EU Data Act: Pflichten für Unternehmen

Der EU Data Act (Verordnung (EU) 2023/2854) ist ein Datengesetz, das den Zugang zu und die Nutzung von Daten vernetzter Produkte fair regelt. Er gilt seit dem 12. September 2025 unmittelbar in der gesamten EU. Nutzer erhalten Rechte an ihren Produktdaten, der Wechsel zwischen Cloud-Anbietern wird erleichtert, und unfaire Datenvertragsklauseln werden verboten. Betroffen sind vor allem Hersteller, Händler und Cloud-Anbieter.

Hinweis: Dieser Beitrag ist allgemeine Information und ersetzt keine Rechtsberatung. Der Data Act gilt unmittelbar, die deutsche Durchführung (DA-DG) und einzelne Fristen sind teils noch in Bewegung. Maßgeblich ist immer der aktuelle Verordnungstext sowie die Hinweise der zuständigen Behörden. Stand: Juli 2026.

1. Was ist der EU Data Act?

Der Data Act, offiziell Verordnung (EU) 2023/2854 über harmonisierte Vorschriften für einen fairen Datenzugang und eine faire Datennutzung, ist ein zentrales Datengesetz der EU. Er beantwortet eine einfache Frage mit großer Wirkung: Wem gehören die Daten, die vernetzte Produkte erzeugen — und wer darf sie nutzen? Bislang lagen diese Daten meist allein beim Hersteller (Quelle: EUR-Lex).

Der Data Act verschiebt dieses Gleichgewicht. Nutzer sollen ihre eigenen Nutzungsdaten leichter erhalten und an Dritte weitergeben können. Anders als die DSGVO geht es nicht nur um personenbezogene Daten, sondern ausdrücklich auch um technische Maschinen- und Industriedaten. Die Verordnung ergänzt den Datenschutz, ersetzt ihn aber nicht.

2. Ab wann gilt der EU Data Act? (Fristen)

Der Data Act ist am 11. Januar 2024 in Kraft getreten und gilt seit dem 12. September 2025 unmittelbar in allen Mitgliedstaaten. Ein nationales Umsetzungsgesetz ist dafür nicht nötig — eine Verordnung wirkt direkt. Einzelne Pflichten sind jedoch bewusst gestaffelt, damit Unternehmen Zeit für die technische Umstellung haben (Quelle: EU-Kommission).

Für die Praxis am wichtigsten: Die Zugang-durch-Design-Pflicht gilt nicht rückwirkend für alle Geräte, sondern für vernetzte Produkte, die nach dem 12. September 2026 erstmals in Verkehr gebracht werden. Wer neue Produkte plant, sollte den Datenzugang also jetzt einplanen.

3. Für wen gilt der EU Data Act?

Der Data Act betrifft nicht nur große Tech-Konzerne. Sobald ein Produkt Daten erzeugt und mit dem Internet oder einem Dienst verbunden ist, fällt es in den Anwendungsbereich. Das reicht von der Industriemaschine über das vernetzte Fahrzeug bis zum smarten Haushaltsgerät. Diese Rollen sind typischerweise betroffen (Quelle: EU-Kommission, IT-Recht-Kanzlei):

• Hersteller vernetzter Produkte — Maschinen, Fahrzeuge, Geräte und andere IoT-Produkte, die Nutzungsdaten erzeugen.
• Anbieter verbundener Dienste — Apps oder Cloud-Dienste, die den Betrieb eines vernetzten Produkts steuern oder ergänzen.
• Händler vernetzter Produkte — sie treffen vorvertragliche Informationspflichten gegenüber Käufern.
• Anbieter von Datenverarbeitungsdiensten — Cloud- und Edge-Dienste, für die neue Wechselpflichten gelten.
• Datennutzende Unternehmen — Werkstätten, Dienstleister und Wettbewerber, die neue Zugangsrechte zu Produktdaten erhalten.

Reine Software ohne Bezug zu einem physischen Produkt ist in der Regel nicht erfasst. Auch kleine und mittlere Unternehmen genießen teils Erleichterungen. Ob Sie konkret betroffen sind, hängt von Ihrer Rolle in der Datenkette ab — im Zweifel lohnt eine kurze Prüfung.

4. Datenrechte bei vernetzten Produkten (IoT)

Das Herzstück des Data Act ist das Prinzip „Zugang durch Design". Hersteller müssen ihre vernetzten Produkte so gestalten, dass Nutzer die erzeugten Daten leicht, sicher und in einem gängigen, maschinenlesbaren Format erhalten — und auf Wunsch an Dritte weitergeben können. Ist ein direkter Zugang technisch nicht möglich, greift eine Bereitstellungspflicht auf Anfrage (Quelle: Art. 3 Data Act).

