Start / Themen / Digitalisierung & KI / Antwort
Digitalisierung & KI

EU Data Act: Wann sind Digital- und KI-Dienstleister betroffen?

Kurz gesagt

Der EU Data Act (VO 2023/2955) regelt den Zugang zu Daten aus vernetzten Produkten und den damit verbundenen Diensten. Er gilt grundsätzlich für Hersteller vernetzter Produkte (IoT, Maschinen, Geräte) sowie für Software, die technisch mit solchen Produkten verbunden ist, und für Cloud-/Datenverarbeitungsdienste. Ein reiner Beratungsservice oder ein eigenständiges SaaS-Tool ohne Bezug zu einem vernetzten Produkt fällt in der Regel nicht darunter.

Was der Data Act überhaupt regelt

Der Data Act ist am 11. Januar 2024 in Kraft getreten und gilt grundsätzlich seit dem 12. September 2025. Er verfolgt zwei Hauptziele: Nutzer vernetzter Produkte sollen einfacher auf die Daten zugreifen können, die ihr Produkt erzeugt, und diese Daten an Dritte weitergeben dürfen — etwa an einen alternativen Reparaturdienst oder einen Datenanalyse-Anbieter. Gleichzeitig regelt er den Wechsel zwischen Cloud- und Datenverarbeitungsdiensten und soll den Anbieterwechsel erleichtern.

Wer konkret betroffen ist

Der Data Act unterscheidet mehrere Rollen, die jeweils unterschiedliche Pflichten auslösen:

  • Hersteller vernetzter Produkte — Geräte, Maschinen oder Fahrzeuge, die Daten über ihre Nutzung erzeugen und über ein Netzwerk, Bluetooth oder eine Schnittstelle übermitteln.
  • Anbieter verbundener Dienste — eine Software oder Plattform, die technisch mit einem vernetzten Produkt verbunden ist und dessen Daten verarbeitet.
  • Datenempfänger — wer Daten auf Wunsch eines Nutzers von einem Dateninhaber erhält.
  • Anbieter von Datenverarbeitungsdiensten — Cloud-, Hosting-, Storage- oder KI-Compute-Infrastruktur, die nach Bedarf bereitgestellte, gemeinsam nutzbare Rechenressourcen anbietet.

Für einen reinen KI-Berater ohne eigenes Produkt, eigene Plattform oder Cloud-Rolle besteht in der Regel keine unmittelbare Pflicht. Anders sieht es aus, sobald ein Digital- oder KI-Dienstleister eine Software anbietet, die mit einem vernetzten Produkt verbunden ist, oder selbst Cloud-/KI-Compute-Ressourcen bereitstellt. Auch eine allgemeine KI-Anwendung ohne Produktbezug ist nicht automatisch erfasst — entscheidend ist immer die technische Verbindung zu einem vernetzten Produkt oder der Dienstcharakter als Datenverarbeitungsdienst.

"Data by design" ab 12. September 2026

Die zentrale Vorschrift für die Produktentwicklung ist Artikel 3 Absatz 1 Data Act. Vernetzte Produkte und verbundene Dienste, die ab dem 12. September 2026 neu auf den Markt gebracht werden, müssen so konzipiert sein, dass die erzeugten Daten dem Nutzer standardmäßig zugänglich sind — soweit relevant und technisch machbar. Das bedeutet konkret:

  • Die Daten sollen für den Nutzer einfach, sicher und möglichst direkt zugänglich sein.
  • Sie sollen grundsätzlich kostenlos bereitgestellt werden.
  • Sie sollen in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format vorliegen.
  • Zusammen mit den Daten müssen die Informationen bereitgestellt werden, die für ihr Verständnis und ihre Nutzung nötig sind.

Das verlangt nicht, sämtliche Unternehmens- oder KI-Trainingsdaten offenzulegen. Erfasst sind Produktdaten und verbundene Dienstdaten, die durch die Nutzung entstehen — Geschäftsgeheimnisse, personenbezogene Daten und Rechte Dritter bleiben zu berücksichtigen. Wichtig für die Einordnung: Der 12. September 2026 ist kein allgemeiner Startpunkt für die gesamte Verordnung, sondern der Stichtag für die technische Design-Pflicht bei neu in Verkehr gebrachten Produkten. Andere Pflichten — etwa Auskunfts- und Bereitstellungspflichten für bereits bestehende Produkte — gelten teils schon seit dem 12. September 2025.

Was für Cloud- und KI-Anbieter zusätzlich gilt

Für Cloud- und Datenverarbeitungsdienste gelten eigenständige Vorschriften in Kapitel VI (Artikel 23 bis 31 Data Act) zum Anbieterwechsel und zur Interoperabilität. Das kann auch SaaS- oder KI-Dienste betreffen, wenn sie technisch als Datenverarbeitungsdienst gelten — also nach Bedarf bereitgestellte, gemeinsam nutzbare und konfigurierbare Rechen-, Speicher- oder Netzwerkressourcen umfassen. Für den Wechsel zwischen solchen Diensten sollen bestimmte Wechselentgelte spätestens ab dem 12. Januar 2027 entfallen.

Sanktionen

Der Data Act legt in Artikel 40 keine EU-weit einheitliche Bußgeldsumme fest — die Mitgliedstaaten müssen eigene wirksame, verhältnismäßige und abschreckende Sanktionen vorsehen. Für Verstöße mit Bezug zu personenbezogenen Daten verweist Artikel 40 auf das Sanktionsniveau der DSGVO, also bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für sonstige Data-Act-Verstöße richtet sich die konkrete Höhe nach dem jeweiligen nationalen Durchführungsgesetz.

Praktische Prüffragen

  • Ist die eigene Software mit einem vernetzten Produkt verbunden?
  • Entstehen bei der Nutzung Daten, auf die ein Nutzer nach dem Data Act zugreifen können soll?
  • Kontrolliert das Unternehmen diese Daten?
  • Werden Cloud-, Storage-, Compute- oder Edge-Ressourcen angeboten?
  • Wird ein neues vernetztes Produkt oder ein verbundener Dienst ab dem 12. September 2026 auf den Markt gebracht?

Häufige Fragen

Betrifft der Data Act auch reine KI-Beratung?
In der Regel nicht, solange kein eigenes vernetztes Produkt, keine eigene Plattform und keine Cloud-/Compute-Rolle besteht.
Muss ich sämtliche KI-Trainingsdaten offenlegen?
Nein, der Data Act erfasst Produkt- und Dienstdaten, keine Trainingsdaten oder Geschäftsgeheimnisse.
Ab wann gilt der Data Act überhaupt?
Grundsätzlich seit dem 12. September 2025, die Design-Pflicht für neue Produkte greift ab dem 12. September 2026.
Betrifft der Data Act auch Cloud-Anbieter?
Ja, für Datenverarbeitungsdienste gelten eigene Regeln zu Anbieterwechsel und Interoperabilität, teils bereits seit September 2025.