Stünde eine Geografin vor der derzeitigen Datenregulierung, sähe sie zerklüftete Landschaften, fragmentierte Felder, sich überlagernde Schichten, nicht erschlossene Gebiete, alten Baumbestand, neue Pflänzchen – und so manches potemkinsches Dorf. Denn das Datenrecht ist kein kohärent gewachsenes Rechtsgebiet. Es entwickelt sich erst in jüngerer Zeit, dafür umso kraftvoller auf unionaler und nationaler Ebene.
Ausgangspunkt war die (zu) starke deutsche Traditionslinie des Datenschutzrechts. Das Open Data-Recht trat mit der Zeit hinzu. Datenbezogene Phänomene wurden ergänzend durch das Vertrags- und Kartellrecht erfasst. Mit der EU-Datenstrategie 2020 hat ein Paradigmenwechsel hin zur Datennutzung und Datennutzbarkeit stattgefunden. Seitdem gibt es auf europäischer Ebene kein gesetzgeberisches Halten mehr: Digital Markets Act, Digital Services Act, Data Governance Act, Data Act und AI Act sowie etwa eine Verordnung zum Europäischen Gesundheitsdatenraum bilden die neuen Ankerpunkte – neben der Datenschutzgrundverordnung (DSGVO), der ePrivacy-Verordnung, der Digitale-Inhalte-Richtlinie, der Datenverkehrs-Verordnung und der Open Data-Richtlinie.
Die Fokussierung auf Datennutzung, Dateninnovation, Datenbinnenmarkt und Datenaltruismus ist sehr begrüßenswert. Die EU „denkt“ richtigerweise in Datenökosystemen. Regulatorisch erfasst werden personenbezogene und nicht-personenbezogene Daten, kommerzielle und nicht-kommerzielle Sachverhalte sowie staatliche und private Akteure. Dieser gesamtgesellschaftliche Ansatz ist die richtige Stoßrichtung.
Datenrechtsdschungel entflechten
Die konkrete Ausgestaltung der Gesetzgebung und die Praktikabilität ihrer Anwendung sind allerdings weniger rosig. Regulierungsschicht wird auf Regulierungsschicht gepackt – und die DSGVO bleibt immer „unberührt“. Insbesondere für kleinere und mittlere Unternehmen, aber auch für gemeinnützig agierende Akteure sind die vielen Vorgaben ein Dschungel. Ein Durchschreiten ist nur mit hohem Aufwand (sprich: Rechtsberatungskosten) möglich. Durch diesen misslichen Zustand steht auch die Wettbewerbsfähigkeit der Europäischen Union insgesamt in Frage. Das hat der Draghi-Report jüngst deutlich unterstrichen.
Nicht von ungefähr wird die Forderung erhoben, die Europäische Union sollte sich in den nächsten Jahren zunächst auf ein De-Conflicting zwischen ihren vielen Rechtsakten konzentrieren. Es geht dabei übrigens nicht um eine pauschale Absenkung des Datenschutzniveaus, sondern um eine Konzentration auf konkrete Interventionsbedürfnisse und um die Entfernung doppelter (Schutz-)Böden und paralleler Behördenzuständigkeiten. Erstrebenswert wäre auch eine Modernisierung oder zumindest eine Ergänzung der DSGVO. Die politischen Hürden dafür dürften allerdings hoch sein. Ganz zu schweigen schließlich von der Notwendigkeit eines ausdifferenzierten EU-Datenexportrechts in Ansehung geopolitischer, insbesondere industrie- und sicherheitspolitischer Herausforderungen. Eine echte Datenrealpolitik steht – trotz der eigentlich klaren Zielsetzung der ersten von der Leyen-Kommission – noch aus.
