EU-Daten-Governance-Verordnung

Die EU-Daten-Governance-Verordnung (DGA) etabliert einen einheitlichen Rahmen für den Datenaustausch, die Wiederverwendung und das Datenmanagement in der Europäischen Union. Seit September 2023 in Kraft, bildet sie einen Eckpfeiler der Europäischen Datenstrategie der EU, die darauf ausgelegt ist, eine vertrauenswürdige Datenökonomie zu fördern und gleichzeitig strenge Kontrollen hinsichtlich Datenschutz, Sicherheit und ethischer Nutzung aufrechtzuerhalten.

Diese Verordnung ergänzt bestehende Gesetze wie die DSGVO, den Digital Services Act und den AI Act und bietet Mechanismen für die Wiederverwendung von Daten zwischen Sektoren und Mitgliedstaaten. Durch die Förderung vertrauenswürdiger Intermediäre und die Sicherstellung fairer Zugangsbedingungen zu Daten, zielt die DGA darauf ab, den wirtschaftlichen und gesellschaftlichen Wert von öffentlichen sowie privaten Daten freizusetzen.

Den vollständigen Text der Verordnung können Sie im Offiziellen EU-Rechtsportal lesen.

Zweck der EU-Daten-Governance-Verordnung

Ziel der DGA ist es, eine langjährige Herausforderung in der digitalen Wirtschaft zu adressieren: den sicheren Austausch und die Wiederverwendung von Daten zu ermöglichen, ohne dabei den Datenschutz oder die Rechte an geistigem Eigentum zu gefährden.

Zu ihren Hauptzielen zählen die Verbesserung der Datenverfügbarkeit für Innovation, Forschung und das Gemeinwohl; die Schaffung von Vertrauen in Datenaustauschsysteme durch Regulierung von Intermediären; die Förderung von Datenaltruismus zum gesellschaftlichen Nutzen; der Schutz sensibler, vertraulicher oder personenbezogener Daten während der Wiederverwendung; sowie der Aufbau EU-weiter Governance-Strukturen zur Harmonisierung über verschiedene Sektoren hinweg.

Indem sie Innovation mit Schutz in Einklang bringt, führt die DGA einen „Vertrauens-vor-Erst“-Ansatz ein, der das Vertrauen in die Art und Weise stärkt, wie Daten auf dem europäischen Markt zirkulieren.

Geltungsbereich und Anwendung

Die DGA gilt sowohl für öffentliche als auch für private Einrichtungen, die in der EU tätig sind und sich mit dem Austausch, der Wiederverwendung oder der Vermittlung von Daten befassen. Sie erstreckt sich auch auf internationale Unternehmen, die Dienstleistungen für EU-Bürger anbieten oder Daten verarbeiten, die ihren Ursprung in der EU haben.

Wesentliche Bereiche, die abgedeckt werden, umfassen die Wiederverwendung von Daten des öffentlichen Sektors, die Vertraulichkeit, geistiges Eigentum oder Geschäftsgeheimnisse betreffen; Datenvermittlungsdienste, die Dateninhaber unter geregelten Bedingungen mit Datennutzern verbinden; Datenaltruismus-Organisationen, die freiwillig geteilte Daten für Forschungs- oder Gemeinschaftszwecke sammeln und verwalten; sowie grenzüberschreitende Datenübertragungen und Schutzmaßnahmen für den internationalen Datenzugang.

Durch die Festlegung konsistenter Standards sorgt der Akt dafür, dass europäische Unternehmen und Bürger von sicheren und transparenten Datenökosystemen profitieren.

Kernprinzipien der DGA

Die Verordnung legt mehrere Leitprinzipien fest, die eine ethische und sichere Datenverwaltung gewährleisten: Transparenz und Rechenschaftspflicht, Nichtdiskriminierung, Sicherheit und Vertraulichkeit, freiwillige Teilnahme sowie die Priorisierung des Gemeinwohls und des Altruismus.

