Viele Unternehmen haben den EU Data Act bislang als Thema für Produktentwickler oder IT-Abteilungen abgehakt. Das ist ein Fehler. Seit dem 12. September 2025 gilt die Verordnung (EU) 2023/2854 unmittelbar in allen EU-Mitgliedstaaten - und ihr Kapitel IV greift direkt in laufende B2B-Vertragsbeziehungen ein. Wer heute noch Standardklauseln verwendet, die Datenzugang einseitig beschränken oder Haftung pauschal ausschließen, riskiert, dass diese Klauseln schlicht unwirksam sind.
Dieser Beitrag richtet sich an Compliance-Verantwortliche, Inhouse-Juristinnen und Entscheider, die wissen wollen: Welche Verträge müssen konkret angepasst werden, was bedeutet das FRAND-Prinzip in der Praxis, und welche Vertragsbausteine braucht man jetzt?
Den umfassenden Einstieg in den Data Act - Anwendungsbereich, Fristen, Datenzugangsrechte - finden Sie in unserem EU Data Act Pillar-Beitrag.
Welche Verträge sind betroffen?
Der Data Act greift nicht bei jedem Vertrag, der irgendwie mit Daten zu tun hat. Die Inhaltskontrolle nach Artikel 13 gilt für Verträge, die datenbezogene Rechte und Pflichten regeln - also Datenzugang, Datennutzung, Haftung bei Datenpflichtverletzungen oder Rechtsbehelfe bei Vertragsbeendigung. [1]
Praktisch bedeutet das: Nahezu jeder B2B-Vertrag, in dem Daten aus vernetzten Produkten oder digitalen Diensten eine Rolle spielen, ist potenziell betroffen. [2] Die Inhaltskontrolle ist dabei nicht auf bestimmte Vertragstypen beschränkt - sie gilt für Kauf-, Miet- und Leasingverträge ebenso wie für Serviceverträge, sofern datenbezogene Klauseln enthalten sind.
Für Verträge, die nach dem 12. September 2025 geschlossen werden, gilt die Kontrolle missbräuchlicher Vertragsbedingungen sofort. [1] Für Altverträge - also Verträge, die am oder vor dem 12. September 2025 geschlossen wurden - greift die Kontrolle ab dem 12. September 2027, wenn sie unbefristet sind oder eine Laufzeit bis mindestens zum 11. Januar 2034 haben. [1] Das klingt nach ausreichend Zeit - ist es aber nicht, wenn man bedenkt, wie viele Rahmenverträge, SaaS-Abonnements und IoT-Serviceverträge typischerweise unbefristet laufen.
Die vier Vertragstypen, die jetzt auf dem Prüfstand stehen
Der Data Act bringt mehrere neue oder bislang unübliche Vertragskonstellationen mit sich, die Unternehmen kennen und gestalten müssen: [3]
Datenlizenzvertrag (Dateninhaber ↔ Nutzer): Nach Artikel 4 Absatz 13 Data Act darf der Dateninhaber nicht-personenbezogene Nutzerdaten nur noch auf Grundlage eines Datenlizenzvertrags mit dem Nutzer verwenden. [4] Wer bisher stillschweigend davon ausgegangen ist, dass Maschinendaten oder Nutzungsprofile automatisch dem Hersteller gehören, braucht jetzt eine vertragliche Grundlage.
