B2G-Datenzugang im EU Data Act: Notfallbegriff und Omnibus-Änderung

1. Geltende Rechtslage (Data Act, seit 12.09.2025 in Kraft)

Cyberangriffe zählen ausdrücklich als Notfall. Art. 2 Nr. 29 Data Act definiert „public emergency" als eine außergewöhnliche, zeitlich begrenzte Situation wie eine Gesundheitskrise, eine Naturkatastrophe, eine vom Menschen verursachte Katastrophe einschließlich eines schwerwiegenden Cybersicherheitsvorfalls, die die Bevölkerung eines Mitgliedstaats oder der Union beeinträchtigt und das Risiko ernsthafter und dauerhafter Folgen für Lebens- oder Wirtschaftsbedingungen birgt, und die nach einschlägigen nationalen oder EU-Verfahren festgestellt oder offiziell erklärt wird.

Der geltende Data Act kennt aber zwei Zugangstatbestände, nicht nur den Notfall:

Art. 15 Abs. 1 Data Act unterscheidet: (a) Datenzugang zur Reaktion auf einen „public emergency", wenn die Behörde die Daten nicht rechtzeitig anderweitig beschaffen kann; und (b) darüber hinaus - nur für nicht-personenbezogene Daten - wenn eine Behörde auf gesetzlicher Grundlage eine spezifische Aufgabe im öffentlichen Interesse erfüllt (z. B. amtliche Statistik oder Bewältigung einer Notlage) und alle anderen Beschaffungswege ausgeschöpft hat.

Konkret bedeutet das: Situationen des „exceptional need" umfassen im geltenden Recht sowohl öffentliche Notfälle (wie schwere Natur- oder vom Menschen verursachte Katastrophen, Pandemien und Cybersicherheitsvorfälle) als auch Nicht-Notfallsituationen (z. B. aggregierte anonymisierte GPS-Daten zur Verkehrsoptimierung).

2. Was der Digital-Omnibus ändern würde

Der Omnibus streicht Tatbestand (b) ersatzlos und beschränkt B2G-Datenzugang auf echte Notfälle:

Der Digital-Omnibus schlägt vor, den Anwendungsbereich von Kapitel V des Data Act von „außerordentlicher Notwendigkeit" auf „öffentlichen Notfall" zu verengen. Ziel ist die Reduktion von Unternehmensbelastungen und mehr Rechtssicherheit bei der B2G-Regelung.

Der verpflichtende B2G-Datenzugang wird damit von „außerordentlichem Bedarf" auf ausschließlich „öffentliche Notfälle oder die Erstellung von Statistiken im Zusammenhang mit öffentlichen Notfällen" verengt.

Was bleibt: Die Definition des „public emergency" - und damit die explizite Einbeziehung schwerwiegender Cyberangriffe - bleibt im Omnibus-Vorschlag unverändert erhalten. Cyberangriffe zählen also weiterhin als Notfall, nur der zweite, breitere Zugangstatbestand (Nicht-Notfall im öffentlichen Interesse) entfällt.

*Statistiken bleiben nur noch im Kontext von Notfällen zulässig.