Die Data Act Pflichten sind seit dem 12. September 2026 für Hersteller vernetzter Produkte keine Zukunftsmusik mehr. Seit diesem Stichtag müssen neu in Verkehr gebrachte Maschinen, Geräte und Fahrzeuge so gestaltet sein, dass Nutzerinnen und Nutzer einfach auf die erzeugten Daten zugreifen können. Wer das ignoriert, riskiert Bußgelder und Streit mit Kunden.
Die EU-Datenverordnung, offiziell Verordnung (EU) 2023/2854, verschiebt die Machtverhältnisse rund um Gerätedaten. Bisher entschied meist der Hersteller, wer welche Daten sieht. Künftig hat der Nutzer ein durchsetzbares Recht auf Zugang und Weitergabe.
Dieser Beitrag zeigt dir, welche Pflichten konkret gelten, welche Fristen du kennen musst und wie du die Umsetzung im Unternehmen organisierst. Bei Vertragsgestaltung und Geschäftsgeheimnissen solltest du rechtliche Beratung einbeziehen.
Inhaltsverzeichnis
Was sind die Data Act Pflichten?
Die Data Act Pflichten verlangen von Herstellern vernetzter Produkte und Anbietern verbundener Dienste, dass Nutzer die bei der Nutzung erzeugten Daten einfach, sicher, unentgeltlich und in einem gängigen, maschinenlesbaren Format erhalten. Dazu kommen Informationspflichten vor Vertragsschluss, Regeln zur Weitergabe an Dritte, faire Vertragsbedingungen und Vorgaben für den Wechsel von Cloud-Diensten.
Der Data Act gilt seit dem 12. September 2025 in allen Mitgliedstaaten. Er betrifft nicht nur klassische Industrie, sondern alle, die Produkte mit Datenschnittstelle verkaufen oder vermieten: vom Traktor über die Kaffeemaschine im Büro bis zum vernetzten Medizingerät.
Wichtig ist die Abgrenzung: Der Data Act regelt den Zugang zu Daten. Er ersetzt nicht die DSGVO. Sobald personenbezogene Daten betroffen sind, gelten die Datenschutzregeln weiter vorrangig.
Die wichtigsten Fristen im Überblick
Die Verordnung ist gestaffelt in Kraft getreten. Für die Planung im Unternehmen sind vier Daten entscheidend, die du kennen solltest.
- 12. September 2025: allgemeiner Geltungsbeginn. Seither gelten unter anderem die Zugangsrechte der Nutzer, die Regeln zur Datenweitergabe und die Vorgaben zu unfairen Vertragsklauseln für neue Verträge.
- 12. September 2026: Die Pflicht zum Datenzugang durch Design gilt für vernetzte Produkte und verbundene Dienste, die nach diesem Datum in Verkehr gebracht werden.
- 12. Januar 2027: Anbieter von Cloud- und anderen Datenverarbeitungsdiensten dürfen grundsätzlich keine Wechselentgelte mehr verlangen.
- 12. September 2027: Die Regeln zu unfairen Klauseln erfassen auch ältere Verträge, die unbefristet sind oder frühestens zehn Jahre nach dem 11. Januar 2024 auslaufen.
Den vollständigen Verordnungstext findest du bei EUR-Lex. Für die Data Act Pflichten in Deutschland ist zudem das nationale Durchführungsgesetz relevant, dazu weiter unten mehr.
Data Act Pflichten für Hersteller vernetzter Produkte
Im Zentrum stehen Hersteller und Anbieter verbundener Dienste, im Data Act als Dateninhaber bezeichnet. Ihre Aufgaben lassen sich in vier Blöcke gliedern.
1. Datenzugang durch Design
Vernetzte Produkte, die seit dem 12. September 2026 auf den Markt kommen, müssen so konstruiert sein, dass Produktdaten und Daten verbundener Dienste für den Nutzer standardmäßig zugänglich sind. Wo es technisch machbar ist, soll der Zugriff direkt über das Produkt oder eine Schnittstelle möglich sein. Das ist eine Designpflicht, die schon in der Entwicklung ansetzen muss.
2. Informationspflichten vor Vertragsschluss
Bevor ein Kunde ein vernetztes Produkt kauft, mietet oder least, muss er wissen, welche Daten entstehen. Dazu gehören Art, Format und geschätzter Umfang der Daten, ob sie kontinuierlich oder in Echtzeit erzeugt werden, wo sie gespeichert werden und wie der Nutzer darauf zugreifen kann. Diese Informationen gehören in Produktdokumentation, Angebote und Verträge.
