Definition: EU Data Act (Datenverordnung)
Der EU Data Act (Verordnung (EU) 2023/2854) regelt, wer auf Daten vernetzter Produkte und zugehöriger Dienste zugreifen darf, legt Regeln für den Wechsel zwischen Cloud-Anbietern fest und schreibt faire Bedingungen für B2B-Datenteilungsverträge vor.
Kernmerkmale des EU Data Act
Der Data Act gilt branchenübergreifend für jedes Unternehmen, das vernetzte Geräte betreibt oder herstellt, und erfasst sowohl personenbezogene als auch nicht-personenbezogene Daten.
- Gibt Nutzern vernetzter Produkte (Maschinen, Fahrzeuge, Wearables) das Recht auf Zugang zu den erzeugten Daten, wo technisch möglich in Echtzeit
- Verpflichtet Dateninhaber, diese Daten Dritten nach Wahl des Nutzers zu fairen, angemessenen und diskriminierungsfreien (FRAND) Bedingungen bereitzustellen
- Verpflichtet Cloud- und SaaS-Anbieter, Wechselhürden abzubauen und Ausstiegsentgelte schrittweise abzuschaffen
- Legt Bedingungen fest, unter denen Behörden bei Notlagen Zugang zu privat gehaltenen Daten verlangen können
EU Data Act vs. DSGVO und EU-KI-Verordnung
Mittelständische Teams verwechseln den Data Act häufig mit der DSGVO und der EU-KI-Verordnung, doch alle drei regeln unterschiedliche Sachverhalte. Die DSGVO schützt die Rechte von Personen an ihren personenbezogenen Daten, die EU-KI-Verordnung klassifiziert KI-Systeme nach Risiko. Der Data Act regelt keines von beidem: Er bestimmt, wer Zugriff auf maschinengenerierte Daten vernetzter Produkte erhält, sodass ein Unternehmen DSGVO- und KI-Verordnungs-konform sein kann und trotzdem gegen seine Pflicht verstößt, die Daten der eigenen Kundenmaschine zu teilen.
Bedeutung des EU Data Act im Enterprise-KI-Umfeld
Vernetzte Produkte erzeugen die Betriebsdaten, die zunehmend als Grundlage für Enterprise-KI-Systeme dienen, sodass Zugangskontrolle mitbestimmt, was Teams bauen können, ein Teil der breiteren KI-Compliance-Arbeit. Gartner schätzt, dass bis 2027 über 30 Prozent neuer industrieller IoT-Verträge in der EU explizite Data-Act-Klauseln enthalten werden, gegenüber unter 5 Prozent im Jahr 2024.
Methoden und Verfahren für den EU Data Act
Compliance beginnt damit, zu wissen, wo Produktdaten entstehen und wer sie rechtlich hält.
Bestandsaufnahme der Dateninhaber und Vertragsprüfung
Unternehmen ermitteln zunächst, welche Produkte Daten erzeugen, wer in mehrstufigen Lieferketten als Dateninhaber gilt und wo Verträge keine FRAND-Klauseln enthalten.
- Jedes vernetzte Produkt den erzeugten Daten zuordnen
- Verträge auf fehlende Datenteilungsklauseln prüfen
- Verträge vor 2025 markieren, die aktualisierte Klauseln brauchen
Technisches Datenzugangsdesign
Dateninhaber bauen maschinenlesbare Exportwege, idealerweise APIs, über die Nutzer und ihre gewählten Dritten Daten direkt abrufen können, wobei Rohdaten des Produkts von proprietär abgeleiteten Daten getrennt werden, die nicht automatisch der gleichen Zugangspflicht unterliegen.
Cloud-Wechsel- und Datenresidenz-Vorbereitung
Intern genutzte Cloud-Anbieter müssen auf Lock-in geprüft werden, einschließlich proprietärer Formate und Ausstiegsentgelte, die bis Januar 2027 auf null sinken müssen. Wo Maschinendaten innerhalb der EU verbleiben müssen, überschneidet sich das mit Datenresidenz-Planung, da ein Anbieterwechsel oft auch bedeutet, dass sich der Speicherort der Daten ändert.
Wichtige Kennzahlen für den EU Data Act
Die Nachverfolgung der Compliance erfordert sowohl vertragliche als auch technische Kennzahlen.
