Hinter dem Data Act steht eine einfache Beobachtung: In der modernen Wirtschaft entstehen enorme Mengen an Daten, doch der Zugriff darauf ist ungleich verteilt. Vernetzte Maschinen, Fahrzeuge, Haushaltsgeräte und Industrieanlagen erzeugen fortlaufend Daten, die häufig ausschließlich beim Hersteller landen. Nutzer, Werkstätten, Wartungsdienstleister oder kleinere Wettbewerber bleiben außen vor, obwohl sie diese Daten sinnvoll verwenden könnten. Der Data Act greift dieses Ungleichgewicht auf und formuliert Regeln, die den Datenzugang gerechter gestalten sollen – ohne die berechtigten Interessen derjenigen zu ignorieren, die in die datenerzeugenden Produkte investiert haben.
Über Jahre stand in der europäischen Debatte der Schutz von Daten im Vordergrund, insbesondere personenbezogener Daten. Der Data Act ergänzt diese Perspektive um eine zweite: die Nutzung von Daten als wirtschaftliche Ressource. Er stellt die Frage, wem die von vernetzten Produkten erzeugten Daten zugutekommen sollen, und beantwortet sie mit einem klaren Grundgedanken: Daten sollen dort verwendbar sein, wo sie Wert schaffen, und nicht in geschlossenen Silos einzelner Anbieter eingesperrt bleiben.
Dieser Paradigmenwechsel ist bedeutsam. Er verschiebt den Blick von der reinen Verteidigung sensibler Informationen hin zu einer Ökonomie des Teilens, in der Daten unter fairen Bedingungen zwischen Beteiligten fließen. Wichtig ist dabei: Der Data Act hebt den Datenschutz nicht auf. Wo personenbezogene Daten im Spiel sind, gilt die DSGVO unverändert weiter – der Data Act ordnet sich in diesen Rahmen ein und tritt daneben, statt ihn zu ersetzen. Das Verhältnis beider Regelwerke betrachten wir in einem eigenen Kapitel ausführlicher.
Ein wesentlicher Unterschied zu manch anderer europäischer Regelung liegt in der Rechtsnatur. Der Data Act ist eine Verordnung, keine Richtlinie. Das bedeutet, dass er in allen Mitgliedstaaten unmittelbar gilt und nicht erst durch ein nationales Umsetzungsgesetz in Kraft gesetzt werden muss. Nationale Gesetzgeber ergänzen die Verordnung allenfalls in einzelnen Punkten, etwa bei der Benennung zuständiger Behörden und bei den Durchsetzungsmodalitäten. Der maßgebliche materielle Regelungsgehalt steht jedoch bereits im europäischen Text selbst.
Für Unternehmen hat das eine praktische Konsequenz: Sie können sich nicht darauf verlassen, dass ein nationales Gesetz Fristen und Details noch einmal aufweicht oder verzögert. Zugleich sorgt die unmittelbare Geltung für ein einheitlicheres Regime im gesamten Binnenmarkt, was gerade grenzüberschreitend tätigen Betrieben zugutekommt. Die genaue zeitliche Anwendbarkeit ist gestaffelt ausgestaltet: Einzelne Pflichten greifen zu unterschiedlichen Zeitpunkten. Die exakten Fristen sollten stets am aktuellen amtlichen Stand geprüft werden, da dieser Beitrag bewusst keine Detaildaten nennt.
Der Data Act ist inhaltlich breit angelegt und bündelt mehrere Regelungskomplexe. Erstens Rechte der Nutzer vernetzter Produkte auf Zugang zu den erzeugten Daten. Zweitens Regeln für die Datenteilung zwischen Unternehmen (B2B) und zwischen Unternehmen und öffentlichen Stellen (B2G) in bestimmten Ausnahmesituationen. Drittens Vorgaben für den erleichterten Wechsel zwischen Datenverarbeitungsdiensten, insbesondere Cloud-Anbietern, samt Interoperabilitätsanforderungen. Viertens ein Schutzrahmen für Geschäftsgeheimnisse und faire Vertragsbedingungen, der verhindern soll, dass die neuen Zugangsrechte missbraucht oder durch einseitige Klauseln ausgehöhlt werden.
Diese Bausteine greifen ineinander und verfolgen ein gemeinsames Ziel: einen funktionierenden, fairen europäischen Datenmarkt. Für die Praxis empfiehlt es sich, nicht den gesamten Data Act auf einmal erfassen zu wollen, sondern zunächst die eigene Rolle zu bestimmen – als Hersteller vernetzter Produkte, als Dateninhaber, als Nutzer oder als Anbieter von Cloud-Diensten. Von dieser Rolle hängt ab, welche Pflichten und Rechte konkret relevant werden.
