Skip to content

EU Data Act

Der EU Data Act (Datenverordnung) schafft einen harmonisierten Rahmen für den Zugang zu und die Nutzung von Daten, die durch vernetzte Produkte (IoT) und damit verbundene Dienste erzeugt werden. Er soll sicherstellen, dass Nutzende — sowohl Verbraucher als auch Unternehmen — Zugang zu den von ihnen miterzeugten Daten erhalten und Daten fairer im Markt zirkulieren können. Darüber hinaus regelt er den Wechsel zwischen Cloud- und anderen Datenverarbeitungsdiensten, den Zugang öffentlicher Stellen in Ausnahmesituationen, Interoperabilität sowie Schutzmaßnahmen gegen unrechtmäßigen Drittstaatenzugang (Art. 1 Abs. 1).

[!NOTE]

Alle Artikelverweise beziehen sich, sofern nicht anders angegeben, auf die Verordnung (EU) 2023/2854 und führen direkt zum jeweiligen Artikel. Stand der Prüfung: 09.10.2026. Die Seite ist eine Orientierung und keine Rechtsberatung. Quellen stehen im Abschnitt Quellen.

Überblick

  • Segment: Datenwirtschaft, IoT, Cloud- und Datenverarbeitungsdienste

  • Verabschiedet / Veröffentlicht:

    • Verordnung (EU) 2023/2854 vom 13.12.2023, veröffentlicht im Amtsblatt der EU am 22.12.2023

  • Gültig ab (Art. 50):

    • In Kraft getreten: 11.01.2024 (20. Tag nach Veröffentlichung)
    • Anwendbar: 12.09.2025
    • Gestaffelte Anwendung einzelner Vorgaben:
      • Produktdesign-Pflicht nach Art. 3 Abs. 1: gilt für vernetzte Produkte und verbundene Dienste, die nach dem 12.09.2026 in Verkehr gebracht werden (seit heute also anwendbar)
      • Kapitel III (Pflichten bei unionsrechtlicher Datenbereitstellung): nur für Pflichten, die nach dem 12.09.2025 in Kraft treten
      • Kapitel IV (missbräuchliche Vertragsklauseln): für Verträge, die nach dem 12.09.2025 geschlossen wurden; für Altverträge ab dem 12.09.2027, sofern sie unbefristet sind oder ihre Geltungsdauer frühestens 10 Jahre nach dem 11.01.2024 endet
      • Wechselentgelte: nach Art. 29 ab dem 12.01.2027 nicht mehr erhebbar (siehe unten)

  • Gültig für (Art. 1 Abs. 3), unabhängig vom Niederlassungsort der Hersteller bzw. Anbieter, soweit Produkte oder Dienste in der Union angeboten werden:

    • Hersteller vernetzter Produkte, die in der Union in Verkehr gebracht werden, und Anbieter verbundener Dienste, sowie deren Nutzer in der Union
    • Dateninhaber, die Datenempfängern in der Union Daten bereitstellen, und die Datenempfänger
    • Öffentliche Stellen, Kommission, EZB und Einrichtungen der Union, die in Ausnahmesituationen Daten verlangen
    • Anbieter von Datenverarbeitungsdiensten (Cloud, Edge), die Kunden in der Union bedient
    • Teilnehmer an Datenräumen sowie Anbieter von Anwendungen mit intelligenten Verträgen (Smart Contracts)

  • Wesentliche Begriffe (Art. 2):

    • Vernetztes Produkt (Nr. 5): Gegenstand, der Daten über Nutzung oder Umgebung erlangt, generiert oder erhebt und Produktdaten übermitteln kann; Hauptfunktion darf nicht die Speicherung, Verarbeitung oder Übertragung von Daten im Namen einer anderen Partei sein
    • Verbundener Dienst (Nr. 6): digitaler Dienst einschließlich Software, der so mit dem Produkt verbunden ist, dass es ohne ihn Funktionen nicht ausführen könnte, oder der nachträglich zur Ergänzung, Aktualisierung oder Anpassung der Produktfunktionen verbunden wird
    • Datenverarbeitungsdienst (Nr. 8): digitale Dienstleistung mit Netzzugang zu einem gemeinsam genutzten Pool konfigurierbarer, skalierbarer und elastischer Rechenressourcen

