Data Act:
Betreiber bestimmen, welche Servicefirma die Daten bekommt

Ein Lebensmittellogistiker betreibt eine Kälteanlage, deren Steuerung Drücke, Temperaturen und Störmeldungen an das Serviceportal des Herstellers schickt. Der Wartungsvertrag mit dem Hersteller läuft aus, ein regionaler Kältefachbetrieb bietet die Wartung günstiger an. Sein Techniker müsste im Störfall aber ohne die Betriebshistorie auskommen, denn die liegt im Portal. Seit dem 12. September 2025 kann der Betreiber nach dem EU Data Act verlangen, dass die Daten seiner Anlage beim neuen Servicepartner ankommen.

Eigentum an Daten kennt die Verordnung (EU) 2023/2854 nicht. Sie verteilt Zugriffsrechte, und die liegen beim Nutzer des vernetzten Produkts. Nutzer ist, wem die Maschine gehört oder wer sie gemietet oder geleast hat, so erklärt es die EU-Kommission in ihren FAQ. Für den Service zählt das, weil Laufzeiten, Fehlercodes und Verschleißwerte heute oft zuerst beim Hersteller landen.

Der Anspruch gilt auch für Anlagen, die längst laufen

Artikel 4 verpflichtet den Dateninhaber, meist den Hersteller, die ohne Weiteres verfügbaren Daten samt Metadaten herauszugeben. Das muss unverzüglich und maschinenlesbar geschehen und darf den Nutzer nichts kosten. Erfasst sind Roh- und vorverarbeitete Daten wie Messwerte, Zustände und Ereignisse. Das Recht gilt laut Kommission auch für Maschinen, die vor dem Stichtag verkauft wurden, aber nur für Daten, die seit dem 12. September 2025 entstanden sind.

Seit dem 12. September 2026 verlangt Artikel 3 Absatz 1 zusätzlich Zugang ab Werk. Vernetzte Produkte, die seitdem in Verkehr gebracht werden, müssen so konstruiert sein, dass Nutzer ihre Daten standardmäßig einfach und sicher abrufen können, wo es relevant und technisch machbar ist auch direkt. Ältere Modelle müssen Hersteller nicht nachrüsten, darauf weist die Kanzlei Heuking hin. Stammt die Maschine von einem Kleinst- oder Kleinunternehmen, das nicht mit größeren Unternehmen verbunden ist, gelten diese Pflichten nicht (Art. 7).

Die freie Servicefirma bekommt die Daten als Dritter

Für den Logistiker gilt Artikel 5. Auf Verlangen des Nutzers muss der Dateninhaber die Daten einem Dritten bereitstellen, für den Nutzer wieder ohne Kosten. Wartung und Reparatur zählen nach den FAQ der Kommission zu den Anschlussdiensten und sind kein verbundener Dienst des Herstellers. Der unabhängige Wartungsbetrieb ist also genau der Dritte, den die Regel meint. Zahlen muss er unter Umständen trotzdem, denn der Dateninhaber darf von ihm eine angemessene Gegenleistung verlangen. Bei kleinen und mittleren Unternehmen darf darin keine Gewinnmarge stecken.

Der Dritte darf die Daten nur für den mit dem Betreiber vereinbarten Zweck nutzen und nicht, um ein konkurrierendes Produkt zu entwickeln (Art. 6). Dasselbe Verbot gilt für den Betreiber. Es betrifft aber nur das vernetzte Produkt. Wer mit den Daten vorausschauende Wartung anbietet, macht dem Hersteller erlaubte Konkurrenz, schreibt die Kommission.

Geschäftsgeheimnisse verzögern den Zugang, verhindern ihn aber selten

Hersteller können einwenden, Betriebsdaten verrieten Konstruktions- oder Prozesswissen. Die bloße Behauptung genügt nach den FAQ aber nicht. Der Dateninhaber muss die betroffenen Daten benennen und mit dem Nutzer Schutzmaßnahmen vereinbaren, etwa eine Vertraulichkeitsvereinbarung (Art. 4 Abs. 6 bis 8). Kommt keine Einigung zustande oder hält der Nutzer sie nicht ein, darf der Dateninhaber die Herausgabe zurückhalten. Ganz verweigern darf er sie nur im Ausnahmefall, wenn ihm mit hoher Wahrscheinlichkeit ein schwerer wirtschaftlicher Schaden droht und er das mit objektiven Belegen zeigen kann. Beide Schritte muss er der zuständigen Behörde melden, in Deutschland der Bundesnetzagentur.

Wer Daten verweigert, riskiert bis zu 500.000 Euro Bußgeld

Das deutsche Datenverordnung-Anwendungs-und-Durchsetzungs-Gesetz, kurz DADG, gilt seit dem 30. Mai 2026, rund neun Monate später als von der EU vorgesehen, wie Haufe berichtet. Zuständig ist die Bundesnetzagentur. Wer als Dateninhaber die Bereitstellung nach Artikel 4 oder 5 verweigert oder neue Produkte ohne Zugang ab Werk in Verkehr bringt, riskiert nach § 15 DADG bis zu 500.000 Euro. Betreiber können sich über ein Portal der Behörde beschweren. Außergerichtliche Streitbeilegungsstellen lässt die Bundesnetzagentur auf Antrag zu, bis Mitte November stand auf ihrer Website aber noch keine.

