Der EU Data Act ist seit dem 12. September 2025 unmittelbar anwendbares Recht - und trotzdem haben viele Unternehmen die Tragweite noch nicht vollständig erfasst. Dabei ist die Verordnung kein Randthema für Datenschutzbeauftragte: Sie verändert, wer Daten aus vernetzten Produkten und digitalen Diensten nutzen darf, zu welchen Bedingungen Verträge geschlossen werden müssen und wie Cloud-Anbieter ihren Kunden Wechselfreiheit garantieren müssen.
Dieser Artikel ist der zentrale Orientierungspunkt für Entscheider und Compliance-Verantwortliche. Er erklärt, was der Data Act will, wen er betrifft, welche Pflichten bereits gelten und welche noch kommen - und er kündigt die Vertiefungsartikel an, die einzelne Themenblöcke weiter ausleuchten.
Was der EU Data Act will - und warum er jetzt kommt
Die Verordnung (EU) 2023/2854 - der EU Data Act - ist am 11. Januar 2024 in Kraft getreten und seit dem 12. September 2025 in weiten Teilen unmittelbar anwendbar. Ihr Ziel ist präzise formuliert: [1] schafft harmonisierte Vorschriften für einen fairen Datenzugang und eine faire Datennutzung im europäischen Binnenmarkt.
Hinter diesem nüchternen Satz steckt ein wirtschaftspolitisches Programm. Daten aus vernetzten Geräten, Maschinen und digitalen Diensten wurden bislang fast ausschließlich von denjenigen genutzt, die die technische Infrastruktur kontrollierten - also von Herstellern und Plattformbetreibern. Nutzer, Kunden und kleinere Unternehmen hatten kaum Zugang. [1] beschreibt dieses Machtungleichgewicht als zentrales Regulierungsmotiv. Die EU-Kommission schätzt, dass ein funktionierender europäischer Datenmarkt bis 2028 einen zusätzlichen Beitrag von rund 270 Milliarden Euro zum BIP der Mitgliedstaaten leisten kann. ([2])
Der Data Act setzt dabei auf verpflichtende Datenzugänge - sowohl im Verhältnis zwischen Unternehmen und Nutzern (B2C und B2B) als auch gegenüber der öffentlichen Hand in Ausnahmesituationen (B2G). ([3]) Er ist Teil der umfassenden europäischen Datenstrategie und ergänzt bestehende Regelwerke wie den Data Governance Act, den Digital Markets Act und - mit wichtigen Unterschieden - die DSGVO.
Data Act, DSGVO und CRA: Drei Regelwerke, drei Regelungsgegenstände
Bevor wir in die Pflichten einsteigen, ist eine Abgrenzung unverzichtbar, denn in der Praxis werden diese drei Verordnungen häufig verwechselt oder vermischt.
DSGVO regelt den Schutz personenbezogener Daten - also Daten, die sich auf identifizierte oder identifizierbare natürliche Personen beziehen. Sie stellt Anforderungen an Verarbeitung, Einwilligung, Betroffenenrechte und Datensicherheit. Der Data Act berührt die DSGVO nicht: Wo personenbezogene Daten im Spiel sind, bleibt die DSGVO uneingeschränkt anwendbar. ([4])
EU Data Act regelt den Zugang zu und die Nutzung von Daten - schwerpunktmäßig nicht-personenbezogenen Daten -, die bei der Nutzung vernetzter Produkte und verbundener Dienste entstehen. Er stellt Fragen des Datenzugangs, der Vertragsgestaltung und der Portabilität in den Mittelpunkt. ([5])
Cyber Resilience Act (CRA) - Verordnung (EU) 2024/2847 - regelt die Cybersicherheit von Produkten mit digitalen Elementen. Er stellt Anforderungen an Secure-by-Design, Schwachstellenmanagement und CE-Kennzeichnung. Er ist thematisch von Data Act und DSGVO zu trennen, auch wenn alle drei Verordnungen für Hersteller vernetzter Produkte gleichzeitig relevant sein können.
Merksatz für die Praxis: DSGVO = Datenschutz (personenbezogene Daten). Data Act = Datenzugang und Vertragsrecht (Nutzungsdaten aus vernetzten Produkten). CRA = Cybersicherheit (Produktsicherheit). Alle drei können für dasselbe Unternehmen gleichzeitig gelten – sie ersetzen sich nicht gegenseitig.
Wer ist betroffen? Die vier Akteursgruppen des Data Act
Der Data Act richtet sich an mehrere Akteursgruppen entlang der digitalen Wertschöpfungskette. ([6]) Entscheidend ist dabei nicht der Unternehmenssitz, sondern das sogenannte Marktortprinzip: Auch Anbieter außerhalb der EU müssen die Vorgaben des Data Act einhalten, sofern sie Produkte oder Dienste auf dem europäischen Markt anbieten. ([5])
Dateninhaber sind natürliche oder juristische Personen, die die rechtmäßige und faktische Kontrolle über die durch Produktnutzung erzeugten Daten haben. In der Praxis sind das meist Hersteller oder Anbieter der jeweiligen Produkte und Dienste. ([7]) Sie tragen die Hauptlast der Bereitstellungspflichten.