Der Data Act denkt nicht in Branchen, sondern in Funktionen. Ein und dasselbe Unternehmen kann gleichzeitig mehrere Rollen ausfüllen: Es kann Hersteller eines vernetzten Produkts sein, zugleich Nutzer fremder vernetzter Produkte und darüber hinaus Anbieter eines Datenverarbeitungsdienstes. Weil sich Rechte und Pflichten je nach Rolle unterscheiden, ist die saubere Einordnung der eigenen Tätigkeit der entscheidende Ausgangspunkt jeder Auseinandersetzung mit der Verordnung.
Im Zentrum stehen vier Rollen. Der Hersteller bringt ein vernetztes Produkt in Verkehr, das durch seine Nutzung Daten erzeugt. Der Dateninhaber ist die Stelle, die faktisch und rechtlich über die erzeugten Daten verfügt und sie technisch bereitstellen kann; häufig fallen Hersteller und Dateninhaber zusammen, sie können aber auch auseinanderfallen. Der Nutzer ist die natürliche oder juristische Person, die das vernetzte Produkt besitzt, mietet oder least und dadurch Daten erzeugt. Der Datenempfänger schließlich ist ein Dritter, an den Daten auf Wunsch des Nutzers weitergegeben werden – etwa ein Wartungsdienstleister oder ein spezialisierter Analyseanbieter.
Diese Rollenverteilung ist das Rückgrat der gesamten Verordnung. Aus ihr ergibt sich, wer Daten bereitstellen muss, wer sie verlangen darf und unter welchen Bedingungen eine Weitergabe an Dritte erfolgt. Für die Praxis ist es hilfreich, die eigene Position aus Sicht jedes einzelnen Produkts und jeder Datenbeziehung zu bestimmen, statt pauschal von „dem Unternehmen“ auszugehen. Erst diese differenzierte Betrachtung macht sichtbar, wo konkret Handlungsbedarf entsteht.
Der sachliche Anwendungsbereich knüpft an vernetzte Produkte und die dazugehörigen verbundenen Dienste an. Vernetzte Produkte sind Gegenstände, die über ihre Nutzung Daten erheben, erzeugen oder sammeln und diese kommunizieren können – vom Industrieroboter über die vernetzte Landmaschine und das Fahrzeug bis zum smarten Haushaltsgerät. Verbundene Dienste sind digitale Dienste, die mit dem Produkt so verknüpft sind, dass ohne sie bestimmte Funktionen nicht verfügbar wären, etwa eine begleitende App oder eine Cloud-Plattform des Herstellers.
Der Data Act zielt damit auf ein breites Spektrum des sogenannten Internets der Dinge. Für viele Unternehmen im DACH-Raum ist besonders die industrielle Dimension relevant: Maschinen- und Anlagenbau, Automatisierungstechnik, Landtechnik und Nutzfahrzeuge erzeugen erhebliche Datenmengen, die künftig unter die Zugangsregeln fallen können. Die genaue Abgrenzung, welche Produkte und Dienste im Einzelfall erfasst sind, ist detailliert und im Randbereich auslegungsbedürftig; die eigene Produktpalette sollte deshalb sorgfältig zugeordnet werden.
Der Data Act entfaltet Wirkung für Akteure, die im europäischen Binnenmarkt tätig sind, unabhängig davon, wo sie ihren Sitz haben. Wer vernetzte Produkte in der EU in Verkehr bringt, verbundene Dienste anbietet oder als Datenverarbeitungsdienst für europäische Kunden auftritt, wird in aller Regel adressiert. Damit reicht die Wirkung über die Grenzen der Union hinaus, weil auch außereuropäische Anbieter die Regeln beachten müssen, sofern sie den Binnenmarkt bedienen.
Gleichzeitig sieht die Verordnung Differenzierungen vor, die die Belastung für kleinere Akteure begrenzen sollen. Für Kleinst- und Kleinunternehmen sind in bestimmten Konstellationen Erleichterungen oder Ausnahmen vorgesehen, um sie nicht zu überfordern. Ob und in welchem Umfang solche Erleichterungen im Einzelfall greifen, ist eine Frage der genauen gesetzlichen Ausgestaltung und sollte fachkundig geprüft werden. Konkrete Schwellen und Ausnahmetatbestände nennen wir hier bewusst nicht, weil sie am aktuellen amtlichen Stand zu prüfen sind.
