EU Data Act

Was ist der EU Data Act?

Der EU Data Act ist eine unmittelbar geltende EU-Verordnung, die den Zugang zu Daten aus vernetzten Produkten und verbundenen Diensten regelt. Seit dem 12. September 2025 verpflichtet sie betroffene Unternehmen unter anderem zur Datenbereitstellung, zu fairen Vertragsbedingungen und zu erleichterten Wechseln zwischen Cloud-Diensten.

Der EU Data Act, auch European Data Act genannt, schafft Regeln dafür, wer Daten aus vernetzten Geräten nutzen und an Dritte weitergeben darf. Die Verordnung trägt die amtliche Bezeichnung Verordnung (EU) 2023/2854. Sie trat am 11. Januar 2024 in Kraft und gilt grundsätzlich seit dem 12. September 2025 unmittelbar in allen EU-Mitgliedstaaten.

Was der EU Data Act regelt

Der EU Data Act richtet sich vor allem an Hersteller vernetzter Produkte, Anbieter verbundener Dienste, Dateninhaber, Nutzer, Datenempfänger und Anbieter von Datenverarbeitungsdiensten. Ein vernetztes Produkt kann beispielsweise eine Industriemaschine, ein Fahrzeug, ein Smart-Home-Gerät oder ein medizinisches Gerät sein, das bei seiner Verwendung Daten erzeugt oder erfasst.

Der EU Data Act verfolgt dabei mehrere Regelungsziele:

Nutzer sollen auf Daten zugreifen können, die bei der Verwendung eines vernetzten Produkts entstehen.
Nutzer dürfen verfügbare Produktdaten unter bestimmten Voraussetzungen an ausgewählte Dritte weitergeben lassen.
Vertragsklauseln über den Datenzugang müssen im Geschäftsverkehr angemessen gestaltet sein.
Öffentliche Stellen können Daten bei einem außergewöhnlichen Bedarf anfordern.
Kunden sollen leichter zwischen Cloud-Diensten und anderen Datenverarbeitungsdiensten wechseln können.

Der EU Data Act verpflichtet Unternehmen nicht dazu, sämtliche intern vorhandenen Informationen offenzulegen. Im Mittelpunkt stehen Daten, die durch die Nutzung eines vernetzten Produkts oder eines verbundenen Dienstes erzeugt und dem Dateninhaber ohne unverhältnismäßigen Aufwand zugänglich sind. Eigenständig entwickelte Analysen, abgeleitete Erkenntnisse und besonders geschützte Geschäftsgeheimnisse unterliegen zusätzlichen Grenzen.

Datenzugang bei vernetzten Produkten

Der verbreitete Denkfehler besteht darin, den EU Data Act als allgemeines Eigentumsrecht an Daten zu verstehen. Die Verordnung ordnet Daten nicht pauschal einer Person oder einem Unternehmen zu. Sie schafft konkrete Zugangs-, Nutzungs- und Weitergaberechte für bestimmte Datenkategorien und Situationen. Prüfe deshalb zuerst, wodurch die Daten erzeugt wurden, wer sie technisch abrufen kann und ob personenbezogene Daten enthalten sind.

Vernetzte Produkte und verbundene Dienste sollen relevante Daten grundsätzlich leicht, sicher, kostenlos und in einem strukturierten, gängigen sowie maschinenlesbaren Format zugänglich machen. Soweit technisch machbar, soll der Nutzer direkt auf die Daten zugreifen können. Die entsprechende Produktgestaltungspflicht gilt für vernetzte Produkte und verbundene Dienste, die nach dem 12. September 2026 in Verkehr gebracht werden.

Ein Betreiber nutzt eine vernetzte Produktionsanlage, deren Sensoren Temperatur, Betriebsstunden und Energieverbrauch erfassen. Der EU Data Act kann dem Betreiber Zugang zu den verfügbaren Rohdaten und den für ihre Interpretation erforderlichen Metadaten geben. Eine vom Hersteller entwickelte Prognose über künftige Maschinenausfälle muss dagegen nicht automatisch als zugänglicher Rohdatensatz gelten.

Pflichten nach Unternehmensrolle

Rolle	Typische Anforderung	Prüffrage
Hersteller	Datenzugang bereits bei der Produktgestaltung berücksichtigen	Können Nutzer die erzeugten Daten direkt oder auf Anfrage erhalten?
Dateninhaber	Verfügbare Daten und erforderliche Metadaten bereitstellen	Ist der Export vollständig, sicher und maschinenlesbar?
Nutzer	Daten selbst verwenden oder an berechtigte Dritte übertragen lassen	Bestehen Rechte Dritter oder datenschutzrechtliche Beschränkungen?
Datenempfänger	Daten nur für vereinbarte Zwecke nutzen	Sind Zweck, Speicherdauer und Weitergabe vertraglich geklärt?
Cloud-Anbieter	Anbieterwechsel und Datenübertragung erleichtern	Sind Exportformate, Fristen und Wechselkosten transparent?

