Der EU Data Act — formal die Verordnung (EU) 2023/2854 über harmonisierte Regeln für einen fairen Datenzugang und eine faire Datennutzung — ist das europäische Datengesetz, das festlegt, wer auf die Daten vernetzter Produkte und digitaler Dienste zugreifen, sie nutzen und weitergeben darf. Sie ist am 11. Januar 2024 in Kraft getreten und gilt seit dem 12. September 2025 unmittelbar in allen EU-Mitgliedstaaten. Für Unternehmen zerfällt sie in drei praktisch relevante Blöcke: Datenzugangsrechte bei vernetzten Produkten, Schranken für unfaire Vertragsklauseln und ein neues Regime für den Wechsel zwischen Cloud-Anbietern.
Anders als die DSGVO ist der Data Act kein Datenschutzgesetz. Er behandelt personenbezogene und nicht-personenbezogene Daten gleichermaßen und fragt nicht primär, ob eine Verarbeitung zulässig ist, sondern wem der wirtschaftliche Wert der Daten zusteht. Das macht ihn für Maschinenbauer, Gerätehersteller, Softwareanbieter und Cloud-Kunden zu einem Thema mit direkter Auswirkung auf Produktarchitektur, Vertragswerk und Einkaufsstrategie.
Geltung, Fristen und Anwendungsbereich
Die Verordnung wurde am 22. Dezember 2023 im Amtsblatt der EU veröffentlicht und trat am 11. Januar 2024 in Kraft. Anwendbar ist sie nach Artikel 50 seit dem 12. September 2025 — mit mehreren gestaffelten Ausnahmen, die in der Praxis oft übersehen werden. Wer nur das eine Datum kennt, plant an den eigentlichen Stichtagen vorbei.
Die Stichtage im Überblick
| Datum | Was gilt ab dann |
|---|---|
| 11.01.2024 | Inkrafttreten der Verordnung; Beginn der Übergangsphase für reduzierte Wechselentgelte |
| 12.09.2025 | Allgemeiner Geltungsbeginn: Datenzugangsrechte, Cloud-Switching-Pflichten, Regeln zu Vertragsklauseln für neu geschlossene Verträge |
| 12.09.2026 | Die Design-Pflicht aus Artikel 3 Absatz 1 gilt für vernetzte Produkte und zugehörige Dienste, die nach diesem Tag in Verkehr gebracht werden |
| 12.01.2027 | Wechselentgelte für Datenverarbeitungsdienste sind vollständig verboten — einschließlich Egress-Gebühren |
| 12.09.2027 | Das Klauselregime (Kapitel IV) erfasst auch Altverträge, die unbefristet sind oder mindestens zehn Jahre ab dem 11.01.2024 laufen |
Wer betroffen ist
Der Data Act ist sektorübergreifend. Er adressiert Hersteller vernetzter Produkte, Anbieter verbundener Dienste, Dateninhaber, Datenempfänger, Nutzer sowie Anbieter von Datenverarbeitungsdiensten — also Cloud- und Edge-Anbieter jeder Servicetiefe. Maßgeblich ist nicht der Sitz, sondern der Marktbezug: Wer vernetzte Produkte oder Dienste in der EU anbietet, fällt unter die Verordnung, auch mit Sitz außerhalb der Union.
Betroffen sind damit klassische Mittelstandskonstellationen: der Maschinenbauer, dessen Anlagen Sensordaten in eine eigene Plattform schreiben; der Händler, der Telematikdaten seiner Flotte auswerten will; das Unternehmen, das seinen ERP-Betrieb in einer Public Cloud fahren lässt; und jeder Anbieter, der Software as a Service verkauft — was SaaS ausdrücklich in das Switching-Kapitel einbezieht und nicht nur Infrastruktur- oder Plattformdienste.
Datenzugang bei vernetzten Produkten
Kapitel II der Verordnung gibt Nutzern vernetzter Produkte das Recht, auf die Daten zuzugreifen, die sie durch die Nutzung mit erzeugen. Nutzer ist, wer ein Produkt besitzt, mietet oder least — also in aller Regel das Unternehmen, das die Maschine betreibt, nicht der Hersteller. Der Zugriff muss unentgeltlich, einfach und in der Regel unmittelbar möglich sein.
