EU Data Act für vernetzte Produkte: Was Industrie, IoT und Maschinenbau jetzt wissen müssen

Wer eine Maschine mit Telemetrie ausstattet, einen Sensor vernetzt oder eine Anlage mit Cloud-Anbindung ausliefert, ist ab dem 12. September 2026 an eine neue Spielregel gebunden: Der EU Data Act verlangt, dass Nutzer auf die Daten ihrer vernetzten Produkte direkt zugreifen können - ohne Umweg über den Hersteller, ohne Zusatzkosten, in Echtzeit. Für die Industrie ist das kein abstraktes Regulierungsthema, sondern eine handfeste Anforderung an Produktentwicklung, Vertragsgestaltung und Datenstrategie.

Dieser Beitrag ist ein Supporting-Post zu unserem umfassenden Überblick über den EU Data Act. Hier fokussieren wir uns auf die spezifischen Pflichten für Hersteller und Betreiber vernetzter Produkte im industriellen Umfeld.

Was sind "vernetzte Produkte" im Sinne des Data Act?

Der Begriff ist weiter gefasst, als viele zunächst annehmen. Vernetzte Produkte sind Gegenstände, die Daten über ihre Nutzung oder Umgebung erfassen und übermitteln, deren Hauptfunktion aber nicht darin besteht, Daten für Dritte zu speichern oder zu verarbeiten. Dazu gehören beispielsweise Industrieanlagen, Maschinen mit IoT-Funktionalität, smarte Haushaltsgeräte oder vernetzte Fahrzeuge sowie deren vernetzte Komponenten. Auch begleitende digitale Dienstleistungen wie Wartungs-Apps, Analyseplattformen oder Fernüberwachungsdienste fallen darunter.

Im Maschinenbau und in der Industrie bedeutet das konkret: Maschinen, Sensoren und Anlagen, die mit Software, Netzwerktechnologie und IoT-Komponenten ausgestattet sind und Betriebsdaten in Echtzeit erfassen, analysieren und weitergeben können - etwa an Cloud-Plattformen, ERP-Systeme oder digitale Services - sind erfasst.

Der Data Act adressiert zwei Gruppen von Unternehmen gleichzeitig: Hersteller vernetzter Produkte und Anbieter zugehöriger Dienste auf der einen Seite, Cloud-Service-Anbieter auf der anderen. Für den DACH-Mittelstand heißt das: Praktisch jeder Maschinenbauer, der seine Anlagen mit Telemetrie ausstattet, ist Produkthersteller im Sinne der Verordnung.

Die Verordnung (EU) 2023/2854 ist am 11. Januar 2024 in Kraft getreten und seit dem 12. September 2025 in allen EU-Mitgliedstaaten unmittelbar anwendbar.

Die Stufenlogik: Was gilt wann?

Der Data Act folgt einer zeitlichen Staffelung, die für Industrieunternehmen besonders relevant ist.

Der Data Act trat am 12. September 2025 in Kraft. Ab diesem Zeitpunkt haben Nutzerinnen und Nutzer vernetzter Produkte einen gesetzlichen Anspruch auf die Herausgabe der bei der Nutzung entstehenden Daten. Ab dem 12. September 2026 kommt zusätzlich die Pflicht hinzu, einen Direktzugriff auf diese Daten zu ermöglichen.

Die drei Stufen im Überblick:

Stufe 1 - seit 12.09.2025: Nutzer haben einen gesetzlichen Anspruch auf Herausgabe ihrer Produktdaten. Dateninhaber müssen auf Verlangen liefern - kostenlos, umfassend, in maschinenlesbarem Format.

Stufe 2 - ab 12.09.2026: Neue vernetzte Produkte, die ab dem 12. September 2026 in Verkehr gebracht werden, müssen so konstruiert sein, dass Nutzer direkt auf ihre Daten zugreifen können (Data-Access-by-Design, Art. 3 Abs. 1 EU Data Act). Bereits verkaufte Maschinen fallen nicht unter die Access-by-Design-Pflicht - ein wichtiges Detail, weil es den Nachrüstungs-Zwang entschärft.

Stufe 3 - ab 12.01.2027: Ab dem 12. Januar 2027 dürfen beim Cloud-Wechsel nur noch nachgewiesene Direktkosten berechnet werden. Pauschale Egress-Fees sind dann unzulässig.

Data-Access-by-Design: Was das technisch und rechtlich bedeutet

Das Prinzip klingt einfach, hat aber weitreichende Konsequenzen für die Produktentwicklung. Neue vernetzte Produkte müssen so entwickelt werden, dass Nutzer auf relevante Daten zugreifen können. Der Zugriff soll einfach, sicher, strukturiert und maschinenlesbar möglich sein.

Die größte Herausforderung liegt in den Interoperabilitäts-Anforderungen. Dateninhaber müssen Informationen in einem "umfassenden, strukturierten, gebräuchlichen und maschinenlesbaren Format" bereitstellen. In der Praxis erfordert das leistungsstarke Application Programming Interfaces (APIs), die Echtzeit-Datenexporte sicher bewältigen.

