DATA GOVERNANCE ACT

Datenräume · Datenmittler · Öffentliche Daten nutzen · Neue Geschäftsmodelle

Vorbemerkung

Diese Leitfadenreihe ist aus einer spezifischen Perspektive heraus geschrieben: der einer General Counsel / Senior Vice President, die über viele Jahre in leitender Inhouse-Funktion in regulierten Unternehmen gearbeitet hat – in der Schweiz und in der EU. Die Autorin verfügt über eine juristische und betriebswirtschaftliche Ausbildung in der Schweiz und in Deutschland sowie über langjährige operative Erfahrung als interne Rechts- und Compliance-Verantwortliche in internationalen Konzernen und KMU-Umfeldern.

Diese Kombination – juristische Tiefe, operatives Management-Know-how und direkte Erfahrung mit den Realitäten von Lieferketten, Vertragsverhandlungen und Aufsichtsbehörden – ist der Grund, warum die Texte so geschrieben sind, wie sie sind: nicht als formale Gesetzeskommentare, sondern als Arbeitsinstrumente. Sie richten sich gleichzeitig an Führungskräfte, die schnell einordnen müssen, was eine Regulierung für ihr Unternehmen bedeutet, und an Fachabteilungen, die wissen müssen, was operativ zu tun ist.

Der interdisziplinäre Ansatz ist bewusst: Digitale Regulierung berührt gleichzeitig IT, Recht, Procurement, Geschäftsführung, HR und Lieferkette. Eine Perspektive, die nur eine dieser Dimensionen kennt, liefert unvollständige Antworten. Die Leitfäden versuchen, alle relevanten Dimensionen gleichzeitig zu adressieren – mit dem Bewusstsein, dass in der Praxis selten ein Team allein zuständig ist und die wirklichen Herausforderungen meistens an den Schnittstellen entstehen.

Die Perspektive «Schweizer KMU im EU-Kontext» ist nicht zufällig. Sie spiegelt langjährige Arbeit an der Schnittstelle zwischen Schweizer Geschäftspraxis und europäischem Regulierungsrahmen: die Erfahrung, was es konkret bedeutet, wenn ein EU-Kundenvertrag plötzlich DORA-Klauseln enthält, wenn ein Procurement-Fragebogen AI-Act-Anforderungen stellt oder wenn ein Lieferant keine NIS2-konformen Sicherheitsnachweise liefern kann. Diese Leitfäden sind aus genau diesen Situationen heraus entstanden – nicht aus dem Lesen von Gesetzestexten, sondern aus der Erfahrung ihrer Auswirkungen.

Vorwort: DGA – das unbekannteste Gesetz mit den grössten Chancen

Der Data Governance Act (DGA, seit September 2023 anwendbar) ist das am wenigsten diskutierte der EU-Digitalgesetze. Das ist ein Fehler – denn er schafft etwas, das für datengetriebene KMU wertvoller sein kann als alle Compliance-Anforderungen zusammen: strukturierten Zugang zu hochwertigen öffentlichen und privaten Datensätzen, die bisher entweder gesperrt oder schwer zugänglich waren.

Dieser Leitfaden beginnt nicht mit Pflichten. Er beginnt mit der Frage: Was können Sie mit dem DGA gewinnen?

1. Bin ich betroffen? – Drei Fragen

2. Öffentliche Daten nutzen – was jetzt möglich ist

Der DGA ergänzt die Open Data Directive und öffnet den Zugang zu Datensätzen, die bisher aus Datenschutz-, Geheimschutz- oder Wettbewerbsgründen gesperrt waren. Das ist eine echte Marktchance für datengetriebene KMU.

2.1 Was neu zugänglich wird

2.2 Bedingungen für die Nutzung

Öffentliche Daten unter dem DGA sind nicht bedingungslos zugänglich. Je nach Sensibilität gelten Nutzungsbedingungen:

Pseudonymisierung: Personenbezogene Daten müssen vor Zugang pseudonymisiert werden.

Sichere Verarbeitungsumgebung: Sensitive Datensätze können nur in zugelassenen technischen Umgebungen verarbeitet werden.

Zweckbindung: Daten dürfen nur für den angegebenen Zweck genutzt werden.

Schutz von Geschäftsgeheimnissen: Daten Dritter, die Geschäftsgeheimnisse enthalten, dürfen nicht offengelegt werden.

3. Datenmittler – eine neue Geschäftsmodell-Kategorie

Der DGA schafft eine regulierte Kategorie für Unternehmen, die Datenaustausch zwischen Parteien vermitteln, ohne selbst wirtschaftlichen Nutzen aus den Daten zu ziehen. Das ist sowohl eine Pflicht für bestehende Datenmittler als auch eine Chance für neue Geschäftsmodelle.

3.1 Was ein Datenmittler ist – und was nicht

3.2 Pflichten als Datenmittler

Registrierung: Datenmittler müssen sich bei der nationalen Behörde des EU-Mitgliedstaates registrieren, in dem sie tätig sind.

Neutralitätspflicht: Der Datenmittler darf die vermittelten Daten nicht für eigene Zwecke nutzen – auch nicht für das Training von KI-Modellen.