Welche Daten erfasst sind
Erfasst sind Rohdaten und vorverarbeitete Daten, die bei der Nutzung eines vernetzten Produkts oder eines verbundenen Dienstes entstehen und dem Dateninhaber ohne unverhältnismäßigen Aufwand verfügbar sind — einschließlich relevanter Metadaten. Dazu zählen Sensorwerte wie Temperatur, Druck, Durchfluss, Füllstand, Position, Beschleunigung oder Geschwindigkeit, und zwar unabhängig davon, ob sie personenbezogen sind.
Nicht erfasst sind abgeleitete oder stark angereicherte Daten und Inhalte. Die Europäische Kommission illustriert die Grenze mit einem Beispiel: Schaut jemand auf einem vernetzten Fernseher einen Film, fällt der Film selbst nicht in den Anwendungsbereich — die Daten zur Bildschirmhelligkeit dagegen schon. Auch Geschäftsgeheimnisse bleiben geschützt: Der Dateninhaber kann Schutzmaßnahmen vereinbaren und die Weitergabe im Extremfall verweigern, muss dann aber gegenüber der zuständigen Behörde darlegen, dass ihm sonst ein schwerer wirtschaftlicher Schaden droht.
Realbeispiel: Wartung einer Produktionsanlage
Ein mittelständischer Zulieferer betreibt fünf CNC-Bearbeitungszentren eines deutschen Herstellers. Die Maschinen erfassen Spindellast, Vibration, Temperaturverläufe und Fehlercodes und senden sie in das Hersteller-Portal. Bislang war die vorausschauende Wartung damit faktisch an den Hersteller gebunden: Nur er sah die Daten, nur er konnte darauf ein Servicepaket aufsetzen — und er berechnete es entsprechend.
Unter dem Data Act kann der Betreiber diese Betriebsdaten selbst abrufen und sie einem freien Instandhalter oder einem spezialisierten Analytics-Dienstleister zur Verfügung stellen. Der Hersteller darf das nicht mehr pauschal verweigern und darf für die Bereitstellung an den Nutzer nichts berechnen. Die Grenze: Der Dritte darf die Daten nicht nutzen, um ein konkurrierendes vernetztes Produkt zu entwickeln. Wettbewerb im After-Market — Wartung, Reparatur, Ersatzteile, datenbasierte Versicherung — ist dagegen ausdrücklich gewollt.
Der Hebel ist betriebswirtschaftlich, nicht juristisch: Wartungsverträge werden verhandelbar, weil das Informationsmonopol fällt. Umgekehrt bedeutet das für Hersteller, dass ein Geschäftsmodell, das ausschließlich auf exklusivem Datenzugriff beruht, keine tragfähige Grundlage mehr hat.
B2B-Datenteilung und Vertragsklauseln
Kapitel III regelt, unter welchen Bedingungen Daten weitergegeben werden müssen, wenn eine gesetzliche Pflicht dazu besteht. Die Bedingungen müssen fair, angemessen und nicht-diskriminierend sein. Dateninhaber dürfen dafür eine angemessene Vergütung verlangen, die die Bereitstellungskosten sowie technische Kosten für Verbreitung und Speicherung abdecken kann. Gegenüber Kleinstunternehmen, KMU und gemeinnützigen Forschungseinrichtungen darf jedoch höchstens der reine Bereitstellungsaufwand berechnet werden.
Unfaire Klauseln werden unwirksam
Kapitel IV zieht eine Grenze in die Vertragsfreiheit zwischen Unternehmen: Einseitig auferlegte Klauseln zu Datenzugang und Datennutzung — die klassischen Take-it-or-leave-it-Bedingungen eines stärkeren Marktteilnehmers — unterliegen einer Missbrauchskontrolle. Die Verordnung listet Klauseln, die stets als unfair gelten, und solche, die als unfair vermutet werden. Eine unfaire Klausel ist unwirksam; der Rest des Vertrags bleibt bestehen, soweit das möglich ist.
Praktisch heißt das: Wer heute Lieferanten-, Plattform- oder Wartungsverträge verhandelt, sollte Klauseln zur Datenhoheit nicht mehr als gegeben hinnehmen. Für neu geschlossene Verträge gilt das Regime bereits, für bestimmte Altverträge ab dem 12. September 2027.