3. Zugang auf Anfrage
Kann der Nutzer nicht direkt zugreifen, muss der Dateninhaber die Daten auf Anfrage unverzüglich bereitstellen. Das gilt einschließlich der Metadaten, die zum Verständnis nötig sind, in gleicher Qualität wie für den Hersteller selbst und für den Nutzer kostenlos.
4. Eigene Datennutzung nur mit Vertrag
Ein oft übersehener Punkt: Der Hersteller darf Produktdaten, die keine personenbezogenen Daten sind, nur auf Grundlage eines Vertrags mit dem Nutzer verwenden. Auch die Weitergabe solcher Daten an Dritte zu kommerziellen Zwecken setzt eine vertragliche Grundlage voraus. Für Geschäftsmodelle, die auf der Auswertung von Gerätedaten basieren, ist das eine wichtige Weichenstellung.
Welche Daten erfasst sind
Die Data Act Pflichten beziehen sich auf Produktdaten und Daten verbundener Dienste, die bei der Nutzung entstehen. Gemeint sind vor allem Roh- und vorverarbeitete Daten, etwa Sensorwerte, Betriebszustände oder Fehlermeldungen, samt der Metadaten, die zu ihrer Auswertung nötig sind. Nicht erfasst sind Informationen, die der Hersteller daraus mit erheblichem eigenem Aufwand abgeleitet hat, etwa komplexe Analysen oder Prognosen.
Diese Abgrenzung ist für die Praxis zentral. Kläre früh, welche Datenpunkte deiner Produkte als Rohdaten gelten und welche bereits eigene Wertschöpfung darstellen. Davon hängt ab, was du herausgeben musst und was du als Zusatzleistung anbieten kannst.
Weitergabe an Dritte und faire Bedingungen
Der Nutzer kann verlangen, dass seine Daten an einen Dritten seiner Wahl weitergegeben werden, etwa an einen unabhängigen Wartungsdienstleister. Das öffnet Märkte für Reparatur, Service und datenbasierte Zusatzangebote, die bisher oft dem Hersteller vorbehalten waren.
Für die Bereitstellung an Dritte darf der Dateninhaber eine angemessene Gegenleistung verlangen. Die Bedingungen müssen fair, angemessen und nichtdiskriminierend sein. Ist der Empfänger ein kleines oder mittleres Unternehmen, darf die Gegenleistung die Kosten der Bereitstellung nicht übersteigen.
Es gibt Schutzmechanismen für Hersteller. Nutzer und Dritte dürfen die Daten nicht verwenden, um ein konkurrierendes vernetztes Produkt zu entwickeln. Sehr große Plattformunternehmen, die nach dem Digital Markets Act als Torwächter benannt sind, können nicht als Datenempfänger auftreten.
Geschäftsgeheimnisse schützen
Viele Hersteller fürchten, mit den Rohdaten auch Know-how preiszugeben. Der Data Act erlaubt deshalb, vor der Weitergabe Schutzmaßnahmen zu vereinbaren, etwa Vertraulichkeitsvereinbarungen oder technische Zugriffsbeschränkungen. In Ausnahmefällen, wenn trotz solcher Maßnahmen ein schwerer wirtschaftlicher Schaden wahrscheinlich ist, darf der Dateninhaber die Herausgabe verweigern. Diese Entscheidung muss er begründen und der zuständigen Behörde mitteilen.
Faire Verträge und Cloud-Wechsel
Die Data Act Pflichten reichen über Gerätedaten hinaus. Zwei weitere Bereiche betreffen viele Unternehmen, auch wenn sie selbst keine vernetzten Produkte herstellen.
Unfaire Vertragsklauseln
Klauseln zu Datenzugang und Datennutzung, die ein Unternehmen einem anderen einseitig auferlegt, sind unwirksam, wenn sie missbräuchlich sind. Der Data Act nennt Beispiele, etwa einen unangemessenen Haftungsausschluss oder das Recht, die Daten der anderen Seite unangemessen zu nutzen. Prüfe deine Standardverträge und AGB auf solche Klauseln, bevor die Regeln im September 2027 auch für Altverträge gelten.
Wechsel von Cloud-Diensten
Anbieter von Cloud- und anderen Datenverarbeitungsdiensten müssen ihren Kunden den Wechsel zu einem anderen Anbieter erleichtern. Dazu gehören Kündigungsfristen von höchstens zwei Monaten, eine Übergangsphase von regulär 30 Tagen und der schrittweise Wegfall der Wechselentgelte bis zum 12. Januar 2027. Für Anwenderunternehmen ist das ein Verhandlungsargument gegen Lock-in-Effekte.
Ausnahmen für kleine Unternehmen
Nicht jedes Unternehmen trägt die volle Last. Die Data Act Pflichten zum Datenzugang gelten grundsätzlich nicht für Daten aus Produkten oder Diensten von Kleinst- und Kleinunternehmen, sofern diese nicht mit größeren Unternehmen verbunden sind. Für mittlere Unternehmen gibt es eng begrenzte, zeitlich befristete Erleichterungen.
