EU Data Act
Der EU Data Act (Verordnung (EU) 2023/2854) regelt den Zugang zu Daten vernetzter Produkte und deren Weitergabe an Dritte, faire Vertragsbedingungen für Datenzugang sowie den Wechsel zwischen Cloud-Diensten – ohne die DSGVO zu verdrängen.
Der EU Data Act – die Datenverordnung (EU) 2023/2854 – ist am 11. Januar 2024 in Kraft getreten und gilt seit dem 12. September 2025. Er verschiebt die Kontrolle über Nutzungsdaten vernetzter Produkte: Nach Art. 4 können Nutzerinnen und Nutzer eines vernetzten Produkts oder eines verbundenen Dienstes die dabei erzeugten Daten – einschließlich der relevanten Metadaten – vom Dateninhaber verlangen, leicht zugänglich, unentgeltlich und, soweit technisch möglich, kontinuierlich und in Echtzeit. Nach Art. 5 können sie den Dateninhaber anweisen, dieselben Daten an einen Dritten ihrer Wahl weiterzugeben, etwa an eine freie Werkstatt, einen Wartungsdienstleister oder einen Analyseanbieter. Ergänzend verpflichtet Art. 3 Abs. 1 Hersteller dazu, vernetzte Produkte und Dienste so zu gestalten, dass die Daten von vornherein zugänglich sind (Access by Design); diese Gestaltungspflicht greift für Produkte, die nach dem 12. September 2026 in Verkehr gebracht werden. Flankiert wird das Zugangsregime durch Informationspflichten vor Vertragsschluss (Art. 3 Abs. 2 und 3), eine Missbrauchskontrolle für einseitig auferlegte Vertragsklauseln zwischen Unternehmen (Art. 13) und Regeln für die Datenbereitstellung an öffentliche Stellen in Ausnahmesituationen (Kapitel V).
Der zweite große Regelungsblock betrifft den Anbieterwechsel bei Datenverarbeitungsdiensten, also Cloud- und Edge-Diensten (Kapitel VI, Art. 23 bis 31). Anbieter müssen vorvertragliche, kommerzielle, technische und vertragliche Hindernisse für einen Wechsel beseitigen: Der Vertrag muss eine maximale Kündigungsfrist von zwei Monaten und einen Übergangszeitraum von grundsätzlich höchstens 30 Kalendertagen vorsehen, exportierbare Daten und digitale Vermögenswerte müssen benannt sein, und nach Abschluss des Wechsels sind die Daten zu löschen. Entgelte für den Wechsel selbst dürfen seit Geltungsbeginn nur noch kostenbasiert erhoben werden und entfallen ab dem 12. Januar 2027 vollständig. Art. 32 verlangt zudem technische, organisatorische und rechtliche Schutzmaßnahmen gegen rechtswidrige Zugriffe von Behörden aus Drittstaaten auf in der EU gespeicherte nicht-personenbezogene Daten – die spiegelbildliche Regelung zu Art. 48 DSGVO und ein Berührungspunkt zum US-amerikanischen CLOUD Act. Die Durchsetzung liegt bei den von den Mitgliedstaaten benannten zuständigen Behörden; in Deutschland ist die Bundesnetzagentur als Datenkoordinator vorgesehen, die datenschutzrechtliche Aufsicht bleibt bei den Datenschutzaufsichtsbehörden.
Für die Abgrenzung zur DSGVO ist Art. 1 Abs. 5 Data Act zentral: Die Verordnung lässt das Datenschutzrecht unberührt und schafft insbesondere keine eigene Rechtsgrundlage für die Verarbeitung personenbezogener Daten; bei Widersprüchen geht die DSGVO vor. Praktisch bedeutet das: Sind die Produktdaten personenbezogen und ist der Nutzer selbst die betroffene Person, überlagern sich Data-Act-Zugangsanspruch und Auskunftsrecht nach Art. 15 DSGVO. Ist der Nutzer eine juristische Person oder betreffen die Daten Dritte – etwa Mitfahrer, Beschäftigte oder Haushaltsangehörige –, benötigt die Herausgabe zusätzlich eine Rechtsgrundlage nach Art. 6 DSGVO; der Dateninhaber darf die Daten dann nur bereitstellen, wenn eine solche vorliegt. Der Data Act reicht dabei sachlich weiter als das Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Er erfasst auch nicht-personenbezogene und gemischte Datenbestände, ist nicht auf Einwilligung oder Vertrag als Rechtsgrundlage beschränkt und verlangt Bereitstellung möglichst in Echtzeit. Zu beachten ist, dass die EU-Kommission im November 2025 im Rahmen des Digital-Omnibus-Pakets eine Konsolidierung und Vereinfachung des Datenrechts vorgeschlagen hat, die auch den Data Act betrifft; dieses Vorhaben befindet sich noch im Gesetzgebungsverfahren, sodass einzelne Vorgaben noch verändert werden können.
Rechtliche Grundlage
Verordnung (EU) 2023/2854 (Data Act), insbesondere Art. 3 bis 5, Art. 13, Art. 23 bis 31 und Art. 32; Art. 1 Abs. 5 Data Act im Verhältnis zu Art. 15 und Art. 20 DSGVO
Praxisbeispiel
Ein Maschinenbauunternehmen betreibt eine Flotte vernetzter Produktionsanlagen bei seinen Kunden und wertet Sensordaten für vorausschauende Wartung aus. Nach Geltungsbeginn des Data Act verlangt ein Kunde, dass die Sensor- und Betriebsdaten seiner Anlagen laufend an einen unabhängigen Instandhaltungsdienstleister übermittelt werden. Die Datenschutzbeauftragte prüft gemeinsam mit dem Vertrieb, welche Datenfelder überhaupt in den Anwendungsbereich fallen, trennt Rohdaten und Metadaten von den eigenen abgeleiteten Analyseergebnissen, die nicht herauszugeben sind, und identifiziert einen personenbezogenen Anteil: Die Anlagen protokollieren Bediener-Kennungen. Für diesen Teil dokumentiert sie eine Rechtsgrundlage nach Art. 6 DSGVO beziehungsweise pseudonymisiert die Kennungen vor der Weitergabe, ergänzt das Verarbeitungsverzeichnis um den neuen Empfänger, schließt einen Vertrag über die Datenbereitstellung mit fairen Bedingungen im Sinne des Art. 13 Data Act und passt die vorvertraglichen Produktinformationen an. Parallel lässt sie den Cloud-Vertrag prüfen, in dem die Telemetriedaten liegen, weil dieser die Wechselvorgaben der Art. 23 ff. Data Act noch nicht abbildet.
Häufige Fragen
So unterstützt preeco Sie
Erfahren Sie, wie unsere Software Sie bei diesem Thema unterstützt.
Mehr erfahren