Cloud-Switching: die Zäsur am 12. Januar 2027
Der wirtschaftlich schärfste Teil des Data Act steht in Kapitel VI. Anbieter von Datenverarbeitungsdiensten — IaaS, PaaS und SaaS — müssen Hindernisse beseitigen, die einen Anbieterwechsel erschweren. Dazu gehören offene Schnittstellen und ein Export in einem gängigen, maschinenlesbaren Format bei Plattform- und Softwarediensten sowie funktionale Äquivalenz bei Infrastrukturdiensten: Wer zu einem gleichartigen Dienst wechselt, soll bei gleichem Input ein materiell vergleichbares Ergebnis erhalten.
Der häufigste Irrtum: „Seit September 2025 gibt es keine Wechselgebühren mehr“
Diese Aussage kursiert seit dem Geltungsbeginn und ist falsch. Der 12. September 2025 war der Startpunkt der allgemeinen Pflichten — Kündigungs- und Übergangsfristen, Vertragstransparenz, Mitwirkungspflichten. Die Entgeltfrage ist davon getrennt geregelt.
Artikel 29 nennt zwei Stufen. Erstens: Ab dem 12. Januar 2027 dürfen Anbieter von Datenverarbeitungsdiensten keinerlei Wechselentgelte mehr erheben, Egress-Gebühren eingeschlossen. Zweitens: In der Übergangsphase vom 11. Januar 2024 bis zum 12. Januar 2027 sind reduzierte Wechselentgelte zulässig — aber höchstens in Höhe der Kosten, die dem Anbieter unmittelbar durch den konkreten Wechselvorgang entstehen. Die Europäische Kommission formuliert das in ihrer Erläuterung genauso: Wechselentgelte werden ab dem 12. Januar 2027 vollständig entfallen, während der dreijährigen Übergangsphase dürfen die entstandenen Kosten weitergereicht werden.
Der Unterschied ist keine Formalie. Ein Kostendeckungsentgelt ist verhandelbar und prüfbar — ein Anbieter muss belegen können, welche Kosten unmittelbar mit dem Wechsel zusammenhängen. Marktpreise für Egress, die frei kalkuliert sind, sind es in dieser Phase gerade nicht mehr. Ab Januar 2027 fällt die Position ersatzlos weg. Erlaubt bleiben davon unberührt reguläre Nutzungsentgelte, vereinbarte Entgelte für vorzeitige Vertragsbeendigung und gesondert beauftragte Unterstützungsleistungen.
Was Cloud-Verträge enthalten müssen
Artikel 25 macht dem Vertragswerk konkrete Vorgaben. Die wichtigsten:
- eine maximale Kündigungsfrist für die Einleitung des Wechsels von höchstens zwei Monaten;
- eine verbindliche Übergangsphase von maximal 30 Kalendertagen, in der der Vertrag weiterläuft und der Anbieter beim Wechsel unterstützen muss — ist das technisch unmöglich, muss er das binnen 14 Arbeitstagen begründen und darf auf maximal sieben Monate verlängern;
- eine abschließende Aufzählung aller portierbaren Daten- und Asset-Kategorien;
- eine Abrufphase von mindestens 30 Kalendertagen nach Ende der Übergangsphase;
- eine Garantie zur vollständigen Löschung der exportierbaren Daten nach Ablauf dieser Frist;
- Transparenz über alle Entgelte, die nach Artikel 29 überhaupt noch erhoben werden dürfen.
Damit wird Vendor Lock-in erstmals zu einem regulierten Zustand statt einer bloßen Verhandlungsfrage. Die Verordnung erzwingt aber keine technische Portabilität: Wer seine Anwendung tief an proprietäre Managed Services eines Hyperscalers gebunden hat, kann rechtlich kostenfrei wechseln und trotzdem an einem Migrationsprojekt scheitern. Die Architekturentscheidung bleibt die eigene — wie sie sich sauber treffen lässt, ist Thema unseres Entscheidungs-Guides zu Cloud-Migration und moderner Software-Architektur.
Verhältnis zur DSGVO
Data Act und DSGVO stehen nebeneinander, nicht gegeneinander. Die DSGVO regelt die Zulässigkeit der Verarbeitung personenbezogener Daten; der Data Act regelt die Verfügbarkeit von Daten im Binnenmarkt, personenbezogen oder nicht. Bei Überschneidungen hat das Datenschutzrecht Vorrang.