Bislang war es in vielen Branchen üblich, dass die von einer Maschine oder einem Gerät erzeugten Daten faktisch dem Hersteller gehörten – nicht, weil ein Gesetz das ausdrücklich anordnete, sondern weil er als Einziger technischen Zugriff hatte. Der Nutzer, der das Produkt gekauft und in Betrieb genommen hatte, blieb außen vor. Der Data Act korrigiert dieses Ungleichgewicht, indem er dem Nutzer ausdrücklich das Recht einräumt, auf die von ihm erzeugten Daten zuzugreifen und sie zu nutzen.
Der Grundgedanke ist eindeutig: Wer ein vernetztes Produkt nutzt und dadurch Daten erzeugt, soll auf diese Daten zugreifen können. Der Data Act verlangt, dass dieser Zugang möglichst einfach, sicher und in der Regel unentgeltlich erfolgt und dass die Daten in einem gängigen, maschinenlesbaren Format bereitgestellt werden. Idealerweise werden die Daten direkt zugänglich gemacht; wo das technisch nicht unmittelbar möglich ist, muss der Dateninhaber sie auf Anfrage ohne unangemessene Verzögerung bereitstellen.
Damit dieses Recht nicht ins Leere läuft, adressiert der Data Act auch die Produktgestaltung. Vernetzte Produkte und ihre verbundenen Dienste sollen nach Möglichkeit so konzipiert sein, dass der Datenzugang von vornherein vorgesehen ist – ein Gedanke, der an das aus dem Datenschutz bekannte Prinzip „access by design“ erinnert. Für Hersteller bedeutet das, den Datenzugang nicht als nachträgliche Zusatzfunktion, sondern als festen Bestandteil der Produktarchitektur zu begreifen. Die konkrete technische Ausgestaltung bleibt dabei dem Einzelfall überlassen und richtet sich nach Art und Komplexität des Produkts.
Über den eigenen Zugang hinaus gibt der Data Act dem Nutzer das Recht, die Weitergabe seiner Daten an Dritte zu verlangen. Damit kann ein Nutzer beispielsweise einen unabhängigen Wartungsdienstleister, einen alternativen Werkstattbetrieb oder einen spezialisierten Analyseanbieter beauftragen und diesem den Zugriff auf die Produktdaten eröffnen. Dieser Mechanismus soll den Wettbewerb um datenbasierte Dienstleistungen beleben und verhindern, dass allein der Hersteller vom Datenschatz seiner Produkte profitiert.
Für die betroffenen Ökosysteme ist diese Regelung folgenreich. Sie öffnet Märkte für unabhängige Anbieter, die bislang keinen Zugang zu den relevanten Daten hatten, etwa im Bereich der vorausschauenden Wartung, der Effizienzoptimierung oder der Reparatur. Zugleich stellt sie Hersteller vor die Aufgabe, Prozesse und Schnittstellen zu schaffen, über die solche Weitergaben geordnet und sicher ablaufen. Der Datenempfänger wiederum darf die Daten nur für die vereinbarten Zwecke verwenden und unterliegt Beschränkungen, die die Interessen des Dateninhabers schützen.
Das Zugangsrecht ist kein grenzenloses Recht. Der Data Act enthält bedeutsame Schutzmechanismen. So bleibt der Schutz von Geschäftsgeheimnissen gewahrt: Dateninhaber müssen Daten teilen, dürfen dabei aber Vorkehrungen treffen, um schützenswerte Betriebs- und Geschäftsgeheimnisse zu wahren, etwa durch vertragliche und technische Schutzmaßnahmen. In eng umrissenen Ausnahmefällen kann die Bereitstellung eingeschränkt werden, wenn andernfalls schwerwiegender Schaden droht. Diese Balance ist anspruchsvoll und sorgt in der Praxis für einen erheblichen Teil der Auslegungsfragen.
Weitere Grenzen betreffen die Verwendung der Daten. Der Data Act verhindert insbesondere, dass Daten dazu genutzt werden, ein Konkurrenzprodukt zum vernetzten Produkt zu entwickeln, und er schützt die Sicherheit der Produkte. Auch dürfen erlangte Daten nicht missbräuchlich eingesetzt werden. Für Unternehmen bedeutet das eine doppelte Aufgabe: Sie müssen den Zugang gewähren und zugleich die legitimen Schutzinteressen sorgfältig identifizieren und absichern. Wo die Grenze im Einzelfall verläuft, ist rechtlich geprägt und sollte fachkundig bewertet werden.
