Data Act Access by Design

Data Act ab 12. September 2026: Welche vernetzten Produkte jetzt Datenzugriff bieten müssen

Von Dr. Joachim Schmitz

Kurzfassung

Der europäische Data Act gilt bereits seit dem 12. September 2025. Für vernetzte Produkte kommt nun jedoch eine weitere, besonders praxisrelevante Anforderung hinzu: Produkte und damit verbundene Dienste, die nach dem 12. September 2026 in der Europäischen Union in Verkehr gebracht werden, müssen von Anfang an so konzipiert sein, dass Nutzer auf die bei der Verwendung entstehenden Daten zugreifen können.

Die Daten müssen standardmäßig einfach, sicher und unentgeltlich in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format zugänglich sein. Soweit dies relevant und technisch durchführbar ist, muss sogar ein direkter Datenzugriff ermöglicht werden. Erfasst sind auch die Metadaten, die zum Verständnis und zur Nutzung der bereitgestellten Daten benötigt werden.

Betroffen sind insbesondere Hersteller von Maschinen, Fahrzeugen, Medizintechnik, Gebäudeausrüstung, Energieanlagen, Haushaltsgeräten und sonstigen IoT-Produkten. Die Verpflichtung lässt sich nicht allein mit einer Datenschutzerklärung oder einer Ergänzung der Allgemeinen Geschäftsbedingungen erfüllen. Produktentwicklung, Schnittstellen, Datenformate, Benutzerverwaltung, Vertragsgestaltung, Cybersicherheit und der Schutz von Geschäftsgeheimnissen müssen zusammengeführt werden.

In Deutschland überwacht grundsätzlich die Bundesnetzagentur die Einhaltung des Data Act. Ein Verstoß gegen die neue Konstruktionspflicht kann nach dem deutschen Durchführungsgesetz mit einem Bußgeld von bis zu 500.000 Euro geahndet werden.

Was ändert sich am 12. September 2026?

Die häufig verwendete Formulierung „Der Data Act gilt ab September 2026“ ist ungenau. Die Verordnung gilt bereits seit dem 12. September 2025. Seit diesem Zeitpunkt können Nutzer vernetzter Produkte grundsätzlich Datenzugang verlangen und die Weitergabe bestimmter Daten an Dritte veranlassen.

Neu hinzukommt die in Artikel 3 Absatz 1 geregelte Verpflichtung, den Datenzugang bereits bei der Konstruktion und Herstellung des Produkts sowie bei der Gestaltung des verbundenen Dienstes zu berücksichtigen.

Diese Anforderung wird häufig als „Access by Design“ oder „Data Access by Design“ bezeichnet. Der Begriff steht zwar nicht als eigene Definition im Gesetz, beschreibt aber den Kern der Verpflichtung: Datenzugang soll nicht erst nach einer Kundenbeschwerde improvisiert werden, sondern Bestandteil der Produktarchitektur sein.

Die wichtigsten Stichtage

Datum	Bedeutung
11. Januar 2024	Der Data Act ist in Kraft getreten.
12. September 2025	Die Verordnung ist grundsätzlich anwendbar. Datenzugangs- und Weitergaberechte können geltend gemacht werden.
Nach dem 12. September 2026	Die Konstruktionspflicht aus Artikel 3 Absatz 1 gilt für neu in Verkehr gebrachte vernetzte Produkte und die mit ihnen verbundenen Dienste.
12. September 2027	Bestimmte Regeln zu missbräuchlichen Vertragsklauseln werden auch auf ältere unbefristete oder sehr langfristige Verträge ausgedehnt.

Der Wortlaut des Data Act spricht ausdrücklich von Produkten und Diensten, die „nach dem 12. September 2026“ in Verkehr gebracht werden. Unternehmen sollten deshalb den konkreten Zeitpunkt des Inverkehrbringens dokumentieren und nicht nur den allgemeinen Verkaufsstart einer Produktserie betrachten.

Was bedeutet „Inverkehrbringen“?

Entscheidend ist nicht, wann ein Kunde das Produkt anschließt, installiert oder erstmals nutzt. Maßgeblich ist grundsätzlich die erstmalige Bereitstellung des jeweiligen Produkts auf dem Markt der Europäischen Union.

Das Inverkehrbringen bezieht sich auf das individuelle Produkt und nicht lediglich auf den Produkttyp oder die Modellreihe. Von derselben Baureihe können daher einzelne Geräte vor dem Stichtag und andere Geräte erst danach in Verkehr gebracht worden sein.

Für Hersteller entstehen daraus konkrete Dokumentationsaufgaben. Nachvollziehbar sein sollten insbesondere:

• Serien- oder Chargennummer,
• Produktions- und Freigabedatum,
• erstmalige Abgabe an Importeur, Händler oder Kunden,
• Version von Firmware und verbundenem Dienst,
• vorhandene Datenzugriffsfunktionen,
• zu diesem Zeitpunkt geltende Produkt- und Vertragsdokumentation.

