Data Act gilt seit 12.09.2025: Verhältnis zur DSGVO und To-dos

Seit dem 12. September 2025 ist die europäische Datenverordnung (Verordnung (EU) 2023/2854, „Data Act“) in weiten Teilen anwendbar. Sie regelt den Zugang zu und die Nutzung von Daten, die bei der Nutzung vernetzter Produkte entstehen, vom smarten Haushaltsgerät über Maschinen bis zum vernetzten Fahrzeug. Daneben enthält sie Regeln zum Wechsel von Cloud-Anbietern und zu unfairen Vertragsklauseln. Für Datenschutzverantwortliche stellt sich vor allem die Frage, wie sich der Data Act zur DSGVO verhält.

Worum geht es im Data Act?

• Nutzer vernetzter Produkte und verbundener Dienste erhalten Rechte auf Zugang zu den von ihnen erzeugten Daten und können verlangen, dass diese an Dritte, etwa einen Reparaturbetrieb, weitergegeben werden.
• Hersteller und Anbieter müssen vor Vertragsschluss informieren, welche Daten das Produkt erzeugt und wie Nutzer darauf zugreifen können.
• Bestimmte einseitig auferlegte Klauseln über Datenzugang und Datennutzung zwischen Unternehmen sind unwirksam.
• Anbieter von Datenverarbeitungsdiensten müssen den Wechsel zu einem anderen Anbieter ermöglichen. Wechselentgelte werden schrittweise abgeschafft; ab dem 12. Januar 2027 sind sie unzulässig.

Die weiteren Fristen

• Ab 12. September 2026 müssen vernetzte Produkte und verbundene Dienste, die danach in Verkehr gebracht werden, so gestaltet sein, dass Nutzer standardmäßig einfach auf ihre Daten zugreifen können („Access by Design“, Art. 3 Abs. 1).
• Ab 12. September 2027 gelten die Regeln über unfaire Vertragsklauseln unter bestimmten Voraussetzungen auch für Altverträge, die vor dem 12. September 2025 geschlossen wurden.

Kleinst- und kleine Unternehmen sind von den Pflichten des Kapitels II für ihre Produkte und Dienste unter bestimmten Voraussetzungen ausgenommen; für mittlere Unternehmen gibt es eine Übergangsregelung.

Data Act und DSGVO

Der Data Act lässt die DSGVO unberührt. Im Konfliktfall geht das Datenschutzrecht vor. Der Data Act schafft auch keine eigene Rechtsgrundlage für die Verarbeitung personenbezogener Daten. Gibt ein Hersteller Nutzungsdaten eines vernetzten Produkts heraus, die sich auf eine natürliche Person beziehen, etwa Fahrdaten oder Daten eines smarten Thermostats, muss dafür weiterhin eine Rechtsgrundlage nach Art. 6 DSGVO bestehen. Die Zugangsrechte des Data Act ergänzen insoweit das Recht auf Datenübertragbarkeit nach Art. 20 DSGVO, gehen aber darüber hinaus, weil sie auch nicht personenbezogene Daten erfassen.

In der Praxis ist es oft schwierig, personenbezogene und nicht personenbezogene Daten sauber zu trennen. Gemischte Datensätze unterliegen regelmäßig beiden Regelwerken.

Was Unternehmen jetzt tun sollten

1. Prüfen Sie, ob Sie betroffen sind: Stellen Sie vernetzte Produkte her oder bieten verbundene Dienste an? Nutzen Sie solche Produkte im Betrieb? Sind Sie Cloud-Anbieter?
2. Erstellen Sie ein Dateninventar: Welche Daten entstehen, welche davon sind personenbezogen?
3. Passen Sie Datennutzungsverträge mit Kunden und Lieferanten sowie Cloud-Verträge an.
4. Legen Sie für Datenherausgaben mit Personenbezug Rechtsgrundlagen, Informationspflichten und Schutzmaßnahmen fest.
5. Berücksichtigen Sie die neuen Wechselrechte bei der Auswahl von Cloud-Diensten.

Der Data Act ist kein Datenschutzgesetz, wirkt aber eng mit dem Datenschutzrecht zusammen; für Hersteller läuft die nächste Frist im September 2026. Welche Pflichten auf Ihr Unternehmen zukommen, klären wir gern mit Ihnen. Kontaktieren Sie uns oder buchen Sie einen Termin.