Datenteilung findet in der Wirtschaft längst statt, aber oft zu Bedingungen, die von der stärkeren Partei diktiert werden. Der Data Act setzt hier an und formuliert Leitplanken, die verhindern sollen, dass marktmächtige Akteure ihre Position ausnutzen. Zugleich schafft er in klar umrissenen Ausnahmefällen eine Grundlage dafür, dass der Staat auf Unternehmensdaten zugreifen kann – etwa in Notlagen. Beide Regelungsbereiche verfolgen dasselbe übergeordnete Ziel: einen fairen, funktionierenden Umgang mit Daten.
Wenn ein Dateninhaber verpflichtet ist, Daten bereitzustellen, verlangt der Data Act, dass dies zu fairen, angemessenen und nichtdiskriminierenden Bedingungen geschieht. Eine etwaige Vergütung muss angemessen sein und darf den Zugang nicht faktisch verhindern; für bestimmte Konstellationen und für kleinere Unternehmen sind Erleichterungen vorgesehen. Diese Grundsätze sollen sicherstellen, dass Zugangsrechte real nutzbar bleiben und nicht durch überhöhte Preise oder willkürliche Ungleichbehandlung entwertet werden.
Ergänzend enthält der Data Act eine Kontrolle missbräuchlicher Vertragsklauseln in Verträgen über den Datenzugang. Einseitig auferlegte Klauseln, die grob von einer fairen Praxis abweichen, können unwirksam sein. Damit wirkt die Verordnung ähnlich wie ein Verbraucherschutz für Datenverträge zwischen Unternehmen: Sie schützt die typischerweise schwächere Partei vor Bedingungen, die sie nicht wirklich verhandeln konnte. Für die Vertragsgestaltung bedeutet das, bestehende und künftige Datenverträge auf ihre Fairness und Wirksamkeit zu überprüfen – eine Aufgabe, die juristische Sorgfalt verlangt.
Ein eigener Regelungsbereich betrifft den Zugang öffentlicher Stellen zu Unternehmensdaten. Der Data Act erlaubt einen solchen Zugriff nicht generell, sondern nur in eng begrenzten Ausnahmesituationen und bei außergewöhnlichem Bedarf, etwa zur Bewältigung öffentlicher Notlagen wie Naturkatastrophen oder vergleichbaren Krisen. In solchen Fällen können Behörden von Unternehmen die Bereitstellung bestimmter Daten verlangen, wenn dies zur Erfüllung einer gesetzlichen Aufgabe erforderlich ist und die Daten nicht anders zeitgerecht beschafft werden können.
Diese B2G-Regelung ist bewusst restriktiv gefasst, um sie von einem allgemeinen behördlichen Datenzugriff abzugrenzen. Der Zugriff ist an Voraussetzungen, Zweckbindungen und Schutzvorkehrungen geknüpft, und die betroffenen Unternehmen haben Anspruch darauf, dass ihre Interessen berücksichtigt werden. Für die meisten Betriebe wird dieser Bereich seltener praktisch relevant als die B2B-Datenteilung, sollte aber im Blick behalten werden, insbesondere von Unternehmen in kritischen oder krisenrelevanten Bereichen. Die genauen Voraussetzungen ergeben sich aus dem Verordnungstext und sind am amtlichen Stand zu prüfen.
Aus beiden Regelungsbereichen folgt, dass die Vertragsgestaltung zur zentralen Stellschraube wird. Wo Daten geteilt werden, sollten die Bedingungen klar, fair und dokumentiert sein: welche Daten in welchem Format bereitgestellt werden, zu welchen Zwecken sie verwendet werden dürfen, wie Geschäftsgeheimnisse geschützt werden und welche Vergütung angemessen ist. Musterverträge und standardisierte Klauseln können dabei helfen, sind aber stets auf ihre Vereinbarkeit mit dem Data Act zu prüfen.
Für Unternehmen empfiehlt es sich, die eigene Vertragslandschaft systematisch zu sichten. Bestehende Datenverträge sollten daraufhin überprüft werden, ob sie den neuen Fairness-Anforderungen genügen, und künftige Verträge sollten die Vorgaben von Beginn an berücksichtigen. Diese Arbeit ist juristisch geprägt und sollte gemeinsam mit einer zur Rechtsberatung befugten Person erfolgen; INAGRO unterstützt an dieser Stelle bei den technischen und prozessualen Grundlagen, etwa der Datenbereitstellung und den Schnittstellen.