Ein pauschaler Vermerk, dass ein Modell „bereits seit Jahren am Markt“ sei, reicht bei später produzierten oder ausgelieferten Einzelgeräten möglicherweise nicht aus.

Welche Produkte gelten als vernetzte Produkte?

Ein vernetztes Produkt ist vereinfacht dargestellt ein Gegenstand, der bei seiner Verwendung oder aus seiner Umgebung Daten erhält, erzeugt oder sammelt und diese Daten über eine elektronische Verbindung, einen physischen Anschluss oder einen Zugriff am Gerät übermitteln kann.

Die Europäische Kommission nennt unter anderem vernetzte Fahrzeuge, intelligente Haushaltsgeräte und industrielle Maschinen. Der Data Act ist branchenübergreifend angelegt und erfasst sowohl Verbraucherprodukte als auch rein gewerblich eingesetzte Anlagen.

Typischerweise betroffene Produktgruppen

Branche	Mögliche vernetzte Produkte
Maschinen- und Anlagenbau	CNC-Maschinen, Produktionslinien, Roboter, Kompressoren, Pumpen
Fahrzeugtechnik	Pkw, Nutzfahrzeuge, Landmaschinen, Baumaschinen, Flottenlösungen
Gebäudetechnik	Heizungen, Wärmepumpen, Aufzüge, Lüftungsanlagen, Gebäudeleittechnik
Energiewirtschaft	Wechselrichter, Speicher, Ladeeinrichtungen, intelligente Messsysteme
Medizintechnik	Diagnosegeräte, Therapiegeräte, Patientenmonitore, vernetzte Hilfsmittel
Landwirtschaft	Erntemaschinen, Bewässerungssysteme, Sensorik, Stalltechnik
Haushaltsgeräte	Waschmaschinen, Kühlschränke, Saugroboter, Smart-Home-Komponenten
Sicherheitstechnik	Zutrittskontrollen, Sensoren, Alarm- und Überwachungssysteme
Logistik	Telematik, Ortungssysteme, vernetzte Lager- und Transporttechnik

Nicht jedes digitale Produkt ist automatisch ein vernetztes Produkt im Sinne des Data Act. Reine Datenspeicher-, Rechen- oder Übertragungsdienste können anders einzuordnen sein. Auch branchenspezifische Vorschriften und gesetzliche Ausnahmen müssen berücksichtigt werden.

Was ist ein verbundener Dienst?

Neben dem eigentlichen Produkt können auch digitale Dienste erfasst sein, die so eng mit dem Produkt verbunden sind, dass das Produkt ohne diesen Dienst eine oder mehrere Funktionen nicht ausführen könnte oder der Dienst Funktionen des Produkts später ergänzt, aktualisiert oder verändert.

Beispiele sind:

• eine Hersteller-Cloud zur Fernüberwachung einer Maschine,
• eine App zur Steuerung einer Heizungsanlage,
• ein Onlineportal für Fahrzeug- oder Flottendaten,
• eine Plattform zur Auswertung von Sensordaten,
• ein digitaler Wartungs- oder Diagnosedienst,
• Software zur nachträglichen Erweiterung einer Produktfunktion.

Hersteller sollten Produkt und verbundenen Dienst nicht getrennt prüfen. Eine technisch zugängliche Schnittstelle am Gerät hilft wenig, wenn die entscheidenden Daten ausschließlich in der Hersteller-Cloud verbleiben. Umgekehrt genügt ein Cloud-Dashboard nicht automatisch, wenn die Daten dort nur angesehen, aber nicht umfassend und maschinenlesbar abgerufen werden können.

Welche Daten müssen zugänglich sein?

Erfasst werden insbesondere die bei der Nutzung eines vernetzten Produkts erzeugten Produktdaten sowie Daten, die bei der Nutzung des damit verbundenen Dienstes entstehen.

Dazu können beispielsweise gehören:

• Betriebsstunden,
• Energieverbrauch,
• Temperaturen und Druckwerte,
• Belastungs- und Leistungsdaten,
• Fehlercodes,
• Wartungs- und Verschleißindikatoren,
• Lade- und Batteriedaten,
• Standort- und Bewegungsdaten,
• Betriebszustände,
• Sensordaten,
• Einstellungen und Nutzerinteraktionen,
• Zeitstempel,
• Qualitäts- und Statusinformationen.

Hinzu kommen die Metadaten, die benötigt werden, um diese Informationen richtig zu interpretieren. Dazu gehören beispielsweise Einheiten, Messzeitpunkte, Datenfeldbeschreibungen, Qualitätskennzeichen oder Angaben zur verwendeten Version.

Nicht jede intern vorhandene Information muss herausgegeben werden

Der Data Act führt nicht dazu, dass Hersteller automatisch ihren Quellcode, ihre Algorithmen, Konstruktionsunterlagen oder sämtliche internen Analysen offenlegen müssen.

Hochgradig angereicherte, abgeleitete oder durch zusätzliche Investitionen erzeugte Analyseergebnisse sind regelmäßig anders zu beurteilen als die unmittelbar oder in vorverarbeiteter Form aus der Produktnutzung stammenden Daten. Die Bundesnetzagentur weist darauf hin, dass abgeleitete Daten grundsätzlich nicht zu den vom Data Act erfassten Datenzugangsansprüchen gehören.