Ampel-Aus: Zwischenhalt ist eine Chance
Machen wir es denn wenigstens auf nationaler Ebene besser? Nur bedingt. Damit ist nicht gemeint, dass die Datenregulierung bislang nicht im Scheinwerferlicht steht. Dafür gibt in Ansehung anderer globaler Herausforderungen durchaus Gründe. Damit ist auch nicht gemeint, dass aufgrund des Endes der Ampelkoalition möglicherweise unionsrechtlich erforderliche Gesetzgebungsvorhaben (etwa das Daten-Governance-Gesetz) in die nächste Legislaturperiode rutschen. Kein Beinbruch, wenn man ehrlich ist. Schließlich ist der nationale Gesetzgeber mit dem Gesundheitsdatennutzungsgesetz und dem Digitale-Dienste-Gesetz in der aktuellen Legislaturperiode durchaus vorangekommen. Zur Wahrheit gehört allerdings auch, dass die meisten anderen Vorhaben nicht mehr bis zu den Neuwahlen kommen werden. Die Liste ist lang. Angekündigt – insbesondere in der Datenstrategie 2023 – wurden ein Datengesetz, ein Mobilitätsdatengesetz, ein Forschungsdatengesetz, ein reformiertes Bundesdatenschutzgesetz, ein Beschäftigtendatengesetz und ein Transparenzgesetz. Das Durchführungsgesetz zum Data Act steht auch noch aus.
Vielleicht ist dies auch gar nicht so schlecht. Natürlich werden auch unter der nächsten Regierung unionsrechtlich erforderliche Durchführungsgesetze zu beschließen sein. Gleichwohl eröffnet der derzeitige Zwischenhalt auch eine Chance. Es sollte ernsthaft darüber nachgedacht werden, ob wir den regulatorischen Flickenteppich auf EU-Ebene (auf absehbare Zeit unvermeidbar) durch eine Vielzahl von Einzelgesetzen auf nationaler Ebene wirklich spiegeln wollen. Weitere Friktionen sind vorprogrammiert.
Alles in einem Datengesetzbuch bündeln
Erwägenswert ist die mittelfristige – und bislang nur vereinzelt erwogene – Bündelung in einem einheitlichen nationalen Datengesetzbuch. Im Vergleich zum Status quo kann es nur kohärenter, praktikabler, zielgerichteter werden. Ein solches Datengesetzbuch muss einerseits das EU-Recht als Ausgangspunkt nehmen und dort andocken, wo Ausgestaltungs- und Handlungsspielräume bestehen (etwa im Daten-AGB-Recht bei Verbraucherverträgen, beim Datenaltruismus oder im Forschungsbereich). Andererseits offenbart es die Chance, genuin nationale Domänen sinnvoll zu integrieren, einheitlich abzubilden und künftige Erweiterungsmöglichkeiten anzubieten. Es könnten Begriffe vereinheitlicht, Redundanzen abgebaut, Datenzugangsrechte und Privilegierungen (etwa zugunsten der Forschung) übersichtlich dargestellt sowie etwa das Scoring adäquat flankiert werden. Das Informationsfreiheitsrecht könnte in diesem Rahmen modernisiert werden – als Balance zwischen legitimen Transparenzinteressen und legitimen staatlichen Vorbehalten. Sektorspezifische Regeln träten hinzu.
Die Behördenzuständigkeiten und die notwendige Behördenkooperation (etwa zwischen der BfDI und der Bundesnetzagentur) könnten besser ausgestaltet werden. Vielleicht kommt ja sogar die Bündelung der wirtschaftsbezogenen Datenschutzaufsicht bei der BfDI (wieder) auf den Tisch. Vielfältige Interessen sind dabei auszutarieren und unterschiedliche Expertisen zu beteiligen. In jedem Fall würde der gesamtgesellschaftlichen Perspektive der Datennutzung Rechnung getragen – und vielleicht auch mancher überkommender Ballast über Bord geworfen. Das geht natürlich nicht von heute auf morgen. Innerhalb einer Legislaturperiode allerdings schon.
Moritz Hennemann ist seit Oktober 2023 Inhaber des Lehrstuhls für Zivilrecht mit Informationsrecht, Medienrecht, Internetrecht sowie Direktor des Instituts für Medien- und Informationsrecht der Universität Freiburg. Zuvor leitete er die Forschungsstelle für Rechtsfragen für Digitalisierung der Universität Passau (2020 bis 2023) und war dort Lehrstuhlinhaber für Europäisches und Internationales Informations- und Datenrecht.