Nutzer sind alle natürlichen oder juristischen Personen, die ein vernetztes Produkt oder einen verbundenen Dienst rechtmäßig in Anspruch nehmen - also sowohl Verbraucher als auch Unternehmen. ([7]) Sie sind die primären Rechteinhaber: Auf ihren Wunsch hin müssen Daten bereitgestellt oder an Dritte weitergegeben werden.
Datenempfänger (Drittempfänger) sind Unternehmen oder Personen, die im Rahmen ihrer beruflichen Tätigkeit Daten vom Dateninhaber erhalten - auf Veranlassung des Nutzers. ([7]) Sie unterliegen ihrerseits Pflichten, insbesondere zur Zweckbindung und Datenlöschung. ([8])
Anbieter von Datenverarbeitungsdiensten - also Cloud-Anbieter, IaaS-, PaaS- und SaaS-Plattformen - sind durch die Switching-Pflichten des Kapitels VI des Data Act direkt adressiert. Sofern Rechenressourcen Teil eines SaaS-Angebots sind, können auch Software-as-a-Service-Anbieter von diesen Regelungen betroffen sein. ([9])
Für Kleinstunternehmen (weniger als 10 Beschäftigte, weniger als 2 Mio. Euro Umsatz oder Bilanzsumme) und Kleinunternehmen (weniger als 50 Beschäftigte, weniger als 10 Mio. Euro Umsatz oder Bilanzsumme) bestehen Ausnahmen von den Bereitstellungspflichten. ([10]) Allerdings können auch diese Unternehmen als Nutzer oder Datenempfänger von den Rechten des Data Act profitieren.
KI-generiertes BildDie Fristen im Überblick
Der Data Act tritt nicht auf einen Schlag in Kraft, sondern gestaffelt. Das folgende Schaubild zeigt die drei entscheidenden Daten:
Die vier Schlüsseldaten in der Übersicht:
- 11. Januar 2024 - Inkrafttreten der Verordnung (EU) 2023/2854. ([3])
- 12. September 2025 - Anwendbarkeit der meisten Kernpflichten: Nutzerrechte auf Datenzugang, Bereitstellungspflichten, Regeln für B2B-Vertragsklauseln, Cloud-Switching-Rahmen und B2G-Datenzugang. ([11])
- 12. September 2026 - Design-Pflichten (Access-by-Design): Ab diesem Datum müssen alle neu in Verkehr gebrachten vernetzten Produkte und verbundenen Dienste so gestaltet sein, dass Nutzer standardmäßig direkten und unkomplizierten Zugang zu den erzeugten Daten haben. ([12])
- 12. Januar 2027 - Ab diesem Datum sind Switching-Gebühren beim Wechsel zwischen Cloud- und Datenverarbeitungsdiensten grundsätzlich untersagt. ([12]) Zudem greift ab September 2027 der Fairnessrahmen für Altverträge mit unbefristeter Laufzeit oder sehr langer Restlaufzeit. ([13])
Die Kernpflichten des Data Act
1. Vorvertragliche Transparenz
Hersteller und Anbieter vernetzter Produkte und verbundener Dienste müssen Nutzer vor Vertragsabschluss transparent darüber informieren, welche Daten bei der Nutzung voraussichtlich erzeugt werden, zu welchem Zweck der Dateninhaber diese selbst nutzen möchte und ob und an wen Daten weitergegeben werden sollen. ([8]) Diese Informationspflicht gilt bereits seit dem 12. September 2025.
2. Datenzugang und Datenweitergabe auf Nutzerwunsch
Ab dem 12. September 2025 können Nutzer vernetzter Produkte und verbundener Dienste Zugang zu ihren Daten beim Dateninhaber verlangen. ([7]) Wo ein direkter technischer Zugang nicht möglich ist, muss der Dateninhaber die Daten auf Anfrage in einem maschinenlesbaren Format bereitstellen - kontinuierlich und in Echtzeit, soweit verfügbar. ([9])
Auf Verlangen des Nutzers muss der Dateninhaber Daten auch an Dritte (Datenempfänger) weitergeben. ([8]) Ein klassisches Beispiel: Der Eigentümer eines vernetzten Fahrzeugs kann verlangen, dass der Hersteller die Fahrzeugdaten an eine unabhängige Werkstatt weitergibt.