Unfaire Datenklauseln binden nicht, in Altverträgen ab September 2027

Zwischen Unternehmen ist Artikel 13 der wichtigste Hebel. Klauseln zu Datenzugang und Datennutzung, die eine Seite der anderen einseitig vorgibt, sind unwirksam, wenn sie missbräuchlich sind. Das gilt auch für Datenklauseln in einem Kauf- oder Wartungsvertrag (FAQ). Als missbräuchlich vermutet wird etwa eine Klausel, die den Vertragspartner hindert, die während der Laufzeit selbst erzeugten Daten zu nutzen oder bei Vertragsende eine Kopie davon zu bekommen. Für Verträge, die nach dem 12. September 2025 geschlossen wurden, gilt das bereits. Ältere Verträge erfasst die Regel ab dem 12. September 2027, wenn sie unbefristet sind oder frühestens zehn Jahre nach dem 11. Januar 2024 enden (Art. 50).

Umgekehrt braucht der Hersteller seit September 2025 einen Vertrag mit dem Nutzer, wenn er nicht personenbezogene Maschinendaten selbst nutzen will (Art. 4 Abs. 13). Das gilt laut Kommission auch für Maschinen, die schon vorher verkauft wurden. In diesem Vertrag kann der Betreiber als Unternehmen sogar auf eigene Nutzungsrechte verzichten, wenn er dafür angemessen vergütet wird. Wer so etwas unterschreibt, sollte wissen, was er abgibt.

Seit dem 6. November gibt es Musterklauseln der Kommission

Wie solche Vereinbarungen aussehen können, zeigt die Empfehlung (EU) 2026/2394 der Kommission vom 29. Oktober 2026, am 6. November im Amtsblatt erschienen. Sie enthält unverbindliche Musterklauseln, unter anderem zwischen Dateninhaber und Nutzer sowie zwischen Nutzer und Drittem. Der Mustervertrag mit dem Nutzer sieht eine Anlage vor, die die Daten nach Art, Menge, Erfassungshäufigkeit, Speicherort und Aufbewahrungsdauer beschreibt. Der Dateninhaber darf sie nur für vereinbarte Zwecke nutzen, etwa für Gewährleistung oder die Überwachung von Funktion und Sicherheit. Betreiber können die Klauseln als Vorlage nehmen oder Herstellerverträge daran messen.

Der Digital Omnibus könnte Herstellern einen weiteren Verweigerungsgrund geben

Am 19. November 2025 hat die Kommission den sogenannten Digital Omnibus vorgelegt, der mehrere Digitalgesetze ändern soll (COM(2025) 837). Für den Datenzugang zählt vor allem ein neuer Grund, Geschäftsgeheimnisse zurückzuhalten: ein hohes Risiko, dass sie an Stellen in Drittstaaten mit schwächerem Schutz abfließen. Der Rat hat sein Verhandlungsmandat am 21. Oktober 2026 festgelegt. Er hält daran fest und will Leitlinien der Kommission, in denen etwa industrielles Fertigungswissen als besonders sensibel gelten kann. Im Europäischen Parlament steht laut Legislative Observatory) die Abstimmung im Ausschuss noch aus. Bis zu einer Einigung gilt der Data Act unverändert. Wie weit sich Hersteller später auf Drittstaatsrisiken berufen können, ist offen.

Was Betreiber jetzt in Kauf- und Serviceverträgen regeln sollten

• Eine Datenliste als Anlage verlangen: welche Daten die Anlage erzeugt, in welchem Format, wie oft und auf welchem Weg der Betreiber sie abruft.
• Den Dateninhaber schriftlich benennen lassen. Das kann auch ein Anbieter von Fernüberwachung oder ein Zulieferer mit eigener Datenverbindung sein.
• Die Weitergabe an einen Servicepartner eigener Wahl mit Format und Frist festhalten. Wer darauf verzichtet, sollte dafür bezahlt werden.
• Die Datennutzung durch den Hersteller auf benannte Zwecke begrenzen und Weitergaben an Dritte nur mit Zustimmung erlauben.
• Geschäftsgeheimnisse und Schutzmaßnahmen vorab festlegen, damit die Herausgabe nicht erst im Störfall verhandelt wird.
• Eine Kopie der Betriebsdaten bei Vertragsende vereinbaren und lange laufende Wartungs- oder Fernüberwachungsverträge bis September 2027 auf Datenklauseln prüfen.

Eine Lücke bleibt auch mit gutem Vertrag. Für die Wartung zählt oft weniger der Messwert als die Diagnose, die der Hersteller daraus errechnet. Solche abgeleiteten Daten muss er nicht herausgeben, die Pflicht beschränkt sich laut Kommission auf Roh- und vorverarbeitete Daten. Wo genau die Grenze verläuft, müssen Behörden und Gerichte erst klären. Die fertige Diagnose bekommt der Betreiber nur, wenn sie im Vertrag steht.