Diese Prinzipien garantieren gemeinsam, dass die Wiederverwendung von Daten die Rechte von Einzelpersonen und Organisationen respektiert, während gleichzeitig Innovation und Forschung in ganz Europa ermöglicht werden.

Institutionelle Mechanismen

Um eine koordinierte Umsetzung in der gesamten EU zu gewährleisten, schafft die DGA verschiedene Governance-Gremien und Verfahren, die Transparenz, Konsistenz und Zusammenarbeit zwischen den nationalen Behörden und der Europäischen Kommission sicherstellen sollen. Diese Institutionen bilden das Rückgrat des Daten-Governance-Rahmens, indem sie gewährleisten, dass Standards einheitlich angewendet werden und Organisationen klare Richtlinien für den Datenaustausch oder die Wiederverwendung erhalten.

Europäisches Dateninnovationsgremium (EDIB)

Das EDIB fördert einheitliche Praktiken in den Mitgliedstaaten. Es berät die Europäische Kommission zu Interoperabilitätsstandards, Zertifizierungskriterien für Intermediäre und gemeinsamen Rahmenbedingungen für sektorspezifische Datenräume. Das Gremium fördert zudem die Zusammenarbeit zwischen öffentlichen Institutionen, privaten Unternehmen und Forschungseinrichtungen, um Vertrauen und Transparenz im grenzüberschreitenden Datenaustausch zu stärken. Durch die Entwicklung gemeinsamer technischer und ethischer Leitlinien trägt das EDIB dazu bei, einen einheitlichen und wettbewerbsfähigen europäischen Datenmarkt aufrechtzuerhalten, in dem Innovationen innerhalb eines klar geregelten Rechtsrahmens gedeihen können.

Nationale zuständige Behörden

Jeder Mitgliedstaat benennt eine zuständige Behörde, die für die Registrierung und Überwachung von Datenvermittlungsdiensten und altruistischen Datenorganisationen verantwortlich ist. Diese Behörden gewährleisten die Einhaltung der Vorschriften, bearbeiten Beschwerden und verhängen Strafen bei Verstößen. Sie fungieren auch als primärer Ansprechpartner für lokale und internationale Stakeholder, klären DGA-Anforderungen und unterstützen bei Zertifizierungsprozessen. Durch die Koordination mit anderen nationalen Regulierungsbehörden und dem EDIB sorgen diese Behörden für einen kohärenten Durchsetzungsansatz und schützen die Integrität des Daten-Ökosystems innerhalb ihrer Zuständigkeiten.

Datenvermittlungsdienstleister (DISPs)

DISPs fungieren als neutrale Vermittler, die Datenanbieter mit Datennutzern verbinden. Sie dürfen nicht vom Inhalt der Daten profitieren, können jedoch Gebühren für die Vermittlungsdienstleistung erheben. Ihre Neutralität ist entscheidend, um Vertrauen in das Ökosystem zu gewährleisten. Um dieses Vertrauen zu bewahren, müssen sie mit voller Transparenz hinsichtlich ihrer Datenverarbeitungspraktiken, Zugangsbedingungen und Sicherheitsmaßnahmen agieren. DISPs spielen auch eine zunehmend wichtige Rolle bei der Ermöglichung sektorenübergreifender Kooperationen, indem sie Organisationen dabei unterstützen, den Wert von Daten für Innovationen zu erschließen und gleichzeitig Vertraulichkeit und Compliance mit EU-Standards zu wahren.

Datenkategorien und Wiederverwendungsbedingungen

Nach der DGA dürfen Daten des öffentlichen Sektors, die durch Geschäftsgeheimnisse, Persönlichkeitsschutz oder IP-Rechte geschützt sind, unter strengen Bedingungen wiederverwendet werden. Daten müssen vor der Wiederverwendung anonymisiert oder pseudonymisiert werden. Wiederverwerter müssen bindende Bedingungen akzeptieren, die eine Re-Identifikation oder Missbrauch verhindern. Datenübertragungen in Nicht-EU-Länder erfordern gleichwertige Schutzniveaus, und Metadaten sowie Zugriffsprotokolle müssen zur Rückverfolgbarkeit aufbewahrt werden.

