Das DADG ist da: Was Unternehmen zum deutschen Data-Act-Durchführungsgesetz wissen müssen

Das Datenverordnung-Anwendungs-und-Durchsetzungs-Gesetz (DADG) wurde jüngst verabschiedet. Es regelt in Deutschland die nationalen Zuständigkeiten der Aufsichtsbehörden im Anwendungsbereich des EU Data Acts. Für Unternehmen in Deutschland wird es damit konkret: Seit der offiziellen Verkündung des nationalen Begleitgesetzes zum EU Data Act gelten feste Aufsichtsstrukturen. Und Verstöße können spürbare Bußgelder nach sich ziehen.

Was ist der Data Act und wer kontrolliert die Einhaltung?

Der EU Data Act ist eine europäische Verordnung, die vorschreibt, wer die von vernetzten Geräten und IoT-Objekten generierten Daten nutzen und weitergeben darf, um faire Bedingungen auf dem Datenmarkt zu sichern.

Als zentrale, federführende Behörde für die Anwendung und Durchsetzung des DADG fungiert die Bundesnetzagentur (BNetzA). Sie übernimmt die allgemeine Wirtschaftsüberwachung im Rahmen der Verordnung.

Allerdings bleibt die Aufsichtsstruktur komplex. Für öffentliche Stellen sowie im Hinblick auf die Verarbeitung personenbezogener Daten behalten die jeweiligen Datenschutzaufsichtsbehörden der Bundesländer und der BfDI ihre Zuständigkeiten. Das Gesetz sieht hierfür in den § 2 und 3 DADG eine enge und kooperative Zusammenarbeit zwischen der BNetzA und den Datenschutzbehörden vor.

Welche Bußgelder drohen bei Verstößen?

Das Gesetz setzt auf ein mehrstufiges Verfahren zur Durchsetzung. Bevor die Bundesnetzagentur harte Maßnahmen ergreift, spricht sie in der Regel zunächst ein Abhilfeverlangen aus und setzt dem betroffenen Unternehmen eine angemessene Frist.

Reagiert das Unternehmen nicht, greift der Sanktionskatalog nach § 15 DADG:

• Wirtschaftsdaten (BNetzA): Verstöße im Zuständigkeitsbereich der BNetzA können mit einer Geldbuße von bis zu 500.000 Euro oder über Zwangsgelder von ebenfalls bis zu 500.000 Euro geahndet werden.
• Personenbezogene Daten (Datenschutzaufsicht): Werden im Anwendungsbereich des Data Acts zugleich datenschutzrechtliche Pflichten verletzt, greift der deutlich strengere Sanktionsrahmen des Art. 83 DSGVO. Hier drohen Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes.

Fazit

Mit der Verkündung des DADG im Bundesgesetzblatt steht das Fundament für die behördliche Durchsetzung des Data Acts in Deutschland. Die Schonfrist ist vorbei. Unternehmen sollten ihre bestehenden IoT-Verträge, Informationspflichten und Datennutzungsklauseln umgehend auf Konformität prüfen.