Präambel

in Erwägung nachstehender Gründe:

(1) In den letzten Jahren haben die datengesteuerten Technologien alle Wirtschaftsbereiche verändert. Insbesondere die Verbreitung von Produkten, die mit dem Internet verbunden sind, hat das Volumen und den potenziellen Wert von Daten für Verbraucher, Unternehmen und die Gesellschaft erhöht. Qualitativ hochwertige und interoperable Daten aus verschiedenen Bereichen steigern Wettbewerbsfähigkeit und Innovation und sorgen für ein nachhaltiges Wirtschaftswachstum. Dieselben Daten können für eine Vielzahl von Zwecken und in unbegrenztem Umfang genutzt und wiederverwendet werden, ohne dass es zu einem Verlust an Qualität oder Quantität kommt.

(2) Hindernisse für die gemeinsame Nutzung von Daten verhindern eine optimale Nutzung von Daten zum Nutzen der Gesellschaft. Zu diesen Hindernissen gehören fehlende Anreize für Dateninhaber, freiwillig Vereinbarungen über die gemeinsame Nutzung von Daten zu schließen, Unsicherheit über Rechte und Pflichten in Bezug auf Daten, die Kosten für die Vergabe von Verträgen und die Implementierung technischer Schnittstellen, die starke Fragmentierung von Informationen in Datensilos, ein schlechtes Metadatenmanagement, das Fehlen von Standards für die semantische und technische Interoperabilität, Engpässe, die den Datenzugang behindern, das Fehlen gemeinsamer Praktiken für die gemeinsame Nutzung von Daten und der Missbrauch vertraglicher Ungleichgewichte in Bezug auf Datenzugang und -nutzung.

(3) In Sektoren, die durch das Vorhandensein von Kleinstunternehmen, kleinen Unternehmen und mittleren Unternehmen gemäß der Definition in Artikel 2 des Anhangs der Empfehlung 2003/361/EG der Kommission (5) (KMU) gekennzeichnet sind, mangelt es häufig an digitalen Kapazitäten und Fähigkeiten für die Erhebung, Analyse und Nutzung von Daten, und der Zugang ist häufig eingeschränkt, wenn ein Akteur über die Daten im System verfügt, oder aufgrund mangelnder Interoperabilität zwischen Daten, zwischen Datendiensten oder über Grenzen hinweg.

(4) Um den Erfordernissen der digitalen Wirtschaft gerecht zu werden und Hindernisse für einen gut funktionierenden Datenbinnenmarkt zu beseitigen, muss ein harmonisierter Rahmen geschaffen werden, in dem festgelegt wird, wer unter welchen Bedingungen und auf welcher Grundlage berechtigt ist, Produktdaten oder damit verbundene Dienstleistungsdaten zu nutzen. Dementsprechend sollten die Mitgliedstaaten keine zusätzlichen nationalen Anforderungen in Bezug auf Angelegenheiten, die in den Anwendungsbereich dieser Verordnung fallen, erlassen oder beibehalten, es sei denn, dies ist in dieser Verordnung ausdrücklich vorgesehen, da dies die unmittelbare und einheitliche Anwendung der Verordnung beeinträchtigen würde. Darüber hinaus sollten Maßnahmen auf Unionsebene die Verpflichtungen und Zusagen im Rahmen der von der Union geschlossenen internationalen Handelsabkommen unberührt lassen.

(5) Diese Verordnung stellt sicher, dass die Nutzer eines vernetzten Produkts oder eines damit verbundenen Dienstes in der Union rechtzeitig auf die durch die Nutzung dieses vernetzten Produkts oder dieses damit verbundenen Dienstes erzeugten Daten zugreifen können und dass diese Nutzer die Daten nutzen können, auch indem sie sie mit Dritten ihrer Wahl teilen. Sie verpflichtet die Dateninhaber, die Daten unter bestimmten Umständen den Nutzern und Dritten ihrer Wahl zur Verfügung zu stellen. Sie stellt außerdem sicher, dass die Dateninhaber den Datenempfängern in der Union die Daten zu fairen, angemessenen und nicht diskriminierenden Bedingungen und in transparenter Weise zur Verfügung stellen. Privatrechtliche Vorschriften sind für den Gesamtrahmen für die gemeinsame Nutzung von Daten von zentraler Bedeutung. Daher werden mit dieser Verordnung die Regeln des Vertragsrechts angepasst und die Ausnutzung vertraglicher Ungleichgewichte, die einen fairen Zugang zu Daten und deren Nutzung behindern, verhindert. Diese Verordnung stellt auch sicher, dass die Dateninhaber öffentlichen Stellen, der Kommission, der Europäischen Zentralbank oder Einrichtungen der Union die Daten zur Verfügung stellen, die für die Wahrnehmung einer bestimmten Aufgabe im öffentlichen Interesse erforderlich sind, wenn ein außergewöhnlicher Bedarf besteht. Darüber hinaus soll diese Verordnung den Wechsel zwischen Datenverarbeitungsdiensten erleichtern und die Interoperabilität von Daten sowie von Mechanismen und Diensten zur gemeinsamen Nutzung von Daten in der Union verbessern. Diese Verordnung sollte nicht dahingehend ausgelegt werden, dass sie den Dateninhabern ein neues Recht auf die Nutzung von Daten einräumt, die durch die Nutzung eines verbundenen Produkts oder eines damit verbundenen Dienstes erzeugt wurden, oder dass sie ein solches Recht gewährt.

(6) Die Datengenerierung ist das Ergebnis des Handelns von mindestens zwei Akteuren, insbesondere des Entwicklers oder Herstellers eines vernetzten Produkts, der in vielen Fällen auch ein Anbieter verbundener Dienstleistungen sein kann, und des Nutzers des vernetzten Produkts oder der verbundenen Dienstleistung. Dies wirft Fragen der Fairness in der digitalen Wirtschaft auf, da die von vernetzten Produkten oder zugehörigen Diensten aufgezeichneten Daten einen wichtigen Input für den Anschlussmarkt, Zusatz- und andere Dienste darstellen. Um die bedeutenden wirtschaftlichen Vorteile von Daten zu nutzen, auch durch die gemeinsame Nutzung von Daten auf der Grundlage freiwilliger Vereinbarungen und die Entwicklung einer datengesteuerten Wertschöpfung durch Unternehmen in der Union, ist ein allgemeines Konzept für die Zuweisung von Rechten für den Zugang zu und die Nutzung von Daten der Vergabe ausschließlicher Rechte für den Zugang und die Nutzung vorzuziehen. Diese Verordnung sieht horizontale Vorschriften vor, die durch Unionsrecht oder nationales Recht befolgt werden könnten, das auf die besonderen Gegebenheiten der betreffenden Sektoren eingeht.

(7) Das Grundrecht auf den Schutz personenbezogener Daten wird insbesondere durch die Verordnungen (EU) 2016/679 (6) und (EU) 2018/1725 (7) des Europäischen Parlaments und des Rates geschützt. Die Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates (8) schützt zusätzlich das Privatleben und die Vertraulichkeit der Kommunikation, unter anderem durch Bedingungen für die Speicherung personenbezogener und nicht personenbezogener Daten in Endgeräten und den Zugang zu diesen. Diese Rechtsakte der Union bilden die Grundlage für eine nachhaltige und verantwortungsvolle Datenverarbeitung, auch wenn die Datensätze eine Mischung aus personenbezogenen und nicht personenbezogenen Daten enthalten. Diese Verordnung ergänzt und berührt nicht das Unionsrecht zum Schutz personenbezogener Daten und der Privatsphäre, insbesondere die Verordnungen (EU) 2016/679 und (EU) 2018/1725 sowie die Richtlinie 2002/58/EG. Keine Bestimmung dieser Verordnung sollte in einer Weise angewandt oder ausgelegt werden, die das Recht auf den Schutz personenbezogener Daten oder das Recht auf Privatsphäre und Vertraulichkeit der Kommunikation schmälert oder einschränkt. Jede Verarbeitung personenbezogener Daten gemäß dieser Verordnung sollte im Einklang mit dem Datenschutzrecht der Union stehen, einschließlich des Erfordernisses einer gültigen Rechtsgrundlage für die Verarbeitung gemäß Artikel 6 der Verordnung (EU) 2016/679 und gegebenenfalls der Bedingungen von Artikel 9 jener Verordnung und von Artikel 5 Absatz 3 der Richtlinie 2002/58/EG. Diese Verordnung stellt keine Rechtsgrundlage für die Erhebung oder Erstellung personenbezogener Daten durch den Dateninhaber dar. Diese Verordnung verpflichtet die Dateninhaber, personenbezogene Daten den Nutzern oder Dritten ihrer Wahl auf Antrag des Nutzers zur Verfügung zu stellen. Eine solche Auskunft sollte für personenbezogene Daten erteilt werden, die vom Dateninhaber auf der Grundlage einer der in Artikel 6 der Verordnung (EU) 2016/679 genannten Rechtsgrundlagen verarbeitet werden. Ist der Nutzer nicht die betroffene Person, schafft diese Verordnung keine Rechtsgrundlage für die Gewährung des Zugangs zu personenbezogenen Daten oder für die Bereitstellung personenbezogener Daten an Dritte und sollte nicht so verstanden werden, dass sie dem Dateninhaber ein neues Recht zur Nutzung personenbezogener Daten verleiht, die durch die Nutzung eines verbundenen Produkts oder eines damit verbundenen Dienstes erzeugt wurden. In diesen Fällen könnte es im Interesse des Nutzers sein, die Erfüllung der Anforderungen von Artikel 6 der Verordnung (EU) 2016/679 zu erleichtern. Da diese Verordnung die Datenschutzrechte der betroffenen Personen nicht beeinträchtigen sollte, kann der Dateninhaber in diesen Fällen den Ersuchen nachkommen, indem er unter anderem personenbezogene Daten anonymisiert oder, wenn die ohne Weiteres verfügbaren Daten personenbezogene Daten mehrerer betroffener Personen enthalten, nur die personenbezogenen Daten des Nutzers übermittelt.

(8) Die Grundsätze der Datenminimierung und des Datenschutzes durch Technik und datenschutzfreundliche Voreinstellungen sind von wesentlicher Bedeutung, wenn die Verarbeitung erhebliche Risiken für die Grundrechte natürlicher Personen birgt. Unter Berücksichtigung des Stands der Technik sollten alle Beteiligten an der gemeinsamen Nutzung von Daten, einschließlich der gemeinsamen Nutzung von Daten, die in den Anwendungsbereich dieser Verordnung fallen, technische und organisatorische Maßnahmen zum Schutz dieser Rechte ergreifen. Zu diesen Maßnahmen gehören nicht nur Pseudonymisierung und Verschlüsselung, sondern auch der Einsatz zunehmend verfügbarer Technologien, die es ermöglichen, Algorithmen auf die Daten anzuwenden und wertvolle Erkenntnisse zu gewinnen, ohne dass die Rohdaten oder strukturierten Daten selbst zwischen den Parteien übermittelt oder unnötig kopiert werden müssen.

(9) Sofern in dieser Verordnung nichts anderes bestimmt ist, berührt sie nicht das nationale Vertragsrecht, einschließlich der Vorschriften über das Zustandekommen, die Gültigkeit oder die Wirkungen von Verträgen oder die Folgen der Beendigung eines Vertrags. Diese Verordnung ergänzt und berührt nicht das Unionsrecht, das darauf abzielt, die Interessen der Verbraucher zu fördern und ein hohes Verbraucherschutzniveau zu gewährleisten sowie ihre Gesundheit, Sicherheit und wirtschaftlichen Interessen zu schützen, insbesondere die Richtlinie 93/13/EWG des Rates (9) sowie die Richtlinien 2005/29/EG (10) und 2011/83/EU (11) des Europäischen Parlaments und des Rates.

(10) Diese Verordnung berührt nicht die Rechtsakte der Union und der Mitgliedstaaten, die die gemeinsame Nutzung von Daten, den Zugang zu Daten und die Verwendung von Daten zum Zwecke der Verhütung, Ermittlung, Feststellung oder Verfolgung von Straftaten oder der Vollstreckung strafrechtlicher Sanktionen oder für Zoll- und Steuerzwecke vorsehen, unabhängig von der Rechtsgrundlage nach dem Vertrag über die Arbeitsweise der Europäischen Union (AEUV), auf der diese Rechtsakte der Union erlassen wurden, sowie für die internationale Zusammenarbeit in diesem Bereich, insbesondere auf der Grundlage des Übereinkommens des Europarats über Computerkriminalität (SEV Nr. 185), das am 23. November 2001 in Budapest unterzeichnet wurde. Zu diesen Rechtsakten gehören die Verordnungen (EU) 2021/784 (12), (EU) 2022/2065 (13) und (EU) 2023/1543 (14) des Europäischen Parlaments und des Rates sowie die Richtlinie (EU) 2023/1544 des Europäischen Parlaments und des Rates (15). Diese Verordnung gilt nicht für die Erhebung oder Weitergabe von Daten, den Zugang zu Daten oder die Verwendung von Daten gemäß der Verordnung (EU) 2015/847 des Europäischen Parlaments und des Rates (16) und der Richtlinie (EU) 2015/849 des Europäischen Parlaments und des Rates (17). Diese Verordnung gilt nicht für Bereiche, die nicht in den Anwendungsbereich des Unionsrechts fallen, und berührt in keinem Fall die Zuständigkeiten der Mitgliedstaaten für die öffentliche Sicherheit, die Verteidigung oder die nationale Sicherheit, die Zoll- und Steuerverwaltung oder die Gesundheit und Sicherheit der Bürger, unabhängig von der Art der UnternehmenEntität bezeichnet eine natürliche oder juristische Person, die nach dem innerstaatlichen Recht des Ortes ihrer Niederlassung gegründet und als solche anerkannt wurde und die in eigenem Namen handelnd Rechte und Pflichten ausüben kann. Definition gemäß Artikel 6 der Richtlinie (EU) 2022/2555 (NIS2-Richtlinie) die von den Mitgliedstaaten mit der Durchführung von Aufgaben im Zusammenhang mit diesen Zuständigkeiten betraut werden.

(11) Das Unionsrecht zur Festlegung von Anforderungen an die materielle Gestaltung und die Daten von Erzeugnissen, die auf dem Unionsmarkt in Verkehr gebracht werden sollen, sollte nicht berührt werden, es sei denn, dies ist in dieser Verordnung ausdrücklich vorgesehen.

(12) Diese Verordnung ergänzt und berührt nicht das Unionsrecht zur Festlegung von Anforderungen an die Barrierefreiheit bestimmter Produkte und Dienstleistungen, insbesondere die Richtlinie (EU) 2019/882 des Europäischen Parlaments und des Rates (18).

(13) Diese Verordnung berührt nicht die Rechtsakte der Union und der Mitgliedstaaten zum Schutz der Rechte des geistigen Eigentums, einschließlich der Richtlinien 2001/29/EG (19), 2004/48/EG (20) und (EU) 2019/790 (21) des Europäischen Parlaments und des Rates.

(14) Verbundene Produkte, die mit Hilfe ihrer Bauteile oder Betriebssysteme Daten über ihre Leistung, Verwendung oder Umgebung erhalten, erzeugen oder sammeln und diese Daten über ein elektronischer KommunikationsdienstElektronischer Kommunikationsdienst bezeichnet einen in der Regel über elektronische Kommunikationsnetze gegen Entgelt erbrachten Dienst, der mit Ausnahme von Diensten, die über elektronische Kommunikationsnetze und -dienste übertragene Inhalte bereitstellen oder eine redaktionelle Kontrolle über sie ausüben, die folgenden Arten von Diensten umfasst: a) "Internetzugangsdienst" gemäß der Definition in Artikel 2 Absatz 2 Nummer 2 der Verordnung (EU) 2015/2120, b) interpersoneller Kommunikationsdienst und c) Dienste, die ganz oder überwiegend in der Übertragung von Signalen bestehen, wie z. B. Übertragungsdienste, die für die Bereitstellung von Machine-to-Machine-Diensten und für den Rundfunk genutzt werden. - Definition gemäß Artikel 2, Punkt (4) der Richtlinie (EU) 2018/1972Eine physische Verbindung oder ein geräteinterner Zugang, der oft als Internet der Dinge bezeichnet wird, sollte in den Anwendungsbereich dieser Verordnung fallen, mit Ausnahme von Prototypen. Beispiele für solche elektronischen Kommunikationsdienste sind insbesondere landgestützte Telefonnetze, Fernsehkabelnetze, satellitengestützte Netze und Nahfeldkommunikationsnetze. Vernetzte Produkte sind in allen Bereichen von Wirtschaft und Gesellschaft zu finden, unter anderem in privaten, zivilen oder kommerziellen Infrastrukturen, Fahrzeugen, Gesundheits- und Lifestyle-Geräten, Schiffen, Flugzeugen, Haushaltsgeräten und Konsumgütern, medizinischen Geräten und Geräten für die Gesundheit oder landwirtschaftlichen und industriellen Maschinen. Welche Daten ein vernetztes Produkt zur Verfügung stellen kann, sollte von den Designentscheidungen der Hersteller und gegebenenfalls von den Rechtsvorschriften der Union oder der Mitgliedstaaten abhängen, die auf sektorspezifische Bedürfnisse und Ziele abzielen, oder von den einschlägigen Entscheidungen der zuständigen Behörden.

