EU Data Act / Datenverordnung

Was ist der EU Data Act?

Die EU-Datenverordnung (EU) 2023/2854 regelt fairen Zugang zu und faire Nutzung von Daten, insbesondere bei vernetzten Produkten, verbundenen Diensten und Datenverarbeitungsdiensten.

Rechtliche Einordnung: Die unmittelbar geltende Verordnung erfasst außerdem Datenbereitstellung, außergewöhnlichen Behördenzugang, den Schutz nicht-personenbezogener Daten vor unrechtmäßigem Drittzugang und Interoperabilitätsanforderungen. Daraus folgt keine allgemeine Pflicht, beliebige Daten herauszugeben.

Der Normwortlaut

Vernetzte Produkte werden so konzipiert und hergestellt und verbundene Dienste werden so konzipiert und erbracht, dass die Produktdaten und verbundenen Dienstdaten – einschließlich der für die Auslegung und Nutzung dieser Daten erforderlichen relevanten Metadaten – standardmäßig für den Nutzer einfach, sicher, unentgeltlich in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format und, soweit relevant und technisch durchführbar, direkt zugänglich sind.

Quelle des Wortlauts: Artikel 3 Absatz 1 der Verordnung (EU) 2023/2854. Nach Artikel 50, dritter Satz, gilt diese Pflicht für vernetzte Produkte und damit verbundene Dienste, die nach dem 12. September 2026 in Verkehr gebracht wurden.

Für wen gilt die Datenverordnung?

Normgebundene Einordnung: Artikel 1 Absätze 2 und 3 erfassen personenbezogene und nicht-personenbezogene Daten nur in den für das jeweilige Kapitel bestimmten Zusammenhängen. Kapitel II gilt für Daten über Leistung, Nutzung und Umgebung vernetzter Produkte und verbundener Dienste, jedoch nicht für Inhalte. Kapitel VI gilt für sämtliche von Anbietern von Datenverarbeitungsdiensten verarbeiteten Daten und Dienste. Zu den Akteuren gehören die dort genannten Hersteller, Anbieter verbundener Dienste, Nutzer, Dateninhaber, Datenempfänger, öffentliche Stellen, Anbieter von Datenverarbeitungsdiensten sowie Datenraum- und Smart-Contract-Akteure. Ein Sitz außerhalb der EU ist nur in den Fällen unerheblich, in denen Artikel 1 Absatz 3 dies ausdrücklich bestimmt. Die konkrete Pflicht hängt deshalb von Rolle, Unionsbezug, Datenart und Kapitel ab.

Wann entstehen Pflichten für Produkte und verbundene Dienste?

Artikel 3 Absatz 1 verpflichtet Hersteller vernetzter Produkte bei deren Konzeption und Herstellung sowie Anbieter verbundener Dienste bei deren Konzeption und Erbringung. Verkäufer, Vermieter oder Leasinggeber eines vernetzten Produkts sowie Anbieter verbundener Dienste müssen Nutzern nach Artikel 3 Absätze 2 und 3 vor dem jeweiligen Vertragsschluss klare und verständliche Informationen über die gesetzlich bezeichneten Daten-, Zugriffs- und Nutzungsaspekte geben.

Wie erhält ein Nutzer Daten, wenn kein direkter Zugang besteht?

Kann der Nutzer nicht direkt über das vernetzte Produkt oder den verbundenen Dienst auf die Daten zugreifen, muss der Dateninhaber ihm nach Artikel 4 Absatz 1 auf einfaches Verlangen auf elektronischem Wege, soweit dies technisch durchführbar ist, die ohne Weiteres verfügbaren Produktdaten und verbundenen Dienstdaten einschließlich der für ihre Auslegung und Nutzung erforderlichen Metadaten unverzüglich, einfach, sicher und unentgeltlich bereitstellen. Die Bereitstellung erfolgt in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format und in der dem Dateninhaber verfügbaren Qualität sowie, soweit relevant und technisch durchführbar, kontinuierlich und in Echtzeit. Bei personenbezogenen Daten benötigt ein Nutzer, der nicht die betroffene Person ist, eine gültige Rechtsgrundlage nach Artikel 6 DSGVO und gegebenenfalls müssen Artikel 9 DSGVO sowie Artikel 5 Absatz 3 der Richtlinie 2002/58/EG erfüllt sein.

Nach Artikel 4 Absatz 2 dürfen Dateninhaber und Nutzer den Zugang zu, die Nutzung oder die weitere Weitergabe von Daten vertraglich beschränken oder untersagen, wenn die Verarbeitung Sicherheitsanforderungen des vernetzten Produkts beeinträchtigen könnte, die im Unionsrecht oder im nationalen Recht festgelegt sind, und dies zu schwerwiegenden nachteiligen Auswirkungen auf die Gesundheit oder Sicherheit natürlicher Personen führen würde. Der Dateninhaber muss die nach Artikel 37 benannte zuständige Behörde über die vertragliche Entscheidung zur Beschränkung oder Untersagung informieren und diese ordnungsgemäß begründen.

Welche Ausnahmen und Grenzen gelten?

