Data Act: Pflichten für Unternehmen ab 2026

Der Data Act verpflichtet Unternehmen seit dem 12. September 2025 zu neuen Regeln für den Zugang zu und die Nutzung von Daten. Für Hersteller vernetzter Produkte rückt zusätzlich der 12. September 2026 in den Fokus: Für danach in Verkehr gebrachte Produkte und verbundene Dienste greift die sogenannte Access-by-Design-Pflicht. Gleichzeitig regelt die EU-Verordnung Datenzugangsrechte von Nutzern, die Weitergabe an Drittanbieter, B2B-Datenverträge, Cloud-Wechsel und den Schutz von Geschäftsgeheimnissen. Dieser Beitrag zeigt, welche Pflichten Unternehmen nach dem Data Act beachten müssen, welche Rolle das deutsche DADG, die Bundesnetzagentur und die DSGVO spielen und welche Fristen jetzt praktisch relevant sind.

Der europäische Gesetzgeber hat sich bewusst gegen ein Eigentumsrecht an Daten entschieden. Stattdessen schafft er Zugangs- und Nutzungsansprüche zwischen benannten Beteiligten.

Der Nutzer eines vernetzten Produkts erhält Zugang zu den Daten, die er durch seine Nutzung erzeugt, und kann sie an Dritte weitergeben. Wer nach dem Data Act als Dateninhaber zur Bereitstellung bestimmter Daten verpflichtet ist, muss die gesetzlichen Zugangs- und Weitergaberechte erfüllen – ohne dass damit ein Eigentumsrecht an den Daten verbunden wäre.

Der Data Act ist kein Datenschutzgesetz. Er regelt den Zugang zu und die Nutzung von personenbezogenen und nicht personenbezogenen Daten, wobei insbesondere Produkt-, Maschinen- und Nutzungsdaten aus vernetzten Produkten praktisch im Mittelpunkt stehen. Enthalten die Daten personenbezogene Informationen, bleibt die DSGVO zusätzlich anwendbar.

Die Verordnung ist am 11. Januar 2024 in Kraft getreten und gilt seit dem 12. September 2025 in weiten Teilen unmittelbar. Der zweite große Stichtag steht unmittelbar bevor: Ab dem 12. September 2026 müssen vernetzte Produkte so konstruiert sein, dass die Daten von vornherein zugänglich sind.

Die fünf zentralen Bausteine des Data Act

Der Data Act wird häufig als ein einheitliches Regelwerk beschrieben. Tatsächlich enthält er fünf weitgehend eigenständige Regelungskomplexe, die unterschiedliche Adressaten haben und in Unternehmen typischerweise von unterschiedlichen Abteilungen bearbeitet werden. Wer eine Frage einordnen will, sollte zuerst klären, um welchen Baustein es geht.

Vernetzte Produkte nach dem Data Act: Was ist erfasst?

Erfasst ist jeder Gegenstand, der Daten über seine Nutzung oder seine Umgebung erhebt und diese über einen elektronischen Kommunikationsdienst, eine physische Verbindung oder einen Gerätezugang übermitteln kann – und dessen Hauptfunktion nicht die Speicherung, Verarbeitung oder Übertragung von Daten im Auftrag Dritter ist. Das ist bewusst weit gefasst.

• Industrie- und Landmaschinen, Werkzeugmaschinen, Robotik, Pumpen und Antriebe
• Fahrzeuge und Nutzfahrzeuge einschließlich Telematiksystemen
• Medizin- und Labortechnik sowie vernetzte Gesundheitsgeräte
• Gebäudetechnik, Heizungs- und Klimaanlagen, Aufzüge, Zähler
• Consumer-Geräte: Smart-Home-Produkte, Wearables, vernetzte Haushaltsgeräte

Hinzu kommen „verbundene Dienste“: digitale Dienste, die bei Kauf, Miete oder Leasing so mit dem Produkt verbunden sind, dass das Produkt ohne sie eine oder mehrere Funktionen nicht ausführen könnte, oder die später verbunden werden, um Funktionen hinzuzufügen, zu aktualisieren oder anzupassen.