Diese Maßnahmen fördern verantwortungsvolle Innovationen und verhindern gleichzeitig den Missbrauch oder Verstöße gegen sensible Informationen.

Weitere Details zu compliance-fähigen Protokollierungs- und Tracking-Methoden finden Sie bei Audit Trails und Audit Logs.

Beziehung zur DSGVO und anderen EU-Vorschriften

Obwohl sowohl die DSGVO als auch die DGA die Datenverwaltung betreffen, verfolgen sie unterschiedliche, aber komplementäre Ziele:

Die DGA hebt die DSGVO nicht auf, sondern baut auf ihr auf – indem sie Mechanismen für einen rechtmäßigen Datenaustausch schafft, sofern entsprechende Schutzmaßnahmen vorhanden sind. Gemeinsam bilden sie die Grundlage der europäischen Datenökonomie.

Erklärung zum Datenaltruismus

Einer der innovativsten Aspekte der DGA ist die Einführung des Datenaltruismus – die freiwillige Freigabe von Daten zum Wohle der Allgemeinheit. Im Rahmen dieses Konzepts können Einzelpersonen und Organisationen der Nutzung ihrer Daten für Forschung, Gesundheitswesen oder gesellschaftliche Verbesserungen zustimmen, ohne eine persönliche Gegenleistung zu erwarten. Beispiele hierfür sind medizinische Daten, die für Studien zu seltenen Krankheiten gespendet werden, Umweltdaten, die zur Verbesserung der Nachhaltigkeitsforschung beitragen, und Mobilitätsdaten, die zur Optimierung der urbanen Infrastrukturplanung genutzt werden.

Organisationen, die sich am Datenaltruismus beteiligen, müssen offiziell registriert und von den nationalen Behörden anerkannt werden. Sie müssen klare Einwilligungsmechanismen, transparente Verfahren zur Datenverarbeitung und eine strenge Überwachung der Nutzung der geteilten Daten gewährleisten. Dieses System stärkt das öffentliche Vertrauen, indem es garantiert, dass altruistisch beigetragene Daten kollektiven Zielen dienen und gleichzeitig Datenschutz und Sicherheit wahren.

Letzten Endes verwandelt der Datenaltruismus freiwillige Beiträge in einen strukturierten und ethisch verwalteten Prozess, der die wissenschaftliche Entdeckung, die Politikentwicklung und Innovationen in ganz Europa unterstützt.

Datenvermittlungsdienste in der Praxis

Die DGA führt eine neue Kategorie von Akteuren ein, die als Datenvermittlungsdienstleister, oder DISPs, bekannt sind. Diese Organisationen agieren als neutrale Makler, indem sie Dateninhaber mit potenziellen Nutzern verbinden und gleichzeitig sicherstellen, dass der Austausch fair, sicher und compliant erfolgt. Im Unterschied zu Datenaggregatoren oder -wiederverkäufern ist es DISPs untersagt, mit den Daten selbst Profit zu machen. Ihre Aufgabe besteht darin, ein vertrauenswürdiges Umfeld zu schaffen, in dem Daten sicher zwischen den Parteien zirkulieren können.

Sie sind dafür verantwortlich, für die Vertraulichkeit während der gesamten Transaktion zu sorgen, detaillierte Audit-Trails aller Vorgänge zu führen und es Datensubjekten oder Organisationen zu ermöglichen, ihre Einwilligung jederzeit zu widerrufen. Diese Intermediäre agieren unter strengen Anforderungen an Neutralität und Transparenz, wodurch sie das Fundament der vertrauenswürdigen Dateninfrastruktur Europas bilden.