Ein Beispiel: Der Betreiber einer vernetzten Maschine kann künftig verlangen, die Betriebsdaten an eine unabhängige Werkstatt weiterzugeben — statt allein an den Hersteller gebunden zu sein. Das schafft Wettbewerb bei Wartung und Analyse. Geschäftsgeheimnisse bleiben dabei geschützt; sie dürfen nur unter Auflagen offengelegt werden. Diese Balance sauber umzusetzen, ist die eigentliche technische Aufgabe.

Quellen: Verordnung (EU) 2023/2854 (EUR-Lex), EU-Kommission (digital-strategy), IT-Recht-Kanzlei; deutsche Durchführung (DA-DG) laut BMWE, Stand Juli 2026 — Angaben ohne Gewähr. Alle Belege im Abschnitt Quellen & offizielle Informationen.

5. Cloud-Wechsel und faire Vertragsklauseln

Der Data Act will auch den Lock-in-Effekt bei Cloud-Diensten aufbrechen. Anbieter von Datenverarbeitungsdiensten müssen den Wechsel zu einem anderen Anbieter oder zurück ins eigene Rechenzentrum aktiv unterstützen und dürfen keine unangemessenen Hürden aufbauen. Wechselentgelte werden abgebaut und sind ab dem 12. Januar 2027 vollständig verboten — bis dahin sind nur noch kostenbasierte, reduzierte Entgelte zulässig (Quelle: Bundesnetzagentur).

Ergänzend verbietet der Data Act unfaire Vertragsklauseln beim Datenaustausch zwischen Unternehmen. Klauseln, die einseitig zulasten der schwächeren Partei gehen und einer Missbrauchskontrolle nicht standhalten, sind unwirksam. Wer Verträge über Datenzugang, Hosting oder SaaS nutzt, sollte diese darauf prüfen lassen — hier besteht bei Bestandsverträgen oft Anpassungsbedarf.

6. Informationspflichten für Händler vernetzter Produkte

Auch wer vernetzte Produkte nur verkauft, ist betroffen. Nach Artikel 3 Absatz 2 und 3 müssen Verkäufer ihre Käufer bereits vor Vertragsschluss klar und verständlich informieren. Diese Angaben gehören sichtbar in die Produktbeschreibung — nicht versteckt in ein separates PDF oder eine Beilage (Quelle: IT-Recht-Kanzlei). Vor dem Kauf offenzulegen sind unter anderem:

• Art, Format und geschätzter Umfang der erzeugten Produktdaten.
• Ob das Produkt Daten fortlaufend und in Echtzeit erzeugt.
• Ob Daten lokal oder auf entfernten Servern gespeichert werden — und wie lange.
• Wie Nutzer auf die Daten zugreifen, sie abrufen oder löschen können, samt technischer Voraussetzungen.

Für Online-Händler heißt das konkret: Die Produktdatenpflege wird umfangreicher. Wer diese Angaben zentral als Attribute führt und automatisiert in den Shop ausspielt, spart sich manuelle Doppelpflege — genau hier setzt eine saubere Datenhaltung an.

7. Data Act technisch umsetzen — pragmatisch, nicht panisch

Die größte Hürde ist selten die Rechtslage, sondern die technische Realität: Daten liegen verstreut in Geräten, Portalen und Datenbanken, ohne definierten Zugangsweg nach außen. Mit über 20 Jahren E-Commerce-Erfahrung bauen wir genau solche Zugänge — als saubere, abgesicherte Schnittstelle statt als Notlösung. So gehen Sie vor:

Praktisch heißt das: Statt Daten manuell zu exportieren, stellen Sie sie per individueller Datenintegration über eine dokumentierte, abgesicherte Schnittstelle bereit — mit klaren Berechtigungen und Protokollierung. Produkt- und Attributdaten für die Informationspflicht halten Sie zentral in einem PIM-System aktuell. So wird aus einer Pflicht ein sauber wartbarer Prozess.

8. Fazit: So bereiten Sie sich vor

Der EU Data Act ist keine Panikfrist, aber ein klarer Auftrag: Wer vernetzte Produkte herstellt, verkauft oder Cloud-Dienste betreibt, muss Datenzugänge künftig sauber gestalten. Die Kette ist strukturierbar — Datenbestand kartieren, Zugangswege definieren, Berechtigungen trennen, Informationspflichten einbauen und Cloud-Portabilität prüfen. Wer früh anfängt, hat Zeit für saubere Lösungen statt hektischer Nachbesserung.

Wir helfen Ihnen, die Data-Act-Anforderungen mit einer individuellen Datenintegration technisch umzusetzen — von der API bis zur Berechtigungslogik. Wie sich solche Pflichten in eine größere Strategie einfügen, zeigt unser Leitfaden zur Digitalisierung im Mittelstand. Eine weitere Sorgfaltspflicht mit Datenbezug behandeln wir im Artikel zum Lieferkettengesetz. Wer die IoT-Datenzugänge absichert, sollte parallel die IT-Sicherheit im Mittelstand im Blick behalten.