Die Abgrenzung sollte jedoch nicht pauschal erfolgen. Ein Hersteller muss für jedes Datenfeld nachvollziehbar feststellen können:

1. Woher stammt die Information?
2. Wird sie unmittelbar durch die Produktnutzung erzeugt?
3. Welche Vorverarbeitung findet statt?
4. Ist sie für den Hersteller ohne Weiteres verfügbar?
5. Handelt es sich um eine zusätzliche Analyse oder um notwendige Aufbereitung?
6. Werden Geschäftsgeheimnisse oder personenbezogene Daten berührt?

Welche Anforderungen gelten für den Datenzugriff?

Artikel 3 Absatz 1 verlangt mehr als einen theoretischen Auskunftsanspruch. Daten und notwendige Metadaten müssen standardmäßig so zugänglich sein, dass der Nutzer sie tatsächlich weiterverwenden kann.

1. Der Zugriff muss einfach sein

Nutzer dürfen nicht durch unnötige Anträge, lange Freigabeprozesse oder komplizierte technische Hürden abgeschreckt werden.

Ein Datenzugang, der nur nach mehrfacher Kontaktaufnahme mit dem Support, einer individuellen Programmierung oder einer manuellen Einzelfallentscheidung möglich ist, kann problematisch sein.

2. Der Zugriff muss sicher sein

Hersteller müssen verhindern, dass Unbefugte auf Produkt- oder Nutzerdaten zugreifen. Das betrifft insbesondere:

• Authentifizierung,
• Rollen- und Rechteverwaltung,
• Verschlüsselung,
• sichere Schlüssel- und Tokenverwaltung,
• Schutz von Schnittstellen,
• Protokollierung,
• Mandantentrennung,
• Mehrnutzerkonstellationen,
• Sperrung ausgeschiedener Nutzer.

Bei Maschinen, Fahrzeugen und Gebäudeanlagen muss außerdem verhindert werden, dass ein Datenzugang ungewollt zu einem Steuerungszugriff wird.

3. Der Zugriff muss für den Nutzer unentgeltlich sein

Für den gesetzlich vorgesehenen Datenzugang darf vom Nutzer grundsätzlich kein zusätzliches Entgelt verlangt werden.

Hersteller sollten deshalb insbesondere kostenpflichtige „Datenpakete“, Freischaltgebühren oder verpflichtende Premiumabonnements überprüfen, wenn dadurch lediglich der gesetzlich geschuldete Zugang zu den eigenen Nutzungsdaten ermöglicht wird.

Zusätzliche Analyse-, Beratungs- oder Optimierungsleistungen können weiterhin kostenpflichtig sein. Der gesetzliche Grundzugang und eine darüber hinausgehende Mehrwertleistung müssen aber deutlich voneinander getrennt werden.

4. Die Daten müssen umfassend bereitgestellt werden

Ein Hersteller darf nicht lediglich ausgewählte, für ihn unverfängliche Daten anzeigen, wenn weitere erfasste Produktdaten in den Anwendungsbereich fallen.

Ein Dashboard mit einigen zusammengefassten Kennzahlen ist daher nicht automatisch ausreichend.

5. Das Format muss strukturiert und maschinenlesbar sein

Ein PDF-Bericht, ein Screenshot oder eine grafische Kurve ist häufig nicht ausreichend, wenn die zugrunde liegenden Daten nicht automatisiert weiterverarbeitet werden können.

Je nach Produkt können sich beispielsweise eignen:

• CSV,
• JSON,
• XML,
• standardisierte industrielle Datenformate,
• dokumentierte lokale Schnittstellen,
• Exportfunktionen,
• sichere Programmierschnittstellen,
• branchenspezifische Austauschformate.

Der Data Act schreibt keine einzige, für alle Branchen verbindliche Schnittstellentechnik vor. Daraus folgt jedoch nicht, dass jedes beliebige Format genügt. Entscheidend ist, ob die Daten tatsächlich umfassend, üblich, strukturiert und maschinenlesbar genutzt werden können.

6. Direkter Zugriff ist nicht ausnahmslos vorgeschrieben

Der direkte Zugriff vom Produkt oder verbundenen Dienst ist nur vorgeschrieben, soweit er relevant und technisch durchführbar ist.

Ist ein direkter Zugriff nicht möglich, entfallen die Datenzugangsrechte jedoch nicht automatisch. Dann muss der Dateninhaber grundsätzlich einen geeigneten Bereitstellungsweg organisieren.

7. Kontinuierliche Daten können einen kontinuierlichen Zugang erfordern

Bei Daten, die fortlaufend oder in Echtzeit erzeugt werden, kann ein einmaliger monatlicher Export unzureichend sein. Maßgeblich sind der Anwendungsfall, die technische Machbarkeit und die Art der Daten.

