DATA ACT: Access by Design wird ab dem 12. September Pflicht – Was Unternehmen jetzt wissen müssen

Daten gelten als Rohstoff der digitalen Wirtschaft, doch wer sie tatsächlich nutzen darf, entschied bislang vor allem die faktische Kontrolle des Dateninhabers. Hier setzt der Data Act als zentraler Baustein der europäischen Datenstrategie an, indem er die beim Dateninhaber gebündelten Datenbestände vernetzter Produkte für Nutzer und Dritte zugänglich macht. Nachdem die Verordnung im Wesentlichen bereits seit dem 12. September 2025 gilt, tritt mit dem 12. September 2026 ein weiterer Stichtag hinzu. Ab diesem Zeitpunkt greift für vernetzte Produkte und verbundene Dienste, die neu in Verkehr gebracht werden, die Pflicht zur datenzugangsfreundlichen Produktgestaltung nach Art. 3 Abs. 1 DA (sogenanntes Access by Design). Für die Praxis stellt sich damit erneut die Frage, welche Unternehmen überhaupt in den Anwendungsbereich der Verordnung fallen und in welcher Rolle sie betroffen sind. Der vorliegende Beitrag ordnet zunächst den Kreis der betroffenen Unternehmen ein, beleuchtet sodann die bereits bestehenden und die neu hinzutretenden Pflichten.

I. Wer ist betroffen?

Der Data Act adressiert einen breiten Kreis von Akteuren. Art. 1 Abs. 3 DA nennt unter anderem Hersteller vernetzter Produkte, Anbieter verbundener Dienste, deren Nutzer, Dateninhaber und Datenempfänger sowie Anbieter von Datenverarbeitungsdiensten. Ob und in welcher Rolle ein Unternehmen betroffen ist, entscheidet sich nicht abstrakt, sondern anhand der konkreten Anknüpfung an ein vernetztes Produkt.

1. Das „vernetzte Produkt" als zentrale Anknüpfung

Der persönliche und sachliche Anwendungsbereich des Data Act steht und fällt mit dem Begriff des vernetzten Produkts. Nach Art. 2 Nr. 5 DA ist darunter ein Gegenstand zu verstehen, der Daten über seine Nutzung oder Umgebung erlangt, generiert oder erhebt und diese Produktdaten über einen elektronischen Kommunikationsdienst, eine physische Verbindung oder einen geräteinternen Zugang übermitteln kann, sofern seine Hauptfunktion nicht in der Speicherung, Verarbeitung oder Übertragung von Daten im Namen eines Dritten besteht. Erfasst ist damit im Ausgangspunkt praktisch jeder körperliche Gegenstand quer durch alle Wirtschaftsbereiche, von Fahrzeugen und medizinischer Ausrüstung über Haushaltsgeräte und Konsumgüter bis hin zu land- und industriewirtschaftlichen Maschinen und Anlagen. Auf die Beweglichkeit des Gegenstands kommt es nicht an, sodass auch Infrastrukturen und Anlagen in Betracht kommen können.

Die Definition ist allerdings weniger trennscharf, als es zunächst scheint. Sie knüpft nicht an Daten allgemein an, sondern an Produktdaten, die ihrerseits in Art. 2 Nr. 15 DA unter Rückgriff auf das vernetzte Produkt definiert werden, das gerade bestimmt werden soll. Aus diesem zirkulären Verhältnis, folgt eine praktisch bedeutsame Konsequenz: Ein vernetztes Produkt dürfte nur dann vorliegen, wenn der Hersteller den Zugriff auf die generierten Daten konzeptionell überhaupt vorsieht. Konzipiert er sein Produkt so, dass Daten ausschließlich lokal gespeichert und nicht übermittelt werden können, fehlt es an Produktdaten und die Pflichten aus Art. 3 und 4 DA greifen insoweit nicht. Ob ein Produkt in den Anwendungsbereich fällt, liegt damit in nicht unerheblichem Maße in der Gestaltungshand des Herstellers, eine Freiheit, die mit der zum 12. September 2026 wirksam werdenden Konzeptionspflicht in ein Spannungsverhältnis treten kann.

