Die EU-Datenverordnung (Data Act, VO (EU) 2023/2854) regelt, wer Daten aus vernetzten Produkten nutzen darf, wie Datenverträge zwischen Unternehmen aussehen dürfen und wie Kunden den Cloud-Anbieter wechseln können. Wir beraten Hersteller, Nutzer und Anbieter von Datenverarbeitungsdiensten bei der Umsetzung und in Streitfällen.
Data Act: Fristen und Stufen der Geltung
Die Verordnung gilt seit dem 12. September 2025 unmittelbar in allen Mitgliedstaaten. Einzelne Pflichten greifen gestaffelt:
| Datum | Was gilt |
|---|---|
| 12.09.2025 | Allgemeine Geltung: Datenzugangsrechte, Informationspflichten, Art. 13 für neue Verträge, Kapitel VI (Cloud-Wechsel) |
| 12.09.2026 | Design-Pflicht nach Art. 3 Abs. 1 für vernetzte Produkte und verbundene Dienste, die danach in Verkehr gebracht werden |
| 12.01.2027 | Wechselentgelte beim Cloud-Wechsel entfallen vollständig (Art. 29 Abs. 1) |
| 12.09.2027 | Art. 13 auch für Altverträge, die bis 12.09.2025 geschlossen wurden und unbefristet sind oder frühestens am 11.01.2034 enden |
Datenzugang bei vernetzten Produkten und verbundenen Diensten
Vernetzte Produkte sind Geräte, die Daten über ihre Nutzung oder Umgebung erzeugen und übermitteln können: Maschinen, Fahrzeuge, Smart-Home-Geräte, Medizin- und Agrartechnik. Verbundene Dienste sind digitale Dienste, ohne die das Produkt eine Funktion nicht erfüllen kann, etwa eine Steuerungs-App.
Nutzer können verlangen, dass der Dateninhaber ihnen die leicht verfügbaren Produkt- und Dienstdaten samt Metadaten unverzüglich, kostenlos und in einem gängigen, maschinenlesbaren Format bereitstellt (Art. 4). Sie können außerdem die Weitergabe an einen Dritten, etwa einen unabhängigen Wartungsdienstleister, verlangen (Art. 5). Als Torwächter benannte Unternehmen nach dem Digital Markets Act sind als Empfänger ausgeschlossen. Vor Vertragsschluss muss über Art, Umfang und Zugriffsmöglichkeiten der Daten informiert werden (Art. 3 Abs. 2 und 3).
Pflichten von Dateninhabern und Herstellern
Für Produkte, die seit dem 12. September 2026 auf den Markt kommen, verlangt Art. 3 Abs. 1 „Access by Design“: Der Nutzer soll die Daten möglichst direkt am Gerät oder über eine Schnittstelle abrufen können. Hersteller mit laufenden Entwicklungszyklen müssen deshalb Architektur, Datenmodell und Dokumentation früh anpassen.
Der Dateninhaber darf nicht-personenbezogene Produktdaten selbst nur auf Grundlage eines Vertrags mit dem Nutzer verwenden (Art. 4 Abs. 13). Wer bisher Nutzungsdaten ohne Vereinbarung für Produktentwicklung oder Geschäftsmodelle auswertet, braucht also eine Datenlizenz mit dem Kunden. Gegenüber Dritten gelten faire, angemessene und nichtdiskriminierende Bedingungen (Art. 8); eine Gegenleistung ist zulässig, gegenüber KMU aber auf die Kosten begrenzt (Art. 9). Kleinst- und Kleinunternehmen sind als Hersteller von den Pflichten des Kapitels II grundsätzlich ausgenommen (Art. 7).
Geschäftsgeheimnisse im Data Act
Geschäftsgeheimnisse müssen nur offengelegt werden, wenn vorher Schutzmaßnahmen vereinbart sind, etwa Geheimhaltungsvereinbarungen, Zugriffsprotokolle oder technische Beschränkungen. Fehlt eine Einigung oder werden die Maßnahmen nicht eingehalten, darf der Dateninhaber die Herausgabe zurückhalten oder aussetzen. Eine Verweigerung ist nur in Ausnahmefällen zulässig, wenn ein schwerer wirtschaftlicher Schaden sehr wahrscheinlich ist; sie muss begründet und der zuständigen Behörde mitgeteilt werden (Art. 4 Abs. 6 bis 9). Ohne dokumentierte Geheimnisschutzmaßnahmen im Sinne des GeschGehG lässt sich diese Position kaum halten.
Unfaire Vertragsklauseln im B2B nach Art. 13 Data Act
Art. 13 führt eine AGB-ähnliche Inhaltskontrolle für Klauseln über Datenzugang und Datennutzung ein, die ein Unternehmen einem anderen einseitig auferlegt. Unwirksam sind etwa Haftungsausschlüsse für Vorsatz und grobe Fahrlässigkeit oder Klauseln, die dem Verwender das alleinige Recht geben, die Vertragsmäßigkeit der Daten zu beurteilen. Eine Liste weiterer Klauseln wird vermutet unfair. Betroffen sind Liefer-, Lizenz-, Wartungs- und Plattformverträge ebenso wie Einkaufsbedingungen. Die Kommission hat unverbindliche Mustervertragsklauseln veröffentlicht, die als Ausgangspunkt dienen können.
