Datenzugang als Produktanforderung

Der Data Act

Wer heute ein vernetztes Auto fährt oder einen modernen Traktor über den Acker lenkt, produziert ununterbrochen Daten: über Standorte, Verbrauch, Verschleiß. Wer wissen will, was sein Gerät eigentlich sammelt, oder die Daten mit einer anderen Software auswerten möchte, hat meist das Nachsehen, denn der Zugriff liegt beim Hersteller.

Ähnlich sieht es in der Cloud aus: Ein Unternehmen, das seine Anwendungen und Datenbanken über Jahre bei einem Hyperscaler aufgebaut hat, steckt dort schnell fest. Der Umzug zu einem anderen Anbieter scheitert selten an der Technik allein, sondern an Kündigungsfristen, Vertragsklauseln und vor allem an den Gebühren, die allein dafür anfallen, die eigenen Daten wieder herauszuholen.

In beiden Fällen ist die Konstellation dieselbe: Daten entstehen beim Kunden, aber die Kontrolle darüber liegt beim Anbieter. Das ist nicht nur ärgerlich, sondern ein Wettbewerbsproblem. Wer seine Daten nicht mitnehmen kann, wechselt nicht. Und wer keinen Zugriff auf Gerätedaten bekommt, kann keine Konkurrenzangebote oder neuen Dienste darauf aufbauen.

Datenzugang und Wechselfreiheit per Gesetz

Hier setzt der Data Act der EU an. Die Verordnung (EU) 2023/2854 ist im Januar 2024 in Kraft getreten und gilt seit dem 12. September 2025. Sie verfolgt einen einfachen Gedanken: Daten, die bei der Nutzung vernetzter Produkte und digitaler Dienste entstehen, gehören nicht automatisch dem, der die Infrastruktur betreibt. Nutzer sollen auf sie zugreifen und sie weitergeben können, und Kunden von Cloud- und anderen Datenverarbeitungsdiensten sollen den Anbieter wechseln können, ohne dafür bestraft zu werden. Bislang war beides eine Frage des Goodwills der Anbieter, mit dem Data Act wurde es zum Recht der Nutzer und Kunden.

Was der Data Act verlangt

Die Pflichten treffen in erster Linie die Hersteller und Anbieter vernetzter Produkte, die sogenannten Dateninhaber. Konkret bedeutet das:

Produkte müssen so gebaut werden, dass die bei der Nutzung erzeugten Daten für den Nutzer direkt zugänglich sind („Access by Design”). Diese Pflicht gilt für Produkte, die seit dem 12. September 2026 in Verkehr gebracht werden. Wo ein direkter Zugriff technisch nicht möglich ist, müssen Hersteller die Daten auf Anfrage unkompliziert herausgeben, und zwar kostenlos, in einem gängigen, maschinenlesbaren Format.

Nutzer dürfen die Daten aber nicht nur selbst einsehen, sondern auch an Dritte weitergeben lassen, etwa an eine freie Werkstatt, einen Versicherer oder einen Anbieter von Analysesoftware. Der Hersteller darf das nicht blockieren, darf die Daten aber auch nicht nach Belieben für eigene Zwecke nutzen, ohne dass dies vertraglich mit dem Nutzer vereinbart ist. Wichtig ist außerdem, dass Hersteller vor dem Kauf transparent machen müssen, welche Daten überhaupt anfallen, wie sie genutzt werden und wie man darauf zugreifen kann.

Geschäftsgeheimnisse sind dabei nicht schutzlos. Hersteller können den Zugang einschränken, wenn ihnen durch die Herausgabe ein schwerer wirtschaftlicher Schaden droht, müssen das aber begründen und der Behörde melden. Einen pauschalen Verweis auf „Betriebsgeheimnis” lässt der Data Act nicht gelten.

Fairness zwischen Unternehmen

Der Data Act regelt nicht nur das Verhältnis zwischen Hersteller und Endkunde, sondern auch das zwischen Unternehmen. Verträge über Datenzugang und Datennutzung dürfen keine missbräuchlichen Klauseln enthalten, die einem Vertragspartner einseitig aufgezwungen wurden. Gerade kleine und mittlere Unternehmen sollen so vor Konditionen geschützt werden, die ihnen große Anbieter diktieren. Für neue Verträge gilt das seit September 2025, für bestehende Langzeitverträge greift die Regel später.

