Personenbezogene Daten im Data Act

Episode von Data Navigator von Dr. Martin Schirmbacher, Dr. Hubertus von Roenne · 13. Juli 2026 · 43 min

In Folge 47 des Data Navigator Podcast widmen sich Martin Schirmbacher und Hubertus von Rönne einem Thema, das seit Inkrafttreten des Data Act immer wieder als Totschlagargument ins Feld geführt wird: DSGVO als vermeintlicher Blocker für Datenherausgabeansprüche. Anlass ist unter anderem die 3. Denkwerkstatt der Bundesdatenschutzbeauftragten zum Data Act, die in der Vorwoche stattgefunden hat.

Die Ausgangslage ist klar: Der Data Act gilt ausdrücklich auch für personenbezogene Daten. Im Konfliktfall geht die DSGVO vor – aber einen solchen Konflikt gibt es in der Praxis kaum. Das zentrale Werkzeug zur Auflösung vermeintlicher Spannungen ist der relative Personenbezug: Ob Daten personenbezogen sind, beurteilt sich nicht abstrakt, sondern aus Sicht des jeweiligen Verantwortlichen. Am Busfahrer-Beispiel machen Martin und Hubertus das greifbar: Für die Berliner BVG haben die Fahrerdaten Personenbezug – sie weiß, wer wann welchen Bus gefahren hat. Für den Bushersteller, der nur Fahrzeugdaten ohne Login empfängt, fehlt diese Zuordnung in der Regel. Im Windpark-Beispiel kann es umgekehrt sein: Der Hersteller kennt seine Wartungsmitarbeiter, der Windparkbetreiber in aller Regel nicht.

Daraus folgt ein wichtiges Zwischenergebnis: Derselbe Datensatz kann für die eine Seite personenbezogen sein und für die andere nicht – und in der Data-Act-Konstellation ist es häufig so, dass gerade der Empfänger keinen Personenbezug herstellen kann. Wo doch Personenbezug beim Empfänger entsteht, braucht dieser eine Rechtsgrundlage nach der DSGVO – typischerweise berechtigte Interessen. Der Hersteller wiederum kann sich für die Übermittlung auf Art. 6 Abs. 1 S. 1 lit. c DSGVO (rechtliche Verpflichtung aus dem Data Act) stützen.

Im letzten Teil ordnen Martin und Hubertus die Zuständigkeitsfragen: Die Bundesnetzagentur ist im Lead für Data-Act-Beschwerden, muss aber die BfDI einbinden, sobald es um personenbezogene Daten geht. Die Landesdatenschutzbehörden bleiben für klassische DSGVO-Verstöße zuständig – etwa wenn ein Landwirt nicht möchte, dass John Deere seine personenbezogenen Daten verarbeitet.

Weitere Episoden von „Data Navigator“

Alle Episoden von Data Navigator · Mehr Business-Podcasts