Der EU Data Act schafft einen harmonisierten Rahmen für den Zugang zu und die Nutzung von Daten, die durch vernetzte Produkte (IoT) und damit verbundene Dienste erzeugt werden. Er soll sicherstellen, dass Nutzende — sowohl Verbraucher als auch Unternehmen — die Kontrolle über ihre Daten zurückgewinnen und Daten fairer im Markt zirkulieren können.
Überblick
Segment: Datenwirtschaft, IoT, Cloud- und Datenverarbeitungsdienste
Verabschiedet / Veröffentlicht: 27. November 2023 (ABl. EU), in Kraft seit 11. Januar 2024
Gültig ab:
12. September 2025: Vollständige Anwendung für neue Produkte und Dienste
Für bereits vor dem 12. September 2025 in Verkehr gebrachte vernetzte Produkte gelten Übergangsfristen
Gültig für:
Hersteller vernetzter Produkte (IoT-Geräte, Maschinen, Fahrzeuge, Haushaltsgeräte, etc.) und Anbieter damit verbundener Dienste, die in der EU verkauft oder genutzt werden
Anbieter von Datenverarbeitungsdiensten (Cloud, Edge)
Unternehmen, die auf Grundlage von Datennutzungsvereinbarungen Daten erhalten
Öffentliche Stellen der Mitgliedstaaten (unter bestimmten Bedingungen)
Nicht gültig für:
Reine Software-Produkte ohne physische Komponente (außer wenn als „verbundener Dienst" eingestuft)
Daten, die bereits durch den EU Data Governance Act oder die DSGVO abgedeckt sind (Abgrenzung beachten)
Kleinstunternehmen bei bestimmten Pflichten (Art. 7 — Ausnahme für KMU)
Grauzone:
Abgrenzung „vernetztes Produkt" vs. reine SaaS-Lösung
Umgang mit gemischten Datensätzen (personenbezogen + nicht-personenbezogen)
Verhältnis zu bestehenden Verträgen und Geschäftsgeheimnissen
Zentrale Forderungen
Datenzugang für Nutzer (Art. 3–6)
Hersteller vernetzter Produkte müssen sicherstellen, dass vom Produkt erzeugte Daten für den Nutzer leicht zugänglich sind — direkt am Gerät oder über einen Online-Dienst, s. Art. 3–4
Daten müssen kostenfrei, in Echtzeit und kontinuierlich bereitgestellt werden können
Nutzer können die Daten an Dritte ihrer Wahl weitergeben (Portabilität), s. Art. 5
Datenweitergabe an Dritte (Art. 5–12)
Nutzer können von Herstellern verlangen, Daten an einen Dritten (z.B. Reparaturbetrieb, App-Anbieter) weiterzugeben
Die Bedingungen für die Weitergabe müssen fair, zumutbar und nicht diskriminierend sein (FRAND-Prinzip), s. Art. 8
Unfaire Vertragsbedingungen gegenüber KMU bei der Datenweitergabe sind unwirksam, s. Art. 13
Datenzugang für öffentliche Stellen (Art. 14–22)
In Ausnahmesituationen (öffentlicher Notstand, Naturkatastrophen) können Behörden Unternehmen zur Bereitstellung von Daten verpflichten
Der Datenaustausch erfolgt auf Anfrage, ist zweckgebunden und zeitlich begrenzt
Wechsel zwischen Datenverarbeitungsdiensten / Cloud Switching (Art. 23–31)
Anbieter von Cloud- und Edge-Diensten müssen den Wechsel zu einem anderen Anbieter aktiv ermöglichen
Switching-Fristen: Wechselprozess muss innerhalb von 30 Arbeitstagen abgeschlossen sein (ab 2027 auf 7 Tage reduziert)
Switching-Entgelte: Übergangsweise erlaubt, aber bis September 2027 vollständig abzubauen; ab dann kostenloser Wechsel
Technische und vertragliche Hindernisse beim Wechsel sind zu beseitigen (Lock-in-Verbot)
Offene Interoperabilitätsspezifikationen und Standards müssen unterstützt werden, s. Art. 28–31
Schutz von Geschäftsgeheimnissen (Art. 4, 8, 9)
Berechtigte Geschäftsgeheimnisse können als Grund geltend gemacht werden, bestimmte Daten nicht offenzulegen — jedoch nur unter engen Voraussetzungen und mit entsprechender Begründung
Interoperabilität (Art. 28–37)
Datenverarbeitungsdienste müssen Mindestanforderungen an Interoperabilität erfüllen
Europäische Standardisierungsorganisationen (CEN, CENELEC, ETSI) werden beauftragt, harmonisierte Standards zu entwickeln
Lösungsansätze & Hilfestellungen
Datenstrategie überprüfen: Welche Daten erzeugt das eigene Produkt? Wer hat laut Data Act Zugriffsrechte? Bereits bei Produktdesign berücksichtigen (Data by Design)
Vertragswerke anpassen: Bestehende Datennutzungsverträge mit B2B-Partnern auf FRAND-Konformität und Klauselverbote (Art. 13) prüfen
Cloud-Anbieter evaluieren: Erfüllen aktuelle Cloud-Verträge die Switching-Anforderungen? Gibt es Lock-in-Risiken?
Die Europäische Kommission und nationale Behörden (DE: zuständig sind die Wettbewerbsbehörden und sektorspezifische Stellen) veröffentlichen laufend Leitlinien
Für IoT-Hersteller: Technische Schnittstellen (APIs) zur Datenbereitstellung frühzeitig einplanen