Dazu kommen Vorgaben für öffentliche Stellen: Behörden können in Ausnahmesituationen wie Naturkatastrophen oder Pandemien Zugang zu Unternehmensdaten verlangen, wenn dies für die Bewältigung der Lage erforderlich ist.

Wechsel zwischen Cloud-Anbietern

Ein eigener Teil der Verordnung betrifft Cloud- und andere Datenverarbeitungsdienste. Bisher war der Wechsel von einem Anbieter zum nächsten oft so aufwendig und teuer, dass Kunden lieber geblieben sind. Dieser sogenannte Lock-in soll verschwinden. Kunden dürfen künftig mit einer Frist von maximal zwei Monaten kündigen, und der Anbieter muss den Wechsel technisch unterstützen, innerhalb von 30 Tagen. Wechselentgelte werden schrittweise abgebaut und entfallen ab dem 12. Januar 2027 vollständig. Bis dahin dürfen Anbieter nur noch die tatsächlichen Kosten weitergeben.

Außerdem müssen Anbieter ihre Dienste so gestalten, dass sie mit denen anderer Anbieter interoperabel sind, damit Daten und Anwendungen überhaupt mitgenommen werden können.

Personenbezogene Daten und die DSGVO

Naheliegend ist die Frage, wie sich das mit dem Datenschutz verträgt. Der Data Act lässt die DSGVO ausdrücklich unberührt: Sobald personenbezogene Daten im Spiel sind, bleibt sie vorrangig. Ein Hersteller darf also nicht einfach Daten an Dritte geben, nur weil der Nutzer es verlangt, wenn dadurch Rechte anderer Personen verletzt würden, etwa wenn im Auto auch Daten eines Mitfahrers anfallen. Wo der Data Act den Zugang regelt, gibt die DSGVO weiterhin vor, unter welchen Bedingungen mit personenbezogenen Daten umgegangen werden darf.

Eine Einschränkung gibt es zudem bei den Empfängern: Unternehmen, die als „Gatekeeper” nach dem Digital Markets Act gelten (von der größe wie Apple, Google, Amazon, Meta, Microsoft), dürfen nicht als Dritte auftreten, an die Nutzer ihre Daten weitergeben lassen können. Das soll verhindern, dass sich die Marktmacht der Konzerne durch den Data Act noch weiter vergrößert.

Durchsetzung und Bußgelder

In Deutschland ist die Bundesnetzagentur die zuständige Behörde. Das nationale Durchführungsgesetz (DADG) ist Ende Mai 2026 in Kraft getreten und legt Zuständigkeiten, Verfahren und Bußgelder fest. Datenschutzfragen im Zusammenhang mit dem Data Act liegen bei der Bundesdatenschutzbeauftragten. Die Bußgelder sind nach Schwere des Verstoßes und Unternehmensgröße gestaffelt und können bei gravierenden Verstößen bis zu 5 Millionen Euro betragen. Das ist weniger als bei der DSGVO, aber für viele Unternehmen immer noch erheblich.

Was das konkret bedeutet

Für Hersteller heißt das: Datenzugang ist keine optionale Zusatzfunktion mehr, sondern Teil der Produktentwicklung. Wer vernetzte Produkte auf den Markt bringt, muss Schnittstellen, Exportformate, Dokumentation und Prozesse für Zugriffsanfragen bereitstellen, und zwar möglichst schon in der Designphase, nicht erst, wenn die erste Anfrage eintrifft. Cloud-Anbieter müssen ihre Wechselprozesse und Preismodelle überarbeiten.

Für Nutzer, ob Privatpersonen oder Unternehmen, bedeutet der Data Act vor allem mehr Kontrolle: Sie erfahren, welche Daten ihr Gerät erzeugt, können sie mitnehmen und selbst entscheiden, wem sie sie anvertrauen. Auch der Wechsel zu einem anderen Anbieter wird einfacher und günstiger.

Der Data Act wird nicht von heute auf morgen einen offenen Datenmarkt schaffen. Aber er sorgt dafür, dass Daten nicht mehr automatisch beim Hersteller verschwinden, und das ist die Voraussetzung dafür, dass neue Dienste, freie Werkstätten und Wettbewerber überhaupt eine Chance bekommen.