EU-Datenverordnung (Data Act):
Rechtliche Beratung für Unternehmen.

Der EU Data Act (Verordnung (EU) 2023/2854) schafft europaweit einheitliche Regeln für einen fairen Zugang zu und die Nutzung von Daten. Ein Schwerpunkt liegt auf Daten, die durch die Nutzung vernetzter Produkte und verbundener Dienste entstehen, beispielsweise durch vernetzte Fahrzeuge, Maschinen oder andere IoT-Produkte. Der Data Act soll Nutzern mehr Kontrolle über diese Daten geben und deren wirtschaftliche Nutzung und Weitergabe erleichtern. Darüber hinaus enthält er unter anderem Regelungen zu Datenbereitstellung, Vertragsbedingungen, Cloud- und Datenverarbeitungsdiensten sowie Interoperabilität.

Der Data Act ist am 11. Januar 2024 in Kraft getreten und gilt grundsätzlich seit dem 12. September 2025 unmittelbar in allen EU-Mitgliedstaaten. Für einzelne Regelungen gelten allerdings spätere Anwendungszeitpunkte. So gilt etwa die Verpflichtung aus Art. 3 Abs. 1 für vernetzte Produkte und verbundene Dienste, die nach dem 12. September 2026 in Verkehr gebracht werden. Für bestimmte Altverträge greifen einzelne Vorgaben erst ab dem 12. September 2027.

Der Data Act ist für Unternehmen unterschiedlichster Branchen relevant. Betroffen sein können insbesondere Hersteller vernetzter Produkte, Anbieter verbundener Dienste, Dateninhaber und Datenempfänger sowie Anbieter von Datenverarbeitungsdiensten. Damit ist die Verordnung beispielsweise für Unternehmen aus Industrie und Maschinenbau, Automotive, Healthcare, Energie, Logistik sowie Technologie und IoT von Bedeutung. Entscheidend ist jeweils, welche Rolle ein Unternehmen innerhalb der Datenwertschöpfungskette einnimmt.

Der Data Act verwendet einen weiten Datenbegriff und erfasst grundsätzlich digitale Darstellungen von Handlungen, Tatsachen oder Informationen sowie entsprechende Zusammenstellungen – einschließlich Ton-, Bild- oder audiovisueller Aufzeichnungen. Besondere praktische Bedeutung haben Produktdaten und verbundene Dienstdaten, die bei der Nutzung vernetzter Produkte und Dienste entstehen. Dabei kann es sich sowohl um personenbezogene als auch um nicht personenbezogene Daten handeln. Sind personenbezogene Daten betroffen, müssen zusätzlich die datenschutzrechtlichen Anforderungen – insbesondere der DSGVO – berücksichtigt werden.

Welche Pflichten bestehen, hängt von der jeweiligen Rolle und dem Geschäftsmodell des Unternehmens ab. Der Data Act kann Unternehmen insbesondere dazu verpflichten, Nutzern Zugang zu bestimmten Daten zu ermöglichen und Daten unter bestimmten Voraussetzungen an Dritte bereitzustellen. Hinzu kommen Anforderungen an die Gestaltung von Produkten und verbundenen Diensten, Vorgaben für faire Vertragsbedingungen beim Datenzugang und der Datennutzung sowie besondere Anforderungen für Anbieter von Datenverarbeitungsdiensten, etwa beim Wechsel zwischen Cloud-Anbietern. Unternehmen sollten daher ihre Produkte, Datenströme, Verträge und internen Prozesse daraufhin überprüfen, welche konkreten Vorgaben des Data Act für sie gelten.