Ein unabhängiger Wartungsanbieter benötigt für eine Zustandsüberwachung möglicherweise einen kontinuierlichen Datenstrom. Für einen einmaligen Verbrauchsnachweis kann dagegen ein Export ausreichend sein.

Ist eine API zwingend erforderlich?

Eine Programmierschnittstelle ist nicht für jedes Produkt ausdrücklich vorgeschrieben. Dennoch kann eine API bei komplexen oder kontinuierlich Daten erzeugenden Produkten die praktikabelste Lösung sein.

Als mögliche Zugangswege kommen je nach Produkt infrage:

• lokaler Abruf am Gerät,
• USB- oder Kabelschnittstelle,
• Download im Kundenportal,
• mobile App mit Exportfunktion,
• standardisierte API,
• automatisierter Dateiabruf,
• sicherer Datenraum,
• direkte Übertragung an einen vom Nutzer benannten Dritten.

Ein Hersteller sollte die technische Lösung nicht danach auswählen, welche Variante den geringsten Entwicklungsaufwand verursacht, sondern danach, ob die gesetzlichen Anforderungen im konkreten Nutzungsszenario erfüllt werden.

Nutzer dürfen Daten an Reparatur- und Wartungsanbieter weitergeben lassen

Der Data Act soll verhindern, dass Kunden nach dem Kauf eines vernetzten Produkts dauerhaft an den Hersteller oder dessen Serviceorganisation gebunden bleiben.

Nutzer können deshalb grundsätzlich verlangen, dass bestimmte Daten an einen von ihnen ausgewählten Dritten weitergegeben werden. Das kann beispielsweise sein:

• ein unabhängiger Reparaturbetrieb,
• ein Wartungsunternehmen,
• ein Energieberater,
• ein Flottenmanager,
• ein Datenanalyseanbieter,
• ein Versicherer,
• ein landwirtschaftlicher Dienstleister,
• ein technischer Betreiber,
• ein Anbieter vorausschauender Instandhaltung.

Die Europäische Kommission nennt gerade günstigere und wettbewerbliche Reparatur- und Wartungsangebote als einen wesentlichen praktischen Nutzen des Data Act.

Hersteller müssen deshalb Prozesse entwickeln, mit denen Nutzer einen Dritten sicher benennen, den Umfang der freizugebenden Daten festlegen und die Berechtigung später wieder ändern oder beenden können.

Warum eine Datenschutzerklärung nicht ausreicht

Der Data Act und die Datenschutz-Grundverordnung verfolgen unterschiedliche Ziele.

Die DSGVO regelt vor allem, unter welchen Voraussetzungen personenbezogene Daten verarbeitet werden dürfen. Der Data Act regelt dagegen den Zugang zu und die Nutzung von Daten aus vernetzten Produkten. Er umfasst sowohl personenbezogene als auch nicht personenbezogene Daten.

Eine Datenschutzprüfung beantwortet deshalb noch nicht:

• Welche Produktdaten stehen dem Nutzer zu?
• Welche Daten darf der Hersteller selbst verwenden?
• In welchem Format müssen Daten bereitgestellt werden?
• Wie erfolgt die Weitergabe an einen Wartungsanbieter?
• Welche Metadaten sind erforderlich?
• Welche Daten sind Geschäftsgeheimnisse?
• Wie wird zwischen mehreren Nutzern unterschieden?
• Wie lange bleiben die Daten verfügbar?
• Was geschieht nach Verkauf, Vermietung oder Leasingende?

Sind personenbezogene Daten betroffen, gilt die DSGVO weiterhin uneingeschränkt. Ist der anfragende Nutzer nicht zugleich die betroffene Person, schafft der Data Act allein keine datenschutzrechtliche Rechtsgrundlage für die Offenlegung dieser personenbezogenen Daten.

Besonders schwierige Mehrnutzerfälle

Komplexe Situationen entstehen beispielsweise bei:

• gemeinsam genutzten Fahrzeugen,
• geleasten Maschinen,
• Mietwohnungen mit intelligenter Gebäudetechnik,
• Dienstwagen,
• medizinischen Geräten,
• Produktionsanlagen mit mehreren Auftraggebern,
• Plattformen mit Betreiber, Eigentümer und Endnutzer,
• später weiterverkauften Produkten.

Ein technisch funktionierender Vollzugriff für jeden registrierten Nutzer wäre hier regelmäßig nicht ausreichend. Erforderlich sind differenzierte Rollen, Berechtigungen und gegebenenfalls eine Trennung einzelner Datensätze.

Darf der Hersteller die Produktdaten weiterhin selbst nutzen?

Nicht personenbezogene Produktdaten dürfen vom Dateninhaber nicht allein deshalb beliebig verwendet werden, weil sie auf seinen Servern gespeichert werden.

Der Data Act verlangt grundsätzlich eine vertragliche Grundlage mit dem Nutzer, wenn der Dateninhaber die ohne Weiteres verfügbaren nicht personenbezogenen Produktdaten selbst nutzen möchte.

