Der Data Act ist da: Datenzugang wird zur Organisationsfrage

Was der ursprüngliche Beitrag angekündigt hat

Für Hersteller vernetzter Geräte und Anbieter verbundener Dienste gelten seit dem 12. September 2025 neue Pflichten aus dem europäischen Data Act. Die Verordnung gilt unmittelbar in den Mitgliedstaaten der Europäischen Union.

Nutzer vernetzter Geräte erhalten Rechte auf Zugang zu den bei der Nutzung erzeugten Daten. Das betrifft nicht nur Smartphones, Smartwatches und vernetzte Fahrzeuge, sondern ebenso Maschinen, Anlagen und andere gewerblich eingesetzte Produkte. Anspruchsberechtigt können natürliche und juristische Personen sein.

Viele Geräte zeigen bisher nur einen Bruchteil der Daten an, die durch Sensoren gewonnen, gespeichert oder an den Hersteller übertragen werden. Der europäische Gesetzgeber will hier Transparenz und einen faireren Zugang zu Nutzungsdaten schaffen.

Seit 2026 ist auch die deutsche Zuständigkeit geklärt

Als der ursprüngliche Beitrag im September 2025 erschien, war noch offen, welche deutsche Behörde die zentrale Zuständigkeit übernehmen würde. Das ist inzwischen geklärt: Seit dem 30. Mai 2026 ist die Bundesnetzagentur die zuständige deutsche Behörde für Anwendung und Durchsetzung des Data Act.

Bei personenbezogenen Daten bleibt das Datenschutzrecht daneben bestehen. Für Datenschutzfragen im nichtöffentlichen Bereich weist das deutsche Durchführungsgesetz der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit eine besondere Zuständigkeit zu. Unternehmen müssen deshalb Datenzugang und Datenschutz gemeinsam betrachten.

Der Data Act hebt die DSGVO nicht auf

Produkt- und Nutzungsdaten können zugleich personenbezogen sein. Ein vernetztes Fahrzeug kann beispielsweise Daten über Fahrverhalten und Standort erzeugen; eine Produktionsmaschine kann Rückschlüsse auf Bediener oder Schichten zulassen.

Verlangt der Nutzer Daten, die zugleich eine andere Person betreffen, liefert der Data Act nicht automatisch die datenschutzrechtliche Rechtsgrundlage für deren Herausgabe. Rechtsgrundlage, Zweckbindung, Datenminimierung, Berechtigungen und sichere Bereitstellung müssen deshalb im Herausgabeprozess mitgedacht werden.

Hinzu kommt der Schutz von Geschäftsgeheimnissen. Auch er ist kein pauschaler Ablehnungsgrund, verlangt aber definierte Prüfungen und gegebenenfalls Schutzmaßnahmen.

Womit betroffene Unternehmen beginnen sollten

Der schlechteste Zeitpunkt für eine Dateninventur ist der Eingang des ersten Herausgabeverlangens. Hersteller und Diensteanbieter sollten vorher klären, welche Daten entstehen, wo sie liegen und in welchem Format sie bereitgestellt werden können.

• Welche vernetzten Produkte und verbundenen Dienste fallen in den Anwendungsbereich?
• Welche Produkt- und Nutzungsdaten werden erzeugt, gespeichert oder weitergegeben?
• Wie unterscheiden wir personenbezogene Daten, Geschäftsgeheimnisse und sonstige Daten?
• Wer prüft und beantwortet Zugangs- oder Weitergabeverlangen?
• Welche Schnittstelle oder Exportfunktion steht zur Verfügung?
• Welche Verträge mit Nutzern, Datenempfängern und Dienstleistern müssen angepasst werden?

Die Pflicht wird im Produkt entschieden

Für vernetzte Produkte und verbundene Dienste, die nach dem 12. September 2026 in Verkehr gebracht werden, greift zusätzlich die Pflicht, Produktdaten und verbundene Dienstdaten standardmäßig zugänglich zu machen. Das lässt sich nicht kurz vor Markteinführung durch einen Datenschutzhinweis lösen.

Produktentwicklung, IT, Recht, Datenschutz und Vertrieb müssen deshalb gemeinsam planen. Wer Datenzugang erst nachträglich organisiert, baut häufig teure Sonderprozesse. Wer ihn im Produktdesign berücksichtigt, kann aus einer Pflicht einen nachvollziehbaren Service machen.