Compliance-Betrieb
- Vernetzte Produkte mit zugeordnetem Dateninhaber: 100 Prozent
- Aktive B2B-Datenteilungsverträge auf FRAND-Konformität geprüft: 100 Prozent
- Cloud-Wechselentgelte: auf 0 Euro bis 12. Januar 2027 reduziert
- Datenzugangsanfragen in maschinenlesbarem Format erfüllt: 100 Prozent
Strategisches Risiko
Hersteller vernetzter Industrieausrüstung tragen das höchste Risiko: Das Fraunhofer ISI schätzt, dass über 60 Prozent der deutschen Mittelstandsmaschinenbauer bereits vernetzte Sensoren ohne formale Datenteilungsklauseln in Kundenverträgen ausliefern (Fraunhofer, 2025).
Datenqualität und Zugangszuverlässigkeit
Neben der rechtlichen Vorbereitung entscheidet die Qualität der Data Governance, ob Zugangsanfragen fristgerecht erfüllt werden können, da schlecht gepflegte Telemetriedaten aus einer Routineanfrage eine wochenlange technische Aufgabe machen.
Risikofaktoren und Kontrollen beim EU Data Act
Compliance-Risiken konzentrieren sich auf Vertragslücken und unklare Dateneigentümerschaft.
Ungeklärte Rolle des Dateninhabers
Viele mittelständische Lieferketten umfassen mehrere Parteien, die dasselbe vernetzte Produkt berühren, sodass oft unklar bleibt, wer rechtlich als Dateninhaber gilt.
- Komponentenlieferanten und Systemintegratoren streiten über Zuständigkeit
- Bestehende Verträge schweigen zu Datenzugangsrechten
- Aftermarket-Anbieter fordern Daten, die der Hersteller für proprietär hielt
Geschäftsgeheimnisse und Wettbewerbsrisiko
Die Weitergabe von Rohdaten an Dritte, einschließlich Service-Sparten von Wettbewerbern, wirft berechtigte Bedenken hinsichtlich proprietärer Designs oder Nutzungsmuster auf. Der Data Act erlaubt es Dateninhabern, konkrete Geschäftsgeheimnisse zurückzuhalten, aber nur wenn sie nachweisen können, dass die Ausnahme tatsächlich greift.
Fragmentierte grenzüberschreitende Durchsetzung
Jeder EU-Mitgliedstaat benennt eine eigene zuständige Behörde, sodass grenzüberschreitend tätige Unternehmen auf mehrere Regulierer mit teils unterschiedlicher Auslegung treffen, was Datensouveränität und eine klare interne Zuständigkeit für Compliance zur praktischen Notwendigkeit macht.
Praxisbeispiel
Ein Hersteller vernetzter Industriesensoren mit 140 Mitarbeitern in Bayern beliefert Automobil- und Lebensmittelverarbeitungsanlagen in der gesamten EU. Vor September 2025 regelten die Verkaufsverträge nicht, wer auf die von den Maschinen erzeugten Betriebsdaten zugreifen durfte, und mehrere Kunden hatten bereits um Rohdatenexporte gebeten. Das Unternehmen bildete seine Produktlinie gegen die Datenflüsse ab, aktualisierte seine Vertragsbedingungen um FRAND-konforme Klauseln und baute eine Self-Service-Export-API, sodass Kunden keine manuellen Anfragen mehr stellen mussten.
- Self-Service-Datenexport für vernetzte Produkte in maschinenlesbarem Format
- FRAND-konforme Teilungsklauseln in allen neuen und verlängerten Verträgen
- Dokumentierte Dateninhaber-Zuordnung für jede Produktlinie
- Ein Lieferantenregister zur Nachverfolgung der Cloud-Wechselentgelt-Exposition vor 2027
Aktuelle Entwicklungen und Auswirkungen
Die Pflichten des Data Act treten schrittweise in Kraft, und die Durchsetzungsstruktur formt sich erst jetzt.
Nationale Durchsetzung entsteht
Deutschland hat mit dem Data-Act-Durchführungsgesetz (DADG) die Bundesnetzagentur als zentrale zuständige Behörde benannt, die bei personenbezogenen Daten mit der Bundesbeauftragten für den Datenschutz zusammenarbeitet.