Artikel 7 Absatz 1 nimmt Daten aus bestimmten Produkten und verbundenen Diensten von Kleinst- und Kleinunternehmen von den Pflichten des Kapitels II aus. Die Ausnahme greift nicht, wenn ein Unternehmen, das nicht als Kleinst- oder Kleinunternehmen gilt, Partnerunternehmen oder verbundenes Unternehmen ist oder das betreffende Unternehmen mit der Herstellung oder Konzeption eines Produkts oder der Erbringung eines verbundenen Dienstes als Unterauftragnehmer beauftragt hat. Nach dem exakten Normumfang gilt sie außerdem für Unternehmen, die seit weniger als einem Jahr als mittlere Unternehmen eingestuft sind, sowie für deren vernetzte Produkte während eines Jahres ab Inverkehrbringen.

Geschäftsgeheimnisse erlauben keine pauschale Verweigerung. Vor einer Offenlegung müssen die als Geschäftsgeheimnisse geschützten Daten bezeichnet und die erforderlichen Maßnahmen zur Wahrung ihrer Vertraulichkeit getroffen werden; Dateninhaber oder Geschäftsgeheimnisinhaber und Nutzer vereinbaren dazu angemessene technische und organisatorische Schutzmaßnahmen. Kommt keine Vereinbarung über die erforderlichen Maßnahmen zustande, setzt der Nutzer vereinbarte Maßnahmen nicht um oder beeinträchtigt er die Vertraulichkeit, darf der Dateninhaber die Weitergabe der bezeichneten Daten zurückhalten oder gegebenenfalls aussetzen. Er muss den Nutzer ohne unangemessene Verzögerung schriftlich über die Zurückhaltung oder Aussetzung informieren und die Entscheidung ordnungsgemäß begründen. Außerdem muss er der zuständigen Behörde mitteilen, dass er Daten zurückgehalten oder ihre Weitergabe ausgesetzt hat, und angeben, welche Maßnahmen nicht vereinbart oder nicht umgesetzt wurden und bei welchen Geschäftsgeheimnissen die Vertraulichkeit untergraben wurde. Nur unter außergewöhnlichen Umständen darf ein Dateninhaber, der zugleich Inhaber eines Geschäftsgeheimnisses ist, ein konkretes Verlangen im Einzelfall ablehnen: Er muss anhand objektiver Elemente nachweisen, dass trotz der ergriffenen technischen und organisatorischen Maßnahmen mit hoher Wahrscheinlichkeit ein schwerer wirtschaftlicher Schaden entstehen wird. Er muss dem Nutzer diesen Nachweis ohne unangemessene Verzögerung schriftlich und hinreichend begründet vorlegen. Bei einer solchen Ablehnung muss er auch die zuständige Behörde benachrichtigen. Der Nutzer kann nach Artikel 4 Absatz 9 gegen eine Entscheidung des Dateninhabers, Daten zurückzuhalten, ihre Weitergabe auszusetzen oder ein Verlangen abzulehnen, Beschwerde bei der zuständigen Behörde einlegen, sich mit dem Dateninhaber darauf einigen, die Angelegenheit einer Streitbeilegungsstelle vorzulegen, oder die Entscheidung gerichtlich anfechten. Nach Artikel 1 Absatz 5 bleiben Datenschutz- und Privatsphärenrecht unberührt und haben bei Konflikten Vorrang.

Welche Stichtage und Übergangsregeln gelten?

Die Verordnung gilt allgemein seit dem 12. September 2025. Artikel 3 Absatz 1 gilt für Produkte und verbundene Dienste, die nach dem 12. September 2026 in Verkehr gebracht wurden. Kapitel IV gilt ab dem 12. September 2027 für am oder vor dem 12. September 2025 geschlossene Verträge, wenn sie unbefristet sind oder frühestens zehn Jahre nach dem 11. Januar 2024 enden. Die besondere Übergangsregel für Kapitel III erfasst nur Datenbereitstellungspflichten aus Unionsrecht oder unionsrechtskonformem nationalem Recht, die nach dem 12. September 2025 in Kraft treten.

Anbieter von Datenverarbeitungsdiensten dürfen nach Artikel 29 Absatz 1 ab dem 12. Januar 2027 für den Vollzug des Anbieterwechsels keine Wechselentgelte mehr erheben. Bis dahin dürfen nur die nach Artikel 29 Absätze 2 und 3 begrenzten Wechselentgelte verlangt werden.

Was ist technisch ein Datenverarbeitungsdienst?

Technische Einordnung: Maßgeblich ist allein Artikel 2 Nummer 8: Erfasst ist eine einem Kunden bereitgestellte digitale Dienstleistung, die einen flächendeckenden und auf Abruf verfügbaren Netzzugang zu einem gemeinsam genutzten Pool konfigurierbarer, skalierbarer und elastischer Rechenressourcen zentralisierter, verteilter oder hochgradig verteilter Art ermöglicht. Diese Ressourcen können mit minimalem Verwaltungsaufwand oder minimaler Interaktion mit dem Anbieter rasch bereitgestellt und freigegeben werden. Nicht jede Software oder Datenverarbeitung erfüllt diese Definition. Die ergänzende Definition in Artikel 2 Nummer 40 beschreibt Interoperabilität als Fähigkeit mehrerer Datenräume, Netze, Systeme, Produkte, Anwendungen, Datenverarbeitungsdienste oder Komponenten, Daten auszutauschen und zu nutzen, um Funktionen auszuführen.