Eine besondere Hürde: Der Data Act verlangt "kontinuierlichen und Echtzeit"-Zugriff. Im Gegensatz zu DSGVO-Auskunftsersuchen, die 30 Tage Bearbeitungszeit erlauben, muss die Verfügbarkeit hier sofort gewährleistet sein. Proprietäre Formate, die Nutzer in ein bestimmtes Ökosystem einschließen, gelten daher wahrscheinlich als nicht konform.

Für Maschinenbauer bedeutet das: Wer heute eine neue Produktlinie plant, muss die Datenzugangsarchitektur von Anfang an mitdenken - nicht als nachträgliches Feature, sondern als integralen Bestandteil des Produktdesigns.

Vorvertragliche Informationspflichten: Das Kleingedruckte wird zur Pflicht

Bereits vor Vertragsabschluss - also vor dem Kauf, der Miete oder dem Leasing eines vernetzten Produkts - müssen Hersteller und Händler umfassend informieren. Art. 3 Abs. 2 und 3 DA schaffen neue vorvertragliche Informationspflichten für Unternehmen. Nach Art. 3 Abs. 2 DA müssen dem Nutzer vor Abschluss eines Kauf-, Miet-, oder Leasingvertrags für ein vernetztes Produkt eine Reihe von Informationen über die bei Nutzung erzeugten Daten bereitgestellt werden.

Konkret umfasst das unter anderem:

• Art, Umfang und Häufigkeit der Datenerhebung sowie Speichermodalitäten (^[1])
• Identität des Dateninhabers und Kontaktdaten
• Hinweis auf das Recht zur Datenweitergabe an Dritte und wie dieses ausgeübt oder widerrufen werden kann
• Angaben zu Geschäftsgeheimnissen, die in den zugänglichen Daten enthalten sein könnten
• Vertragslaufzeit und Kündigungsrechte

Händler vernetzter Produkte und Anbieter von verbundenen Diensten können diese Informationspflichten nicht alleine erfüllen. Vielmehr benötigen Händler die Informationen vom Hersteller bzw. Anbieter der Produkte und Dienste, die ihnen diese Informationen in einem geeigneten Format bereitstellen müssen. Ansonsten kann ein Händler seinen vorvertraglichen Informationspflichten in der Praxis kaum nachkommen.

Das hat direkte Auswirkungen auf die gesamte Vertriebskette: Hersteller müssen ihre Händler und Vertriebspartner mit den notwendigen Informationen ausstatten.

Datenzugang für Nutzer und Drittempfänger

Der Data Act unterscheidet zwei Zugangsstufen, die für Industrieunternehmen unterschiedliche Risiken und Chancen bedeuten.

Zugang für den Nutzer selbst: Der Data Act gibt Nutzerinnen und Nutzern einen gesetzlichen Anspruch auf die Bereitstellung bestimmter Daten aus vernetzten Produkten und verbundenen Diensten. Die Dateninhaber sind verpflichtet, über die zur Verfügung stehenden Produktdaten und verbundenen Dienstdaten zu informieren und diese herauszugeben. Nutzerinnen und Nutzer können die Herausgabe entweder für sich selbst einfordern oder eine Weitergabe der Daten an Dritte verlangen.

Weitergabe an Drittempfänger: Auf Nutzerwunsch muss der Dateninhaber die Daten an einen vom Nutzer benannten Dritten übermitteln - zu denselben technischen Bedingungen wie für den Nutzer selbst. Bei diesen Dritten bzw. Datenempfängern kann es sich beispielsweise um Werkstätten oder Versicherungen, aber auch um Wettbewerber des Dateninhabers handeln.

Dritte dürfen die erhaltenen Daten nicht zur Entwicklung konkurrierender Produkte nutzen - der Data Act enthält insoweit einen expliziten Schutz für den Dateninhaber.

FRAND-Bedingungen und Vertragsrecht: Dateninhaber müssen die betreffenden Daten auf Grundlage fairer, angemessener und nicht-diskriminierender Bedingungen (FRAND) zugänglich machen. Vertragsbestimmungen, die den Datenzugang oder die Datennutzung für Dritte auf unangemessene Weise einschränken, insbesondere bei einem Ungleichgewicht der Verhandlungsmacht, gelten als unzulässig.

Schutz von Geschäftsgeheimnissen: Der Data Act enthält klare Schutzmechanismen: Geschäftsgeheimnisse dürfen nicht ohne Sicherung preisgegeben werden. Laut Art. 4 DA können Unternehmen die Weitergabe verweigern, wenn Nutzer oder Dritte die Vertraulichkeitsmaßnahmen nicht einhalten. Welche Daten als Geschäftsgeheimnis einzustufen sind, muss im Einzelfall sorgfältig geprüft werden.