Diese Ausnahme betrifft allerdings nur die Rolle als Dateninhaber. Als Nutzer profitieren auch kleine Unternehmen von den Zugangsrechten, etwa wenn sie Maschinen anderer Hersteller betreiben. Gerade im Mittelstand kann das neue Spielräume für eigene Datenanalysen eröffnen.
Durchsetzung in Deutschland und Ausblick
Ende Mai 2026 ist das deutsche Durchführungsgesetz zum Data Act in Kraft getreten. Es benennt die Bundesnetzagentur als zentrale zuständige Behörde. Für datenschutzrechtliche Fragen arbeitet sie mit der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit zusammen. Das Gesetz sieht gestaffelte Bußgelder vor, die sich nach Unternehmensgröße und Art des Verstoßes richten.
Die Bundesnetzagentur genehmigt außerdem Streitbeilegungsstellen, an die sich Nutzer, Dateninhaber und Datenempfänger wenden können. Sie bietet Informationsveranstaltungen für Unternehmen an. Ein Blick in diese Angebote lohnt sich, um die Auslegung der Behörde früh zu kennen.
Gleichzeitig ist der Rechtsrahmen in Bewegung. Die EU-Kommission hat im November 2025 mit dem Digital Omnibus Änderungen am Data Act vorgeschlagen, unter anderem zu Geschäftsgeheimnissen, zum Datenzugang öffentlicher Stellen und zu Erleichterungen beim Cloud-Wechsel. Stand Oktober 2026 läuft das Gesetzgebungsverfahren noch, Änderungen an einzelnen Data Act Pflichten sind also möglich.
In 7 Schritten die Data Act Pflichten umsetzen
Die Umsetzung berührt Entwicklung, Vertrieb, Recht und IT gleichermaßen. Ein strukturiertes Vorgehen hilft, nichts zu übersehen.
- Produktportfolio inventarisieren: Erfasse alle vernetzten Produkte und verbundenen Dienste und markiere, welche nach dem 12. September 2026 in Verkehr gebracht werden.
- Datenflüsse kartieren: Dokumentiere, welche Daten jedes Produkt erzeugt, wo sie gespeichert werden und wer heute Zugriff hat.
- Zugangsweg festlegen: Entscheide, ob Nutzer direkt am Produkt, über ein Kundenportal oder über eine Schnittstelle zugreifen.
- Informationspflichten erfüllen: Ergänze Produktdatenblätter, Angebote und Verträge um die vorgeschriebenen Angaben.
- Verträge anpassen: Schließe Datennutzungsverträge mit Kunden, wenn du die Daten selbst auswerten willst, und prüfe AGB auf unfaire Klauseln.
- Geschäftsgeheimnisse identifizieren: Lege fest, welche Daten Rückschlüsse auf Know-how erlauben, und definiere Schutzmaßnahmen.
- Prozess für Anfragen aufsetzen: Bestimme Zuständigkeiten, Fristen und Vorlagen für Zugangs- und Weitergabeanfragen von Nutzern und Dritten.
Viele dieser Schritte überschneiden sich mit anderen Regulierungsprojekten. Wer ohnehin an Meldeprozessen nach dem Cyber Resilience Act arbeitet, kann Produktinventar und Zuständigkeiten gemeinsam nutzen.
Typische Fehler bei der Umsetzung der Data Act Pflichten
In vielen Unternehmen laufen die Vorbereitungen, doch einige Muster tauchen immer wieder auf. Sie lassen sich vermeiden, wenn du sie kennst.
- Nur die Rechtsabteilung ist beteiligt: Die Data Act Pflichten betreffen Produktentwicklung, Firmware, Cloud-Plattform und Vertrieb. Ohne technische Verantwortliche bleibt die Umsetzung Papier.
- Bestehende Produktlinien werden vergessen: Auch ein Produkt, das als Modell schon länger existiert, fällt unter die Designpflicht, wenn einzelne Exemplare nach dem Stichtag neu in Verkehr gebracht werden. Kläre die Auslegung im Zweifel rechtlich.
- Datennutzung ohne Vertrag: Viele Hersteller werten Gerätedaten seit Jahren aus, ohne dass es dafür eine ausdrückliche vertragliche Grundlage mit dem Nutzer gibt. Das sollte nachgeholt werden.
- Kein Prozess für Anfragen: Wenn eine Zugangsanfrage beim Kundenservice landet und niemand zuständig ist, drohen Fristversäumnisse und Beschwerden.
