Die kurze Antwort
Ab dem 12. September 2026 verlangt der EU Data Act, dass neue vernetzte Produkte und ihre zugehörigen Dienste, die auf dem EU-Markt in Verkehr gebracht werden, so konzipiert sind, dass Nutzer die selbst erzeugten Daten direkt, einfach und sicher abrufen können. Das Recht der Nutzer, ihre Daten zu erhalten und weiterzugeben, besteht seit der Anwendbarkeit des Gesetzes am 12. September 2025; neu ist jetzt die härtere Pflicht — Artikel 3 Absatz 1 —, dass der Zugang in das Produkt selbst eingebaut sein muss.
Wer IoT-Geräte, Industriemaschinen oder die Firmware und Begleit-Apps baut, die sie vernetzen, sollte dies als Design-Frist behandeln, nicht als juristische Fußnote. Ein Datenzugang, der von Haus aus existieren muss, lässt sich nicht in der Woche vor dem Launch nachrüsten.
Was sich am 12. September konkret ändert
Der Data Act (Verordnung (EU) 2023/2854) trat am 11. Januar 2024 in Kraft und ist seit dem 12. September 2025 anwendbar. Die meisten nutzerbezogenen Rechte — das Recht, auf die von einem Produkt erzeugten Daten zuzugreifen und sie an einen Dritten der eigenen Wahl weitergeben zu lassen — gelten seither. Der Meilenstein 12. September 2026 fügt den Teil hinzu, den Hersteller nicht mit einem Richtliniendokument lösen können: die Pflicht in Artikel 3 Absatz 1, dass Produkte und zugehörige Dienste so konzipiert und hergestellt sein müssen, dass die relevanten Daten standardmäßig einfach, sicher und, soweit angebracht, direkt für den Nutzer zugänglich sind.
Die Unterscheidung ist entscheidend. Ein Zugangsrecht, das ein Unternehmen über ein Support-Ticket und einen manuellen Export erfüllt, ist ein Workflow. Ein Produkt, das so gebaut sein muss, dass der Nutzer seine Daten erreicht, ist eine technische Spezifikation — eine, die Firmware, APIs, Datenformate, Authentifizierung und Dokumentation berührt. Bei Produkten mit langen Hardware-Entwicklungszyklen bedeutet ein Anwendungsdatum September 2026, dass die Entscheidungen jetzt fallen, auf Platinen und in Schaltplänen, die nächstes Jahr ausgeliefert werden.
Wer betroffen ist — auch US-Teams
Ein vernetztes Produkt ist in der Sprache des Gesetzes jeder physische Gegenstand, der Daten über seine Nutzung oder Umgebung gewinnt, erzeugt oder erhebt und diese übermitteln kann. Das ist bewusst breit gefasst: vernetzte Fahrzeuge, Land- und Industriemaschinen, Medizinprodukte, Haushaltsgeräte, Wearables und das weite Feld der IoT-Sensoren fallen darunter. Die zugehörigen Dienste, die das Produkt betreiben — die mobile App, das Cloud-Backend, die Analyseschicht —, werden neben der Hardware mit erfasst.
Entscheidend ist, dass die Pflichten an Produkte und Dienste anknüpfen, die auf dem EU-Markt in Verkehr gebracht werden, sowie an Daten, die Nutzern in der EU bereitgestellt werden — nicht daran, wo der Anbieter eingetragen ist. Ein US- oder britisches Unternehmen, das smarte Geräte oder ein industrielles SaaS nach Europa verkauft, ist ebenso Dateninhaber im Sinne des Gesetzes wie ein Hersteller in Stuttgart oder Wien. Diese extraterritoriale Reichweite ist der Grund, warum die Frist auch auf nordamerikanische Roadmaps gehört, und warum sie neben der DSGVO und der EU-KI-Verordnung als dritte Säule europäischer Digital-Compliance steht, die Nicht-EU-Teams nicht als fremdes Problem behandeln können.
Auch die Cloud-Wechsel-Uhr läuft
Der Data Act betrifft nicht nur Geräte. Er verändert auch, wie Datenverarbeitungsdienste — Cloud- und Edge-Anbieter — ihre Kunden wechseln lassen müssen. Seit dem 12. September 2025 müssen betroffene Anbieter Wechsel und Datenportabilität unterstützen, unangemessene Hürden beseitigen und technisch kooperieren, damit ein Kunde Workloads verschieben und Daten exportieren kann. Der kommerzielle Druck kommt als Nächstes: Nach Artikel 29 werden Wechselentgelte schrittweise abgeschafft und sind ab dem 12. Januar 2027 vollständig untersagt, danach dürfen Anbieter während einer laufenden Übergangsphase nur noch die direkten Kosten des Wechsels erstattet bekommen.
Für alle, die eine Cloud- und DevOps-Plattform architektonisch entwerfen, lautet die praktische Botschaft wie bei der Geräteregel: Portabilität muss von Anfang an eingeplant sein. Stellen Sie sicher, dass sich Daten und Konfiguration eines Kunden tatsächlich in nutzbarer, strukturierter Form exportieren lassen, dass ein Wechsel nicht von proprietären Formaten abhängt, die nur Ihr Stack lesen kann, und dass das vom Gesetz vorgesehene 30-Tage-Wechselfenster technisch erreichbar ist. Anbieter, die Bindung als Geschäftsmodell behandelt haben, werden dies stärker spüren, als die Stichtage allein vermuten lassen.
Was es für DACH-Softwareteams bedeutet
Für Produktteams ist die nützliche Rahmung, dass der Data Act den Datenzugang in eine funktionale Anforderung mit einem Abnahmetest verwandelt. Die Frage, die ein Prüfer — oder ein Kunde, oder eine Behörde — stellen wird, ist einfach: Kann der Nutzer die von diesem Produkt erzeugten Daten in einer nutzbaren Form erhalten, ohne auf Ihr Wohlwollen angewiesen zu sein? Lautet die ehrliche Antwort „nicht ohne Engineering", ist das die Lücke, die vor September zu schließen ist.
Es gibt eine echte Spannung zu steuern, nicht zu ignorieren. Das Gesetz schützt Geschäftsgeheimnisse und lässt Dateninhabern verhältnismäßige Sicherheitsmaßnahmen zu, sodass das Öffnen von Daten nicht bedeutet, proprietäre Modelle offenzulegen oder Wettbewerbern eine Blaupause zu liefern. Doch dieser Schutz ist dafür gedacht, eng gefasst und begründet zu sein, nicht als generelle Ausrede, alles geschlossen zu halten. Die Teams, die das gut lösen, trennen die rohen erzeugten Daten des Nutzers, die fließen müssen, von der abgeleiteten Intelligenz und den Geheimnissen, die geschützt werden dürfen — und sie dokumentieren diese Begründung, damit sie einer Anfechtung standhält. Für regulierte HealthTech- und Connected-Device-Hersteller ist diese Dokumentation zugleich das, was das Due-Diligence-Team eines Enterprise-Käufers sehen will.
Die strategische Lesart ist, dass Portabilität sowohl auf der Geräte- als auch auf der Cloud-Ebene zum europäischen Standard wird. Teams, die jetzt exportierbare, interoperable Systeme bauen, erfüllen nicht nur diese Frist, sondern die Richtung der Entwicklung — während jene, die auf Lock-in setzen, bei jeder neuen Pflicht weiter eine Compliance-Steuer zahlen.
Was vor der Frist zu tun ist
Sie brauchen kein ausuferndes Programm. Sie brauchen eine kurze, ehrliche Inventur und ein paar konkrete Builds.
- Klassifizieren Sie Ihre Produkte. Listen Sie, welche Ihrer Geräte und zugehörigen Dienste vernetzte Produkte im Sinne des Gesetzes sind und welche nach dem 12. September 2026 auf dem EU-Markt in Verkehr gebracht werden.
- Bauen Sie die Zugangs-Schnittstelle. Bieten Sie einen dokumentierten, sicheren Weg, über den Nutzer die von ihrem Produkt erzeugten Daten in einem gängigen, maschinenlesbaren Format erhalten — keinen manuellen Export hinter einem Support-Desk.
- Bereiten Sie die Weitergabe an Dritte vor. Nutzer können ihre Daten an einen Anbieter ihrer Wahl lenken; stellen Sie sicher, dass Ihr Weitergabepfad existiert und zu fairen, nicht-diskriminierenden Bedingungen läuft.
- Fassen Sie Geschäftsgeheimnisse bewusst. Entscheiden Sie, was wirklich ein geschütztes Geheimnis ist gegenüber rohen Nutzerdaten, die fließen müssen, und halten Sie die Begründung fest, statt auf „nein" zu setzen.