(15) Die Daten stellen die Digitalisierung von Nutzeraktionen und -ereignissen dar und sollten daher für den Nutzer zugänglich sein. Die Regeln für den Zugang zu und die Nutzung von Daten aus vernetzten Produkten und zugehörigen Diensten im Rahmen dieser Verordnung betreffen sowohl Produktdaten als auch zugehörige Dienstdaten. Produktdaten sind Daten, die durch die Nutzung eines vernetzten Produkts erzeugt werden und die der Hersteller so konzipiert hat, dass sie von einem Nutzer, Dateninhaber oder einem Dritten, gegebenenfalls auch dem Hersteller, aus dem vernetzten Produkt abgerufen werden können. Daten von verbundenen Diensten beziehen sich auf Daten, die auch die Digitalisierung von Benutzeraktionen oder Ereignissen im Zusammenhang mit dem verbundenen Produkt darstellen, die während der Erbringung eines verbundenen Dienstes durch den Anbieter erzeugt werden. Unter Daten, die durch die Nutzung eines vernetzten Produkts oder eines damit verbundenen Dienstes erzeugt werden, sollten Daten verstanden werden, die absichtlich aufgezeichnet werden, oder Daten, die sich indirekt aus den Handlungen des Nutzers ergeben, wie Daten über die Umgebung des vernetzten Produkts oder Interaktionen. Dies sollte Daten über die Nutzung eines angeschlossenen Produkts einschließen, die von einer Benutzerschnittstelle oder über einen zugehörigen Dienst erzeugt werden, und sollte nicht auf die Information beschränkt sein, dass eine solche Nutzung stattgefunden hat, sondern alle Daten einschließen, die das angeschlossene Produkt als Ergebnis einer solchen Nutzung erzeugt, wie beispielsweise Daten, die automatisch von Sensoren erzeugt werden, und Daten, die von eingebetteten Anwendungen aufgezeichnet werden, einschließlich Anwendungen, die den Hardwarestand und Fehlfunktionen anzeigen. Dazu sollten auch Daten gehören, die von dem angeschlossenen Produkt oder dem zugehörigen Dienst in Zeiten der Untätigkeit des Nutzers erzeugt werden, etwa wenn der Nutzer beschließt, ein angeschlossenes Produkt für einen bestimmten Zeitraum nicht zu nutzen und es stattdessen im Standby-Modus zu belassen oder sogar auszuschalten, da sich der Zustand eines angeschlossenen Produkts oder seiner Komponenten, z. B. seiner Batterien, ändern kann, wenn sich das angeschlossene Produkt im Standby-Modus befindet oder ausgeschaltet ist. In den Anwendungsbereich dieser Verordnung fallen Daten, die nicht wesentlich verändert wurden, d. h. Daten in Rohform, auch bekannt als Quell- oder Primärdaten, die sich auf Datenpunkte beziehen, die ohne weitere Verarbeitung automatisch generiert wurden, sowie Daten, die vor der anschließenden Verarbeitung und Analyse vorverarbeitet wurden, um sie verständlich und nutzbar zu machen. Solche Daten umfassen Daten, die von einem einzelnen Sensor oder einer verbundenen Gruppe von Sensoren zu dem Zweck erfasst werden, die erfassten Daten für breitere Anwendungsfälle verständlich zu machen, indem eine physikalische Größe oder Qualität oder die Änderung einer physikalischen Größe, wie Temperatur, Druck, Durchflussmenge, Ton, pH-Wert, Flüssigkeitsstand, Position, Beschleunigung oder Geschwindigkeit, bestimmt wird. Der Begriff "vorverarbeitete Daten" sollte nicht so ausgelegt werden, dass dem Dateninhaber die Verpflichtung auferlegt wird, erhebliche Investitionen in die Reinigung und Umwandlung der Daten zu tätigen. Die zur Verfügung zu stellenden Daten sollten die relevanten Metadaten, einschließlich des grundlegenden Kontexts und des Zeitstempels, enthalten, um die Daten nutzbar zu machen, und mit anderen Daten kombiniert werden, z. B. Daten, die mit anderen Datenpunkten, die sich auf sie beziehen, sortiert und klassifiziert sind, oder in ein allgemein verwendetes Format umformatiert werden. Solche Daten sind für den Nutzer potenziell wertvoll und unterstützen die Innovation und die Entwicklung digitaler und anderer Dienste zum Schutz der Umwelt, der Gesundheit und der Kreislaufwirtschaft, unter anderem durch die Erleichterung der Wartung und Reparatur der betreffenden verbundenen Produkte. Im Gegensatz dazu sollten Informationen, die aus solchen Daten abgeleitet oder abgeleitet werden und die das Ergebnis zusätzlicher Investitionen in die Zuweisung von Werten oder Erkenntnissen aus den Daten sind, insbesondere mittels geschützter, komplexer Algorithmen, einschließlich solcher, die Teil geschützter Software sind, nicht als in den Anwendungsbereich dieser Verordnung fallend betrachtet werden und sollten folglich nicht der Verpflichtung eines Dateninhabers unterliegen, sie einem Nutzer oder einem Datenempfänger zur Verfügung zu stellen, es sei denn, der Nutzer und der Dateninhaber haben etwas anderes vereinbart. Zu diesen Daten könnten insbesondere Informationen gehören, die mittels Sensorfusion abgeleitet werden, bei der Daten von mehreren Sensoren, die in dem verbundenen Produkt erfasst werden, unter Verwendung geschützter, komplexer Algorithmen abgeleitet werden und die Gegenstand von Rechten des geistigen Eigentums sein könnten.

(16) Diese Verordnung ermöglicht es den Nutzern vernetzter Produkte, Anschlussmarkt-, Zusatz- und andere Dienste in Anspruch zu nehmen, die auf Daten beruhen, die von in solche Produkte eingebetteten Sensoren erfasst werden, wobei die Erfassung dieser Daten einen potenziellen Wert für die Verbesserung der Leistung der vernetzten Produkte darstellt. Es ist wichtig, zwischen den Märkten für die Bereitstellung solcher mit Sensoren ausgestatteter verbundener Produkte und damit verbundener Dienstleistungen einerseits und den Märkten für nicht damit verbundene Software und Inhalte wie Text-, Audio- oder audiovisuelle Inhalte, die häufig durch Rechte des geistigen Eigentums geschützt sind, andererseits zu unterscheiden. Infolgedessen sollten Daten, die solche mit Sensoren ausgestatteten verbundenen Produkte erzeugen, wenn der Nutzer Inhalte aufnimmt, überträgt, anzeigt oder abspielt, sowie die Inhalte selbst, die häufig durch Rechte des geistigen Eigentums geschützt sind, unter anderem für die Nutzung durch einen Online-Dienst, nicht unter diese Verordnung fallen. Diese Verordnung sollte sich auch nicht auf Daten erstrecken, die von dem angeschlossenen Produkt gewonnen, erzeugt oder abgerufen wurden oder an dieses übertragen wurden, um im Auftrag anderer Parteien, die nicht der Nutzer sind, gespeichert oder anderweitig verarbeitet zu werden, wie dies bei Servern oder Cloud-Infrastrukturen der Fall sein kann, die von ihren Eigentümern ausschließlich im Auftrag Dritter betrieben werden, unter anderem für die Nutzung durch einen Online-Dienst.

(17) Es ist notwendig, Vorschriften für Produkte festzulegen, die zum Zeitpunkt des Kaufs, der Miete oder des Leasings mit einem verbundenen Dienst so verbunden sind, dass das Fehlen dieses Dienstes das angeschlossene Produkt daran hindern würde, eine oder mehrere seiner Funktionen auszuführen, oder die nachträglich vom Hersteller oder einem Dritten mit dem Produkt verbunden werden, um die Funktionalität des angeschlossenen Produkts zu erweitern oder anzupassen. Solche verbundenen Dienste beinhalten den Austausch von Daten zwischen dem verbundenen Produkt und dem Diensteanbieter und sollten so verstanden werden, dass sie ausdrücklich mit dem Betrieb der Funktionen des verbundenen Produkts verknüpft sind, wie z. B. Dienste, die gegebenenfalls Befehle an das verbundene Produkt übermitteln, die eine Auswirkung auf dessen Handlung oder Verhalten haben können. Dienste, die sich nicht auf den Betrieb des angeschlossenen Produkts auswirken und bei denen der Diensteanbieter keine Daten oder Befehle an das angeschlossene Produkt übermittelt, sollten nicht als verbundene Dienste angesehen werden. Zu solchen Dienstleistungen könnten beispielsweise zusätzliche Beratungs-, Analyse- oder Finanzdienstleistungen oder regelmäßige Reparatur- und Wartungsarbeiten gehören. Verbundene Dienstleistungen können als Teil des Kauf-, Miet- oder Leasingvertrags angeboten werden. Verbundene Dienste könnten auch für Produkte der gleichen Art angeboten werden, und die Nutzer könnten vernünftigerweise erwarten, dass sie angeboten werden, wenn man die Art des verbundenen Produkts und alle öffentlichen Erklärungen des Verkäufers, Vermieters, Leasinggebers oder anderer Personen in früheren Gliedern der Geschäftskette, einschließlich des Herstellers, berücksichtigt. Diese verbundenen Dienste können selbst Daten generieren, die für den Nutzer von Wert sind, unabhängig von den Datenerhebungsmöglichkeiten des verbundenen Produkts, mit dem sie zusammengeschaltet sind. Diese Verordnung sollte auch für verbundene Dienste gelten, die nicht vom Verkäufer, Vermieter oder Verpächter selbst, sondern von einem Dritten erbracht werden. Bei Zweifeln darüber, ob die Dienstleistung als Teil des Kauf-, Miet- oder Leasingvertrags erbracht wird, sollte diese Verordnung gelten. Weder die Stromversorgung noch die Bereitstellung der Anschlussmöglichkeiten sind als verbundene Dienstleistungen im Sinne dieser Verordnung auszulegen.

(18) Als Nutzer eines angeschlossenen Produkts sollte eine natürliche oder juristische Person, z. B. ein Unternehmen, ein Verbraucher oder eine öffentliche Stelle, verstanden werden, die Eigentümer eines angeschlossenen Produkts ist, die bestimmte zeitlich begrenzte Rechte, z. B. durch einen Miet- oder Leasingvertrag, für den Zugang zu den von dem angeschlossenen Produkt gewonnenen Daten oder deren Nutzung erhalten hat oder die damit verbundene Dienstleistungen für das angeschlossene Produkt in Anspruch nimmt. Diese Zugriffsrechte sollten in keiner Weise die Rechte der betroffenen Personen ändern oder beeinträchtigen, die möglicherweise mit einem angeschlossenen Produkt oder einem damit verbundenen Dienst in Bezug auf personenbezogene Daten interagieren, die von dem angeschlossenen Produkt oder während der Erbringung des damit verbundenen Dienstes erzeugt werden. Der Nutzer trägt die Risiken und genießt die Vorteile der Nutzung des vernetzten Produkts und sollte auch Zugang zu den von ihm erzeugten Daten haben. Der Nutzer sollte daher das Recht haben, aus den von dem vernetzten Produkt und den damit verbundenen Diensten erzeugten Daten Nutzen zu ziehen. Ein Eigentümer, Mieter oder Leasingnehmer sollte ebenfalls als Nutzer angesehen werden, auch wenn mehrere Personen als Nutzer angesehen werden können. Im Zusammenhang mit mehreren Nutzern kann jeder Nutzer auf unterschiedliche Weise zur Datengenerierung beitragen und ein Interesse an mehreren Nutzungsformen haben, z. B. Flottenmanagement für ein Leasingunternehmen oder Mobilitätslösungen für Einzelpersonen, die einen Carsharing-Dienst nutzen.

(19) Datenkompetenz bezieht sich auf die Fähigkeiten, das Wissen und das Verständnis, die es Nutzern, Verbrauchern und Unternehmen, insbesondere KMU, die in den Anwendungsbereich dieser Verordnung fallen, ermöglichen, sich des potenziellen Werts der von ihnen erzeugten, produzierten und gemeinsam genutzten Daten bewusst zu werden, und die sie dazu motivieren, diese Daten im Einklang mit den einschlägigen rechtlichen Bestimmungen anzubieten und zugänglich zu machen. Datenkompetenz sollte über das Erlernen von Werkzeugen und Technologien hinausgehen und darauf abzielen, Bürger und Unternehmen mit der Fähigkeit auszustatten und zu befähigen, von einem integrativen und fairen Datenmarkt zu profitieren. Die Verbreitung von Datenkompetenzmaßnahmen und die Einführung geeigneter Folgemaßnahmen könnten zur Verbesserung der Arbeitsbedingungen beitragen und letztlich die Konsolidierung und den Innovationspfad der Datenwirtschaft in der Union unterstützen. Die zuständigen Behörden sollten Instrumente fördern und Maßnahmen ergreifen, um die Datenkompetenz von Nutzern und Einrichtungen, die in den Anwendungsbereich dieser Verordnung fallen, und das Bewusstsein für ihre Rechte und Pflichten im Rahmen dieser Verordnung zu verbessern.

(20) In der Praxis sind nicht alle Daten, die von vernetzten Produkten oder damit verbundenen Diensten erzeugt werden, für ihre Nutzer leicht zugänglich, und es gibt oft nur begrenzte Möglichkeiten für die Übertragbarkeit von Daten, die von mit dem Internet verbundenen Produkten erzeugt werden. Die Nutzer sind nicht in der Lage, die Daten zu erhalten, die für die Inanspruchnahme von Anbietern von Reparatur- und anderen Diensten erforderlich sind, und die Unternehmen sind nicht in der Lage, innovative, bequeme und effizientere Dienste anzubieten. In vielen Bereichen können die Hersteller durch ihre Kontrolle über die technische Gestaltung der vernetzten Produkte oder der damit verbundenen Dienste bestimmen, welche Daten erzeugt werden und wie auf sie zugegriffen werden kann, obwohl sie keinen Rechtsanspruch auf diese Daten haben. Es muss daher sichergestellt werden, dass vernetzte Produkte so konzipiert und hergestellt und damit verbundene Dienste so konzipiert und bereitgestellt werden, dass Produktdaten und damit verbundene Servicedaten, einschließlich der einschlägigen Metadaten, die zur Interpretation und Nutzung dieser Daten, auch zum Zwecke des Abrufs, der Nutzung oder der gemeinsamen Nutzung, erforderlich sind, für einen Nutzer stets einfach und sicher und kostenlos in einem umfassenden, strukturierten, allgemein verwendeten und maschinenlesbaren Format zugänglich sind. Produktdaten und Daten über verbundene Dienste, die ein Dateninhaber rechtmäßig von dem verbundenen Produkt oder dem verbundenen Dienst erhält oder rechtmäßig erhalten kann, z. B. durch das Design des verbundenen Produkts, den Vertrag des Dateninhabers mit dem Nutzer über die Erbringung verbundener Dienste und seine technischen Mittel für den Datenzugriff, werden als "leicht verfügbare Daten" bezeichnet, ohne dass ein unverhältnismäßiger Aufwand entsteht. Zu den leicht verfügbaren Daten gehören nicht die durch die Verwendung eines verbundenen Produkts erzeugten Daten, wenn die Konzeption des verbundenen Produkts nicht vorsieht, dass solche Daten außerhalb der Komponente, in der sie erzeugt werden, oder des verbundenen Produkts als Ganzes gespeichert oder übertragen werden. Diese Verordnung sollte daher nicht so verstanden werden, dass sie eine Verpflichtung zur Speicherung von Daten in der zentralen Recheneinheit eines angeschlossenen Produkts vorschreibt. Das Fehlen einer solchen Verpflichtung sollte den Hersteller oder den Inhaber der Daten nicht daran hindern, sich mit dem Nutzer freiwillig auf die Vornahme solcher Anpassungen zu einigen. Die Gestaltungspflichten in dieser Verordnung lassen auch den Grundsatz der Datenminimierung gemäß Artikel 5 Absatz 1 Buchstabe c der Verordnung (EU) 2016/679 unberührt und sollten nicht so verstanden werden, dass sie eine Verpflichtung auferlegen, vernetzte Produkte und zugehörige Dienste so zu gestalten, dass sie andere personenbezogene Daten als die im Zusammenhang mit den Zwecken, für die sie verarbeitet werden, erforderlichen personenbezogenen Daten speichern oder anderweitig verarbeiten. Unionsrecht oder nationales Recht könnte eingeführt werden, um weitere Besonderheiten festzulegen, wie etwa die Produktdaten, die von vernetzten Produkten oder zugehörigen Diensten zugänglich sein sollten, da diese Daten für den effizienten Betrieb, die Reparatur oder die Wartung dieser vernetzten Produkte oder zugehörigen Dienste wesentlich sein können. Führen spätere Aktualisierungen oder Änderungen eines angeschlossenen Produkts oder einer damit verbundenen Dienstleistung durch den Hersteller oder eine andere Partei zu zusätzlichen zugänglichen Daten oder zu einer Einschränkung der ursprünglich zugänglichen Daten, so sollten diese Änderungen dem Nutzer im Zusammenhang mit der Aktualisierung oder Änderung mitgeteilt werden.

