Die Verordnung macht den Zugang der Nutzerseite zu den Daten vernetzter (IoT-)Produkte und verbundener Dienste sowie deren Weitergabe an einen selbst gewählten Dritten verbindlich, erklärt missbräuchliche Datenklauseln gegenüber kleinen und mittleren Unternehmen für unwirksam und führt Regeln für den Wechsel des Cloud-Anbieters ein. Auch türkische Hersteller, die vernetzte Produkte auf den EU-Markt bringen, sind erfasst.
Hersteller vernetzter Produkte
Wer IoT-fähige Produkte auf den EU-Markt bringt, muss den Zugang zu den Daten bereits durch die Gestaltung des Produkts sicherstellen.
Anbieter von Cloud- und SaaS-Diensten
Sie unterliegen den Regeln über den Anbieterwechsel, die Datenportabilität und den Wegfall der Wechselentgelte.
Industrielle Anwenderunternehmen
Rechte auf Zugang zu Maschinen- und Flottendaten verschaffen Verhandlungsmacht bei Wartungs- und Effizienzdiensten.
- 01Zugängliche Gestaltung sicherstellen; die Produktdaten sind der Nutzerseite unmittelbar oder auf Anfrage bereitzustellen.
- 02Weitergabe an Dritte auf Verlangen der Nutzerseite, zu fairen, angemessenen und nichtdiskriminierenden Bedingungen.
- 03Vertragskontrolle einseitig auferlegte missbräuchliche Datenklauseln vermeiden.
- 04Erleichterter Cloud-Wechsel gewährleisten; die Wechselfristen und die Grenzen für Entgelte einhalten.
Überblick
Die EU-Datenverordnung — in der Praxis durchweg unter der Bezeichnung Data Act geführt — ordnet das Vertragsrecht der Datenwirtschaft, nicht personenbezogene Daten eingeschlossen. Rechtsgrundlage ist die Verordnung (EU) 2023/2854 (ABl. L vom 22.12.2023); anwendbar ist sie seit dem 12.09.2025. Ihr Ziel ist es, zu verhindern, dass die von vernetzten Produkten erzeugten Daten allein beim Hersteller verschlossen bleiben, den Nutzerinnen und Nutzern Rechte auf Zugang und Weitergabe zu geben und die Wechselhürden im Cloud-Markt abzubauen.
Wer ist betroffen
Hersteller, die vernetzte Produkte — Fahrzeuge, Maschinen, Geräte — oder verbundene digitale Dienste auf dem EU-Markt anbieten, fallen in den Anwendungsbereich, auch wenn sie in der Türkei ansässig sind. Anbieter von Cloud- und SaaS-Diensten unterliegen den Regeln über den Anbieterwechsel; große Dateninhaber unterliegen den ausnahmsweisen Datenanfragen öffentlicher Stellen.
Auswirkungen auf Verträge
Die Bedingungen für Zugang und Weitergabe von Daten sind an faire, angemessene und nichtdiskriminierende Grundsätze gebunden — an eine dem FRAND-Standard nachgebildete Logik. Missbräuchliche Datenklauseln, die kleinen und mittleren Unternehmen einseitig auferlegt werden, binden nicht. Die bestehenden Produkt- und Dienstverträge sind deshalb auf ihre Datenanlagen und ihre Vertraulichkeitsklauseln hin zu überprüfen.
Worauf es auf der türkischen Seite ankommt
Die Datenverordnung gilt neben dem Schutz der Geschäftsgeheimnisse und neben dem türkischen Datenschutzgesetz (KVKK, Nr. 6698) und der DSGVO: Die Pflicht zur Weitergabe hebt den Geheimnisschutz nicht auf, umgekehrt ist eine pauschale Verweigerung unter Berufung auf das Geschäftsgeheimnis aber ebenso wenig möglich. Das Gleichgewicht stellt der Vertrag her.
Fahrplan
Eine Analyse des Anwendungsbereichs über das gesamte Produktportfolio; ein Schaubild der Datenflüsse; ein Verfahren, das Zugangsanfragen tatsächlich beantworten kann; die Überarbeitung des Vertragssatzes aus Kauf, Service und Cloud; und die Fortschreibung der Strategie zum Schutz der Geschäftsgeheimnisse — das ist die Umsetzungsreihenfolge, die wir empfehlen.
Sanktionen
Die Festlegung der Sanktionen ist den Mitgliedstaaten überlassen; sie müssen wirksam, verhältnismäßig und abschreckend sein. Bei Verstößen, die personenbezogene Daten betreffen, kann der Sanktionsrahmen der DSGVO hinzutreten; im Verhältnis zwischen Unternehmen ist die eigentliche Sanktion dagegen die Unwirksamkeit missbräuchlicher Klauseln und der daraus folgende Vertragsstreit.
Verwandte Inhalte
Für die Schnittstelle zu den personenbezogenen Daten sehen Sie die Einträge zur DSGVO und zum türkischen Datenschutzgesetz (KVKK). Die Folgen für Produkt und Vertrag stellen wir in unserer Analyse zum Data Act dar, die Datenarchitektur in unserem Schwerpunkt Daten.
Inkrafttreten & Änderungshistorie
- 12.09.2026
Zugang durch Gestaltung
Vernetzte Produkte und verbundene Dienste, die nach diesem Tag in Verkehr gebracht werden, müssen so gestaltet sein, dass die von ihnen erzeugten Daten der Nutzerseite unmittelbar zugänglich sind (Artikel 3 Absatz 1).
- 12.09.2025
Anwendung begann
Die Hauptpflichten wurden anwendbar; die Gestaltungspflicht für neue vernetzte Produkte greift ab dem 12.09.2026.
- 11.01.2024
Inkrafttreten
Die Verordnung trat in Kraft; die Übergangszeit für die Umsetzung begann.
- 27.11.2023
Annahme
Als zweite große Säule der europäischen Datenstrategie angenommen.
Amtliche Quellen
Verordnungstext · EUR-Lex Data ActDatenstrategie · Europäische Kommission ec.europa.eu
