EU Data Act: Ab 12. September 2026 gelten neue Pflichten für vernetzte Produkte

Wer eine vernetzte Maschine, ein IoT-Gerät oder eine dazugehörige App verkauft, bekommt in diesem Herbst eine neue Pflicht: Ab dem 12. September 2026 endet laut dem Bundesministerium für Digitales und Staatsmodernisierung (BMDS) (öffnet in neuem Tab) die Übergangsfrist für die Pflichten zur Gestaltung vernetzter Produkte und verbundener Dienste nach dem EU Data Act. Was bislang eine abstrakte EU-Verordnung war, wird an diesem Datum für viele Hersteller und Anbieter konkret prüfbares Recht – mit einer eigenen deutschen Aufsichtsbehörde und einem Bußgeldkatalog im Rücken.

Der Data Act selbst ist nicht neu: Die „Verordnung über harmonisierte Vorschriften für einen fairen Datenzugang und eine faire Datennutzung" gilt laut BMDS EU-weit bereits seit dem 12. September 2025 unmittelbar. Neu ist, dass ab September 2026 zusätzlich die sogenannte Access-by-Design-Pflicht greift – und dass Deutschland inzwischen die nationale Durchsetzung geregelt hat. Für IT-Leitung und Geschäftsführung im Mittelstand lohnt sich deshalb jetzt ein nüchterner Blick: Betrifft uns das, und wenn ja, was ist bis wann zu tun?

Was ab dem 12. September 2026 konkret gilt

Der Data Act verpflichtet Hersteller vernetzter Produkte und Anbieter verbundener Dienste dazu, die dabei erzeugten Daten für Nutzer zugänglich zu machen. Nach Angaben des BMDS (öffnet in neuem Tab) regelt die Verordnung insbesondere die Datenweitergabe von Unternehmen an Verbraucher (B2C) und zwischen Unternehmen (B2B), die Pflichten der Dateninhaber zur Datenbereitstellung, das Verbot missbräuchlicher Vertragsklauseln beim Datenzugang sowie die technische und vertragliche Ausgestaltung beim Wechsel zwischen Cloud-Anbietern.

Betroffen sind laut Lexware (öffnet in neuem Tab) Daten aus Geräten mit Sensoren – etwa Temperatur, Geschwindigkeit, Durchflussmengen oder Position –, wie sie in vernetzten Industriemaschinen, Smart-Home-Geräten, Wearables oder Fahrzeugen anfallen. Reine Inhaltsdaten wie Fotos oder Videos fallen laut derselben Quelle nicht unter das Datenzugangsrecht. Wichtig für die Praxis: Neue Produkte, die nach dem 12. September 2026 auf den Markt kommen, müssen von Grund auf so konzipiert sein, dass die erzeugten Daten Nutzern einfach, sicher und – wo technisch machbar – unmittelbar zugänglich sind.

Beim Cloud-Wechsel geht die Verordnung noch weiter: Laut Lexware (öffnet in neuem Tab) sieht der Data Act vor, dass Wechselentgelte zwischen Cloud-Anbietern bis 2027 schrittweise abgeschafft werden. Wer heute noch mit Kündigungsfristen oder Ausstiegsgebühren kalkuliert, die einen Anbieterwechsel unattraktiv machen, sollte diese Klauseln in laufenden und neuen Verträgen entsprechend prüfen – die Verordnung zielt hier gezielt auf den sogenannten Vendor-Lock-in.

Wer betroffen ist – und wer eine Schonfrist hat

Nicht jedes Unternehmen trifft die Pflicht gleich hart. Laut Lexware (öffnet in neuem Tab) sind kleine Unternehmen (weniger als 50 Beschäftigte, unter 10 Millionen Euro Umsatz oder Bilanzsumme) und Kleinstunternehmen (weniger als 10 Beschäftigte, unter 2 Millionen Euro Umsatz oder Bilanzsumme) von der Pflicht zur Datenherausgabe ausgenommen. Mittlere Unternehmen – bis 250 Beschäftigte, bis 50 Millionen Euro Umsatz oder 43 Millionen Euro Bilanzsumme – profitieren laut derselben Quelle von Übergangsfristen: Wer die Schwellenwerte erst seit weniger als einem Jahr überschritten hat, muss die Pflichten aus dem Data Act erst ab September 2026 erfüllen, ein Jahr später als große Unternehmen.

Das bedeutet in der Praxis: Wer die Schwellenwerte für mittlere Unternehmen schon seit Jahren überschreitet, ist bereits seit September 2025 in der Pflicht. Wer sie erst innerhalb des vergangenen Jahres überschritten hat – etwa durch Wachstum bei Beschäftigtenzahl oder Umsatz –, bekommt erst jetzt, im September 2026, den Stichtag, ab dem die Ausnahme endet. Wer nicht weiß, in welche Kategorie das eigene Unternehmen fällt, sollte das vor dem Stichtag klären – die Einordnung entscheidet darüber, ob überhaupt eine Pflicht besteht.

Deutschland hat die Zuständigkeit geklärt

Ein Grund, warum das Thema gerade jetzt an Verbindlichkeit gewinnt: Der Bundestag hat laut eigenem Textarchiv (öffnet in neuem Tab) am 26. März 2026 das Data Act-Durchführungsgesetz (DADG) verabschiedet, das die institutionelle Umsetzung in Deutschland regelt. Nach Angaben der Bundesnetzagentur (öffnet in neuem Tab) ist sie auf Grundlage des DADG die zuständige Behörde für die Umsetzung des Data Act in Deutschland – zentrale Anlaufstelle für Beschwerden, für die Zulassung von Streitbeilegungsstellen und für die Prüfung von Datenverlangen öffentlicher Stellen des Bundes.

