Was sind Datenvermittlungsdienste im Sinne des Daten-Governance-Rechtsakts (DGA)?

Was sind Datenvermittlungsdienste im Sinne des DatenGovernanceRechtsakts (DGA)? Sven Hetmank Technische Universität Dresden DaTNet-Paper 03 DOI: 10.82115/y6j2-b829 Veröffentlichungsdatum: September 2025 Veröffentlichungsdatum: September 2025 DaTNet-Paper 03 Seite 2 von 11 Was sind Datenvermittlungsdienste im Sinne des Daten-GovernanceRechtsakts (DGA)? Datenvermittlungsdienste (auch: Datenintermediäre) sind natürliche oder juristische Personen, die als neutrale Vermittler zwischen Datengebern und Datennutzern fungieren. Ihre Hauptaufgabe besteht darin, den Austausch von Daten durch technische, rechtliche oder sonstige Mittel zu erleichtern und zu fördern. Dem Begriff des Datenvermittlungsdiensts i.S.v. Art. 2 Nr. 11 DGA kommt zentrale Bedeutung zu, da er den personellen Anwendungsbereich des 3. Kapitels bestimmt. Ein Datenvermittlungsdienst ist danach ein: „ … Dienst, mit dem durch technische, rechtliche oder sonstige Mittel Geschäftsbeziehungen zwischen einer unbestimmten Anzahl von betroffenen Personen oder Dateninhabern einerseits und Datennutzern andererseits hergestellt werden sollen, um die gemeinsame Datennutzung, auch für die Zwecke der Ausübung der Rechte betroffener Personen in Bezug auf personenbezogene Daten, zu ermöglichen, und die zumindest folgendes nicht umfassen: a. Dienste, in deren Rahmen Daten von Dateninhabern eingeholt und aggregiert, angereichert oder umgewandelt werden, um deren Wert erheblich zu steigern, und Lizenzen für die Nutzung der resultierenden Daten an die Datennutzer vergeben werden, ohne eine Geschäftsbeziehung zwischen Dateninhabern und Datennutzern herzustellen; b. Dienste, deren Schwerpunkt auf der Vermittlung urheberrechtlich geschützter Inhalte liegt; c. Dienste, die ausschließlich von einem Dateninhaber genutzt werden, um die Verwendung von im Besitz dieses Dateninhabers befindlichen Daten zu ermöglichen, oder die von mehreren juristischen Personen in einer geschlossenen Gruppe, einschließlich Lieferantenoder Kundenbeziehungen oder vertraglich festgelegter Kooperationen, genutzt werden, insbesondere wenn deren Hauptziel darin besteht, Funktionen von Gegenständen und Geräten im Zusammenhang mit dem Internet der Dinge sicherzustellen; d. Datenvermittlungsdienste, die von öffentlichen Stellen ohne die Absicht der Herstellung von Geschäftsbeziehungen angeboten werden; …“ DaTNet-Paper 03 Seite 3 von 11 Nach Art. 2 Nr. 11 DGA werden als Datenvermittlungsdienste somit nur solche Dienste erfasst, mit denen • Geschäftsbeziehungen hergestellt werden sollen, • zwischen einer unbestimmten Anzahl von Datengebern einerseits und Datennutzern andererseits, • um die gemeinsame Datennutzung zu ermöglichen, o einschließlich („auch”) für die Zwecke der Ausübung der Rechte betroffener Personen in Bezug auf personenbezogene Daten. Hinzu kommt, dass nach dem Willen des Verordnungsgebers Dienste nicht erfasst sein sollen, wenn sie • Daten aggregieren, anreichern oder umwandeln, um deren Wert erheblich zu steigern, • urheberrechtlich geschützte Inhalte vermitteln (wie z.B. Filme, Musik, Bilder) oder • die Daten nur einem geschlossenen Nutzerkreis zugänglich machen. Hinweis 2: Erwägungsgrund 27 S. 3 DGA hält fest, dass Datenvermittlungsdienste sowohl privat als auch von der öffentlichen Hand betrieben