Diese Verordnung gilt für die Verarbeitung elektronischer Daten, die keine personenbezogenen Daten sind, in der Union, die

als eine Dienstleistung für Nutzer erfolgt, die in der Union wohnhaft oder niedergelassen sind, ungeachtet dessen, ob der Diensteanbieter in der Union niedergelassen ist oder nicht; oder

von einer natürlichen oder juristischen Person, die in der Union wohnhaft oder niedergelassen ist, für ihren eigenen Bedarf durchgeführt wird.

Bei einem Datensatz, der aus personenbezogenen und nicht-personenbezogenen Daten besteht, gilt diese Verordnung für die nicht-personenbezogenen Daten des Datensatzes. Sind personenbezogene und nicht-personenbezogene Daten in einem Datensatz untrennbar miteinander verbunden, berührt diese Verordnung nicht die Anwendung der Verordnung (EU) 2016/679.

Diese Verordnung gilt nicht für Tätigkeiten, die nicht in den Anwendungsbereich des Unionsrechts fallen.

Diese Verordnung berührt nicht die Rechts- und Verwaltungsvorschriften, die sich auf die interne Organisation der Mitgliedstaten beziehen und die Behörden und Einrichtungen des öffentlichen Rechts im Sinne von Artikel 2 Absatz 1 Nummer 4 der Richtlinie 2014/24/EU die Befugnisse und Zuständigkeiten für die Datenverarbeitung ohne eine vertragliche Vergütung privater Parteien zuteilen, sowie die Rechts- und Verwaltungsvorschriften der Mitgliedstaaten, die die Wahrnehmung dieser Befugnissen und Zuständigkeiten regeln.

„Daten“ bezeichnet Daten, die keine personenbezogenen Daten im Sinne des Artikels 4 Nummer 1 der Verordnung (EU) 2016/679 sind;

„Verarbeitung“ bezeichnet jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit Daten in elektronischer Form wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

„Entwürfe von Vorschriften“ bezeichnet Texte, die entworfen worden sind, um sie als allgemeine Rechts- oder Verwaltungsvorschriften zu erlassen, und die sich im Stadium der Ausarbeitung befinden, in dem noch wesentliche Änderungen möglich sind;

„Diensteanbieter“ bezeichnet eine natürliche oder juristische Person, die Datenverarbeitungsdienste erbringt;

„Datenlokalisierungsauflage“ bezeichnet eine Verpflichtung, ein Verbot, eine Bedingung, eine Beschränkung oder eine andere Anforderung, die in Rechts- oder Verwaltungsvorschriften eines Mitgliedstaats enthalten ist oder sich aus allgemeinen und einheitlichen Verwaltungspraktiken in einem Mitgliedstaat und Einrichtungen des öffentlichen Rechts, unbeschadet der Richtlinie 2014/24/EU auch im Bereich der Vergabe öffentlicher Aufträge, ergibt und die bestimmt, dass die Datenverarbeitung im Hoheitsgebiet eines bestimmten Mitgliedstaats stattfinden muss, oder die die Verarbeitung von Daten in einem anderen Mitgliedstaat behindert;

„zuständige Behörde“ bezeichnet eine Behörde eines Mitgliedstaats oder eine andere nach nationalem Recht zur Wahrnehmung hoheitlicher Befugnisse oder zur Ausübung öffentlicher Gewalt ermächtigte Einrichtung, die nach Unionsrecht oder nach nationalem Recht befugt ist, zur Erfüllung ihrer amtlichen Pflichten Zugang zu Daten zu erlangen, die von einer natürlichen oder juristischen Person verarbeitet werden;

„Nutzer“ bezeichnet eine natürliche oder juristische Person einschließlich einer Behörde oder einer Einrichtung des öffentlichen Rechts, die einen Datenverarbeitungsdienst benutzt oder beauftragt;

„beruflicher Nutzer“ bezeichnet eine natürliche oder juristische Person, einschließlich einer Behörde oder einer Einrichtung des öffentlichen Rechts, die einen Datenverarbeitungsdienst im Zusammenhang mit ihrer gewerblichen, geschäftlichen, handwerklichen oder beruflichen Tätigkeit bzw. der Erfüllung ihrer Aufgaben benutzt oder beauftragt.

