Data Act: Neue Regeln 2025

Der Data Act – Das neue europäische Datengesetz im Fokus

Die Europäische Union setzt mit dem Data Act einen markanten Meilenstein auf dem Weg zur digitalen Souveränität und zum Ausbau der europäischen Datenwirtschaft. Im Zentrum steht der geregelte Zugang zu und die faire Nutzung von Daten aus digitalen Produkten und Services. Für Unternehmen in Deutschland – vom innovativen Start-up bis zu etablierten Mittelständlern und Behörden – eröffnet die neue Datenverordnung nicht nur rechtliche Herausforderungen, sondern auch strategische Chancen.

Was ist der Data Act und der Data Governance Act?

Mit dem Data Act reguliert die Europäische Kommission erstmals den Zugang zu und die Weitergabe von nutzergenerierten Daten aus vernetzten Produkten und digitalen Services. Neue EU-Regulationen, darunter der Data Act und der ebenfalls zentrale Data Governance Act (DGA), sorgen dafür, dass die Nutzung, Verarbeitung und der Zugang zu Daten (“Access”) rechtssicher, fair und standardisiert geregelt werden.

Das Ziel: Die gewaltigen Datenmengen, die etwa Maschinen, Produkte, Anlagen oder verbundene Dienste erzeugen, können nicht mehr bloß von Gatekeepern kontrolliert oder blockiert werden. Neben dem Data Act bildet der bereits geltende Data Governance Act die rechtliche Grundlage für sicheres, vertrauenswürdiges Daten-Sharing innerhalb der EU: Während der DGA zentrale Strukturen, Vermittlerrollen und sichere Datenräume für die freiwillige, kontrollierte Datenteilung schafft, sorgt der Data Act für das „Wie“ der konkreten Datenzugangsrechte, technischen Interoperabilität und fairen Spielregeln.

Gemeinsam erschaffen beide Regelwerke einen digitalen europäischen Rechtsrahmen, der auf die großen Themen unseres Jahrzehnts antwortet: Wem gehören Unternehmensdaten wirklich? Wie lassen sich diese Werte für die Wirtschaft, aber auch im Sinne fairer Märkte und der Gesellschaft, intelligent nutzen? Gerade für Entscheider auf allen Ebenen rücken Fragen rund um Dateninventar, Datenzugang und Geschäftsgeheimnisse jetzt in den Fokus.

Data Act Gesetzestext, Anwendungsbereich und Zielsetzung

Mit der Data-Act-Verordnung (Verordnung (EU) 2023/2854) verpflichtet die EU alle Mitgliedstaaten, die neuen Regeln für den Datenzugang und die Nutzung umzusetzen. Der Data-Act-Gesetzestext legt fest, dass nicht nur Hersteller, sondern auch Nutzende und von ihnen bestimmte Dritte fairen Zugang zu ihren Daten erhalten. Der Anwendungsbereich erstreckt sich auf digitale Produkte, Services und komplexe IT-Infrastrukturen in Unternehmen, Behörden und sogar in öffentlichen Einrichtungen. Für Verantwortliche im Mittelstand bedeutet das: Die strategischen Weichen für digitale Wertschöpfung und Interoperabilität müssen jetzt gestellt werden, um den Anschluss an internationale Entwicklungen nicht zu verlieren.

Was umfasst der Anwendungsbereich?

• Jegliche digitalen oder vernetzten Produkte, die im Betrieb Daten erzeugen – darunter Maschinen, Fahrzeuge, IoT-Geräte, medizinische Technik, smarte Gebäudetechnik oder Produktionsanlagen.
• Digitale Services, SaaS-Anwendungen, Cloud- bzw. Edge-Services und Plattformen, die mit solchen Produkten verbunden sind.

Der EU Data Act schreibt vor, dass die durch die Nutzung generierten Daten nicht nur den Herstellern oder Dienstanbietern vorbehalten bleiben. Vielmehr sollen Nutzende, und von ihnen bestimmte Dritte, fairen, rechtssicheren Zugang erhalten – etwa um Daten weiterzuverwerten, Services zu entwickeln oder Analysen zu ermöglichen.

Chancen für den Mittelstand

Besonders im Mittelstand, wo Effizienz und Innovation zugleich gefragt sind, eröffnet das neue Chancen: Längst verborgene Prozessdaten werden gezielt nutzbar, etwa zur vorausschauenden Instandhaltung, für neue digitale Service-Angebote oder die Integration mit Partnerlösungen per API.

