Ein einziger EU IT Act Ein einheitlicher, kohärenter Rechtsrahmen für die digitalen Pflichten und Rechte der EU — als Ersatz für die derzeit fragmentierte Landschaft.

Ein EU IT Act: ein einheitlicher, kohärenter Rechtsrahmen für digitale Pflichten und Rechte

Gegenstand. Die Kommission wird aufgefordert, einen einzigen Unionsrechtsakt, den EU IT Act, vorzuschlagen, der den digitalen und IT-bezogenen Unionsbesitzstand, sowohl auferlegte Pflichten als auch gewährte Rechte, in einem nach Kategorien gegliederten Instrument konsolidiert, und Unionsrechtsakte zu identifizieren, die aufgehoben und darin überführt werden können.

Hintergrund: ein Rechtsstaatsproblem

Die Einhaltung des digitalen und IT-Besitzstands der EU erfordert nun die parallele Lektüre dutzender überlappender Unionsrechtsakte. Darunter: GDPR, ePrivacy-Richtlinie, AI Act, Digital Services Act, Digital Markets Act, Data Act, Data Governance Act, Cyber Resilience Act, NIS2-Richtlinie, DORA, eIDAS 2.0, Platform-to-Business Regulation, Open Data-Richtlinie, Free Flow of Non-Personal Data Regulation sowie die digitalen und cybersicherheitsbezogenen Bestimmungen der GPSR, RED und Machinery Regulation. Jedes Instrument bringt eigene delegierte Rechtsakte und Durchführungsrechtsakte, Leitlinien, FAQs, Musterklauseln, harmonisierte Normen, 27 nationale Umsetzungen, soweit anwendbar, und Positionen zuständiger Behörden mit sich.

Das Problem ist nicht nur Zersplitterung. Der Umfang ist selbst ein strukturelles Anliegen. Jedes digitale Instrument ist umfangreich, vorschreibend und detailliert auf eine Weise, die häufig über das hinausgeht, was zur Erreichung seiner Ziele notwendig ist. Die Vertragsgrundsätze der Subsidiarität und Verhältnismäßigkeit (Article 5 TEU) verlangen, dass das Handeln der Union nicht über das Notwendige hinausgeht. Die kumulative Entwicklung des digitalen Besitzstands erfüllt diesen Test nicht sichtbar, und eine Konsolidierungsübung, die lediglich denselben Umfang in einem einzigen Dokument neu verpackt, würde das Problem nicht lösen, das sie zu lösen vorgibt.

Der Grundsatz, dass Rechtssubjekte im Voraus wissen können müssen, was das Recht von ihnen verlangt und was es ihnen gewährt, ist fundamental. Der derzeitige siloartige Ansatz erfüllt ihn nicht. Weder die Pflichten, die denen auferlegt sind, die sich daran halten müssen, noch die Rechte, die denen gewährt werden, die der Besitzstand schützen soll, sind ohne spezialisierte Rechtsberatung zugänglich, über die Kleinstunternehmen, KMU, Organisationen der Zivilgesellschaft und einzelne Bürger nicht verfügen. Das Digital Omnibus der Kommission geht dies nur am Rande an. Die Richtung muss sich ändern.

Ziele

1. Ein Rechtsakt. Die Kommission schlägt einen einzigen Unionsrechtsakt, den EU IT Act, vor, der die wesentlichen Pflichten und Rechte der Union in Bezug auf digitale und IT-Tätigkeit zusammenfasst. Der Rechtsakt ist das primäre Referenzinstrument für diese Pflichten und Rechte.

2. Aufheben und neu kodifizieren, als Regelfall. Die Kommission identifiziert jeden Unionsrechtsakt, jede Richtlinie und jede Verordnung, die aufgehoben und in den EU IT Act überführt werden kann. Die Standardposition ist Aufheben-und-Neukodifizieren, nicht Ändern-und-Koexistieren. Wo ein Instrument außerhalb des IT Act beibehalten wird, ist die Begründung ausdrücklich anzugeben.

3. Verhältnismäßigkeit und Sparsamkeit beim Verfassen. Der EU IT Act ist im Einklang mit den Vertragsgrundsätzen der Subsidiarität und Verhältnismäßigkeit (Article 5 TEU) zu verfassen, mit der zusätzlichen Disziplin gesetzgeberischer Sparsamkeit: nur das, was notwendig ist, so knapp wie der Gegenstand es zulässt. Konsolidierung darf nicht Akkumulation bedeuten. Wo bestehende Bestimmungen überlappen, sich duplizieren oder unnötige Details enthalten, sind diese in der Konsolidierung zu entfernen. Die Kommission veröffentlicht zusammen mit dem Vorschlag einen quantitativen Vergleich des operativen Umfangs des IT Act gegenüber dem operativen Umfang der Rechtsakte, die er ersetzt, und erläutert jeden Nettoanstieg.

4. Gliederung nach Kategorien. Der IT Act ist in Abschnitte zu gliedern, die den sachlichen Kategorien entsprechen, durch die sich Rechtssubjekte tatsächlich orientieren müssen, einschließlich: personenbezogene Daten und Datenschutz; Cybersicherheit und Vorfallsbewältigung; Systeme künstlicher Intelligenz; digitale Dienste, Plattformen und Online-Vermittler; Datenzugang, -teilung und -wiederverwendung; digitale Identität und Vertrauensdienste; digitale Produkte und Haftung.

Jeder Abschnitt legt an einem Ort sowohl die Pflichten fest, die denen auferlegt werden, die sich daran halten müssen, als auch die Rechte, die denen gewährt werden, die der Besitzstand schützen soll.

5. Gemeinsame Definitionen. Wiederkehrende Begriffe sind einmal für den gesamten Rechtsakt zu definieren. Jede abschnittsweise Abweichung ist im Erwägungsgrundtext ausdrücklich zu begründen.

6. Informationsmodell und maschinenlesbare Fassung. Die Kommission entwickelt und nimmt ein formales Informationsmodell an, das den rechtlichen Inhalt des EU IT Act abbildet. Das Modell baut auf ELI und Akoma Ntoso auf. Die maschinenlesbare Fassung ist gleichermaßen verbindlich wie die menschenlesbare Fassung.

7. Künftige Disziplin. Neue Unionsvorschläge im IT-Bereich nehmen als Regelfall die Form von Änderungen des EU IT Act statt eigenständiger Instrumente an.

Vertragsgrundlage

• Article 11(4) TEU (Instrument der Initiative)
• Article 16 TFEU (Datenschutz)
• Article 26 TFEU (Binnenmarkt)
• Article 114 TFEU (Rechtsangleichung, primäre Rechtsgrundlage)

Außerhalb des Geltungsbereichs

Diese Initiative schwächt das materielle Schutzniveau des bestehenden Besitzstands nicht — sie stärkt diesen Schutz, indem sie sowohl Pflichten als auch Rechte für diejenigen erkennbar macht, die es betrifft. Sie betrifft die Architektur, nicht die Substanz.