelle Hilfe bei Problemen, bestimmte Fristen oder eine sichere Datenübertragung zugesagt wurde, müssen diese Anforderungen auch in den Verträgen mit den eigenen Lieferanten oder Cloud-Anbieter stehen.
Fazit
Ein Vertrag soll nicht den Wunschzustand abbilden, sondern die technische Realität. Verspricht eine Klausel mehr, als das System leisten kann, wird sie nicht nur zum Risiko, sondern auch rechtlich angreifbar. Das ist beispielsweise der Fall, wenn vertraglich eine Bereitstellung von Daten in Echtzeit zugesagt wurde, obwohl die Daten nur durch manuelle Eingriffe exportiert werden können. Damit ist die vertragliche Zusage praktisch nicht erfüllbar. In einem solchen Fall besteht die Gefahr, dass der betroffene Vertragspartner die Klausel im Streitfall angreifen kann.
Deshalb muss die technische Umsetzbarkeit als Bestandteil der Klauselprüfung und nicht nur als bloßes IT-Problem am Rand gesehen werden.
Für die Vertragsgestaltung heißt das, besser realistische Klauseln mit klaren Grenzen als eine scheinbar vielversprechende, aber nicht einhaltbare Zusage.