(21) Gelten mehrere Personen oder Einrichtungen als Nutzer, z. B. im Falle von Miteigentum oder wenn ein Eigentümer, Mieter oder Pächter sich die Rechte auf den Datenzugang oder die Datennutzung teilt, sollte die Gestaltung des verbundenen Produkts oder des zugehörigen Dienstes oder der entsprechenden Schnittstelle jedem Nutzer den Zugang zu den von ihm erzeugten Daten ermöglichen. Die Nutzung von verbundenen Produkten, die Daten erzeugen, erfordert in der Regel die Einrichtung eines Benutzerkontos. Ein solches Konto ermöglicht die Identifizierung des Nutzers durch den Dateninhaber, der der Hersteller sein kann. Es kann auch als Kommunikationsmittel und zur Übermittlung und Bearbeitung von Datenzugangsanfragen verwendet werden. Haben mehrere Hersteller oder Anbieter verbundener Dienstleistungen demselben Nutzer vernetzte Produkte verkauft, vermietet oder verleast oder damit zusammenhängende Dienstleistungen erbracht, so sollte sich der Nutzer an jede der Parteien wenden, mit denen er einen Vertrag hat. Hersteller oder Entwickler eines verbundenen Produkts, das typischerweise von mehreren Personen genutzt wird, sollten die erforderlichen Mechanismen einrichten, um gegebenenfalls getrennte Benutzerkonten für einzelne Personen oder die Möglichkeit der Nutzung desselben Benutzerkontos durch mehrere Personen zu ermöglichen. Kontolösungen sollten es den Nutzern ermöglichen, ihre Konten zu löschen und die damit verbundenen Daten zu vernichten, und könnten es den Nutzern ermöglichen, den Zugang zu den Daten, die Nutzung oder die gemeinsame Nutzung zu beenden oder einen Antrag auf Beendigung zu stellen, insbesondere unter Berücksichtigung von Situationen, in denen sich die Eigentumsverhältnisse oder die Nutzung des verbundenen Produkts ändern. Der Zugang sollte dem Nutzer auf der Grundlage eines einfachen Antragsmechanismus gewährt werden, der eine automatische Ausführung ermöglicht und keine Prüfung oder Freigabe durch den Hersteller oder den Dateninhaber erfordert. Dies bedeutet, dass die Daten nur dann zur Verfügung gestellt werden sollten, wenn der Nutzer tatsächlich Zugang wünscht. Ist eine automatische Ausführung der Datenzugriffsanfrage nicht möglich, z. B. über ein Benutzerkonto oder eine begleitende mobile Anwendung, die mit dem angeschlossenen Produkt oder dem zugehörigen Dienst bereitgestellt wird, sollte der Hersteller den Nutzer darüber informieren, wie der Zugriff auf die Daten erfolgen kann.

(22) Vernetzte Produkte können so konzipiert sein, dass bestimmte Daten direkt von einem geräteeigenen Datenspeicher oder von einem entfernten Server, an den die Daten übermittelt werden, zugänglich sind. Der Zugriff auf den geräteeigenen Datenspeicher kann über kabelgebundene oder drahtlose lokale Netze erfolgen, die mit einem öffentlich zugänglichen elektronischen Kommunikationsdienst oder einem Mobilfunknetz verbunden sind. Bei dem Server kann es sich um die eigene lokale Serverkapazität des Herstellers oder um die eines Dritten oder eines Cloud-Dienstanbieters handeln. Auftragsverarbeiter im Sinne von Artikel 4 Nummer 8 der Verordnung (EU) 2016/679 gelten nicht als Dateninhaber. Sie können jedoch von dem für die Verarbeitung Verantwortlichen im Sinne von Artikel 4 Nummer 7 der Verordnung (EU) 2016/679 ausdrücklich mit der Bereitstellung von Daten beauftragt werden. Vernetzte Produkte können so konzipiert sein, dass sie es dem Nutzer oder einem Dritten ermöglichen, die Daten auf dem vernetzten Produkt, auf einer Recheninstanz des Herstellers oder innerhalb einer vom Nutzer oder dem Dritten gewählten Informations- und Kommunikationstechnologie (IKT)-Umgebung zu verarbeiten.

(23) Virtuelle Assistenten spielen eine zunehmende Rolle bei der Digitalisierung des privaten und beruflichen Umfelds und dienen als einfach zu bedienende Schnittstelle, um Inhalte abzuspielen, Informationen zu erhalten oder mit dem Internet verbundene Produkte zu aktivieren. Virtuelle Assistenten können z. B. in einer intelligenten Heimumgebung als ein einziges Gateway fungieren und erhebliche Mengen relevanter Daten darüber aufzeichnen, wie Nutzer mit Produkten interagieren, die mit dem Internet verbunden sind, einschließlich solcher, die von anderen Parteien hergestellt wurden, und sie können die Verwendung der vom Hersteller bereitgestellten Schnittstellen wie Touchscreens oder Smartphone-Apps ersetzen. Der Nutzer möchte diese Daten möglicherweise Drittanbietern zur Verfügung stellen und neuartige intelligente Dienste ermöglichen. Für virtuelle Assistenten sollten die in dieser Verordnung vorgesehenen Datenzugangsrechte gelten. Daten, die erzeugt werden, wenn ein Nutzer mit einem vernetzten Produkt über einen virtuellen Assistenten interagiert, der von einer anderen Stelle als dem Hersteller des vernetzten Produkts bereitgestellt wird, sollten ebenfalls unter die in dieser Verordnung vorgesehenen Datenzugangsrechte fallen. Allerdings sollten nur die Daten, die sich aus der Interaktion zwischen dem Nutzer und einem verbundenen Produkt oder einem damit verbundenen Dienst über den virtuellen Assistenten ergeben, unter diese Verordnung fallen. Vom virtuellen Assistenten erzeugte Daten, die in keinem Zusammenhang mit der Nutzung eines verbundenen Produkts oder eines damit verbundenen Dienstes stehen, fallen nicht unter diese Verordnung.

(24) Vor Abschluss eines Vertrags über den Kauf, die Miete oder das Leasing eines angeschlossenen Produkts sollte der Verkäufer, Vermieter oder Leasinggeber, bei dem es sich um den Hersteller handeln kann, dem Nutzer in klarer und verständlicher Form Informationen über die Produktdaten, die das angeschlossene Produkt erzeugen kann, einschließlich der Art, des Formats und des geschätzten Umfangs dieser Daten, zur Verfügung stellen. Dazu könnten Informationen über Datenstrukturen, Datenformate, Vokabulare, Klassifizierungsschemata, Taxonomien und Codelisten gehören, sofern vorhanden, sowie klare und ausreichende Informationen, die für die Ausübung der Rechte des Nutzers darüber relevant sind, wie die Daten gespeichert, abgerufen oder abgerufen werden können, einschließlich der Nutzungsbedingungen und der Dienstqualität von Anwendungsprogrammierschnittstellen oder gegebenenfalls der Bereitstellung von Softwareentwicklungskits. Diese Verpflichtung sorgt für Transparenz in Bezug auf die erzeugten Produktdaten und verbessert den einfachen Zugang für den Nutzer. Die Informationspflicht könnte z. B. dadurch erfüllt werden, dass im Internet ein stabiler Uniform Resource Locator (URL) unterhalten wird, der als Weblink oder QR-Code verbreitet werden kann und auf die einschlägigen Informationen verweist, die der Verkäufer, Vermieter oder Leasinggeber, bei dem es sich um den Hersteller handeln kann, dem Nutzer vor Abschluss des Vertrags über den Kauf, die Miete oder das Leasing eines verbundenen Produkts zur Verfügung stellt. In jedem Fall muss der Nutzer in der Lage sein, die Informationen so zu speichern, dass sie für eine spätere Bezugnahme zugänglich sind und die unveränderte Wiedergabe der gespeicherten Informationen ermöglichen. Vom Dateninhaber kann nicht erwartet werden, dass er die Daten im Hinblick auf die Bedürfnisse des Nutzers des verbundenen Produkts unbegrenzt speichert, sondern er sollte gegebenenfalls eine angemessene Datenaufbewahrungspolitik im Einklang mit dem Grundsatz der Speicherbegrenzung gemäß Artikel 5 Absatz 1 Buchstabe e der Verordnung (EU) 2016/679 anwenden, die die wirksame Anwendung der in dieser Verordnung vorgesehenen Datenzugangsrechte ermöglicht. Die Informationspflicht berührt nicht die Verpflichtung des für die Verarbeitung Verantwortlichen, der betroffenen Person gemäß den Artikeln 12, 13 und 14 der Verordnung (EU) 2016/679 Informationen zu erteilen. Die Informationspflicht vor dem Abschluss eines Vertrags über die Erbringung einer verbundenen Dienstleistung sollte bei dem potenziellen Inhaber der Daten liegen, unabhängig davon, ob der Inhaber der Daten einen Vertrag über den Kauf, die Miete oder das Leasing eines verbundenen Produkts abschließt. Ändern sich die Informationen während der Lebensdauer des verbundenen Produkts oder der Vertragslaufzeit für die damit verbundene Dienstleistung, auch wenn sich der Zweck, für den diese Daten verwendet werden sollen, gegenüber dem ursprünglich angegebenen Zweck ändert, sollten sie dem Nutzer ebenfalls mitgeteilt werden.

(25) Diese Verordnung sollte nicht so verstanden werden, dass sie den Dateninhabern ein neues Recht zur Nutzung von Produktdaten oder damit verbundenen Dienstleistungsdaten verleiht. Ist der Hersteller eines verbundenen Produkts ein Dateninhaber, so sollte die Grundlage für die Nutzung nicht personenbezogener Daten durch den Hersteller ein Vertrag zwischen dem Hersteller und dem Nutzer sein. Ein solcher Vertrag könnte Teil einer Vereinbarung über die Erbringung der entsprechenden Dienstleistung sein, die zusammen mit dem Kauf-, Miet- oder Leasingvertrag für das vernetzte Produkt geschlossen werden könnte. Jede Vertragsklausel, die vorsieht, dass der Dateninhaber die Produktdaten oder die Daten des verbundenen Dienstes verwenden darf, sollte für den Nutzer transparent sein, auch hinsichtlich der Zwecke, für die der Dateninhaber die Daten zu verwenden beabsichtigt. Zu diesen Zwecken könnte es gehören, die Funktionsweise des verbundenen Produkts oder der damit verbundenen Dienste zu verbessern, neue Produkte oder Dienste zu entwickeln oder Daten mit dem Ziel zusammenzufassen, die daraus abgeleiteten Daten Dritten zur Verfügung zu stellen, vorausgesetzt, dass diese abgeleiteten Daten nicht die Identifizierung bestimmter Daten ermöglichen, die dem Dateninhaber von dem verbundenen Produkt übermittelt wurden, oder es einem Dritten ermöglichen, diese Daten aus dem Datensatz abzuleiten. Jede Änderung des Vertrags sollte von der Zustimmung des Nutzers in Kenntnis der Sachlage abhängen. Diese Verordnung hindert die Parteien nicht daran, Vertragsklauseln zu vereinbaren, die bewirken, dass die Verwendung nicht personenbezogener Daten oder bestimmter Kategorien nicht personenbezogener Daten durch einen Dateninhaber ausgeschlossen oder eingeschränkt wird. Sie hindert die Parteien auch nicht daran, zu vereinbaren, dass Produktdaten oder damit zusammenhängende Dienstleistungsdaten Dritten direkt oder indirekt, gegebenenfalls auch über einen anderen Dateninhaber, zur Verfügung gestellt werden. Darüber hinaus steht diese Verordnung sektorspezifischen regulatorischen Anforderungen nach dem Unionsrecht oder nach mit dem Unionsrecht vereinbarem nationalem Recht nicht entgegen, die die Verwendung bestimmter solcher Daten durch den Dateninhaber aus genau definierten Gründen der öffentlichen Ordnung ausschließen oder einschränken würden. Diese Verordnung hindert die Nutzer nicht daran, im Falle von Beziehungen zwischen Unternehmen Daten Dritten oder Dateninhabern im Rahmen rechtmäßiger vertraglicher Bestimmungen zur Verfügung zu stellen, auch indem sie sich damit einverstanden erklären, die weitere Weitergabe solcher Daten zu begrenzen oder einzuschränken, oder eine angemessene Entschädigung zu erhalten, beispielsweise im Gegenzug für den Verzicht auf ihr Recht auf Nutzung oder Weitergabe solcher Daten. Auch wenn der Begriff "Dateninhaber" im Allgemeinen keine öffentlichen Stellen umfasst, so kann er doch öffentliche Unternehmen einschließen.

(26) Um das Entstehen liquider, fairer und effizienter Märkte für nicht personenbezogene Daten zu fördern, sollten die Nutzer verbundener Produkte in der Lage sein, mit minimalem rechtlichem und technischem Aufwand Daten mit anderen auszutauschen, auch zu kommerziellen Zwecken. Derzeit ist es für Unternehmen oft schwierig, die Personal- oder Computerkosten zu rechtfertigen, die für die Aufbereitung nicht personenbezogener Datensätze oder Datenprodukte und deren Angebot an potenzielle Gegenparteien über Datenvermittlungsdienste, einschließlich Datenmarktplätze, erforderlich sind. Ein wesentliches Hindernis für die gemeinsame Nutzung nicht-personenbezogener Daten durch Unternehmen ergibt sich daher aus der mangelnden Vorhersehbarkeit der wirtschaftlichen Erträge aus Investitionen in die Aufbereitung und Bereitstellung von Datensätzen oder Datenprodukten. Um das Entstehen liquider, fairer und effizienter Märkte für nicht-personenbezogene Daten in der Union zu ermöglichen, muss geklärt werden, wer das Recht hat, solche Daten auf einem Markt anzubieten. Die Nutzer sollten daher das Recht haben, nicht-personenbezogene Daten mit Datenempfängern zu kommerziellen und nicht-kommerziellen Zwecken auszutauschen. Eine solche gemeinsame Nutzung von Daten könnte direkt durch den Nutzer, auf Antrag des Nutzers über einen Dateninhaber oder durch Datenvermittlungsdienste erfolgen. Datenvermittlungsdienste, wie sie in der Verordnung (EU) 2022/868 des Europäischen Parlaments und des Rates (22) geregelt sind, könnten eine Datenwirtschaft erleichtern, indem sie Geschäftsbeziehungen zwischen Nutzern, Datenempfängern und Dritten herstellen, und sie können die Nutzer bei der Ausübung ihres Rechts auf Datennutzung unterstützen, indem sie beispielsweise die Anonymisierung personenbezogener Daten oder die Aggregation des Zugangs zu Daten von mehreren einzelnen Nutzern sicherstellen. Sind Daten von der Verpflichtung des Dateninhabers, sie den Nutzern oder Dritten zur Verfügung zu stellen, ausgenommen, könnte der Umfang dieser Daten im Vertrag zwischen dem Nutzer und dem Dateninhaber über die Erbringung eines damit verbundenen Dienstes festgelegt werden, so dass die Nutzer leicht feststellen können, welche Daten ihnen zur gemeinsamen Nutzung mit Datenempfängern oder Dritten zur Verfügung stehen. Die Dateninhaber sollten Dritten keine nicht personenbezogenen Produktdaten zu kommerziellen oder nichtkommerziellen Zwecken zur Verfügung stellen, die nicht der Erfüllung ihres Vertrags mit dem Nutzer dienen; dies gilt unbeschadet rechtlicher Anforderungen nach Unionsrecht oder nationalem Recht, die einen Dateninhaber zur Bereitstellung von Daten verpflichten. Gegebenenfalls sollten die Dateninhaber Dritte vertraglich verpflichten, die von ihnen erhaltenen Daten nicht weiterzugeben.