Solche Dienstleister werden in stark regulierten Sektoren wie Gesundheitswesen, Finanzwesen, Fertigung und öffentlicher Verwaltung zunehmend wichtig, wo sensible Informationen mit Präzision, Fairness und unter Einhaltung der Vorschriften behandelt werden müssen.

Technische und organisatorische Schutzmaßnahmen

Die DGA setzt anspruchsvolle Standards für den Datenschutz und die operative Resilienz. Organisationen, die Daten im Rahmen dieser Verordnung verarbeiten oder austauschen, müssen robuste technische und prozedurale Kontrollen implementieren. Verschlüsselungs- und Zugriffskontrollmechanismen müssen die gespeicherten und übertragenen Daten schützen. Jeder Zugriff oder jede Änderung muss in detaillierten Audit-Trails protokolliert werden, um nachzuvollziehen, wer wann und zu welchem Zweck mit den Daten interagiert hat.

Sensible Informationen müssen durch Datenmaskierung oder Anonymisierungstechniken geschützt werden, während eine rollenbasierte Zugriffskontrolle sicherstellt, dass nur autorisierte Benutzer auf spezifische Informationen zugreifen können. Die Einrichtungen müssen außerdem Benachrichtigungsprozesse für Datenpannen und Sicherheitsvorfälle gemäß der DSGVO und der NIS2-Richtlinie implementieren.

Diese Anforderungen stellen sicher, dass geteilte Daten während ihres gesamten Lebenszyklus – von der Erfassung und Verarbeitung bis hin zur Speicherung und Wiederverwendung – sicher bleiben. Die Einhaltung der Vorschriften stützt sich auf Transparenz, Rückverfolgbarkeit und kontinuierliche Überwachung der Sicherheitslage.

Für Organisationen, die diese Maßnahmen implementieren, können Plattformen wie DataSunrise die DGA-Compliance durch zentralisierte Überwachung der Datenbankaktivitäten, dynamische Datenmaskierung und Data Discovery-Funktionen unterstützen, welche die technische Durchsetzung mit regulatorischen Verpflichtungen in Einklang bringen.

Wie DataSunrise die DGA-Compliance unterstützt

Automatische Erkennung sensibler Daten

DataSunrise identifiziert und klassifiziert automatisch sensible Daten in Datenbanken, Data Lakes und Dateispeichersystemen. Sein Compliance Autopilot scannt kontinuierlich nach personenbezogenen, vertraulichen oder eingeschränkten Daten und sorgt für Transparenz sowie Audit-Bereitschaft.

• Unterstützt strukturierte, semi-strukturierte und unstrukturierte Daten einschließlich JSON, XML und Textdateien.
• Erkennt sensible Datentypen wie PII, PHI und finanzielle Identifikatoren über mehrere Plattformen hinweg.
• Setzt Machine-Learning-Modelle ein, um Muster zu erkennen und neue oder bisher unbekannte sensible Felder zu klassifizieren.
• Integriert sich nahtlos in Datenkataloge und Governance-Tools, um synchronisierte Metadaten beizubehalten.
• Erstellt detaillierte Entdeckungsberichte, die sensible Felder den entsprechenden regulatorischen Kategorien (DSGVO, HIPAA, SOX) zuordnen.

Sicherer Datenaustausch und Wiederverwendung

Durch seine Proxy- und Sniffer-Modi bietet DataSunrise einen nicht-invasiven Schutz, während es den sicheren Datenaustausch zwischen den Akteuren ermöglicht. Sensible Felder werden während Abfragen dynamisch maskiert, sodass Wiederverwerter nur auf zulässige Informationen zugreifen können.