Ein Kernpunkt für Entscheider ist: Die Verpflichtung, eigene Datenbestände umfassend zu kennen (Dateninventar) und Interoperabilität über moderne, klar definierte APIs zu realisieren, wird zur zentralen strategischen Aufgabe – sowohl für rechtssichere Geschäftsprozesse als auch zur zukünftigen Wertschöpfung. Für alle, die sichere Datenflüsse aufbauen möchten, spielen Anforderungen der Data-Act-Cloud-Dienste und internationale Transfers eine ebenso bedeutende Rolle.

▼ Auch interessant: 2-Faktor-Authentifizierung in WordPress jetzt Pflicht! ▼

Für wen gilt der Data Act in Deutschland?

Der Data Act in Deutschland gilt für Unternehmen, die vernetzte Produkte, Cloud-Lösungen oder datengetriebene Services in Europa vertreiben oder einsetzen. Relevante Zielgruppen sind der Mittelstand, Systemintegratoren, Dienstleister und Entscheider aus Produktmanagement und IT. Start-ups und Behörden profitieren gleichermaßen vom vereinfachten, rechtssicheren Access auf Unternehmensdaten.

Der Data Act für öffentliche Einrichtungen sorgt zusätzlich dafür, dass im Notfall ein sicherer und schneller Zugang möglich wird. Praktisch bedeutet das für Data Act Unternehmen, schon heute einen klaren Blick auf Schnittstellen, Datenflüsse und internationale Servicepartner zu entwickeln.

Der EU Data Act gilt für:

• Unternehmen jeder Größe, die smarte, vernetzte Produkte, Industrieanlagen oder Cloud-Services auf dem europäischen Markt vertreiben oder betreiben
• Mittelständische Hersteller, Betreiber, Systemintegratoren und Dienstleister digitaler Lösungen
• Entscheider im Produktmanagement, IT und in der Geschäftsleitung, die zunehmend digitale Wertschöpfung, Datenarchitektur und Schnittstellen verantworten
• Start-ups, die mit datenbasierten Geschäftsmodellen wachsen wollen
• Öffentliche Stellen, wenn z. B. zur Krisenbewältigung spezifische Daten kurzfristig benötigt werden

Was steht für den Mittelstand im Fokus?

• Entstehen in den eigenen Prozessen, Produkten oder via Partnerunternehmen fortlaufend nutzbare Daten?
• Gibt es bestehende oder geplante digitale Kundenservices, die auf Zugriff zu Maschinendaten, IoT-Sensorwerten oder Nutzungsprofilen angewiesen sind?
• Ist ein Überblick über vorhandene und künftig relevante Datenquellen („Dateninventar“) in der Organisation vorhanden oder muss dieser erst aufgebaut werden?
• Sind die Schnittstellen („APIs“) zu Produkten und Diensten offen, sicher und dokumentiert genug, um rechtssicheren Datenzugang für Nutzende und externe Partner zu gewährleisten?

Die Aufgabe ist jetzt, das eigene Daten-Ökosystem neu zu vermessen. Wer im Betrieb, in der Produktentwicklung oder für Serviceangebote Kontrolle und Transparenz über die eigenen Datenflüsse herstellt, gewinnt nicht nur auf Compliance-Seite. Mit strukturiertem Dateninventar und klaren API-Strategien lässt sich die Wertschöpfung stärken und der Zugang zum digitalen Binnenmarkt Europas aktiv gestalten.

Data Act – Inhalte, Pflichten und Fristen

Die Inhalte des Data Acts markieren eine Zäsur: Unternehmen stehen vor der Herausforderung, sich proaktiv auf klare Datenprozesse, strukturierte Datenhaltung und standardisierte Schnittstellen einzustellen. Für viele KMU und Verantwortliche bedeutet das eine Transformation im Denken wie im Handeln – und die Chance, Daten vom Risiko zum Wettbewerbsvorteil zu machen.

Wann tritt der EU Data Act in Kraft?

Der Data Act ist am 11. Januar 2024 in Kraft getreten. Verbindlich angewendet werden müssen seine Regelungen ab dem 12. September 2025 – ab diesem Stichtag sind Unternehmen, Dienstleister und öffentliche Stellen verpflichtet, die Vorgaben umzusetzen. Weitere Fristen (etwa für zwingende Anpassungen an Neuprodukten und für Cloud Exit/Switching-Fees) laufen gestaffelt bis 2027. Entscheider sollten die Übergangszeit nutzen, um Prozesse, Dokumentation und technische Architektur fit für die europäischen Vorgaben zu machen.

Handlungsfelder

• Zeitnah interne Auditierungen starten, um bestehende Datenlandschaften und Schnittstellen zu analysieren
• Potenzielle Lücken bei Datenzugriff, Dateninventar und API-Standards identifizieren und gezielt schließen
• Künftige Produkt- und Service-Roadmaps so planen, dass „Data-by-Design“ bereits in der Entwicklungsphase berücksichtigt wird

Welche Pflichten ergeben sich aus dem Data Act für Unternehmen?