Viele Unternehmen kennen das Problem: Ist die eigene IT-Landschaft erst einmal bei einem Cloud-Anbieter angesiedelt, wird ein Wechsel technisch und wirtschaftlich schwierig. Hohe Ausstiegshürden, proprietäre Formate, komplexe Abhängigkeiten und teils erhebliche Gebühren für den Datentransfer binden Kunden faktisch an ihren Anbieter. Dieser Lock-in schwächt den Wettbewerb und schränkt die Wahlfreiheit ein. Der Data Act setzt genau hier an und formuliert Anforderungen, die den Anbieterwechsel erleichtern sollen.
Der Data Act verpflichtet Anbieter von Datenverarbeitungsdiensten, den Wechsel zu einem anderen Anbieter oder zurück in eine eigene Infrastruktur zu ermöglichen und zu unterstützen. Dazu gehören unter anderem vertragliche Vorgaben, die einen geordneten Wechsel innerhalb angemessener Zeiträume sicherstellen, die Verpflichtung zur Unterstützung beim Datentransfer sowie der schrittweise Abbau von Wechselgebühren. Ziel ist, dass der Wechsel nicht an künstlichen technischen oder finanziellen Hürden scheitert.
Für Kunden von Cloud-Diensten ist das eine spürbare Stärkung ihrer Position. Sie erhalten mehr Verhandlungsmacht, können Anbieter leichter vergleichen und sind weniger dem Risiko ausgesetzt, dauerhaft an eine einmal getroffene Entscheidung gebunden zu sein. Für die Anbieter selbst bedeutet die Regelung, ihre Verträge, Prozesse und technischen Schnittstellen anzupassen, sodass ein Wechsel tatsächlich reibungsarm möglich wird. Die konkreten Fristen und Modalitäten des Wechsels sind gestaffelt und im Detail am amtlichen Stand zu prüfen.
Eng verbunden mit dem Wechselrecht ist die Interoperabilität. Der Data Act enthält Anforderungen, die den Austausch von Daten zwischen Diensten und Systemen erleichtern sollen, etwa durch gemeinsame Spezifikationen, offene Schnittstellen und die Nutzung anerkannter Standards. Interoperabilität ist die technische Voraussetzung dafür, dass Daten überhaupt sinnvoll geteilt und übertragen werden können – ohne sie bliebe das Recht auf Datenzugang und Anbieterwechsel in vielen Fällen theoretisch.
Für Unternehmen, die eigene Datenprodukte oder Plattformen betreiben, ist dieser Aspekt strategisch bedeutsam. Wer auf offene, standardisierte Schnittstellen setzt, erfüllt nicht nur regulatorische Erwartungen, sondern macht sein Angebot auch anschlussfähiger und attraktiver. Interoperabilität wird damit von einer rein technischen Frage zu einem Wettbewerbsfaktor. Die europäischen Datenräume, die im nächsten Kapitel angesprochen werden, bauen ebenfalls auf diesem Interoperabilitätsgedanken auf.
Ein weiterer Regelungsstrang betrifft den Schutz vor unrechtmäßigem staatlichem Zugriff aus Drittstaaten. Der Data Act verlangt von Anbietern von Datenverarbeitungsdiensten Vorkehrungen, die verhindern sollen, dass Daten aufgrund von Anordnungen aus Nicht-EU-Staaten in einer Weise herausgegeben werden, die dem europäischen Recht widerspricht. Dieser Aspekt zahlt unmittelbar auf das Thema digitale Souveränität ein, das für viele Unternehmen im DACH-Raum an Bedeutung gewinnt.
Praktisch verstärkt dies die ohnehin sinnvolle Sorgfalt bei der Auswahl von Cloud- und Datendiensten: Fragen nach dem Serverstandort, nach der Verarbeitung innerhalb der EU und nach den vertraglichen Garantien gegen unzulässige Drittstaatenzugriffe gewinnen an Gewicht. Für Unternehmen, die Wert auf Datensouveränität legen, fügt sich der Data Act damit in eine breitere Bewegung hin zu europäisch kontrollierten, souveränen Dateninfrastrukturen ein. Die genaue rechtliche Tragweite dieser Vorgaben ist im Einzelfall zu prüfen.
Ein verbreiteter Irrtum ist, der Data Act sei ein isoliertes Regelwerk, das man losgelöst von allem anderen betrachten könne. Tatsächlich ist er bewusst als ein Baustein der europäischen Datenstrategie konzipiert und verzahnt sich mit weiteren Rechtsakten. Wer diese Zusammenhänge kennt, kann seine Compliance-Landschaft konsistent aufbauen, statt einzelne Regelwerke nebeneinander abzuarbeiten. Die folgende Einordnung ordnet die wichtigsten Bezugspunkte.
