Verordnung (EU) 2022/868 des Europäischen Parlaments und des Rates vom 30. Mai 2022 über europäische Daten-Governance und zur Änderung der Verordnung (EU) 2018/1724 (Daten-Governance-Rechtsakt) (Text von Bedeutung für den EWR)

Die Verordnung (EU) 2022/868 ist eine unmittelbar geltende EU-Verordnung und damit in allen Mitgliedstaaten ohne nationale Umsetzung verbindlich. Systematisch schafft sie einen horizontalen Rechtsrahmen für Daten-Governance im Binnenmarkt, ohne eigenständige Rechtsgrundlagen für die Verarbeitung personenbezogener Daten zu schaffen; Datenschutzrecht, Wettbewerbsrecht sowie sektorspezifisches Unions- und nationales Recht bleiben vorrangig oder unberührt. Inhaltlich regelt sie die Weiterverwendung bestimmter geschützter Daten im Besitz öffentlicher Stellen, ein Anmelde- und Aufsichtssystem für Datenvermittlungsdienste, die freiwillige Eintragung anerkannter datenaltruistischer Organisationen sowie die Einrichtung eines Europäischen Dateninnovationsrats. Zudem enthält sie Vorgaben zu Drittlandübermittlungen nicht personenbezogener Daten, Gebühren, behördlichen Zuständigkeiten, Rechtsbehelfen und Sanktionen. • Der Anwendungsbereich erfasst öffentliche Stellen bei der Weiterverwendung bestimmter geschützter Daten, Anbieter von Datenvermittlungsdiensten, anerkannte datenaltruistische Organisationen, zuständige Behörden der Mitgliedstaaten sowie die Kommission und den Europäischen Dateninnovationsrat. Erfasst sind insbesondere Daten mit Schutz wegen Geschäftsgeheimnissen, statistischer Geheimhaltung, Rechten Dritter am geistigen Eigentum oder Datenschutz, soweit sie nicht bereits unter die Open-Data-Regelung fallen. Ausgenommen sind unter anderem Daten öffentlicher Unternehmen, Daten von Rundfunkanstalten mit öffentlichem Sendeauftrag, Daten von Kultur- und Bildungseinrichtungen sowie Daten mit Bezug zu öffentlicher Sicherheit, Landesverteidigung oder nationaler Sicherheit. Ebenso bleiben besondere sektorale Anforderungen, etwa Genehmigungs- oder Zertifizierungsverfahren, sowie das Datenschutz- und Wettbewerbsrecht unberührt. • In der Praxis schafft die Verordnung einen kontrollierten Rechtsrahmen, in dem sensible Datenbestände des öffentlichen Sektors unter Schutzvorkehrungen weiterverwendet werden können, etwa über Anonymisierung oder sichere Verarbeitungsumgebungen. Datenvermittlungsdienste dürfen nur neutral und getrennt von anderen datengetriebenen Geschäftsmodellen auftreten. Datenaltruistische Organisationen können unionsweit sichtbar registriert werden, müssen dafür aber strenge Transparenz-, Sicherheits- und Gemeinwohlanforderungen erfüllen. Für grenzüberschreitende Datennutzung bedeutet dies mehr Struktur, aber auch höhere organisatorische und technische Compliance-Anforderungen.

Stand: 04.08.2026

Öffentliche Stellen: • Pflicht1: Bedingungen und Verfahren für die Weiterverwendung geschützter Daten über die zentrale Informationsstelle öffentlich zugänglich machen. • Pflicht2: Bei erlaubter Weiterverwendung Schutzmaßnahmen wie Anonymisierung, sonstige Offenlegungskontrolle oder sichere Verarbeitungsumgebungen sicherstellen. • Pflicht3: Bei Drittlandübertragungen geschützter nicht personenbezogener Daten die gesetzlich vorgesehenen Schutzvorkehrungen und gegebenenfalls vertraglichen Zusagen verlangen. • Empfehlung: Gebührenmodelle, Antragsverfahren und technische Zugangsmodelle früh standardisieren, um wissenschaftliche Forschung sowie KMU- und Start-up-Nutzung zu erleichtern. Weiterverwender: • Pflicht1: Geschützte Daten nur unter den vorgegebenen Bedingungen, insbesondere Geheimhaltungs- und Reidentifizierungsverboten, nutzen. • Pflicht2: Beabsichtigte Drittlandübertragungen geschützter nicht personenbezogener Daten offenlegen und erforderliche Schutzvorkehrungen einhalten. • Pflicht3: Datenschutzverletzungen oder unbefugte Weiterverwendung unverzüglich mitteilen, wenn Rechte und Interessen Dritter betroffen sein können. • Empfehlung: Schon vor Antragstellung technische und vertragliche Konzepte für sichere Verarbeitung und internationale Datenflüsse vorbereiten. Anbieter von Datenvermittlungsdiensten: • Pflicht1: Vor Aufnahme der Tätigkeit die Anmeldung bei der zuständigen Behörde vornehmen und Änderungen fristgerecht mitteilen. • Pflicht2: Daten nur zum Zweck der Vermittlung verwenden und den Datenvermittlungsdienst über eine gesonderte juristische Person bereitstellen. • Pflicht3: Faire, transparente und nichtdiskriminierende Zugangsbedingungen sowie angemessene Sicherheits-, Interoperabilitäts- und Missbrauchsschutzmaßnahmen gewährleisten. • Empfehlung: Geschäftsmodell, Preisstruktur und technische Architektur strikt neutral ausgestalten, um Interessenkonflikte und Aufsichtsmaßnahmen zu vermeiden. Anerkannte datenaltruistische Organisationen: • Pflicht1: Ohne Erwerbszweck und funktionell getrennt von anderen Tätigkeiten handeln sowie die Eintragungsvoraussetzungen fortlaufend erfüllen. • Pflicht2: Betroffene Personen und Dateninhaber klar über Gemeinwohlzwecke, etwaige Drittlandverarbeitung und Widerrufsmöglichkeiten informieren. • Pflicht3: Vollständige Aufzeichnungen führen, jährliche Tätigkeitsberichte erstellen und geeignete Werkzeuge für Einwilligung bzw. Erlaubnis und deren Widerruf bereitstellen. • Empfehlung: Governance, Transparenzberichte und Sicherheitskonzepte so ausgestalten, dass Gemeinwohlbezug und Vertrauenswürdigkeit nach außen eindeutig belegbar sind. Mitgliedstaaten und zuständige Behörden: • Pflicht1: Zuständige Behörden und Stellen benennen sowie zentrale Informationsstellen und Register einrichten. • Pflicht2: Überwachung, Zusammenarbeit, Beschwerdebearbeitung und wirksame Rechtsbehelfe sicherstellen. • Pflicht3: Sanktionen festlegen und anwenden sowie die Kommission über zuständige Stellen und nationale Sanktionsregelungen informieren. • Empfehlung: Zuständigkeiten zwischen Datenschutz-, Wettbewerbs-, Fach- und Datenbehörden klar koordinieren, um widerspruchsfreie Vollzugspraxis sicherzustellen.