(27) In Sektoren, die durch die Konzentration einer kleinen Zahl von Herstellern gekennzeichnet sind, die vernetzte Produkte an Endnutzer liefern, stehen den Nutzern möglicherweise nur begrenzte Optionen für den Zugang zu Daten sowie deren Nutzung und Weitergabe zur Verfügung. Unter diesen Umständen reichen Verträge möglicherweise nicht aus, um das Ziel der Befähigung der Nutzer zu erreichen, so dass es für die Nutzer schwierig ist, einen Nutzen aus den Daten zu ziehen, die von dem von ihnen gekauften, gemieteten oder geleasten vernetzten Produkt erzeugt werden. Folglich gibt es nur ein begrenztes Potenzial für innovative kleinere Unternehmen, datengestützte Lösungen auf wettbewerbsfähige Weise anzubieten, und für eine vielfältige Datenwirtschaft in der Union. Diese Verordnung sollte daher auf den jüngsten Entwicklungen in bestimmten Sektoren aufbauen, wie z. B. dem Verhaltenskodex für die gemeinsame Nutzung von Agrardaten auf Vertragsbasis. Um sektorspezifischen Bedürfnissen und Zielen gerecht zu werden, können Rechtsvorschriften der Union oder der Mitgliedstaaten erlassen werden. Darüber hinaus sollten die Dateninhaber keine leicht zugänglichen, nicht personenbezogenen Daten verwenden, um Erkenntnisse über die wirtschaftliche Lage des Nutzers oder seine Vermögenswerte oder Produktionsmethoden zu gewinnen, oder über eine solche Verwendung durch den Nutzer in einer anderen Weise, die die wirtschaftliche Position dieses Nutzers auf den Märkten, auf denen er tätig ist, untergraben könnte. Dazu könnte die Verwendung von Kenntnissen über die Gesamtleistung eines Unternehmens oder eines landwirtschaftlichen Betriebs bei Vertragsverhandlungen mit dem Nutzer über den potenziellen Erwerb von Produkten oder landwirtschaftlichen Erzeugnissen des Nutzers zum Nachteil des Nutzers gehören, oder die Verwendung solcher Informationen zur Einspeisung in größere Datenbanken über bestimmte Märkte in ihrer Gesamtheit, z. B. Datenbanken über Ernteerträge für die bevorstehende Erntesaison, da eine solche Verwendung den Nutzer auf indirekte Weise negativ beeinflussen könnte. Der Nutzer sollte die notwendige technische Schnittstelle zur Verwaltung von Berechtigungen erhalten, vorzugsweise mit granularen Berechtigungsoptionen wie "einmalig zulassen" oder "während der Nutzung dieser App oder dieses Dienstes zulassen", einschließlich der Möglichkeit, solche Berechtigungen zurückzuziehen.

(28) Bei Verträgen zwischen einem Dateninhaber und einem Verbraucher als Nutzer eines verbundenen Produkts oder einer damit verbundenen Dienstleistung, bei der Daten erzeugt werden, gilt das Verbraucherrecht der Union, insbesondere die Richtlinien 93/13/EWG und 2005/29/EG, um sicherzustellen, dass ein Verbraucher keinen missbräuchlichen Vertragsklauseln unterworfen wird. Für die Zwecke dieser Verordnung sollten missbräuchliche Vertragsklauseln, die einem Unternehmen einseitig auferlegt werden, für dieses Unternehmen nicht verbindlich sein.

(29) Die Dateninhaber können eine angemessene Benutzeridentifizierung verlangen, um die Berechtigung eines Benutzers zum Zugriff auf die Daten zu überprüfen. Im Falle personenbezogener Daten, die von einem Auftragsverarbeiter im Auftrag des für die Verarbeitung Verantwortlichen verarbeitet werden, sollten die Dateninhaber sicherstellen, dass der Antrag auf Auskunft beim Auftragsverarbeiter eingeht und von diesem bearbeitet wird.

(30) Es sollte dem Nutzer freistehen, die Daten für jeden rechtmäßigen Zweck zu verwenden. Dazu gehört auch, dass der Nutzer die Daten, die er in Ausübung seiner Rechte nach dieser Verordnung erhalten hat, einem Dritten zur Verfügung stellt, der einen Anschlussmarktdienst anbietet, der möglicherweise mit einem von einem Dateninhaber erbrachten Dienst konkurriert, oder den Dateninhaber anweist, dies zu tun. Der Antrag sollte vom Nutzer oder von einem befugten Dritten gestellt werden, der im Namen des Nutzers handelt, einschließlich eines Anbieters eines Datenvermittlungsdienstes. Die Dateninhaber sollten sicherstellen, dass die dem Dritten zur Verfügung gestellten Daten ebenso richtig, vollständig, zuverlässig, sachdienlich und aktuell sind wie die Daten, auf die der Dateninhaber selbst durch die Nutzung des verbundenen Produkts oder des damit verbundenen Dienstes zugreifen kann oder darf. Bei der Verarbeitung der Daten sollten alle Rechte am geistigen Eigentum beachtet werden. Es ist wichtig, Anreize für Investitionen in Produkte mit Funktionen zu erhalten, die auf der Nutzung von Daten von in diese Produkte eingebauten Sensoren beruhen.

(31) Die Richtlinie (EU) 2016/943 des Europäischen Parlaments und des Rates (23) sieht vor, dass der Erwerb, die Nutzung oder die Offenlegung eines Geschäftsgeheimnisses unter anderem dann als rechtmäßig gilt, wenn ein solcher Erwerb, eine solche Nutzung oder eine solche Offenlegung nach Unionsrecht oder nationalem Recht erforderlich oder zulässig ist. Während diese Verordnung die Dateninhaber verpflichtet, bestimmte Daten gegenüber Nutzern oder Dritten ihrer Wahl offenzulegen, auch wenn diese Daten als Geschäftsgeheimnisse geschützt werden können, sollte sie so ausgelegt werden, dass der Schutz von Geschäftsgeheimnissen gemäß der Richtlinie (EU) 2016/943 gewahrt bleibt. In diesem Zusammenhang sollten die Dateninhaber die Möglichkeit haben, von den Nutzern oder von Dritten ihrer Wahl zu verlangen, dass sie die Vertraulichkeit von Daten, die als Geschäftsgeheimnisse gelten, wahren. Zu diesem Zweck sollten die Dateninhaber Geschäftsgeheimnisse vor der Offenlegung identifizieren und die Möglichkeit haben, mit Nutzern oder Dritten ihrer Wahl die erforderlichen Maßnahmen zur Wahrung der Vertraulichkeit zu vereinbaren, unter anderem durch die Verwendung von Mustervertragsbedingungen, Vertraulichkeitsvereinbarungen, strengen Zugangsprotokollen, technischen Standards und die Anwendung von Verhaltenskodizes. Neben der Verwendung von Mustervertragsbedingungen, die von der Kommission zu entwickeln und zu empfehlen sind, könnte die Aufstellung von Verhaltenskodizes und technischen Standards für den Schutz von Geschäftsgeheimnissen beim Umgang mit den Daten dazu beitragen, das Ziel dieser Verordnung zu erreichen, und sollte gefördert werden. Gibt es keine Vereinbarung über die erforderlichen Maßnahmen oder versäumen es ein Nutzer oder Dritte seiner Wahl, vereinbarte Maßnahmen umzusetzen oder die Vertraulichkeit von Geschäftsgeheimnissen zu untergraben, sollte der Dateninhaber die Möglichkeit haben, die Weitergabe von als Geschäftsgeheimnis eingestuften Daten zurückzuhalten oder auszusetzen. In solchen Fällen sollte der Dateninhaber die Entscheidung dem Nutzer oder dem Dritten unverzüglich schriftlich mitteilen und die zuständige Behörde des Mitgliedstaats, in dem der Dateninhaber niedergelassen ist, davon in Kenntnis setzen, dass er die gemeinsame Nutzung von Daten verweigert oder ausgesetzt hat, und angeben, welche Maßnahmen nicht vereinbart oder durchgeführt wurden und gegebenenfalls welche Geschäftsgeheimnisse in ihrer Vertraulichkeit beeinträchtigt wurden. Die Dateninhaber können einen Antrag auf Datenzugang nach dieser Verordnung grundsätzlich nicht allein mit der Begründung ablehnen, dass bestimmte Daten als Geschäftsgeheimnis betrachtet werden, da dies die beabsichtigte Wirkung dieser Verordnung untergraben würde. In Ausnahmefällen sollte ein Dateninhaber, der Inhaber eines Geschäftsgeheimnisses ist, jedoch in der Lage sein, im Einzelfall einen Antrag auf Zugang zu den betreffenden Daten abzulehnen, wenn er dem Nutzer oder dem Dritten nachweisen kann, dass trotz der von dem Nutzer oder dem Dritten getroffenen technischen und organisatorischen Maßnahmen durch die Offenlegung des Geschäftsgeheimnisses höchstwahrscheinlich ein schwerer wirtschaftlicher Schaden entstehen wird. Schwerwiegender wirtschaftlicher Schaden bedeutet einen schweren und nicht wieder gutzumachenden wirtschaftlichen Verlust. Der Dateninhaber sollte seine Weigerung gegenüber dem Nutzer oder dem Dritten unverzüglich schriftlich begründen und die zuständige Behörde unterrichten. Eine solche Begründung sollte sich auf objektive Elemente stützen, aus denen die konkreten RisikoRisiko Bezeichnet das Potenzial für Verluste oder Störungen, die durch ein Ereignis verursacht werden, und wird als Kombination aus dem Ausmaß eines solchen Verlusts oder einer solchen Störung und der Wahrscheinlichkeit des Eintretens des Ereignisses ausgedrückt. Definition gemäß Artikel 6 der Richtlinie (EU) 2022/2555 (NIS2-Richtlinie) des zu erwartenden schwerwiegenden wirtschaftlichen Schadens infolge einer bestimmten Datenweitergabe und die Gründe, warum die zum Schutz der angeforderten Daten getroffenen Maßnahmen nicht als ausreichend angesehen werden. Eine mögliche negative Auswirkung auf CybersicherheitCybersecurity "Cybersicherheit" ist die Cybersicherheit im Sinne von Artikel 2 Nummer 1 der Verordnung (EU) 2019/881; - Definition gemäß Artikel 6 der Richtlinie (EU) 2022/2555 (NIS2-Richtlinie) "Cybersicherheit" bezeichnet die Tätigkeiten, die erforderlich sind, um Netz- und Informationssysteme, die Nutzer solcher Systeme und andere von Cyberbedrohungen betroffene Personen zu schützen; - Definition gemäß Artikel 2 Nummer 1 der Verordnung (EU) 2019/881; in diesem Zusammenhang berücksichtigt werden können. Unbeschadet des Rechts, vor einem Gericht eines Mitgliedstaats Rechtsmittel einzulegen, kann der Nutzer oder ein Dritter, wenn er die Entscheidung des Dateninhabers, die gemeinsame Nutzung von Daten zu verweigern, zu verweigern oder auszusetzen, anfechten möchte, eine Beschwerde bei der zuständigen Behörde einreichen, die ohne unangemessene Verzögerung entscheiden sollte, ob und unter welchen Bedingungen die gemeinsame Nutzung von Daten aufgenommen oder wieder aufgenommen werden sollte, oder er kann mit dem Dateninhaber vereinbaren, die Angelegenheit an eine Streitbeilegungsstelle zu verweisen. Die Ausnahmen vom Recht auf Datenauskunft in dieser Verordnung sollten in keinem Fall das Recht auf Auskunft und das Recht auf Datenübertragbarkeit der betroffenen Personen gemäß der Verordnung (EU) 2016/679 einschränken.

(32) Ziel dieser Verordnung ist es nicht nur, die Entwicklung neuer, innovativer vernetzter Produkte oder damit verbundener Dienste zu fördern und die Innovation auf Anschlussmärkten anzuregen, sondern auch die Entwicklung völlig neuartiger Dienste, die die betreffenden Daten nutzen, auch auf der Grundlage von Daten aus einer Vielzahl vernetzter Produkte oder damit verbundener Dienste. Gleichzeitig soll mit dieser Verordnung vermieden werden, dass die Investitionsanreize für die Art des vernetzten Produkts, von dem die Daten stammen, untergraben werden, beispielsweise durch die Verwendung von Daten zur Entwicklung eines konkurrierenden vernetzten Produkts, das von den Nutzern als austauschbar oder substituierbar angesehen wird, insbesondere auf der Grundlage der Eigenschaften des vernetzten Produkts, seines Preises und seines Verwendungszwecks. Diese Verordnung sieht kein Verbot der Entwicklung eines verbundenen Dienstes unter Verwendung von Daten vor, die im Rahmen dieser Verordnung erlangt wurden, da dies eine unerwünschte, innovationshemmende Wirkung haben würde. Das Verbot der Verwendung von Daten, auf die im Rahmen dieser Verordnung zugegriffen wurde, für die Entwicklung eines konkurrierenden verbundenen Produkts schützt die Innovationsbemühungen der Dateninhaber. Ob ein verbundenes Produkt mit dem verbundenen Produkt, von dem die Daten stammen, konkurriert, hängt davon ab, ob die beiden verbundenen Produkte auf demselben Produktmarkt im Wettbewerb stehen. Dies ist auf der Grundlage der etablierten Grundsätze des Wettbewerbsrechts der Union für die Definition des relevanten Produktmarkts zu bestimmen. Zu den rechtmäßigen Zwecken für die Verwendung der Daten könnte jedoch auch das Reverse Engineering gehören, sofern es die in dieser Verordnung und im Unionsrecht oder im nationalen Recht festgelegten Anforderungen erfüllt. Dies kann für die Zwecke der Reparatur oder der Verlängerung der Lebensdauer eines angeschlossenen Produkts oder für die Erbringung von Nachmarktdienstleistungen für angeschlossene Produkte der Fall sein.

(33) Ein Dritter, dem Daten zur Verfügung gestellt werden, kann eine natürliche oder juristische Person sein, z. B. ein Verbraucher, ein Unternehmen, ein ForschungseinrichtungForschungseinrichtung bezeichnet eine Einrichtung, deren Hauptziel die Durchführung von angewandter Forschung oder experimenteller Entwicklung mit dem Ziel ist, die Ergebnisse dieser Forschung zu kommerziellen Zwecken zu nutzen; Bildungseinrichtungen gehören jedoch nicht dazu. Definition gemäß Artikel 6 der Richtlinie (EU) 2022/2555 (NIS2-Richtlinie)eine gemeinnützige Organisation oder eine Einrichtung, die in einer professionellen Eigenschaft handelt. Wenn ein Dateninhaber die Daten einem Dritten zur Verfügung stellt, sollte er seine Position nicht missbrauchen, um sich einen Wettbewerbsvorteil auf Märkten zu verschaffen, auf denen der Dateninhaber und der Dritte möglicherweise in direktem Wettbewerb stehen. Der Dateninhaber sollte daher keine leicht zugänglichen Daten verwenden, um Erkenntnisse über die wirtschaftliche Lage, das Vermögen oder die Produktionsmethoden des Dritten oder die Nutzung durch den Dritten in einer anderen Weise abzuleiten, die die Geschäftsposition des Dritten auf den Märkten, auf denen er tätig ist, untergraben könnte. Der Nutzer sollte die Möglichkeit haben, nicht-personenbezogene Daten zu kommerziellen Zwecken an Dritte weiterzugeben. Im Einvernehmen mit dem Nutzer und vorbehaltlich der Bestimmungen dieser Verordnung sollten Dritte in der Lage sein, die vom Nutzer gewährten Datenzugriffsrechte an andere Dritte zu übertragen, auch gegen Entgelt. Datenvermittler zwischen Unternehmen und Systeme für das Management personenbezogener Informationen (PIMS), die in der Verordnung (EU) 2022/868 als Datenvermittlungsdienste bezeichnet werden, können Nutzer oder Dritte bei der Aufnahme von Geschäftsbeziehungen mit einer unbestimmten Zahl potenzieller Gegenparteien zu jedem rechtmäßigen Zweck, der in den Anwendungsbereich dieser Verordnung fällt, unterstützen. Sie könnten eine wichtige Rolle bei der Aggregation des Zugangs zu Daten spielen, so dass Big-Data-Analysen oder maschinelles Lernen erleichtert werden können, vorausgesetzt, dass die Nutzer die volle Kontrolle darüber behalten, ob sie ihre Daten für eine solche Aggregation zur Verfügung stellen und unter welchen kommerziellen Bedingungen ihre Daten verwendet werden sollen.

