Eine Maschine ist gekauft, ihre Betriebsdaten bleiben beim Hersteller. Ein Cloud-Dienst soll gewechselt werden, doch der Datenexport wird zum eigenen Projekt. Solche Situationen kennen viele Unternehmen. Der Data Act soll dafür sorgen, dass technische Abhängigkeiten nicht automatisch zu dauerhaften Geschäftsbeziehungen werden.
Die europäische Datenverordnung gilt grundsätzlich seit dem 12. September 2025. Im September 2026 kommt eine wichtige Anforderung an die Gestaltung vernetzter Produkte hinzu. Für Unternehmen ist deshalb entscheidend: Welche Daten können sie verlangen, welche müssen sie bereitstellen und wo bleiben rechtliche Grenzen bestehen?
Rechtsstand: 11. September 2026.
Der Data Act ist die europäische Verordnung über einen fairen Datenzugang und eine faire Datennutzung. Er regelt unter anderem, wie Nutzer auf Daten vernetzter Produkte zugreifen und sie mit anderen Unternehmen teilen können. Außerdem soll er den Wechsel zwischen Cloud-Diensten erleichtern und Unternehmen vor bestimmten missbräuchlichen Datenvertragsklauseln schützen.
Dabei geht es nicht um einen allgemeinen Anspruch auf sämtliche Daten eines Unternehmens. Die jeweiligen Rechte und Pflichten hängen davon ab, welche Produkte, Dienste und Daten betroffen sind und welche Rolle das Unternehmen einnimmt.
Der Data Act betrifft nicht nur Technologieanbieter. Ein Maschinenbauunternehmen kann als Hersteller Pflichten haben und gleichzeitig als Nutzer fremder Produktionsanlagen von Zugangsrechten profitieren.
Besonders relevant ist die Verordnung für Hersteller vernetzter Produkte, Anbieter damit verbundener Dienste sowie Unternehmen, die solche Produkte kaufen, mieten oder leasen. Dazu gehören beispielsweise vernetzte Industriemaschinen, Fahrzeuge oder intelligente Energieanlagen. Hinzu kommen Anbieter und Kunden von Datenverarbeitungsdiensten, insbesondere Cloud-Diensten.
Für Kleinstunternehmen und kleine Unternehmen bestehen bei den produktbezogenen Pflichten unter bestimmten Voraussetzungen Ausnahmen. Eine pauschale Befreiung des Mittelstands gibt es jedoch nicht. Auch gelten diese Ausnahmen nicht automatisch für die Cloud-Regelungen. Entscheidend ist eine Prüfung der jeweiligen Tätigkeit und Unternehmensstruktur.
Für die betriebliche Planung sind drei Zeitpunkte besonders wichtig:
Der Stichtag im September 2026 ist somit nicht der allgemeine Start des Data Act. Er betrifft eine bestimmte Produktanforderung. Daraus folgt auch keine pauschale Pflicht, sämtliche älteren Geräte technisch nachzurüsten.
Die im Rahmen des Digital Omnibus vorgeschlagenen Änderungen befinden sich zum genannten Rechtsstand noch im Gesetzgebungsverfahren. Sie sind keine bereits geltende Entlastung.
Im Mittelpunkt stehen Produktdaten und Daten verbundener Dienste, etwa Messwerte zu Temperatur, Druck, Energieverbrauch oder Betriebszuständen. Erfasst sein können auch Metadaten, die notwendig sind, um diese Werte sinnvoll zu verstehen.
Kann der Nutzer nicht unmittelbar zugreifen, muss der Dateninhaber die erfassten, ohne Weiteres verfügbaren Daten unter den gesetzlichen Voraussetzungen bereitstellen. Für den Nutzer ist dieser Zugang unentgeltlich. Zusätzlich kann er verlangen, dass Daten einem ausgewählten Dritten zur Verfügung gestellt werden.
Ein Beispiel: Ein Produktionsbetrieb möchte die Zustandsdaten seiner vernetzten Maschine einem unabhängigen Wartungsunternehmen zugänglich machen. Dieses soll Verschleiß früher erkennen und Stillstände vermeiden. Der Data Act kann dafür einen Zugangsweg eröffnen.
Das bedeutet allerdings nicht, dass auch jede zusätzlich entwickelte Analyse oder Prognose des Herstellers herauszugeben wäre. Ebenso ist zwischen dem kostenlosen Nutzerzugang und einer möglichen Vergütung bei der Bereitstellung an einen gewerblichen Datenempfänger zu unterscheiden.
Für betroffene Anbieter beginnt die Umsetzung bei einer scheinbar einfachen Frage: Welche Daten entstehen überhaupt, und wer kann sie abrufen?
Bei den von der Gestaltungspflicht erfassten Produkten und Diensten müssen die relevanten Daten standardmäßig einfach, sicher und unentgeltlich in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format zugänglich sein. Ein direkter Zugang ist vorgesehen, soweit dies relevant und technisch durchführbar ist.