- Testen Sie die Cloud-Portabilität unter Druck. Bestätigen Sie, dass Sie Daten und Konfiguration eines Kunden in nutzbarer Form exportieren und einen 30-Tage-Wechsel einhalten können, vor dem Entgeltverbot im Januar 2027.
- Schreiben Sie es auf. Führen Sie einen Nachweis Ihrer Klassifikation, Ihres Zugangsdesigns und Ihrer Sicherheitsmaßnahmen — die Belege, die eine Aufsicht oder ein Enterprise-Kunde anfragen wird.
Dies ist keine Rechtsberatung, und der genaue Anwendungsbereich des Gesetzes hängt von Ihren Produkten und Verträgen ab. Doch die Richtung ist eindeutig: Ab September wird von einem nach Europa verkauften vernetzten Produkt erwartet, dass es seine Daten der Person öffnet, die es nutzt. Die Teams, die dafür konzipiert haben, behandeln den 12. September als normalen Release; der Rest behandelt ihn als Frist.
Häufig gestellte Fragen
Was ändert sich am 12. September 2026 durch den EU Data Act?
Ab dem 12. September 2026 gelten die Design-Pflichten aus Artikel 3 Absatz 1 für vernetzte Produkte und zugehörige Dienste, die auf dem EU-Markt in Verkehr gebracht werden. Neue Produkte müssen so konzipiert und hergestellt sein, dass Nutzer die selbst erzeugten Daten direkt, einfach, sicher und, soweit relevant, kontinuierlich und in Echtzeit abrufen können. Der Datenzugang muss in das Produkt eingebaut sein, nicht nachträglich angeflickt.
Welche Produkte gelten als vernetzte Produkte?
Ein vernetztes Produkt ist jeder physische Gegenstand, der Daten über seine Nutzung oder Umgebung gewinnt, erzeugt oder erhebt und übermitteln kann. Das umfasst vernetzte Fahrzeuge, Industrie- und Landmaschinen, Medizinprodukte, Haushaltsgeräte, Wearables und IoT-Sensoren. Die zugehörigen digitalen Dienste, die ein solches Produkt betreiben, etwa die Begleit-App oder das Cloud-Backend, fallen ebenfalls in den Anwendungsbereich.
Gilt der EU Data Act auch für Unternehmen außerhalb der EU?
Ja. Die Pflichten knüpfen an Produkte und zugehörige Dienste an, die auf dem EU-Markt in Verkehr gebracht werden, sowie an Daten, die Nutzern in der EU bereitgestellt werden, unabhängig davon, wo der Hersteller oder Dateninhaber niedergelassen ist. Ein US- oder Schweizer Unternehmen, das vernetzte Hardware oder SaaS nach Europa verkauft, fällt in den Anwendungsbereich, weshalb die Frist weit über EU-ansässige Teams hinaus zählt.
Wann treten die Cloud-Wechsel-Regeln in Kraft?
Die Rechte auf Wechsel von Cloud- und Datenverarbeitungsdiensten gelten bereits seit dem 12. September 2025, doch Wechselentgelte werden schrittweise abgeschafft und sind ab dem 12. Januar 2027 vollständig untersagt. Ab diesem Datum dürfen Anbieter während einer Übergangsphase nur noch die direkten Kosten des Wechsels berechnen. Teams sollten Portabilität und Datenexport jetzt entwerfen, statt auf das Entgeltverbot zu warten.
Was sollten Softwareteams vor der Frist tun?
Ordnen Sie zu, welche Ihrer Produkte und Dienste vernetzte Produkte im Sinne des Data Act sind, bauen Sie eine dokumentierte Datenzugangs-Schnittstelle, über die Nutzer ihre erzeugten Daten in einem gängigen, maschinenlesbaren Format abrufen können, bereiten Sie einen Weitergabepfad an Dritte zu fairen Bedingungen vor, und stellen Sie sicher, dass Ihre Cloud-Architektur Export und Wechsel unterstützt. Behandeln Sie Geschäftsgeheimnis-Schutz und Sicherheit als Design-Vorgaben, nicht als Gründe, Zugang zu verweigern.
Quellen
Europäische Kommission — Data-Act-Politikseite und Anwendungszeitplan (Primärquelle)
Latham & Watkins — EU Data Act: What Businesses Need to Know
Bird & Bird — The EU Data Act: Where Things Stand Now