Das EU-Datengesetz (engl. EU-Data Act) ist seit dem 12. September 2025 vollständig in Kraft. Damit gehen neue Chancen und Herausforderungen einher. Worauf sollten Unternehmen künftig achten und welche neuen Rechte sieht der Data Act für Einzelpersonen vor?
Ähnlich wie die bereits bekannte Datenschutz Grundverordnung (DSGVO) ist auch der Data Act eine Verordnung, welche insbesondere darauf abzielt, die Nutzung bzw. den Zugang zu Daten fairer zu gestalten. Dies betrifft im speziellen Daten, die durch vernetzte Produkte wie beispielsweise IoT-Geräte (Internet of Things) oder die mit diesen Geräten verbundenen Dienste erzeugt werden.
Zugang zu Daten: Pflichten und technische Anforderungen
Eine der zentralen Regelungen des Data Acts betrifft den Zugang zu Daten. Dabei kommt es darauf an, in welcher Rolle Unternehmen oder Einzelpersonen auftreten. Während Nutzer:innen diejenigen sind, die ein vernetztes Produkt besitzen, bezeichnet man Dateninhaber:innen als solche, die berechtigt bzw. verpflichtet sind, Daten zu nutzen und bereitzustellen (bspw. Produkthersteller:innen). Nutzer:innen können dabei sowohl Einzelpersonen (B2C-Kontext) als auch Unternehmen (B2B-Kontext) sein.
Nach dem Data Act sollen Dateninhaber:innen die entsprechenden Daten unentgeltlich, sicher sowie in einem gängigen und maschinenlesbaren Format bereitstellen. Soweit technisch möglich, soll dies auch in Echtzeit und kontinuierlich erfolgen. Der Data Act sieht vor, dass technisch eine Schnittstelle bereitgestellt wird, über die Daten in einem standardisierten Format zugänglich sind. Dies kann beispielsweise durch eine (Web-)API realisiert werden, welche die Daten für Nutzer:innen in gängigen Formaten wie beispielsweise JSON bereitstellt.
Ab September 2026 müssen Hersteller:innen vernetzter Produkte diese so entwerfen und herstellen, dass die erzeugten Daten, soweit technisch durchführbar, direkt (am Produkt) zugänglich sind.
Datenweitergabe an Dritte
Der Data Act sieht außerdem vor, dass Nutzer:innen auf Wunsch den Zugang zu bestimmten Daten an Dritte weitergeben können. Technisch kann dies beispielsweise durch Mechanismen wie Autorisierung, Rollenverteilung oder tokenbasierten Zugriff realisiert werden, sodass Dritte nur auf die jeweils freigegebenen Daten zugreifen können.
Wechsel von Cloud- und Datenverarbeitungsdiensten
Ein weiteres Ziel des Data Acts ist es, den Wechsel zwischen Anbietern von Datenverarbeitungsdiensten zu erleichtern. Dabei soll verhindert werden, dass Nutzer:innen durch Vendor-Lock-ins an einzelne Anbieter gebunden bleiben.
Ein besonderer Fokus liegt dabei auf Interoperabilität. Unkomplizierte und vereinfachte Wechsel zwischen Anbietern setzen in der Regel die Nutzung gemeinsamer technischer Standards voraus. Solche Standards sollen von europäischen Normungsorganisationen erarbeitet werden, um eine reibungslose Interoperabilität zwischen den jeweiligen Anbietern sicherzustellen.
Neue Chancen durch offene Daten und Interoperabilität
Die neuen Regelungen in Bezug auf den Zugang zu und die Weitergabe von Daten an Dritte sollen einen zentralen Antrieb für Innovation und die Förderung des Wettbewerbs innerhalb der EU darstellen. Ohne Barrieren wie Vendor-Lock-ins sollen Unternehmen künftig in der Lage sein, neue Geschäftsmodelle zu entwickeln und innovative Dienstleistungen anzubieten.
Checkliste: Vorbereitung auf den Data Act
- Angebot analysieren: Welche Produkte oder Dienste werden bereitgestellt? (z. B. vernetzte Produkte, Cloud-Services)
- Rolle bestimmen: In welcher Funktion tritt das Unternehmen gemäß Data Act auf? (z.B. Dateninhaber:in, Nutzer:in)
- Datenzugang sicherstellen: Sind Schnittstellen für direkten oder indirekten Zugriff vorhanden?
- Technische Umsetzung: APIs, Datenformate (z. B. JSON), Echtzeit-/kontinuierlicher Zugriff, korrekte Autorisierung (Weitergabe der Daten an Dritte)
- Interoperabilität prüfen: Können die Daten problemlos zwischen Anbietern genutzt werden?
Die Bestimmungen des Data Acts bringen für Unternehmen eine Vielzahl von Herausforderungen mit sich. Für Nutzer:innen vernetzter Produkte setzt die EU dadurch jedoch einen wichtigen Schritt in Richtung Datensouveränität. Unternehmen können dies nutzen, um innovative Geschäftsmodelle zu entwickeln und ihre Dienste zu verbessern. Wie sich dies auf Innovation und Wettbewerb auswirken wird, bleibt jedoch abzuwarten.