Cloud-Wechsel und Wechselentgelte (Kapitel VI)
Anbieter von Datenverarbeitungsdiensten, also IaaS, PaaS und SaaS, müssen den Wechsel zu einem anderen Anbieter oder in die eigene Infrastruktur ermöglichen. Der Vertrag muss eine Kündigungsfrist von höchstens zwei Monaten, einen Übergangszeitraum von regelmäßig 30 Tagen, eine Beschreibung der exportierbaren Daten und eine Abrufphase von mindestens 30 Tagen vorsehen (Art. 25). Bis zum 11. Januar 2027 dürfen nur reduzierte, kostenbasierte Wechselentgelte verlangt werden, danach keine mehr (Art. 29). Für Infrastrukturdienste kommen Pflichten zur funktionalen Gleichwertigkeit hinzu, für alle Anbieter Informationspflichten zu Zugriffen aus Drittstaaten.
Durchsetzung in Deutschland: DADG und Bundesnetzagentur
Das Data-Act-Durchführungsgesetz (DADG) ist am 30. Mai 2026 in Kraft getreten. Zuständige Behörde und zentrale Anlaufstelle ist die Bundesnetzagentur. Sie bearbeitet Beschwerden, überwacht die Wechselregeln und zertifiziert Streitbeilegungsstellen nach Art. 10. Soweit personenbezogene Daten betroffen sind, ist zusätzlich die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit zuständig. Das DADG sieht gestufte Bußgelder bis 500.000 Euro vor; bei Verstößen mit Personenbezug gilt zudem der Bußgeldrahmen des Art. 83 DSGVO. Daneben stehen zivilrechtliche Herausgabe- und Unterlassungsansprüche.
Verhältnis zur DSGVO
Der Data Act lässt die DSGVO unberührt; im Konfliktfall geht sie vor (Art. 1 Abs. 5). Er schafft keine eigene Rechtsgrundlage für die Verarbeitung personenbezogener Daten. Ist der Nutzer nicht die betroffene Person, etwa bei Firmenfahrzeugen oder vermieteten Geräten, braucht die Herausgabe eine Rechtsgrundlage nach Art. 6 DSGVO. In der Praxis müssen Datenzugangsprozess und Datenschutzkonzept deshalb gemeinsam aufgesetzt werden.
Die Kommission hat im Rahmen des Digital-Omnibus Änderungen am Data Act vorgeschlagen, unter anderem beim Schutz von Geschäftsgeheimnissen und mit Übergangserleichterungen beim Cloud-Wechsel. Stand November 2026 ist das Verfahren nicht abgeschlossen; bis dahin gilt der aktuelle Text.
Typische Mandate zum Data Act
- Hersteller im Maschinenbau und IoT: Betroffenheitsanalyse, Produktinformationen nach Art. 3, Datenlizenz mit Kunden, Geschäftsgeheimnis-Konzept, Prozess für Zugangsanfragen.
- Nutzer und Drittanbieter: Durchsetzung von Zugangs- und Weitergabeansprüchen, etwa für Wartung, Ersatzteile oder eigene Auswertungen.
- Cloud- und SaaS-Anbieter: Anpassung von Verträgen und Preismodellen an Kapitel VI, Exit-Pläne, Informationen zu Drittstaatenzugriffen.
- Vertragsprüfung nach Art. 13 und Verfahren vor Bundesnetzagentur, Streitbeilegungsstellen und Gerichten.
Für das Erstgespräch helfen uns eine Liste der betroffenen Produkte und Dienste, eine Übersicht der erzeugten Daten und die aktuellen Kunden- und Lieferverträge.
Häufige Fragen zum Data Act
Gilt der Data Act auch für Produkte, die vor September 2025 verkauft wurden?
Die Zugangsrechte nach Art. 4 und 5 knüpfen nicht an das Verkaufsdatum an. Nur die Design-Pflicht des Art. 3 Abs. 1 gilt allein für Produkte, die nach dem 12. September 2026 in Verkehr gebracht werden.
Darf der Hersteller für die Datenherausgabe Geld verlangen?
Gegenüber dem Nutzer nicht. Gegenüber Dritten ist eine angemessene Gegenleistung erlaubt, bei KMU begrenzt auf die Kosten der Bereitstellung.
Müssen bestehende Cloud-Verträge angepasst werden?
Ja. Die Wechselpflichten des Kapitels VI gelten seit dem 12. September 2025 grundsätzlich auch für laufende Verträge. Ab dem 12. Januar 2027 sind Wechselentgelte unzulässig.
Was droht bei Verstößen?
Bußgelder der Bundesnetzagentur nach dem DADG, bei personenbezogenen Daten Sanktionen nach der DSGVO sowie zivilrechtliche Ansprüche von Nutzern und Wettbewerbern.
Verwandte Themen
Ihr Ansprechpartner
Sie möchten wissen, welche Pflichten aus dem Data Act Ihre Produkte, Dienste oder Verträge betreffen? Rufen Sie uns an unter 0511 35 73 56-0 oder schreiben Sie an info@itrechtler.de.