(34) Die Nutzung eines verbundenen Produkts oder eines damit verbundenen Dienstes kann, insbesondere wenn der Nutzer eine natürliche Person ist, Daten erzeugen, die sich auf die betroffene Person beziehen. Die Verarbeitung solcher Daten unterliegt den Vorschriften der Verordnung (EU) 2016/679, auch wenn personenbezogene und nicht personenbezogene Daten in einem Datensatz untrennbar miteinander verbunden sind. Bei der betroffenen Person kann es sich um den Nutzer oder eine andere natürliche Person handeln. Personenbezogene Daten können nur von einem für die Verarbeitung Verantwortlichen oder einer betroffenen Person angefordert werden. Ein Nutzer, der die betroffene Person ist, hat unter bestimmten Umständen gemäß der Verordnung (EU) 2016/679 das Recht auf Zugang zu den ihn betreffenden personenbezogenen Daten, und diese Rechte bleiben von dieser Verordnung unberührt. Nach dieser Verordnung hat der Nutzer, der eine natürliche Person ist, außerdem das Recht auf Zugang zu allen Daten, die durch die Nutzung eines verbundenen Produkts erzeugt werden, unabhängig davon, ob es sich um personenbezogene oder nicht personenbezogene Daten handelt. Handelt es sich bei dem Nutzer nicht um die betroffene Person, sondern um ein Unternehmen, einschließlich eines Einzelunternehmers, und nicht um eine gemeinsame Nutzung des angeschlossenen Produkts durch einen Haushalt, so gilt der Nutzer als für die Verarbeitung Verantwortlicher. Dementsprechend muss ein solcher Nutzer, der als für die Verarbeitung Verantwortlicher beabsichtigt, personenbezogene Daten anzufordern, die durch die Nutzung eines verbundenen Produkts oder eines damit verbundenen Dienstes erzeugt wurden, über eine Rechtsgrundlage für die Verarbeitung der Daten gemäß Artikel 6 Absatz 1 der Verordnung (EU) 2016/679 verfügen, wie etwa die Einwilligung der betroffenen Person oder die Erfüllung eines Vertrags, bei dem die betroffene Person Vertragspartei ist. Der Nutzer sollte sicherstellen, dass die betroffene Person in angemessener Weise über die festgelegten, ausdrücklichen und rechtmäßigen Zwecke der Verarbeitung dieser Daten sowie darüber informiert wird, wie die betroffene Person ihre Rechte wirksam ausüben kann. Handelt es sich bei dem Dateninhaber und dem Nutzer um gemeinsam für die Verarbeitung Verantwortliche im Sinne von Artikel 26 der Verordnung (EU) 2016/679, sind sie verpflichtet, ihre jeweiligen Verantwortlichkeiten für die Einhaltung der genannten Verordnung in transparenter Weise durch eine Vereinbarung zwischen ihnen festzulegen. Es sollte klar sein, dass ein solcher Nutzer nach der Bereitstellung von Daten seinerseits zum Dateninhaber werden kann, wenn er die Kriterien dieser Verordnung erfüllt und somit den Verpflichtungen zur Bereitstellung von Daten gemäß dieser Verordnung unterliegt.

(35) Produktdaten oder damit zusammenhängende Dienstleistungsdaten sollten einem Dritten nur auf Antrag des Nutzers zur Verfügung gestellt werden. Diese Verordnung ergänzt dementsprechend das in Artikel 20 der Verordnung (EU) 2016/679 vorgesehene Recht der betroffenen Personen, die sie betreffenden personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten sowie diese Daten an einen anderen für die Verarbeitung Verantwortlichen zu übermitteln, wenn diese Daten auf der Grundlage von Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a oder eines Vertrags gemäß Artikel 6 Absatz 1 Buchstabe b der genannten Verordnung automatisiert verarbeitet werden. Die betroffenen Personen haben auch das Recht, dass die personenbezogenen Daten direkt von einem für die Verarbeitung Verantwortlichen an einen anderen übermittelt werden, allerdings nur, wenn dies technisch machbar ist. In Artikel 20 der Verordnung (EU) 2016/679 ist festgelegt, dass sie sich auf Daten bezieht, die von der betroffenen Person bereitgestellt werden, es wird jedoch nicht präzisiert, ob dies ein aktives Verhalten der betroffenen Person erfordert oder ob sie auch für Situationen gilt, in denen ein verbundenes Produkt oder ein damit verbundener Dienst aufgrund seiner Konzeption das Verhalten einer betroffenen Person oder andere Informationen in Bezug auf eine betroffene Person auf passive Weise beobachtet. Die in dieser Verordnung vorgesehenen Rechte ergänzen das Recht auf Erhalt und Übermittlung personenbezogener Daten gemäß Artikel 20 der Verordnung (EU) 2016/679 in mehrfacher Hinsicht. Diese Verordnung räumt den Nutzern das Recht ein, auf Produktdaten oder damit zusammenhängende Servicedaten zuzugreifen und sie einem Dritten zur Verfügung zu stellen, und zwar unabhängig davon, ob es sich um personenbezogene Daten handelt, unabhängig von der Unterscheidung zwischen aktiv bereitgestellten oder passiv beobachteten Daten und unabhängig von der Rechtsgrundlage der Verarbeitung. Im Gegensatz zu Artikel 20 der Verordnung (EU) 2016/679 schreibt diese Verordnung die technische Durchführbarkeit des Zugangs Dritter für alle Arten von Daten vor, die in ihren Anwendungsbereich fallen, unabhängig davon, ob es sich um personenbezogene oder nicht-personenbezogene Daten handelt, und stellt damit sicher, dass technische Hindernisse den Zugang zu diesen Daten nicht mehr behindern oder verhindern. Außerdem können die Dateninhaber eine angemessene Entschädigung festlegen, die von Dritten, nicht aber vom Nutzer, für die Kosten zu tragen ist, die durch die Gewährung eines direkten Zugangs zu den von dem angeschlossenen Produkt des Nutzers erzeugten Daten entstehen. Können sich ein Dateninhaber und ein Dritter nicht auf die Bedingungen für einen solchen direkten Zugang einigen, sollte die betroffene Person in keiner Weise daran gehindert werden, die in der Verordnung (EU) 2016/679 festgelegten Rechte, einschließlich des Rechts auf Datenübertragbarkeit, auszuüben, indem sie Rechtsbehelfe im Einklang mit der genannten Verordnung beantragt. In diesem Zusammenhang ist zu verstehen, dass ein Vertrag gemäß der Verordnung (EU) 2016/679 die Verarbeitung besonderer Kategorien personenbezogener Daten durch den Inhaber der Datenverarbeitung oder den Dritten nicht zulässt.

(36) Der Zugang zu Daten, die in Endgeräten gespeichert sind und auf die von diesen aus zugegriffen wird, unterliegt der Richtlinie 2002/58/EG und erfordert die Zustimmung des Teilnehmers oder Nutzers im Sinne dieser Richtlinie, es sei denn, er ist für die Erbringung eines vom Nutzer oder Teilnehmer ausdrücklich angeforderten Dienstes der Informationsgesellschaft oder für den alleinigen Zweck der Übertragung einer Nachricht unbedingt erforderlich. Die Richtlinie 2002/58/EG schützt die Integrität der Endgeräte eines Nutzers in Bezug auf die Nutzung der Verarbeitungs- und Speicherkapazitäten und die Erfassung von Informationen. Geräte des Internets der Dinge gelten als Endgeräte, wenn sie direkt oder indirekt an ein öffentliches Kommunikationsnetz angeschlossen sind.

(37) Um die Ausbeutung von Nutzern zu verhindern, sollten Dritte, denen Daten auf Ersuchen des Nutzers zur Verfügung gestellt wurden, diese Daten nur für die mit dem Nutzer vereinbarten Zwecke verarbeiten und sie nur dann an andere Dritte weitergeben, wenn der Nutzer dieser Datenweitergabe zugestimmt hat.

(38) Im Einklang mit dem Grundsatz der Datenminimierung sollten Dritte nur auf Informationen zugreifen, die für die Erbringung der vom Nutzer angeforderten Dienstleistung erforderlich sind. Nachdem der Dritte Zugang zu den Daten erhalten hat, sollte er diese ohne Einmischung des Dateninhabers für die mit dem Nutzer vereinbarten Zwecke verarbeiten. Es sollte für den Nutzer genauso einfach sein, den Zugang zu den Daten durch Dritte zu verweigern oder zu beenden, wie es für den Nutzer ist, den Zugang zu genehmigen. Weder Dritte noch Dateninhaber sollten die Ausübung von Wahlmöglichkeiten oder Rechten durch den Nutzer übermäßig erschweren, auch nicht dadurch, dass sie dem Nutzer Wahlmöglichkeiten in nicht neutraler Weise anbieten oder ihn zwingen, täuschen oder manipulieren oder die Autonomie, Entscheidungsfreiheit oder Wahlmöglichkeiten des Nutzers untergraben oder beeinträchtigen, auch nicht durch eine digitale Nutzerschnittstelle oder einen Teil davon. In diesem Zusammenhang sollten sich Dritte oder Dateninhaber bei der Gestaltung ihrer digitalen Schnittstellen nicht auf so genannte "dunkle Muster" verlassen. Dunkle Muster sind Gestaltungstechniken, die Verbraucher zu Entscheidungen drängen oder täuschen, die für sie negative Folgen haben. Diese manipulativen Techniken können verwendet werden, um Nutzer, insbesondere schutzbedürftige Verbraucher, zu unerwünschtem Verhalten zu bewegen, um Nutzer zu täuschen, indem sie zu Entscheidungen über die Weitergabe von Daten gedrängt werden, oder um die Entscheidungsfindung der Nutzer des Dienstes in unangemessener Weise so zu beeinflussen, dass ihre Autonomie, Entscheidungsfreiheit und Wahlmöglichkeiten untergraben oder beeinträchtigt werden. Übliche und rechtmäßige Geschäftspraktiken, die mit dem Unionsrecht im Einklang stehen, sollten nicht als solche als dunkle Muster angesehen werden. Dritte und Dateninhaber sollten ihren Verpflichtungen nach dem einschlägigen Unionsrecht nachkommen, insbesondere den Anforderungen der Richtlinien 98/6/EG (24) und 2000/31/EG (25) des Europäischen Parlaments und des Rates sowie der Richtlinien 2005/29/EG und 2011/83/EU.

(39) Third parties should also refrain from using data falling within the scope of this Regulation to profile individuals unless such processing activities are strictly necessary to provide the service requested by the user, including in the context of automated decision-making. The requirement to erase data when no longer required for the purpose agreed with the user, unless otherwise agreed in relation to non-personal data, complements the data subject’s right to erasure pursuant to Article 17 of Regulation (EU) 2016/679. Where a third party is a provider of a data intermediation service, the safeguards for the data subject provided for by Regulation (EU) 2022/868 apply. The third party may use the data to develop a new and innovative connected product or related service but not to develop a competing connected product.

(40) Start-ups, small enterprises, enterprises that qualify as a medium-sized enterprises under Article 2 of the Annex to Recommendation 2003/361/EC and enterprises from traditional sectors with less-developed digital capabilities struggle to obtain access to relevant data. This Regulation aims to facilitate access to data for those entities, while ensuring that the corresponding obligations are as proportionate as possible to avoid overreach. At the same time, a small number of very large enterprises have emerged with considerable economic power in the digital economy through the accumulation and aggregation of vast volumes of data and the technological infrastructure for monetising them. Those very large enterprises include undertakings that provide core platform services controlling whole platform ecosystems in the digital economy and which existing or new market operators are unable to challenge or contest. Regulation (EU) 2022/1925 of the European Parliament and of the Council (26) aims to redress those inefficiencies and imbalances by allowing the Commission to designate an undertaking as a ‘gatekeeper’, and imposes a number of obligations on such gatekeepers, including a prohibition to combine certain data without consent and an obligation to ensure effective rights to data portability under Article 20 of Regulation (EU) 2016/679. In accordance with Regulation (EU) 2022/1925, and given the unrivalled ability of those undertakings to acquire data, it is not necessary to achieve the objective of this Regulation, and would therefore be disproportionate for data holders made subject to such obligations, to include gatekeeper as beneficiaries of the data access right. Such inclusion would also likely limit the benefits of this Regulation for SMEs, linked to the fairness of the distribution of data value across market actors. This means that an undertaking that provides core platform services that has been designated as a gatekeeper cannot request or be granted access to users’ data generated by the use of a connected product or related service or by a virtual assistant pursuant to this Regulation. Furthermore, third parties to whom data are made available at the request of the user may not make the data available to a gatekeeper. For instance, the third party may not subcontract the service provision to a gatekeeper. However, this does not prevent third parties from using data processing services offered by a gatekeeper. Nor does it prevent those undertakings from obtaining and using the same data through other lawful means. The access rights provided for in this Regulation contribute to a wider choice of services for consumers. As voluntary agreements between gatekeepers and data holders remain unaffected, the limitation on granting access to gatekeepers would not exclude them from the market or prevent them from offering their services.

(41) Given the current state of technology, it would be overly burdensome on microenterprises and small enterprises to impose further design obligations in relation to connected products manufactured or designed, or the related services provided, by them. That is not the case, however, where a microenterprise or a small enterprise has a partner enterprise or a linked enterprise within the meaning of Article 3 of the Annex to Recommendation 2003/361/EC that does not qualify as a microenterprise or a small enterprise and where it is subcontracted to manufacture or design a connected product or to provide a related service. In such situations, the enterprise which has subcontracted the manufacturing or design to a microenterprise or a small enterprise is able to compensate the subcontractor appropriately. A microenterprise or a small enterprise may nevertheless be subject to the requirements laid down by this Regulation as data holder where it is not the manufacturer of the connected product or a provider of related services. A transitional period should apply to an enterprise that has qualified as a medium-sized enterprise for less than one year and to connected products for one year after the date on which they were placed on the market by a medium-sized enterprise. Such a one-year period allows such a medium-sized enterprise to adjust and prepare before facing competition in the market for services for the connected products that it manufactures on the basis of the access rights provided by this Regulation. Such a transitional period does not apply where such a medium-sized enterprise has a partner enterprise or a linked enterprise that does not qualify as a microenterprise or a small enterprise or where such a medium-sized enterprise was subcontracted to manufacture or design the connected product or to provide the related service.

(42) Taking into account the variety of connected products producing data of different nature, volume and frequency, presenting different levels of data and cybersecurity risks and providing economic opportunities of different value, and for the purpose of ensuring consistency of data sharing practices in the internal market, including across sectors, and to encourage and promote fair data sharing practices even in areas where no such right to data access is provided for, this Regulation provides for horizontal rules on the arrangements for access to data whenever a data holder is obliged by Union law or national legislation adopted in accordance with Union law to make data available to a data recipient. Such access should be based on fair, reasonable, non-discriminatory and transparent terms and conditions. Those general access rules do not apply to obligations to make data available under Regulation (EU) 2016/679. Voluntary data sharing remains unaffected by those rules. The non-binding model contractual terms for business-to-business data sharing to be developed and recommended by the Commission may help parties to conclude contracts which include fair, reasonable and non-discriminatory terms and conditions and which are to be implemented in a transparent way. The conclusion of contracts, which may include the non-binding model contractual terms, should not mean that the right to share data with third parties is in any way conditional upon the existence of such a contract. Should parties be unable to conclude a contract on data sharing, including with the support of dispute settlement bodies, the right to share data with third parties is enforceable in national courts or tribunals.

(43) On the basis of the principle of contractual freedom, parties should remain free to negotiate the precise conditions for making data available in their contracts within the framework for the general access rules for making data available. Terms of such contracts could include technical and organisational measures, including in relation to data security.

(44) In order to ensure that the conditions for mandatory data access are fair for both parties to a contract, the general rules on data access rights should refer to the rule on avoiding unfair contractual terms.

(45) Any agreement concluded in business-to-business relations for making data available should be non-discriminatory between comparable categories of data recipients, independently of whether the parties are large enterprises or SMEs. In order to compensate for the lack of information on the conditions contained in different contracts, which makes it difficult for the data recipient to assess whether the terms for making the data available are non-discriminatory, it should be the responsibility of data holders to demonstrate that a contractual term is not discriminatory. It is not unlawful discrimination where a data holder uses different contractual terms for making data available if those differences are justified by objective reasons. Those obligations are without prejudice to Regulation (EU) 2016/679.

(46) In order to promote continued investment in generating and making available valuable data, including investments in relevant technical tools, while at the same time avoiding excessive burdens on access to and the use of data which make data sharing no longer commercially viable, this Regulation contains the principle that in business-to-business relations data holders may request reasonable compensation when obliged pursuant to Union law or national legislation adopted in accordance with Union law to make data available to a data recipient. Such compensation should not be understood to constitute payment for the data itself. The Commission should adopt guidelines on the calculation of reasonable compensation in the data economy.

(47) First, reasonable compensation for meeting the obligation pursuant to Union law or national legislation adopted in accordance with Union law to comply with a request to make data available may include compensation for the costs incurred in making the data available. Those costs may be technical costs, such as the costs necessary for data reproduction, dissemination via electronic means and storage, but not for data collection or production. Such technical costs may also include the costs for processing, necessary to make data available, including costs associated with the formatting of data. Costs related to making the data available may also include the costs of facilitating concrete data sharing requests. They may also vary depending on the volume of the data as well as the arrangements taken for making the data available. Long-term arrangements between data holders and data recipients, for instance via a subscription model or the use of smart contracts, may reduce the costs in regular or repetitive transactions in a business relationship. Costs related to making data available are either specific to a particular request or shared with other requests. In the latter case, a single data recipient should not pay the full costs of making the data available. Second, reasonable compensation may also include a margin, except regarding SMEs and not-for-profit research organisations. A margin may vary depending on factors related to the data itself, such as volume, format or nature of the data. It may consider the costs for collecting the data. A margin may therefore decrease where the data holder has collected the data for its own business without significant investments or may increase where the investments in the data collection for the purposes of the data holder’s business are high. It may be limited or even excluded in situations where the use of the data by the data recipient does not affect the data holder’s own activities. The fact that the data is co-generated by a connected product owned, rented or leased by the user could also reduce the amount of the compensation in comparison to other situations where the data are generated by the data holder for example during the provision of a related service.

(48) It is not necessary to intervene in the case of data sharing between large enterprises, or where the data holder is a small enterprise or a medium-sized enterprise and the data recipient is a large enterprise. In such cases, the enterprises are considered to be capable of negotiating the compensation within the limits of what is reasonable and non-discriminatory.