Für Hersteller bedeutet das: Telemetriedaten, Betriebsdaten und Nutzungsinformationen sollten nicht nur in Datenschutzhinweisen erwähnt werden. Die vorgesehene Nutzung muss im Vertragswerk sauber geregelt sein.

Dabei sollten insbesondere folgende Zwecke unterschieden werden:

• Produktverbesserung,
• Fehleranalyse,
• Wartung,
• Gewährleistung,
• Sicherheitsüberwachung,
• Forschung und Entwicklung,
• statistische Auswertung,
• personalisierte Angebote,
• Benchmarking,
• Training von Analyse- oder KI-Systemen.

Pauschale Formulierungen wie „Der Hersteller darf alle erzeugten Daten für eigene Zwecke verwenden“ können erhebliche rechtliche Risiken auslösen.

Geschäftsgeheimnisse erlauben keine pauschale Zugriffsverweigerung

Maschinendaten, Produktionsparameter und Diagnosedaten können Rückschlüsse auf Herstellungsverfahren, Auslastung, Rezepturen oder technische Besonderheiten zulassen. Entsprechend groß ist das Interesse am Schutz von Geschäftsgeheimnissen.

Der Data Act erkennt dieses Schutzinteresse ausdrücklich an. Er erlaubt aber nicht, sämtliche Produktdaten vorsorglich als geheim einzustufen und den Zugriff vollständig zu verweigern.

Grundsätzlich müssen die betroffenen Geschäftsgeheimnisse identifiziert und angemessene technische sowie organisatorische Schutzmaßnahmen vereinbart werden. Dazu können gehören:

• Vertraulichkeitsvereinbarungen,
• Zugriffsbeschränkungen,
• sichere Verarbeitungsumgebungen,
• Verschlüsselung,
• Protokollierung,
• Verbot bestimmter Weitergaben,
• Zweckbindungen,
• organisatorische Trennung,
• Einschränkung von Download- oder Kopiermöglichkeiten.

Eine Verweigerung kommt nur unter engen Voraussetzungen in Betracht. Der Dateninhaber muss im Einzelfall nachweisen können, dass trotz angemessener Schutzmaßnahmen mit hoher Wahrscheinlichkeit ein schwerer wirtschaftlicher Schaden entstehen würde.

Wird der Zugang zu Geschäftsgeheimnissen ausgesetzt oder verweigert, muss die Entscheidung begründet und grundsätzlich auch der zuständigen Behörde mitgeteilt werden. Die Bundesnetzagentur stellt ausdrücklich klar, dass Schutzmechanismen für Geschäftsgeheimnisse nicht missbräuchlich eingesetzt werden dürfen, um den Datenzugang unverhältnismäßig einzuschränken.

Welche Vertragsunterlagen müssen überprüft werden?

Die technische Schnittstelle ist nur ein Teil der Umsetzung. Mindestens ebenso wichtig ist die Vertragsarchitektur.

Kauf-, Miet- und Leasingverträge

Bereits vor Vertragsschluss müssen Nutzer klar und verständlich über wesentliche Aspekte der erzeugten Daten informiert werden. Dazu gehören unter anderem Art, Format und voraussichtlicher Umfang der Daten sowie die Frage, ob Daten kontinuierlich oder in Echtzeit erzeugt werden.

Nutzungsbedingungen für verbundene Dienste

Zu regeln sind insbesondere:

• Zugang zum Kundenkonto,
• Rollen und Berechtigungen,
• verfügbare Datenfelder,
• Datenformate,
• Speicher- und Abrufdauer,
• Änderung von Schnittstellen,
• Exportmöglichkeiten,
• Beendigung des Dienstes,
• Umgang mit Produktverkäufen,
• Support- und Eskalationswege.

Vereinbarung über die Datennutzung durch den Hersteller

Der Hersteller sollte konkret festlegen, zu welchen Zwecken er nicht personenbezogene Produktdaten nutzen darf.

Vereinbarungen über die Weitergabe an Dritte

Benötigt werden Regeln für:

• Benennung des Datenempfängers,
• Identitätsprüfung,
• Umfang der Daten,
• Übertragungszeitraum,
• Widerruf oder Beendigung,
• Sicherheit,
• Geschäftsgeheimnisse,
• Löschung nach Zweckerfüllung.

Verträge mit Plattform- und Cloudanbietern

Hersteller müssen sicherstellen, dass sie ihre Verpflichtungen auch erfüllen können, wenn die Daten technisch bei einem externen Plattformbetreiber liegen.

Ein Vertrag, der dem Hersteller selbst keinen ausreichenden Zugriff oder keine Weitergabemöglichkeit einräumt, kann die gesetzliche Erfüllung blockieren.

Lieferanten- und Entwicklungsverträge

Auch Entwickler von Firmware, Sensoren und Cloudkomponenten sollten verpflichtet werden, notwendige Datenfelder, Dokumentationen und Schnittstellen bereitzustellen.

Wer die entscheidende Software von einem Zulieferer bezieht, darf nicht erst nach dem Produktstart feststellen, dass ein maschinenlesbarer Datenexport technisch oder lizenzrechtlich ausgeschlossen ist.