werden können. Hinweis 1: Weitere Hinweise, was unter einem Datenvermittlungsdienst im Sinne des DGA zu verstehen ist, finden sich in den Erwägungsgründen und in Art. 10 DGA. Art. 10 DGA zählt drei verschiedene Gruppen von Datenvermittlungsdiensten auf, für die die Pflichten des dritten Kapitels des DGA gelten sollen, nämlich: • Vermittlungsdienste für nicht personenbezogene Daten, • Vermittlungsdienste für personenbezogene Daten sowie • Datengenossenschaften nach Art. 2 Nr. 15 DGA, deren Hauptzwecke in der Unterstützung ihrer Mitglieder bei der Ausübung ihrer Rechte in Bezug auf bestimmte Daten bestehen. Allerdings erschöpfen sich die in dieser Vorschrift genannten Kriterien größtenteils in einer Wiederholung der bereits in der Definition des Art. 2 Nr. 11 DGA festgelegten Vorgaben, bzw. lassen sich bereits aus dieser Definition herleiten. DaTNet-Paper 03 Seite 4 von 11 Einige dieser Einschlussund Ausschlusskriterien können in der Rechtsanwendung erhebliche Schwierigkeiten bereiten. 1. „Geschäftsbeziehung“ Unklar ist vor allem, wann eine „Geschäftsbeziehung“ i.S.d. Art. 2 Nr. 11 DGA zwischen Dateninhabern und Datennutzern vorliegt. Im Schrifttum wird zum Teil vorgeschlagen, die allgemein übliche Definition der Gewerbsmäßigkeit oder die Definition der Geschäftsbeziehung aus der EU-GeldwäscheRichtlinie heranziehen 1 und eine gewisse Dauerhaftigkeit der Beziehung gefordert. Allerdings gibt es im DGA keine Anhaltspunkte dafür, dass ein Dienst nur dann als Datenvermittlungsdienst einzuordnen ist, wenn die von ihm vermittelten Beziehungen zwischen Dateninhabern und Datennutzern nicht nur einmalig, sondern von einer gewissen Beständigkeit sind. Eine weitere Auslegungsoption ist, darauf abzustellen, ob Dateninhaber und Datennutzer Geschäftsbeziehungen in Ausübung ihrer gewerblichen oder selbstständigen beruflichen Tätigkeit handeln. 2 Eine solche Definition würde allerdings Dienste nicht erfassen, die z.B. von Privatpersonen bereitgestellte personenbezogene Daten vermitteln und daher unter Umständen als gerade besonders regulierungsbedürftig anzusehen sind. Alternativ könnte auch darauf abgestellt werden, ob der Zweck der Datennutzung kommerziell ist, was dann der Fall sein soll, wenn die Datennutzung im Zusammenhang mit den Geschäften des Datennutzers steht und zumindest mittelbar der Gewinnerzielung dient. 3 Gegen ein solches Verständnis, dass für die Klassifizierung auf das Verhältnis zwischen Dateninhaber und Datennutzer abzustellen ist, spricht aber schon der allgemeine Sprachgebrauch. Diese Auslegung muss sich zudem entgegenhalten lassen, dass die Einordnung eines Dienstes dann von den beabsichtigten Zwecken der Datennutzer abhinge, die durchaus variieren können (z.B. können Datennutzer sowohl Unternehmen als auch Forschungseinrichtungen sein) und ggf. erst nach Aufnahme des Dienstes festzustellen sind, obgleich die Anmeldung vor Aufnahme des Dienstes erfolgen muss (Art. 11 Abs. 4 DGA). Zudem ist diese Auslegung schwer mit Erwägungsgrund 29, letzter Satz vereinbar, der als Beispiel für Dienste, die „nicht als Datenvermittlungsdienste im Sinne der vorliegenden Verordnung gelten sollten“, „Archive zur Ermöglichung der Weiterverwendung von wissenschaftlichen Forschungsdaten im Einklang mit den Grundsätzen des offenen Zugangs“ nennt. Die von Forschungsdatenrepositorien frei bereitgestellten Daten können aber auch 1 Hans Hermann Schild/Heiko Richter/Florian Schmidt-Wudy. Beck´scher Onlinekommentar, Datenschutzrecht, Art. 2 DGA, Rn. 93. Siehe auch Lukas v. Ditfurth. 