Wer ein vernetztes Produkt nach dem 12. September 2026 in Verkehr bringt, muss es so bauen, dass es seine Nutzungsdaten herausgibt. Der Data Act ist damit in der Produktentwicklung angekommen, gut zweieinhalb Jahre nach seinem Inkrafttreten.
Der Data Act (Datenverordnung, Verordnung (EU) 2023/2854) regelt den Zugang zu den Daten aus der Nutzung vernetzter Produkte und gilt seit dem 12. September 2025. Für Hersteller steht die zentrale Pflicht in Artikel 3 Absatz 1: Vernetzte Produkte sind so zu konzipieren und herzustellen, verbundene Dienste so zu konzipieren und zu erbringen, dass der Nutzer an die dabei entstehenden Daten kommt. Wir nennen das kurz die Designpflicht.
Der Data Act wirkt in Stufen bis September 2027. Wer nur den Geltungsbeginn kennt, übersieht die Termine für Produkte und Altverträge.
| Datum | Was gilt |
|---|---|
| 11. Januar 2024 | Die Verordnung tritt in Kraft, zwanzig Tage nach der Veröffentlichung im Amtsblatt. |
| 12. September 2025 | Die Verordnung gilt. Die Regeln zu missbräuchlichen Vertragsklauseln zwischen Unternehmen erfassen Verträge, die nach diesem Tag geschlossen werden. |
| 12. September 2026 | Die Designpflicht erfasst vernetzte Produkte und verbundene Dienste, die nach diesem Tag in Verkehr gebracht werden. |
| 12. Januar 2027 | Anbieter von Datenverarbeitungsdiensten dürfen für einen Anbieterwechsel keine Wechselentgelte mehr erheben. |
| 12. September 2027 | Die Regeln zu missbräuchlichen Vertragsklauseln erfassen auch Altverträge, also Verträge vom 12. September 2025 oder davor, wenn sie unbefristet sind oder frühestens zehn Jahre nach dem 11. Januar 2024 enden. |
Vom Inkrafttreten zu sprechen trifft es streng genommen nicht: In Kraft ist der Data Act seit Januar 2024, gestaffelt wurde nur seine Geltung. Die Verwechslung ist ein Grund dafür, dass viele Hersteller das Thema für erledigt halten.
Was seit dem 12. September 2026 für Produkte dazukommt
Die Designpflicht knüpft an das einzelne Produkt an: Sie erfasst, was nach dem 12. September 2026 in Verkehr gebracht wird. Für ältere Produkte verlangt die Verordnung keine konstruktive Änderung. Zugänglich machen müssen Hersteller deren Daten trotzdem: Nach den Antworten der Kommissionsdienststellen mussten Bestandsprodukte den Datenzugang ebenso wie neue Produkte schon seit dem 12. September 2025 ermöglichen.
Der Stichtag 2026 zieht den Datenzugang ins Produktdesign; den Zugang selbst schuldet der Hersteller schon seit einem Jahr. Wer seine laufende Baureihe deshalb für ausgenommen hält, verwechselt die beiden Stichtage.
Ein vernetztes Produkt ist ein Gegenstand, der Daten über seine Nutzung oder Umgebung erzeugt oder erhebt und übermitteln kann, sofern seine Hauptfunktion nicht die Speicherung, Verarbeitung oder Übertragung von Daten im Namen einer anderen Partei ist. Eine Maschinensteuerung, die Betriebsstunden und Fehlercodes an ein Portal meldet, fällt darunter.
Zugänglich sein müssen die Daten standardmäßig, einfach, sicher, unentgeltlich und in einem strukturierten, gängigen und maschinenlesbaren Format, dazu die Metadaten, die zu ihrer Auslegung nötig sind. Soweit relevant und technisch durchführbar, muss der Nutzer ohne Eingriff einer anderen Partei an sie herankommen. Was das für Schnittstellen und Formate heißt, steht in der technischen Umsetzung des Datenzugangs.
Kleinst- und Kleinunternehmen bleiben ausgenommen, solange sie weder zu einer größeren Unternehmensgruppe gehören noch als Unterauftragnehmer beauftragt wurden; bei mittleren Unternehmen greifen die Pflichten erst ein Jahr nach dem Inverkehrbringen.
Warum das in der Entwicklung nicht ankommt
Der Data Act klingt nach Datenschutz. Also landet er beim Datenschutzbeauftragten, und der arbeitet an Verarbeitungsverzeichnissen, Auftragsverarbeitung und Betroffenenrechten. Bis in die Produktentwicklung dringt er nicht vor.
Das ist auch richtig so, dort gehört er nicht hin. Dieselbe Konstellation kennen wir aus der IT-Sicherheit: Die IT-Security kümmert sich nicht um die Produkte des Hauses und soll das auch nicht, dafür gibt es den Product Security Officer. Für den Data Act sehen wir eine vergleichbare Rolle bisher nicht.
In den Fachabteilungen ist das Thema unbekannt, und von sich aus sucht es dort niemand. Im Maschinenbau, wo gerade die Maschinenverordnung die Aufmerksamkeit bindet, gilt Datenschutz zudem als Consumer-Thema ohne Belang für die eigene Anlage.