(49) To protect SMEs from excessive economic burdens which would make it commercially too difficult for them to develop and run innovative business models, the reasonable compensation for making data available to be paid by them should not exceed the costs directly related to making the data available. Directly related costs are those costs which are attributable to individual requests, taking into account that the necessary technical interfaces or related software and connectivity is to be established on a permanent basis by the data holder. The same regime should apply to not-for-profit research organisations.

(50) In duly justified cases, including where there is a need to safeguard consumer participation and competition or to promote innovation in certain markets, regulated compensation for making available specific data types may be provided for in Union law or national legislation adopted in accordance with Union law.

(51) Transparency is an important principle for ensuring that the compensation requested by a data holder is reasonable, or, if the data recipient is an SME or a not-for-profit research organisation, that the compensation does not exceed the costs directly related to making the data available to the data recipient and is attributable to the individual request concerned. In order to put data recipients in a position to assess and verify that the compensation complies with the requirements of this Regulation, the data holder should provide to the data recipient sufficiently detailed information for the calculation of the compensation.

(52) Ensuring access to alternative ways of resolving domestic and cross-border disputes that arise in connection with making data available should benefit data holders and data recipients and therefore strengthen trust in data sharing. Where parties cannot agree on fair, reasonable and non-discriminatory terms and conditions of making data available, dispute settlement bodies should offer a simple, fast and low-cost solution to the parties. While this Regulation only lays down the conditions that dispute settlement bodies need to fulfil to be certified, Member States are free to adopt any specific rules for the certification procedure, including the expiry or revocation of certification. The provisions of this Regulation on dispute settlement should not require Member States to establish dispute settlement bodies.

(53) The dispute settlement procedure under this Regulation is a voluntary procedure that enables users, data holders and data recipients to agree to bring their disputes before dispute settlement bodies. Therefore, the parties should be free to address a dispute settlement body of their choice, be it within or outside of the Member States in which those parties are established.

(54) To avoid cases in which two or more dispute settlement bodies are seized for the same dispute, in particular in a cross-border situation, a dispute settlement body should be able to refuse to deal with a request to resolve a dispute that has already been brought before another dispute settlement body or before a court or tribunal of a Member State.

(55) In order to ensure the uniform application of this Regulation, the dispute settlement bodies should take into account the non-binding model contractual terms to be developed and recommended by the Commission as well as Union or national law specifying data sharing obligations or guidelines issued by sectoral authorities for the application of such law.

(56) Parties to dispute settlement proceedings should not be prevented from exercising their fundamental rights to an effective remedy and a fair trial. Therefore, the decision to submit a dispute to a dispute settlement body should not deprive those parties of their right to seek redress before a court or tribunal of a Member State. Dispute settlement bodies should make annual activity reports publicly available.

(57) Data holders may apply appropriate technical protection measures to prevent the unlawful disclosure of or access to data. However, those measures should neither discriminate between data recipients, nor hinder access to or the use of data for users or data recipients. In the case of abusive practices on the part of a data recipient, such as misleading the data holder by providing false information with the intent to use the data for unlawful purposes, including developing a competing connected product on the basis of the data, the data holder and, where applicable and where they are not the same person, the trade secret holder or the user can request the third party or data recipient to implement corrective or remedial measures without undue delay. Any such requests, and in particular requests to end the production, offering or placing on the market of goods, derivative data or services, as well as those to end importation, export, storage of infringing goods or their destruction, should be assessed in the light of their proportionality in relation to the interests of the data holder, the trade secret holder or the user.

(58) Where one party is in a stronger bargaining position, there is a risk that that party could leverage such a position to the detriment of the other contracting party when negotiating access to data with the result that access to data is commercially less viable and sometimes economically prohibitive. Such contractual imbalances harm all enterprises without a meaningful ability to negotiate the conditions for access to data, and which may have no choice but to accept take-it-or-leave-it contractual terms. Therefore, unfair contractual terms regulating access to and the use of data, or liability and remedies for the breach or the termination of data related obligations, should not be binding on enterprises when those terms have been unilaterally imposed on those enterprises.

(59) Rules on contractual terms should take into account the principle of contractual freedom as an essential concept in business-to-business relationships. Therefore, not all contractual terms should be subject to an unfairness test, but only those terms that are unilaterally imposed. This concerns take-it-or-leave-it situations where one party supplies a certain contractual term and the other enterprise cannot influence the content of that term despite an attempt to negotiate it. A contractual term that is simply provided by one party and accepted by the other enterprise or a term that is negotiated and subsequently agreed in an amended form between contracting parties should not be considered to have been unilaterally imposed.

(60) Furthermore, the rules on unfair contractual terms should apply only to those elements of a contract that are related to making data available, that is contractual terms concerning access to and use of the data as well as liability or remedies for breach and termination of data related obligations. Other parts of the same contract, unrelated to making data available, should not be subject to the unfairness test laid down in this Regulation.

(61) Criteria for identifying unfair contractual terms should be applied only to excessive contractual terms where a stronger bargaining position has been abused. The vast majority of contractual terms that are commercially more favourable to one party than to the other, including those that are normal in business-to-business contracts, are a normal expression of the principle of contractual freedom and continue to apply. For the purposes of this Regulation, grossly deviating from good commercial practice would include, inter alia, objectively impairing the ability of the party upon whom the term has been unilaterally imposed to protect its legitimate commercial interest in the data in question.

(62) In order to ensure legal certainty, this Regulation establishes a list of clauses that are always considered unfair and a list of clauses that are presumed to be unfair. In the latter case, the enterprise that imposes the contractual term should be able to rebut the presumption of unfairness by demonstrating that the contractual term listed in this Regulation is not unfair in the specific case in question. If a contractual term is not included in the list of terms that are always considered unfair or that are presumed to be unfair, the general unfairness provision applies. In that regard, the terms listed as unfair contractual terms in this Regulation should serve as a yardstick to interpret the general unfairness provision. Finally, non-binding model contractual terms for business-to-business data sharing contracts to be developed and recommended by the Commission may also be helpful to commercial parties when negotiating contracts. If a contractual term is declared to be unfair, the contract concerned should continue to apply without that term, unless the unfair contractual term is not severable from the other terms of the contract.

(63) In situations of exceptional need, it may be necessary for public sector bodies, the Commission, the European Central Bank or Union bodies to use in the performance of their statutory duties in the public interest existing data, including, where relevant, accompanying metadata, to respond to public emergencies or in other exceptional cases. Exceptional needs are circumstances which are unforeseeable and limited in time, in contrast to other circumstances which might be planned, scheduled, periodic or frequent. While the notion of ‘data holder’ does not, generally, include public sector bodies, it may include public undertakings. Research-performing organisations and research-funding organisations could also be organised as public sector bodies or bodies governed by public law. To limit the burden on businesses, microenterprises and small enterprises should only be under the obligation to provide data to public sector bodies, the Commission, the European Central Bank or Union bodies in situations of exceptional need where such data is required to respond to a public emergency and the public sector body, the Commission, the European Central Bank or the Union body is unable to obtain such data by alternative means in a timely and effective manner under equivalent conditions.

(64) In the case of public emergencies, such as public health emergencies, emergencies resulting from natural disasters including those aggravated by climate change and environmental degradation, as well as human-induced major disasters, such as major cybersecurity incidents, the public interest resulting from the use of the data will outweigh the interests of the data holders to dispose freely of the data they hold. In such a case, data holders should be placed under an obligation to make the data available to public sector bodies, the Commission, the European Central Bank or Union bodies upon their request. The existence of a public emergency should be determined or declared in accordance with Union or national law and based on the relevant procedures, including those of the relevant international organisations. In such cases, the public sector body should demonstrate that the data in scope of the request could not otherwise be obtained in a timely and effective manner and under equivalent conditions, for instance by way of the voluntary provision of data by another enterprise or the consultation of a public database.

(65) An exceptional need may also arise from non-emergency situations. In such cases, a public sector body, the Commission, the European Central Bank or a Union body should be allowed to request only non-personal data. The public sector body should demonstrate that the data are necessary for the fulfilment of a specific task carried out in the public interest that has been explicitly provided for by law, such as the production of official statistics or the mitigation of or recovery from a public emergency. In addition, such a request can be made only when the public sector body, the Commission, the European Central Bank or a Union body has identified specific data that could not otherwise be obtained in a timely and effective manner and under equivalent conditions and only if it has exhausted all other means at its disposal to obtain such data, such as obtaining the data through voluntary agreements, including purchasing of non-personal data on the market by offering market rates, or by relying on existing obligations to make data available or the adoption of new legislative measures which could guarantee the timely availability of data. The conditions and principles governing requests, such as those related to purpose limitation, proportionality, transparency and time limitation, should also apply. In cases of requests for data necessary for the production of official statistics, the requesting public sector body should also demonstrate whether the national law allows it to purchase non-personal data on the market.

(66) This Regulation should not apply to, or pre-empt, voluntary arrangements for the exchange of data between private and public entities, including the provision of data by SMEs, and is without prejudice to Union legal acts providing for mandatory information requests by public entities to private entities. Obligations placed on data holders to provide data that are motivated by needs of a non-exceptional nature, in particular where the range of data and of data holders is known or where data use can take place on a regular basis, as in the case of reporting obligations and internal market obligations, should not be affected by this Regulation. Requirements to access data to verify compliance with applicable rules, including where public sector bodies assign the task of the verification of compliance to entities other than public sector bodies, should also not be affected by this Regulation.

(67) This Regulation complements and is without prejudice to the Union and national law providing for access to and the use of data for statistical purposes, in particular Regulation (EC) No 223/2009 of the European Parliament and of the Council (27) as well as national legal acts related to official statistics.

(68) For the exercise of their tasks in the areas of prevention, investigation, detection or prosecution of criminal or administrative offences or the execution of criminal and administrative penalties, as well as the collection of data for taxation or customs purposes, public sector bodies, the Commission, the European Central Bank or Union bodies should rely on their powers under Union or national law. This Regulation accordingly does not affect legislative acts on the sharing, access to and use of data in those areas.

(69) In accordance with Article 6(1) and (3) of Regulation (EU) 2016/679, a proportionate, limited and predictable framework at Union level is necessary when providing for the legal basis for the making available of data by data holders, in cases of exceptional needs, to public sector bodies, the Commission, the European Central Bank or Union bodies, both to ensure legal certainty and to minimise the administrative burdens placed on businesses. To that end, data requests from public sector bodies, the Commission, the European Central Bank or Union bodies to data holders should be specific, transparent and proportionate in their scope of content and their granularity. The purpose of the request and the intended use of the data requested should be specific and clearly explained, while allowing appropriate flexibility for the requesting entity to carry out its specific tasks in the public interest. The request should also respect the legitimate interests of the data holder to whom the request is made. The burden on data holders should be minimised by obliging requesting entities to respect the once-only principle, which prevents the same data from being requested more than once by more than one public sector body or the Commission, the European Central Bank or Union bodies. To ensure transparency, data requests made by the Commission, the European Central Bank or Union bodies should be made public without undue delay by the entity requesting the data. The European Central Bank and Union bodies should inform the Commission of their requests. If the data request has been made by a public sector body, that body should also notify the data coordinator of the Member State where the public sector body is established. Online public availability of all requests should be ensured. Upon the receipt of a notification of a data request, the competent authority can decide to assess the lawfulness of the request and exercise its functions in relation to the enforcement and application of this Regulation. Online public availability of all requests made by public sector bodies should be ensured by the data coordinator.

(70) The objective of the obligation to provide the data is to ensure that public sector bodies, the Commission, the European Central Bank or Union bodies have the necessary knowledge to respond to, prevent or recover from public emergencies or to maintain the capacity to fulfil specific tasks explicitly provided for by law. The data obtained by those entities may be commercially sensitive. Therefore, neither Regulation (EU) 2022/868 nor Directive (EU) 2019/1024 of the European Parliament and of the Council (28) should apply to data made available under this Regulation and should not be considered as open data available for reuse by third parties. This however should not affect the applicability of Directive (EU) 2019/1024 to the reuse of official statistics for the production of which data obtained pursuant to this Regulation was used, provided the reuse does not include the underlying data. In addition, provided the conditions laid down in this Regulation are met, the possibility of sharing the data for conducting research or for the development, production and dissemination of official statistics should not be affected. Public sector bodies should also be allowed to exchange data obtained pursuant to this Regulation with other public sector bodies, the Commission, the European Central Bank or Union bodies in order to address the exceptional needs for which the data has been requested.

(71) Data holders should have the possibility to either decline a request made by a public sector body, the Commission, the European Central Bank or a Union body or seek its modification without undue delay and, in any event, no later than within a period of five or 30 working days, depending on the nature of the exceptional need invoked in the request. Where relevant, the data holder should have this possibility where it does not have control over the data requested, namely where it does not have immediate access to the data and cannot determine its availability. A valid reason not to make the data available should exist if it can be shown that the request is similar to a previously submitted request for the same purpose by another public sector body or the Commission, the European Central Bank or a Union body and the data holder has not been notified of the erasure of the data pursuant to this Regulation. A data holder declining the request or seeking its modification should communicate the underlying justification to the public sector body, the Commission, the European Central Bank or a Union body requesting the data. Where the sui generis database rights under Directive 96/9/EC of the European Parliament and of the Council (29) apply in relation to the requested datasets, data holders should exercise their rights in such a way that does not prevent the public sector body, the Commission, the European Central Bank or Union body from obtaining the data, or from sharing it, in accordance with this Regulation.

(72) In the case of an exceptional need related to a public emergency response, public sector bodies should use non-personal data wherever possible. In the case of requests on the basis of an exceptional need not related to a public emergency, personal data cannot be requested. Where personal data fall within the scope of the request, the data holder should anonymise the data. Where it is strictly necessary to include personal data in the data to be made available to a public sector body, the Commission, the European Central Bank or a Union body or where anonymisation proves impossible, the entity requesting the data should demonstrate the strict necessity and the specific and limited purposes for processing. The applicable rules on personal data protection should be complied with. The making available of the data and their subsequent use should be accompanied by safeguards for the rights and interests of individuals concerned by those data.

(73) Data made available to public sector bodies, the Commission, the European Central Bank or Union bodies on the basis of an exceptional need should be used only for the purposes for which they were requested, unless the data holder that made the data available has expressly agreed for the data to be used for other purposes. The data should be erased once it is no longer necessary for the purposes stated in the request, unless agreed otherwise, and the data holder should be informed thereof. This Regulation builds on the existing access regimes in the Union and the Member States and does not change the national law on public access to documents in the context of transparency obligations. Data should be erased once it is no longer needed to comply with such transparency obligations.

(74) When reusing data provided by data holders, public sector bodies, the Commission, the European Central Bank or Union bodies should respect both existing applicable Union or national law and contractual obligations to which the data holder is subject. They should refrain from developing or enhancing a connected product or related service that compete with the connected product or related service of the data holder as well as from sharing the data with a third party for those purposes. They should likewise provide public acknowledgement to the data holders upon their request and should be responsible for maintaining the security of the data received. Where the disclosure of trade secrets of the data holder to public sector bodies, the Commission, the European Central Bank or Union bodies is strictly necessary to fulfil the purpose for which the data has been requested, confidentiality of such disclosure should be guaranteed prior to the disclosure of data.

(75) When the safeguarding of a significant public good is at stake, such as responding to public emergencies, the public sector body, the Commission, the European Central Bank or the Union body concerned should not be expected to compensate enterprises for the data obtained. Public emergencies are rare events and not all such emergencies require the use of data held by enterprises. At the same time, the obligation to provide data might constitute a considerable burden on microenterprises and small enterprises. They should therefore be allowed to claim compensation even in the context of a public emergency response. The business activities of the data holders are therefore not likely to be negatively affected as a consequence of the public sector bodies, the Commission, the European Central Bank or Union bodies having recourse to this Regulation. However, as cases of an exceptional need, other than cases of responding to public emergencies, might be more frequent, data holders should in such cases be entitled to a reasonable compensation which should not exceed the technical and organisational costs incurred in complying with the request and the reasonable margin required for making the data available to the public sector body, the Commission, the European Central Bank or the Union body. The compensation should not be understood as constituting payment for the data itself or as being compulsory. Data holders should not be able to claim compensation where national law prevents national statistical institutes or other national authorities responsible for the production of statistics from compensating data holders for making data available. The public sector body, the Commission, the European Central Bank or the Union body concerned should be able to challenge the level of compensation requested by the data holder by bringing the matter to the competent authority of the Member State where the data holder is established.

(76) A public sector body, the Commission, the European Central Bank or a Union body should be entitled to share the data it has obtained pursuant to the request with other entities or persons when this is necessary to carry out scientific research activities or analytical activities it cannot perform itself, provided that those activities are compatible with the purpose for which the data was requested. It should inform the data holder of such sharing in a timely manner. Such data may also be shared under the same circumstances with the national statistical institutes and Eurostat for the development, production and dissemination of official statistics. Such research activities should, however, be compatible with the purpose for which the data was requested and the data holder should be informed about the further sharing of the data it has provided. Individuals conducting research or research organisations with whom those data may be shared should act either on a not-for-profit basis or in the context of a public-interest mission recognised by the State. Organisations upon which commercial undertakings have a significant influence, allowing such undertakings to exercise control due to structural situations which could result in preferential access to the results of the research, should not be considered to be research organisations for the purposes of this Regulation.