Die konkrete Pflicht hängt von der Rolle des Unternehmens ab. Ein Maschinenhersteller kann Dateninhaber sein, während der Käufer der Maschine als Nutzer auftritt. Beauftragt der Nutzer einen Wartungsdienst mit der Auswertung, wird dieser zum Datenempfänger. Halte diese Rollen in Verträgen und Datenverzeichnissen ausdrücklich fest, weil ein Unternehmen bei verschiedenen Produkten mehrere Rollen gleichzeitig einnehmen kann.

EU Data Act und Cloud-Wechsel

Der EU Data Act verpflichtet Anbieter von Datenverarbeitungsdiensten dazu, technische und vertragliche Hindernisse beim Anbieterwechsel abzubauen. Kunden sollen Daten und digitale Vermögenswerte exportieren sowie Funktionen bei einem anderen Anbieter oder in der eigenen IT weiterverwenden können. Die Regelungen erfassen neben klassischem Cloud-Speicher auch weitere Dienste wie Infrastruktur-, Plattform- und Softwareangebote.

Wechselentgelte dürfen in der Übergangsphase grundsätzlich nur die unmittelbar verursachten Wechselkosten abdecken. Ab dem 12. Januar 2027 müssen solche Wechselentgelte entfallen. Unternehmen sollten deshalb nicht nur den Download einzelner Dateien testen, sondern auch Datenformate, Schnittstellen, Abhängigkeiten, Identitätsverwaltung und die Wiederherstellung wesentlicher Funktionen beim Zielanbieter prüfen.

Unterschied zur DSGVO

Der Unterschied zwischen EU Data Act und Datenschutz-Grundverordnung liegt im Regelungsgegenstand. Die DSGVO schützt personenbezogene Daten natürlicher Personen. Der EU Data Act regelt den Zugang zu und die Nutzung von Daten aus Produkten und Diensten, unabhängig davon, ob diese Daten personenbezogen oder nicht personenbezogen sind.

Enthält ein Datensatz personenbezogene Informationen, hat die DSGVO Vorrang bei der datenschutzrechtlichen Bewertung. Der EU Data Act schafft allein keine Rechtsgrundlage für die Verarbeitung personenbezogener Daten. Ein technisch möglicher Datenzugang erlaubt daher noch keine Verwendung für Werbung, Profilbildung oder Kundenansprache. Prüfe zusätzlich Rechtsgrundlage, Zweckbindung, Datenminimierung und Betroffenenrechte, ähnlich wie bei der datenschutzrechtlichen Bewertung von Analysedaten.

Geschäftsgeheimnisse und personenbezogene Daten sind kein pauschaler Grund, jede Anfrage abzulehnen. Unternehmen müssen prüfen, ob Schutzmaßnahmen, Vertraulichkeitsvereinbarungen oder eine Begrenzung des Datensatzes den Zugang ermöglichen. Bei Konflikten zwischen Datenzugang, Datenschutz und Geheimnisschutz sollte die rechtliche Bewertung dokumentiert und fachkundig geprüft werden.

Relevanz für SEO, SEA und GEO

Der EU Data Act beeinflusst SEO, SEA und GEO nicht als Ranking-Regel, sondern über die zugrunde liegenden Datenprozesse. Produktnutzungsdaten können beispielsweise zeigen, welche Funktionen Kunden tatsächlich verwenden, welche Fragen nach dem Kauf entstehen und welche Begriffe Nutzer für Geräte oder Anwendungen wählen. Solche Erkenntnisse können Produktseiten, Hilfebereiche und die datenbasierte Content-Erstellung verbessern, sofern die vorgesehene Nutzung rechtlich zulässig ist.

Für SEA kann der EU Data Act relevant werden, wenn Daten aus vernetzten Produkten für Zielgruppen, Conversion-Analysen oder Kundenabgleiche verwendet werden sollen. Das Zugangsrecht ersetzt weder eine Einwilligung noch eine andere erforderliche Rechtsgrundlage. Marketing-Verantwortliche sollten deshalb Datenherkunft und zulässigen Verwendungszweck dokumentieren, bevor Daten in Werbeplattformen oder Customer-Data-Systeme gelangen.

