EU Data Act: Was ab September 2026 zu tun ist

Was der Data Act regelt — und was nicht

Der Data Act, offiziell die Verordnung (EU) 2023/2854, regelt den Zugang zu Daten, die bei der Nutzung vernetzter Produkte entstehen, und den Wechsel zwischen Cloud-Anbietern. Er verlangt nicht mehr Datenschutz, sondern mehr Herausgabe — Nutzer sollen an die Daten kommen, die ihre eigenen Geräte und Dienste erzeugen.

Das ist die entgegengesetzte Richtung zur Datenschutz-Grundverordnung, und genau deshalb hilft ein bestehendes Datenschutzkonzept hier nicht weiter. Wer seine Verarbeitungen sauber dokumentiert und Löschfristen eingerichtet hat, hat für den Data Act noch nichts getan. Die Frage ist nicht, ob Daten geschützt sind, sondern ob sie herausgegeben werden können.

Zuständig für die Überwachung ist in Deutschland die Bundesnetzagentur. Sie ist damit dieselbe Stelle, die auch die Marktaufsicht nach der KI-Verordnung koordiniert — die Pflichten selbst haben allerdings nichts miteinander zu tun.

Der Data Act gilt schon — seit dem 12. September 2025

Die Verordnung ist seit dem 12. September 2025 anwendbar. Das häufigste Missverständnis in der laufenden Diskussion ist die Annahme, das eigentliche Datum liege noch in der Zukunft. Es liegt in der Vergangenheit, und die Pflichten aus Kapitel VI zum Anbieterwechsel gelten seither.

Kommendes Jahr ändert sich also nichts am Ob, sondern am Umfang. Der 12. September 2026 betrifft eine einzelne, klar abgegrenzte Pflicht, und der 12. Januar 2027 betrifft die Kosten. Wer die Verordnung bisher für ein Thema des nächsten Jahres gehalten hat, arbeitet seit knapp einem Jahr an einer offenen Baustelle.

Der 12. September 2026 betrifft vernetzte Produkte, nicht jede Software

Zum 12. September 2026 greift die Gestaltungspflicht aus Artikel 3 Absatz 1 — und sie greift ausschließlich für vernetzte Produkte und die zugehörigen Dienste, die nach diesem Datum in Verkehr gebracht werden. Eine Firmenwebsite ist kein vernetztes Produkt. Ein betriebliches Fachverfahren ohne Sensorik ebenso wenig.

Gemeint sind Gegenstände, die durch ihre Verwendung Daten erzeugen und diese übermitteln können: Maschinen mit Sensorik, Wallboxen, Fahrzeuge, Haustechnik, Messgeräte, vernetzte Medizin- und Sportgeräte. Der Wortlaut verlangt, dass Produktdaten und verbundene Dienstdaten „standardmäßig für den Nutzer einfach, sicher, unentgeltlich in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format" verfügbar sind.

Für Agenturen und Softwarehäuser ist der Bezug meist indirekt, aber real: Wer die Begleit-App, das Kundenportal oder die Auswertungsoberfläche zu einem solchen Produkt baut, baut die Stelle, an der die Pflicht sichtbar wird. Ein Stichtag, der für den Hersteller gilt, landet in der Praxis auf dem Tisch dessen, der die Schnittstelle schreibt.

Die Pflicht, die viele übersehen: Altverträge sind mitgemeint

Seit dem Geltungsbeginn müssen sowohl zuvor abgeschlossene als auch neu abgeschlossene Verträge den Vorgaben aus Kapitel VI entsprechen. Das ist die unbequemste Aussage der ganzen Verordnung, weil sie eine Bestandsprüfung erzwingt, für die es keinen Anlass von außen gibt.

Betroffen sind Verträge über Datenverarbeitungsdienste — also Cloud- und Edge-Dienste, in der Praxis Hosting, Software als Dienst und Plattformangebote. Wer solche Leistungen anbietet, hat einen Bestand an Verträgen, der seit September 2025 den neuen Anforderungen genügen muss, ohne dass irgendjemand ihn darauf hingewiesen hätte.

Praktisch heißt das: Der Vertrag muss dem Kunden das Recht einräumen, nach Kündigung oder auf Verlangen zu einem anderen Anbieter oder in die eigene Infrastruktur zu wechseln, und er muss klar und verständlich regeln, wie dieser Wechsel abläuft. Ein Verweis auf einen Datenexport im Hilfebereich erfüllt das nicht.