Welche Ausnahmen gelten für kleine Unternehmen?

Für Kleinst- und Kleinunternehmen enthält der Data Act bestimmte Ausnahmen von den Verpflichtungen des Kapitels über die Datenweitergabe zwischen Unternehmen und Nutzern.

Die Ausnahme kann jedoch entfallen, wenn das Unternehmen mit einem größeren Unternehmen verbunden ist, als Partnerunternehmen einzuordnen ist oder die Herstellung beziehungsweise Konzeption im Auftrag eines größeren Unternehmens erfolgt.

Auch für mittlere Unternehmen bestehen begrenzte Übergangsregelungen. Die genaue Einordnung hängt nicht allein von der Zahl der Beschäftigten ab, sondern kann auch Umsatz, Bilanzsumme, Beteiligungsverhältnisse, Unternehmensgruppen und Auftragsstrukturen betreffen.

Hersteller sollten daher nicht allein mit dem Hinweis „Wir sind ein kleines Unternehmen“ von einer Ausnahme ausgehen. Erforderlich ist eine dokumentierte Prüfung der konkreten Unternehmens- und Lieferkettenstruktur.

Wer kontrolliert den Data Act in Deutschland?

Seit dem Inkrafttreten des deutschen Datenverordnung-Anwendungs-und-Durchsetzungs-Gesetzes am 30. Mai 2026 ist die Bundesnetzagentur grundsätzlich die zuständige Behörde für die Anwendung und Durchsetzung des Data Act.

Sie kann Beschwerden bearbeiten, Ermittlungen durchführen, Unterlagen verlangen und Maßnahmen zur Einhaltung der Verordnung anordnen. Bei Fragen zum Schutz personenbezogener Daten ist für nicht öffentliche Stellen die oder der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit besonders zuständig. Bundesnetzagentur und Datenschutzaufsicht arbeiten dabei zusammen.

Welche Bußgelder drohen?

Nach § 15 DADG kann ein Verstoß gegen Artikel 3 Absatz 1 – also die nicht ordnungsgemäße Konzeption, Herstellung oder Erbringung eines vernetzten Produkts beziehungsweise verbundenen Dienstes – mit einer Geldbuße von bis zu 500.000 Euro geahndet werden.

Auch Verstöße gegen die Datenbereitstellungspflichten nach den Artikeln 4 und 5 können mit bis zu 500.000 Euro sanktioniert werden. Zusätzlich kann die Bundesnetzagentur zur Durchsetzung ihrer Anordnungen Zwangsgelder bis zu 500.000 Euro festsetzen. (Gesetze im Internet)

Neben behördlichen Sanktionen drohen:

• Kundenbeschwerden,
• Streitigkeiten mit gewerblichen Nutzern,
• Nachbesserungsaufwand,
• Verzögerungen bei Produkteinführungen,
• Konflikte mit Händlern und Leasinggesellschaften,
• Verlust von Wartungs- und Servicekunden,
• Schadensersatzforderungen,
• Reputationsschäden,
• technische Sonderlösungen unter Zeitdruck.

Compliance-Check: Ist das Produkt „Access by Design“-fähig?

1. Produkt und Anwendungsbereich

• Ist das Produkt elektronisch oder physisch vernetzt?
• Erzeugt oder sammelt es Daten über seine Nutzung oder Umgebung?
• Können diese Daten am Gerät, über eine Verbindung oder über eine Cloud abgerufen werden?
• Gibt es einen verbundenen digitalen Dienst?
• Wann wird jedes einzelne Produkt erstmals in der EU bereitgestellt?
• Liegt eine Ausnahme für Kleinst- oder Kleinunternehmen vor?
• Gibt es branchenspezifische Sonderregeln?

2. Dateninventar

• Welche Datenfelder entstehen bei der Nutzung?
• Wo werden diese Daten gespeichert?
• Welche Daten erhält der Hersteller?
• Welche Daten verbleiben ausschließlich am Gerät?
• Welche Metadaten sind zum Verständnis erforderlich?
• Welche Daten sind roh, vorverarbeitet, abgeleitet oder angereichert?
• Welche Daten enthalten personenbezogene Informationen?
• Welche Daten könnten Geschäftsgeheimnisse darstellen?

3. Technischer Zugang

• Kann der Nutzer die Daten selbst abrufen?
• Ist direkter Zugriff relevant und technisch möglich?
• Steht ein maschinenlesbares Format bereit?
• Ist der Zugriff vollständig oder nur auf ausgewählte Daten beschränkt?
• Können kontinuierlich erzeugte Daten kontinuierlich abgerufen werden?
• Ist die Schnittstelle dokumentiert?
• Funktioniert der Zugriff ohne kostenpflichtige Zusatzfreischaltung?
• Können Nutzer Daten sicher an einen Dritten übertragen lassen?