GEO, also Generative Engine Optimization, profitiert von klar beschriebenen Produkten, Funktionen und Datenstrukturen. Der EU Data Act verpflichtet Unternehmen jedoch nicht dazu, interne Produktdaten öffentlich für ChatGPT, Perplexity, Gemini oder andere KI-Systeme bereitzustellen. Für KI-Sichtbarkeit zählen öffentlich zugängliche, verständliche und überprüfbare Inhalte. Eine gemeinsame SEO- und GEO-Strategie kann festlegen, welche freigegebenen Fakten als Website-Inhalt veröffentlicht werden und welche Daten intern bleiben.

Umsetzung des EU Data Act

Eine belastbare Umsetzung beginnt mit einem Verzeichnis aller betroffenen Produkte, Dienste, Datensätze und Verträge. Die reine Ergänzung einer Datenschutzerklärung reicht nicht aus, weil der EU Data Act auch Produktdesign, Exportfunktionen, Schnittstellen, Vertragsklauseln und Cloud-Prozesse betrifft.

Erfasse alle vernetzten Produkte und verbundenen Dienste im Unternehmen.
Ordne jedem Datensatz einen Dateninhaber, Nutzer und möglichen Empfänger zu.
Trenne Rohdaten, erforderliche Metadaten, abgeleitete Erkenntnisse und Geschäftsgeheimnisse.
Prüfe Exportformate, Schnittstellen, Authentifizierung und Bearbeitungsprozesse.
Überarbeite Verträge, Produktinformationen und Zuständigkeiten für Datenanfragen.
Stimme Marketing-Nutzung und personenbezogene Daten mit Datenschutzverantwortlichen ab.

Kleinstunternehmen und kleine Unternehmen können unter bestimmten Voraussetzungen von einzelnen Pflichten ausgenommen sein. Die Ausnahme gilt nicht automatisch für jeden Betrieb dieser Größe und kann entfallen, wenn Produkte im Auftrag oder nach Vorgaben eines größeren Partnerunternehmens hergestellt werden. Prüfe die konkrete Unternehmensverflechtung und Lieferkette, bevor du dich auf eine Ausnahme berufst.

Häufige Fragen zum EU Data Act

Für welche Unternehmen gilt der EU Data Act?

Der EU Data Act kann Hersteller vernetzter Produkte, Anbieter verbundener Dienste, Dateninhaber, Datenempfänger und Cloud-Anbieter betreffen. Maßgeblich sind die angebotenen Produkte, Dienste und Datenprozesse, nicht allein Branche oder Unternehmenssitz.

Welche Geräte fallen unter den EU Data Act?

Erfasst werden vernetzte Produkte, die Daten über ihre Nutzung oder Umgebung erzeugen und diese über eine elektronische Verbindung übermitteln können. Dazu können Fahrzeuge, Maschinen, Smart-Home-Geräte, medizinische Geräte und andere IoT-Produkte gehören.

Müssen Daten nach dem EU Data Act kostenlos bereitgestellt werden?

Nutzer sollen ihre Produktdaten grundsätzlich kostenlos erhalten. Bei einer Bereitstellung an Unternehmen können unter bestimmten Voraussetzungen angemessene Vergütungen vereinbart werden, wobei Kosten und mögliche Margen gesetzlichen Grenzen unterliegen.

Gilt der EU Data Act auch für personenbezogene Daten?

Ja, ein Datensatz kann gleichzeitig unter den EU Data Act und die DSGVO fallen. Für jede Verarbeitung personenbezogener Daten bleibt eine datenschutzrechtliche Rechtsgrundlage erforderlich.

Darf ein Hersteller den Datenzugang wegen Geschäftsgeheimnissen verweigern?

Geschäftsgeheimnisse müssen geschützt werden, schließen einen Datenzugang aber nicht automatisch aus. Der Dateninhaber kann geeignete technische und vertragliche Schutzmaßnahmen verlangen und den Zugang nur unter engen Voraussetzungen weiter begrenzen.

Welche Folgen können Verstöße gegen den EU Data Act haben?

Die Mitgliedstaaten legen wirksame, verhältnismäßige und abschreckende Sanktionen fest. Bei personenbezogenen Daten können zusätzlich die Zuständigkeiten und Sanktionsregeln des Datenschutzrechts greifen.

Wenn du klären möchtest, wie neue Datenprozesse deine Website, dein Tracking und deine SEO- oder GEO-Strategie betreffen, kann ein unverbindliches Erstgespräch die fachlichen Handlungsfelder eingrenzen. Eine rechtliche Prüfung ersetzt das Gespräch nicht.

Kostenlosen Potenzialcheck anfragen

Sie haben noch Fragen?

Kontaktieren Sie uns