Datenlokalisierungsauflagen sind unzulässig, es sei denn, sie sind aus Gründen der öffentlichen Sicherheit unter Achtung des Grundsatzes der Verhältnismäßigkeit gerechtfertigt.

Absatz 3 und auf der Grundlage des bestehenden Unionsrechts festgelegte Datenlokalisierungsauflagen bleiben von Unterabsatz 1 dieses Absatzes unberührt.

Die Mitgliedstaaten teilen der Kommission umgehend alle Entwürfe von Vorschriften mit, die neue Datenlokalisierungsauflagen enthalten oder bestehende Datenlokalisierungsauflagen ändern, gemäß den Verfahren, die in den Artikeln 5, 6 und 7 der Richtlinie (EU) 2015/1535 festgelegt sind.

Die Mitgliedstaaten sorgen bis zum 30. Mai 2021 dafür, dass alle bestehenden Datenlokalisierungsauflagen, die durch allgemeine Rechts- und Verwaltungsvorschriften geregelt sind und die nicht mit Absatz 1 des vorliegenden Artikels vereinbar sind, aufgehoben werden.

Ist ein Mitgliedstaat der Ansicht, dass eine bestehende Maßnahme mit einer Datenlokalisierungsauflage mit Absatz 1 des vorliegenden Artikels vereinbar ist und deshalb in Kraft bleiben kann, teilt er der Kommission diese Maßnahme zusammen mit einer Begründung der Aufrechterhaltung bis zum 30. Mai 2021 mit. Unbeschadet Artikel 258 AEUV prüft die Kommission binnen sechs Monaten nach Eingang einer solchen Mitteilung, ob die betreffende Vorschrift mit Absatz 1 des vorliegenden Artikels vereinbar ist, und übermittelt dem betroffenen Mitgliedstaat gegebenenfalls Anmerkungen, gegebenenfalls einschließlich der Empfehlung, die Vorschrift zu ändern oder aufzuheben.

Die Mitgliedstaaten machen die Einzelheiten sämtlicher in ihrem Hoheitsgebiet geltenden, durch allgemeine Rechts- oder Verwaltungsvorschriften geregelten Datenlokalisierungsauflagen über eine nationale einheitliche Online-Informationsstelle öffentlich verfügbar und halten diese Informationen auf dem neuesten Stand oder übermitteln aktualisierte Einzelheiten über alle derartigen Lokalisierungsauflagen an eine zentrale Informationsstelle, die gemäß einem anderen Unionsakt eingerichtet wurde.

Die Mitgliedstaaten teilen der Kommission die Adresse ihrer in Absatz 4 genannten einheitlichen Informationsstelle mit. Die Kommission veröffentlicht die Verweise auf diese Stellen zusammen mit einer regelmäßig aktualisierten konsolidierten Liste aller Datenlokalisierungsauflagen gemäß Absatz 4, einschließlich zusammenfassender Informationen über diese Auflagen, auf ihrer Website.

Diese Verordnung lässt die Befugnisse der zuständigen Behörden, zur Erfüllung ihrer amtlichen Pflichten, gemäß dem Unionsrecht oder nationalen Recht, Zugang zu Daten zu verlangen oder zu erhalten, unberührt. Der Zugang zuständiger Behörden zu Daten darf nicht mit der Begründung verweigert werden, dass die Daten in einem anderen Mitgliedstaat verarbeitet werden.

