Datenhoheit: Was bedeutet dies für Unternehmen der Fertigungsindustrie?

„Datenhoheit“ ist einer der am häufigsten genannten Begriffe in der europäischen Datenpolitik. Er taucht im EU-Datengesetz, in technischen Dokumentationen und in nahezu jeder brancheninternen Diskussion über den Datenaustausch auf. Gleichzeitig gehört er durchweg zu den am wenigsten präzise definierten Begriffen.

Diese unterschiedlichen Auslegungen sind für produzierende Unternehmen von Bedeutung, die entscheiden müssen, ob und wie sie sich an industriellen Datenräumen beteiligen sollen. Wenn der Begriff alles Mögliche bedeuten kann – von „wir kontrollieren unsere Server“ bis hin zu „wir legen fest, wer was mit unseren Daten tun darf und für wie lange“ –, können Unternehmen keine fundierten Entscheidungen über eine Zusammenarbeit treffen. VET4DATACOOPERATION betrachtet Datenhoheit als ein spezifisches und durchsetzbares Governance-Recht. Modul 2 der Schulungskurse konzentriert sich genau auf dieses Recht, während dieser Artikel die Grundlagen für eine klarere Auslegung darlegt.

Governance als Architektur

Datensouveränität existiert nicht isoliert. Sie ist eines von sechs Elementen, die zusammen die Governance eines Datenraums bilden – das Rahmenwerk aus Regeln, Rollen, Richtlinien, technischen Vertrauensmechanismen und organisatorischen Prozessen, das es unabhängigen Organisationen ermöglicht, Daten auszutauschen, wobei jede Organisation die Kontrolle darüber behält, welche Daten sie weitergibt.

Die sechs Elemente sind:

• Datenhoheit – Festlegung und Durchsetzung der Bedingungen, unter denen gemeinsam genutzte Daten verwendet werden dürfen
• Identität und Vertrauen – Überprüfung der Identität der Teilnehmer, bevor ein Austausch stattfindet
• Gemeinsame Leitlinien – der vereinbarte Rahmen, innerhalb dessen alle Beteiligten agieren
• Interoperabilitätsstandards – Gewährleistung der Kommunikation zwischen technischen Systemen über Organisationsgrenzen hinweg
• Rechtliche und regulatorische Angleichung – Einhaltung des geltenden Rechts in verschiedenen Rechtsordnungen
• Operative Steuerung – die täglichen Abläufe, die das Ökosystem am Laufen halten

Somit ist Souveränität nur deshalb durchsetzbar, weil die umgebende Struktur existiert.

Eine Definition, die einer genauen Prüfung standhält

Datensouveränität ist das einklagbare Recht und die Fähigkeit eines Dateninhabers, zu steuern, wie auf seine Daten zugegriffen wird, wie diese genutzt, weitergegeben und über Organisationsgrenzen hinweg verwaltet werden. Dabei handelt es sich um die Fähigkeit, Nutzungsbedingungen im Einklang mit vereinbarten Governance-Regeln und geltenden Gesetzen festzulegen und durchzusetzen.

Diese Durchsetzbarkeit beruht auf vier spezifischen Kontrollrechten:

• Zugriff – Festlegung, wer auf die Daten zugreifen darf
• Zweck – Angabe, wofür es verwendet werden darf
• Dauer – Festlegung, wie lange der Zugriff oder die Nutzung gestattet ist
• Weiterverteilung – Feststellung, ob der Empfänger die Leistung weitergeben kann

Ein Unternehmen, das nicht alle vier Punkte festlegen und durchsetzen kann, übt keine Souveränität aus. Es schenkt Vertrauen und hofft auf Gegenseitigkeit – was zwar eine vernünftige Grundlage für eine Geschäftsbeziehung darstellt, jedoch keine Grundlage für die Teilnahme an einem groß angelegten Datenökosystem ist.

Von Rechten auf dem Papier zur technischen Realität

Die Festlegung von Rechten ist der erste Schritt. Diese in die Praxis umzusetzen, ist schwieriger. Daher gibt es zwei Mechanismen, die Souveränität von einem vertraglichen Grundsatz in eine technische Realität umsetzen.

Der erste Punkt betrifft maschinenlesbare Nutzungsrichtlinien – Spezifikationen, die direkt in den Datenaustausch eingebettet sind und nicht als separates Dokument beigefügt werden. Diese legen zulässige Nutzer, erlaubte Vorgänge und ausdrückliche Einschränkungen wie „keine kommerzielle Nutzung“ fest. Sie werden zusammen mit den Daten übermittelt und sind somit nicht auf einen Vertrag beschränkt, den der Empfänger möglicherweise gar nicht zur Kenntnis nimmt.

Der zweite Ansatz ist das föderierte Vertrauensmodell, in dessen Rahmen die an Gaia-X angepassten Datenräume betrieben werden. Vertrauen wird nicht durch eine zentrale Behörde oder Plattform geschaffen. Es basiert auf gemeinsamen Governance-Regeln, Identitäts- und Vertrauensdiensten sowie der Überprüfung durch das Gaia-X Digital Clearing House (GXDCH) – dem Mechanismus, der die Konformität eines Teilnehmers bestätigt, bevor ein Datenaustausch stattfindet. Kein einzelner Akteur kontrolliert das System.

Die fünf Grundsätze, die Gaia-X als Grundlage dieses Modells nennt, sind: Durchsetzbarkeit, Dezentralisierung, Selbstbestimmung, Transparenz und Interoperabilität.

Souveränität ist nicht dasselbe wie Eigentumsrecht

Datensouveränität ist nicht dasselbe wie Dateneigentum. Das Eigentum bestimmt, wem ein Vermögenswert gehört. Die Souveränität bestimmt, was mit den Daten geschieht, sobald sie Ihre Hände verlassen haben.

Ein Unternehmen kann Daten weitergeben und dabei die volle Kontrolle darüber behalten, wie diese genutzt werden, wer sie nutzen darf, wie lange sie genutzt werden dürfen und ob sie weitergegeben werden dürfen – vorausgesetzt, die Governance-Struktur funktioniert ordnungsgemäß. Die Weigerung, Daten weiterzugeben, ist nicht gleichbedeutend mit deren Schutz. Die Festlegung und Durchsetzung der Bedingungen für die Weitergabe – sowohl in technischer als auch in vertraglicher Hinsicht – ist das, was Schutz im Datenraum ausmacht.

Modul 2 des Schulungsprogramms „VET4DATACOOPERATION“ befasst sich mit der Frage, wie diese Struktur aufgebaut werden kann.

Besuchen Sie die offizielle LinkedIn-Seite, um aktuelle Informationen zum Projekt „VET4DATACOOPERATION“ zu erhalten: https://www.linkedin.com/showcase/vet4datacooperation/posts/