Wer ist wer?

Gilt der Data Act auch für kleine Hersteller?

Für Kleinst- und Kleinunternehmen enthält der Data Act eine wichtige Ausnahme. Die zentralen Datenzugangspflichten des Kapitels II gelten grundsätzlich nicht für Daten, die durch Produkte erzeugt werden, die von solchen Unternehmen hergestellt oder konzipiert wurden, beziehungsweise durch von ihnen angebotene verbundene Dienste. Die Ausnahme ist allerdings nicht uneingeschränkt und sollte insbesondere bei Unternehmensverbünden und Auftragsfertigung im Einzelfall geprüft werden.

Welche Daten sind erfasst?

Der Anspruch richtet sich auf „ohne Weiteres verfügbare Daten“. Produkt- und verbundene Dienstdaten, die der Dateninhaber rechtmäßig erlangt hat oder ohne unverhältnismäßigen Aufwand erlangen kann, der über einen einfachen Vorgang hinausgeht. Dazu zählen Rohdaten und vorverarbeitete Daten – etwa Betriebsstunden, Sensorwerte, Fehler- und Zustandsmeldungen, Verbrauchs- und Positionsdaten.

Grundsätzlich nicht umfasst sind Informationen, die erst durch zusätzliche Analyseleistungen und Investitionen des Dateninhabers aus den Ausgangsdaten abgeleitet werden, insbesondere Ergebnisse komplexer proprietärer Algorithmen. Rohdaten, vorverarbeitete Daten und für ihre Interpretation erforderliche Metadaten können dagegen vom Zugangsanspruch erfasst sein

An dieser Grenze verläuft in der Praxis die Auseinandersetzung. Entscheidend ist die tatsächliche Art der Datenverarbeitung. Rohdaten und vorverarbeitete Daten können erfasst sein; aus zusätzlichen Analyseleistungen abgeleitete oder gefolgerte Daten fallen grundsätzlich nicht unter den Zugangsanspruch. Eine trennscharfe Abgrenzung ist bislang nicht ausjudiziert.

Access by Design – der Stichtag 12. September 2026

Seit dem 12. September 2025 besteht der Zugangsanspruch für Daten, über die der Dateninhaber ohnehin verfügt. Er gilt auch für Bestandsflotten. Wer Maschinen betreibt, die vor diesem Datum in Verkehr gebracht wurden, kann Zugang zu den beim Hersteller vorhandenen Daten verlangen. Eine Nachrüstungspflicht besteht insoweit aber nicht.

Die Access-by-Design-Pflicht gilt für vernetzte Produkte und die mit ihnen verbundenen Dienste, die nach dem 12. September 2026 in Verkehr gebracht werden. Diese müssen so konstruiert und hergestellt sein, dass Daten standardmäßig einfach, sicher, unentgeltlich, in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format und – soweit relevant und technisch möglich – unmittelbar zugänglich sind. Das ist keine Dokumentations-, sondern eine Konstruktionsanforderung.

Unabhängig von der erst für nach dem 12. September 2026 in Verkehr gebrachte Produkte geltenden Konstruktionspflicht bestehen die vorvertraglichen Informationspflichten des Art. 3 Abs. 2 und 3 bereits seit dem 12. September 2025. Vor Abschluss des Kauf-, Miet- oder Leasingvertrags muss der Nutzer in klarer und verständlicher Form erfahren, welche Daten das Produkt erzeugt, in welchem Format und Umfang, ob es sich um Rohdaten oder vorverarbeitete Daten handelt, wie sie abgerufen werden können und ob der Hersteller sie selbst nutzen will. Die Angaben gehören in Datenblätter, Angebote und Vertragsunterlagen – nicht in eine nachgelagerte Datenschutzerklärung.

