Die kurze Antwort
Ab 12. September 2026 verlangt der EU Data Act, dass neue vernetzte Produkte und verbundene Dienste auf dem EU-Markt so gestaltet sind, dass Nutzer standardmäßig an ihre eigenen Daten kommen. Artikel 3 Absatz 1 der Verordnung (EU) 2023/2854 verlangt, dass Produkt- und Dienstdaten — samt der zur Interpretation nötigen Metadaten — „einfach, sicher und kostenlos“ für den Nutzer zugänglich sind, in einem „strukturierten, gängigen und maschinenlesbaren Format“ und, wo technisch machbar, direkt zugänglich. In Engineering-Begriffen ist das ein dokumentierter Export oder eine API, kein Support-Ticket. Die Pflicht bindet jeden, der Produkte auf dem EU-Markt bereitstellt, sodass ein US- oder UK-Anbieter, der vernetzte Hardware oder einen verbundenen Dienst nach Europa verkauft, klar erfasst ist — und die EU-Datenschutz-Compliance mit dem Bau in Einklang zu bringen, ist jetzt Teil des Auslieferns.
Praktisch gelesen: Wer vernetzte Hardware, IoT-Sensoren, Wearables, vernetzte Fahrzeuge, Industrie- oder Medizingeräte oder die zugehörigen Cloud-Dienste baut, für den ist Datenzugang jetzt ein Produkt-Feature, das man einplanen muss — bevor das Gerät ausgeliefert wird, nicht erst wenn ein Nutzer sich beschwert. Die Verordnung selbst gilt seit dem 12. September 2025; das Datum 2026 ist jenes, das sie in Code verwandelt, den man schreiben muss.
Was ändert sich am 12. September 2026?
Der EU Data Act ist das horizontale Unionsrecht darüber, wer auf die von vernetzten Produkten und verbundenen Diensten erzeugten Daten zugreifen und sie nutzen darf. Die meisten Bestimmungen gelten seit dem 12. September 2025. Doch die engineering-lastigste Pflicht wurde bewusst um ein Jahr verschoben, um Herstellern Zeit zum Bauen zu geben: die Access-by-Design-Pflicht in Artikel 3 Absatz 1, die für vernetzte Produkte und verbundene Dienste gilt, die nach dem 12. September 2026 auf dem EU-Markt bereitgestellt werden.
Bisher sagte der Data Act Dateninhabern vor allem, was sie tun müssen, wenn ein Nutzer Daten anfragt. Ab dieser Frist schreibt er auch vor, wie das Produkt überhaupt gebaut sein muss. Eine vernetzte Kaffeemaschine, eine Flotten-Telematikbox, ein Fabrikroboter, ein Blutzuckermessgerät oder ein smartes Thermostat, das nach dem Datum in die EU gebracht wird, muss die Fähigkeit, dem Nutzer seine Daten zu übergeben, bereits eingebaut mitbringen. Das macht aus Compliance statt einer Rechtsprüfung ein Lieferproblem aus Hardware plus Software — und deshalb landet es genauso bei den Embedded- und Connected-Product-Engineering-Teams wie bei der Rechtsabteilung.
Die Reichweite ist breit und bewusst extraterritorial. Die Pflicht gilt für jeden Hersteller vernetzter Produkte und jeden Anbieter verbundener Dienste, der sie auf dem EU-Markt bereitstellt — unabhängig vom Sitz. Ein US-Wearables-Start-up, ein japanischer Industrieanlagenbauer oder ein UK-SaaS-Anbieter, dessen Dienst ein „verbundener Dienst“ für ein vernetztes Gerät ist, fällt in den Anwendungsbereich, sobald er nach Europa verkauft. Nicht-EU-Dateninhaber, die verbundene Dienste in der Union anbieten, müssen zudem einen EU-Rechtsvertreter benennen.
Was „Access by Design“ konkret verlangt
Artikel 3 Absatz 1 setzt den Standard. Vernetzte Produkte und verbundene Dienste müssen so gestaltet und hergestellt sein, dass Produkt- und Dienstdaten — samt der zur Interpretation und Nutzung nötigen Metadaten — standardmäßig „einfach, sicher und kostenlos“ für den Nutzer zugänglich sind. Die Daten müssen in einem „strukturierten, gängigen und maschinenlesbaren Format“ vorliegen und, „soweit relevant und technisch machbar“, direkt für den Nutzer zugänglich sein. Lesen Sie das als Spezifikation: ein dokumentierter, authentifizierter Datenendpunkt oder Export — kein PDF, kein vom Bildschirm abgelesener Wert, keine CSV, die man drei Wochen später auf Anfrage mailt.
Der Datenumfang ist präzise. Er umfasst ohne Weiteres verfügbare Roh- und vorverarbeitete Daten beim Dateninhaber plus die zu ihrer Deutung nötigen Metadaten. Er zwingt Sie nicht, stark angereicherte oder abgeleitete Analysen oder durch geistiges Eigentum geschützte Inhalte herauszugeben — der Mehrwert, den Sie auf das Rohsignal legen, bleibt Ihrer. Diese Grenze richtig zu ziehen ist eine Datenmodellierungs-Entscheidung: Sie müssen wissen, welche Felder „ohne Weiteres verfügbare Produktdaten“ sind und welche proprietäre Ableitungen, und Erstere sauber über eine Datenzugriffs-API bereitstellen, ohne Letztere preiszugeben.
Artikel 4 regelt den Fall, dass direkter, eingebauter Zugang technisch nicht machbar ist: Der Dateninhaber muss die Daten dann auf einfachen elektronischen Antrag unverzüglich und kostenlos bereitstellen. Artikel 5 geht einen Schritt weiter — auf Anweisung des Nutzers muss der Dateninhaber die Daten an einen benannten Dritten weitergeben (eine Werkstatt, einen Analyse-Anbieter, einen Aftermarket-Dienst eines Wettbewerbers) zu fairen, angemessenen und nicht diskriminierenden Bedingungen. Als Torwächter benannte Unternehmen nach dem Digital Markets Act sind als Empfänger ausgeschlossen. Der rote Faden: Der Nutzer — ob Verbraucher oder Geschäftskunde — bestimmt, wohin seine Produktdaten gehen, und Ihre Architektur muss diese Kontrolle real machen.
Was das für DACH-Softwareteams bedeutet
Erstens: Datenportabilität ist jetzt eine Produktanforderung, kein Nice-to-have. Jahrelang behandelten Connected-Product-Teams die von einem Gerät erzeugte Telemetrie als privates Asset, eingeschlossen in der Anbieter-Cloud. Der Data Act kehrt diesen Standard um: Der Nutzer hat ein Recht auf die ohne Weiteres verfügbaren Daten, die sein Gerät erzeugt, in einer Form, die eine Maschine tatsächlich verarbeiten kann. Steht auf Ihrer Roadmap für EU-Produkte kein dokumentierter Export oder keine API, hat die Frist gerade einen hinzugefügt.
Zweitens: Das Schwere ist das Datenmodell, nicht der Endpunkt. Eine API aufzusetzen ist Routine-Engineering. Genau zu entscheiden, welche Felder „ohne Weiteres verfügbare Produktdaten“ sind, die bereitgestellt werden müssen, gegenüber angereicherten oder abgeleiteten Daten, die Sie behalten dürfen — daran hängen Teams fest, und diese Entscheidung berührt Firmware, Cloud-Speicher, Analytik und Recht zugleich. Produkte mit sauberer Trennung zwischen Rohsignal und Mehrwert-Analytik erfüllen die Pflicht günstig; Produkte, in denen alles in einem proprietären Blob verwoben ist, stehen vor einem teuren Nachrüsten. Für den DACH-Maschinen- und Fahrzeugbau, wo Betriebsdaten oft tief in proprietären Steuerungen stecken, ist genau das der Knackpunkt.
Drittens: US-Anbieter kommen nicht davon frei. Die Pflicht folgt dem EU-Markt, nicht dem Firmensitz, also ist „wir sind ein US-Unternehmen“ keine Verteidigung für ein Gerät, das in Berlin oder Mailand verkauft wird. Und wo die Produktdaten zugleich personenbezogen sind, gilt die DSGVO weiter obendrauf — Sie brauchen weiterhin Rechtsgrundlage, Zweckbindung und Sicherheit für alle personenbezogenen Daten, die Sie bereitstellen oder weitergeben. Der Data Act fügt eine Portabilitäts- und Zugangs-Schicht hinzu; er ersetzt das Datenschutzrecht nicht. Teams, die eine einzige, gut steuerbare Datenzugriffs-Schicht bauen — authentifiziert, protokolliert, einwilligungsbewusst, formatstabil — erfüllen beide Regime auf einmal, statt getrennte Einzelantworten zusammenzuschrauben.
Was jetzt zu tun ist
- Inventarisieren Sie Ihre vernetzten Produkte und verbundenen Dienste für die EU. Erfassen Sie, welche SKUs und Dienste nach dem 12. September 2026 auf dem EU-Markt bereitgestellt werden — das sind jene, die Access by Design ausliefern müssen. Bestehende, bereits vermarktete Produkte werden anders behandelt, das Markteinführungsdatum zählt also.
- Klassifizieren Sie Ihre Daten. Trennen Sie für jedes Produkt ohne Weiteres verfügbare Roh- und vorverarbeitete Daten (im Anwendungsbereich) von angereicherten, abgeleiteten oder IP-geschützten Daten (außerhalb). Erfassen Sie die Metadaten, die ein Nutzer zur Deutung jedes Feldes braucht. Diese Klassifikation ist das Fundament für alles Weitere.
