Das neue EU-Datengesetz

Das neue EU-Datengesetz – Data Act

In der heutigen digitalen Welt spielen vernetzte Daten eine zentrale Rolle bei der Entwicklung neuer Technologien und Geschäftsmodelle. Trotz ihres großen Potenzials bleiben jedoch viele dieser Daten ungenutzt. Der Data Act setzt genau hier an, um den Zugang zu Daten, insbesondere zu Daten aus vernetzten Produkten und verbundenen Diensten, zu erleichtern und so Innovationen für Unternehmen jeder Größe zu fördern. Dabei können sowohl nicht-personenbezogenen Daten also auch personenbezogene Daten betroffen sein. Im Folgenden erfahren Sie, warum die Nutzung dieser Daten so wichtig ist und welche Chancen sich daraus ergeben.

Was ist das Ziel?

Vernetzte Daten sind die Basis für digitale Transformation und neue Produkte, Services und Geschäftsmodelle. Dabei bleiben laut Schätzung rund 80 Prozent aller Industriedaten ungenutzt.
Der Data Act verfolgt somit das Ziel, dass mehr Daten, insbesondere Maschinendaten und Industriedaten, vielen Akteuren für eine innovative Nutzung zur Verfügung stehen sollen und nicht einzelne, große Unternehmen die alleinige Kontrolle über diese Daten ausüben. Das Potential bislang weitgehend ungenutzter industrieller Daten soll besser ausgeschöpft werden, damit auch kleinere Unternehmen und Start-ups ihre Geschäftsmodelle verbessern oder neue Geschäftsmodelle entwickeln können.
Ein Beispiel im B2B-Bereich sind Maschinendaten. Daten von Maschinen und Sensoren werden in der Industrie in großen Mengen generiert. Unterschiedliche Beteiligte haben ein Interesse an der Nutzung dieser Daten. Der Hersteller einer Automationskomponente möchte zum Beispiel Zugang zu Betriebsdaten seines Produktes erhalten, das in einer von einem Dritten betriebenen Maschine verbaut ist. Bislang können die Akteure dies vertraglich weitgehend frei regeln. Problematisch kann dabei die ungleiche Marktmacht der Vertragsparteien sein, die sich in einseitigen Vertragsbedingungen ausdrückt – etwa im Ausschluss von Nutzungsrechten. Um dem entgegenzuwirken, soll der Data Act es den Nutzern ermöglichen, über ihre Daten und deren Nutzung zu verfügen und unter bestimmten Bedingungen an Dritte weiterzugeben.

Wer ist vom Data Act betroffen?

Der Data Act gilt für europäische Unternehmen. Auch nicht-europäische Unternehmen, die in der EU tätig sind, werden unter Umständen erfasst.
Betroffen sind insbesondere Hersteller und Anbieter (die Dateninhaber) und Nutzer von vernetzen Internet of Things (IoT)-Produkten, zum Beispiel smarten Haushaltsgeräten (wie Kühlschrank, Heizung, Saugroboter), Maschinen oder Autos. Die damit verbundenen digitalen Dienste, ohne die ein Gerät seine Funktionen nicht ausführen könnte, wie zum Beispiel die Software einer Fitnessuhr oder die zu IoT-Produkten dazugehörigen Bedienungs-Apps, fallen auch darunter.
Der Data Act, eine europäische Verordnung, ist am 11. Januar 2024 in Kraft getreten undgilt seit dem 12. September 2025 grundsätzlich unmittelbar in allen EU-Mitgliedsstaaten. Für einzelne Vorschriften gelten besondere Übergangsregelungen bzw. spätere Anwendungszeitpunkte.

Internet of Things

Internet of Things bezeichnet die Vernetzung von Geräten mit dem Internet und untereinander. Alltagsgegenstände oder Maschinen werden dabei mit Prozessoren und eingebetteten Sensoren ausgestattet, sodass sie in der Lage sind miteinander zu kommunizieren und zu sogenannten Smart Objects werden. Die smarten Geräte sind jedoch auch in der Lage, selbstständig zu agieren, sich Situationen anzupassen und auf bestimmte Szenarien zu reagieren.
Hinweis: Bestimmte Pflichten des Kapitels II des Data Act gelten grundsätzlich nicht für Klein- und Kleinstunternehmen, also Unternehmen mit weniger als 50 Mitarbeitern und einem Jahresumsatz bzw. einer Jahresbilanz von unter zehn Millionen Euro (vgl. Art. 7 Data Act), es sei denn, sie sind Partnerunternehmen oder verbunden mit Unternehmen, die nicht als Kleinst- oder Kleinunternehmen gelten.
Bereits mittlere Unternehmen, die weniger als 250 Mitarbeiter und einen Jahresumsatz von unter 50 Millionen Euro bzw. eine Jahresbilanz von unter 43 Millionen Euro haben, sind grundsätzlich von den anschließend dargestellten Pflichten erfasst. Lediglich für mittlere Unternehmen, die vor weniger als einem Jahr die Grenze zur Qualifikation als mittlere Unternehmen überschritten haben oder für Produkte mittlerer Unternehmen, die seit weniger als einem Jahr auf dem Markt verfügbar sind, soll es Ausnahmen geben. Eine vertragliche Einschränkung dieser Vorgaben ist grundsätzlich ausgeschlossen.