  • Nicht oder nur eingeschränkt anwendbar:

    • Kleinstunternehmen und Kleinunternehmen als Hersteller bzw. Anbieter sind von den Pflichten des Kapitels II ausgenommen, solange sie kein Partner- oder verbundenes Unternehmen haben, das nicht Klein- oder Kleinstunternehmen ist, und nicht als Unterauftragnehmer eines größeren Unternehmens agieren (Art. 7 Abs. 1). Mittlere Unternehmen sind erst ein Jahr nach Einstufung als solches bzw. bei neuen Produkten für ein Jahr nach deren Inverkehrbringen ausgenommen (Abs. 1 UAbs. 2). Für Kapitel V gilt eine Teilausnahme (Art. 15 Abs. 2, Art. 20 Abs. 1)
    • Maßgeschneiderte Datenverarbeitungsdienste (die meisten zentralen Funktionen auf einen einzelnen Kunden zugeschnitten, nicht im größeren Maßstab über den Katalog angeboten) sind von Art. 23 lit. d, Art. 29 und Art. 30 Abs. 1 und 3 ausgenommen; Test- und Evaluierungsdienste für begrenzte Zeit sind vom gesamten Kapitel VI ausgenommen (Art. 31)
    • Prototypen (Erwgr. 14) sowie Daten, die ein Produkt nur im Auftrag Dritter speichert oder verarbeitet (Server, Cloud-Infrastruktur), und von Nutzern abgespielte Inhalte liegen nach den Erwägungsgründen außerhalb des Anwendungsbereichs (Erwgr. 16)
    • Die Verordnung gilt unbeschadet der DSGVO, der Richtlinie 2002/58/EG und der Verbraucherschutzvorschriften; bei Widerspruch geht das Datenschutzrecht vor (Art. 1 Abs. 5 und 9). Der Data Act ist also keine Ausnahme von der DSGVO, sondern ergänzt sie

  • Grauzone:

    • Abgrenzung „vernetztes Produkt" vs. reine Software/SaaS: Reine Software ist kein „Produkt" im Sinne von Art. 2 Nr. 5 (Gegenstand), kann aber als verbundener Dienst (Art. 2 Nr. 6) oder als Datenverarbeitungsdienst (Nr. 8) erfasst sein. Dienste, die weder Befehle noch Daten an das Produkt übermitteln, gelten nicht als verbundene Dienste (Erwgr. 17)
    • Reichweite der „ohne Weiteres verfügbaren Daten" (Art. 2 Nr. 17); abgeleitete oder gefolgerte Informationen aus komplexen proprietären Algorithmen sind nach den Erwägungsgründen nicht erfasst (Erwgr. 15)
    • Gemischte Datensätze (personenbezogen und nicht-personenbezogen): zusätzlich Rechtsgrundlage nach DSGVO erforderlich (Art. 4 Abs. 12, Art. 5 Abs. 7)
    • Verhältnis zu bestehenden Verträgen und Geschäftsgeheimnissen (siehe Anwendungsstaffelung und Art. 4 Abs. 6–8)
    • Der Normtext enthält keine Ausnahme für Open Source und erwähnt Open Source nicht. Ob ein Open-Source-Projekt erfasst ist, hängt davon ab, ob es als Hersteller eines vernetzten Produkts, Anbieter eines verbundenen Dienstes oder Datenverarbeitungsdienstes auftritt; reine Bereitstellung von Quellcode ohne einen dieser Dienste ist vom Wortlaut her nicht angesprochen (Einzelfallprüfung)

  • Behörden und Sanktionen:

