Die kurze Antwort
Ab dem 12. September 2026 verpflichtet der EU Data Act Hersteller, vernetzte Produkte von Grund auf so zu gestalten, dass die erzeugten Daten dem Nutzer direkt zugänglich sind. Wer ein vernetztes Produkt oder einen zugehörigen Dienst ab diesem Datum in der EU in Verkehr bringt, muss den Datenzugang standardmäßig, sicher, unentgeltlich und in einem strukturierten, gängigen und maschinenlesbaren Format bereitstellen – wo relevant und technisch machbar auch direkt und in Echtzeit.
Dieser Access-by-Design-Grundsatz aus Artikel 3 verschiebt die Anforderung von der reaktiven Herausgabe auf Anfrage zur proaktiven Produktgestaltung. Für Hersteller in Deutschland, Österreich und der Schweiz – gerade im datenintensiven Maschinen- und Anlagenbau – heißt das: Der Datenzugang gehört jetzt in das Lastenheft neuer Produkte, nicht in die AGB.
Was am 12. September greift
Der Data Act will die Datenökonomie der EU öffnen: Wer eine vernetzte Maschine nutzt, soll auch über die dabei entstehenden Daten verfügen können – und nicht allein der Hersteller. Bis zum 12. September 2026 galt vor allem der Anspruch der Nutzer, Zugang zu ihren Daten zu verlangen. Ab diesem Datum kommt die technische Bringschuld hinzu: Neue Produkte müssen den Zugang von vornherein ermöglichen.
Konkret verlangt Artikel 3, dass vernetzte Produkte und die dazugehörigen Dienste so konstruiert und hergestellt werden, dass die Produkt- und Dienstdaten für den Nutzer standardmäßig einfach, sicher, unentgeltlich, in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format und – wo relevant und technisch machbar – direkt und in Echtzeit erreichbar sind. Für die Fertigungs- und Maschinenbauindustrie, die in der DACH-Region einen Großteil der vernetzten Anlagen stellt, ist das der aufwändigste Teil der Verordnung.
Wichtig ist die Abgrenzung: Die Designpflicht greift nur für Produkte, die ab dem 12. September 2026 in Verkehr gebracht werden. Bestandsgeräte, die schon vorher am Markt waren, müssen nicht nachgerüstet werden – für sie gelten die übrigen, bereits seit 2025 wirksamen Datenzugangsrechte weiter. Wer allerdings jetzt eine neue Produktgeneration plant, sollte den Datenzugang zusammen mit der Embedded- und Firmware-Entwicklung von Beginn an mitdenken, statt ihn später aufzusetzen.
Der Data-Act-Zeitplan im Überblick
Der Data Act tritt in Stufen in Kraft. Die folgende Übersicht ordnet ein, was bereits gilt und was am 12. September 2026 hinzukommt:
| Datum | Was gilt | Bedeutung für Hersteller |
|---|---|---|
| 11. Januar 2024 | Inkrafttreten der Verordnung | Übergangszeit für Anpassung von Produkten, Verträgen und Prozessen |
| 12. September 2025 | Allgemeine Anwendbarkeit | Datenzugangsrechte der Nutzer, Datenweitergabe an Dritte, Cloud-Wechsel, Verbot missbräuchlicher Klauseln |
| 12. September 2026 | Access by Design (Art. 3) | Neu in Verkehr gebrachte vernetzte Produkte müssen Datenzugang technisch von Haus aus bieten |
| 12. September 2027 | Regeln zu bestehenden Verträgen | Bestimmte Vorgaben (u. a. zu Altverträgen) werden zusätzlich verbindlich |
Für die Produktplanung ist der 12. September 2026 die härteste Marke: Anders als bei einer Meldepflicht oder einer Dokumentationsauflage lässt sich Access by Design nicht kurzfristig „einrichten“. Datenmodell, Schnittstellen und Berechtigungslogik müssen bereits in der Architektur eines Geräts verankert sein, bevor es die Fertigung verlässt.
Wer in der DACH-Region betroffen ist
Der Data Act wirkt sektorübergreifend. Betroffen ist, wer vernetzte Produkte oder zugehörige Dienste auf dem EU-Markt in Verkehr bringt – unabhängig vom Sitz des Unternehmens. Das schließt in der DACH-Region besonders viele Hersteller ein:
- Maschinen- und Anlagenbau: vernetzte Werkzeugmaschinen, Robotik, Sensorik und Steuerungen – ein Kernsektor der deutschen und schweizerischen Industrie.
- Fahrzeug- und Zulieferindustrie: vernetzte Fahrzeuge und Komponenten, die Telemetrie- und Nutzungsdaten erzeugen.
- Energie- und Gebäudetechnik: Windturbinen, Wärmepumpen, Smart-Building-Systeme mit kontinuierlichen Messdaten.
- Medizin- und Labortechnik: vernetzte Geräte mit Software, bei denen Datenzugang und Datenschutz zusammenspielen.
- Smart-Home und IoT: Consumer-Geräte, die Nutzungs- und Umgebungsdaten sammeln und über eine App oder Cloud bereitstellen.
Für Schweizer Hersteller gilt: Sobald ein Produkt auf den EU-Markt gebracht wird, greift der Data Act – der Sitz außerhalb der EU befreit nicht. Umgekehrt bedeutet die Regelung für viele Mittelständler, dass sie erstmals ein durchdachtes Datenzugangs- und Berechtigungskonzept benötigen, wo bislang die Daten schlicht im Produkt oder in der Herstellercloud verblieben.