Abgrenzung im Wechselkontext: Für die Artikel 23 bis 31 und 35 bezeichnet Artikel 2 Nummer 38 als „exportierbare Daten“ die durch die Nutzung des Datenverarbeitungsdienstes unmittelbar oder mittelbar vom Kunden generierten oder gemeinsam generierten Eingabe- und Ausgabedaten einschließlich Metadaten. Ausgenommen sind Vermögenswerte oder Daten des Anbieters oder Dritter, die durch Rechte des geistigen Eigentums geschützt sind oder ein Geschäftsgeheimnis darstellen.

Häufige Fehlannahmen

• „Der Data Act verlangt die Herausgabe aller Daten.“ Nein. Datenart, Rolle, Kapitel, Auslöser und Ausnahmen bestimmen den Umfang.
• „Die Designpflicht gilt bereits für jedes bestehende Produkt.“ Nein. Artikel 3 Absatz 1 erfasst nach Artikel 50 Produkte und verbundene Dienste, die nach dem 12. September 2026 in Verkehr gebracht wurden.
• „Geschäftsgeheimnisse blockieren jeden Zugang.“ Nein. Vor einer Offenlegung sind die geschützten Daten zu bezeichnen und erforderliche Schutzmaßnahmen zu treffen und zu vereinbaren. Bei fehlender Einigung, nicht umgesetzten Maßnahmen oder beeinträchtigter Vertraulichkeit kommen Zurückhaltung oder Aussetzung in Betracht. Der Nutzer ist darüber ohne unangemessene Verzögerung schriftlich zu informieren; die Entscheidung ist ordnungsgemäß zu begründen. Der zuständigen Behörde sind die Zurückhaltung oder Aussetzung sowie die nicht vereinbarten oder nicht umgesetzten Maßnahmen und die Geschäftsgeheimnisse mitzuteilen, bei denen die Vertraulichkeit untergraben wurde. Nur ein Dateninhaber, der selbst Geschäftsgeheimnisinhaber ist, darf unter außergewöhnlichen Umständen ein konkretes Verlangen ablehnen, wenn er trotz der Maßnahmen anhand objektiver Elemente eine hohe Wahrscheinlichkeit eines schweren wirtschaftlichen Schadens nachweist. Diesen Nachweis muss er dem Nutzer ohne unangemessene Verzögerung schriftlich und hinreichend begründet vorlegen; bei einer solchen Ablehnung ist auch die zuständige Behörde zu benachrichtigen. Der Nutzer kann gegen Zurückhaltung, Aussetzung oder Ablehnung Beschwerde bei der zuständigen Behörde einlegen, sich mit dem Dateninhaber auf die Befassung einer Streitbeilegungsstelle einigen oder die Entscheidung gerichtlich anfechten.
• „Der Data Act verdrängt die DSGVO.“ Nein. Datenschutz- und Privatsphärenrecht bleibt unberührt und hat im Konfliktfall Vorrang.
• „Jede Software ist ein Datenverarbeitungsdienst.“ Nein. Sie muss sämtliche Merkmale des Artikels 2 Nummer 8 erfüllen.

Was die Geschäftsleitung tun sollte

Praxisempfehlung, keine eigenständige Leitungspflicht der Verordnung:

1. Produkte, verbundene Dienste, Datenverarbeitungsdienste, Datenarten und Unionsbezüge inventarisieren und den Rollen sowie Kapiteln zuordnen.
2. Für betroffene neue Produkte und Dienste Daten- und Metadatenzugang nach Artikel 3 Absatz 1 technisch und organisatorisch einplanen.
3. Vorvertragliche Informationen und Prozesse für Nutzerverlangen nach Artikel 3 Absätze 2 und 3 sowie Artikel 4 dokumentieren; bei personenbezogenen Daten die Rechtsgrundlage gesondert prüfen.
4. Cloud-Wechselprozesse und Wechselentgelte prüfen und das Entgeltverbot ab 12. Januar 2027 fristgerecht umsetzen.
5. KMU-Ausnahmen, Geschäftsgeheimnisschutz, Sicherheitsbeschränkungen und Übergangsregeln fallbezogen nachweisen.

Für die Geschäftsleitung

Entscheidend ist nicht die pauschale Frage, ob das Unternehmen „dem Data Act unterliegt“, sondern welche Rolle es für welche Daten und welches Kapitel einnimmt. Die Leitung sollte Zuständigkeiten und Stichtage festlegen und die Einordnung, Datenschutzrechtsgrundlagen, Informationsinhalte, Zugangsprozesse, Ausnahmen und Wechselentgelte nachvollziehbar dokumentieren.

Quellen

• Verordnung (EU) 2023/2854 – amtliche deutsche Fassung, insbesondere Artikel 1 bis 4, Artikel 7, Artikel 29 und Artikel 50.