Das wichtigste Verhältnis ist das zur Datenschutz-Grundverordnung (DSGVO). Beide Regelwerke betreffen Daten, verfolgen aber unterschiedliche Ziele: Die DSGVO schützt personenbezogene Daten und die Rechte der betroffenen Personen, der Data Act regelt den Zugang zu und die Nutzung von Daten allgemein, unabhängig davon, ob sie personenbezogen sind. Wo sich beide überschneiden – etwa wenn von einem vernetzten Produkt erzeugte Daten Personenbezug aufweisen –, gilt der Grundsatz, dass der Data Act die DSGVO nicht verdrängt. Die DSGVO bleibt vollständig anwendbar.
Für die Praxis bedeutet das: Wer im Rahmen des Data Act Daten teilt oder zugänglich macht, muss zugleich prüfen, ob personenbezogene Daten betroffen sind, und in diesem Fall die datenschutzrechtlichen Anforderungen erfüllen – von der Rechtsgrundlage über die Zweckbindung bis zu den Betroffenenrechten. Ein Datenzugangsrecht nach dem Data Act ersetzt keine datenschutzrechtliche Legitimation. Diese doppelte Prüfung ist juristisch anspruchsvoll und sollte in enger Abstimmung mit dem Datenschutzbeauftragten erfolgen; personenbezogene und nicht personenbezogene Daten sind dabei sorgfältig zu unterscheiden.
Der Data Governance Act (DGA) und der Data Act werden häufig verwechselt, verfolgen aber unterschiedliche Stoßrichtungen. Der DGA schafft vor allem Strukturen und Rahmenbedingungen für das Teilen von Daten: Er regelt etwa die Weiterverwendung bestimmter Daten des öffentlichen Sektors, die Rolle von Datenvermittlungsdiensten und den Gedanken des Datenaltruismus. Der Data Act hingegen begründet konkrete Rechte und Pflichten zum Datenzugang und zur Datennutzung. Bildlich gesprochen schafft der DGA die Infrastruktur und die Spielregeln des Datenteilens, während der Data Act festlegt, wer welche Daten konkret verlangen darf.
Beide Rechtsakte ergänzen sich damit zu einem Gesamtbild. Für Unternehmen, die als Datenvermittler auftreten oder Daten des öffentlichen Sektors weiterverwenden wollen, ist der DGA von unmittelbarer Bedeutung; für Hersteller vernetzter Produkte und deren Nutzer steht der Data Act im Vordergrund. In vielen realen Konstellationen sind beide relevant. Die genaue Abgrenzung im Einzelfall ist eine Rechtsfrage und sollte fachkundig geklärt werden.
Ein dritter Bezugspunkt sind die europäischen Datenräume (Common European Data Spaces). Dies sind sektorspezifische Ökosysteme – etwa für Mobilität, Gesundheit, Energie, Industrie oder Landwirtschaft –, in denen Daten unter gemeinsamen Regeln und mit interoperablen Standards geteilt werden sollen. Der Data Act liefert dafür einen horizontalen Rechtsrahmen, auf dem diese Datenräume aufbauen können, insbesondere im Hinblick auf Zugangsrechte und Interoperabilität.
Der Data Act wird selten „auf der grünen Wiese“ umgesetzt. Fast immer gibt es bereits Datenbestände, gewachsene Systeme, Verträge und Zuständigkeiten. Eine gute Umsetzung nimmt diese Ausgangslage auf, schließt Lücken gezielt und überführt punktuelle Maßnahmen in einen dauerhaften, nachvollziehbaren Betrieb. Rein technikgetriebene oder rein juristische Ansätze greifen dabei zu kurz – tragfähig wird die Umsetzung erst, wenn Technik, Recht und Organisation zusammenwirken.
Am Anfang steht die grundlegende Frage: Welche Daten erzeugt, verarbeitet und speichert das Unternehmen überhaupt? Ohne ein belastbares Daten-Inventar lässt sich weder beurteilen, welche Daten unter das Zugangsrecht fallen, noch, wo Geschäftsgeheimnisse oder personenbezogene Daten berührt sind. Ein solches Inventar erfasst, welche Produkte welche Daten erzeugen, wo diese liegen, in welchem Format sie vorliegen und wer darauf Zugriff hat. Es ist die Voraussetzung für jede fundierte Entscheidung im Rahmen des Data Act.
