EU Data Act – Was sich für Industrieunternehmen jetzt ändert

Der Stichtag ist da – und jetzt?

Seit dem 12. September 2025 ist der EU Data Act in der gesamten Europäischen Union direkt anwendbares Recht. Die 20-monatige Übergangsfrist ist abgelaufen. Was monatelang als ferne Deadline erschien, ist nun Realität geworden – und stellt viele Unternehmen vor erhebliche Herausforderungen.

Was der EU Data Act wirklich verändert

Die Kernbotschaft ist eindeutig: Die Datenhoheit hat sich fundamental verschoben. Besitzer vernetzter Produkte – von Windrädern über industrielle Maschinen bis hin zu Smart-Home-Geräten – haben nun das rechtlich verbriefte Recht, auf die von ihren Geräten erzeugten Daten zuzugreifen und diese an Dritte weiterzugeben.

1. Datenzugang ist keine Option mehr – sondern Pflicht

Hersteller vernetzter Produkte stehen vor einer grundlegenden Neuausrichtung ihrer Geschäftsmodelle. Der exklusive Zugang zu Gerätedaten, der bisher oft als Wettbewerbsvorteil genutzt wurde, ist nicht mehr haltbar. Unternehmen müssen nun:

• Technische Schnittstellen bereitstellen, die Nutzern den Datenzugriff in Echtzeit ermöglichen
• Maschinell lesbare Formate gewährleisten, damit Daten direkt weiterverarbeitet werden können
• Kostenfreien Zugang für Nutzer sicherstellen

Ein praktisches Beispiel: Der Betreiber eines Windrads kann jetzt Wartungsdaten direkt an einen unabhängigen Dienstleister übermitteln, ohne den Hersteller als Intermediär zu benötigen. Was früher ein Verhandlungsthema war, ist heute ein Rechtsanspruch.

2. Cloud-Wechsel wird einfacher

Für Cloud-Anbieter bringt der Data Act tiefgreifende Veränderungen mit sich. Das "Vendor Lock-in" – also die technische und wirtschaftliche Abhängigkeit von einem bestimmten Anbieter – wird aktiv bekämpft:

• Kunden haben das Recht, innerhalb von maximal 30 Tagen zu einem anderen Anbieter zu wechseln
• Der Wechselprozess muss technisch einfach und kostengünstig gestaltet sein

3. Schutz von Geschäftsgeheimnissen bleibt bestehen

Der Data Act ist kein Freibrief für unbegrenzten Datenzugang. Unternehmen können weiterhin Geschäftsgeheimnisse schützen und müssen diese nicht offenlegen. Allerdings verschiebt sich die Beweislast: Wer den Zugang zu Daten verweigern möchte, muss substantiiert darlegen, warum dies zum Schutz von Geschäftsgeheimnissen notwendig ist.

Erste Praxiserfahrungen: Wo knirscht es noch?

Die ersten Wochen seit Inkrafttreten zeigen deutlich: Der Data Act ist nicht nur eine rechtliche, sondern vor allem eine operative und technische Herausforderung.

Technische Umsetzungshürden

Die größten Schwierigkeiten zeigen sich bei:

Schnittstellen-Entwicklung: Hersteller müssen standardisierte APIs bereitstellen, um Nutzern direkten Datenzugriff zu ermöglichen. Viele Unternehmen unterschätzten den Aufwand für die technische Implementierung. Legacy-Systeme, die nie für externen Datenzugriff konzipiert wurden, müssen nachgerüstet werden – oft ohne Betriebsunterbrechungen.

Datenqualität und -format: Die Bereitstellung von Daten "in maschinell lesbarer Form" erfordert oft grundlegende Anpassungen bestehender Systeme.

Sicherheitsarchitekturen: Der Balance-Akt zwischen Datenzugang und Schutz von Geschäftsgeheimnissen fordert neue Sicherheitskonzepte.

Vertragsrechtliche Anpassungen

Bestehende Lizenz-, Service- und Partnerschaftsverträge müssen auf Compliance mit dem Data Act überprüft und angepasst werden. Dies betrifft insbesondere:

• Unfaire Vertragsklauseln, die eine Partei einseitig benachteiligen – diese sind nun unwirksam
• Preismodelle, die den kostenfreien Datenzugang für Nutzer berücksichtigen müssen
• Haftungsregelungen, die die neuen Datenzugangsrechte widerspiegeln

Die Herausforderung: Viele Unternehmen sind unsicher, welche ihrer bestehenden Klauseln als "unfair" eingestuft werden könnten. Ohne klare behördliche Leitlinien müssen sie eigene rechtliche Bewertungen vornehmen.

Aufsicht und Unterstützung: Die Lücke wird gefüllt

Ein zentrales Problem: Während die EU-Mitgliedstaaten ihre nationalen Sanktionsrahmen melden mussten, fehlte am Stichtag in Deutschland noch die formale Benennung der Aufsichtsbehörde.

Die deutsche Lösung

Ein Entwurf für ein Data Act-Durchführungsgesetz (DA-DG) sieht die Bundesnetzagentur (BNetzA) als zentrale Aufsichtsbehörde vor. Das wäre eine klare Lösung, die Unternehmen Rechtssicherheit geben würde – anders als beim Datenschutz würde es für den Data Act nur eine nationale Anlaufstelle geben. Die formale Verabschiedung des Gesetzes stand zum Stichtag jedoch noch aus.

Praxishilfe aus der Wirtschaft

Der Digitalverband Bitkom hat am 12. September 2025 einen Praxisleitfaden veröffentlicht, der Antworten auf die wichtigsten Fragen zum Data Act gibt. Auch Materna hat mit seiner Expertise zur Entwicklung dieses Leitfadens beigetragen. Diese Initiative zeigt: Wo die öffentliche Hand noch Unterstützung schuldig bleibt, springen Verbände und erfahrene Beratungsunternehmen ein, um Unternehmen bei der Umsetzung zu helfen.

Sanktionen: Die Konsequenzen bei Nicht-Compliance

Die Durchsetzung des Data Act erfolgt auf nationaler Ebene. Anders als bei der DSGVO, die EU-weit einheitliche Bußgeldrahmen vorsieht, entwickeln beim Data Act die einzelnen Mitgliedstaaten eigene Sanktionsregeln. Diese müssen jedoch den EU-Vorgaben entsprechen: Sie müssen effektiv, verhältnismäßig und abschreckend sein.

Besondere Situation bei personenbezogenen Daten

Sobald personenbezogene Daten im Spiel sind, gelten parallel die strengen DSGVO-Strafen – bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes.