Was ist der EU Data Act?

Der EU Data Act (Verordnung (EU) 2023/2854, amtlich Datenverordnung) ist ein europäisches Gesetz, das die Regeln dafür setzt, wer auf die Daten, die vernetzte Produkte und verbundene Dienste erzeugen, zugreifen und sie nutzen und teilen darf. Er verschiebt die Kontrolle über diese Daten hin zu den Nutzern, die sie erzeugen, verpflichtet Anbieter von Cloud-Diensten, den Wechsel zu erleichtern, und setzt faire Bedingungen für das Teilen von Daten zwischen Unternehmen und, in festgelegten Fällen, mit öffentlichen Stellen. Er gilt in der gesamten EU seit dem 12. September 2025, einzelne Vorschriften greifen später.

Er ist wichtig, weil vernetzte Produkte, Industriemaschinen, Fahrzeuge und intelligente Geräte große Datenmengen erzeugen und in der Praxis oft der Hersteller den Zugang dazu kontrolliert hat. Der Data Act bringt das ins Gleichgewicht: Nutzer erhalten ein Recht auf Zugang zu den Daten, die ihre Nutzung erzeugt, und die Unternehmen, die diese Daten halten, werden verpflichtet, sie zugänglich und übertragbar zu machen. Für Organisationen, die in der EU vernetzte Produkte herstellen oder deren Daten halten oder dort Cloud-Dienste anbieten, werden Teile von Datenzugang und Datenteilung damit zu rechtlichen Pflichten statt zu einer geschäftlichen Wahl.

Was der EU Data Act ist

Der Data Act ist eine horizontale Verordnung, das heißt, er gilt über Branchen hinweg und nicht für einen einzelnen Wirtschaftszweig. Sein Kerngedanke ist, dass die Daten, die ein vernetztes Produkt erzeugt, für die Menschen und Unternehmen zugänglich und nutzbar sein sollen, die sie erzeugen, und nicht nur für den Hersteller. Er betrifft personenbezogene wie nicht personenbezogene Daten und wirkt neben der DSGVO, statt sie zu ersetzen: Wo Daten personenbezogen sind, gilt die DSGVO weiterhin vollständig, und wo beide kollidieren, hat das Datenschutzrecht Vorrang.

Was er abdeckt

Die Verordnung hat einige tragende Säulen:

• Zugang zu Daten vernetzter Produkte. Wer ein vernetztes Produkt nutzt (von Geräten im intelligenten Zuhause und tragbarer Technik bis zu vernetzten Fahrzeugen und Industriemaschinen), hat das Recht, auf die Daten zuzugreifen, die diese Nutzung erzeugt, und Produkte, die nach dem 12. September 2026 in Verkehr gebracht werden, müssen so konzipiert sein, dass diese Daten für den Nutzer standardmäßig, einfach, sicher und kostenfrei zugänglich sind, und direkt, soweit dies relevant und technisch durchführbar ist (Art. 3 Abs. 1). Kleinst- und Kleinunternehmen sind von diesen Pflichten weitgehend ausgenommen.
• Teilen zwischen Unternehmen und mit Behörden. Wo ein Dateninhaber verpflichtet ist, Daten einem vom Nutzer gewählten Dritten bereitzustellen, verlangt der Rechtsakt faire, angemessene und nicht diskriminierende Bedingungen, und er erlaubt öffentlichen Stellen, Daten bei außergewöhnlicher Notwendigkeit anzufordern, etwa in einem öffentlichen Notstand (Kapitel V).
• Wechsel des Cloud-Anbieters. Anbieter von Cloud- und anderen Datenverarbeitungsdiensten müssen technische und vertragliche Hürden für den Wechsel beseitigen (Kapitel VI), damit Kunden nicht gebunden sind und ihre Daten und Anwendungen zu einem anderen Anbieter bewegen können.
• Interoperabilität und Schutzvorkehrungen. Der Rechtsakt setzt Anforderungen an die Interoperabilität von Datenräumen und Cloud-Diensten, macht missbräuchliche Vertragsklauseln über Datenzugang und Datennutzung, die ein Unternehmen einem anderen einseitig auferlegt, unverbindlich (Kapitel IV) und enthält Schutzvorkehrungen für Geschäftsgeheimnisse und gegen unrechtmäßigen staatlichen Zugriff aus Drittstaaten auf nicht personenbezogene Daten in der EU (Art. 32).

Zeitplan

Der Data Act wurde am 22. Dezember 2023 im Amtsblatt veröffentlicht und ist am 11. Januar 2024 in Kraft getreten. Der größte Teil gilt seit dem 12. September 2025, und Art. 50 setzt für einzelne Vorschriften spätere Termine: Die Pflicht zum Datenzugang ab Werk nach Art. 3 Abs. 1 erfasst vernetzte Produkte und verbundene Dienste, die nach dem 12. September 2026 in Verkehr gebracht werden, und die Regeln zu missbräuchlichen Vertragsklauseln in Kapitel IV gelten für Verträge, die nach dem 12. September 2025 geschlossen werden, und ab dem 12. September 2027 auch für ältere Verträge, die unbefristet sind oder frühestens zehn Jahre nach dem 11. Januar 2024 auslaufen. Nach Art. 29 dürfen Anbieter von Cloud-Diensten bis zum 12. Januar 2027 reduzierte Wechselentgelte verlangen und danach keine mehr. Die Richtung ist klar: Zugang und Übertragbarkeit werden zum Normalfall und sind kein Entgegenkommen.