Grenze: Geschäftsgeheimnisse

Der Data Act nimmt Geschäftsgeheimnisse nicht vom Zugangsanspruch aus, unterwirft ihre Offenlegung aber Bedingungen. Der Dateninhaber muss die betroffenen Daten als Geschäftsgeheimnis kennzeichnen und kann die Bereitstellung von der Vereinbarung angemessener technischer und organisatorischer Schutzmaßnahmen abhängig machen – etwa Vertraulichkeitsvereinbarungen, Zugriffsbeschränkungen oder Nutzungsbegrenzungen.

Werden solche Maßnahmen nicht vereinbart oder nicht eingehalten, kann die Bereitstellung ausgesetzt werden. Ob überhaupt ein Geschäftsgeheimnis vorliegt, richtet sich nach der gesetzlichen Definition, die in Deutschland insbesondere durch das GeschGehG umgesetzt wird. Angemessene Geheimhaltungsmaßnahmen gehören zu den Schutzvoraussetzungen.

Eine Zurückhaltung, Aussetzung oder Verweigerung ist gegenüber dem Nutzer beziehungsweise Datenempfänger nach Maßgabe des Data Act schriftlich zu begründen; außerdem ist die zuständige Behörde zu informieren..

Datenweitergabe an Dritte nach dem Data Act

Der Nutzer kann verlangen, dass die Daten nicht ihm selbst, sondern einem Dritten seiner Wahl bereitgestellt werden. Damit adressiert der Data Act sein eigentliches wirtschaftspolitisches Ziel:

• Aftermarket-Dienstleister,
• Wartungsanbieter,
• Analyseunternehmen und Wettbewerber

sollen Zugang zu Maschinendaten erhalten, um Sekundärmärkte zu öffnen.

Für das Verhältnis gelten die Bedingungen des Kapitels III. Die Bereitstellung muss zu fairen, angemessenen, nichtdiskriminierenden und transparenten Bedingungen erfolgen. Der Dateninhaber darf eine angemessene Vergütung verlangen, die sich an den Kosten der Bereitstellung orientiert und eine Marge enthalten kann. Gegenüber KMU und bestimmten nicht gewinnorientierten Forschungseinrichtungen darf die Gegenleistung die nach Art. 9 berücksichtigungsfähigen Kosten der Datenbereitstellung grundsätzlich nicht übersteigen. Eine zusätzliche Marge ist insoweit ausgeschlossen.

Drei Schranken begrenzen das Ganze:

• Weder Nutzer noch Datenempfänger dürfen die Daten verwenden, um ein konkurrierendes vernetztes Produkt zu entwickeln.
• Der Datenempfänger darf die Daten nur zu den mit dem Nutzer vereinbarten Zwecken verwenden und nicht ohne Weiteres an weitere Dritte geben.
• Unternehmen, die nach dem Digital Markets Act als Torwächter benannt sind, kommen als Datenempfänger nicht in Betracht.

Data Act: Kontrolle missbräuchlicher B2B-Klauseln

Kapitel IV enthält den in der Praxis am meisten unterschätzten Teil der Verordnung. Es führt eine Inhaltskontrolle für Vertragsklauseln über den Datenzugang und die Datennutzung zwischen Unternehmen ein. Und das funktional vergleichbar mit der AGB-Kontrolle, aber mit eigenem Maßstab und ohne Beschränkung auf Verbraucherverträge.

Erfasst sind Klauseln, die einseitig auferlegt wurden, also von einer Partei gestellt und von der anderen trotz Verhandlungsversuchs nicht beeinflussbar waren. Eine solche Klausel ist unverbindlich, wenn sie missbräuchlich ist, das heißt so erheblich von der guten Geschäftspraxis abweicht, dass sie gegen Treu und Glauben verstößt.