Bereitstellungsvertrag (Dateninhaber ↔ Datenempfänger): Wenn ein Nutzer verlangt, dass seine Daten an einen Dritten - etwa einen Wartungsdienstleister oder Analyseanbieter - weitergegeben werden, muss zwischen Dateninhaber und Datenempfänger ein Bereitstellungsvertrag nach Artikel 8 und 9 Data Act geschlossen werden. Dieser Vertrag muss Zweckbindung, Vergütung und Geschäftsgeheimnisschutz regeln. [5]
Cloud- und SaaS-Verträge: Ab dem 12. Januar 2027 dürfen Cloud-Anbieter keine Gebühren mehr für den eigentlichen Datentransfer beim Anbieterwechsel verlangen. [6] Bestehende Lock-in-Klauseln, Wechselgebühren und technische Hürden werden unzulässig. Verträge müssen Exit-Regelungen mit klaren Fristen, Exportformaten und Migrationsunterstützung enthalten. [7]
Angepasste B2B-AGB und Rahmenverträge: Klassische Standardklauseln in B2B-Verträgen müssen auf missbräuchliche Elemente geprüft und gegebenenfalls überarbeitet werden. [3]
Unsere Rechtsanwälte analysieren Ihre B2B-Datenverträge auf Data-Act-Konformität – schnell, strukturiert und mit Blick auf die steuerlichen Implikationen.
Datenverträge jetzt prüfen lassenDas Verbot unfairer Klauseln: Schwarze Liste, Graue Liste, Beweislast
Artikel 13 Data Act führt eine AGB-ähnliche Inhaltskontrolle für den gesamten B2B-Bereich ein - und das ist eine echte Neuerung. [8] Im deutschen Recht war die AGB-Kontrolle zwischen Unternehmen bisher deutlich zurückhaltender als im Verbraucherrecht. Der Data Act ändert das für datenbezogene Klauseln grundlegend.
Die Kontrolle greift allerdings nur bei Klauseln, die einseitig auferlegt wurden. Eine Klausel gilt als einseitig auferlegt, wenn sie von einer Partei eingebracht wird und die andere Partei ihren Inhalt trotz eines Verhandlungsversuchs nicht beeinflussen konnte. [1] Wichtig: Die Beweislast liegt beim Verwender - wer eine Klausel eingebracht hat, muss im Streitfall nachweisen, dass sie nicht einseitig auferlegt wurde. [9]
Die Schwarze Liste: immer unwirksam
Klauseln auf der Schwarzen Liste (Artikel 13 Absatz 4 Data Act) sind unter allen Umständen missbräuchlich und damit unwirksam. [1] Dazu gehören insbesondere Klauseln, die die Haftung der Partei, die die Klausel einseitig auferlegt hat, für Vorsatz oder grobe Fahrlässigkeit ausschließen oder beschränken. Ebenso unwirksam sind Klauseln, die dem Verwender die alleinige Befugnis einräumen, zu beurteilen, ob die bereitgestellten Daten vertragskonform sind. [10]
Die Graue Liste: widerlegbar unwirksam
Klauseln auf der Grauen Liste (Artikel 13 Absatz 5 Data Act) werden vermutet missbräuchlich zu sein. [1] Der Verwender kann diese Vermutung widerlegen - muss aber im Streitfall aktiv begründen, warum die Klausel dennoch angemessen ist. Zur Grauen Liste gehören etwa: unangemessene Beschränkungen von Rechtsmitteln bei Nichterfüllung, Klauseln, die den Kunden an der Nutzung oder Kontrolle seiner eigenen Daten hindern, eingeschränkte Kündigungsrechte des Kunden sowie Klauseln, die Datenportabilität behindern. [10]
Ein praktisch wichtiger Unterschied zum deutschen AGB-Recht: Es reicht nicht, dass keine Verhandlung stattfand - es muss ein gescheiterter Verhandlungsversuch vorliegen. [10] Das bedeutet: Unternehmen sollten Verhandlungsprozesse sorgfältig dokumentieren, um im Streitfall nachweisen zu können, dass eine Klausel tatsächlich ausgehandelt wurde.
Die Rechtsfolge ist klar: Eine missbräuchliche Klausel ist nicht anwendbar - und zwar vollständig, ohne dass ein zulässiger Rest bestehen bleibt. [1] Der Rest des Vertrags bleibt bindend, sofern die Klausel abtrennbar ist.