2023. Datenmärkte, Datenintermediäre und der Data Governance Act. Berlin: De Gruyter, S. 234. 2 Hans Hermann Schild/Heiko Richter/Florian Schmidt-Wudy. Beck´scher Onlinekommentar, Datenschutzrecht, Art. 2 DGA, Rn. 93. 3 Lukas v. Ditfurth. 2023. Datenmärkte, Datenintermediäre und der Data Governance Act. Berlin: De Gruyter, S. 235 ff. DaTNet-Paper 03 Seite 5 von 11 von Unternehmen für gewerbliche Zwecke genutzt werden, z.B. Wetterdaten. Erwägungsgrund 29 spricht somit dagegen, dass Forschungsdatenrepositorien als Datenvermittlungsdienst einzuordnen sind. Einem weiteren Vorschlag zufolge liegt eine Geschäftsbeziehung zwischen Dateninhaber und Datennutzer vor, wenn ein Austauschgeschäft stattfindet in dem Sinne, dass der Dateninhaber eine Gegenleistung enthält, z.B. ein Entgelt oder Zugang zu anderen Daten. 4 Nach dem Wortlaut des Art. 2 Nr. 11 DGA komme es nicht auf die Beziehung des Intermediärs zu einem der anderen Beteiligten, sondern nur auf das Verhältnis zwischen betroffener Person bzw. Dateninhaber und Datennutzer an. Unerheblich sei daher z.B., ob der Intermediär für seinen Dienst ein Entgelt verlangt. Zur Begründung wird insbesondere auf Erwägungsgrund 29 hingewiesen, der „Archive zur Ermöglichung der Weiterverwendung von wissenschaftlichen Forschungsdaten im Einklang mit den Grundsätzen des offenen Zugangs“, bei denen der Dateninhaber also keine Gegenleistung für die Bereitstellung der Daten erhält, als Dienste klassifiziert, die nicht als Datenvermittlungsdienste gelten sollen. Zudem ergäbe sich dann auch eine klarere Abgrenzung zwischen Datenvermittlungsdiensten und datenaltruistischen Organisationen. Allerdings findet sich auch hierfür keine Stütze im Wortlaut des verfügenden Teils des DGA. 4 Anne Lauber-Rönsberg/Philipp Becker. 2023. Auswirkungen des Data Governance Act auf Forschungseinrichtungen und Repositorien. In: RuZ - Recht und Zugang, 30 (38), S. 30-37. Hinweis: Unklar bleibt dann außerdem, ob die Gegenleistung des Datennutzers an den Dateninhaber auch in der Gewährung von Vorteilen bestehen kann, die kein Entgelt darstellen. Beispiele hierfür könnten sein, dass dem Dateninhaber als Gegenleistung durch den Datennutzer der Zugang zu anderen Datensätzen eröffnet wird. Ein weiteres Beispiel wäre der Fall, dass der Dateninhaber eine betroffene Person ist, die ihre personenbezogenen Daten zur Verfügung stellt und im Gegenzug die Überwachung der Einhaltung bestimmter Vorgaben oder eine sonstige bloße Unterstützungsleistung durch den Datenvermittler erhält (wie etwa ein Personal Information Management System – PIMS, welches die Datenweitergabe und Datennutzung nach den Vorgaben der betroffenen Person überwacht, eine Einschätzung der Risiken anbietet und/oder bei der Durchsetzung von Betroffenenrechten unterstützt). Fraglich ist auch, ob die Gegenleistung von den Datennutzern gewährt werden muss, mit denen die Geschäftsbeziehung hergestellt werden soll, oder ob dies auch durch die Datenvermittlungsdienste oder sonstige Dritte geschehen kann. Was würde z.B. für den Fall gelten, dass nur der Datenvermittler den Dateninhabern (oder betroffenen Personen) für die Bereitstellung ihrer Daten ein Entgelt zahlt, nicht aber die Datennutzer, die