Art. 19 Pflichten öffentlicher Stellen, der Kommission, der Europäischen Zentralbank und der Einrichtungen der Union | Data act regulation | Data act

This article sets out the obligations and restrictions that apply to public sector bodies, the Commission, the European Central Bank, Union bodies, and third parties once they have received data following a request under Article 14.

It functions as the counterpart to the data request mechanism established in that article, focusing on how the data must be handled after it has been obtained.

The article covers three broad areas: restrictions on how data may be used, protections for trade secrets, and accountability for data security.

Important points:

Public sector bodies, the Commission, the European Central Bank, and Union bodies receiving data must not use it beyond the purpose for which it was requested, must erase it once no longer needed, and are fully responsible for the security of the data they receive.
Neither these bodies nor any third party receiving data under this Chapter may use the data, or insights derived from it, to develop or enhance a competing connected product or related service, or share it with another third party for that purpose.
Disclosure of trade secrets must be limited to what is strictly necessary, and the receiving public body must take all necessary and appropriate technical and organisational measures to preserve their confidentiality before any such disclosure occurs.

1. Eine öffentliche Stelle, die Kommission, die Europäische Zentralbank oder eine Einrichtung der Union, die Daten aufgrund eines Verlangens nach Artikel 14 erhalten hat,
  1. darf die Daten nicht in einer Weise nutzen, die mit dem Zweck des Datenverlangens unvereinbar ist;
  2. muss technische und organisatorische Maßnahmen getroffen haben, die die Vertraulichkeit und Integrität der verlangten Daten und die Sicherheit der Datenübermittlungen – insbesondere bei personenbezogenen Daten – wahren und die Rechte und Freiheiten der betroffenen Personen schützen;
  3. muss die Daten löschen, sobald sie für den angegebenen Zweck nicht mehr erforderlich sind, und dem Dateninhaber sowie den Einzelpersonen oder Organisationen, die die Daten gemäß Artikel 21 Absatz 1 erhalten haben, unverzüglich mitteilen, dass die Daten gelöscht worden sind, es sei denn, die Archivierung der Daten ist im Einklang mit Unionsrecht oder nationalem Recht über den Zugang der Öffentlichkeit zu Dokumenten im Rahmen der Transparenzverpflichtungen vorgeschrieben.
1. Eine öffentliche Stelle, die Kommission, die Europäische Zentralbank oder eine Einrichtung der Union oder Dritte, die Daten gemäß diesem Kapitel erhalten, sind nicht berechtigt,
  1. ▼C1ModificationCorrectedPoint a) corrected by a corrigendum to Regulation (EU) 2023/2854. Published in the Official Journal 9 September 2025.
    die Daten oder Erkenntnisse über die wirtschaftliche Lage, die Vermögenswerte und Produktions- oder Betriebsmethoden des Dateninhabers zu nutzen, um ein vernetztes Produkt oder einen verbundenen Dienst zu entwickeln oder zu verbessern, das bzw. der mit dem vernetzten Produkt oder dem verbundenen Dienst des Dateninhabers im Wettbewerb steht;
  2. die Daten für die unter Buchstabe a genannten Zwecke an einen anderen Dritten weiterzugeben.
1. Die Offenlegung von Geschäftsgeheimnissen gegenüber einer öffentlichen Stelle, der Kommission, der Europäischen Zentralbank oder einer Einrichtung der Union gilt nur in dem Maße als erforderlich, in dem dies für den Zweck eines Verlangens gemäß Artikel 15 unerlässlich ist. In diesem Fall muss der Dateninhaber oder, falls es sich dabei nicht um dieselbe Person handelt, der Inhaber des Geschäftsgeheimnisses die Daten, die als Geschäftsgeheimnisse geschützt sind, einschließlich der einschlägigen Metadaten, identifizieren. Die öffentliche Stelle, die Kommission, die Europäische Zentralbank oder die Einrichtung der Union treffen vor der Offenlegung von Geschäftsgeheimnissen alle erforderlichen und geeigneten technischen und organisatorischen Maßnahmen, um die Vertraulichkeit der Geschäftsgeheimnisse zu wahren, gegebenenfalls einschließlich der Verwendung von Mustervertragsbestimmungen, technischen Normen und der Anwendung von Verhaltenskodizes.
1. Eine öffentliche Stelle, die Kommission, die Europäische Zentralbank oder eine Einrichtung der Union sind für die Sicherheit der erhaltenen Daten verantwortlich.