Ein kurzer interner Workshop mit allen beteiligten Bereichen schafft oft mehr Klarheit als ein langes Gutachten. Er zeigt schnell, wo Verantwortlichkeiten fehlen und welche Data Act Pflichten noch offen sind.
Vom Pflichtprogramm zum Geschäftsmodell
Der Data Act wird häufig als Belastung wahrgenommen. Er kann aber auch neue Erlösquellen öffnen. Wer Daten ohnehin bereitstellen muss, kann sie mit Analysen, Benchmarks oder Wartungsprognosen veredeln und als Zusatzleistung anbieten.
Gerade Nutzungsmodelle profitieren davon. Wie Maschinenbauer mit datenbasierten Abrechnungsmodellen arbeiten, zeigt unser Beitrag zu Pay-per-Use im Maschinenbau. Und wie du den Wert deiner Daten überhaupt bemisst, erklärt unser Artikel zur Datenökonomie.
Entscheidend ist der Perspektivwechsel: Daten gehören nicht mehr automatisch dem, der das Gerät baut. Wer den Kunden einen echten Mehrwert für die Freigabe seiner Daten bietet, gewinnt Vertrauen und bleibt im Spiel.
Fazit: Data Act Pflichten als Chance begreifen
Die Data Act Pflichten sind seit September 2026 in vollem Umfang relevant für Hersteller vernetzter Produkte. Datenzugang durch Design, Informationspflichten, Zugang auf Anfrage und vertragliche Grundlagen für die eigene Datennutzung gehören jetzt zum Pflichtprogramm. Mit der Bundesnetzagentur gibt es in Deutschland eine Behörde, die die Einhaltung überwacht.
Wer jetzt Produkte, Datenflüsse und Verträge systematisch prüft, reduziert Haftungsrisiken und schafft Klarheit gegenüber Kunden. Behalte dabei die laufenden Änderungsvorschläge der EU im Blick.
Langfristig entscheidet nicht die Pflichterfüllung über den Erfolg, sondern das Angebot. Wer die Data Act Pflichten nutzt, um datenbasierte Services aufzubauen, verwandelt eine Regulierung in einen Wettbewerbsvorteil.
Häufige Fragen zu Data Act Pflichten
Was umfassen die Data Act Pflichten für Hersteller?
Die Data Act Pflichten verlangen von Herstellern vernetzter Produkte vor allem Datenzugang durch Design für Produkte, die seit dem 12. September 2026 in Verkehr gebracht werden. Hinzu kommen Informationspflichten vor Vertragsschluss, die kostenlose Bereitstellung von Daten auf Anfrage, die Weitergabe an Dritte auf Wunsch des Nutzers und ein Vertrag als Grundlage für die eigene Nutzung nicht personenbezogener Daten.
Wann gelten die Data Act Pflichten?
Der Data Act gilt seit dem 12. September 2025. Die Designpflicht für den Datenzugang betrifft vernetzte Produkte und verbundene Dienste, die nach dem 12. September 2026 in Verkehr gebracht werden. Wechselentgelte bei Cloud-Diensten entfallen ab dem 12. Januar 2027. Ab dem 12. September 2027 gelten die Regeln zu unfairen Klauseln auch für bestimmte ältere Verträge.
Welche Unternehmen sind von den Pflichten ausgenommen?
Kleinst- und Kleinunternehmen sind als Dateninhaber grundsätzlich von den Zugangspflichten ausgenommen, sofern sie nicht mit größeren Unternehmen verbunden sind. Für mittlere Unternehmen gibt es eng begrenzte Übergangserleichterungen. Als Nutzer vernetzter Produkte können aber auch kleine Unternehmen die Zugangsrechte des Data Act in Anspruch nehmen.
Wie schützt der Data Act Geschäftsgeheimnisse?
Dateninhaber können vor der Weitergabe Schutzmaßnahmen vereinbaren, etwa Vertraulichkeitsvereinbarungen oder technische Zugriffsbeschränkungen. Droht trotz solcher Maßnahmen ein schwerer wirtschaftlicher Schaden, dürfen sie die Herausgabe in Ausnahmefällen verweigern. Die Entscheidung müssen sie begründen und der zuständigen Behörde melden. In Deutschland ist das die Bundesnetzagentur.
Wer überwacht die Einhaltung in Deutschland?
Seit dem Inkrafttreten des deutschen Durchführungsgesetzes Ende Mai 2026 ist die Bundesnetzagentur die zentrale zuständige Behörde. Bei datenschutzrechtlichen Fragen arbeitet sie mit der Bundesbeauftragten für den Datenschutz zusammen. Die Bundesnetzagentur genehmigt außerdem Streitbeilegungsstellen. Verstöße können mit Bußgeldern geahndet werden, die nach Unternehmensgröße und Art des Verstoßes gestaffelt sind.
