Data Act 2026: Access by Design für vernetzte Produkte

Kurzfassung: Der EU Data Act gilt grundsätzlich bereits seit dem 12. September 2025. Eine für Hersteller besonders wichtige Stufe folgt jetzt: Die Pflicht aus Artikel 3 Absatz 1 gilt für vernetzte Produkte und zugehörige Dienste, die nach dem 12. September 2026 auf den Markt gebracht werden. Für Hersteller von IoT-Geräten, Maschinen, Fahrzeugen, Wearables und anderen vernetzten Produkten ist deshalb jetzt der richtige Zeitpunkt, Datenzugang, Datenformate und Verantwortlichkeiten praktisch zu prüfen.

Hinweis: Dieser Beitrag dient der organisatorischen Orientierung und ersetzt keine Rechtsberatung. Ob und in welchem Umfang der Data Act auf ein konkretes Produkt oder Unternehmen anwendbar ist, sollte im Einzelfall geprüft werden.

Was ändert sich im September 2026 wirklich?

Der Data Act ist nicht erst 2026 in Kraft. Die Verordnung (EU) 2023/2854 ist seit dem 12. September 2025 anwendbar. Für die konkrete Produktgestaltung enthält Artikel 50 jedoch eine Übergangsregel: Die Verpflichtung aus Artikel 3 Absatz 1 gilt für vernetzte Produkte und die damit verbundenen Dienste, die nach dem 12. September 2026 auf den Markt gebracht werden.

Genau dieser Punkt ist für Produktteams relevant. Wer neue vernetzte Produkte entwickelt, produziert oder nach diesem Stichtag auf den EU-Markt bringt, sollte prüfen, ob die erzeugten Produkt- und Servicedaten im vorgesehenen Umfang für Nutzer zugänglich sind.

Was bedeutet „Access by Design“ praktisch?

Artikel 3 Absatz 1 verlangt, dass vernetzte Produkte und zugehörige Dienste so gestaltet werden, dass Produktdaten und Daten aus verbundenen Diensten – einschließlich der notwendigen Metadaten – standardmäßig zugänglich sind. Die Verordnung nennt dabei mehrere Qualitätsmerkmale: Der Zugang soll einfach, sicher und kostenfrei möglich sein; die Daten sollen umfassend, strukturiert, in einem gängigen und maschinenlesbaren Format bereitgestellt werden. Wo relevant und technisch machbar, soll der Nutzer direkt auf die Daten zugreifen können.

Für Unternehmen ist das kein reines Rechtsthema. Es berührt Produktarchitektur, Datenmodell, Exportfunktionen, APIs, Benutzeroberflächen, Rollen- und Rechtekonzepte sowie die Dokumentation gegenüber Kunden.

Welche Produkte können betroffen sein?

Der Data Act verwendet den Begriff „vernetztes Produkt“. Vereinfacht geht es um Produkte, die Daten über ihre Nutzung oder Umgebung erzeugen, erheben oder erhalten und diese Daten über eine elektronische Kommunikationsverbindung, eine physische Verbindung oder einen geräteinternen Zugriff kommunizieren können.

Typische Praxisfelder sind unter anderem:

  • IoT-Geräte und Smart-Home-Produkte,
  • vernetzte Maschinen und industrielle Anlagen,
  • Fahrzeuge und Mobilitätslösungen,
  • Wearables und vernetzte Elektronik,
  • Mess-, Steuerungs- und Sensorsysteme,
  • verbundene Dienste, die für die Funktionen eines solchen Produkts relevant sind.

Ob ein konkretes Produkt tatsächlich in den Anwendungsbereich fällt, hängt von seiner Funktion, Datenverarbeitung und Marktrolle ab. Deshalb sollte die Prüfung immer mit einem sauberen Scope beginnen.

7 Punkte, die Hersteller jetzt prüfen sollten

1. Produkt-Scope festlegen

Dokumentieren Sie, welche Produkte und zugehörigen Dienste als vernetzte Produkte beziehungsweise verbundene Dienste in Betracht kommen. Produktverantwortliche, Technik und Compliance sollten dieselbe Abgrenzung verwenden.

2. Dateninventar erstellen

Erfassen Sie, welche Produktdaten tatsächlich erzeugt werden: Messwerte, Zustandsdaten, Nutzungsdaten, Diagnosedaten, Ereignisse, Telemetrie und die für Interpretation notwendigen Metadaten. Entscheidend ist nicht nur, welche Daten technisch vorhanden sind, sondern wo sie gespeichert werden und wer darauf zugreifen kann.

3. Nutzerzugang definieren

Prüfen Sie, wie der Nutzer an die relevanten Daten gelangt. Je nach Produkt kann das beispielsweise ein direkter Export, ein Kundenportal, eine Schnittstelle oder ein anderer sicherer Zugriff sein. Der technische Weg sollte dokumentiert und reproduzierbar sein.

4. Format und Maschinenlesbarkeit prüfen

Ein PDF-Bericht allein ist nicht automatisch die beste Antwort auf eine Anforderung nach strukturierten und maschinenlesbaren Daten. Prüfen Sie deshalb, ob die verwendeten Formate für den vorgesehenen Zweck technisch sinnvoll, üblich und weiterverarbeitbar sind.