den Zugang zu den Daten vielmehr unentgeltlich erhalten – z.B. während der Marktetablierungsphase zur Kundengewinnung? DaTNet-Paper 03 Seite 6 von 11 2. „unbestimmte Anzahl” und “geschlossene Gruppe” Unklar ist ferner, nach welchen Kriterien zu bestimmen ist, ob die Vermittlung nach Art. 2 Nr. 11 DGA auf eine „unbestimmte Anzahl von betroffenen Personen oder Dateninhabern einerseits und Datennutzern andererseits“ abzielt bzw. eine „geschlossene Gruppe“ i.S.v. Art. 2 Nr. 11 lit. c DGA vorliegt. Aus der Voraussetzung der „unbestimmten Anzahl“ von Datengebern und Datennutzern ergibt sich zunächst, dass Dienste, die ausschließlich von einem einzelnen Dateninhaber genutzt werden, um eigene Daten zu verwenden, sowie Dienste, die innerhalb eines von vornherein geschlossenen Nutzerkreises verwendet werden, vom Begriff des Datenvermittlungsdienstes i.S.d. Art. 2 Nr. 11 DGA ausgeschlossen sind (Erwägungsgrund 28 DGA). Vor dem Hintergrund der derzeitigen oligopolistischen Marktstrukturen im europäischen Datenmarkt – unter anderem infolge sogenannter Gatekeeper – und der im Rahmen der Europäischen Datenstrategie benannten Zugangsprobleme insbesondere für Einzelpersonen und KMUs ist davon auszugehen, dass der Unionsgesetzgeber mit dem Begriff der „unbestimmten Anzahl“ eine theoretisch unbeschränkte Offenheit der Dienste intendiert hat. Der Begriff „unbestimmt“ ist daher weniger im Sinne einer Unkenntnis der Nutzerzahl, sondern vielmehr im Sinne eines offenen Zugangs für eine unbeschränkte Vielzahl von Nutzern zu verstehen. Allerdings kann auch nach diesem Verständnis die Einordnung bestimmter Fälle Schwierigkeiten bereiten: Genügt für das Vorliegen des nicht-offenen Zugangs, bzw. einer geschlossenen Gruppe, dass der Zugang z.B. regional begrenzt ist? Was gilt, wenn der Zugang von einer Mitgliedschaft abhängig ist, die bei Vorliegen allgemeiner Kriterien gewährt wird? 3. „gemeinsame Datennutzung” Datenvermittlungsdienste i.S.d. DGA sind ferner nur solche Dienste, die die „gemeinsame Datennutzung” ermöglichen sollen. Der Begriff der „gemeinsamen Datennutzung” ist in Art. 2 Nr. 10 DGA definiert. Danach wird darunter „ die entgeltliche oder unentgeltliche Bereitstellung von Daten durch eine betroffene Person oder einen Dateninhaber an einen Datennutzer für die gemeinschaftliche oder individuelle Nutzung dieser Daten auf der Grundlage freiwilliger Vereinbarungen, des Unionsrechts oder des nationalen Rechts, sowohl direkt als auch über einen Mittler, etwa im Rahmen von gebührenpflichtigen oder gebührenfreien offenen oder kommerziellen Lizenzen ” verstanden. Damit sind in jedem Einzelfall insbesondere die folgenden vier Voraussetzungen zu prüfen: a. Bereitstellung von Daten DaTNet-Paper 03 Seite 7 von 11 Erforderlich ist zunächst, dass Daten bereitgestellt werden. Problematisch können hier die Fälle sein, in denen sich die Daten bereits beim potentiellen Datennutzer befinden, weil sie diese Daten bereits erhalten haben. Für diese Fälle würde es an der vorausgesetzten Datenbereitstellung fehlen. Allerdings können Dritte immer noch die Vermittlung von Einwilligungen oder Erlaubnissen übernehmen oder die Durchsetzung von Rechten der betroffenen Personen ermöglichen. In solchen Fällen fragt sich, ob Datenvermittlungsdienste i.S.d. DGA auch dann vorliegen, wenn diese Dienste lediglich auf das „Einwilligungsmanagement" für