Was Hersteller technisch umsetzen müssen
Access by Design ist in erster Linie eine Engineering-Aufgabe. Aus der abstrakten Rechtspflicht werden für Produktteams vier konkrete Bausteine:
- Datenkatalog und Metadaten: Erst muss klar sein, welche Daten ein Produkt erzeugt, in welcher Granularität und Bedeutung. Ohne dokumentierten Datenkatalog lässt sich kein sinnvoller Zugang gewähren.
- Zugriffsschnittstellen: Der strukturierte, maschinenlesbare Export erfordert klar definierte Schnittstellen. In der Praxis heißt das saubere, dokumentierte APIs für den Datenabruf – idealerweise nach etablierten Standards und, wo relevant, in Echtzeit.
- Identität und Berechtigungen: Nutzer und autorisierte Dritte müssen sich authentifizieren; das Produkt muss unterscheiden, wer welche Daten sehen darf. Das verlangt ein belastbares Rollen- und Consent-Modell.
- Vorvertragliche Transparenz: Schon vor dem Kauf muss der Hersteller angeben, welche Daten anfallen, ob sie fortlaufend erzeugt werden und wie der Nutzer darauf zugreift.
Der Aufwand ist bei Bestandsplattformen oft höher als erwartet: Viele vernetzte Produkte wurden nie darauf ausgelegt, Daten sauber getrennt und exportierbar zu halten. Wer die Zugangslogik in die Firmware und die Backend-Architektur einer neuen Gerätegeneration integriert, statt sie über einen Adapter nachzurüsten, spart mittelfristig Wartungs- und Sicherheitsaufwand.
Durchsetzung und Bußgelder in Deutschland
Die Durchsetzung liegt bei den Mitgliedstaaten. In Deutschland ist die Bundesnetzagentur als zentrale zuständige Behörde für den Data Act vorgesehen; das nationale Durchführungsgesetz (Data Act-Durchführungsgesetz) regelt Aufsicht und Sanktionsverfahren. Die Behörde bringt Erfahrung aus der Regulierung von Telekommunikation, Energie und Post mit.
Der europäische Rechtsrahmen sieht für Verstöße empfindliche Sanktionen vor: Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist. Damit ist die Access-by-Design-Pflicht kein reines Compliance-Nebenthema, sondern eine Frage, die in die Produkt- und Geschäftsleitung gehört.
Handlungsempfehlungen für DACH-Teams
- Produktroadmap prüfen: Welche vernetzten Produkte gehen ab dem 12. September 2026 neu in Verkehr? Genau diese fallen unter die Designpflicht.
- Datenkatalog erstellen: Erfassen, welche Daten ein Produkt erzeugt, mit Bedeutung, Format und Frequenz – die Grundlage jeder Zugangsschnittstelle.
- Schnittstellen definieren: API-Design, Authentifizierung und Berechtigungsmodell festlegen; auf strukturierte, gängige und maschinenlesbare Formate achten.
- Vorvertragliche Angaben vorbereiten: Datenblätter und Produktinformationen um die vom Data Act geforderten Angaben zum Datenanfall und Datenzugang ergänzen.
- Verträge gegenprüfen: Lizenz- und Nutzungsbedingungen auf missbräuchliche Klauseln und auf die Regeln zur Datenweitergabe an Dritte abklopfen.
- Zuständigkeit klären: Access by Design betrifft Engineering, Produktmanagement und Recht gemeinsam – die Verantwortung sollte nicht in einer Abteilung allein hängen.
FAQ
- Was ändert sich am 12. September 2026 durch den EU Data Act?
- Ab diesem Datum gilt der Access-by-Design-Grundsatz (Artikel 3): Vernetzte Produkte und zugehörige Dienste, die ab dem 12. September 2026 in der EU in Verkehr gebracht werden, müssen so gestaltet sein, dass die erzeugten Daten dem Nutzer standardmäßig, sicher, unentgeltlich und in einem strukturierten, gängigen und maschinenlesbaren Format zugänglich sind – wo relevant auch direkt und in Echtzeit.
- Für welche Produkte gilt die Access-by-Design-Pflicht?
- Sektorübergreifend für vernetzte Produkte, die Daten erzeugen und über einen Dienst oder eine Schnittstelle kommunizieren – von Industriemaschinen, Fahrzeugen und Windturbinen über Medizingeräte bis zu Smart-Home- und IoT-Geräten. Maßgeblich ist der Zeitpunkt des Inverkehrbringens: Die Designpflicht trifft nur ab dem 12. September 2026 neu auf den Markt gebrachte Produkte.
- Welche Behörde setzt den Data Act in Deutschland durch und welche Bußgelder drohen?
- In Deutschland ist die Bundesnetzagentur als zentrale zuständige Behörde vorgesehen; das nationale Durchführungsgesetz regelt Aufsicht und Sanktionen. Der europäische Rechtsrahmen sieht Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes vor.
- Was müssen Hersteller technisch umsetzen?
- Datenkatalog und Metadaten, technische Schnittstellen (APIs) für den strukturierten Export, ein Authentifizierungs- und Berechtigungsmodell für Nutzer und autorisierte Dritte sowie vorvertragliche Angaben zum Datenanfall. Diese Elemente gehören in die Design- und Firmware-Ebene und lassen sich nachträglich nur mit erheblichem Aufwand ergänzen.
Quellen: DIHK · Europäische Kommission — Data Act · Deloitte Legal · Bundesnetzagentur