Daneben bestehen vorvertragliche Informationspflichten. Nutzer müssen beispielsweise erfahren, welche Daten entstehen, wo sie gespeichert werden und wie der Zugriff funktioniert. Diese Informationspflichten beginnen nicht erst mit dem Produktstichtag 2026.
Für die Praxis bedeutet das: Produktentwicklung, Vertrieb, IT und Rechtsabteilung sollten gemeinsam an Schnittstellen, Produktinformationen und Bereitstellungsprozessen arbeiten. Ein Exportknopf hilft wenig, wenn niemand erklären kann, was er exportiert.
Der Data Act ersetzt die DSGVO nicht. Personenbezogene Daten bleiben geschützt; im Konfliktfall geht das Datenschutzrecht vor.
Das wird beispielsweise bei vernetzten Firmenfahrzeugen relevant. Technische Fahrzeugdaten können zugleich Rückschlüsse auf Beschäftigte und deren Verhalten ermöglichen. Ist das Unternehmen als anfragender Nutzer nicht selbst die betroffene Person, braucht die Bereitstellung personenbezogener Daten eine geeignete datenschutzrechtliche Grundlage. Der Data Act erteilt dafür keine pauschale Freigabe.
Auch Geschäftsgeheimnisse bleiben geschützt. Sie rechtfertigen allerdings nicht automatisch eine vollständige Ablehnung jedes Datenzugangs. Je nach Fall müssen vertrauliche Daten identifiziert und angemessene Schutzmaßnahmen vereinbart werden, etwa Zugriffsbeschränkungen und Vertraulichkeitsregelungen. Eine Zurückhaltung oder Verweigerung kommt nur unter den gesetzlichen Voraussetzungen in Betracht.
Datenzugang und Schutzbedarf gehören deshalb in denselben Prozess, nicht in zwei voneinander unabhängige E-Mail-Verläufe.
Der Data Act verpflichtet erfasste Anbieter von Datenverarbeitungsdiensten, bestimmte vertragliche, technische und organisatorische Wechselhindernisse zu beseitigen. Davon können Infrastruktur-, Plattform- und Softwaredienste betroffen sein. Nicht jede digitale Dienstleistung fällt jedoch automatisch darunter; außerdem bestehen besondere Ausnahmen.
Für Kunden sollten Verträge nachvollziehbar regeln, welche Daten exportiert werden können, wie der Wechsel abläuft und welche Unterstützung der Anbieter leistet. Die Vorgaben betreffen grundsätzlich auch bestehende Cloud-Verträge.
Bis zur Abschaffung der Wechselentgelte im Januar 2027 dürfen entsprechende Entgelte die unmittelbar wechselbezogenen Kosten des Anbieters nicht übersteigen. Danach entfallen diese Wechselentgelte. Das macht aber nicht das gesamte Migrationsprojekt kostenlos: Eigener IT-Aufwand, Leistungen eines neuen Dienstleisters sowie gesondert zu prüfende Entgelte bei vorzeitiger Vertragsbeendigung sind davon zu unterscheiden.
Neben Produkt- und Cloud-Verträgen verdienen Vereinbarungen über Datenzugang und Datennutzung Aufmerksamkeit. Bestimmte missbräuchliche Klauseln, die ein Unternehmen einem anderen einseitig auferlegt, sind für das benachteiligte Unternehmen nicht bindend.
Diese Regelung gilt zunächst für Verträge, die nach dem 12. September 2025 geschlossen wurden. Für bestimmte ältere Langzeitverträge greift sie ab September 2027. Nicht jede ungünstige Klausel ist deshalb automatisch unwirksam. Eine gezielte Prüfung von Nutzungsrechten, Haftung und Datenzugang bei Vertragsende ist jedoch sinnvoll.
Für einen strukturierten Einstieg sollten Unternehmen:
K11 Consulting unterstützt Unternehmen dabei, regulatorische Anforderungen mit funktionierenden betrieblichen Abläufen zu verbinden. Besonders bei personenbezogenen Produktdaten lässt sich die Umsetzung mit einem bestehenden Datenschutzmanagement verzahnen.
Der Data Act stärkt die Möglichkeiten von Unternehmen, Produktdaten zu nutzen und digitale Anbieter zu wechseln. Gleichzeitig verlangt er von betroffenen Anbietern nachvollziehbare Informationen, geeignete Prozesse und technische Zugänglichkeit.
Der sinnvolle Einstieg ist deshalb keine allgemeine Datensammlung, sondern eine konkrete Bestandsaufnahme: Welche Rechte können wir nutzen, welche Pflichten müssen wir erfüllen und wer kümmert sich darum? Erst daraus wird aus einem gesetzlichen Anspruch ein praktisch nutzbarer Zugang.