- Die Bundesnetzagentur ist die zentrale Anlaufstelle für Data-Act-Beschwerden in Deutschland
- Bitkom veröffentlichte einen Umsetzungsleitfaden speziell für mittelständische Hersteller
- Verbände wie der VDMA geben maschinenbauspezifische Checklisten heraus
Die Fristen 2026 und 2027 werden zum nächsten Druckpunkt
Unternehmen, die nach dem 12. September 2026 neue vernetzte Produkte in Verkehr bringen, müssen Datenzugang von Beginn an nach dem Data-by-Design-Prinzip einbauen, was die Entwicklungskosten für kleinere Hersteller erhöht, die dies bisher nicht eingeplant hatten.
KI-Anbieter passen ihre Datenbeschaffung an
Da Unternehmen zunehmend KI-Agenten auf maschinengenerierten Daten einsetzen, müssen KI-Anbieter für EU-Hersteller vermehrt nachweisen, dass ihre Datenpipelines die Zugangsrechte des Data Act respektieren, bevor ein Vertrag zustande kommt.
Fazit
Der EU Data Act ist weder die DSGVO noch die KI-Verordnung; er ist eine eigenständige Verordnung darüber, wer den Zugang zu Daten vernetzter Produkte und Cloud-Dienste kontrolliert. Für mittelständische Hersteller ist die praktische Arbeit konkret: wissen, welche Produkte Daten erzeugen, wissen, wer der Dateninhaber ist, und FRAND-konforme Verträge sowie Exportwege bereithalten, bevor die Fristen 2026 und 2027 greifen. Unternehmen, die dies als Routine in Vertrags- und Produktpflege behandeln, vermeiden die Bußgelder, die diejenigen treffen, die abwarten. Da vernetzte Produkte und Enterprise-KI zunehmend zusammenwachsen, bestimmt Data-Act-Konformität immer stärker, welche Daten ein KI-System überhaupt nutzen darf.
Häufig gestellte Fragen
Was ist der EU Data Act einfach erklärt?
Es ist eine EU-Verordnung, die Nutzern vernetzter Geräte das Recht auf Zugang zu den erzeugten Daten gibt und Cloud-Anbieter zu einem gebührenfreien Wechsel verpflichtet. Sie gilt branchenübergreifend und erfasst personenbezogene wie nicht-personenbezogene Daten gleichermaßen.
Ist der EU Data Act dasselbe wie die DSGVO?
Nein. Die DSGVO regelt den Schutz personenbezogener Daten, während der Data Act den Zugang zu Daten vernetzter Produkte und Cloud-Verträge regelt, unabhängig davon, ob diese personenbezogen sind. Ein Unternehmen kann eine der beiden Verordnungen erfüllen und die andere trotzdem verletzen.
Gilt der EU Data Act auch für kleine und mittlere Unternehmen?
Kleinst- und Kleinunternehmen mit weniger als 50 Mitarbeitern und Umsatz oder Bilanzsumme unter 10 Millionen Euro sind nach Artikel 7 von den Teilungspflichten als Dateninhaber ausgenommen, sofern sie nicht mit einem größeren Unternehmen verbunden sind. Mittlere Unternehmen darüber fallen vollständig in den Anwendungsbereich.
Was bedeutet der EU Data Act für KI-Systeme, die auf IoT-Daten basieren?
Der Data Act reguliert KI-Systeme nicht direkt, das ist Aufgabe der KI-Verordnung, aber er bestimmt, wer rechtlich Zugang zu den Produktdaten hat, die ein KI-System für Training oder Inferenz nutzen könnte.
Was passiert, wenn ein Unternehmen seine Data-Act-Pflichten ignoriert?
Bußgelder können bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes erreichen. In Deutschland überwacht die Bundesnetzagentur die Einhaltung und kann vor Bußgeldern Abhilfemaßnahmen anordnen.
Wie lange dauert die Data-Act-Vorbereitung für einen mittelständischen Hersteller typischerweise?
Die meisten Hersteller benötigen drei bis sechs Monate, um vernetzte Produkte zu erfassen, Verträge zu aktualisieren und einen grundlegenden Exportmechanismus aufzubauen. Ein Start mit Vertrags- und Datenflussaudit ist am schnellsten.