Wichtig: Der Dateninhaber darf die Daten nur dann für eigene Zwecke nutzen, wenn dies mit dem Nutzer ausdrücklich vertraglich vereinbart wurde. ([8]) Unternehmen müssen sich also künftig von Beginn an vertragliche Nutzungsrechte einräumen lassen.
3. Faire B2B-Bedingungen: FRAND und das Verbot unfairer Klauseln
Wenn Daten zwischen Unternehmen geteilt werden, müssen die Bedingungen fair, angemessen und nichtdiskriminierend sein - kurz: FRAND (Fair, Reasonable and Non-Discriminatory). ([14]) Das schließt eine angemessene Vergütung ein, die auch eine Marge enthalten darf.
Gleichzeitig führt der Data Act eine eigenständige Fairnesskontrolle für B2B-Klauseln ein - zusätzlich zum nationalen AGB-Recht. ([14]) Artikel 13 des Data Act enthält eine Schwarze Liste (immer unzulässige Klauseln) und eine Graue Liste (widerleglich unzulässige Klauseln). ([13]) Typische Problemklauseln sind einseitige Haftungsausschlüsse für fehlerhafte Daten, der Ausschluss von Rechtsbehelfen bei Nichterfüllung und Nutzungsbeschränkungen, die die begünstigte Partei daran hindern, eine Kopie der Daten zu erhalten. ([15])
Ein besonders relevanter Punkt für die Praxis: Bei der FRAND-Pflicht gilt eine umgekehrte Beweislast - der Dateninhaber muss im Streitfall nachweisen, dass seine Konditionen nicht diskriminierend sind. ([13]) Das erhöht das Prozessrisiko erheblich und verlangt saubere, dokumentierte Preis- und Konditionenlogiken.
4. Cloud-Switching: Wechselfreiheit als Pflicht
Anbieter von Datenverarbeitungsdiensten - also Cloud-Plattformen jeder Art - müssen ihren Kunden den einfachen Wechsel zu einem anderen Anbieter ermöglichen. ([8]) Dazu müssen entsprechende Schnittstellen bereitgestellt und Interoperabilitätsstandards eingehalten werden.
Konkret gelten zwingende Exit-Regeln: Die maximale Kündigungsfrist beim Cloud-Wechsel beträgt zwei Monate; dazu kommen eine 30-tägige Übergangsphase und eine 30-tägige Abrufphase. ([14]) Vertragsklauseln, die diese Mindeststandards unterschreiten, sind rechtlich hochriskant. Switching-Gebühren müssen schrittweise reduziert werden und sind ab dem 12. Januar 2027 grundsätzlich untersagt. ([16])
5. Schutz vor unrechtmäßigem Drittstaatenzugriff
Ähnlich wie die DSGVO enthält der Data Act Schutzmaßnahmen für die internationale Datenübermittlung. Anbieter von Datenverarbeitungsdiensten müssen technische und organisatorische Maßnahmen treffen, um den unberechtigten Zugriff von Behörden außerhalb der EU auf die gespeicherten Daten zu verhindern. ([8]) Dieser Schutz ist besonders für Unternehmen relevant, die Cloud-Dienste von Anbietern mit Sitz in Drittstaaten nutzen.
Durchsetzung in Deutschland: Das DADG ist in Kraft
Ein wichtiger Entwicklungsschritt, der vielen Unternehmen noch nicht bekannt ist: Am 30. Mai 2026 ist das Datenverordnung-Anwendungs-und-Durchsetzungs-Gesetz (DADG) in Deutschland in Kraft getreten. ([17]) Es schafft die institutionelle Infrastruktur für die Durchsetzung des Data Act in Deutschland.
Die Bundesnetzagentur (BNetzA) ist als primär zuständige Aufsichtsbehörde benannt. ([18]) Sie ist zentrale Anlaufstelle für Beschwerden, Aufsicht und die Zulassung privater Streitbeilegungsstellen. Für Fragen des Datenschutzes - also dort, wo personenbezogene Daten betroffen sind - ist die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) zuständig. ([19])
Bei Verstößen kann die BNetzA zunächst Abhilfe verlangen und eine angemessene Frist setzen. Erst wenn dem nicht nachgekommen wird, kann sie Maßnahmen anordnen und Zwangsgelder von bis zu 500.000 Euro festsetzen. ([20]) Zusätzlich sieht das DADG einen Bußgeldkatalog vor. ([21]) Wo Verstöße personenbezogene Daten betreffen, greifen ergänzend die Sanktionen der DSGVO. ([19])
Bin ich betroffen? Der Selbst-Check
Nicht jedes Unternehmen ist in gleicher Weise betroffen. Nutzen Sie den folgenden interaktiven Entscheidungsbaum, um Ihre vorläufige Betroffenheit einzuschätzen - und dann mit uns die Einzelfallprüfung vorzunehmen.