Eng damit verbunden ist die Datenklassifizierung. Daten sollten danach eingeordnet werden, ob sie unter Zugangsrechte fallen, ob sie schützenswerte Geschäftsgeheimnisse enthalten und ob sie personenbezogen sind. Diese Klassifizierung erlaubt es, Zugangsanfragen differenziert zu bedienen: bereitstellen, was bereitzustellen ist, und schützen, was zu schützen ist. Ein gut gepflegtes Inventar samt Klassifizierung zahlt zugleich auf andere Compliance-Anforderungen ein, etwa im Datenschutz und in der Informationssicherheit, und ist damit eine Investition mit mehrfachem Nutzen.
Aus den Zugangsrechten folgt die Notwendigkeit, Prozesse für den Umgang mit Zugangsanfragen zu etablieren. Wer ist zuständig, wenn ein Nutzer oder ein von ihm benannter Dritter Zugang zu Produktdaten verlangt? Wie werden die Daten bereitgestellt, in welchem Format, über welche Schnittstelle, in welcher Frist? Wie wird sichergestellt, dass dabei Geschäftsgeheimnisse gewahrt und personenbezogene Daten datenschutzkonform behandelt werden? Solche Prozesse sollten definiert, dokumentiert und geübt sein, bevor die erste Anfrage eintrifft.
Technisch bedeutet das häufig, geeignete Schnittstellen und Bereitstellungswege zu schaffen. Wo Daten bislang in geschlossenen Systemen lagen, müssen Wege gefunden werden, sie in gängigen, maschinenlesbaren Formaten zugänglich zu machen – idealerweise automatisiert, um manuellen Aufwand zu begrenzen. Für Hersteller vernetzter Produkte verschmilzt dies mit dem Gedanken des Access by design: Je besser der Datenzugang bereits in Produkt und Systemarchitektur angelegt ist, desto reibungsärmer lassen sich Anfragen bedienen.
Damit die Umsetzung dauerhaft trägt, braucht es Governance: klare Zuständigkeiten, Leitlinien und eine Verankerung des Themas in der Organisation. Sinnvoll ist, eine verantwortliche Stelle oder Rolle zu benennen, die den Data Act im Blick behält, Anfragen koordiniert, Verträge im Auge behält und die Zusammenarbeit zwischen IT, Recht, Datenschutz und den Fachbereichen sicherstellt. Weil der Data Act mehrere Disziplinen berührt, ist diese Koordination erfolgskritisch.
Schließlich ist die Umsetzung eine Aufgabe der kontinuierlichen Pflege. Datenbestände verändern sich, neue Produkte kommen hinzu, Verträge werden geschlossen und angepasst, und die gestaffelten Fristen der Verordnung greifen zu unterschiedlichen Zeitpunkten. Ein einmal aufgesetztes Inventar und einmal definierte Prozesse müssen daher regelmäßig aktualisiert werden. Wer diese Pflege organisatorisch verankert, verwandelt eine anfangs anspruchsvolle Aufgabe in einen beherrschbaren Regelbetrieb.
Der Mittelstand ist heterogen: vom Maschinenbauer über den Landtechnikhersteller bis zum spezialisierten Dienstleister. Was viele dieser Betriebe eint, ist eine wachsende Zahl vernetzter Produkte und datengetriebener Prozesse bei zugleich begrenzten Ressourcen für Regulatorik. Genau hier setzt der Data Act an: Er verlangt einen strukturierten, nachvollziehbaren Umgang mit Daten, bietet im Gegenzug aber auch echte Vorteile. Wer die Doppelnatur aus Pflicht und Chance erkennt, kann die Verordnung strategisch für sich nutzen.
Die größte Sorge im Mittelstand ist verständlich: Wie soll ein Betrieb mit begrenztem Personal und Budget die Anforderungen stemmen? Die Antwort liegt in einer klaren Priorisierung und im Ausnutzen der vorgesehenen Erleichterungen für kleinere Unternehmen. Nicht alles muss sofort und in maximaler Ausprägung geschehen. Sinnvoll ist, mit der Klärung der eigenen Rolle und einem Daten-Inventar zu beginnen, die drängendsten Pflichten zuerst zu adressieren und auf bewährte Bausteine wie klare Datenklassifizierung, dokumentierte Prozesse und faire Musterverträge zu setzen.
Ebenso wichtig ist, die Chancenseite nicht zu übersehen. Der Data Act ist nicht nur Pflicht, sondern kann neue Geschäftsmodelle ermöglichen: Wer Zugang zu wertvollen Daten erhält, kann daraus Dienste entwickeln; wer seine Produkte datenzugangsfähig gestaltet, wird für Kunden attraktiver; wer den Anbieterwechsel nutzt, senkt Kosten und Abhängigkeiten. Der Mittelstand muss nicht zum Datenkonzern werden – aber er sollte den Data Act als strategische Gelegenheit begreifen und nicht allein als Bürde. Wer strukturiert vorgeht, verwandelt die Anforderung in eine planbare, teils gewinnbringende Aufgabe.