(77) In order to handle a cross-border public emergency or another exceptional need, data requests may be addressed to data holders in Member States other than that of the requesting public sector body. In such a case, the requesting public sector body should notify the competent authority of the Member State where the data holder is established in order to allow it to examine the request against the criteria established in this Regulation. The same should apply to requests made by the Commission, the European Central Bank or a Union body. Where personal data are requested, the public sector body should notify the supervisory authority responsible for monitoring the application of Regulation (EU) 2016/679 in the Member State where the public sector body is established. The competent authority concerned should be entitled to advise the public sector body, the Commission, the European Central Bank or the Union body to cooperate with the public sector bodies of the Member State in which the data holder is established on the need to ensure a minimised administrative burden on the data holder. When the competent authority has substantiated objections as regards the compliance of the request with this Regulation, it should reject the request of the public sector body, the Commission, the European Central Bank or the Union body, which should take those objections into account before taking any further action, including resubmitting the request.

(78) The ability of customers of data processing services, including cloud and edge services, to switch from one data processing service to another while maintaining a minimum functionality of service and without downtime of services, or to use the services of several providers simultaneously without undue obstacles and data transfer costs, is a key condition for a more competitive market with lower entry barriers for new providers of data processing services, and for ensuring further resilience for the users of those services. Customers benefiting from free-tier offerings should also benefit from the provisions for switching that are laid down in this Regulation, so that those offerings do not result in a lock-in situation for customers.

(79) Regulation (EU) 2018/1807 of the European Parliament and of the Council (30) encourages providers of data processing services to develop and effectively implement self-regulatory codes of conduct covering best practices for, inter alia, facilitating the switching of providers of data processing services and the porting of data. Given the limited uptake of the self-regulatory frameworks developed in response, and the general unavailability of open standards and interfaces, it is necessary to adopt a set of minimum regulatory obligations for providers of data processing services to eliminate pre-commercial, commercial, technical, contractual and organisational obstacles, which are not limited to reduced speed of data transfer at the customer’s exit, which hamper effective switching between data processing services.

(80) Data processing services should cover services that allow ubiquitous and on-demand network access to a configurable, scalable and elastic shared pool of distributed computing resources. Those computing resources include resources such as networks, servers or other virtual or physical infrastructure, software, including software development tools, storage, applications and services. The capability of the customer of the data processing service to unilaterally self-provision computing capabilities, such as server time or network storage, without any human interaction by the provider of data processing services could be described as requiring minimal management effort and as entailing minimal interaction between provider and customer. The term ‘ubiquitous’ is used to describe the computing capabilities provided over the network and accessed through mechanisms promoting the use of heterogeneous thin or thick client platforms (from web browsers to mobile devices and workstations). The term ‘scalable’ refers to computing resources that are flexibly allocated by the provider of data processing services, irrespective of the geographical location of the resources, in order to handle fluctuations in demand. The term ‘elastic’ is used to describe those computing resources that are provisioned and released according to demand in order to rapidly increase or decrease resources available depending on workload. The term ‘shared pool’ is used to describe those computing resources that are provided to multiple users who share a common access to the service, but where the processing is carried out separately for each user, although the service is provided from the same electronic equipment. The term ‘distributed’ is used to describe those computing resources that are located on different networked computers or devices and which communicate and coordinate among themselves by message passing. The term ‘highly distributed’ is used to describe data processing services that involve data processing closer to where data are being generated or collected, for instance in a connected data processing device. Edge computing, which is a form of such highly distributed data processing, is expected to generate new business models and cloud service delivery models, which should be open and interoperable from the outset.

(81) The generic concept ‘data processing services’ covers a substantial number of services with a very broad range of different purposes, functionalities and technical set-ups. As commonly understood by providers and users and in line with broadly used standards, data processing services fall into one or more of the following three data processing service delivery models, namely Infrastructure as a Service (IaaS), Platform as a service (PaaS) and Software as a Service (SaaS). Those service delivery models represent a specific, pre-packaged combination of ICT resources offered by a provider of data processing service. Those three fundamental data processing delivery models are further complemented by emerging variations, each comprised of a distinct combination of ICT resources, such as Storage as a Service and Database as a Service. Data processing services can be categorised in a more granular way and divided into a non-exhaustive list of sets of data processing services that share the same primary objective and main functionalities as well as the same type of data processing models, that are not related to the service’s operational characteristics (same service type). Services falling under the same service type may share the same data processing service model, however, two databases might appear to share the same primary objective, but after considering their data processing model, distribution model and the use cases that they are targeted at, such databases could fall into a more granular subcategory of similar services. Services of the same service type may have different and competing characteristics such as performance, security, resilience, and quality of service.

(82) Undermining the extraction of the exportable data that belongs to the customer from the source provider of data processing services can impede the restoration of the service functionalities in the infrastructure of the destination provider of data processing services. In order to facilitate the customer’s exit strategy, avoid unnecessary and burdensome tasks and to ensure that the customer does not lose any of their data as a consequence of the switching process, the source provider of data processing services should inform the customer in advance of the scope of the data that can be exported once that customer decides to switch to a different service provided by a different provider of data processing services or to move to an on-premises ICT infrastructure. The scope of exportable data should include, at a minimum, input and output data, including metadata, directly or indirectly generated, or cogenerated, by the customer’s use of the data processing service, excluding any assets or data of the provider of data processing services or a third party. The exportable data should exclude any assets or data of the provider of data processing services or of the third party that are protected by intellectual property rights or constituting trade secrets of that provider or of that third party, or data related to the integrity and security of the service, the export of which will expose the providers of data processing services to cybersecurity vulnerabilities. Those exemptions should not impede or delay the switching process.

(83) Digital assets refer to elements in digital form for which the customer has the right of use, including applications and metadata related to the configuration of settings, security, and access and control rights management, and other elements such as manifestations of virtualisation technologies, including virtual machines and containers. Digital assets can be transferred where the customer has the right of use independent of the contractual relationship with the data processing service it intends to switch from. Those other elements are essential for the effective use of the customer’s data and applications in the environment of the destination provider of data processing services.

(84) This Regulation aims to facilitate switching between data processing services, which encompasses conditions and actions that are necessary for a customer to terminate a contract for a data processing service, to conclude one or more new contracts with different providers of data processing services, to port its exportable data and digital assets, and where applicable, benefit from functional equivalence.

(85) Switching is a customer-driven operation consisting of several steps, including data extraction, which refers to the downloading of data from the ecosystem of the source provider of data processing services; transformation, where the data is structured in a way that does not match the schema of the target location; and the uploading of the data in a new destination location. In a specific situation outlined in this Regulation, unbundling of a particular service from the contract and moving it to a different provider should also be considered to be switching. The switching process is sometimes managed on behalf of the customer by a third-party entity. Accordingly, all rights and obligations of the customer established by this Regulation, including the obligation to cooperate in good faith, should be understood to apply to such a third-party entity in those circumstances. Providers of data processing services and customers have different levels of responsibilities, depending on the steps of the process referred to. For instance, the source provider of data processing services is responsible for extracting the data to a machine-readable format, but it is the customer and the destination provider of data processing services who are to upload the data to the new environment, unless a specific professional transition service has been obtained. A customer who intends to exercise rights related to switching, which are provided for in this Regulation, should inform the source provider of data processing services of the decision to either switch to a different provider of data processing services, switch to an on-premises ICT infrastructure or to delete that customer’s assets and erase its exportable data.

(86) Functional equivalence means re-establishing, on the basis of the customer’s exportable data and digital assets, a minimum level of functionality in the environment of a new data processing service of the same service type after switching, where the destination data processing service delivers a materially comparable outcome in response to the same input for shared features supplied to the customer under the contract. Providers of data processing services can only be expected to facilitate functional equivalence for the features that both the source and destination data processing services offer independently. This Regulation does not constitute an obligation to facilitate functional equivalence for providers of data processing services other than those offering services of the IaaS delivery model.

(87) Data processing services are used across sectors and vary in complexity and service type. This is an important consideration with regard to the porting process and timeframes. Nonetheless, an extension of the transitional period on the grounds of technical unfeasibility to allow the finalisation of the switching process in the given timeframe should be invoked only in duly justified cases. The burden of proof in that regard should fall fully on the provider of the data processing service concerned. This is without prejudice to the exclusive right of the customer to extend the transitional period once for a period that the customer considers to be more appropriate for its own purposes. The customer may evoke that right to an extension prior to or during the transitional period, taking into account that the contract remains applicable during the transitional period.

(88) Switching charges are charges imposed by providers of data processing services on the customers for the switching process. Typically, those charges are intended to pass on costs which the source provider of data processing services may incur because of the switching process to the customer who wishes to switch. Common examples of switching charges are costs related to the transit of data from one provider of data processing services to another or to an on-premises ICT infrastructure (data egress charges) or the costs incurred for specific support actions during the switching process. Unnecessarily high data egress charges and other unjustified charges unrelated to actual switching costs inhibit customers from switching, restrict the free flow of data, have the potential to limit competition and cause lock-in effects for the customers by reducing incentives to choose a different or additional service provider. Switching charges should therefore be abolished after three years from the date of entry into force of this Regulation. Providers of data processing services should be able to impose reduced switching charges up to that date.

(89) A source provider of data processing services should be able to outsource certain tasks and compensate third-party entities in order to comply with the obligations provided for in this Regulation. A customer should not bear the costs arising from the outsourcing of services concluded by the source provider of data processing services during the switching process and such costs should be considered to be unjustified unless they cover work undertaken by the provider of data processing services at the customer’s request for additional support in the switching process which goes beyond the switching obligations of the provider as expressly provided for in this Regulation. Nothing in this Regulation prevents a customer from compensating third-party entities for support in the migration process or parties from agreeing on contracts for data processing services of a fixed duration, including proportionate early termination penalties to cover the early termination of such contracts, in accordance with Union or national law. In order to foster competition, the gradual withdrawal of the charges associated with switching between different providers of data processing services should specifically include data egress charges imposed by a provider of data processing services on a customer. StandardStandard Eine technische Spezifikation, die von einem anerkannten Normungsgremium zur wiederholten oder ständigen Anwendung angenommen wurde, deren Einhaltung nicht zwingend vorgeschrieben ist und bei der es sich um eine der folgenden Normen handelt: (a) "internationale Norm" eine Norm, die von einem internationalen Normungsgremium angenommen wurde; b) "europäische Norm" eine Norm, die von einer europäischen Normungsorganisation angenommen wurde; c) "harmonisierte Norm" eine europäische Norm, die auf der Grundlage eines Antrags der Kommission auf Anwendung der Harmonisierungsrechtsvorschriften der Union angenommen wurde; d) "nationale Norm" eine Norm, die von einem nationalen Normungsgremium angenommen wurde - Definition gemäß Artikel 2 Nummer 1 der Verordnung (EU) Nr. 1025/2012 des Europäischen Parlaments und des Rates. service fees for the provision of the data processing services themselves are not switching charges. Those standard service fees are not subject to withdrawal and remain applicable until the contract for the provision of the relevant services ceases to apply. This Regulation allows the customer to request the provision of additional services that go beyond the provider’s switching obligations under this Regulation. Those additional services, can be performed and charged for by the provider when they are performed at the customer’s request and the customer agrees to the price of those services in advance.

(90) An ambitious and innovation-inspiring regulatory approach to interoperability is needed to overcome vendor lock-in, which undermines competition and the development of new services. Interoperability between data processing services involves multiple interfaces and layers of infrastructure and software and is rarely confined to a binary test of being achievable or not. Instead, the building of such interoperability is subject to a cost-benefit analysis which is necessary to establish whether it is worthwhile to pursue reasonably predictable results. The ISO/IEC 19941:2017 is an important international standard constituting a reference for the achievement of the objectives of this Regulation, as it contains technical considerations clarifying the complexity of such a process.

(91) Where providers of data processing services are in turn customers of data processing services provided by a third-party provider, they will benefit from more effective switching themselves while simultaneously remaining bound by this Regulation’s obligations regarding their own service offerings.

(92) Providers of data processing services should be required to offer all the assistance and support within their capacity, proportionate to their respective obligations, that is required to make the switching process to a service of a different provider of data processing services successful, effective and secure. This Regulation does not require providers of data processing services to develop new categories of data processing services, including within, or on the basis of, the ICT infrastructure of different providers of data processing services in order to guarantee functional equivalence in an environment other than their own systems. A source provider of data processing services does not have access to or insights into the environment of the destination provider of data processing services. Functional equivalence should not be understood to oblige the source provider of data processing services to rebuild the service in question within the infrastructure of the destination provider of data processing services. Instead, the source provider of data processing services should take all reasonable measures within its power to facilitate the process of achieving functional equivalence through the provision of capabilities, adequate information, documentation, technical support and, where appropriate, the necessary tools.

(93) Providers of data processing services should also be required to remove existing obstacles and not impose new ones, including for customers wishing to switch to an on-premises ICT infrastructure. Obstacles can, inter alia, be of a pre-commercial, commercial, technical, contractual or organisational nature. Providers of data processing services should also be required to remove obstacles to unbundling a specific individual service from other data processing services provided under a contract and make the relevant service available for switching, in the absence of major and demonstrated technical obstacles that prevent such unbundling.

(94) Throughout the switching process, a high level of security should be maintained. This means that the source provider of data processing services should extend the level of security to which it committed for the service to all technical arrangements for which such provider is responsible during the switching process, such as network connections or physical devices. Existing rights relating to the termination of contracts, including those introduced by Regulation (EU) 2016/679 and Directive (EU) 2019/770 of the European Parliament and of the Council (31) should not be affected. This Regulation should not be understood to prevent a provider of data processing services from providing to customers new and improved services, features and functionalities or from competing with other providers of data processing services on that basis.

(95) The information to be provided by providers of data processing services to the customer could support the customer’s exit strategy. That information should include procedures for initiating switching from the data processing service; the machine-readable data formats to which the user’s data can be exported; the tools intended to export data, including open interfaces as well as information on compatibility with harmonised standards or common specifications based on open interoperability specifications; information on known technical restrictions and limitations that could have an impact on the switching process; and the estimated time necessary to complete the switching process.

(96) To facilitate interoperability and switching between data processing services, users and providers of data processing services should consider the use of implementation and compliance tools, in particular those published by the Commission in the form of an EU Cloud Rulebook and a Guidance on public procurement of data processing services. In particular, standard contractual clauses are beneficial because they increase confidence in data processing services, create a more balanced relationship between users and providers of data processing services and improve legal certainty with regard to the conditions that apply for switching to other data processing services. In that context, users and providers of data processing services should consider the use of standard contractual clauses or other self-regulatory compliance tools provided that they fully comply with this Regulation, developed by relevant bodies or expert groups established under Union law.

(97) In order to facilitate switching between data processing services, all parties involved, including both source and destination providers of data processing services, should cooperate in good faith to make the switching process effective, enable the secure and timely transfer of necessary data in a commonly used, machine-readable format, and by means of open interfaces, while avoiding service disruptions and maintaining continuity of the service.

(98) Data processing services which concern services of which the majority of main features has been custom-built to respond to the specific demands of an individual customer or where all components have been developed for the purposes of an individual customer should be exempted from some of the obligations applicable to data processing service switching. This should not include services which the provider of data processing services offers at a broad commercial scale via its service catalogue. It is among the obligations of the provider of data processing services to duly inform prospective customers of such services, prior to the conclusion of a contract, of the obligations laid down in this Regulation that do not apply to the relevant services. Nothing prevents the provider of data processing services from eventually deploying such services at scale, in which case that provider would have to comply with all obligations for switching laid down in this Regulation.

(99) In line with the minimum requirement allowing switching between providers of data processing services, this Regulation also aims to improve interoperability for in-parallel use of multiple data processing services with complementary functionalities. This relates to situations in which customers do not terminate a contract to switch to a different provider of data processing services, but where multiple services of different providers are used in parallel, in an interoperable manner, to benefit from the complementary functionalities of the different services in the set-up of the customer’s system. However, it is recognised that the egress of data from one provider of data processing services to another in order to facilitate the in-parallel use of services can be an ongoing activity, in contrast with the one-off egress required as part of the switching process. Providers of data processing services should therefore continue to be able to impose data egress charges, not exceeding the costs incurred, for the purposes of in-parallel use after three years from the date of entry into force of this Regulation. This is important, inter alia, for the successful deployment of multi-cloud strategies, which allow customers to implement future-proof ICT strategies and which decrease dependence on individual providers of data processing services. Facilitating a multi-cloud approach for customers of data processing services can also contribute to increasing their digital operational resilience, as recognised for financial service institutions in Regulation (EU) 2022/2554 of the European Parliament and of the Council (32).