Welche Rechte und Pflichten gelten für Hersteller und Anbieter?

Konkret sieht der Data Act vor, dass der Nutzer (wie der Eigentümer, Mieter oder Leasingnehmer eines digitalen oder vernetzten Produkts) darüber entscheiden kann, wie mit bestimmten bei der Nutzung erzeugten Daten umgegangen werden soll, an deren Entstehung er mitgewirkt hat. Nutzer können dabei Unternehmer oder Verbraucher sein.

Anspruch auf Datenzugang

Die wesentliche Neuerung durch den Data Act ist, dass der Nutzer einen Anspruch auf Datenzugang hat. Soweit ein unmittelbarer Zugang technisch machbar und relevant ist, müssen die erfassten Daten für den Nutzer direkt zugänglich sein. Ist dies nicht möglich, muss der Dateninhaber die Daten dem Nutzer auf Verlangen kostenlos, ggf. kontinuierlich und in Echtzeit bereitstellen.
Damit der Zugang und die Weitergabe von Daten auch technisch möglich sind, müssen Hersteller ihre Produkte und Dienstleistungen entsprechend gestalten. Der Datenzugang darf sich dabei nicht auf ein bloßes Ansehen der Daten beschränken. Die vom Data Act erfassten Daten müssen grundsätzlich in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format zugänglich bzw. bereitstellbar sein.
Die Nutzer sind vor Abschluss eines Vertrags zu informieren, insbesondere über die Identität des Dateninhabers, Art Format und geschätzten Umfang der erzeugten Produkt- und verbundenen Dienstdaten, Zugriffsmöglichkeiten sowie die Möglichkeit Daten selbst zu nutzen oder unter den Voraussetzungen des Data Act an Dritte weitergeben zu lassen.
Die Dateninhaber müssen sich für die Nutzung nicht-personenbezogener Daten, die bei der Nutzung ihrer vernetzten Produkte und verbundenen Dienste entstehen, entsprechend vertragliche Nutzungsrechte einräumen lassen. Notwendig ist also eine vertragliche Nutzungsvereinbarung zwischen Dateninhaber und Nutzer.
Auch können sie die anfallenden Daten ihrer Produkte nicht mehr ausschließlich allein nutzen, sondern haben diese gegebenenfalls auch anderen Unternehmen zur Verfügung zu stellen. So können die Nutzer der Geräte und Apps die Herausgabe ihrer Nutzungsdaten kostenfrei verlangen und an Dritte weitergeben.

Anspruch auf Datenteilung mit Dritten

Die Nutzer können auch verlangen, dass der Dateninhaber einem Dritten, mitunter auch einem Wettbewerber, die vom Data Act erfassten Daten bereitstellt. Damit sollen insbesondere Folge- und Nebendienstleistungen gefördert werden, zum Beispiel Versicherungen oder externe/selbstständige Reparaturleistungen.
Der Dateninhaber hat mit dem benannten Dritten, dem Datenempfänger, die Bedingungen der Datenbereitstellung fair, angemessen und nicht diskriminierend zu vereinbaren.. Für die Bereitstellung der Daten darf der Dateninhaber eine Gegenleistung mit angemessener Marge verlangen.
Hinweis: Eine Marge darf nicht von datenempfangenden Kleinstunternehmen und von kleinen oder mittleren Unternehmen (KMU) verlangt werden.
Für die Berechnung der angemessenen Gegenleistung hat die Europäische Kommission Leitlinien 2026 bereits einen Entwurf von Leitlinien konsultiert. Die endgültigen Leitlinien sind bei ihrer Veröffentlichung entsprechend zu berücksichtigen. Der Datenempfänger wiederum darf die bereitgestellten Daten nur für die Zwecke und unter den Bedingungen verarbeiten, die er mit dem Nutzer vereinbart hat und hat die Daten zu löschen, sobald sie für den vereinbarten Zweck nicht mehr benötigt werden. kann
Im Übrigen ist es auch denkbar, dass an den Daten interessierte Unternehmen den Nutzer auffordern werden, die Daten mit ihnen zu teilen. Die Daten dürfen nicht dazu verwendet werden, um Konkurrenzprodukte zum datengenerierten Produkt zu entwickeln. Konkurrierende Folge- und Nebendienstleistungen bleiben dagegen grundsätzlich möglich. Damit ist allerdings kein “Ideenschutz” gemeint. Konkurrierende Leistungen dürfen, wie bisher auch, angeboten werden.