Wo es in der Praxis reibt
Der Konfliktfall ist absehbar: Ko-generierte Maschinen- oder Fahrzeugdaten enthalten häufig beides, und die Trennung ist technisch aufwendig. Ist der Nutzer, der Zugang verlangt, nicht selbst die betroffene Person, dürfen personenbezogene Daten nur bei tragfähiger Rechtsgrundlage herausgegeben werden — etwa mit Einwilligung. Ein Data-Act-Zugangsanspruch ersetzt diese Rechtsgrundlage nicht. Wer eine Datenfreigabe technisch umsetzt, braucht deshalb ein Konzept, das personenbezogene Anteile identifiziert und getrennt behandelt, statt den Datenstrom pauschal zu öffnen.
Aufsicht, Sanktionen und Ausblick
Die Durchsetzung liegt bei den Mitgliedstaaten. Sie benennen zuständige Behörden und, wo es mehrere gibt, einen Datenkoordinator als zentrale Anlaufstelle. Die Sanktionen selbst legt nach Artikel 40 jeder Mitgliedstaat fest; sie müssen wirksam, verhältnismäßig und abschreckend sein. Für Verstöße gegen die Kapitel II, III und V können zusätzlich die Datenschutzaufsichtsbehörden im Rahmen ihrer Zuständigkeit Bußgelder nach Artikel 83 DSGVO verhängen — bis zu dem in Artikel 83 Absatz 5 DSGVO genannten Rahmen von 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes.
Deutschland: Bundesnetzagentur und DADG
In Deutschland ist die Zuständigkeit geklärt. Mit Inkrafttreten des Datenverordnung-Anwendungs-und-Durchsetzungs-Gesetzes (DADG) ist die Bundesnetzagentur seit dem 30. Mai 2026 die zuständige Behörde für den Data Act. Sie ist zentrale Anlaufstelle, überwacht die Einhaltung der Regeln zum Anbieterwechsel, lässt Streitbeilegungsstellen zu und arbeitet in Datenschutzfragen mit der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit zusammen.
Offen ist, ob der Rechtsrahmen in dieser Form bestehen bleibt: Die Europäische Kommission hat im Rahmen des Digital Omnibus Änderungen am Data Act vorgeschlagen. Das ist bislang ein Vorschlag und kein geltendes Recht — die Fristen aus Artikel 29 und Artikel 50 gelten unverändert weiter, bis eine Änderung tatsächlich beschlossen und veröffentlicht ist.
Was Unternehmen jetzt konkret prüfen sollten
Der Data Act ist kein Projekt für die Rechtsabteilung allein. Vier Prüfpunkte reichen für eine erste Standortbestimmung:
- Produktseite: Erzeugen eure Produkte Nutzungsdaten? Wenn ja — gibt es einen dokumentierten, zumutbaren Weg, wie ein Kunde sie abruft oder an Dritte weitergeben lässt? Für alles, was nach dem 12. September 2026 in Verkehr geht, ist das eine Anforderung an das Produktdesign, nicht an das Supportteam.
- Einkaufsseite: Welche Daten erzeugt ihr auf fremden Geräten und Plattformen, ohne sie selbst zu sehen? Genau dort liegt ein Anspruch, der bisher niemandem aufgefallen ist.
- Cloud-Verträge: Enthält der Vertrag Kündigungsfrist, Übergangsphase, Abrufphase, Exportumfang und Entgelte in der von Artikel 25 verlangten Form? Wo Egress-Kosten kalkuliert sind, gehört spätestens 2027 eine Neuverhandlung in die Planung — und schon vorher die Frage, ob das verlangte Entgelt wirklich nur direkte Wechselkosten deckt.
- Datenschutz-Schnittstelle: Ist definiert, wie personenbezogene Anteile in ko-generierten Datensätzen erkannt und behandelt werden, bevor eine Freigabe erfolgt?
Wer diese vier Punkte beantworten kann, hat den Data Act operativ im Griff. Der Rest ist Detailarbeit an Vertragstexten und Schnittstellen — und die lässt sich planen, solange der 12. Januar 2027 nicht als Überraschung im Kalender steht.