Data Act

Der Data Act ist Teil der EU-Datenstrategie und ist am 12. September 2025 in Kraft getreten. Die Verordnung begründet weitreichende Rechte von Nutzern gegenüber Herstellern bzw. Unternehmen als Dateninhaber sowie gegenüber Dritten (Datenempfänger). Die Anforderungen sind im Zusammenspiel mit DSGVO und Geschäftsgeheimnisschutz zu betrachten und können sich unmittelbar auf Produktdesign und Vertragswerke auswirken.

Kurz gefasst: Der Data Act soll den Zugang zu (Roh)daten eines vernetzten Produkts oder verbundenen Dienstes für Nutzer ermöglichen und die Weitergabe an Dritte vertraglich ausgestalten. 

„Mit dieser Verordnung wird sichergestellt, dass die Nutzer eines vernetzten Produkts oder verbundenen Dienstes in der Union zeitnah auf die Daten zugreifen können, die bei der Nutzung dieses vernetzten Produkts oder verbundenen Dienstes generiert werden, und dass diese Nutzer die Daten verwenden und auch an Dritte ihrer Wahl weitergeben können.“ (Erwägungsgrund 5 Data Act)

• Nutzung nicht-personenbezogener Daten: Die Nutzung von im Gerät anfallenden nicht-personenbezogenen Daten durch den Dateninhaber erfordert einen Vertrag mit dem Nutzer.
• Weitergabe an Dritte: Die Bereitstellung/Weitergabe dieser Daten an Datenempfänger ist vertraglich zu regeln – inklusive Zweck, Gebühren, Schutzmaßnahmen und Geheimhaltung.
• Informationspflichten (Art. 3 Abs. 2, 3 Data Act): Vor Vertragsschluss (Kauf, Miete, Leasing vernetzter Produkte oder bei verbundenen Diensten) sind dem Nutzer zahlreiche Informationen klar und verständlich bereitzustellen. Diese Pflichten ähneln strukturell Art. 13, 14 DSGVO, betreffen aber abweichende, komplexere Inhalte.

Der Data Act sieht außerdem an verschiedenen Stellen noch weitere Ausnahmen vor, die den Dateninhaber schützen sollen. So kann der Dateninhaber unter anderem dann die Weitergabe von Daten, die als Geschäftsgeheimnisse eingestuft wurden, verweigern oder gegebenenfalls aussetzen, wenn keine Einigung über zu treffende Schutzvorkehrungen getroffen wird, der Nutzer diese Maßnahmen nicht umsetzt oder die Vertraulichkeit der Geschäftsgeheimnisse verletzt wird (Siehe Art. 4 Abs. 7 Data Act und Art. 5 Abs. 10 Data Act). 

Auch kann der Dateninhaber die Ansprüche des Nutzers auf Zugang zu den Daten oder auf Weitergabe derselben an einen Dritten ablehnen, wenn er Inhaber eines Geschäftsgeheimnisses ist und nachweisen kann, trotz der vom Nutzer getroffenen technischen und organisatorischen Maßnahmen mit hoher Wahrscheinlichkeit einen schweren wirtschaftlichen Schaden durch die Offenlegung von Geschäftsgeheimnissen erleiden wird (Siehe Art. 4 Abs. 8 Data Act und Art. 5 Abs. 11 Data Act).

Bei Verstößen gegen die Vorgaben aus dem Data Act drohen Sanktionen, die „wirksam, verhältnismäßig und abschreckend sein“ müssen (Art. 40 Abs. 1 S. 2 Data Act).

Hier nimmt der Data Act auf die Bußgelder aus der DSGVO (Art. 83 Abs. 5 DSGVO) Bezug, also könnten Bußgelder in Höhe von bis zu 4 Prozent des weltweit erzielten Jahresumsatzes der adressierten Stelle verhängt werden.

Die Aufsichtsbehörde(n) und somit die Zuständigkeit für Maßnahmen sind hierzulande noch nicht gesetzlich verankert. Nach derzeitigem Kenntnisstand ist die Bundesnetzagentur als bundesweite Aufsichtsbehörde mutmaßlich vorgesehen. Insofern ist in Deutschland derzeit noch vieles unklar.

Wir unterstützen Sie bei der 

• Prüfung, ob Sie unter die Anwendung des Data Acts fallen
• Erstellung der Datenübersicht
• Klärung des Personenbezugs der betroffenen Daten (Abgrenzung Datenschutz zum Geschäftsgeheimnis)
• Dokumentation der Schnittstellen
• Einführung der erforderlichen technischen und organisatorischen sowie rechtlichen Maßnahmen
• Umsetzung der Transparenzpflichten