Der Data Act regelt aber den Zugang zu Maschinendaten, unabhängig davon, ob personenbezogene Daten darin stecken.
Das deutsche Ausführungsgesetz DADG zieht diese Grenze selbst: Für Anwendung und Durchsetzung der Datenverordnung ist die Bundesnetzagentur zuständig, zugleich zentrale Anlaufstelle und nationale Aufsicht. Bei nicht-öffentlichen Stellen ist die oder der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit für den Schutz personenbezogener Daten zuständig.
Die Designpflicht liegt damit bei einer Behörde, für die es in den meisten Herstellerunternehmen keinen eingespielten Ansprechpartner gibt.
Wie Data Act und CRA zusammenwirken
Die Dienststellen der Kommission verneinen eine Pflicht, Produkte für den direkten Datenzugang umzukonstruieren: Direkten Zugang verlange die Verordnung nicht für jedes vernetzte Produkt. Die Formulierung „soweit relevant und technisch durchführbar” lasse dem Hersteller die Wahl zwischen direktem Zugang und einem Zugang über einen entfernten Server; abwägen darf er dabei technische Machbarkeit und Kosten.
Knapper steht dasselbe in den Antworten zum Cyber Resilience Act (CRA): „Under the DA, there is no strict (re)design product obligation.” Diese Freiheit besteht aber nur, solange die Daten bereitgestellt werden. Beide Dokumente sind Auslegungshilfen und rechtlich nicht bindend.
Fällt ein Produkt unter beide Rechtsakte, gehören die Pflichten zur Bereitstellung der Daten in die Risikobewertung nach dem CRA. Einschränken oder verweigern darf der Dateninhaber die Weitergabe weiterhin, wenn Geschäftsgeheimnisse oder die Sicherheit betroffen sind.
Die Verordnung schreibt das Ergebnis vor und überlässt den Weg dorthin dem Hersteller. Wer sein Produkt von vornherein richtig konzipiert hat, bei dem sind die Daten ohne Zusatzaufwand abgreifbar. Arbeit machen gewachsene Architekturen mit veralteten Komponenten. Anpassen müssen Hersteller ihre Produkte also doch, sobald die vorhandene Architektur das geforderte Ergebnis nicht liefert.
Was in Deutschland bei einem Verstoß droht
Der Data Act überlässt die Sanktionen im Grundsatz den Mitgliedstaaten. Deutschland hat das im Datenverordnung-Anwendungs-und-Durchsetzungs-Gesetz getan, das seit dem 30. Mai 2026 in Kraft ist.
Wer ein vernetztes Produkt nicht richtig konzipiert oder herstellt, handelt danach ordnungswidrig, ebenso wer verbundene Dienste nicht richtig konzipiert oder erbringt. Die Geldbuße reicht bis zu 500.000 Euro, verfolgt von der Bundesnetzagentur.
Daneben steht ein zweiter Weg. Die Datenverordnung lässt die Datenschutzaufsicht bei Verstößen gegen die Pflichten, zu denen die Designpflicht gehört, innerhalb ihrer Zuständigkeit auf den Bußgeldrahmen der Datenschutz-Grundverordnung zugreifen; das DADG benennt dafür die oder den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit. Dieser Rahmen reicht bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes im vorangegangenen Geschäftsjahr, je nachdem, welcher Betrag höher ist. Voraussetzung ist, dass personenbezogene Daten betroffen sind. Für eine Maschinensteuerung ohne Personenbezug bleibt es bei der Bundesnetzagentur und den 500.000 Euro.
Die Höhe der Geldbuße ist für Hersteller die weniger wichtige Information. Wichtiger ist, dass die Bundesnetzagentur über die Konzeption eines Produkts urteilt, anhand von Entscheidungen, die im Entwicklungsprojekt Jahre zuvor gefallen sind.
Was jetzt zu tun ist
Die erste Frage lautet, wer im Haus die Anfrage eines Kunden nach dessen Produktdaten beantwortet und wer antwortet, wenn die Bundesnetzagentur fragt. Solange diese Zuständigkeit offen ist, bleibt die Designpflicht auf dem Papier, so gut die Schnittstelle im Produkt auch sein mag.
Die zweite Frage betrifft den Bestand. Klären Sie für jedes Produkt, das nach dem 12. September 2026 neu in Verkehr geht, ob es seine Nutzungsdaten in einem gängigen, maschinenlesbaren Format herausgibt und ob der Nutzer, soweit relevant und technisch durchführbar, ohne den Hersteller an sie herankommt. Bei einer neu entwickelten Steuerung ist das selten ein Problem; bei einer Baureihe, die seit zehn Jahren fortgeschrieben wird, entscheidet sich hier, ob nachgerüstet wird.
Die 500.000 Euro sind dabei das kleinere Risiko. Teurer wird ein Produkt, das im Feld steht und seine Daten nicht hergibt, weil das Nachrüsten dann Hardware und Software zugleich betrifft.
Kommentar hinzufügen