(100) Open interoperability specifications and standards developed in accordance with Annex II to Regulation (EU) No 1025/2012 of the European Parliament and of the Council (33) in the field of interoperability and portability are expected to enable a multi-vendor cloud environment, which is a key requirement for open innovation in the European data economy. As the market adoption of identified standards under the cloud standardisation coordination (CSC) initiative concluded in 2016 has been limited, it is also necessary that the Commission relies on parties in the market to develop relevant open interoperability specifications to keep up with the fast pace of technological development in this industry. Such open interoperability specifications can then be adopted by the Commission in the form of common specifications. In addition, where market-driven processes have not demonstrated a capacity to establish common specifications or standards that facilitate effective cloud interoperability at the PaaS and SaaS levels, the Commission should be able, on the basis of this Regulation and in accordance with Regulation (EU) No 1025/2012, to request European standardisation bodies to develop such standards for specific service types where such standards do not yet exist. In addition to this, the Commission will encourage parties in the market to develop relevant open interoperability specifications. After consulting stakeholders, the Commission, by means of implementing acts, should be able to mandate the use of harmonised standards for interoperability or common specifications for specific service types through a reference in a central Union standards repository for the interoperability of data processing services. Providers of data processing services should ensure compatibility with those harmonised standards and common specifications based on open interoperability specifications, which should not have an adverse impact on the security or integrity of data. Harmonised standards for the interoperability of data processing services and common specifications based on open interoperability specifications will be referenced only if they comply with the criteria specified in this Regulation, which have the same meaning as the requirements in Annex II to Regulation (EU) No 1025/2012 and the interoperability facets defined under the international standard ISO/IEC 19941:2017. In addition, standardisation should take into account the needs of SMEs.

(101) Third countries may adopt laws, regulations and other legal acts that aim to directly transfer or provide governmental access to non-personal data located outside their borders, including in the Union. Judgments of courts or tribunals or decisions of other judicial or administrative authorities, including law enforcement authorities in third countries requiring such transfer or access to non-personal data should be enforceable when based on an international agreement, such as a mutual legal assistance treaty, in force between the requesting third country and the Union or a Member State. In other cases, situations may arise where a request to transfer or provide access to non-personal data arising from a third country law conflicts with an obligation to protect such data under Union law or under the national law of the relevant Member State, in particular regarding the protection of fundamental rights of the individual, such as the right to security and the right to an effective remedy, or the fundamental interests of a Member State related to national security or defence, as well as the protection of commercially sensitive data, including the protection of trade secrets, and the protection of intellectual property rights, including its contractual undertakings regarding confidentiality in accordance with such law. In the absence of international agreements regulating such matters, transfer of or access to non-personal data should be allowed only if it has been verified that the third country’s legal system requires the reasons and proportionality of the decision to be set out, that the court order or the decision is specific in character, and that the reasoned objection of the addressee is subject to a review by a competent third-country court or tribunal which is empowered to take duly into account the relevant legal interests of the provider of such data. Wherever possible under the terms of the data access request of the third country’s authority, the provider of data processing services should be able to inform the customer whose data are being requested before granting access to those data in order to verify the presence of a potential conflict of such access with Union or national law, such as that on the protection of commercially sensitive data, including the protection of trade secrets and intellectual property rights and the contractual undertakings regarding confidentiality.

(102) To foster further trust in data, it is important that safeguards to ensure control of their data by Union citizens, the public sector bodies and businesses are implemented to the extent possible. In addition, Union law, values and standards regarding, inter alia, security, data protection and privacy, and consumer protection should be upheld. In order to prevent unlawful governmental access to non-personal data by third-country authorities, providers of data processing services subject to this Regulation, such as cloud and edge services, should take all reasonable measures to prevent access to systems on which non-personal data are stored, including, where relevant, through the encryption of data, frequent submission to audits, verified adherence to relevant security reassurance certification schemes, and by the modification of corporate policies.

(103) Standardisation and semantic interoperability should play a key role to provide technical solutions to ensure interoperability within and among common European data spaces which are purpose or sector specific or cross-sectoral interoperable frameworks for common standards and practices to share or jointly process data for, inter alia, the development of new products and services, scientific research or civil society initiatives. This Regulation lays down certain essential requirements for interoperability. Participants in data spaces that offer data or data services to other participants, which are entities facilitating or engaging in data sharing within common European data spaces, including data holders, should comply with those requirements insofar as elements under their control are concerned. Compliance with those rules can be ensured by adhering to the essential requirements laid down in this Regulation, or presumed by complying with harmonised standards or common specifications via a presumption of conformity. In order to facilitate conformity with the requirements for interoperability, it is necessary to provide for a presumption of conformity of interoperability solutions that meet harmonised standards or parts thereof in accordance with Regulation (EU) No 1025/2012, which represents the framework by default to elaborate standards that provide for such presumptions. The Commission should assess barriers to interoperability and prioritise standardisation needs, on the basis of which it may request one or more European standardisation organisations, pursuant to Regulation (EU) No 1025/2012, to draft harmonised standards which satisfy the essential requirements laid down in this Regulation. Where such requests do not result in harmonised standards or such harmonised standards are insufficient to ensure conformity with the essential requirements of this Regulation, the Commission should be able to adopt common specifications in those areas provided that in so doing it duly respects the role and functions of standardisation organisations. Common specification should be adopted only as an exceptional fall-back solution to facilitate compliance with the essential requirements of this Regulation, or when the standardisation process is blocked, or when there are delays in the establishment of appropriate harmonised standards. Where a delay is due to the technical complexity of the standard in question, this should be considered by the Commission before contemplating the establishment of common specifications. Common specifications should be developed in an open and inclusive manner and take into account, where relevant, the advice of the European Data Innovation Board (EDIB) established by Regulation (EU) 2022/868. Additionally, common specifications in different sectors could be adopted, in accordance with Union or national law, on the basis of specific needs of those sectors. Furthermore, the Commission should be enabled to mandate the development of harmonised standards for the interoperability of data processing services.

(104) To promote the interoperability of tools for the automated execution of data sharing agreements, it is necessary to lay down essential requirements for smart contracts which professionals create for others or integrate in applications that support the implementation of agreements for data sharing. In order to facilitate the conformity of such smart contracts with those essential requirements, it is necessary to provide for a presumption of conformity of smart contracts that meet harmonised standards or parts thereof in accordance with Regulation (EU) No 1025/2012. The notion of ‘smart contract’ in this Regulation is technologically neutral. Smart contracts can, for example, be connected to an electronic ledger. The essential requirements should apply only to the vendors of smart contracts, although not where they develop smart contracts in-house exclusively for internal use. The essential requirement to ensure that smart contracts can be interrupted and terminated implies mutual consent by the parties to the data sharing agreement. The applicability of the relevant rules of civil, contractual and consumer protection law to data sharing agreements remains or should remain unaffected by the use of smart contracts for the automated execution of such agreements.

(105) To demonstrate fulfilment of the essential requirements of this Regulation, the vendor of a smart contract, or in the absence thereof, the person whose trade, business or profession involves the deployment of smart contracts for others in the context of executing an agreement or part of it, to make data available in the context of this Regulation, should perform a conformity assessment and issue an EU declaration of conformity. Such a conformity assessment should be subject to the general principles set out in Regulation (EC) No 765/2008 of the European Parliament and of the Council (34) and Decision No 768/2008/EC of the European Parliament and of the Council (35).

(106) Besides the obligation on professional developers of smart contracts to comply with essential requirements, it is also important to encourage those participants within data spaces that offer data or data-based services to other participants within and across common European data spaces to support interoperability of tools for data sharing including smart contracts.

(107) In order to ensure the application and enforcement of this Regulation, Member States should designate one or more competent authorities. If a Member State designates more than one competent authority, it should also designate from among them a data coordinator. Competent authorities should cooperate with each other. Through the exercise of their powers of investigation in accordance with applicable national procedures, competent authorities should be able to search for and obtain information, in particular in relation to the activities of entities within their competence and, including in the context of joint investigations, with due regard to the fact that oversight and enforcement measures concerning an entity under the competence of another Member State should be adopted by the competent authority of that other Member State, where relevant, in accordance with the procedures relating to cross-border cooperation. Competent authorities should assist each other in a timely manner, in particular when a competent authority in a Member State holds relevant information for an investigation carried out by the competent authorities in other Member States, or is able to gather such information to which the competent authorities in the Member State where the entity is established do not have access. Competent authorities and data coordinators should be identified in a public register maintained by the Commission. The data coordinator could be an additional means for facilitating cooperation in cross-border situations, such as when a competent authority from a given Member State does not know which authority it should approach in the data coordinator’s Member State, for example where the case is related to more than one competent authority or sector. The data coordinator should act, inter alia, as a single point of contact for all issues related to the application of this Regulation. Where no data coordinator has been designated, the competent authority should assume the tasks assigned to the data coordinator under this Regulation. The authorities responsible for the supervision of compliance with data protection law and competent authorities designated under Union or national law should be responsible for the application of this Regulation in their areas of competence. In order to avoid conflicts of interest, the competent authorities responsible for the application and enforcement of this Regulation in the area of making data available following a request on the basis of an exceptional need should not benefit from the right to submit such a request.

(108) In order to enforce their rights under this Regulation, natural and legal persons should be entitled to seek redress for infringements of their rights under this Regulation by lodging complaints. The data coordinator should, upon request, provide all the necessary information to natural and legal persons for the lodging of their complaints with the appropriate competent authority. Those authorities should be obliged to cooperate to ensure a complaint is appropriately handled and resolved effectively and in a timely manner. In order to make use of the consumer protection cooperation network mechanism and to enable repräsentativAbgeordneter Bezeichnet eine in der Union ansässige natürliche oder juristische Person, die ausdrücklich dazu bestimmt ist, im Namen eines DNS-Diensteanbieters, eines TLD-Namenregisters, einer Einrichtung, die Domänennamenregistrierungsdienste anbietet, eines Cloud-Computing-Diensteanbieters, eines Rechenzentrumsdiensteanbieters, eines Content-Delivery-Network-Anbieters, eines Managed-Service-Anbieters, eines Managed-Security-Service-Anbieters oder eines Anbieters eines Online-Marktplatzes, einer Online-Suchmaschine oder einer Plattform für soziale Netzwerkdienste, der nicht in der Union ansässig ist, zu handeln, und an die sich eine zuständige Behörde oder ein CSIRT anstelle der Einrichtung selbst in Bezug auf die Verpflichtungen dieser Einrichtung nach dieser Richtlinie wenden kann. - Definition gemäß Artikel 6 der Richtlinie (EU) 2022/2555 (NIS2-Richtlinie) actions, this Regulation amends the Annexes to Regulation (EU) 2017/2394 of the European Parliament and of the Council (36) and Directive (EU) 2020/1828 of the European Parliament and of the Council (37).

(109) Competent authorities should ensure that infringements of the obligations laid down in this Regulation are subject to penalties. Such penalties could include financial penalties, warnings, reprimands or orders to bring business practices into compliance with the obligations imposed by this Regulation. Penalties established by the Member States should be effective, proportionate and dissuasive, and should take into account the recommendations of the EDIB, thus contributing to achieving the greatest possible level of consistency in the establishment and application of penalties. Where appropriate, competent authorities should make use of interim measures to limit the effects of an alleged infringement while the investigation of that infringement is ongoing. In so doing, they should take into account, inter alia the nature, gravity, scale and duration of the infringement in view of the public interest at stake, the scope and kind of activities carried out, and the economic capacity of the infringing party. They should also take into account whether the infringing party systematically or recurrently fails to comply with its obligations under this Regulation. In order to ensure that the principle of ne bis in idem is respected, and in particular to avoid that the same infringement of the obligations laid down in this Regulation is penalised more than once, a Member State that intends to exercise its competence in relation to an infringing party that is not established and has not designated a legal representative in the Union should, without undue delay, inform all data coordinators as well as the Commission.

(110) The EDIB should advise and assist the Commission in coordinating national practices and policies on the topics covered by this Regulation as well as in delivering on its objectives in relation to technical standardisation to enhance interoperability. It should also play a key role in facilitating comprehensive discussions between competent authorities concerning the application and enforcement of this Regulation. That exchange of information is designed to increase effective access to justice as well as enforcement and judicial cooperation across the Union. Among other functions, the competent authorities should make use of the EDIB as a platform to evaluate, coordinate and adopt recommendations on the setting of penalties for infringements of this Regulation. It should allow for competent authorities, with the assistance of the Commission, to coordinate the optimal approach to determining and imposing such penalties. That approach prevents fragmentation while allowing for Member State’s flexibility and should lead to effective recommendations that support the consistent application of this Regulation. The EDIB should also have an advisory role in the standardisation processes and the adoption of common specifications by means of implementing acts, in the adoption of delegated acts to establish a monitoring mechanism for switching charges, imposed by providers of data processing services and to further specify the essential requirements for the interoperability of data, of data sharing mechanisms and services, as well as of the common European data spaces. It should also advise and assist the Commission in the adoption of the guidelines laying down interoperability specifications for the functioning of the common European data spaces.

(111) In order to help enterprises to draft and negotiate contracts, the Commission should develop and recommend non-binding model contractual terms for business-to-business data sharing contracts, where necessary taking into account the conditions in specific sectors and the existing practices with voluntary data sharing mechanisms. Those model contractual terms should be primarily a practical tool to help in particular SMEs to conclude a contract. When used widely and integrally, those model contractual terms should also have the beneficial effect of influencing the design of contracts regarding access to and the use of data and therefore lead more broadly towards fairer contractual relations when accessing and sharing data.

(112) In order to eliminate the risk that holders of data in databases obtained or generated by means of physical components, such as sensors, of a connected product and a related service or other machine-generated data, claim the sui generis right under Article 7 of Directive 96/9/EC, and in so doing hinder, in particular, the effective exercise of the right of users to access and use data and the right to share data with third parties under this Regulation, it should be clarified that the sui generis right does not apply to such databases. That does not affect the possible application of the sui generis right under Article 7 of Directive 96/9/EC to databases containing data falling outside the scope of this Regulation, provided that the requirements for protection pursuant to paragraph 1 of that Article are fulfilled.

(113) In order to take account of technical aspects of data processing services, the power to adopt acts in accordance with Article 290 TFEU should be delegated to the Commission in respect of supplementing this Regulation in order to establish a monitoring mechanism on switching charges imposed by providers of data processing services on the market, and to further specify the essential requirements in respect of interoperability for participants in data spaces that offer data or data services to other participants. It is of particular importance that the Commission carry out appropriate consultations during its preparatory work, including at expert level, and that those consultations be conducted in accordance with the principles laid down in the Interinstitutional Agreement of 13 April 2016 on Better Law-Making (38). In particular, to ensure equal participation in the preparation of delegated acts, the European Parliament and the Council receive all documents at the same time as Member States’ experts, and their experts systematically have access to meetings of Commission expert groups dealing with the preparation of delegated acts.

(114) In order to ensure uniform conditions for the implementation of this Regulation, implementing powers should be conferred on the Commission in respect of the adoption of common specifications to ensure the interoperability of data, of data sharing mechanisms and services, as well as of common European data spaces, common specifications on the interoperability of data processing services, and common specifications on the interoperability of smart contracts. Implementing powers should also be conferred on the Commission for the purpose of publishing the references of harmonised standards and common specifications for the interoperability of data processing services in a central Union standards repository for the interoperability of data processing services. Those powers should be exercised in accordance with Regulation (EU) No 182/2011 of the European Parliament and of the Council (39).

(115) This Regulation should be without prejudice to rules addressing needs specific to individual sectors or areas of public interest. Such rules may include additional requirements on the technical aspects of data access, such as interfaces for data access, or how data access could be provided, for example directly from the product or via data intermediation services. Such rules may also include limits on the rights of data holders to access or use user data, or other aspects beyond data access and use, such as governance aspects or security requirements, including cybersecurity requirements. This Regulation should also be without prejudice to more specific rules in the context of the development of common European data spaces or, subject to the exceptions provided for in this Regulation, to Union and national law providing for access to and authorising the use of data for scientific research purposes.

(116) This Regulation should not affect the application of the rules of competition, in particular Articles 101 and 102 TFEU. The measures provided for in this Regulation should not be used to restrict competition in a manner contrary to the TFEU.

(117) In order to allow actors within the scope of this Regulation to adapt to the new rules provided for herein, and to make the necessary technical arrangements, those rules should apply from 12 September 2025.

(118) The European Data Protection Supervisor and the European Data Protection Board were consulted in accordance with Article 42(1) and (2) of Regulation (EU) 2018/1725 and delivered their opinion on 4 May 2022.

(119) Since the objectives of this Regulation, namely ensuring fairness in the allocation of value from data among actors in the data economy and fostering fair access to and use of data in order to contribute to establishing a genuine internal market for data, cannot be sufficiently achieved by the Member States but can rather, by reason of the scale or effects of the action and cross-border use of data, be better achieved at Union level, the Union may adopt measures, in accordance with the principle of subsidiarity as set out in Article 5 of the Treaty on European Union. In accordance with the principle of proportionality as set out in that Article, this Regulation does not go beyond what is necessary in order to achieve those objectives,

HABEN DIESE VERORDNUNG ANGENOMMEN: