Was der Data Act bringt
Die EU-Datenverordnung (Data Act) tritt mit dem Anspruch an, das Einschließen von Daten beim Hersteller zu beenden: An den Daten, die vernetzte Produkte – Fahrzeuge, Maschinen, Geräte – und die dazugehörigen digitalen Dienste erzeugen, steht der Nutzerin und dem Nutzer ein Recht auf Zugang und Weitergabe zu. Seit September 2025 gelten die zentralen Pflichten, und die Vertragspraxis verändert sich seitdem rasch.
Praxishinweis
Der erste Schritt ist ein Datenflussdiagramm: Welche Daten erzeugt Ihr Produkt, wo werden sie gespeichert, wer kann darauf zugreifen? Die Vertragsrevision baut auf diesem Diagramm auf.
Analysieren wir Ihren Data-Act-Anwendungsbereich
Wir durchleuchten Ihr Produktportfolio und bauen das Vertrags- und Prozesspaket auf, das Zugangsanfragen standhält.
Wer fällt in den Anwendungsbereich?
Drei Gruppen stehen im Vordergrund: wer vernetzte Produkte oder dazugehörige Dienste auf dem EU-Markt anbietet – einschließlich der in der Türkei ansässigen Herstellerunternehmen –, Cloud- und SaaS-Anbieter, für die die Regeln zum Anbieterwechsel gelten, sowie industrielle Datennutzer. Weil sich der Anwendungsbereich nach dem Markt richtet, auf dem das Produkt verkauft wird, trägt der Einwand „Wir sind kein EU-Unternehmen“ nicht.
Die Ordnung von Zugang und Weitergabe
Die Nutzerin oder der Nutzer kann auf die Produktdaten zugreifen und verlangen, dass diese Daten an eine selbst gewählte dritte Partei weitergegeben werden – etwa an eine unabhängige Werkstatt oder an einen Analyseanbieter. Die Bedingungen der Weitergabe werden nach den Grundsätzen fair, angemessen und nichtdiskriminierend festgelegt. Geschäftsgeheimnisse bleiben geschützt; der Geheimnisschutz taugt jedoch nicht als Grundlage für eine kategorische Verweigerung des Zugangs – den Ausgleich schaffen technische und vertragliche Maßnahmen.
Auswirkungen auf die Verträge
Kauf-, Service- und Cloud-Verträge sind in drei Richtungen fortzuschreiben: Aufbau von Anlagen zum Datenzugang; Aussortieren missbräuchlicher Datenklauseln, die einem Unternehmen einseitig auferlegt werden – die Regel ist nicht auf kleine und mittlere Unternehmen beschränkt, sie wirkt zugunsten jedes Unternehmens; und Aufnahme von Wechselfristen (Switching) sowie von Entgeltgrenzen in die Cloud-Verträge. Im Produktdesign wiederum ist die Pflicht zur zugangsfreundlichen Gestaltung („accessible by design“) für die kommende Produktgeneration auf die Agenda der Entwicklung gerückt.
Verhältnis zu DSGVO und KVKK
Enthält der Datenbestand personenbezogene Daten, tritt der Data Act nicht an die Stelle des Datenschutzrechts; beides gilt nebeneinander. Die praktische Folge für türkische Herstellerunternehmen: Der Prozess, der Zugangsanfragen bedient, ist von vornherein zusammen mit dem Filter aus dem türkischen Datenschutzgesetz (KVKK, Nr. 6698) und der DSGVO zu entwerfen.
Wie baut man die Verteidigung mit dem Geschäftsgeheimnis auf?
Der meistdiskutierte Ausgleich des Data Act liegt zwischen der Datenweitergabe und dem Schutz von Geschäftsgeheimnissen. Die Verordnung gibt der Inhaberin oder dem Inhaber des Geheimnisses kein kategorisches Verweigerungsrecht; sie gibt aber das Recht, die Weitergabe an Schutzmaßnahmen zu knüpfen: Geheimhaltungsvereinbarungen, technische Zugriffsgrenzen, Zweckbindungen und, in Ausnahmefällen, die Aussetzung der Weitergabe. In der Praxis verlangt das drei Vorarbeiten: eine Bestandsaufnahme darüber, welche Datenfelder Geheimnischarakter tragen, die Dokumentation der Schutzmaßnahmen und ein Standardprotokoll für die Beantwortung von Zugangsanfragen. Die Verteidigung mit dem Geschäftsgeheimnis wird nicht aufgebaut, wenn die Anfrage eintrifft, sondern wenn das Produkt entworfen wird – die Arbeit unseres Teams für das Recht des geistigen Eigentums beginnt in diesem Feld genau mit dieser Bestandsaufnahme.
Eine Wirkungslandkarte nach Branchen
Automobil- und Maschinenbau: Anfragen unabhängiger Werkstätten auf Zugang zu Fahrzeug- und Maschinendaten; Gewährleistungs- und Haftungsklauseln müssen neu austariert werden. Energie und IoT-gestützte Dienste: die Ordnung, nach der Zähler- und Sensordaten mit der Kundschaft und mit Dritten geteilt werden. Logistik: der Status der Flottentelematik in den Kundenverträgen. Software und SaaS: Wechselfristen und Datenexportformate gehören in den Vertragstext – in den Beschaffungsverhandlungen unseres Schwerpunkts Legal Tech sind diese Klauseln inzwischen ein fester Verhandlungsposten. Auch für türkische Marken, die sich über den E-Commerce dem EU-Markt öffnen, bedeutet der Verkauf eines vernetzten Produkts den unmittelbaren Eintritt in den Anwendungsbereich des Data Act.
Der Ansatz von Köksal
Unser Schwerpunkt Daten führt die Analyse des Anwendungsbereichs, die Compliance nach DSGVO und KVKK sowie die Architektur der Datenverträge in einem einzigen Projekt zusammen. Unser Desk Daten & Cybersicherheit spricht dieselbe Sprache wie Ihre technischen Teams und baut die Prozesse auf, die Zugangsanfragen tatsächlich bedienen. Die Arbeitsteilung benennen wir dabei ausdrücklich: Fragen des türkischen Rechts bearbeitet Köksal in Istanbul, Fragen des deutschen Rechts bearbeitet unsere Partnerkanzlei activelaw (Hannover).
Fazit
Der Data Act hat den Datenvertrag zu einem Bestandteil des Produkts gemacht. Frühe Compliance verkleinert das Sanktionsrisiko und eröffnet zugleich einen kommerziellen Vorteil im Markt für unabhängigen Service und für Datenkooperationen. Auf der Agenda 2026 jedes türkischen Herstellerunternehmens, das vernetzte Produkte verkauft, gehört dieses Dossier nach oben.