Verlässliche Aussagen zu konkreten Sanktionen lassen sich seriös nur eingeschränkt treffen: Die Durchsetzung erfolgt teils über national benannte Behörden, und die genauen Sanktionsrahmen ergeben sich aus dem Zusammenspiel der Verordnung mit nationalen Regelungen. Dieser Beitrag nennt deshalb bewusst keine konkreten Bußgeldhöhen, sondern erläutert die grundsätzliche Risikologik und die relevanten Handlungsfelder. Konkrete Sanktionsrahmen sind am aktuellen amtlichen Stand zu prüfen.
Die Risiken bei Nichteinhaltung des Data Act sind vielfältig. Neben möglichen behördlichen Maßnahmen und Sanktionen drohen zivilrechtliche Auseinandersetzungen, etwa wenn Nutzer oder Datenempfänger ihre Zugangsrechte durchsetzen, sowie die Unwirksamkeit unfairer Vertragsklauseln. Hinzu kommen mittelbare Risiken: Wer den Datenzugang nicht ermöglicht, riskiert Reputationsschäden und den Verlust von Geschäftsbeziehungen, weil Kunden und Partner zunehmend datenzugangsfähige Anbieter bevorzugen. Umgekehrt kann eine überzogene, unvorsichtige Datenweitergabe Geschäftsgeheimnisse gefährden.
Für die Praxis ist deshalb eine ausgewogene Risikobetrachtung entscheidend. Sie sollte beide Fehlerrichtungen im Blick behalten: zu wenig Zugang zu gewähren und damit gegen Pflichten zu verstoßen, oder zu unbedacht Daten preiszugeben und damit Geheimnisse oder personenbezogene Daten zu gefährden. Eine strukturierte Umsetzung mit Inventar, Klassifizierung, Prozessen und fairen Verträgen ist der wirksamste Schutz vor beiden Risiken. Die verbindliche Bewertung der rechtlichen Risiken im Einzelfall gehört in fachkundige Hände.
Wo im Rahmen des Data Act personenbezogene Daten geteilt oder zugänglich gemacht werden, sind stets beide Regelwerke zu bedenken. Der Data Act begründet ein Zugangsrecht, die DSGVO verlangt eine datenschutzrechtliche Legitimation und die Wahrung der Betroffenenrechte. Ein und derselbe Vorgang kann damit zwei Prüfungsebenen auslösen: die datenzugangsrechtliche und die datenschutzrechtliche. Beide müssen zusammengedacht werden, damit ein rechtmäßiger Datenfluss entsteht.
Besonders sorgfältig ist die Unterscheidung zwischen personenbezogenen und nicht personenbezogenen Daten zu treffen, da in vernetzten Produkten häufig beides vermischt anfällt. In solchen Mischbeständen ist zu klären, welche Teile dem strengeren Datenschutzregime unterliegen. Die Prozesse zur Datenbereitstellung sollten deshalb so gestaltet sein, dass sie beide Perspektiven berücksichtigen und im Zweifel die datenschutzrechtlichen Anforderungen wahren. Die genaue Abgrenzung ist rechtlich geprägt und im Einzelfall mit dem Datenschutzbeauftragten zu klären.
Weil die Umsetzung des Data Act häufig externe Dienstleister einbindet – etwa Cloud-Anbieter, Plattformen und Analyseanbieter – rückt die Datenhoheit in den Blick. Zentral sind die Fragen, wo ein Dienstleister die Daten verarbeitet und speichert, ob eine Verarbeitung in Rechenzentren innerhalb Deutschlands oder der EU angeboten wird und ob ein Datentransfer in Drittländer stattfindet. Der Data Act verstärkt diese Sorgfalt durch seine Vorgaben gegen unrechtmäßige Drittstaatenzugriffe und durch die neuen Wechselrechte.
Praktisch bedeutet das: Bei der Auswahl von Dienstleistern sollten der Serverstandort und die datenschutzfreundlichere, souveräne Option bewusst berücksichtigt werden, sofern verfügbar. Ebenso gehören der Auftragsverarbeitungsvertrag, die Liste der Unterauftragsverarbeiter, die vertraglichen Garantien und die Wechselfähigkeit in jede Prüfung. Da der Data Act den Anbieterwechsel ohnehin erleichtert, fügt sich diese Sorgfalt bei der Dienstleisterauswahl nahtlos in eine souveränitätsorientierte Gesamtstrategie ein.