die Nutzung von bereits vorhandenen Daten abzielen, nicht aber auch auf die Bereitstellung dieser Daten oder auch nur den Zugang zu diesen Daten. Zur Erläuterung und Vertiefung: Häufig befinden sich Daten bereits bei potentiellen Datennutzern, die diese bereits nutzen oder mangels hinreichender Einwilligung oder Erlaubnis noch nicht nutzen können, aber gern nutzen würden. Für diese Fälle können Dienste bei der Vermittlung der Einwilligung oder Erlaubnis sowie bei der Durchsetzung von Rechten der betroffenen Personen helfen. Demgegenüber werden diese Dienste nicht notwendigerweise den Zugang zu den Daten der Betroffenen vermitteln, wenn die potentiellen Datennutzer diesen Zugang bereits aus einem anderen Grund haben. Art. 2 Nr. 11 DGA stellt ausdrücklich klar, dass auch Dienste erfasst sein sollen, die die gemeinsame Datennutzung für „Zwecke der Ausübung der Rechte betroffener Personen" ermöglichen wollen. Als derartige Rechte kommen insbesondere die Erklärung und der Widerruf der datenschutzrechtlichen Einwilligung sowie das Auskunfts-, Berichtigungs-, Löschungsund Datenportabilitätsrecht in Betracht (Art. 6 Abs. 1 lit. a DSGVO, Art. 15 ff. DSGVO). Diese Klarstellung wirft die Frage auf, ob auch Dienste erfasst sind, die ausschließlich solche Zwecke verfolgen, aber keine Bereitstellung von Daten im eigentlichen Sinne. Gegen die Annahme, dass solche Dienste zur ausschließlichen Rechtewahrnehmung ebenfalls erfasst sind, spricht, dass dem Begriff „Datenvermittlungsdienst” die Vermittlung des Austauschs von Daten immanent ist und auch der Begriff der „gemeinsamen Datennutzung” nach Art. 2 Nr. 10 DGA die Bereitstellung von Daten ausdrücklich einfordert. DaTNet-Paper 03 Seite 8 von 11 Allerdings könnte der Wortlaut in Art. 2 Nr. 11 und Art. 10 lit. b) DGA dafür sprechen, unabhängig von einer vermittelten Datenbereitstellung, solche Dienste als Datenvermittlungsdienste anzusehen. Denn in diesen Vorschriften wird die Ermöglichung der Ausübung der datenschutzrechtlichen Betroffenenrechte als ein Dienst angesehen, der vom Begriff des Datenvermittlungsdienstes mit umfasst sein kann. Die Ausübung dieser datenschutzrechtlichen Betroffenenrechte ist aber etwas, was nicht notwendigerweise eine Bereitstellung von Daten erfordert. So werden zwar bei der Ausübung des datenschutzrechtlichen Auskunftsrechts insofern Daten bereitgestellt, als dass dem Auskunftsersuchenden bestimmte Informationen übermittelt werden. Soweit es beispielsweise um Auskunftsrechte geht, könnte argumentiert werden, dass mit der vermittelten Auskunft Daten an die Betroffenen vermittelt werden. Anders kann es aber beispielsweise beim datenschutzrechtlichen Löschungsanspruch aussehen, wo keine Daten bereitgestellt, sondern lediglich gelöscht werden. Es könnte daher überlegt werden, nach der Art der Betroffenenrechte zu unterscheiden, weil Auskunftsrechte und Portabilitätsrechte die Übermittlung von Daten betreffen, Löschpflichten dagegen nicht. In jedem Fall wäre allerdings zudem fraglich, ob das vermittelte Auskunftsverhältnis oder sonstige Unterstützungsverhältnis eine „Geschäftsbeziehung“ i.S.d. Art. 2 Nr. 11 DGA darstellt, da es sich hier um eine gesetzliche Pflicht handelt. Nach Louisa Specht-Riemenschneider sollen nur solche Geschäftsbeziehungen „ausschlaggebend” sein, deren Hauptzweck die Bereitstellung und Nutzung von Daten ist.6 Andernfalls würde eine Vielzahl von Diensten mit unter die Definition fallen, die zwar eine Geschäftsbeziehung herstellen, bei welchen die gemeinsame Datennutzung aber nur eine Nebenoder Reflexfunktion einnehme. Dies würde aber dem Ziel des Verordnungsgebers entgegenwirken, nämlich lediglich solche Dienste zu erfassen, die Geschäftsbeziehungen über die gemeinsame Datennutzung herstellen. 