5. Informationspflichten vor Vertragsschluss abbilden

Artikel 3 enthält nicht nur technische Vorgaben. Vor Kauf, Miete oder Leasing eines vernetzten Produkts müssen bestimmte Informationen über die erzeugbaren Daten und den Datenzugang klar bereitgestellt werden. Produktbeschreibung, technische Dokumentation und Vertriebsunterlagen sollten deshalb aufeinander abgestimmt sein.

6. Verantwortlichkeiten festlegen

Definieren Sie intern, wer für Dateninventar, technische Bereitstellung, Kundenanfragen, Änderungen am Produkt und die Dokumentation verantwortlich ist. Ohne feste Zuständigkeiten entstehen gerade bei Produktupdates schnell Lücken.

7. Entscheidungen dokumentieren

Halten Sie fest, welche Daten berücksichtigt wurden, wie der Zugriff umgesetzt ist, welche technischen Einschränkungen bestehen und wer die Entscheidung freigegeben hat. Eine nachvollziehbare Dokumentation reduziert späteren Suchaufwand und erleichtert Updates.

Wichtig: Ausnahmen für Mikro- und Kleinunternehmen

Für Mikro- und Kleinunternehmen sieht der Data Act unter bestimmten Voraussetzungen Erleichterungen beziehungsweise Ausnahmen im Kapitel über die Datenweitergabe zwischen Unternehmen und Nutzern vor. Diese Ausnahme ist jedoch nicht pauschal: Verbindungen zu größeren Partner- oder verbundenen Unternehmen sowie bestimmte Unterauftragskonstellationen können relevant sein. Kleine Unternehmen sollten deshalb nicht allein anhand der Mitarbeiterzahl davon ausgehen, automatisch außerhalb des Anwendungsbereichs zu liegen.

Für die Praxis bedeutet das: Unternehmensgröße, Beteiligungsstruktur, Rolle in der Lieferkette und konkrete Produktverantwortung gehören in den Scope-Check.

Data Act und Cyber Resilience Act sind nicht dasselbe

Die zeitliche Nähe der Stichtage kann leicht zu Verwechslungen führen. Der Data Act regelt unter anderem Zugang zu und Nutzung von Daten aus vernetzten Produkten. Der Cyber Resilience Act (CRA) legt dagegen Cybersicherheitsanforderungen für Produkte mit digitalen Elementen fest. Ab dem 11. September 2026 greifen beim CRA zusätzlich konkrete Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle.

Ein vernetztes Produkt kann von beiden Regelwerken berührt sein. Organisatorisch lohnt es sich daher, Datenzugang und Cybersecurity-Prozesse getrennt zu führen, aber Verantwortlichkeiten und Produktregister miteinander zu verzahnen.

Zum CRA-Stichtag finden Sie hier unseren Praxisüberblick zur CRA-Meldepflicht mit 24h-/72h-Fristen. Für Unternehmen, die ihren Meldeprozess strukturiert vorbereiten möchten, gibt es außerdem das CRA Meldepflicht & Incident Response Kit 2026/27.

Praktischer Minimal-Check für diese Woche

Wenn Sie noch keinen strukturierten Data-Act-Prozess haben, beginnen Sie nicht mit einem hundertseitigen Handbuch. Für einen ersten belastbaren Überblick reichen sieben Fragen:

  1. Welche vernetzten Produkte bringen wir nach dem 12.09.2026 auf den Markt?
  2. Welche Produkt- und Servicedaten erzeugen diese Produkte?
  3. Welche Metadaten sind nötig, damit Nutzer die Daten verstehen können?
  4. Wie erhält der Nutzer diese Daten technisch?
  5. Sind Format, Sicherheit und Maschinenlesbarkeit geprüft?
  6. Welche Informationen erhält der Kunde vor Vertragsschluss?
  7. Wer ist intern für technische Umsetzung, Kundenanfragen und Dokumentation verantwortlich?

Wer diese sieben Punkte sauber beantworten und belegen kann, hat bereits eine wesentlich bessere Ausgangslage für die weitere fachliche und rechtliche Prüfung.

Unsere Einschätzung für KMU

Der Stichtag erzeugt vor allem bei Herstellern mit neuen vernetzten Produkten Handlungsdruck. Gleichzeitig ist der Markt enger als bei allgemeinen kaufmännischen Vorlagen. Deshalb behandeln wir das Thema zunächst als Informations- und SEO-Schwerpunkt und nicht als pauschale Behauptung, jedes Unternehmen brauche ein neues Compliance-Produkt.

Bei ausreichender Nachfrage ist ein praktisches Data-Act-Organisationskit mit Scope-Check, Dateninventar, Zugriffsmatrix, Verantwortlichkeiten und Dokumentationsregister sinnvoll. Entscheidend wäre dabei dieselbe Linie wie bei unseren anderen Business-Systemen: konkrete Arbeitsorganisation statt Rechtsberatung oder vermeintlicher „Zertifizierung“.

Primärquellen

Stand: 9. September 2026. Inhalte können sich durch Leitlinien, Rechtsprechung oder behördliche Auslegung weiter konkretisieren. Keine Rechtsberatung.