Die Verordnung arbeitet mit zwei Listen. Als stets missbräuchlich gelten unter anderem Klauseln, die die Haftung für Vorsatz oder grobe Fahrlässigkeit ausschließen, der stellenden Partei das alleinige Recht zur Beurteilung der Vertragsmäßigkeit der Daten einräumen oder Rechtsbehelfe bei Vertragsverletzung ausschließen. Als vermutlich missbräuchlich gelten weitere Klauseln, etwa solche, die der stellenden Partei die einseitige Auslegung des Vertrags erlauben oder den Zugang zu bereits bereitgestellten Daten im Kündigungsfall unangemessen erschweren.

Zeitlich gilt: Auf Verträge, die nach dem 12. September 2025 geschlossen wurden, ist die Kontrolle unmittelbar anwendbar. Auf zuvor geschlossene Verträge greift sie ab dem 12. September 2027, sofern sie auf unbestimmte Zeit laufen oder erst am 11. Januar 2034 oder später enden. Bestehende Rahmen- und Serviceverträge mit Datenklauseln sollten deshalb vor diesem Datum überprüft werden.

Wann dürfen öffentliche Stellen Unternehmensdaten verlangen?

Kapitel V verpflichtet Unternehmen, öffentlichen Stellen bei außergewöhnlichem Bedarf Daten bereitzustellen. Er umfasst die Reaktion auf einen öffentlichen Notstand – etwa Naturkatastrophen, Gesundheitskrisen oder schwere Cybervorfälle – sowie, unter strengeren Voraussetzungen, die Erfüllung einer gesetzlich zugewiesenen Aufgabe im öffentlichen Interesse, wenn die Daten anderweitig nicht rechtzeitig beschafft werden können.

Das Verlangen muss verhältnismäßig, hinreichend bestimmt und begründet sein. Im Notstandsfall erfolgt die Bereitstellung unentgeltlich. In den übrigen Fällen besteht ein Anspruch auf angemessene Vergütung. Für Kleinst- und Kleinunternehmen gelten besondere Erleichterungen. Insbesondere bestimmte Datenverlangen außerhalb eines öffentlichen Notstands sind ihnen gegenüber ausgeschlossen. Bei einer Datenbereitstellung zur Bewältigung eines öffentlichen Notstands können sie – anders als größere Unternehmen – grundsätzlich eine Vergütung beanspruchen.

Die Daten dürfen nur für den angegebenen Zweck verwendet und müssen nach Zweckerreichung gelöscht werden.

Praktisch relevant ist vor allem die Vorbereitung: Unternehmen sollten festlegen, wer ein solches Verlangen entgegennimmt, prüft und beantwortet – die Fristen sind kurz, und eine unbegründete Ablehnung kann behördliche Maßnahmen auslösen.

Data Act für Cloud-Anbieter: Wechsel und Datenzugriff

Wechsel zwischen Datenverarbeitungsdiensten

Kapitel VI zielt auf Anbieterbindung bei Cloud- und Edge-Diensten. Anbieter müssen den Wechsel zu einem anderen Dienst oder in eine On-Premises-Infrastruktur ermöglichen und dürfen dabei keine vorkommerziellen, technischen, vertraglichen oder organisatorischen Hindernisse errichten.

• Die vertragliche Kündigungsfrist für einen Wechsel darf höchstens zwei Monate betragen.
• Für den eigentlichen Übergang ist ein Zeitraum von grundsätzlich 30 Tagen vorgesehen, der unter Bedingungen verlängert werden kann.
• Der Anbieter muss exportierbare Daten sowie digitale Vermögenswerte bereitstellen und den Wechsel unterstützen.

Wechselentgelte werden schrittweise abgebaut. Seit dem 11. Januar 2024 dürfen Wechselentgelte die unmittelbar mit dem Wechsel verbundenen Kosten nicht übersteigen. Ab dem 12. Januar 2027 dürfen für den Wechsel grundsätzlich keine Wechselentgelte mehr erhoben werden.

Für Bestandsverträge bedeutet das Anpassungsbedarf bei Laufzeiten, Exit-Klauseln, Datenformaten und Migrationsunterstützung. Nutzer sollten die neuen Rechte in Ausschreibungen und Vertragsverhandlungen aktiv einfordern.