    • Mitgliedstaaten benennen zuständige Behörden und legen wirksame, verhältnismäßige und abschreckende Sanktionen fest (Art. 37, Art. 40). Datenschutzaufsichtsbehörden können bei Verstößen gegen die Kapitel II, III und V Geldbußen bis zum Rahmen des Art. 83 Abs. 5 DSGVO verhängen (Art. 40 Abs. 4)
    • Deutschland: Das Data-Act-Durchführungsgesetz (DADG) wurde am 26.03.2026 vom Bundestag beschlossen und ist seit dem 30.05.2026 in Kraft. Die Bundesnetzagentur ist zentrale zuständige Behörde (Aufsicht, Beschwerden, Zulassung von Streitbeilegungsstellen, Überwachung der Cloud-Wechselregeln); für den Datenschutz bei nicht-öffentlichen Stellen ist die BfDI zuständig, für die Datenempfänger weiterhin die Landesdatenschutzbehörden

  • Aktueller Stand (Digital Omnibus): Die Kommission hat am 19.11.2025 den Digital Omnibus vorgeschlagen, der u. a. Data Governance Act, Open-Data-Richtlinie und Free-Flow-Verordnung in den Data Act überführen und gezielte Erleichterungen (u. a. für kleinere Cloud-Anbieter beim Wechsel) bringen soll. Nach dem Legislative Train des Parlaments (Stand 20.09.2026) gibt es weder Ratsposition noch Parlamentsposition noch Trilog; die geltenden Fristen des Data Act sind unverändert. Bis zu einem verabschiedeten Rechtsakt gilt der Text der Verordnung 2023/2854

Zentrale Forderungen

Datenzugang für Nutzer (Art. 3–7)

  • Data by Design (Art. 3 Abs. 1): Vernetzte Produkte und verbundene Dienste sind so zu konzipieren, dass Produktdaten und verbundene Dienstdaten samt zur Auslegung nötigen Metadaten standardmäßig für den Nutzer einfach, sicher, unentgeltlich, in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format und, soweit relevant und technisch durchführbar, direkt zugänglich sind. Anwendbar für Produkte, die nach dem 12.09.2026 in Verkehr gebracht werden
  • Vorvertragliche Informationen (Art. 3 Abs. 2 und 3): Verkäufer, Vermieter bzw. Leasinggeber informieren u. a. über Art, Format und geschätzten Umfang der Daten, Echtzeit-Fähigkeit, Speicherort und -dauer sowie Zugriffsmöglichkeiten; Anbieter verbundener Dienste zusätzlich u. a. über beabsichtigte Datennutzung, Identität des Dateninhabers, Geschäftsgeheimnisse und das Beschwerderecht
  • Zugang über den Dateninhaber (Art. 4 Abs. 1): Kann der Nutzer nicht direkt vom Produkt aus zugreifen, stellt der Dateninhaber ohne Weiteres verfügbare Daten unverzüglich, unentgeltlich und maschinenlesbar bereit; keine „Dark Patterns" bei der Ausübung der Nutzerrechte (Abs. 4)
  • Vertragliche Beschränkungen sind nur zulässig, wenn die Verarbeitung Sicherheitsanforderungen beeinträchtigt und zu schwerwiegenden Auswirkungen auf Gesundheit oder Sicherheit führen könnte (Abs. 2). Der Dateninhaber darf nicht-personenbezogene Daten nur auf Grundlage eines Vertrags mit dem Nutzer selbst nutzen (Abs. 13)
  • Wettbewerbsschutz: Nutzer dürfen die Daten nicht zur Entwicklung eines konkurrierenden vernetzten Produkts verwenden (Art. 4 Abs. 10)
  • Weitergabe an Dritte nach Nutzerverlangen (Art. 5, Art. 6): Auf Verlangen des Nutzers stellt der Dateninhaber die Daten einem Dritten bereit (für den Nutzer unentgeltlich, in derselben Qualität wie dem Dateninhaber). Als Torwächter nach dem DMA benannte Unternehmen sind keine zulässigen Dritten (Art. 5 Abs. 3); Dritte dürfen die Daten u. a. nicht für Profiling oder zur Entwicklung konkurrierender Produkte nutzen (Art. 6 Abs. 2)
  • Ausnahme für kleine Unternehmen: siehe Überblick (Art. 7). Vertragsklauseln, die Nutzerrechte zu dessen Nachteil ausschließen, sind für den Nutzer nicht bindend (Art. 7 Abs. 2)

