Data Act: „Access by Design“ ab 12.09.2026 – Datenschutz mitdenken

Seit einem Jahr ist der Data Act anwendbar; im September 2025 hatten wir über die Grundzüge berichtet. Nun steht die nächste wichtige Frist an: Vernetzte Produkte und verbundene Dienste, die nach dem 12. September 2026 in Verkehr gebracht werden, müssen nach Art. 3 Abs. 1 des Data Act so konzipiert sein, dass Nutzer standardmäßig einfach, sicher und, soweit relevant und technisch durchführbar, direkt auf die Produktdaten zugreifen können. Für Hersteller, aber auch für Händler und Anbieter von Apps zu vernetzten Geräten bedeutet das konkrete Umsetzungsarbeit.

Was heißt „Access by Design“?

Die Daten, die ein vernetztes Produkt bei seiner Nutzung erzeugt, etwa Betriebs-, Verbrauchs- oder Sensordaten, sollen dem Nutzer ohne Hürden zugänglich sein. Wie das technisch umgesetzt wird, schreibt der Data Act nicht im Detail vor: denkbar sind ein Download im Kundenkonto, eine Schnittstelle oder ein direkter Zugriff am Gerät. Der Zugang muss aber bereits im Produktdesign mitgedacht werden.

Die datenschutzrechtliche Seite

Viele Produktdaten sind personenbezogen: Die Fahrdaten eines Autos, die Verbrauchsdaten eines smarten Zählers oder die Aktivitätsdaten eines Wearables lassen Rückschlüsse auf Personen zu. Der Data Act lässt die DSGVO unberührt und schafft keine eigene Rechtsgrundlage. Daraus folgen mehrere Aufgaben:

• Nutzer eines Produkts ist nicht immer die betroffene Person. Wer ein Fahrzeug least oder ein Gerät mit anderen teilt, darf nicht ohne Weiteres auf personenbezogene Daten Dritter zugreifen. Identität und Berechtigung sind daher zu prüfen.
• Verlangt ein Nutzer die Weitergabe an einen Dritten, muss bei personenbezogenen Daten eine Rechtsgrundlage nach der DSGVO bestehen.
• Datenzugänge sind Angriffsflächen und müssen nach dem Stand der Technik abgesichert werden.
• Art. 25 DSGVO verlangt, Datenschutz von Anfang an in die Produktentwicklung einzubauen; das passt zur Logik des Data Act.
• Bei umfangreicher Verarbeitung etwa von Standort- oder Gesundheitsdaten kann eine Datenschutz-Folgenabschätzung erforderlich sein.

Verhältnis zur Datenübertragbarkeit

Für personenbezogene Daten besteht daneben weiterhin das Recht auf Datenübertragbarkeit nach Art. 20 DSGVO. Die Rechte überschneiden sich, haben aber unterschiedliche Voraussetzungen. Unternehmen sollten ihre Prozesse für Anfragen deshalb so gestalten, dass beide Regelwerke abgedeckt sind.

Checkliste für Hersteller

1. Welche Produkte werden nach dem 12. September 2026 neu in Verkehr gebracht?
2. Welche Daten erzeugen sie, welche davon sind personenbezogen?
3. Wie wird der Zugang technisch bereitgestellt und abgesichert?
4. Wie werden Nutzer und betroffene Personen unterschieden?
5. Sind vorvertragliche Informationen und Datenschutzhinweise angepasst?
6. Sind die Ausnahmen für Kleinst- und Kleinunternehmen einschlägig?

Wer den Datenzugang umsetzt, sollte Datenschutz und IT-Sicherheit von Beginn an mitdenken, sonst entstehen aus der neuen Pflicht neue Risiken. Hersteller und Händler vernetzter Produkte unterstützen wir bei der Umsetzung von Data Act und DSGVO. Kontaktieren Sie uns oder buchen Sie einen Termin.