Aber Achtung, nicht jeder Cloud-Dienst unterliegt dem vollständigen Wechselregime. Art. 31 enthält insbesondere für individuell zugeschnittene, nicht in großem Maßstab angebotene Dienste und bestimmte Testangebote Ausnahmen von einzelnen Pflichten.“

Schutz vor unrechtmäßigem Drittstaatenzugriff

Kapitel VII verpflichtet Anbieter von Datenverarbeitungsdiensten, technische, organisatorische und rechtliche Maßnahmen zu treffen, um den Zugriff ausländischer Behörden auf in der Union gespeicherte nicht personenbezogene Daten zu verhindern, soweit dieser Zugriff mit Unionsrecht oder dem Recht der Mitgliedstaaten kollidiert. Herausgabe ist nur zulässig, wenn ein internationales Abkommen besteht oder eng definierte Voraussetzungen erfüllt sind. Die Regelung ergänzt für nicht personenbezogene Daten das, was Kapitel V der DSGVO für personenbezogene Daten leistet.

Interoperabilität

Kapitel VIII enthält Anforderungen an Betreiber von Datenräumen und an die Interoperabilität von Datenverarbeitungsdiensten sowie Vorgaben für intelligente Verträge, die der Ausführung von Datenbereitstellungsvereinbarungen dienen – unter anderem zu Robustheit, sicherer Beendigung und Zugangskontrolle.

Die wichtigsten Daten

Das Data Act-Durchführungsgesetz

Der Data Act gilt unmittelbar, überlässt den Mitgliedstaaten aber die Bestimmung der zuständigen Behörden und der Sanktionen. Das Gesetz zur Anwendung und Durchsetzung der Datenverordnung (Datenverordnung-Anwendungs-und-Durchsetzungs-Gesetz – DADG) wurde am 26. März 2026 vom Bundestag beschlossen, passierte am 8. Mai 2026 den Bundesrat und trat nach Verkündung am 30. Mai 2026 in Kraft.

Welche Behörden überwachen den Data Act in Deutschland?

Zentrale Behörde ist die Bundesnetzagentur. Sie überwacht die Einhaltung des Data Act, bearbeitet Beschwerden, führt Ermittlungen, ordnet Maßnahmen an und verhängt Bußgelder. Die Bundesnetzagentur ist zentrale Data-Act-Aufsichts- und Anlaufstelle. Für den Schutz personenbezogener Daten enthält das DADG daneben eine besondere Zuständigkeit der BfDI bei nicht-öffentlichen Stellen. Werden in einem Verfahren der Bundesnetzagentur datenschutzrechtliche Fragen relevant, ist die BfDI nach den Vorgaben des § 3 DADG einzubeziehen.

Die Aufteilung ist allerdings auch umstritten. Die BfDI wird dadurch teilweise auch für private Unternehmen zuständig, die sonst der Aufsicht der Länder unterliegen. Für Datenschutzfragen ohne Data-Act-Bezug bleibt es bei der Landesbehörde, im Data-Act-Kontext greift die BfDI. Der Bundesrat und mehrere Landesdatenschutzbehörden haben darin eine Quelle von Rechtsunsicherheit gesehen. Die Bundesregierung begründet die Lösung damit, dass so die Aufspaltung eines zusammenhängenden Sachverhalts in parallele Aufsichtsverfahren vermieden werde.

Änderung des Urheberrechtsgesetzes

Art. 43 Data Act schließt bereits unionsrechtlich aus, dass das Datenbankherstellerrecht eingesetzt wird, um die Data-Act-Zugangsrechte an Daten aus vernetzten Produkten und verbundenen Diensten zu behindern. Das DADG hat § 87b UrhG entsprechend an diese unionsrechtliche Vorgabe angepasst.

Ein Dateninhaber kann sich also nicht mehr auf den Datenbankschutz berufen, um gesetzliche Zugangsansprüche abzuwehren – eine gezielte Schließung des zuvor am häufigsten diskutierten Umgehungswegs.