2. Hersteller als Adressaten der Pflicht aus Art. 3 Abs. 1 DA

Für die zum 12. September 2026 hinzutretende Access-by-Design-Pflicht verengt sich der Kreis der unmittelbar Verpflichteten. Art. 3 Abs. 1 DA richtet sich an denjenigen, der das vernetzte Produkt konzipiert und herstellt beziehungsweise den verbundenen Dienst konzipiert und erbringt, nicht hingegen an jeden, der ein solches Produkt lediglich vertreibt. Anknüpfungspunkt ist das Inverkehrbringen nach dem Stichtag, weshalb sich die Pflicht auf Neuprodukte beschränkt und keine Nachrüstung bereits in Verkehr gebrachter Bestandsprodukte verlangt. Zu beachten ist ferner, dass sich der Adressatenkreis über Art. 1 Abs. 4 DA auf Anbieter virtueller Assistenten erstrecken kann, soweit diese mit einem vernetzten Produkt oder verbundenen Dienst interagieren, was insbesondere Anbieter von Sprach- und Nutzerschnittstellen betreffen dürfte. Schließlich ist zu berücksichtigen, dass ein und dasselbe Unternehmen mehrere Rollen zugleich einnehmen kann, etwa als Hersteller und zugleich als Dateninhaber, sodass sich die jeweiligen Pflichten überlagern.

II. Pflichten der betroffenen Hersteller

Bereits seit dem 12. September 2025 besteht der Zugangsanspruch des Nutzers nach Art. 4 DA. Danach hat der Dateninhaber dem Nutzer die ohne Weiteres verfügbaren Produkt- und verbundenen Dienstdaten bereitzustellen und zwar auf Verlangen auch an einen vom Nutzer benannten Dritten (Art. 5 DA). Dieser Anspruch erfasst den gesamten Bestand, also auch bereits in Verkehr gebrachte Produkte, soweit der Dateninhaber über die betreffenden Daten ohnehin verfügt. Flankiert wird er durch die vorvertraglichen Informationspflichten aus Art. 3 Abs. 2 und 3 DA, wonach der Anbieter den künftigen Nutzer schon vor Vertragsschluss über Art, Umfang, Format und Abrufmodalitäten der generierten Daten aufzuklären hat.

Mit dem 12. September 2026 tritt die Konzeptionspflicht aus Art. 3 Abs. 1 DA hinzu. Sie verlangt, vernetzte Produkte und verbundene Dienste von vornherein so zu gestalten, dass die Produkt- und Dienstdaten für den Nutzer standardmäßig, einfach, sicher, unentgeltlich und in einem strukturierten, gängigen und maschinenlesbaren Format zugänglich sind, soweit relevant und technisch durchführbar unmittelbar aus dem Gerät heraus. Der Unterschied zum bereits geltenden Zugangsanspruch liegt im Ansatzpunkt: Während Art. 4 DA an vorhandene Daten anknüpft, verlagert Art. 3 Abs. 1 DA die Anforderung auf die Ebene der Produktentwicklung. Anders als der bestandsbezogene Zugangsanspruch gilt diese Pflicht allein für nach dem Stichtag neu in Verkehr gebrachte Produkte und verlangt keine Nachrüstung des Bestands.

Hinzu treten Vorgaben, die den Umgang mit den bereitgestellten Daten flankieren. Der Zugang ist grundsätzlich unentgeltlich zu gewähren, Entgelte gegenüber Dritten unterliegen dem Gebot angemessener, nichtdiskriminierender Bedingungen. Der Schutz von Geschäftsgeheimnissen bleibt gewahrt, rechtfertigt aber nur ausnahmsweise und unter engen Voraussetzungen eine Verweigerung des Zugangs, sodass betroffene Datenbestände vorab zu klassifizieren und mit geeigneten Schutzvorkehrungen zu versehen sind. Ergänzend setzt Art. 13 DA im Verhältnis zwischen Unternehmen Grenzen für missbräuchliche Vertragsklauseln über Datenzugang und Datennutzung.