6 Louisa Specht-Riemenschneider. 2023. Nomos Handkommentar, Data Governance Act. 1. Auflage, Art. 2 Rn. 69. Siehe auch Moritz Hennemann/Lukas v. Ditfurth. 2023. Datenintermediäre und Data Governance Act, NJW 2022, 1905 (1908). Berlin: De Gruyter. Lukas v. Ditfurth/Gregor Lienemann. 2022. Competition and Regulation in Network Industries. In: CRNI, 34(4), S. 270-295. Kristina Schreiber/Patrick Pommering/Philipp Schoel. 2024. Der neue DGA. Baden-Baden: Nomos, 2. Auflage, § 3 Rn. 14, 20. DaTNet-Paper 03 Seite 9 von 11 Zu beachten ist ferner, dass sich die Datennutzung auf die bereitgestellten Daten beziehen muss. Werden die bereitgestellten Daten vor der Nutzung durch die Datennutzer von dem Mittler zunächst aggregiert, angereichert oder umgewandelt, ist zu prüfen, ob der Ausschlussgrund des Art. 2 Nr. 11 lit. a DGA greift (siehe dazu unten 4.). Nicht erfasst sind schließlich bloße technische Übermittlungsdienste, wie beispielsweise die Bereitstellung von Cloud-Speicher, Analysediensten, Software zur gemeinsamen Datennutzung, von Internetbrowsern oder Browser-Plug-ins oder von E-Mail-Diensten, sofern mit diesen Diensten ausschließlich technische Werkzeuge zur gemeinsamen Datennutzung mit anderen bereitgestellt werden und die Bereitstellung dieser Werkzeuge weder darauf abzielt, zwischen Dateninhabern und Datennutzern eine geschäftliche Beziehung herzustellen, noch dem Anbieter von Datenvermittlungsdiensten ermöglicht, Informationen über die Herstellung geschäftlicher Beziehungen zum Zwecke der gemeinsamen Datennutzung zu erlangen (vgl. Erwägungsgrund 28 Satz 3 DGA). b. für die gemeinschaftliche oder individuelle Nutzung dieser Daten Der Begriff der Datennutzung ist im DGA nicht definiert. Gemeint ist aber jeder Umgang mit Daten, mithin auch schon die bloße Wahrnehmung. 5 Anders als dieser Begriff suggerieren könnte, wird aber nicht nur die gemeinsame Nutzung durch Datenbereitsteller und Datennutzer erfasst, sondern auch die ausschließliche Nutzung durch den Datennutzer, dem die Daten bereitgestellt - also „geteilt“ - werden. Eine gleichzeitige (gemeinsame) Nutzung auch des Datenbereitstellers ist auch für den Begriff der „gemeinsamen Datennutzung“ nicht erforderlich. Insofern ist der Begriff des „data sharing”, der in der englischen Sprachfassung verwendet wird, klarer. c. auf Grundlage freiwilliger Vereinbarungen, des Unionsrechts oder des nationalen Rechts Unter „freiwillige Vereinbarung” ist • jede Erlaubnis durch Dateninhaber (also derart, „dass Datennutzern das Recht auf Verarbeitung nicht personenbezogener Daten eingeräumt wird”, vgl. Art. 2 Nr. 6 DGA), wie insbesondere durch gebührenpflichtige oder gebührenfreie offene oder kommerzielle Lizenzen sowie • jede datenschutzrechtliche Einwilligung durch betroffene Personen zu verstehen. d. direkt oder über einen Mittler 5 7 Louisa Specht-Riemenschneider 2023, in: Louise Specht-Riemenschneider/Moritz Hennemann (Hrsg.) Nomos Handkommentar, Data Governance Act., Art. 2 Rn. 69.