Datenweitergabe zwischen Unternehmen (Art. 8–12) und Vertragsklauseln (Art. 13)

  • Ist ein Dateninhaber im B2B-Verhältnis zur Datenbereitstellung verpflichtet (nach Art. 5 oder nach anderem Unionsrecht), erfolgt sie zu fairen, angemessenen und nichtdiskriminierenden Bedingungen (FRAND, Art. 8 Abs. 1) und ohne Diskriminierung vergleichbarer Empfängerkategorien (Abs. 3)
  • Gegenleistung (Art. 9): diskriminierungsfrei und angemessen, darf eine Marge enthalten; bei KMU und gemeinnützigen Forschungseinrichtungen darf sie die Bereitstellungskosten nicht übersteigen (Abs. 4)
  • Streitbeilegung durch zertifizierte Stellen (Art. 10); technische Schutzmaßnahmen gegen unbefugte Nutzung sind zulässig (Art. 11)
  • Missbräuchliche Klauseln (Art. 13): Klauseln zu Datenzugang, Datennutzung, Haftung und Rechtsbehelfen, die ein Unternehmen einem anderen Unternehmen einseitig auferlegt, sind nicht bindend, wenn sie missbräuchlich sind. Die Regel gilt nicht nur für KMU, sondern für Unternehmen allgemein; Beispiele stehen in Abs. 4 (schwarze Liste) und Abs. 5 (graue Liste)

Datenzugang für öffentliche Stellen (Art. 14–22)

  • Öffentliche Stellen, die Kommission, die EZB und Einrichtungen der Union können bei außergewöhnlicher Notwendigkeit Daten verlangen (Art. 14, Art. 15):
    • zur Bewältigung eines öffentlichen Notstands (Art. 15 Abs. 1 lit. a; Definition in Art. 2 Nr. 29 umfasst auch schwere Cybersicherheitsvorfälle), oder
    • zur Erfüllung einer gesetzlich vorgesehenen Aufgabe im öffentlichen Interesse, wenn ein Mangel an bestimmten Daten sie daran hindert und alle anderen Mittel ausgeschöpft sind (lit. b; nur nicht-personenbezogene Daten, nicht gegenüber Klein- und Kleinstunternehmen)
  • Verlangen sind zeitlich befristet, im Umfang begrenzt, zweckgebunden und zu begründen (Art. 17); Dateninhaber können unter den Bedingungen des Art. 18 Abs. 2 innerhalb von fünf Arbeitstagen (Notstand) ablehnen oder Änderung beantragen
  • Ausgleich: Im Notstand unentgeltlich (außer Klein- und Kleinstunternehmen), in den übrigen Fällen faire Gegenleistung (Art. 20)

Wechsel zwischen Datenverarbeitungsdiensten / Cloud Switching (Art. 23–31)