• Funktioniert transparent zwischen Clients und Datenbanken, ohne dass Änderungen an der Anwendung erforderlich sind.
• Wendet in Echtzeit dynamische Maskierungsregeln an, basierend auf Benutzerrollen, Abfragekontext und Sensitivitätsstufe.
• Sorgt dafür, dass geteilte Datensätze auch bei Export oder Wiederverwendung über Abteilungen oder Partner hinweg compliant bleiben.
• Protokolliert jede Datenfreigabe-Transaktion für vollständige Rückverfolgbarkeit und Rechenschaftspflicht.
• Verhindert Datenlecks, indem unautorisierte Abfragen oder Exportversuche blockiert werden.

Umfassende Auditierung und Berichterstattung

DataSunrise erstellt unveränderliche Audit-Trails, die jede Dateninteraktion aufzeichnen. Berichte werden automatisch an regulatorische Rahmenwerke wie DSGVO, HIPAA, SOX und nun DGA angeglichen, wodurch während Inspektionen klare Compliance-Nachweise erbracht werden. Erfahren Sie mehr über automatisierte Compliance-Berichterstattung.

• Konsolidiert Audit-Logs aus mehreren Datenbanken in einem zentralen Reporting-Hub.
• Korreliert Audiodaten mit Analysen des Nutzerverhaltens, um Anomalien und Risiken hervorzuheben.
• Ermöglicht eine Echtzeitfilterung nach Benutzer, IP, Abfragetyp oder Operationskategorie für forensische Analysen.
• Erstellt vorgefertigte Compliance-Berichte, die an wichtige Rahmenwerke angepasst und pro Policy individualisierbar sind.
• Exportiert Audit-Daten zu SIEM-Plattformen wie Splunk, QRadar oder Azure Sentinel für erweiterte Analysen.

Compliance-Automatisierung

Mit no-code Policy Automation beschleunigt DataSunrise die Zeit bis zur Compliance und minimiert menschliche Fehler. Das einheitliche Dashboard ermöglicht es Organisationen, den Datenzugang, die Einwilligung und die Compliance über eine einzige Schnittstelle zu steuern.

• Wendet Compliance-Richtlinien automatisch basierend auf erkannten Datenkategorien und Sensitivitätsstufen an.
• Kalibriert Regeln kontinuierlich, sobald neue Datensätze oder Benutzer hinzukommen.
• Ermöglicht die Planung regelmäßiger Compliance-Scans und von Abhilfemaßnahmen.
• Integriert sich in Identity- und Access-Management (IAM)-Systeme zur synchronisierten Richtliniendurchsetzung.
• Stellt visuelle Compliance-Karten zur Verfügung, die Datenflüsse, Zugriffsfrequenzen und regulatorische Abdeckung aufzeigen.

Cloud- und Hybridintegration

DataSunrise arbeitet nahtlos in On-Premise-, Hybrid- und Multi-Cloud-Umgebungen und unterstützt Datenbanken wie PostgreSQL, MySQL, Oracle und Snowflake. Dies macht es ideal für Organisationen, die in verschiedenen, von der DGA regulierten Datenökosystemen tätig sind.

• Unterstützt über 40 Datenplattformen, einschließlich AWS RDS, Azure SQL, Google Cloud SQL und On-Premise-Systemen.
• Wird in Proxy-, Sniffer- oder Agent-Modi bereitgestellt, um unterschiedlichen Netzwerktopologien gerecht zu werden.
• Skaliert horizontal in Cluster-Umgebungen für performante Auditing-Prozesse.
• Sichert konsistente Maskierungs- und Audit-Richtlinien über Cloud- und lokale Speicher.
• Bietet API-Integration für DevOps-Pipelines und automatisierte Bereitstellung über Helm oder Terraform.

Geschäftliche Auswirkungen

Die Einführung der DGA verändert grundlegend, wie Unternehmen den Datenkollaborations- und Governance-Ansatz handhaben. Ihre Auswirkungen lassen sich wie folgt zusammenfassen:

Unternehmen, die fortschrittliche Governance- und Compliance-Tools frühzeitig übernehmen, werden von verbesserter Effizienz, stärkeren Partnerschaften und einem Wettbewerbsvorteil in der aufkommenden Datenökonomie profitieren.