Die Regeln können sich noch ändern. Am 19. November 2025 hat die Europäische Kommission einen digitalen Omnibus vorgeschlagen, der den Data Act ändern würde, unter anderem indem er mehrere EU-Datengesetze in ihm zusammenführt. Zum Zeitpunkt dieser Aktualisierung (Oktober 2026) ist er noch ein Vorschlag, der dem Europäischen Parlament und dem Rat vorliegt. Die oben genannten Termine sind also geltendes Recht.

EU Data Act und Data Governance Act

Die beiden Gesetze werden leicht verwechselt, tun aber Verschiedenes. Der Data Governance Act (Verordnung (EU) 2022/868, amtlich Daten-Governance-Rechtsakt) betrifft die Mechanismen des freiwilligen Datenteilens: Er regelt Datenvermittler, setzt Regeln für die Weiterverwendung bestimmter Daten des öffentlichen Sektors und ermöglicht den „Datenaltruismus“. Der Data Act betrifft Rechte und Pflichten: wer auf die Daten, die vernetzte Produkte und verbundene Dienste erzeugen, zugreifen und sie nutzen darf, und zu welchen Bedingungen. Kurz: Der Data Governance Act verlegt die Leitungen für das Teilen, der Data Act entscheidet, wer das Wasser bekommt.

Was er für Datenteams bedeutet

Der Data Act macht aus Fragen, die einmal freiwillig waren, Compliance-Pflichten. Um das Recht eines Nutzers auf Zugang zu Daten vernetzter Produkte zu erfüllen, müssen Sie wissen, dass es diese Daten gibt und wo sie liegen. Um Daten zu fairen Bedingungen zu teilen oder zwischen Clouds zu bewegen, müssen Sie ihre Struktur, ihre Sensibilität und ihre Abhängigkeiten kennen. Und um Geschäftsgeheimnisse und personenbezogene Daten zu schützen, während der Rest geteilt wird, brauchen Sie eine Klassifizierung, der Sie trauen können. Anders gesagt: Organisationen, die bereits ein klares, gesteuertes Bild ihrer Datenlandschaft haben, erfüllen den Rechtsakt leichter als die, denen es fehlt.

Wie Dawiso dazu passt

Dawiso reicht Ihre Unterlagen für die Compliance nicht ein und entscheidet nicht, was Sie teilen müssen, gibt Ihnen aber einen Teil des gesteuerten Fundaments, das der Data Act bei Ihnen voraussetzt: eine dokumentierte Karte der katalogisierten Daten, also was sie bedeuten, wie sensibel sie sind und wohin sie sich bewegen.

• Ein Inventar Ihrer Datenlandschaft. Der Datenkatalog gibt Ihnen eine gesteuerte Sicht auf die Daten in den Systemen, die Sie mit ihm verbinden, darunter auch Systeme, die Daten vernetzter Produkte und Dienste speichern, sodass Anfragen nach Zugang und Teilung von einem dokumentierten Inventar ausgehen.
• Sensibilität, nach der Sie handeln können. Die Klassifizierung wird in Dawiso von Personen in Ihrer Organisation festgelegt: Bestände werden gekennzeichnet, und zwar mit einer PII-Stufe und einem Vertraulichkeitswert aus Codelisten, die Ihre Organisation definiert, und der sensibelste Wert wird in Datenprodukten automatisch verdichtet. Dieser Nachweis hilft Ihnen zu entscheiden, was Sie teilen und was Sie schützen, Geschäftsgeheimnisse eingeschlossen; Dawiso setzt diese Entscheidungen nicht selbst durch.
• Flüsse, die Sie nachverfolgen können. Die interaktive Lineage zeigt, woher Daten kommen und wohin sie gehen, soweit die Lineage erfasst ist, und stützt damit Übertragbarkeit, Data Sharing und Audit.
• Gleichbleibende Bedeutung beim Teilen. Das Business Glossary hält Definitionen einheitlich, damit die Beteiligten einer Vereinbarung über Data Sharing mit derselben dokumentierten Bedeutung arbeiten können.

Der Data Act reiht sich neben die DSGVO und den EU AI Act in eine wachsende Zahl von EU-Regeln, die alle dasselbe belohnen: die eigenen Daten zu kennen und zu steuern. Bauen Sie dieses Fundament einmal, und Sie können es für jede neue Vorschrift wiederverwenden, statt jedes Mal bei null anzufangen.

Fazit

Der EU Data Act schreibt neu, wer die Daten aus vernetzten Produkten und Cloud-Diensten kontrolliert: Er gibt Nutzern Zugangsrechte, setzt faire Bedingungen für das Teilen und baut Hürden für den Wechsel des Cloud-Anbieters ab, wobei die meisten Pflichten seit September 2025 gelten und weitere Termine 2026 und 2027 folgen. Er ist vom Data Governance Act getrennt und wirkt neben der DSGVO. Wer ihn erfüllen will, braucht vor allem ein gesteuertes, aktuelles Verständnis der Daten, die Sie halten, ihrer Sensibilität und ihrer Flüsse. Bringen Sie dieses Fundament in Ordnung, und der Data Act wird, wie die Vorschriften um ihn herum, beherrschbar statt bedrohlich.

Quellen

• EUR-Lex, Regulation (EU) 2023/2854, Data Act (Art. 1 Abs. 5, Art. 3 Abs. 1, Art. 7, 13, 29, 32 und 50).
• Europäische Kommission, Data Act explained.
• EUR-Lex, Regulation (EU) 2022/868, Data Governance Act.
• Europäische Kommission, Simpler EU digital rules and new digital wallets to save billions for businesses and boost innovation (19. November 2025).
• Dawiso Help, PII Level and Confidentiality.