EU Data Act: Was die September-Frist für IoT-Hersteller und den deutschen Mittelstand bedeutet

Hintergrund: Der EU Data Act und seine Bedeutung

Am 12. September 2026 ist eine der wichtigsten Fristen des EU Data Act (Verordnung (EU) 2023/2854) in Kraft getreten: die sogenannte Access-by-Design-Pflicht für Hersteller vernetzter Produkte. Diese Regelung verpflichtet Hersteller von IoT-Geräten dazu, ihre Hardware und Software so zu konzipieren, dass Nutzer direkten, einfachen, sicheren und strukturierten Zugriff auf die von ihren Geräten erzeugten Daten erhalten.

Der Data Act ist Teil des europäischen Datenstrategie-Pakets und ergänzt die DSGVO um Regelungen für nicht-personenbezogene Daten. Während die DSGVO den Schutz personenbezogener Daten regelt, zielt der Data Act darauf ab, den Zugang zu und die Nutzung von Daten aus vernetzten Produkten zu demokratisieren und Monopolstellungen einzelner Plattformanbieter aufzubrechen.

Was ist die Access-by-Design-Pflicht?

Die Access-by-Design-Pflicht bedeutet konkret: Hersteller müssen sicherstellen, dass Nutzer oder von ihnen beauftragte Dritte die von einem vernetzten Produkt erzeugten Daten abrufen können. Diese Daten müssen in einem maschinenlesbaren Format bereitgestellt werden, idealerweise über dokumentierte APIs. Die Pflicht gilt für alle vernetzten Produkte, die nach dem 12. September 2026 erstmals in Verkehr gebracht werden.

Wichtig: Eine Nachrüstpflicht für bereits verkaufte Bestandsgeräte besteht nicht. Unternehmen, die ihre Produktpalette bereits vor diesem Stichtag auf den Markt gebracht haben, sind von der Pflicht zunächst nicht betroffen.

Auswirkungen auf den Mittelstand

Wer ist betroffen?

Der Data Act betrifft grundsätzlich alle Hersteller vernetzter Produkte, die in der EU in Verkehr gebracht werden. Dazu gehören:

• Maschinenbauer mit vernetzten Produktionsanlagen und Werkzeugmaschinen
• Automobilzulieferer mit vernetzten Fahrzeugkomponenten
• Gebäudetechnik-Hersteller mit Smart-Building-Lösungen
• Medizingeräte-Hersteller mit vernetzten Diagnose- und Therapiegeräten
• Konsumgüter-Hersteller mit Smart-Home-Produkten

Für den deutschen Mittelstand, der in vielen dieser Branchen stark vertreten ist, ergibt sich damit ein erheblicher Handlungsbedarf.

Ausnahmen für KMU

Eine wichtige Ausnahme: Kleine und mittlere Unternehmen mit weniger als 50 Beschäftigten und einem Jahresumsatz von unter 10 Millionen Euro sind von den Zugriffspflichten einschließlich Access-by-Design befreit. Diese Ausnahme gilt jedoch nicht für die Cloud-Switching-Regelungen, die für alle Anbieter von Datenverarbeitungsdiensten unabhängig von der Unternehmensgröße verbindlich sind.

Bundesnetzagentur als Aufsichtsbehörde

Durch das am 30. Mai 2026 in Kraft getretene Data-Act-Durchführungsgesetz (DADG) wurde die Bundesnetzagentur zur zentralen Durchsetzungsbehörde in Deutschland ernannt. Die Behörde ist befugt, Untersuchungen einzuleiten, Auskünfte zu verlangen und bei Nichteinhaltung Bussgelder zu verhängen.

Der Bussgeldsrahmen für Verstöße gegen die zentralen Datenbereitstellungspflichten liegt bei bis zu 500.000 Euro pro Fall. Die Bundesnetzagentur hat signalisiert, dass sie bei der Durchsetzung zunächst auf Beratung und Dialog setzt, bevor Sanktionen als letztes Mittel eingesetzt werden.

Chancen und Risiken

Chancen

Neue Geschäftsmodelle durch Datenzugang: Der Data Act schafft die Grundlage für neue datenbasierte Geschäftsmodelle. Unternehmen, die ihren Kunden einen einfachen Zugang zu Maschinendaten ermöglichen, können darauf aufbauend Mehrwertdienste wie vorausschauende Wartung, Leistungsoptimierung oder Verbrauchsanalysen anbieten.

