EU Data Act: Was Hersteller vernetzter Geräte leisten müssen
Der EU Data Act verpflichtet Hersteller vernetzter Produkte, Nutzern die Daten ihrer Geräte kostenlos und maschinenlesbar zugänglich zu machen und auf Wunsch an Dritte weiterzugeben. Seit 12.09.2025 gelten Zugangsrechte und Informationspflichten, ab 12.09.2026 müssen neu in Verkehr gebrachte Produkte den Datenzugang schon in ihrer Konstruktion vorsehen.
Betroffen ist dabei nicht nur das Gerät, sondern die Software drumherum: App, Herstellerportal und Cloud-Plattform. Für Betriebe in Industrie und Fertigung heißt das: Datenexport, Rollen und die Weitergabe an Dritte werden zu Funktionen des Produkts, die bei neuen Geräten ab dem 12.09.2026 schon in der Konstruktion stecken müssen. Ab dem 11.09.2026 gilt für viele derselben Hersteller außerdem die Meldepflicht für Schwachstellen aus dem Cyber Resilience Act.
Der Rahmen
Was der Data Act regelt
Der Data Act, offiziell Verordnung (EU) 2023/2854, regelt, wer die Daten nutzen darf, die vernetzte Produkte beim Betrieb erzeugen. Er gilt seit dem 12.09.2025 unmittelbar in allen EU-Staaten, ohne Umsetzung in nationales Recht. Sein Grundgedanke: Wer ein Gerät kauft, mietet oder least, soll an die Daten herankommen, die es erzeugt, und sie auch einem Dienstleister seiner Wahl geben können.
Die Verordnung hat mehrere Teile. Für Hersteller und Softwareanbieter im Mittelstand sind vor allem drei wichtig:
Datenzugang bei vernetzten Produkten (Kapitel II): Rechte der Nutzer, Pflichten der Hersteller und Anbieter verbundener Dienste.
Faire Verträge über Daten (Kapitel IV): Schutz vor einseitig auferlegten, missbräuchlichen Klauseln zwischen Unternehmen.
Wechsel zwischen Cloud-Diensten (Kapitel VI): Kündigung, Datenmitnahme und Wechselentgelte bei Datenverarbeitungsdiensten.
Ein vernetztes Produkt ist jedes Gerät, das Daten über seine Nutzung oder Umgebung erzeugt und sie über eine Verbindung übermitteln kann: Werkzeugmaschine, Heizungsanlage, Wallbox, Landmaschine, Medizingerät oder Haushaltsgerät. Ein verbundener Dienst ist die Software, ohne die das Gerät eine Funktion nicht erfüllen würde, etwa die App zur Steuerung oder das Herstellerportal. Damit fallen viele Produkte aus dem IoT-Umfeld unter die Verordnung.
In Deutschland ist am 30.05.2026 das Gesetz zur Durchführung des Data Act in Kraft getreten (BGBl. 2026 I Nr. 157). Sein Kern ist das Datenverordnung-Anwendungs-und-Durchsetzungs-Gesetz (DADG). Es benennt die Bundesnetzagentur als zuständige Behörde und regelt die Bußgelder.
Zugangsrecht
Data Act: Datenzugang für Nutzer vernetzter Produkte
Der Kern der Pflichten für vernetzte Produkte ist das Zugangsrecht des Nutzers. Kann er die Daten nicht direkt am Gerät oder im verbundenen Dienst abrufen, muss der Dateninhaber, meist der Hersteller, sie ihm bereitstellen. Nach Art. 4 gilt dafür:
unverzüglich und kostenlos für den Nutzer
in derselben Qualität, die der Hersteller selbst hat
in einem strukturierten, gängigen und maschinenlesbaren Format, mit den Metadaten, die man zum Verstehen der Daten braucht
soweit technisch machbar laufend und in Echtzeit
auf formlose elektronische Anfrage hin
Nach Art. 5 kann der Nutzer verlangen, dass die Daten direkt an einen Dritten gehen, etwa an einen unabhängigen Wartungsdienstleister. Für den Nutzer bleibt das kostenlos, vom Dritten darf der Dateninhaber eine angemessene Gegenleistung verlangen. Unternehmen, die nach dem Digital Markets Act als Torwächter benannt sind, können diesen Weg nicht nutzen.
Erfasst sind die Rohdaten und die Daten, die ohne aufwendige Verarbeitung verfügbar sind. Was Sie mit eigenen Algorithmen daraus ableiten, etwa eine Verschleißprognose, gehört nach den Erwägungsgründen nicht dazu. Geschäftsgeheimnisse bleiben geschützt: Sie dürfen Vertraulichkeitsmaßnahmen vereinbaren und die Herausgabe in begründeten Fällen verweigern, müssen das aber schriftlich begründen und der Behörde melden.
Umgekehrt gilt auch eine Grenze für den Hersteller: Nicht personenbezogene Gerätedaten darf er nach Art. 4 Abs. 13 nur auf Grundlage eines Vertrags mit dem Nutzer selbst verwenden. Für personenbezogene Daten gilt daneben die DSGVO.
Fristen
Fristen seit September 2025 und ab September 2026
Die wichtigste Frist für Hersteller gilt ab dem 12.09.2026: Ab diesem Tag müssen vernetzte Produkte und verbundene Dienste, die neu in Verkehr gebracht werden, so konstruiert sein, dass die Daten für den Nutzer standardmäßig zugänglich sind (Art. 3 Abs. 1). Das Gerät oder der Dienst muss den Datenzugang also schon mitbringen, statt ihn auf Anfrage nachzurüsten.
Die Fristen im Überblick:
Seit 12.09.2025: Die Verordnung gilt. Nutzer haben Zugangs- und Weitergaberechte (Art. 4 und 5). Verkäufer, Vermieter und Anbieter verbundener Dienste müssen vor Vertragsschluss informieren, welche Daten das Produkt erzeugt, in welchem Format, wo sie gespeichert werden und wie der Nutzer an sie herankommt (Art. 3 Abs. 2 und 3).
Ab 12.09.2026: Pflicht zum Datenzugang durch Konstruktion für Produkte und Dienste, die nach diesem Tag in Verkehr gebracht werden. Geräte, die vorher auf den Markt kamen, fallen nicht unter diese Konstruktionspflicht, wohl aber unter das Zugangsrecht.
Ab 12.01.2027: Cloud-Anbieter dürfen für den Wechsel keine Wechselentgelte mehr verlangen.
Ab 12.09.2027: Die Regeln gegen missbräuchliche Vertragsklauseln gelten auch für ältere, unbefristete oder lange laufende Verträge.
Für Kleinst- und Kleinunternehmen als Hersteller gibt es eine Ausnahme von den Pflichten aus Kapitel II (Art. 7), Einzelheiten stehen in den FAQ unten.
Die EU-Kommission hat im November 2025 mit dem sogenannten Digital Omnibus Änderungen am Data Act vorgeschlagen. Stand Ende August 2026 sind sie nicht beschlossen; bis dahin gilt die Verordnung in der geltenden Fassung.
Aktualisierung vom 02.11.2026: Der Rat der EU hat am 21.10.2026 seine Verhandlungsposition zum Digital Omnibus festgelegt, der auch den Data Act betrifft. Das Europäische Parlament hat noch keine Position beschlossen, die Verordnung gilt unverändert. Der parallel vorgeschlagene Omnibus zur KI-Verordnung ist dagegen seit dem 27.07.2026 in Kraft, siehe EU AI Act: Welche Pflichten ab August 2026 gelten.
Cloud-Anbieter
Cloud-Wechsel und Anbieterpflichten
Der Data Act betrifft nicht nur Gerätehersteller, sondern jedes Unternehmen, das Datenverarbeitungsdienste anbietet: Hosting, Plattformen und Software as a Service. Er soll den Wechsel zu einem anderen Anbieter oder in eigene Infrastruktur erleichtern und so Vendor-Lock-in verringern.
Der Vertrag mit dem Kunden muss nach Art. 25 unter anderem regeln:
eine Ankündigungsfrist für den Wechsel von höchstens zwei Monaten
einen Übergangszeitraum von höchstens 30 Kalendertagen, in dem der Dienst weiterläuft und der Anbieter beim Wechsel hilft (in technisch begründeten Fällen bis zu sieben Monate)
einen Zeitraum von mindestens 30 Kalendertagen, in dem der Kunde seine Daten abrufen kann
welche Datenkategorien exportiert werden können und dass sie danach gelöscht werden
Wechselentgelte dürfen bis zum 12.01.2027 nur ermäßigt und kostenorientiert erhoben werden, danach gar nicht mehr. Für Dienste, die im Kern für einen einzelnen Kunden gebaut wurden, und für befristete Testversionen gibt es nach Art. 31 Ausnahmen; der Anbieter muss vor Vertragsschluss darauf hinweisen.
Wer als Hersteller selbst ein Kundenportal oder eine Cloud-Plattform betreibt, ist damit oft doppelt betroffen: als Dateninhaber für die Gerätedaten und als Anbieter eines Datenverarbeitungsdienstes. Warum Abhängigkeiten von Cloud-Anbietern auch ohne Gesetz ein Risiko sind, beschreibt der Beitrag Vendor-Lock-in: Auch Cloud ist eine Falle.
Umsetzung
Was das für Ihre Software bedeutet
Für die Software rund um ein vernetztes Produkt folgt aus dem Data Act vor allem eines: Der Datenzugang muss eine eingebaute Funktion sein, kein Sonderfall für Supportanfragen. Konkret heißt das:
Datenbestand aufnehmen: Welche Daten erzeugt das Gerät, welche der verbundene Dienst? Was davon ist ohne Weiteres verfügbar, was ist abgeleitet? Diese Liste ist die Grundlage für die Informationspflicht und den Export.
Export und Schnittstelle bauen: Ein Download im Nutzerportal reicht für viele Fälle, für laufende oder Echtzeit-Daten braucht es eine dokumentierte Schnittstelle zum Abruf, etwa eine REST-API mit Webhooks. Gängige Formate wie JSON oder CSV und eine Beschreibung der Felder verbessern die Interoperabilität.
Berechtigungen klären: Wer ist der Nutzer, wenn eine Maschine geleast ist und von drei Schichten bedient wird? Das Portal muss Rollen abbilden und Weitergaben an Dritte mit Einwilligung, Widerruf und Protokoll verwalten.
Geschäftsgeheimnisse markieren: Daten, die Rückschlüsse auf Ihre Konstruktion erlauben, gehören vorab gekennzeichnet, mit Prozess für Vertraulichkeitsvereinbarungen.
Informationen vor dem Kauf bereitstellen: Datenblatt, Website und Vertragsunterlagen müssen die Angaben nach Art. 3 Abs. 2 und 3 enthalten.
Cloud-Verträge prüfen: Wenn Sie selbst eine Plattform anbieten, gehören Exportfunktion, Fristen und Löschung in Vertrag und Software.
Diese Punkte lassen sich in bestehende Portale nachrüsten, sind bei neuen Produkten aber deutlich günstiger, wenn sie von Anfang an eingeplant werden. Genau darum geht es der Konstruktionspflicht ab dem 12.09.2026.
Kurz beantwortet
Häufige Fragen
-
Die Pflichten zum Datenzugang bei vernetzten Produkten gelten nicht für Daten aus Produkten, die Kleinst- oder Kleinunternehmen herstellen, also Betriebe mit weniger als 50 Beschäftigten und höchstens 10 Millionen Euro Umsatz oder Bilanzsumme. Die Ausnahme entfällt, wenn ein Partner- oder verbundenes Unternehmen größer ist. Mittlere Unternehmen haben für ein neues Produkt ein Jahr Übergangszeit ab dem Inverkehrbringen. Als Nutzer oder Cloud-Kunde profitieren auch kleine Betriebe von den Rechten des Data Act.
-
Wenn Ihre Maschine ein vernetztes Produkt im Sinne des Data Act ist und der Nutzer den Zugang verlangt, müssen Sie die Daten bereitstellen. Herausgeben müssen Sie die Rohdaten und Metadaten, die beim Betrieb ohne Weiteres verfügbar sind, nicht Ihre daraus berechneten Auswertungen. Geschäftsgeheimnisse dürfen Sie über Vertraulichkeitsvereinbarungen schützen und in begründeten Ausnahmefällen zurückhalten.
-
Das Gesetz zur Durchführung des Data Act mit dem DADG ist am 30.05.2026 in Kraft getreten. Zuständig ist die Bundesnetzagentur, für Fragen zu personenbezogenen Daten zusätzlich die Bundesbeauftragte für den Datenschutz. Das Gesetz regelt auch die Bußgelder.
Datenzugang technisch umsetzen
Wir bauen für Maschinen- und Anlagenbauer Portale und Schnittstellen, über die Nutzer ihre Daten abrufen und an Dritte weitergeben können.
Nachweise
Quellen und Stand
Geprüft am 02.11.2026: Fristen nach Verordnung (EU) 2023/2854, deutsches Durchführungsgesetz und Stand des Digital Omnibus, siehe Aktualisierung im Abschnitt zu den Fristen. Dieser Beitrag ist keine Rechtsberatung. Ob und wie die Pflichten für Ihr Produkt gelten, klären Sie mit einem Anwalt.
Artikel teilen