4. Identität und Berechtigungen

• Wer gilt als Nutzer: Eigentümer, Mieter, Leasingnehmer oder Betreiber?
• Wie wird die Berechtigung nachgewiesen?
• Wie werden mehrere Nutzer voneinander getrennt?
• Was geschieht bei Verkauf oder Rückgabe?
• Wie werden Zugänge entzogen?
• Können Dritte zeitlich und inhaltlich begrenzt freigeschaltet werden?

5. Verträge und Informationen

• Werden die vorgeschriebenen Informationen vor Vertragsschluss bereitgestellt?
• Ist die eigene Datennutzung des Herstellers vertraglich geregelt?
• Sind Zwecke und Grenzen der Datennutzung klar?
• Sind Drittweitergabe und Widerruf geregelt?
• Stimmen Kaufvertrag, Nutzungsbedingungen, Datenschutzinformationen und Servicevertrag überein?
• Sichern Lieferanten- und Cloudverträge die notwendige Datenverfügbarkeit?

6. Geschäftsgeheimnisse

• Welche konkreten Datenfelder sind schutzbedürftig?
• Wer ist Inhaber des jeweiligen Geschäftsgeheimnisses?
• Welche Schutzmaßnahmen sind erforderlich?
• Können Daten teilweise oder in einer sicheren Umgebung bereitgestellt werden?
• Ist eine eventuelle Verweigerung einzelfallbezogen begründbar?
• Besteht ein Prozess für die Mitteilung an die Bundesnetzagentur?

7. Datenschutz und Sicherheit

• Welche Daten sind personenbezogen?
• Wer ist die betroffene Person?
• Ist der anfragende Nutzer mit der betroffenen Person identisch?
• Welche Rechtsgrundlage erlaubt die Verarbeitung?
• Werden nur die erforderlichen Daten offengelegt?
• Sind Authentifizierung, Verschlüsselung und Protokollierung angemessen?
• Ist die Schnittstelle gegen Manipulation und unberechtigte Steuerungszugriffe geschützt?

8. Freigabe und Nachweis

• Wurde der Datenzugriff praktisch getestet?
• Gibt es Testfälle für unterschiedliche Nutzerrollen?
• Sind Datenfelder und Formate dokumentiert?
• Ist der Zeitpunkt des Inverkehrbringens nachvollziehbar?
• Sind Verantwortliche für Produkt, IT, Recht und Datenschutz benannt?
• Wird die Compliance bei Firmware- und Serviceupdates erneut geprüft?

Praxisbeispiel: Vernetzte Industriemaschine

Ein Maschinenbauer bringt nach dem 12. September 2026 eine neue Produktionsanlage auf den EU-Markt. Die Anlage erfasst Betriebsstunden, Energieverbrauch, Motortemperatur, Fehlercodes, Auslastung und Verschleißwerte.

Der Kunde kann einige Kennzahlen in einem Herstellerportal ansehen. Ein Export ist jedoch nicht möglich. Die Wartungsdaten können nur vom Kundendienst des Herstellers abgerufen werden.

Ein solcher Aufbau birgt erhebliche Risiken:

• Die Daten sind nicht umfassend maschinenlesbar zugänglich.
• Der Kunde kann keinen unabhängigen Wartungsanbieter anbinden.
• Das Portal ermöglicht nur eine visuelle Ansicht.
• Datenformate und Metadaten sind nicht dokumentiert.
• Die eigene Nutzung der Maschinendaten durch den Hersteller ist vertraglich nicht eindeutig geregelt.
• Geschäftsgeheimnisse werden pauschal als Ablehnungsgrund genannt.

Eine mögliche Lösung wäre ein rollenbasierter Datenexport oder eine abgesicherte API. Der Kunde erhält Zugriff auf die relevanten Betriebsdaten und kann einen Wartungsanbieter zeitlich begrenzt freischalten. Sensible Datenfelder werden identifiziert und durch konkrete technische und vertragliche Maßnahmen geschützt.

Entscheidend ist, dass die Lösung bereits vor der Markteinführung technisch getestet und in den Kundenverträgen abgebildet wird.

Häufige Fragen zum Data Act Access by Design

Müssen alle bereits verkauften Produkte technisch nachgerüstet werden?

Die Konstruktionspflicht aus Artikel 3 Absatz 1 gilt nur für vernetzte Produkte und verbundene Dienste, die nach dem 12. September 2026 in Verkehr gebracht werden.

Die allgemeinen Datenzugangsrechte nach den Artikeln 4 und 5 gelten jedoch bereits seit dem 12. September 2025. Auch bei älteren Produkten kann der Dateninhaber deshalb verpflichtet sein, dem Nutzer die ohne Weiteres verfügbaren Daten bereitzustellen.

Gilt der Data Act auch zwischen Unternehmen?

Ja. Der Data Act gilt nicht nur für Verbraucherprodukte. Er erfasst ausdrücklich auch gewerbliche Nutzer, beispielsweise Betreiber von Maschinen, Flotten, Energieanlagen oder Gebäudetechnik.

Muss jedes Produkt eine öffentliche API anbieten?

Nein. Eine öffentliche und uneingeschränkt nutzbare API ist nicht generell vorgeschrieben. Der gewählte Zugangsweg muss aber die gesetzlichen Anforderungen erfüllen und ausreichend sicher, umfassend sowie maschinenlesbar sein.

Darf der Hersteller für den Datenexport Geld verlangen?

Der Zugang des Nutzers zu den erfassten Produkt- und verbundenen Dienstdaten muss grundsätzlich unentgeltlich sein. Kostenpflichtige Zusatzanalysen bleiben möglich, sofern der gesetzlich geschuldete Grundzugang nicht davon abhängig gemacht wird.

Darf der Hersteller Daten wegen Geschäftsgeheimnissen vollständig zurückhalten?

Nicht pauschal. Zunächst müssen die Geschäftsgeheimnisse konkret identifiziert und angemessene Schutzmaßnahmen vereinbart werden. Eine Verweigerung ist nur unter engen Voraussetzungen und bei nachweisbar drohendem schwerem wirtschaftlichem Schaden möglich.

Was gilt bei personenbezogenen Daten?

Die DSGVO gilt parallel. Der Data Act ersetzt weder eine datenschutzrechtliche Rechtsgrundlage noch die Informations-, Sicherheits- und Betroffenenrechte der DSGVO.

Können Kunden die Daten an Wettbewerber des Herstellers weitergeben?

Kunden dürfen Daten grundsätzlich an ausgewählte Dritte, etwa Reparatur-, Wartungs- oder Analysedienstleister, übermitteln lassen. Für die Entwicklung eines unmittelbar konkurrierenden vernetzten Produkts enthält der Data Act jedoch besondere Beschränkungen.

Sind kleine Hersteller vollständig ausgenommen?

Für Kleinst- und Kleinunternehmen bestehen Ausnahmen. Diese hängen aber unter anderem von Beteiligungsstrukturen, Unternehmensverbindungen und Auftragsverhältnissen ab. Eine pauschale Befreiung für jeden kleinen Hersteller gibt es nicht.

Wer ist in Deutschland zuständig?

Grundsätzlich ist die Bundesnetzagentur die zentrale Behörde für Anwendung und Durchsetzung. Bei der Verarbeitung personenbezogener Daten wird die Datenschutzaufsicht einbezogen.

Wie hoch kann das Bußgeld sein?

Für eine fehlerhafte Konzeption oder Herstellung entgegen Artikel 3 Absatz 1 sieht das deutsche DADG ein Bußgeld von bis zu 500.000 Euro vor.Fazit: Datenzugriff wird zum festen Produktmerkmal

Der Data Act macht aus Datenzugang eine Produkt- und Managementaufgabe.

Für nach dem 12. September 2026 in Verkehr gebrachte vernetzte Produkte genügt es nicht mehr, Nutzungsdaten intern zu sammeln und Kunden bei Bedarf einzelne Berichte zu schicken. Hersteller müssen von Beginn an klären:

• welche Daten entstehen,
• wem sie zugänglich sein müssen,
• wie der Zugriff technisch funktioniert,
• in welchem Format die Daten bereitgestellt werden,
• wie Dritte eingebunden werden,
• welche eigenen Nutzungsrechte bestehen,
• wie personenbezogene Daten und Geschäftsgeheimnisse geschützt werden.

Besonders gefährlich ist eine isolierte Bearbeitung. Die Entwicklungsabteilung kann keine rechtssicheren Nutzungsbedingungen erstellen. Die Rechtsabteilung kann keine sichere Schnittstelle programmieren. Der Datenschutzbeauftragte entscheidet nicht allein über nicht personenbezogene Maschinendaten. Und der Vertrieb darf keine Datenzugänge versprechen, die technisch nicht umgesetzt sind.

Erforderlich ist ein gemeinsamer Freigabeprozess aus Produktentwicklung, IT, Informationssicherheit, Datenschutz, Recht, Vertrieb, Service und Geschäftsführung.

Unternehmen, die diese Prüfung erst nach dem Produktstart beginnen, riskieren teure Nachentwicklungen, Kundenkonflikte und regulatorische Verfahren. Wer den Datenzugriff dagegen als reguläres Produktmerkmal behandelt, kann den Data Act zugleich für neue Wartungsangebote, datenbasierte Dienstleistungen und bessere Kundenbindung nutzen.

Quellen und weiterführende Informationen

• Verordnung (EU) 2023/2854 – vollständiger Text des Data Act und Artikel 3 sowie Artikel 50. (EUR-Lex)
• Europäische Kommission – Überblick über Ziele, Datenzugangsrechte und praktische Auswirkungen des Data Act. (Digitale Strategie der EU)
• Europäische Kommission – Erläuterungen zum Data Act für Unternehmen und Nutzer vernetzter Produkte. (Digitale Strategie der EU)
• Bundesnetzagentur – Datenzugang, Datennutzung, Geschäftsgeheimnisse und personenbezogene Daten. (Bundesnetzagentur)
• Datenverordnung-Anwendungs-und-Durchsetzungs-Gesetz – Zuständigkeiten, Durchsetzung und Bußgeldvorschriften in Deutschland. (Gesetze im Internet)