  • Hindernisse beseitigen (Art. 23): Anbieter dürfen keine vorkommerziellen, gewerblichen, technischen, vertraglichen oder organisatorischen Hindernisse aufzwingen, die Kunden an Kündigung, Vertragsschluss mit anderen Anbietern, Datenexport, Funktionsäquivalenz oder paralleler Nutzung mehrerer Anbieter hindern
  • Vertragsinhalt (Art. 25 Abs. 2): schriftlicher Vertrag mit u. a.
    • maximaler Kündigungsfrist für die Einleitung des Wechsels von zwei Monaten (lit. d)
    • verbindlichem Übergangszeitraum von höchstens 30 Kalendertagen ab Ablauf der Kündigungsfrist (lit. a); ist dies technisch nicht durchführbar, teilt der Anbieter dies binnen 14 Arbeitstagen mit und nennt einen alternativen Übergangszeitraum von höchstens sieben Monaten (Abs. 4); der Kunde kann den Übergangszeitraum einmal verlängern (Abs. 5)
    • Datenabrufzeitraum von mindestens 30 Kalendertagen (lit. g), vollständiger Löschung danach (lit. h) und erschöpfender Auflistung der übertragbaren Daten und digitalen Vermögenswerte (lit. e, f)
  • Wechselentgelte (Art. 29): Vom 11.01.2024 bis 12.01.2027 nur ermäßigte Entgelte, die die dem Anbieter unmittelbar entstehenden Kosten nicht übersteigen; ab dem 12.01.2027 keine Wechselentgelte mehr. Bei paralleler Nutzung mehrerer Dienste dürfen weiterhin Datenextraktionsentgelte in Höhe der Kosten erhoben werden (Art. 34 Abs. 2)
  • Transparenz (Art. 26, Art. 28): Informationen über Wechselverfahren, ein Online-Register mit Datenstrukturen, Formaten und offenen Interoperabilitätsspezifikationen sowie Angabe der Jurisdiktion der IKT-Infrastruktur und der Maßnahmen gegen Drittstaatenzugriff
  • Technische Aspekte (Art. 30):
    • IaaS-artige Dienste (Abs. 1): Anbieter ergreifen alle angemessenen Maßnahmen, damit der Kunde im Zieldienst derselben Dienstart Funktionsäquivalenz erreicht
    • Übrige Dienste, z. B. PaaS/SaaS (Abs. 2–4): unentgeltliche offene Schnittstellen, Kompatibilität mit gemeinsamen Spezifikationen bzw. harmonisierten Normen (mindestens 12 Monate nach Aufnahme der Fundstelle in die zentrale Unionsdatenbank) und Pflege des Online-Registers
    • Ohne veröffentlichte Spezifikationen oder Normen: Export aller exportierbaren Daten in einem strukturierten, gängigen und maschinenlesbaren Format (Abs. 5)
    • Keine Pflicht, neue Technologien zu entwickeln oder geschützte Vermögenswerte und Geschäftsgeheimnisse offenzulegen (Abs. 6)
  • Parallele Nutzung / Multi-Cloud: Die Anforderungen zur Interoperabilität gelten sinngemäß (Art. 34 Abs. 1)
  • Ausnahmen: maßgeschneiderte Dienste und Test-/Evaluierungsdienste (Art. 31); der Anbieter muss Kunden vor Vertragsschluss darüber informieren (Abs. 3)

Schutz von Geschäftsgeheimnissen (Art. 4 Abs. 6–8, Art. 5 Abs. 9–11, Art. 8 Abs. 6)

  • Geschäftsgeheimnisse werden gewahrt und nur offengelegt, wenn vorab alle erforderlichen Schutzmaßnahmen getroffen wurden; der Dateninhaber ermittelt die betroffenen Daten (auch in den Metadaten)
  • Fehlt eine Einigung über die Schutzmaßnahmen oder werden sie nicht eingehalten, kann der Dateninhaber die Weitergabe verweigern oder aussetzen (Art. 4 Abs. 7, Art. 5 Abs. 10) und muss dies der zuständigen Behörde melden
  • Nur in außergewöhnlichen Umständen, bei hoher Wahrscheinlichkeit eines schweren wirtschaftlichen Schadens, ist die Ablehnung des Zugangs trotz Schutzmaßnahmen möglich (Art. 4 Abs. 8, Art. 5 Abs. 11). Eine pauschale Berufung auf Geschäftsgeheimnisse genügt nicht

Unrechtmäßiger Drittstaatenzugang (Art. 32)

  • Anbieter von Datenverarbeitungsdiensten treffen alle angemessenen technischen, organisatorischen und rechtlichen Maßnahmen, um staatlichen Zugang zu in der Union gespeicherten nicht-personenbezogenen Daten zu verhindern, der dem Unionsrecht oder nationalem Recht widerspräche (Abs. 1). Entscheidungen von Drittstaaten werden grundsätzlich nur auf Grundlage internationaler Übereinkünfte anerkannt (Abs. 2); der Kunde ist vor Erfüllung eines Verlangens zu informieren (Abs. 5)

Interoperabilität (Art. 33–36)

  • Datenräume (Art. 33): Teilnehmer an Datenräumen, die Daten oder Datendienste anbieten, müssen wesentliche Anforderungen erfüllen (u. a. maschinenlesbare Beschreibung von Inhalten, Lizenzen und Datenqualität; öffentlich beschriebene Datenstrukturen und Vokabulare; beschriebene APIs). Die Kommission beauftragt europäische Normungsorganisationen mit harmonisierten Normen (Abs. 4) und kann ersatzweise gemeinsame Spezifikationen per Durchführungsrechtsakt erlassen (Abs. 5)
  • Datenverarbeitungsdienste (Art. 35): Offene Interoperabilitätsspezifikationen (nach Anhang II der Verordnung (EU) Nr. 1025/2012) und harmonisierte Normen; Fundstellen werden in einer zentralen Unionsdatenbank veröffentlicht (Abs. 8)
  • Intelligente Verträge (Art. 36): Anbieter von Anwendungen mit Smart Contracts zur Ausführung von Datenbereitstellungsvereinbarungen müssen wesentliche Anforderungen erfüllen (Robustheit und Zugangskontrolle, sichere Beendigung und Unterbrechung, Datenarchivierung und -kontinuität, Kohärenz mit der Vereinbarung), führen eine Konformitätsbewertung durch und stellen eine EU-Konformitätserklärung aus (Abs. 1–3)

Durchsetzung (Art. 37–42)

  • Beschwerderecht bei der zuständigen Behörde (Art. 38) und Recht auf gerichtlichen Rechtsbehelf (Art. 39); Sanktionen nach Art. 40
  • Die Kommission sollte vor dem 12.09.2025 unverbindliche Mustervertragsklauseln für Datenzugang und -nutzung sowie Standardvertragsklauseln für Cloud-Verträge erstellen (Art. 41). Der Europäische Dateninnovationsrat (EDIB) unterstützt die einheitliche Anwendung (Art. 42)
  • Überprüfung: Die Kommission bewertet die Verordnung bis zum 12.09.2028 (Art. 49)

Relevanz für Software-Hersteller und Open Source

  • Hersteller vernetzter Produkte mit Software/Firmware: Die Zugangspflicht ist eine Konstruktionspflicht (Art. 3 Abs. 1). Software im Produkt (Datenmodell, APIs, Metadaten, Export-Formate) muss den Datenzugang tragen. Für neue Produkte nach dem 12.09.2026 ist das nicht mehr optional. Einbindung von Open-Source-Komponenten ändert nichts an der Verantwortung des Herstellers
  • Anbieter verbundener Dienste (Software/Apps): pflichtenbegründend ist der Funktionszusammenhang mit dem Produkt (Art. 2 Nr. 6), nicht die Lizenzform. Vorvertragliche Informationen und Zugang nach Art. 3 Abs. 3 und Art. 4 beachten
  • SaaS-/Cloud-/Hosting-Anbieter: fallen häufig unter „Datenverarbeitungsdienst" (Art. 2 Nr. 8). Pflichten: Wechselklauseln, Exportformate, offene Schnittstellen (Art. 25, 30), Entgeltfreiheit ab 12.01.2027. Open-Source-Plattformen, die als Dienst angeboten werden, sind insoweit nicht ausgenommen; offene Standards und offene Schnittstellen unterstützen die Pflichten aus Art. 30 und 35 (Erwgr. 100)
  • Smart-Contract-Entwickler: Wer Anwendungen mit Smart Contracts zur Ausführung von Datenbereitstellungsvereinbarungen anbietet, braucht eine Konformitätsbewertung und EU-Konformitätserklärung (Art. 36)
  • Verträge: Standardklauseln in Lizenz-, Service- und Datennutzungsverträgen mit anderen Unternehmen auf Missbräuchlichkeit prüfen (Art. 13)
  • Logging: Dateninhaber dürfen Informationen über den Zugriff von Nutzern und Dritten nur insoweit aufbewahren, wie für die ordnungsgemäße Abwicklung erforderlich (Art. 4 Abs. 5, Art. 5 Abs. 4); Audit-Logging also zweckgebunden und sparsam auslegen