Für Geschäftsleitung und IT-Verantwortliche bringt der EU Data Act konkrete Aufgaben – von der systematischen Inventarisierung der bestehenden Daten bis zur Modernisierung von Schnittstellen und Vertragswerken. Schwerpunkt ist die Schaffung transparenter, rechtssicherer und interoperabler Datenströme.

Zentrale Pflichten für Unternehmen im Überblick:

• Nutzerzugang und Transparenz:
  Nutzern (und auf Wunsch deren Dienstleistern) ist Zugriff auf erzeugte Daten zu gewähren – in gängigen, maschinenlesbaren Formaten (z. B. per API, als CSV oder JSON), möglichst automatisiert, strukturiert und, falls technisch möglich, in Echtzeit.
• Informations- und Dokumentationspflichten:
  Bereits vor Vertragsschluss müssen klare Informationen zu Art, Umfang, Format, Zugriffspfad und Speicherort der Daten bereitgestellt werden.
• Dateninventar anlegen:
  Systematische Übersicht, welche Datensätze im Unternehmen anfallen, wer Eigentümer/Auftraggeber der jeweiligen Daten ist und wie diese zur Verfügung gestellt werden – ein essenzieller Baustein für Compliance und Effizienz.
• API-Strategie entwickeln:
  Prüfung und ggf. Ausbau von sicheren, standardisierten Schnittstellen, um einen zuverlässigen, nachvollziehbaren Datenaustausch auch mit Dritten – etwa Servicepartnern oder Analysediensten – sicherzustellen. Stabile APIs beschleunigen Implementierung, erleichtern Schnittstellenmanagement und Nachweisbarkeit.
• Vertragsmanagement anpassen:
  Prüfung und ggf. Anpassung aller vertraglichen Vereinbarungen rund um digitale Produkte/Services, um faire, angemessene und nicht-diskriminierende (FRAND) Bedingungen für den Datenzugang einzuhalten.
• Cloud Switching ermöglichen:
  Faire Exit-Strategien für den Wechsel von Cloud/Edge-Providern technisch, organisatorisch und rechtlich vorbereiten.
• Datenzugangsprozesse und Autorisierungen definieren:
  Klare Definition, wie Zugriffsanfragen von Nutzern oder Dritten geprüft, dokumentiert und regulatorisch bewertet werden (einschließlich Schutz von Geschäftsgeheimnissen und möglichen Löschvorgaben).
• Schutz der Daten und Einhaltung des Datenschutzes:
  Sicherstellung der Konformität gegenüber der DSGVO (bei personenbezogenen Daten), risikomindernde Maßnahmen wie Pseudonymisierung oder Anonymisierung bei sensiblen Daten. Das Thema Datenschutz bleibt auch durch den Data Act eng mit dem europäischen Recht und den speziellen legalen Anforderungen an die Datenverarbeitung auf dem europäischen Markt verbunden.

Umsetzungsschritte und Compliance im EU Data Act

Damit der Data Act in Deutschland nicht zur Stolperfalle wird, rücken Praxisthemen wie und klare Verantwortlichkeiten immer mehr in den Fokus. Unternehmen, die ihre Datenflüsse beherrschen und Mitarbeitende regelmäßig schulen, gewinnen langfristig an Sicherheit. Gerade für KMU lohnt der Kontakt zu Verbänden, Beratungsstellen oder Datenschutzbehörden, um aktuelle Informationen und Best Practices zur Data Act Verordnung zu erhalten. Die wichtigsten Themen sind dabei: Dateninventar, Schnittstellenmanagement und laufende Vertragsanpassung.

Data Act: Umsetzung – Wie lassen sich Anforderungen einhalten?

Der erste Schritt zum sicheren Umgang mit dem Data Act führt über ein strukturiertes Dateninventar. Unternehmen, die wissen, wo und wie ihre Daten entstehen, legen die Basis für Transparenz und verlässliche Datenflüsse. Hilfreich ist es, klare Rollen und Verantwortlichkeiten für den Datenzugang zu definieren sowie Prozesse für Anfragen von Nutzern oder Partnern festzulegen. APIs sollten nicht nur bestehende Anforderungen erfüllen, sondern auch mit Blick auf die Zukunft regelmäßig angepasst werden – so bleibt die Interoperabilität jederzeit gewährleistet. Es zahlt sich aus, das Thema Compliance als festen Bestandteil der Firmenstrategie zu sehen, denn nur so können neue Verfahren dauerhaft im Tagesgeschäft verankert werden.