Hinweis: Dieser Artikel ist allgemeine Information und ersetzt keine Rechtsberatung. Die genannten Fristen, Artikel und Angaben zur deutschen Durchführung (DA-DG) entsprechen dem Stand Juli 2026 und können sich ändern. Für Ihren konkreten Fall ziehen Sie bitte den aktuellen Verordnungstext, die Hinweise der Bundesnetzagentur oder eine fachkundige Rechtsberatung heran.

9. Häufige Fragen zum EU Data Act

Was ist der EU Data Act?

Der EU Data Act ist die Verordnung (EU) 2023/2854 über faire Regeln für den Datenzugang und die Datennutzung. Sie regelt, wer auf die Daten vernetzter Produkte und verbundener Dienste zugreifen darf, erleichtert den Wechsel zwischen Cloud-Anbietern und verbietet unfaire Datenvertragsklauseln. Ziel ist ein fairer Datenmarkt in der EU (Quelle: EUR-Lex, EU-Kommission).

Ab wann gilt der EU Data Act?

Der Data Act ist am 11. Januar 2024 in Kraft getreten und gilt seit dem 12. September 2025 unmittelbar in der gesamten EU. Einzelne Pflichten greifen gestaffelt: Die Zugang-durch-Design-Pflicht betrifft vernetzte Produkte, die nach dem 12. September 2026 auf den Markt kommen. Cloud-Wechselentgelte entfallen ab dem 12. Januar 2027 (Quelle: EU-Kommission, EUR-Lex).

Für wen gilt der EU Data Act?

Betroffen sind vor allem Hersteller und Anbieter vernetzter Produkte (IoT), Anbieter verbundener Dienste sowie Cloud- und Datenverarbeitungsdienste. Auch Händler solcher Produkte trifft eine vorvertragliche Informationspflicht. Datengetriebene Unternehmen erhalten neue Zugangsrechte. Reine Software ohne Produktbezug ist meist nicht erfasst (Quelle: EU-Kommission, IT-Recht-Kanzlei).

Welche Pflichten haben Hersteller vernetzter Produkte?

Hersteller müssen ihre Produkte so gestalten, dass Nutzer die erzeugten Daten leicht, sicher und in einem gängigen Format erhalten und an Dritte weitergeben können — das Prinzip „Zugang durch Design". Diese Design-Pflicht gilt für Produkte, die nach dem 12. September 2026 in Verkehr gebracht werden. Wo Daten nicht direkt zugänglich sind, gilt eine Bereitstellungspflicht auf Anfrage (Quelle: EU-Kommission, Art. 3 Data Act).

Welche Informationspflichten haben Händler beim Data Act?

Verkäufer vernetzter Produkte müssen Käufer vor Vertragsschluss klar informieren — etwa über Art, Format und Umfang der Daten, ob sie fortlaufend erzeugt werden, wo sie gespeichert sind und wie Nutzer darauf zugreifen. Diese Angaben gehören sichtbar in die Produktbeschreibung, nicht in ein separates PDF (Quelle: IT-Recht-Kanzlei, Art. 3 Abs. 2 und 3).

Was ändert der Data Act beim Cloud-Wechsel?

Anbieter von Datenverarbeitungsdiensten müssen den Wechsel zu einem anderen Anbieter oder zurück ins eigene Rechenzentrum aktiv unterstützen und dürfen den Kunden nicht technisch einsperren. Wechselentgelte werden schrittweise abgebaut und sind ab dem 12. Januar 2027 vollständig verboten. Verträge müssen klare Kündigungs- und Übertragungsfristen enthalten (Quelle: EUR-Lex, Bundesnetzagentur).

Wer überwacht den Data Act in Deutschland?

Da der Data Act unmittelbar gilt, braucht es nur ergänzende nationale Regeln. Der Entwurf des Data Act-Durchführungsgesetzes (DA-DG) sieht die Bundesnetzagentur als zuständige Aufsichtsbehörde vor. Der Entwurf war Anfang 2025 noch in der Abstimmung; den finalen Stand und mögliche Bußgeldregeln prüfen Sie bitte aktuell (Quelle: BMWE, Stand Juli 2026).

10. Quellen & offizielle Informationen

Die Angaben in diesem Beitrag stützen sich auf folgende offizielle und fachliche Quellen (Stand Juli 2026). Externe Links öffnen in einem neuen Tab.

• Verordnung (EU) 2023/2854 (Data Act) — EUR-Lex — amtlicher Verordnungstext, deutsche Fassung.
• Data Act — Europäische Kommission (digital-strategy) — Überblick, Ziele und Anwendungsdatum (12. September 2025).
• Bundesnetzagentur — Datenverarbeitungsdienste und Anbieterwechsel — Pflichten beim Cloud-Wechsel.
• IT-Recht-Kanzlei — Informationspflichten für Händler vernetzter Produkte — vorvertragliche Angaben nach Art. 3 Abs. 2/3.
• BMWE — Data Act-Durchführungsgesetz (DA-DG) — nationale Durchführung, zuständige Behörde (Stand: Entwurf 2025).