Wird einer zuständigen Behörde, die um Zugang zu den Daten eines Nutzers ersucht hat, kein Zugang gewährt, so kann sie, sofern im Unionsrecht oder in internationalen Abkommen kein bestimmter Kooperationsmechanismus für den Datenaustausch zwischen den zuständigen Behörden verschiedener Mitgliedstaaten vorgesehen ist, eine zuständige Behörde in einem anderen Mitgliedstaat nach dem in Artikel 7 festgelegten Verfahren um Amtshilfe ersuchen.

Beinhaltet ein Amtshilfeersuchen die Erlangung des Zugangs zu Räumlichkeiten einer natürlichen oder juristischen Person, einschließlich der Datenverarbeitungsanlagen und -mittel, durch die ersuchte Behörde, so muss ein solcher Zugang im Einklang mit dem Unionsrecht oder dem nationalen Verfahrensrecht stehen.

Die Mitgliedstaaten können in Übereinstimmung mit dem Unionsrecht oder dem nationalen Recht wirksame, verhältnismäßige und abschreckende Sanktionen verhängen, wenn gegen eine Verpflichtung zur Bereitstellung von Daten verstoßen wird.

Im Falle von Rechtsmissbrauch durch einen Nutzer kann ein Mitgliedstaat, sofern dies durch die Dringlichkeit des Zugriffs auf die Daten und unter Berücksichtigung der Interessen der betroffenen Parteien gerechtfertigt ist, streng verhältnismäßige einstweilige Maßnahmen gegen diesen Nutzer ergreifen. Verfügt eine einstweilige Maßnahme die Relokalisierung von Daten, und dauert diese Relokalisierung länger als 180 Tage, ist dies der Kommission innerhalb dieser 180 Tage mitzuteilen. Die Kommission prüft die Maßnahme und beurteilt deren Vereinbarkeit mit dem Unionsrecht schnellstmöglich und trifft, soweit erforderlich, geeignete Maßnahmen. Die Kommission tauscht mit den in Artikel 7 genannten einheitlichen Anlaufstellen der Mitgliedstaaten Informationen über ihre Erfahrungen in dieser Hinsicht aus.

Die Kommission fördert und erleichtert die Entwicklung von Verhaltensregeln für die Selbstregulierung auf Unionsebene (im Folgenden „Verhaltensregeln“), um zu einer wettbewerbsfähigen Datenwirtschaft auf der Grundlage der Grundsätze der Transparenz und der Interoperabilität und unter angemessener Berücksichtigung offener Standards beizutragen, wobei unter anderem folgende Aspekte abgedeckt werden:

bewährte Verfahren zur Erleichterung des Wechsels des Diensteanbieters und der Übertragung von Daten in einem strukturierten, gängigen, maschinenlesbaren Format, bei Bedarf oder auf Wunsch des Diensteanbieters, der die Daten empfängt, auch in einem offenen Standardformat;

Vorschriften für Mindestangaben, damit sichergestellt ist, dass berufliche Nutzer vor dem Abschluss eines Datenverarbeitungsvertrags hinreichend genaue, klare und transparente Informationen in Bezug auf die Prozesse, technischen Anforderungen, Fristen und Entgelte erhalten, die für einen beruflichen Nutzer gelten, der zu einem anderen Diensteanbieter wechseln oder Daten in seine eigenen IT-Systeme zurückübertragen möchte;

Ansätze für Zertifizierungssysteme, mit denen der Vergleich von Datenverarbeitungsprodukten und -diensten für berufliche Nutzer erleichtert wird, unter Berücksichtigung bestehender nationaler oder internationaler Normen, zur Erleichterung der Vergleichbarkeit dieser Produkte und Dienste. Diese Ansätze können sich unter anderem auf das Qualitätsmanagement, das Informationssicherheitsmanagement, das Betriebskontinuitätsmanagement und das Umweltmanagement beziehen;

Kommunikationspläne mit multidisziplinärem Ansatz, um den relevanten Akteuren die Verhaltensregeln nahe zu bringen.