Interoperabilität: Technische Schnittstellen müssen auf offenen Standards basieren.

Transparenz: Preise, Bedingungen und Prozesse müssen transparent und diskriminierungsfrei sein.

Datenschutz: Alle einschlägigen Datenschutzregeln (GDPR) gelten zusätzlich.

3.3 Die Geschäftsmodell-Chance

Der DGA schafft Marktbedingungen, unter denen neutrale Datenmittler wirtschaftlich attraktiv werden. Warum?

Vertrauen als Wert: Viele Unternehmen sind bereit, Daten zu teilen – aber nur mit neutralen Intermediären, nicht mit potenziellen Wettbewerbern.

Klarer Rechtsrahmen: Bisher war unklar, unter welchen Bedingungen Datenaustausch legal ist. Der DGA schafft Rechtssicherheit.

Schweizer Vorteil: Schweizer Neutralität und Rechtssicherheit sind natürliche Argumente für Datenmittler-Rollen – ähnlich wie im Finanzsektor.

4. Datenaltruismus – Daten für das Gemeinwohl

Der DGA schafft einen formalen Rahmen für Organisationen, die Daten für Forschung, öffentliche Gesundheit oder gesellschaftliche Zwecke bereitstellen oder nutzen wollen.

4.1 Was das für KMU bedeutet – als Datenlieferant

Freiwillige Datenspende: Unternehmen können Betriebsdaten für Forschungszwecke bereitstellen, ohne Eigeninteresse preisgeben zu müssen.

Formaler Schutz: Datenaltruismus-Organisationen sind registriert und kontrolliert. Ihr Risiko als Datenlieferant ist dadurch begrenzt.

Reputationsvorteil: Beiträge zu Forschung und Gemeinwohl werden zunehmend als Qualitätsmerkmal wahrgenommen.

4.2 Was das für KMU bedeutet – als Datennutzer

Zugang zu altruistisch bereitgestellten Datensätzen: Forschungsdaten, Gesundheitsdaten, Umweltdaten – die für kommerzielle Zwecke oft nicht zugänglich wären.

Startups und Forschungsunternehmen: Besonders relevant für KMU in frühen Entwicklungsphasen, die auf Trainingsdaten für KI-Modelle angewiesen sind.

5. Europäische Datenräume – Wo entstehen die Märkte?

Der DGA ist die rechtliche Grundlage für sektorale Datenräume, die der EU-Datenstrategie zufolge bis 2030 in allen Schlüsselsektoren entstehen sollen. Für Schweizer KMU ist die Frage: In welchem Datenraum liegt Ihre Branche?

6. Vertragsrealität: Was DGA-konforme Datenaustausch-Verträge enthalten

6.1 Pflichtbestandteile für Datenaustausch-Verträge

Zweckbindung: Klare Definition, wofür empfangene Daten genutzt werden dürfen.

Nutzungsrechte: Wer darf die Daten weiterleiten? Unter welchen Bedingungen?

Schutz von Geschäftsgeheimnissen: Technische und organisatorische Maßnahmen zum Schutz vertraulicher Informationen in den Daten.

Löschungspflichten: Wann müssen Daten gelöscht werden? Wie wird die Löschung nachgewiesen?

Geheimnisschutz-Regime: Welches Recht gilt? (Relevant für CH-EU-Datenaustausch)

Akzeptable Zweckbindungsklausel

Nicht akzeptable Klausel

7. Typische Fehler

Fehler 1: DGA als rein technisches Thema behandeln

'Das ist etwas für unsere IT.' Der DGA ist vor allem eine geschäftliche Frage: Welche Daten könnten Sie nutzen, um neue Produkte zu entwickeln oder bestehende zu verbessern? Welche Ihrer Daten könnten anderen Unternehmen nützlich sein? Diese Fragen sind Strategiefragen, keine IT-Fragen.

Fehler 2: Datenaltruismus und Datenmittler verwechseln

Beide Rollen sind unterschiedlich reguliert und haben unterschiedliche Konsequenzen. Ein Datenmittler muss sich registrieren und ist streng neutral. Eine Datenaltruismus-Organisation hat andere Anforderungen. Die Verwechslung führt zu falschen Compliance-Maßnahmen.

Fehler 3: Datenräume als weit entfernte Zukunft behandeln

Der EHDS (European Health Data Space) ist 2025 verabschiedet worden. Der Industrielle Datenraum über Gaia-X ist operativ. Für Schweizer MedTech- oder Industrieunternehmen ist die Frage nicht mehr 'Wann kommt das?', sondern 'Wie beteiligen wir uns?'

Fehler 4: Datennutzungsrechte in Verträgen nicht regeln

Viele Datenaustausch-Vereinbarungen enthalten keine explizite Zweckbindung, keine Löschungspflichten und keinen Geheimnisschutz. Der DGA verlangt das – und ohne diese Klauseln ist Ihr Schutz als Datengeber minimal.

8. Was Sie jetzt tun – priorisiert

Kontakt & weitere Informationen