- Entwerfen Sie den Zugangspfad. Bauen Sie eine dokumentierte, authentifizierte Datenexport-API oder In-Produkt-Zugang, der Daten in einem strukturierten, gängigen, maschinenlesbaren Format liefert. Ergänzen Sie den Artikel-4-Rückfall (Daten auf einfachen elektronischen Antrag) und den Artikel-5-Fluss (Weitergabe an einen vom Nutzer benannten Dritten zu fairen Bedingungen).
- Verdrahten Sie Identität, Einwilligung und Protokollierung. Sie müssen bestätigen, wer der Nutzer ist, seine Anweisungen zur Weitergabe an Dritte befolgen, personenbezogene Daten DSGVO-konform halten und Zugriffe zur Prüfung protokollieren. Behandeln Sie das als vollwertige Teile des Features, nicht als Nachgedanken.
- Prüfen Sie Ihre Verträge und Bedingungen. Unfaire Vertragsklauseln, die Datenzugang blockieren oder überteuern, sind nach dem Data Act nicht durchsetzbar. Prüfen Sie Lizenz-, Gewährleistungs- und Datenklauseln jetzt und benennen Sie einen EU-Rechtsvertreter, wenn Sie ein Nicht-EU-Dateninhaber sind, der verbundene Dienste in der Union anbietet.
Häufig gestellte Fragen
Was ist die Access-by-Design-Frist des EU Data Act?
Ab 12. September 2026 verlangt Artikel 3 Absatz 1 des EU Data Act (Verordnung (EU) 2023/2854), dass vernetzte Produkte und verbundene Dienste, die auf dem EU-Markt bereitgestellt werden, so gestaltet sind, dass Produkt- und Dienstdaten — samt der zur Interpretation nötigen Metadaten — standardmäßig einfach, sicher und kostenlos für den Nutzer zugänglich sind, in einem strukturierten, gängigen und maschinenlesbaren Format und, wo technisch machbar, direkt zugänglich. Die Pflicht greift für Produkte, die nach diesem Datum bereitgestellt werden; die Verordnung selbst gilt seit dem 12. September 2025.
Welche Produkte und Dienste fallen in den Anwendungsbereich?
Vernetzte Produkte — jeder physische Gegenstand, der Daten über seine Nutzung oder Umgebung gewinnt, erzeugt oder erhebt und übertragen kann, etwa Smart-Home-Geräte, Wearables, Medizingeräte, vernetzte Fahrzeuge, Industrie- und Landmaschinen sowie IoT-Sensoren — plus die digitalen Dienste, die sie funktionieren lassen (verbundene Dienste). Es gilt für ohne Weiteres verfügbare Roh- und vorverarbeitete Daten samt der zur Nutzung nötigen Metadaten; stark angereicherte, abgeleitete Daten und IP-geschützte Inhalte sind ausgenommen.
Gilt der Data Act auch für US- und andere Nicht-EU-Hersteller?
Ja. Die Access-by-Design-Pflicht gilt für jeden Hersteller vernetzter Produkte oder Anbieter verbundener Dienste, der sie auf dem EU-Markt bereitstellt, unabhängig vom Sitz. Ein US-, UK- oder asiatisches Unternehmen, das in die EU verkauft, ist erfasst. Nicht-EU-Dateninhaber, die verbundene Dienste in der EU anbieten, müssen zudem einen gesetzlichen Vertreter in der Union benennen.
Welche Daten müssen in welchem Format bereitgestellt werden?
Ohne Weiteres verfügbare Produkt- und Dienstdaten samt der Metadaten zu ihrer Deutung, in einem strukturierten, gängigen und maschinenlesbaren Format — in der Praxis eine dokumentierte API oder ein Export. Ist der direkte Zugang nicht machbar, verlangt Artikel 4, ihn auf einfachen elektronischen Antrag unverzüglich und kostenlos bereitzustellen. Nach Artikel 5 kann der Nutzer die Weitergabe an einen benannten Dritten zu fairen Bedingungen anweisen; DMA-Torwächter sind als Empfänger ausgeschlossen.
Wie unterscheidet sich der Data Act von der DSGVO?
Die DSGVO regelt personenbezogene Daten und gibt Einzelpersonen Rechte daran. Der Data Act ist breiter: Er erfasst von vernetzten Produkten erzeugte Daten unabhängig davon, ob sie personenbezogen sind, und gewährt Zugangs- und Portabilitätsrechte dem Nutzer — der ein Geschäftskunde sein kann. Wo Produktdaten zugleich personenbezogen sind, gilt die DSGVO weiter obendrauf. Verstehen Sie den Data Act als Engineering- und Vertragspflicht darüber, wer welche Produktdaten in welcher Form erhält; die DSGVO regelt weiter die rechtmäßige Verarbeitung etwaiger personenbezogener Daten.
Quellen
EUR-Lex — Verordnung (EU) 2023/2854 (Data Act)
Latham & Watkins — EU Data Act: What Businesses Need to Know
Wilson Sonsini — EU Data Act September 2026 Deadline: What Businesses Need to Know