Die Kommission stellt sicher, dass die Verhaltensregeln in enger Zusammenarbeit mit allen relevanten Interessenträgern, einschließlich KMU-Verbänden und Startups sowie Nutzern und Anbietern von Cloud-Diensten, entwickelt werden.

Die Kommission hält die Diensteanbieter dazu an, die Entwicklung der Verhaltensregeln bis zum 29. November 2019 abzuschließen und sie bis zum 29. Mai 2020 wirksam umzusetzen.

Jeder Mitgliedstaat benennt eine einheitliche Anlaufstelle, die bezüglich der Anwendung dieser Verordnung mit den einheitlichen Anlaufstellen der anderen Mitgliedstaaten und mit der Kommission in Verbindung steht. Die Mitgliedstaaten teilen der Kommission die benannten einheitlichen Anlaufstellen und etwaige spätere Änderungen dieser Angaben mit.

Wenn eine zuständige Behörde eines Mitgliedstaats einen anderen Mitgliedstaat gemäß Artikel 5 Absatz 2 um Amtshilfe ersucht, um Zugang zu Daten zu erlangen, so richtet sie einen ordnungsgemäß begründeten Antrag an die einheitliche Anlaufstelle des betreffenden Mitgliedstaats. Der Antrag enthält eine schriftliche Darlegung der Gründe und der Rechtsgrundlagen für das Zugangsbegehren.

Die einheitliche Anlaufstelle ermittelt die jeweils zuständige Behörde ihres Mitgliedstaats und leitet den gemäß Absatz 2 erhaltenen Antrag an diese zuständige Behörde weiter.

Die auf diese Weise ersuchte jeweilige zuständige Behörde muss ohne unangemessene Verzögerung und innerhalb einer der Dringlichkeit des Ersuchens entsprechenden Frist antworten und der nachsuchenden zuständigen Behörde die angeforderten Daten zur Verfügung stellen oder mitteilen, dass sie die Voraussetzungen für die Beantragung von Amtshilfe nach dieser Verordnung für nicht erfüllt hält.

Alle Informationen, die im Zusammenhang mit einem Amtshilfeersuchen und geleisteter Amtshilfe gemäß Artikel 5 Absatz 2 ausgetauscht werden, dürfen nur im Zusammenhang mit den Zwecken des Ersuchens verwendet werden.

Die einheitlichen Anlaufstellen müssen den Nutzern allgemeine Informationen über diese Verordnung bereitstellen, darunter Angaben zu den Verhaltensregeln.

Die Kommission übermittelt dem Europäischen Parlament, dem Rat und dem Europäischen Wirtschafts- und Sozialausschuss spätestens am 29. November 2022 einen Bericht über die Bewertung der Anwendung dieser Verordnung, insbesondere hinsichtlich

der Anwendung dieser Verordnung, insbesondere auf Datensätze, die aus personenbezogenen und nicht-personenbezogenen Daten bestehen, im Hinblick auf Entwicklungen der Märkte und technologische Entwicklungen, mit denen neue Möglichkeiten zur Entanonymisierung von Daten geschaffen werden könnten,

der Umsetzung von Artikel 4 Absatz 1 und insbesondere der Ausnahme aus Gründen der öffentlichen Sicherheit durch die Mitgliedstaaten und

der Aufstellung und wirksamen Umsetzung der Verhaltensregeln und der tatsächlichen Bereitstellung von Informationen durch Diensteanbieter.

Die Mitgliedstaaten übermitteln der Kommission alle Informationen, die für die Ausarbeitung des in Absatz 1 genannten Berichts erforderlich sind.

Bis zum 29. Mai 2019 veröffentlicht die Kommission informierende Leitlinien über die Wechselwirkungen der vorliegenden Verordnung und der Verordnung (EU) 2016/679, insbesondere im Hinblick auf Datensätze, die sowohl aus personenbezogenen als auch aus nicht-personenbezogenen Daten bestehen.