Was die Anbieterpflichten technisch bedeuten

Die Anforderungen aus Kapitel VI laufen auf drei technische Punkte hinaus: offene Schnittstellen, exportierbare Formate und eine definierte Übergangszeit. Anbieter müssen für Plattform- und Software-Dienste offene Schnittstellen bereitstellen und Daten in standardisierten, maschinenlesbaren Formaten exportierbar machen.

Dazu kommt eine Nachbereitungszeit von 30 Tagen, in der die Daten weiterhin abrufbar bleiben müssen. Wer heute einen Vertrag beendet und den Zugang am Kündigungstag abschaltet, verstößt gegen diese Vorgabe — unabhängig davon, ob der Kunde einen Export angefordert hat oder nicht.

Der technische Aufwand hängt weniger vom Datenvolumen ab als von der Frage, ob es überhaupt einen Exportpfad gibt. Systeme, die für den Verbleib gebaut wurden, haben ihn typischerweise nicht — nicht aus Absicht, sondern weil ihn nie jemand angefordert hat. Genau diese Systeme brauchen jetzt Arbeit.

Cloud-Wechsel: was sich zum Januar 2027 ändert

Ab dem 12. Januar 2027 dürfen für den Vollzug eines Anbieterwechsels überhaupt keine Wechselentgelte mehr erhoben werden. Bis dahin gilt eine Übergangsregelung: Seit dem 11. Januar 2024 dürfen Anbieter nur noch ermäßigte Entgelte verlangen, die die Kosten nicht übersteigen dürfen, die ihnen im unmittelbaren Zusammenhang mit dem Wechsel tatsächlich entstehen.

Für Kunden heißt das, dass die Rechnung für einen Wechsel schrumpft und ab 2027 entfällt. Für Anbieter heißt es, dass eine Erlösposition wegfällt, die manche Kalkulation stillschweigend eingeplant hatte — und dass der Aufwand des Wechsels ab dann vollständig beim Anbieter liegt.

Wer heute Angebote für Hosting oder Betrieb kalkuliert, sollte diese Position deshalb nicht in die Zukunft fortschreiben. Sie hat ein Ablaufdatum, und es steht fest.

Wer prüfen muss — und wer nicht

Prüfen muss, wer Datenverarbeitungsdienste anbietet oder wer vernetzte Produkte herstellt, vermietet oder verleast. Für die zweite Gruppe kommt eine Informationspflicht vor Vertragsschluss hinzu: Art, Format und geschätzter Umfang der erzeugbaren Daten, ob sie in Echtzeit entstehen, wo sie gespeichert werden und wie darauf zugegriffen und wie gelöscht werden kann.

Nicht prüfen muss, wer schlicht eine Website betreibt, ein Ladengeschäft führt oder Software einsetzt, ohne sie als Dienst anzubieten. Der Data Act ist keine allgemeine Digitalpflicht wie die Barrierefreiheit oder die Kennzeichnung nach der KI-Verordnung — er knüpft eng an zwei Rollen an, und wer keine davon einnimmt, ist nicht adressiert.

Das ist die Grenze der Sache, und sie gehört ausgesprochen, weil im Beratungsmarkt gerade das Gegenteil behauptet wird. Eine Pflicht, die alle betrifft, verkauft sich besser als eine, die zwei Rollen betrifft.

Was jetzt konkret zu tun ist

Der erste Schritt ist eine ehrliche Rollenklärung: Bieten wir einen Datenverarbeitungsdienst an, stellen wir ein vernetztes Produkt her, oder beides nicht? Diese Frage beantwortet in den meisten Betrieben binnen einer Stunde, ob überhaupt Handlungsbedarf besteht.

Fällt die Antwort auf eine der beiden Rollen, folgen drei Prüfungen: Gibt es einen dokumentierten Exportpfad für Kundendaten in einem gängigen Format? Regeln die Verträge den Wechsel klar und verständlich, und zwar auch die alten? Bleibt der Zugang nach Vertragsende noch 30 Tage bestehen?

Wer für ein vernetztes Produkt entwickelt, prüft zusätzlich, ob die nach dem 12. September 2026 erscheinende Produktgeneration den Datenzugang von sich aus vorsieht. Nachrüsten ist möglich, aber teurer als mitplanen — und für Produkte mit langen Entwicklungszyklen fällt diese Entscheidung nicht im September 2026, sondern jetzt.