Wechselwirkungen mit anderen EU-Regularien

  • DSGVO: Der Data Act gilt unbeschadet der DSGVO und ergänzt Auskunfts- und Übertragbarkeitsrechte um Rechte für alle Produkt- und verbundenen Dienstdaten (Art. 1 Abs. 5). Personenbezogene Daten dürfen nur bei gültiger Rechtsgrundlage nach Art. 6 DSGVO bereitgestellt werden (Art. 4 Abs. 12, Art. 5 Abs. 7); Datenschutzaufsichtsbehörden sind für diesen Teil zuständig (Art. 37 Abs. 3)
  • DORA: Die Erleichterung des Multi-Cloud-Ansatzes wird in den Erwägungsgründen mit Verweis auf DORA mit der Betriebsstabilität der Kunden begründet (Erwgr. 99). Für Finanzunternehmen ergänzen sich Exit-Strategien nach DORA und Wechselrechte nach dem Data Act; eine formale Verzahnung enthält der Normtext nicht
  • CRA, NIS2, AI Act: Der Normtext der Verordnung verweist nicht auf CRA, NIS2 oder den AI Act. Praktisch treffen sie auf dieselben Produkte (vernetzte Produkte mit digitalen Elementen): CRA regelt Cybersicherheit und Schwachstellenmanagement, der Data Act den Datenzugang. Der Zugang nach dem Data Act darf Sicherheitsanforderungen nicht beeinträchtigen (Art. 4 Abs. 2); zudem sind Maßnahmen gegen unbefugten Zugang zulässig (Art. 11, Art. 5 Abs. 5)

Lösungsansätze & Hilfestellungen

  • Datenstrategie überprüfen: Welche Daten erzeugt das eigene Produkt? Wer hat laut Data Act Zugriffsrechte? Bereits im Produktdesign berücksichtigen (Data by Design, Art. 3 Abs. 1); Stichtag für neue Produkte war der 12.09.2026
  • Vertragswerke anpassen: Datennutzungs- und Cloud-Verträge mit B2B-Partnern auf Klauselverbote (Art. 13) und FRAND-Konformität (Art. 8) prüfen; für Altverträge gilt Kapitel IV ab 12.09.2027 (siehe Überblick)
  • Cloud-Anbieter evaluieren: Erfüllen Verträge die Anforderungen von Art. 25 (Kündigungsfrist, Übergangszeitraum, Datenabruf)? Gibt es Lock-in-Risiken? Wechselentgelte entfallen am 12.01.2027
  • Kommission: FAQ zum Data Act; unverbindliche Mustervertragsklauseln und Standardvertragsklauseln für Cloud-Verträge (Empfehlung der Kommission vom 19.11.2025 nach Art. 41, laut Kommissionsseite zunächst als Entwurf bezeichnet); Leitfaden zu Fahrzeugdaten. Leitlinien zur angemessenen Gegenleistung (Art. 9 Abs. 5) und zum Drittstaatenzugang (Art. 32 Abs. 3) waren laut Kommissionsseite (Stand 15.12.2025) noch nicht veröffentlicht
  • Deutschland: Die Bundesnetzagentur ist seit dem 30.05.2026 zuständige Behörde und bietet Informationsveranstaltungen an
  • Für IoT-Hersteller: Technische Schnittstellen (APIs) zur Datenbereitstellung und ein maschinenlesbares Metadatenmodell frühzeitig einplanen

Tools & Werkzeuge

Die Tools unterstützen technische Teilaspekte (API, Metadaten, Export) und stellen keine Konformität sicher.

