Das europäische Daten- und Digitalrecht hat mittlerweile sehr konkrete Konturen angenommen. DGA, DSA, DMA, AI-Act und DA bestimmen zukünftig neben der DS-GVO über Austausch, Nutzung und Dienste um Daten. Diese Rechtsakte hängen auf verschiedene Art und Weise zusammen und greifen ineinander. Grund genug, sich einen Überblick zu verschaffen, wann welcher Rechtsakt in Kraft tritt und (voraussichtlich) Anwendbarkeit erlangt.

Der Data Governance Act, also der DGA (2022/868) ist am 24.06.2022 in Kraft getreten. Die Verordnung gilt vollumfänglich seit dem 24.09.2023 (Anwendbarkeit).

Der Digital Services Act, also der DSA (2022/2065) ist am 16.11.2022 in Kraft getreten. Die Verordnung gilt gem. Art. 93 Abs. 2 DSA ab dem 17.2.2024. Bestimmte Normen sind allerdings bereits mit dem Inkrafttreten der Verordnung anwendbar geworden. Art. 24 Abs. 2, 3 und 6, Art. 33 Abs. 3–6, Art. 37 Abs. 7, Art. 40 Abs. 13 und Kap. IV Abschn. 4, 5, und 6 DSA gelten seit dem 16.11.2022. Jene Regelungen des DSA betreffen vor allem „sehr große Online-Plattformen und Online-Suchmaschinen“, also z.B. wie diese festgestellt werden können, welche besonderen Pflichten diese treffen und die Befugnis der Kommission delegierte Rechtsakte dazu zu erlassen.

Der Digital Markets Act, also der DMA (2022/1925) ist am 1.11.2022 in Kraft getreten. Er gilt gem. Art. 54 Abs. 2 DMA überwiegend erst seit dem 2.5.2023. Jedoch gelten gem. Art. 54 Abs. 3 DMA die Art. 3 Abs. 6 und 7, Art. 40, 46–50 bereits seit dem 1.11.2022 und die Art. 42 und 43 erst seit dem 25.6.2023.

EU-Rat und EU-Parlament hatten bis Mitte 2023 im Trilog bereits politische Einigungen zur Reform der eIDAs-VO (910/2014), also der eIDAS 2.0, und zum Data Act (DA) erzielt. Eine politische Einigung zum AI-Act steht noch aus, wird aber im Herbst 2023 erwartetet. Grundsätzlich erscheint es daher möglich, dass sowohl die eIDAS-Reform als auch der DA und der AI-Act bis zum Ende des Jahres 2023 beschlossen werden und in Kraft treten können.

Die eIDAS-Reform könnte mit in Kraft treten auch anwendbar werden. Die Reform der eIDAS 2.0 ergänzt den Rechtsrahmen für die Infrastrukturdienste, die für den elektronischen Rechts- und Verwaltungsverkehr notwendig sind.

Der Data Act wird erst nach einer Übergangszeit von 20 Monaten nach seinem in Kraft treten vollumfänglich anwendbar. Art. 3 Abs. 1 DA soll jedoch schon 12 Monate nach in Kraft treten für Produkte und Services als Herstellerpflicht anwendbar werden.

Der AI-Act könnte 36 Monate nach seinem in Kraft treten vollumfänglich anwendbar sein. Jedoch sollen die Herstellerpflichten und Rechtssetzungsbefugnisse der Kommission nach Titel III Kapitel 4, Titel VI und Art. 71 bereits 12 Monate nach in Kraft treten der Verordnung anwendbar werden.

Inkrafttreten bedeutet, dass die Regeln einer Verordnung Gesetzeskraft haben. Davon zu unterscheiden ist die Frage, ab wann die Regelungen zu beachten sind (zeitliche Anwendbarkeit). Die meisten der Datenrechtsakte gewähren Übergangsfristen und erklären sich erst nach und nach für anwendbar.

Man muss sich auch vergegenwärtigen, dass mit der Anwendbarkeit einer Regelung nicht unbedingt Rechtsklarheit und -sicherheit einhergeht. Die DS-GVO (2016/679) ist am 25.05.2016 in Kraft getreten und erlangte bereits am 25.05.2018 vollumfänglich Anwendbarkeit. Viele ihrer Bestimmungen sind in der rechtwissenschaftlichen Literatur und unter Aufsichtsbehörden noch immer stark umstritten. Dies gilt auch für grundsätzliche Mechanismen (z.B. zur anonymisierenden Wirkung von Pseudonymisierung; Ersatz von Einwilligung durch andere Ermächtigung bei Widerruf; Grenzen von Öffnungs- und Anpassungsklauseln). Erst nach und nach fand und findet eine (höchstrichterliche) Klärung und Konsolidierung der Meinungen statt, die aber voraussichtlich noch Jahre andauern wird. So sind beim EuGH derzeit rund 70 Vorabentscheidungsverfahren zur Auslegung der DS-GVO anhängig. Es steht zu befürchten, dass es bezüglich der neueren Digital- und Datenrechtsakte DGA, DMA, DSA, DA und AI-Act ein ähnlicher langer Weg hin zur Rechtssicherheit ansteht.

Dieser Farhrplan wurde auch veröffentlicht unter Johannes: Europäisches Datenrecht: Fahrplan ZD-Aktuell 2023, 01364.