EU DATA ACT

Dateninhaber ist, wer das Recht oder die Pflicht hat, Daten aus einem vernetzten Produkt oder einem verbundenen Dienst bereitzustellen. In der Praxis ist das meist der Hersteller des Produkts oder der Anbieter des Dienstes. Nutzende sind die Personen oder Unternehmen, die das Produkt besitzen, mieten oder leasen. Die Rollenklärung steht am Anfang jeder Data-Act-Bewertung, denn die Pflichten hängen an der Rolle, nicht an der Branche.

Die Zugangs- und Weitergabepflichten gelten seit dem 12. September 2025, unabhängig davon, wann ein Produkt in Verkehr gebracht wurde. Die Design-Anforderung an den direkten Datenzugang betrifft dagegen Produkte und Dienste, die ab dem 12. September 2026 neu in Verkehr gebracht werden.

Für Bestandsflotten heißt das: Der Zugang muss organisiert werden, auch wenn das Produkt nie dafür entworfen wurde, häufig über Gateways, Backends oder Schnittstellen auf Plattformseite statt über Änderungen am Gerät selbst.

In der Praxis heißt "data access by design", dass Produkt und Backend so gebaut sind, dass Nutzende ohne manuellen Prozess auf Herstellerseite an ihre Daten kommen. Dazu gehören dokumentierte Schnittstellen, ein Datenmodell, das klar macht, welche Datenpunkte existieren und was sie bedeuten, Authentifizierung und Rechteverwaltung, damit nur Berechtigte Zugriff erhalten, die Bereitstellung in einem strukturierten, maschinenlesbaren Format und ein Zugang nahe an Echtzeit, wo der Anwendungsfall es verlangt. Die Pflicht gilt, soweit relevant und technisch machbar, weshalb die technische Bewertung Teil der Compliance-Arbeit ist.

Unternehmen müssen relevante Anwendungsfälle identifizieren, bewerten, wie Daten entstehen und geteilt werden, und Mechanismen für Datenzugang und Portabilität schaffen. Dazu gehört, technische Systeme, vertragliche Rahmen und Governance-Strukturen aufeinander abzustimmen. Hinzu kommt ein laufendes Monitoring, um mit den sich entwickelnden Anforderungen Schritt zu halten und sie in die bestehende Data Governance zu integrieren.

Die drei Regelwerke überschneiden sich, beantworten aber unterschiedliche Fragen.

Die DSGVO regelt personenbezogene Daten und greift, sobald sich Daten einer Person zuordnen lassen.

Der EU Data Act regelt den Zugang zu Daten aus vernetzten Produkten und deren Weitergabe, auch bei nicht personenbezogenen Daten.

Der EU AI Act regelt, wie KI-Systeme entwickelt und eingesetzt werden, was relevant wird, sobald Produktdaten in KI-Modelle fließen. Vernetzte Produkte fallen häufig unter alle drei gleichzeitig. Deshalb ist es sinnvoll, Zugangsrechte, Datenschutz und KI-Dokumentation gemeinsam zu gestalten statt nacheinander.

Die Sanktionen legen die EU-Mitgliedstaaten fest; sie müssen wirksam, verhältnismäßig und abschreckend sein. In Deutschland ist die Bundesnetzagentur zuständig (siehe oben).

Betrifft ein Verstoß personenbezogene Daten, können Bußgelder das Niveau der DSGVO erreichen.

Praktisch relevanter ist häufig die kommerzielle Seite: Eine späte Umsetzung gefährdet Datenzugangsrechte und die darauf aufbauenden Partnerschaften, und Produkte, die Daten nicht wie gefordert bereitstellen, lassen sich im EU-Markt schwerer verkaufen.

Diconium arbeitet mit einem strukturierten End-to-End-Ansatz. Am Anfang steht eine gründliche Bewertung von Produkten, Diensten und Datenflüssen, um zu bestimmen, wo der EU Data Act greift. Darauf aufbauend entwerfen wir Umsetzungsstrategien, die rechtliche, technische und organisatorische Maßnahmen zusammenführen. Compliance wird so nicht nur erreicht, sondern in bestehende IT-Systeme und Geschäftsprozesse eingebettet.