KI-generiertes BildDas FRAND-Prinzip: Was "fair, angemessen und nicht-diskriminierend" konkret bedeutet
FRAND steht für Fair, Reasonable and Non-Discriminatory - auf Deutsch: fair, angemessen und nicht-diskriminierend. Das Prinzip ist aus dem Telekommunikations- und Patentrecht bekannt; der Data Act überträgt es nun auf den Datenzugang im B2B-Bereich.
Wenn ein Dateninhaber Daten auf Nutzerwunsch an einen Dritten weitergibt, muss das zu FRAND-Bedingungen geschehen. [11] Was das im Einzelnen bedeutet:
- Fair heißt, dass keine Partei in der konkreten Situation unverhältnismäßig benachteiligt werden darf. [11]
- Angemessen bedeutet, dass eine Interessenabwägung stattfinden muss - eine Vergütung mit angemessener Marge ist zulässig, überhöhte Preise oder exklusive Nutzungsrechte sind es nicht. [7]
- Nicht-diskriminierend bedeutet, dass verschiedene Datenempfänger, die Daten unter vergleichbaren Umständen anfordern, nicht unterschiedlich behandelt werden dürfen - es sei denn, es gibt eine objektive Rechtfertigung. [11]
Besonders relevant: Gegenüber KMU als Datenempfänger darf der Dateninhaber keine Marge auf die Bereitstellungskosten verlangen. [12] Für größere Unternehmen ist eine angemessene Marge hingegen zulässig.
Der entscheidende Knackpunkt in der Praxis: Die Beweislast liegt beim Dateninhaber. Wer im Streitfall nicht nachweisen kann, dass seine Konditionen nicht diskriminierend sind, trägt das Prozessrisiko. [13] Das verlangt saubere, dokumentierte Preis- und Konditionenlogiken - und ist damit nicht nur eine rechtliche, sondern auch eine betriebswirtschaftliche Aufgabe.
Genau hier zeigt sich der Mehrwert eines integrierten Rechts-und-Steuer-Ansatzes: Die Frage, was eine "angemessene Marge" ist, lässt sich nicht allein juristisch beantworten. Sie erfordert betriebswirtschaftliche Kalkulation, steuerliche Einordnung von Lizenzentgelten und eine rechtssichere Dokumentation - alles aus einer Hand.
Praktische Vertragsbausteine: Was in Data-Act-konforme Verträge gehört
Ein Data-Act-konformer Datenvertrag ist kein Standardformular, das man einmal ausfüllt. Er muss auf die konkrete Datenkonstellation zugeschnitten sein. Dennoch gibt es Kernbausteine, die in nahezu jeden Datenlizenz- oder Datenzugangsvertrag gehören:
Unabhängig vom Ergebnis des Checks gelten folgende Mindestanforderungen für datenbezogene B2B-Verträge:
Datendefinition und Zweckbindung: Welche Daten genau werden lizenziert oder bereitgestellt? In welchem Format, mit welcher Qualität? Für welche Zwecke dürfen sie genutzt werden - und ausdrücklich nicht? [4] Der Data Act verbietet dem Dateninhaber ausdrücklich, Nutzerdaten zu verwenden, um Einblicke in die wirtschaftliche Lage, Vermögenswerte oder Produktionsmethoden des Nutzers zu gewinnen. [14]
FRAND-konforme Vergütungsregelung: Die Vergütung muss transparent, nachvollziehbar kalkuliert und nicht-diskriminierend sein. Pauschale "As-is"-Klauseln, die jede Haftung für fehlerhafte Daten ausschließen, sind nach der Schwarzen Liste unwirksam. [7] Stattdessen braucht es abgestufte Haftungsmodelle mit ausgewogener Risikoverteilung.
Geschäftsgeheimnisschutz: Breite Vertraulichkeitsklauseln, die jede Datenweitergabe pauschal verbieten, sind problematisch. [7] Der Data Act verlangt stattdessen maßgeschneiderte Schutzmaßnahmen - etwa NDAs, Datenmaskierung oder technische Zugriffskontrollen - die Datenweitergabe ermöglichen, ohne Geschäftsgeheimnisse preiszugeben.