Wettbewerbsvorteil durch frühzeitige Compliance: Unternehmen, die die Access-by-Design-Anforderungen bereits in ihre Produktentwicklung integriert haben, sind gegenüber Wettbewerbern im Vorteil, die noch nachrüsten müssen. Kunden werden zunehmend auf Datenzugänglichkeit als Kaufkriterium achten.

Stärkung der Kundenbeziehung: Transparenter Datenzugang stärkt das Vertrauen der Kunden. Unternehmen, die ihren Kunden die volle Kontrolle über ihre Produktdaten geben, positionieren sich als vertrauenswürdige Partner.

Risiken

Technische Komplexität: Die Implementierung von APIs und maschinenlesbaren Datenschnittstellen erfordert erhebliche technische Ressourcen. Für Unternehmen ohne eigene IT-Abteilung kann dies eine große Herausforderung darstellen.

Sicherheitsrisiken: Offene Datenschnittstellen erhöhen die Angriffsfläche für Cyberangriffe. Unternehmen müssen sicherstellen, dass der Datenzugang sicher implementiert wird und keine Sicherheitslücken entstehen.

Wettbewerbsrechtliche Fragen: Die Pflicht zur Datenweitergabe an Dritte wirft Fragen zum Schutz von Geschäftsgeheimnissen auf. Unternehmen müssen sorgfältig abwägen, welche Daten sie teilen müssen und welche als Geschäftsgeheimnis geschützt sind.

Weitere wichtige Fristen im Blick behalten

Der Data Act enthält mehrere gestaffelte Fristen, die Unternehmen im Blick behalten sollten:

• 12. September 2025: Allgemeine Geltung der EU-Verordnung, einschließlich Informationspflichten vor Vertragsschluss (bereits in Kraft)
• 12. September 2026: Access-by-Design-Pflicht für neue vernetzte Produkte (jetzt in Kraft)
• 12. Januar 2027: Verbot pauschaler Egress-Gebühren beim Wechsel zwischen Cloud-Anbietern
• 12. September 2027: Geltung von Regeln gegen missbräuchliche Vertragsklauseln auch für unbefristete Altverträge

Handlungsempfehlungen

1. Produktportfolio analysieren: Führen Sie eine systematische Bestandsaufnahme Ihrer vernetzten Produkte durch. Welche Produkte fallen unter den Anwendungsbereich des Data Act? Welche werden nach dem 12. September 2026 neu in Verkehr gebracht?

2. API-Roadmap entwickeln: Planen Sie die technische Umsetzung der Datenschnittstellen für alle betroffenen Produkte. Definieren Sie, welche Daten in welchem Format bereitgestellt werden müssen und wie der Zugang sicher implementiert wird.

3. Rechtliche Prüfung durchführen: Klären Sie mit Ihrem Rechtsberater, welche Daten als Geschäftsgeheimnis geschützt sind und welche geteilt werden müssen. Passen Sie Ihre Nutzungsbedingungen und B2B-Verträge entsprechend an.

4. Cloud-Verträge prüfen: Auch wenn Sie kein IoT-Hersteller sind: Prüfen Sie Ihre Cloud-Verträge auf Egress-Gebühren und Switching-Klauseln. Ab Januar 2027 sind pauschale Wechselgebühren verboten.

5. Bundesnetzagentur-Ressourcen nutzen: Die Bundesnetzagentur bietet begleitende Informationsveranstaltungen und Beratungsangebote an. Nutzen Sie diese Ressourcen, um Unsicherheiten bei der Umsetzung zu klären.

6. KMU-Ausnahme prüfen: Falls Ihr Unternehmen weniger als 50 Beschäftigte und einen Jahresumsatz unter 10 Millionen Euro hat, prüfen Sie, ob Sie von der Access-by-Design-Pflicht befreit sind. Beachten Sie dabei, dass die Cloud-Switching-Regelungen trotzdem gelten.

Fazit

Der EU Data Act markiert einen Paradigmenwechsel in der europäischen Datenpolitik: Daten aus vernetzten Produkten sollen nicht länger exklusiv bei den Herstellern verbleiben, sondern den Nutzern zugänglich gemacht werden. Für deutsche Unternehmen bedeutet dies sowohl Herausforderungen als auch Chancen. Wer die neuen Anforderungen als Innovationstreiber begreift und frühzeitig in datenzugängliche Produkte und Geschäftsmodelle investiert, wird langfristig von der neuen Datenwirtschaft profitieren.