Für den Datenschutz bei personenbezogenen Daten im Anwendungsbereich des Data Act gilt laut HÄRTING Rechtsanwälte (öffnet in neuem Tab) eine Besonderheit: Zuständig ist abweichend von der üblichen Verteilung nicht die jeweilige Landesdatenschutzbehörde, sondern die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) – auch für nicht-öffentliche Stellen. Wer bereits eine Ansprechperson bei der Landesdatenschutzbehörde hat, sollte wissen, dass für Data-Act-Fragen ein anderer Weg gilt.

Was bei Verstößen droht

Das DADG bringt einen eigenen Bußgeldkatalog mit. Nach der Analyse von HÄRTING Rechtsanwälte (öffnet in neuem Tab) gliedert sich dieser in vier Stufen: Verstöße gegen zentrale Datenbereitstellungspflichten – etwa dass vernetzte Produkte so konzipiert sein müssen, dass Daten zugänglich sind, oder dass Daten an Nutzer beziehungsweise Dritte bereitzustellen sind – können mit bis zu 500.000 Euro geahndet werden. Für Gatekeeper-Verstöße nach Artikel 5 Absatz 3 der Verordnung sieht der Katalog laut derselben Quelle sogar bis zu 5 Millionen Euro oder 2 Prozent des Gesamtumsatzes bei Unternehmen mit mehr als 250 Millionen Euro Umsatz vor. Weitere Pflichtverletzungen, etwa bei Informationspflichten beim Cloud-Wechsel, reichen laut HÄRTING von 50.000 bis 100.000 Euro.

Zur Einordnung gehört aber auch: HÄRTING verweist auf eine Aussage der Leiterin der Digitalabteilung der Bundesnetzagentur im Data Navigator Podcast, wonach die Behörde zunächst auf Information, Beratung und Begleitung der Praxis setzt und Bußgeldverfahren als letztes Mittel versteht. Vor einer Anordnung muss die Bundesnetzagentur demnach zunächst ein Abhilfeverlangen mit angemessener Frist aussprechen. Wer jetzt anfängt, Prozesse anzupassen, hat also noch keinen Bußgeldbescheid zu befürchten – aber die Rechtsgrundlage dafür steht ab September.

Was das für IT-Entscheider im Mittelstand bedeutet

Drei Fragen lassen sich schon vor dem Stichtag klären, ohne dass eine Rechtsabteilung nötig wäre:

Fällt mein Unternehmen überhaupt unter den Data Act? Wer keine vernetzten Produkte herstellt oder vertreibt und keine Cloud-Dienste anbietet, ist als Anwender solcher Produkte betroffen, nicht als Dateninhaber – das ist die deutlich kleinere Pflicht. Wer dagegen selbst Maschinen, Geräte oder Software mit Sensordaten baut oder vermarktet, sollte die Schwellenwerte aus dem Lexware-Beitrag mit den eigenen Kennzahlen abgleichen.

Sind die erzeugten Daten technisch zugänglich? Der Data Act verlangt laut BMDS, dass Daten in einem strukturierten, gängigen und maschinenlesbaren Format bereitgestellt werden. Das ist in der Praxis eine Frage der Systemarchitektur: Existiert bereits eine Schnittstelle, über die Nutzer oder von ihnen benannte Dritte auf die Daten ihrer eigenen Geräte zugreifen können? Falls nicht, ist das der eigentliche Umsetzungsaufwand – nicht die rechtliche Prüfung, sondern der Bau einer entsprechenden API.

Sind Verträge und Cloud-Wechsel-Klauseln angepasst? Wer Cloud-Dienste selbst anbietet oder als Kunde nutzt, sollte laut HÄRTING prüfen, ob Wechselklauseln, Kündigungsfristen und Datenexport-Funktionen den neuen Vorgaben entsprechen.

Der dritte Punkt betrifft praktisch jedes Unternehmen, das seine IT nicht komplett selbst betreibt – und genau hier liegt für viele Mittelständler der eigentliche Hebel: nicht in der juristischen Bewertung, sondern in der technischen Umsetzung von Schnittstellen, die Daten strukturiert und exportierbar machen. Wer schon heute weiß, dass die eigene Systemlandschaft solche Datenexporte nicht sauber abbildet, sollte das vor September angehen, statt auf eine Beanstandung zu warten.

Fazit

Der 12. September 2026 ist kein Termin, der plötzlich neues Recht schafft – die materiellen Pflichten aus dem Data Act gelten laut HÄRTING bereits seit September 2025 unmittelbar. Er markiert aber das Ende von Übergangsfristen für neu konzipierte Produkte und für mittlere Unternehmen, die die KMU-Schwellenwerte erst kürzlich überschritten haben. Mit der Bundesnetzagentur als klar benannter Aufsichtsbehörde und einem ausformulierten Bußgeldkatalog ist die Durchsetzung in Deutschland institutionell vorbereitet, auch wenn die Behörde selbst zunächst auf Dialog statt auf Sanktionen setzt. Wer vernetzte Produkte herstellt oder Cloud-Dienste betreibt, sollte die eigene Betroffenheit jetzt klären – die Frist läuft unabhängig davon, ob die interne Prüfung schon begonnen hat.