Bußgelder und Sanktionen nach dem DADG

Verhältnis zu anderen Regelwerken

Bei personenbezogenen Daten sind Data Act und DSGVO parallel zu prüfen. Ist der Nutzer zugleich die betroffene Person, kann die gesetzliche Bereitstellungspflicht des Data Act zusammen mit Art. 6 Abs. 1 lit. c DSGVO eine Rechtsgrundlage bilden. Betrifft das Zugangsverlangen dagegen personenbezogene Daten anderer Personen, ist eine eigenständige datenschutzrechtliche Rechtsgrundlage erforderlich.

Ausblick: der Digitale Omnibus

Der allgemeine Digital Omnibus befindet sich zum Stand August 2026 weiterhin im europäischen Gesetzgebungsverfahren. Auf Ratsebene liegen bereits Arbeits- und Kompromisstexte vor. Eine endgültige Einigung von Rat und Parlament besteht jedoch noch nicht. Die derzeit geltenden Vorgaben des Data Act bleiben deshalb maßgeblich.

Unternehmen sollten die geltenden Fristen deshalb weiter als verbindlich behandeln und Änderungen beobachten, statt auf Erleichterungen zu warten.

Typische Fehleinschätzungen

• „Der Data Act betrifft nur die IT.“ Betroffen sind zuerst Produktentwicklung und Vertrieb: Access by Design ist eine Konstruktionsvorgabe, die vorvertragliche Information eine Vertriebsaufgabe.
• „Wir sind kein Datenunternehmen.“ Maßgeblich ist, ob ein Produkt Daten erhebt und übermitteln kann – nicht, ob das Geschäftsmodell darauf beruht.
• „Unsere AGB regeln das.“ Einseitig auferlegte Datenklauseln unterliegen der Missbrauchskontrolle des Kapitels IV und können unverbindlich sein.
• „Geschäftsgeheimnisse schützen uns.“ Nur bei nachweisbaren angemessenen Geheimhaltungsmaßnahmen und nur unter den Bedingungen des Data Act – eine pauschale Verweigerung trägt nicht.
• „Bestandsmaschinen sind außen vor.“ Der Zugangsanspruch für ohne Weiteres verfügbare Daten gilt auch für Altbestände; nur die Konstruktionspflicht greift erst ab dem 12. September 2026.
• „Wir stellen die Daten einfach als PDF bereit.“ Verlangt sind ein strukturiertes, gängiges, maschinenlesbares Format und – soweit möglich – kontinuierlicher, unmittelbarer Zugang.

„Das Datenbankrecht hilft.“ Seit dem DADG ausdrücklich nicht mehr, soweit es um Daten vernetzter Produkte geht.

SBS LEGAL – Kanzlei für IT- und Datenschutzrecht

SBS LEGAL berät Unternehmen zu den rechtlichen Anforderungen des Data Act und zu angrenzenden Fragen im Bereich IT-Recht und Datenschutzrecht. Dazu gehören insbesondere Datenzugangsrechte, Vertragsgestaltung, Access by Design, Cloud-Verträge und die Abstimmung mit datenschutzrechtlichen Vorgaben.

Rechtliche Beratung zur Umsetzung des Data Act

Wir unterstützen Hersteller, Anbieter digitaler und verbundener Dienste, Dateninhaber sowie Unternehmen bei der Prüfung ihrer Pflichten nach dem Data Act und dem deutschen DADG. Dies umfasst unter anderem die Gestaltung von Datenzugangs- und Nutzungsbedingungen, die Prüfung bestehender B2B-Verträge, den Umgang mit Geschäftsgeheimnissen sowie die rechtliche Einordnung von Datenbereitstellungs-, Cloud- und Interoperabilitätsanforderungen. Dabei berücksichtigen wir insbesondere die Schnittstellen zur DSGVO, zum Urheberrecht und zu weiteren europäischen Digitalregulierungen.

Der Erstkontakt zu SBS LEGAL ist kostenlos.