Weitere Informationen zur Ausrichtung an europäischen Datenvorschriften finden Sie unter Data Compliance Regulations.

Herausforderungen und Überlegungen

Obwohl die DGA neue Chancen eröffnet, erfordert die Einhaltung der Vorschriften die Bewältigung mehrerer Herausforderungen wie technischer Komplexität, grenzüberschreitender Konsistenz, des kulturellen Wandels von Datenbesitz zu Datenmanagement sowie ausreichender Ressourcenzuweisung für Implementierung und Schulung.

Um diese Herausforderungen zu meistern, sollten Organisationen Plattformen nutzen, die eine zentralisierte Compliance-Orchestrierung bieten, wie DataSunrise, welches eine einheitliche Überwachung, Datenprotektion und automatisierte Richtlinienkalibrierung über verschiedene Umgebungen hinweg bereitstellt. Erfahren Sie mehr über Datensicherheit und Compliance-Automatisierung.

Die DGA im Rahmen der umfassenderen EU-Datenstrategie

Die Daten-Governance-Verordnung ist eine von drei Säulen des datenrechtlichen Rahmens der EU, zusammen mit dem Data Act (2024), der den fairen Zugang und die Nutzung industrieller Daten regelt, dem Digital Markets Act (DMA), der einen fairen Wettbewerb im Bereich digitaler Dienstleistungen sicherstellt, und dem AI Act (2025), der Standards für vertrauenswürdige künstliche Intelligenz etabliert.

Gemeinsam schaffen diese Rahmenwerke ein kohärentes Ökosystem, das verantwortungsvolle Innovationen fördert, die digitale Souveränität stärkt und den Bürgern eine größere Kontrolle über ihre Daten ermöglicht.

Zukunftsausblick

Die DGA wird eine entscheidende Rolle bei der Gestaltung europäischer Datenräume in den Bereichen Gesundheitswesen, Energie, Finanzen und öffentliche Verwaltung spielen. Mit der Reifung von Interoperabilitätsrahmenwerken werden Organisationen in der Lage sein, an gemeinsamen Datensätzen zu kooperieren, ohne die Vertraulichkeit oder die Einhaltung der Vorschriften zu gefährden.

Der langfristige Erfolg des Gesetzes hängt von der Einführung von „Secure-by-Design“-Plattformen, Investitionen in digitale Infrastrukturen und der kontinuierlichen Anpassung an sich entwickelnde Datenschutz- und Cybersicherheitsstandards ab. In diesem Zusammenhang stellt die Integration automatisierter Compliance-Lösungen wie DataSunrise sicher, dass Organisationen agil, rechenschaftspflichtig und mit dem Geist sowie dem Wortlaut der EU-Datenvorschriften im Einklang bleiben.

Fazit

Die EU-Daten-Governance-Verordnung markiert einen Wendepunkt im europäischen Umgang mit der Datenregulierung. Sie überbrückt die Kluft zwischen Schutz und Innovation – und schafft ein vertrauenswürdiges Umfeld, in dem Daten sicher für Forschung, Geschäftsaktivitäten und das Gemeinwohl zirkulieren können.

Für Unternehmen ist die Einhaltung der DGA nicht nur eine gesetzliche Verpflichtung, sondern auch eine strategische Chance. Durch die Implementierung transparenter Governance, auditierbarer Prozesse und sicherer Datenfreigabemechanismen können Unternehmen ihre Glaubwürdigkeit stärken und sich einen Wettbewerbsvorteil im digitalen Binnenmarkt der EU verschaffen.

Mit intelligenten Plattformen wie DataSunrise können Organisationen die DGA-Compliance automatisieren, sensible Daten schützen und ihre Teilnahme an der europäischen Datenökonomie beschleunigen – wodurch regulatorische Ausrichtung zu einer Quelle des Vertrauens und des Wachstums wird.