© standret

Data Act Deutschland – Durchführungsgesetz und Aufsichtsbehörden

Mit Blick auf die konkrete Umsetzung bleibt Deutschland nicht untätig: Ein nationales Durchführungsgesetz und zentrale Aufsichtsbehörden sorgen dafür, dass ab September 2025 die europäischen Vorgaben einheitlich überwacht werden. Gerade für Entscheiderinnen und Entscheider ist es hilfreich, regelmäßig Branchen-News und Hinweise vom Bundesministerium für Wirtschaft und Klimaschutz mitzuverfolgen. So können rechtliche Änderungen frühzeitig erkannt und zeitnah ins Unternehmen kommuniziert werden.

Welche Ausnahmeregelungen gibt es für KMU beim Data Act?

Neben vielen Pflichten sieht die Regulation ausdrücklich Ausnahmen für kleinere Unternehmen vor. Kleinst- und Kleinunternehmen müssen einige der umfangreicheren Vorgaben nicht in vollem Umfang umsetzen. Dennoch macht es gerade für wachsende Mittelständler Sinn, die Entwicklung der eigenen Organisation im Auge zu behalten – denn die Regelungen greifen umfassender, sobald Mitarbeiterzahlen oder Umsatz steigen. Wer frühzeitig Standards etabliert, vermeidet einen späteren Kraftakt.

Data Act Compliance Checkliste für Unternehmen

1. Dateninventar systematisch erstellen
2. Schnittstellen (APIs) dokumentieren und standardisieren
3. Nutzer transparent über Datenzugänge informieren
4. Verträge regelmäßig auf Aktualität überprüfen
5. Mitarbeitende zum Thema Datenschutz schulen
6. Ansprechpartner für Datenanfragen klar benennen
7. Zentrale Fristen im Blick behalten, insbesondere September 2025
8. Compliance-Prozesse laufend prüfen und weiterentwickeln

Herausforderungen und Praxis

Während die ersten Schritte auf dem Weg zum EU Data Act oft geplant werden können, zeigen sich Herausforderungen meist erst im praktischen Alltag: Wenn externe Partner plötzlich Zugriff auf Daten benötigen, Cloud-Systeme gewechselt werden oder der Vergleich mit anderen europäischen Unternehmen gefragt ist, wird schnell klar, warum ein flexibler, aber durchdachter Umgang mit der Regulation entscheidend ist. Im folgenden Abschnitt stehen die wichtigsten Praxisthemen im Mittelpunkt.

Cloud Switching und Interoperabilität nach dem Data Act

Der Data Act macht es zur Pflicht, den Wechsel zwischen Cloud- und Edge-Anbietern möglichst einfach und reibungslos zu gestalten. Wer seine Daten schon heute in interoperablen Formaten hält und klare Prozesse für Export, Migration oder Support definiert, hat einen klaren Vorteil. Gerade im internationalen Wettbewerb innerhalb der Europäischen Union kann ein einfacher Anbieterwechsel entscheidend sein – sowohl für Nutzer als auch für die eigene Positionierung als Dienstleister.

Welche Sanktionen sieht der Data Act für Unternehmen vor?

Fehlende Umsetzung oder verspätete Anpassung an die Regulation kann Konsequenzen nach sich ziehen. Die Aufsichtsbehörden sind ermächtigt, bei Verstößen Bußgelder zu verhängen oder im Ernstfall sogar Serviceleistungen zu untersagen. Es lohnt sich daher, Compliance als Investition in die digitale Zukunft zu betrachten – nicht als bloße Bürokratie, sondern als Schutzschirm für das operative Geschäft.

Data Act und DSGVO: Wo liegen die Unterschiede?

Obwohl Data Act und DSGVO vieles gemeinsam haben, sind ihre Schwerpunkte unterschiedlich. Während die DSGVO vor allem personenbezogene Daten schützt, öffnet der Data Act auch neue Wege für den Zugang zu Betriebs- und Gerätedaten, ohne die Rechte der Nutzerinnen und Nutzer zu vernachlässigen. Für Unternehmen bedeutet das, beide Regelungen gemeinsam zu denken und Verantwortlichkeiten klar zu verteilen.

Data Act – Ausblick für B2B, Behörden und Start-ups

Der Data Act wird die Rahmenbedingungen für Daten in Europa auf Jahre hinaus prägen. B2B-Unternehmen profitieren von neuen Möglichkeiten beim Datenzugang, Behörden können im Ausnahmefall einfacher auf relevante Daten zugreifen und für Start-ups entstehen Chancen für innovative Services und Geschäftsmodelle. Wer die Entwicklungen aktiv mitgestaltet und die Veränderungen im europäischen digitalen Markt als Chance nutzt, ist bestens aufgestellt für die Zukunft mit dem Data Act.