Exit- und Portabilitätsklauseln (Cloud/SaaS): Verträge mit Cloud- und SaaS-Anbietern müssen klare Exit-Regelungen enthalten: Fristen, Exportformate (maschinenlesbar, z. B. JSON oder CSV), Migrationsunterstützung und - ab 2027 - den Ausschluss von Wechselgebühren. [15]
Dokumentation der Vertragsverhandlung: Um das Risiko einer Inhaltskontrolle zu minimieren, sollten Verhandlungsprozesse dokumentiert werden - E-Mails, CRM-Vermerke, Protokolle. [10] Das ist kein bürokratischer Aufwand, sondern Risikomanagement.
Hinweis zu Musterklauseln der EU-Kommission: Die Kommission hat Mustervertragsklauseln für B2B-Datenaustausch entwickelt. Diese sind ein guter Ausgangspunkt, müssen aber für Verträge unter deutschem Recht sorgfältig geprüft und angepasst werden - sie erfüllen nicht automatisch die Anforderungen des deutschen AGB-Rechts (§§ 307 ff. BGB). [2]
Altverträge: Jetzt handeln, nicht warten
Die Übergangsfrist bis September 2027 für Altverträge klingt komfortabel. In der Praxis ist sie es nicht. Wer unbefristete Rahmenverträge, Dauerschuldverhältnisse oder langfristige IoT-Serviceverträge hat, muss diese identifizieren, prüfen und - wo nötig - nachverhandeln. [15] Erfahrungsgemäß dauert allein die Inventarisierung des Vertragsbestands mehrere Monate.
Hinzu kommt: Wer heute neue Verträge schließt, unterliegt bereits der vollen Inhaltskontrolle. Und wer Verträge verlängert oder anpasst, riskiert, dass die Verlängerung als Neuabschluss gewertet wird - mit sofortiger Geltung der Data-Act-Anforderungen.
Der integrierte Ansatz von Vectocon - Rechtsanwälte und Steuerberater in einem Team - ist hier besonders wertvoll: Die Überprüfung von Datenlizenzentgelten auf steuerliche Konformität, die Einordnung von Vergütungsmodellen im Kontext von Verrechnungspreisen bei internationalen Konzernen oder die betriebswirtschaftliche Kalkulation einer "angemessenen Marge" lassen sich nicht sauber trennen. Wer nur eine Disziplin einschaltet, sieht nur einen Teil des Bildes.
Lassen Sie Ihre Datenverträge auf Data-Act-Konformität prüfen – mit integriertem Rechts- und Steuerblick. Jetzt unverbindlich anfragen.
Vertrags-Review anfragenFazit: Vertragsrecht ist der unterschätzte Kern des Data Act
Der Data Act wird oft als Thema für Produktmanager und IT-Architekten diskutiert. Sein vertragsrechtlicher Kern - das Verbot unfairer Klauseln, das FRAND-Prinzip, die neuen Vertragstypen - ist jedoch eine unmittelbare Aufgabe für Rechts- und Compliance-Abteilungen. Und die Uhr läuft: Neuverträge unterliegen bereits heute der Inhaltskontrolle, Altverträge folgen spätestens 2027.
Die gute Nachricht: Wer jetzt strukturiert vorgeht, schafft nicht nur Compliance, sondern auch Rechtssicherheit und eine stärkere Verhandlungsposition gegenüber Datenpartnern und Cloud-Anbietern. Das ist kein Kostenfaktor - es ist ein strategischer Vorteil.
Dieser Beitrag dient der allgemeinen Information und ersetzt keine individuelle rechtliche Beratung. Die Beurteilung im Einzelfall hängt von den konkreten Vertragsgestaltungen und Umständen ab.