III. Handlungsempfehlungen

• Produktportfolio nach dem Stichtag trennen: Hersteller sollten die anstehenden Produktgenerationen daraufhin sortieren, welche Modelle nach dem 12. September 2026 erstmals in Verkehr gebracht werden, denn nur diese unterliegen der Konzeptionspflicht des Art. 3 Abs. 1 DA. Wer etwa eine Maschinenbaureihe im August 2026 auf den Markt bringt, kann sie noch ohne Direktzugang ausliefern, während das im Oktober startende Nachfolgemodell die Anforderungen erfüllen muss. Bei Produkten mit langem Entwicklungsvorlauf, beispielsweise Fahrzeugen oder Medizingeräten, ist der Zugangskanal daher bereits jetzt in die laufende Entwicklung einzuplanen, da eine spätere Nachrüstung technisch aufwendiger ist als die Berücksichtigung von Anfang an.
• Konzeptionsspielraum bewusst nutzen: Da ein Produkt nur dann in den Anwendungsbereich fällt, wenn der Hersteller die Übermittlung der generierten Daten überhaupt vorsieht, lohnt sich vor jeder Neuentwicklung die Festlegung, welche Sensor- und Nutzungsdaten künftig abrufbar sein sollen. Ein Hersteller von Haushaltsgeräten, der Betriebsdaten ausschließlich lokal im Gerät verarbeitet und keine Schnittstelle nach außen vorsieht, löst insoweit keine Pflichten aus Art. 3 und 4 DA aus. Sobald er dieselben Daten jedoch über eine App oder ein Cloud-Portal zugänglich macht, entstehen Produktdaten mit den entsprechenden Folgepflichten. Diese Entscheidung sollte betriebswirtschaftlich und rechtlich abgestimmt getroffen und dokumentiert werden.
• Vorvertragliche Information und Geschäftsgeheimnisse verzahnen: Die Informationspflichten aus Art. 3 Abs. 2 und 3 DA lassen sich praktisch nur erfüllen, wenn zuvor feststeht, welche Daten das Produkt erzeugt und welche davon schutzbedürftig sind. Ein Anbieter von Industriemaschinen sollte die generierten Datenbestände vorab klassifizieren, etwa in frei bereitzustellende Betriebsdaten einerseits und geheimhaltungsbedürftige Konstruktions- oder Prozessdaten andererseits, und für Letztere konkrete Schutzvorkehrungen wie abgestufte Zugriffsrechte oder Vertraulichkeitsvereinbarungen festlegen. Nur so lässt sich der Zugang gewähren, ohne wettbewerbsrelevantes Know-how offenzulegen, denn eine pauschale Verweigerung unter Berufung auf Geschäftsgeheimnisse ist nur ausnahmsweise zulässig.
• Verträge entlang der Rollen anpassen: Weil ein Unternehmen zugleich Hersteller, Dateninhaber und Nutzer sein kann, sollten bestehende Liefer-, Miet-, Leasing- und Serviceverträge daraufhin überprüft werden, wer in welcher Konstellation Zugang zu welchen Daten erhält. Ein Leasinggeber, der sich bislang die alleinige Auswertung der Fahrzeug- oder Maschinendaten vorbehalten hat, muss berücksichtigen, dass der Nutzer nun einen eigenen Zugangsanspruch nach Art. 4 DA hat und dessen Weitergabe an Dritte verlangen kann. Klauseln, die den Datenzugang einseitig beschränken, sind zudem an den Grenzen des Art. 13 DA für missbräuchliche Vertragsbestimmungen zu messen und gegebenenfalls anzupassen.

IV. Fazit und Ausblick

Der 12. September 2026 erweitert die Pflichtenlage des Data Act um die Konzeptionspflicht des Art. 3 Abs. 1 DA, die anders als der bereits geltende Zugangsanspruch allein neu in Verkehr gebrachte vernetzte Produkte und verbundene Dienste erfasst. Ob und in welcher Rolle ein Unternehmen betroffen ist, entscheidet sich weiterhin an der Auslegung des vernetzten Produkts, die trotz erster Stellungnahmen im Schrifttum in Randbereichen ungeklärt bleibt. Für die Praxis empfiehlt es sich daher, das eigene Produktportfolio frühzeitig entlang des Stichtags zu ordnen, den Konzeptionsspielraum bewusst auszuüben und bestehende Verträge auf die neuen Zugangsrechte hin anzupassen.

Wie sich die Anforderungen des Art. 3 Abs. 1 DA im Detail auswirken, wird sich erst mit der Verwaltungspraxis der Bundesnetzagentur zeigen, die seit Ende Mai 2026 als zuständige Behörde die Einhaltung überwacht. Unternehmen sollten die weitere Entwicklung, insbesondere etwaige Auslegungshinweise der Behörde sowie die ersten Durchsetzungsverfahren, aufmerksam verfolgen und ihre Umsetzungsmaßnahmen fortlaufend daran ausrichten.

Dieser Beitrag wurde in Zusammenarbeit mit unserer stud. Mitarbeiterin Emily Bernklau erstellt.