IoT-Datenzugang & Digital Twins (Art. 3–5)

Tool Lizenz Problem / Zweck Regulatorische Relevanz
Eclipse Ditto Eclipse PL 2.0 Digital-Twin-Framework für IoT-Geräte: verwaltet Gerätezustand und stellt standardisierte REST/WebSocket-APIs bereit Art. 3 Abs. 1, Art. 4 Abs. 1: API-Schicht für den Zugang zu Produktdaten in maschinenlesbarem Format
ThingsBoard Apache-2.0 (CE) IoT-Plattform mit Geräteverwaltung, Datenerfassung, Dashboards und Rule Engine Art. 3–4: Plattform, um den Nutzer-Datenzugang umzusetzen
FIWARE Orion Context Broker AGPL-3.0 Kontextdaten-Management für IoT und Smart City (NGSIv2; NGSI-LD über das Schwesterprojekt Orion-LD) Art. 2 Nr. 15 (Produktdaten), Art. 33 Abs. 1: beschriebene, interoperable Datenzugangs-APIs in Datenräumen

Daten-Katalog & Lineage (Art. 3, 33)

Tool Lizenz Problem / Zweck Regulatorische Relevanz
DataHub Apache-2.0 Moderne Metadata-Plattform: Datenerkennung, Lineage, Ownership und Qualität Art. 3 Abs. 1, Art. 33 Abs. 1 lit. a, b: Dokumentation von Datensätzen und Metadaten
OpenMetadata Apache-2.0 End-to-End Metadaten-Management mit Lineage, Qualitäts-Checks und 50+ Konnektoren Art. 3 Abs. 1, Art. 33 Abs. 1 lit. a, b: Beschreibung von Datenstrukturen und -herkunft
Apache Atlas Apache-2.0 Metadaten-Management und Lineage-Tracking für Enterprise Data Ecosystems Art. 33 Abs. 1 lit. a, b: Governance und Beschreibung von Datenbeständen

Cloud-Wechsel & Daten-Portabilität (Art. 23–35)

Tool Lizenz Problem / Zweck Regulatorische Relevanz
GAIA-X / XFSC Apache-2.0 Offenes Toolset für föderierte Cloud-Infrastruktur, Trust-Frameworks und Interoperabilität Art. 33 und 35: Interoperabilität von Datenräumen und Diensten (Konformität mit dem Data Act nicht belegt)
Rclone MIT CLI-Tool zur Datensynchronisierung und -migration zwischen 70+ Cloud-Storage-Anbietern Art. 23 lit. c, Art. 25 Abs. 2: praktisches Werkzeug für den Export und die Übertragung von Daten beim Wechsel
Airbyte MIT (core) Datenintegration und strukturierter Datenexport zwischen 300+ Quellen und Zielen Art. 5, Art. 30 Abs. 5: strukturierte, maschinenlesbare Exporte und Weitergabe an Dritte
Velero Apache-2.0 Kubernetes Backup und Migration zwischen Clustern/Cloud-Anbietern Art. 23 lit. c: Workload-Portabilität für Cloud-native Anwendungen

API-Design & Datenbereitstellung (Art. 3–5, 30, 33)

Tool Lizenz Problem / Zweck Regulatorische Relevanz
OpenAPI / Swagger Apache-2.0 Standard für REST-API-Design, Dokumentation und Validierung Art. 3–5, Art. 30 Abs. 2, Art. 33 Abs. 1 lit. c: maschinenlesbar beschriebene, offene Datenzugangs-APIs
Backstage Apache-2.0 Entwicklerportal mit API-Katalog und Service-Registry Art. 33 Abs. 1 lit. b, c: auffindbare, dokumentierte APIs

Quellen

Alle Rechtstexte in der deutschen Fassung im Amtsblatt der EU (ELI-Links):