Praxisbeispiele aus Industrie und Maschinenbau

Beispiel 1 - CNC-Maschine mit Fernwartung: Ein Maschinenbauer liefert ab September 2026 eine neue Fräsmaschine mit Cloud-Anbindung aus. Der Betreiber (Nutzer) hat nun einen gesetzlichen Anspruch auf Zugriff auf Betriebsparameter, Fehlercodes und Nutzungsprofile - direkt über eine API, ohne den Hersteller einschalten zu müssen. Betreiber von Maschinen müssen Leistungsdaten einsehen können, ohne für teure "Analytics-Pakete" zu zahlen, die lediglich die eigenen Rohdaten aufbereiten.

Beispiel 2 - Unabhängige Wartung: Der Betreiber beauftragt eine externe Wartungsfirma. Er kann verlangen, dass der Maschinenhersteller die Diagnosedaten direkt an die Werkstatt übermittelt. Das ist entscheidend für funktionierende Sekundärmärkte - etwa wenn unabhängige Werkstätten Fahrzeugdaten aus dem Smart Car benötigen, um Reparaturen durchzuführen. Dasselbe Prinzip gilt für Industrieanlagen.

Beispiel 3 - Sensorik in der Landwirtschaft und im Energiesektor: Auch in der Landwirtschaft (Sensoren auf Feldern und in Maschinen), im Energiesektor (intelligente Stromzähler) oder im Smart Home (vernetzte Geräte und Haushaltsanwendungen) schafft der Data Act neue Spielregeln für fairen Wettbewerb und Innovation.

Beispiel 4 - Mehrere Dateninhaber: Wer Dateninhaber ist, ist aufgrund einer unklaren gesetzlichen Definition häufig nicht leicht zu bestimmen. Als Faustformel kann man davon ausgehen, dass Dateninhaber derjenige ist, der die tatsächliche oder rechtliche Verfügungsbefugnis über die von einem vernetzten Produkt oder verbundenem Dienst generierten Daten hat. Das ist häufig - aber nicht immer - der Hersteller eines vernetzten Produkts bzw. der Anbieter eines verbundenen Dienstes. Im Einzelfall kann es auch mehrere Dateninhaber geben. Gerade in komplexen Lieferketten - etwa wenn ein OEM Komponenten von Zulieferern verbaut - ist die Rollenklärung essenziell.

Abgrenzung: Data Act ist nicht DSGVO und nicht CRA

Ein häufiges Missverständnis in der Praxis: Der Data Act regelt den Zugang zu und die Nutzung von Daten - unabhängig davon, ob diese personenbezogen sind oder nicht. Der sachliche Anwendungsbereich der im Data Act geregelten Datenzugangs- und Datenweitergabeansprüche erstreckt sich auf Daten aus der Nutzung von vernetzten Produkten und mit letzteren verbundenen Diensten. Der Anwendungsbereich des Data Act ist unabhängig davon eröffnet, ob die gegenständlichen Daten Personenbezug haben oder nicht.

Enthalten die Maschinendaten personenbezogene Informationen - bei Verbrauchergeräten häufig der Fall - müssen die "Access-by-Design"-Mechanismen auch die Prinzipien von Privacy by Design und Datensparsamkeit erfüllen. Hier greifen DSGVO und Data Act parallel.

Der Cyber Resilience Act (CRA) wiederum regelt die Cybersicherheit von Produkten mit digitalen Elementen - also Secure-by-Design, Schwachstellenmanagement und CE-Kennzeichnung. Er ist vom Data Act strikt zu trennen: Wer beide Regelwerke betreffen, muss beide Compliance-Stränge separat aufsetzen.

Ihr nächster Schritt: Produkt- und Datenmapping

Der Data Act ist kein Thema, das sich mit einer Vertragsklausel erledigen lässt. Er verlangt eine strukturierte Bestandsaufnahme: Welche Produkte sind vernetzt? Welche Daten entstehen? Wer ist Dateninhaber? Welche Verträge müssen angepasst werden?

Für mittelständische IoT-Hersteller bedeutet das: Der Data Act ist nicht nur ein juristisches Thema. Er betrifft Produktentwicklung, Datenarchitektur, Schnittstellen, Verträge und Kundenkommunikation.

Vectocon begleitet Industrie- und Technologieunternehmen bei genau dieser Aufgabe: Im Rahmen eines strukturierten Produkt- und Datenmapping-Workshops analysieren wir gemeinsam, welche Ihrer Produkte und Dienste betroffen sind, klären Rollen (Dateninhaber, Nutzer, Drittempfänger), identifizieren Vertragslücken und entwickeln einen priorisierten Umsetzungsplan - rechtlich und strategisch, aus einer Hand.

Die Einzelfallprüfung bleibt entscheidend: Ob und in welchem Umfang Ihr Unternehmen betroffen ist, hängt von Produktportfolio, Unternehmensgröße, Vertriebsstruktur und bestehenden Verträgen ab. Sprechen Sie uns an - wir helfen Ihnen, Klarheit zu schaffen, bevor der 12. September 2026 zur harten Deadline wird.