Was jetzt zu tun ist: Die vier Handlungsfelder
Unabhängig von der konkreten Betroffenheit empfehlen sich vier Handlungsfelder, die wir in den folgenden Vertiefungsartikeln detailliert behandeln werden:
Handlungsfeld 1 - Verträge und FRAND-Konformität: Bestehende B2B-Datenverträge, AGB und SLAs müssen auf unfaire Klauseln und FRAND-Konformität geprüft werden. Klauseln auf der Schwarzen und Grauen Liste des Art. 13 Data Act sind unwirksam. Für Altverträge mit unbefristeter Laufzeit läuft die Übergangsfrist bis September 2027. -> Vertiefungsartikel: Datenverträge und FRAND im Detail
Handlungsfeld 2 - SaaS und Cloud-Switching: Cloud- und SaaS-Anbieter müssen Exit-Prozesse, Portabilitätsschnittstellen und Migrationsdokumentation bereitstellen. Switching-Gebühren sind ab Januar 2027 untersagt. -> Vertiefungsartikel: Cloud-Switching und SaaS-Compliance
Handlungsfeld 3 - Vernetzte Produkte und IoT: Hersteller müssen bis September 2026 Access-by-Design in neue Produkte integrieren. Das erfordert technische Anpassungen bereits in der Produktentwicklung. -> Vertiefungsartikel: Data Act und vernetzte Produkte / IoT
Handlungsfeld 4 - Readiness und Governance: Unternehmen brauchen eine Datenstrategie, die Datenflüsse kartiert, Zuständigkeiten klärt und Prozesse für Nutzeranfragen etabliert. -> Vertiefungsartikel: Data-Act-Readiness für den Mittelstand
Integrierter Beratungsansatz: Der Data Act hat nicht nur rechtliche, sondern auch wirtschaftliche Konsequenzen – etwa bei der Preisgestaltung für Datenzugang (FRAND-Vergütung), bei der Bewertung von Datenbeständen in M&A-Prozessen und bei der steuerlichen Behandlung von Datenlizenzverträgen. Genau hier zahlt sich ein integrierter Rechts- und Steuerberatungsansatz aus.
Lassen Sie Ihre Betroffenheit durch den EU Data Act individuell einschätzen – von erfahrenen Rechts- und Steuerberatern, die Ihre Situation ganzheitlich bewerten.
Data-Act-Quick-Check anfordernAusblick: Der Digital Omnibus und die Weiterentwicklung des Data Act
Der Data Act ist kein abgeschlossenes Regelwerk. Im November 2025 hat die Europäische Kommission einen Vorschlag zur umfassenden Novellierung des europäischen Datenrechts vorgelegt - die sogenannte Digital-Omnibus-Verordnung. ([22]2023/2854(EU-Datenverordnung))) Sie sieht unter anderem vor, den Data Act zum zentralen konsolidierten Instrument der europäischen Datenwirtschaft auszubauen und Regelungen aus dem Data Governance Act zu integrieren. ([23])
Für Unternehmen bedeutet das: Die Compliance-Arbeit, die jetzt geleistet wird, ist eine Investition in eine stabile Grundlage - auch für künftige Anforderungen. Wer heute seine Datenflüsse kartiert, Verträge anpasst und technische Schnittstellen aufbaut, ist für Weiterentwicklungen des Rechtsrahmens deutlich besser aufgestellt.
Fazit: Jetzt handeln, nicht abwarten
Der EU Data Act ist seit September 2025 geltendes Recht. Mit dem DADG hat Deutschland seit Mai 2026 auch die Durchsetzungsinfrastruktur geschaffen. Die Bundesnetzagentur ist aktiv und hat angekündigt, zunächst auf Information und Beratung zu setzen - aber das Fenster für eine geordnete Compliance-Umsetzung ohne Behördendruck ist endlich.
Die gute Nachricht: Wer jetzt strukturiert vorgeht, kann die Anforderungen des Data Act in überschaubare Schritte aufteilen. Der erste Schritt ist eine ehrliche Bestandsaufnahme: Welche vernetzten Produkte und Dienste betreiben wir? Welche Daten entstehen dabei? Welche Verträge regeln deren Nutzung? Und entsprechen unsere Cloud-Verträge den neuen Exit-Anforderungen?
Diese Fragen lassen sich nicht pauschal beantworten - sie hängen von Ihrer konkreten Geschäftstätigkeit, Ihren Vertragsstrukturen und Ihrer technischen Infrastruktur ab. Genau deshalb empfehlen wir als ersten Schritt einen strukturierten Quick-Check.
Vectocon begleitet Sie von der ersten Betroffenheitsanalyse bis zur vertragsrechtskonformen Umsetzung – integriert aus rechtlicher und steuerlicher Perspektive.
Jetzt Data-Act-Quick-Check vereinbaren