Regelungen für Cloudanbieter und öffentliche Stellen

Rechte und Pflichten für Cloudanbieter

Vom Data Act sind auch Anbieter von Datenverarbeitungsdiensten, vor allem Cloudanbieter, betroffen. Der Wechsel zu anderen Anbieternwird durch verbindliche Vorgaben erleichtert. Anbieter müssen vertragliche, technische und organisatorische Wechselhindernisse beseitigen und den Wechsel zu einem anderen Datenverarbeitungsdienst oder - soweit vorgesehen - in eine eigene Infrastruktur ermöglichen.
Die Wechselentgelte werden schrittweise abgeschafft. Bis zum 11. Januar 2027 dürfen von den Kunden für einen Anbieterwechsel nur reduzierte Wechselentgelte verlangt werden, die dem Anbieter unmittelbar durch den Wechsel entstehende Kosten nicht überschreiten. Ab dem 12. Januar 2027 dürfen grundsätzlich keine Wechselentgelte mehr verlangt werden.

Rechte für öffentliche Stellen

Neben privaten Akteuren werden auch öffentlichen Einrichtungen erweiterte Zugangsrechte eingeräumt. So muss ein Dateninhaber einer öffentlichen Einrichtung auf Antrag Daten zur Verfügung stellen, wenn ein "außergewöhnlicher Bedarf" an der Nutzung der Daten besteht. Für Klein- und Kleinstunternehmen gelten besondere Ausnahmen. Bei einem öffentlichen Notstand können grundsätzlich auch sie betroffen sein. Beispielsweise im Fall einer einer Naturkatastrophe kann eine öffentliche Stelle Unternehmen dazu auffordern, unentgeltlich Daten zur Verfügung zu stellen. Möchte der Staat dagegen nur seinen gesetzlichen Verpflichtungen nachkommen und kann er die Daten nicht anderweitig beschaffen, so kann der Dateninhaber eine Aufwandsentschädigung für die Herausgabe verlangen.

Praxisbeispiele

B2B-Bereich: Maschinendaten in der Fertigungsindustrie

Ein Maschinenbauunternehmen teilt Maschinendaten mit einem Zulieferer, um präventive Wartungsmaßnahmen zu planen und die Lieferkette zu optimieren. Dies führt zu weniger Ausfallzeiten und verbesserten Produktionsprozessen.

B2C-Bereich: Smart-Home-Geräte

Ein Verbraucher gibt die von seinen Smart-Home-Geräten gesammelten Daten an einen Drittanbieter weiter, der Energiemanagement-Dienstleistungen anbietet. Der Drittanbieter nutzt die Daten, um maßgeschneiderte Energiesparlösungen zu entwickeln, während der Verbraucher die Kontrolle über die Datennutzung behält.

Wann ist eine Vertragsklausel als “missbräuchlich” anzusehen?

Verträge über die Datennutzung müssen “fair, angemessen und nicht diskriminierend” sein. Es dürfen keine “missbräuchlichen” Klauseln verwendet werden, also dann, wenn sie “erheblich von der guten Geschäftspraxis abweichen und gegen Treu und Glauben und den redlichen Geschäftsverkehr verstoßen" (Art. 13 Data Act).
Missbräuchliche Klauseln sind nicht bindend. Im Zweifel muss der Dateninhaber nachweisen, dass eine Vertragsbedingung nicht missbräuchlich ist. Der Data Act regelt Fälle, wann Vertragsklauseln in Datenaustauschverträgen missbräuchlich sind. Die EU-Kommission hat am 19. November 2025 unverbindliche Mustervertragsbedingungen für Datenzugang und Datennutzung sowie Standardvertragsklauseln für Cloud-Computing-Verträge veröffentlicht. Sie können Unternehmen bei einer Data Act-konformen Vertragsgestaltung unterstützen.

Was passiert mit Geschäftsgeheimnissen?

Wenn die angeforderten Daten Geschäftsgeheimnisse enthalten, kann grundsätzlich weiterhin eine Pflicht zum Datenzugang bzw. zur Datenbereitstellung bestehen. Der Data Act sieht hierfür jedoch besondere Schutzmechanismen vor. Die Daten müssen gegenüber Nutzern und Datenempfängern nur offengelegt werden, wenn vorher alle erforderlichen Maßnahmen getroffen wurden, um die Vertraulichkeit von Geschäftsgeheimnissen zu wahren. Unter den Voraussetzungen des Data Act kann die Bereitstellung ausgesetzt, zurückgehalten oder in besonders begründeten Fällen verweigert werden, wenn trotz der Schutzmaßnahmen mit hoher Wahrscheinlichkeit ein schwerer wirtschaftlicher Schaden droht.
Der Data Act nennt ausdrücklich technische und organisatorische Maßnahmen, sowie beispielsweise Vertraulichkeitsvereinbarungen, strenge Zugangsprotokolle, technische Standards und Verhaltenskodizes als geeignete Schutzmaßnahmen. Diese Maßnahmen sind zwischen Dateninhaber bzw. Geschäftsgeheimnisinhaber und Nutzer oder Drittem zu vereinbaren.

Was gilt bei personenbezogenen Daten?

In den bereitgestellten Daten können mitunter auch personenbezogene Daten enthalten sein, die dem Datenschutz unterliegen. Durch den Data Act wird das durch die Datenschutzgrundverordnung (DSGVO) geschaffene Datenschutzniveau nicht abgesenkt. Die DSGVO bleibt anwendbar. Eine einschlägige datenschutzrechtliche Rechtsgrundlage aus der DSGVO (bspw. Art. 6 DSGVO) bei der Verarbeitung personenbezogener Daten bleibt also erforderlich. Handelt es sich um personenbezogene Nutzungsdaten, dürfen diese nur unter Beachtung der DSGVO bereitgestellt und verarbeitet werden. Ist der Nutzer nicht zugleich die betroffene Person, muss für die Bereitstellung personenbezogener Daten eine einschlägige datenschutzrechtliche Rechtsgrundlage ebstehen. Die Rechte aus dem Data Act ersetzen die Anforderungen der DSGVO nicht.
Beim Offenlegen der Daten gegenüber Nutzern und Dritten sollten technische und organisatorische Schutzmaßnahmen, z. B. die Anonymisierung personenbezogener Daten, eingesetzt werden.

Was passiert bei Verstößen gegen den Data Act?

Verstöße gegen den Data Act, also wenn ein Unternehmen den gesetzlichen Informations-, Auskunfts-, Herausgabe- und Weiterleitungspflichten nicht oder nicht in vollem Umfang nachkommt, können mit einem Bußgeld geahndet werden.
Die Bundesnetzagentur (BNetzA) ist seit dem 30. Mai 2026 die zuständige Aufsichtsbehörde für die Anwendung und Durchsetzung des Data Act in Deutschland werden. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) überwacht die Einhaltung der Datenschutzgesetze auf Bundesebene.

Was ist jetzt zu tun?

Der Data Act gilt seit dem 12. September 2025 grundsätzlich unmittelbar. Unternehmen sollten daher prüfen, ob die erforderlichen organisatorischen, technischen und vertraglichen Anpassungen bereits umgesetzt wurden. Für einzelne Pflichten gelten darüber hinaus spezielle Übergangsregelungen.

Betroffene Unternehmen müssen
  • Art und Umfang der Daten bestimmen, die bei Nutzung eines digitalen oder vernetzten Produkts oder einer damit verbundenen Dienstleistung anfallen,
  • Informationen über Datenzugang und Datenweitergabe bereitstellen,
  • überprüfen, wie sie den Datenzugang technisch (in Echtzeit) gewähren können,
  • sicherstellen, dass personenbezogene Daten nur unter Einhaltung der DSGVO bereitgestellt werden und für eine Bereitstellung an Nutzer oder Dritte, soweit erforderlich, eine einschlägige datenschutzrechtliche Rechtsgrundlage besteht,
  • vertragliche Regelungen treffen, um bei der Produktnutzung erzeugte Daten weiterhin nutzen zu dürfen, und
  • festlege, wie sie bei Bereitstellung der Daten ihre Geschäftsgeheimnisse schützen (mittels technisch-organisatorischen Maßnahmen und per Geheimhaltungsvereinbarung).
Kleine und Kleinstunternehmen sollten vor allem darauf achten, dass sie bei der Datenherausgabe durch große Unternehmen faire Vertragsbedingungen vereinbaren. Hierfür können Sie insbesondere die von der EU-Kommission veröffentlichten unverbindlichen Mustervertragsbedingungen heranziehen und an den jeweiligen Anwendungsfall anpassen.

Webinarreihe "Data Act - Was Unternehmen jetzt wissen müssen"

Um Ihnen den Einstieg zu erleichtern und die neuen Plichten und Anforderungen vorzustellen, startete im Juli 2025 die kostenlose Webinarreihe „Data Act – Was Unternehmen jetzt wissen müssen. Diese Webinarreihe wurde präsentiert im Rahmen der gemeinsamen Digitalisierungsinitiative der Industrie- und Handelskammern in Bayern.
Weitere Informationen zur Webinarreihe (z.T. inkl. Präsentationen).