Der EU Data Act: Datenzugang by Design und das Ende des Cloud-Lock-ins

Der Data Act ist die leiseste der aktuellen EU-Verordnungen und eine der strukturellsten. Er fügt Ihrer Website kein Banner hinzu und Ihrem Produkt kein Label. Er ändert, wem die Daten gehören, die Ihre Produkte erzeugen, und macht den Cloud-Wechsel zu einem Rechtsanspruch statt zu einer kommerziellen Verhandlung.

Die Verordnung (EU) 2023/2854 gilt seit dem 12. September 2025. Die Pflicht, die tatsächlich Entwicklungsarbeit verlangt, nämlich Produkte für Datenzugang zu gestalten, gilt seit dem 12. September 2026 für vernetzte Produkte und verbundene Dienste, die nach diesem Datum in Verkehr gebracht werden. Rückwirkend gilt sie nicht. Das Verbot von Wechselgebühren für Cloud-Dienste wird am 12. Januar 2027 vollständig.

Wer vernetzte Produkte baut oder einen Datenverarbeitungsdienst betreibt, hat das auf der Roadmap, ob es dort steht oder nicht.

Zwei Verordnungen in einer

Der Data Act tut zwei ziemlich verschiedene Dinge, und es hilft, sie getrennt zu betrachten.

Teil eins gibt Nutzern vernetzter Produkte ein Recht auf die Daten, die diese Produkte erzeugen, und ein Recht darauf, sie mit einem Dritten ihrer Wahl teilen zu lassen.

Teil zwei verpflichtet Anbieter von Datenverarbeitungsdiensten, also Cloud- und Edge-Diensten, den Wechsel zu einem Wettbewerber praktikabel und schließlich kostenlos zu machen.

Beide zielen auf dasselbe Problem: Von Nutzern erzeugte Daten landen eingeschlossen beim Anbieter, der sie erhoben hat.

Vernetzte Produkte: Datenzugang standardmäßig

Ein vernetztes Produkt ist jeder physische Gegenstand, der Daten über seine Nutzung oder Umgebung erhält, erzeugt oder erhebt und diese kommunizieren kann. Das ist bewusst weit. Fahrzeuge, Industriemaschinen, Landtechnik, Medizinprodukte, Haushaltsgeräte, Wearables, intelligente Zähler, Gebäudetechnik und Unterhaltungselektronik fallen alle hinein.

Ein verbundener Dienst ist Software, die das Produkt bestimmungsgemäß funktionieren lässt, und ist neben der Hardware erfasst.

Was Nutzer bekommen

Nutzer haben das Recht auf Zugang zu Produktdaten und Daten verbundener Dienste, die durch ihre Nutzung entstehen, und zwar einfach, sicher, kostenlos, in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format. Wo technisch machbar, soll dieser Zugang direkt und kontinuierlich sein statt ein periodischer Export.

Sie können außerdem verlangen, dass der Dateninhaber die Daten mit einem von ihnen benannten Dritten teilt. Dieser Dritte kann der Dienst eines Wettbewerbers sein, eine Werkstatt, ein Versicherer oder ein Analyseanbieter. Der Dateninhaber darf das nicht über Vertragsbedingungen blockieren und die geteilten Daten nicht nutzen, um dem Nutzer Konkurrenz zu machen.

Was sich am 12. September 2026 geändert hat

Seit diesem Datum müssen vernetzte Produkte, die in Verkehr gebracht werden, und ihre verbundenen Dienste so gestaltet und hergestellt sein, dass Produktdaten und Daten verbundener Dienste dem Nutzer standardmäßig zugänglich sind und, wo relevant und technisch machbar, direkt.

Dieses Wort "gestaltet" macht daraus eine Entwicklungsfrist statt einer juristischen. Eine Gestaltungspflicht lässt sich nicht mit einem Supportprozess erfüllen. Sie muss im Produkt stecken.

Wie das als Arbeit aussieht

Für die meisten Teams liegt die Lücke nicht in der API, sondern in allem darunter.

Datenmodell. Sie müssen Daten, die durch die Nutzung des Produkts durch den Nutzer entstehen, von Daten unterscheiden, die Sie ableiten, anreichern oder erschließen. Nutzer haben ein Recht auf Erstere. Diese Unterscheidung existiert in aktuellen Schemata oft nicht, wo Telemetrie, abgeleitete Kennzahlen und interne Analytik in denselben Tabellen liegen.

Zugangsschnittstellen. Eine echte API mit Authentifizierung, Autorisierung, Paginierung und Rate Limiting, plus ein Selbstbedienungsweg für nichttechnische Nutzer. Eine auf Anfrage gemailte CSV erfüllt "einfach und, wo relevant und technisch machbar, direkt" nicht.

Delegation an Dritte. Der Nutzer kann einen Empfänger benennen. Das bedeutet ein Zustimmungs- und Autorisierungsmodell, in dem der Nutzer einer Partei, zu der Sie keine Beziehung haben, einen begrenzten Zugang gewährt und ihn widerrufen kann. Wenn Ihre Plattform kein Konzept für delegierten Zugriff kennt, ist das der größte Einzelposten.

Umgang mit Geschäftsgeheimnissen. Die Verordnung versucht, Datenzugang und Schutz von Geschäftsgeheimnissen auszubalancieren. Sie können verhältnismäßige Maßnahmen zur Wahrung der Vertraulichkeit verlangen und in engen Fällen die Weitergabe verweigern oder aussetzen. Das muss eine dokumentierte, vertretbare Position sein statt einer pauschalen Verweigerung, und es lohnt sich, Juristen früh einzubinden.

Vorvertragliche Information. Vor dem Verkauf müssen Sie dem Käufer sagen, welche Daten das Produkt erzeugt, wie darauf zugegriffen wird, ob dies kontinuierlich und in Echtzeit geschieht und ob Sie sie selbst nutzen wollen. Das sind Inhalte für Produktseite und Dokumentation und gehören in dieselbe Durchsicht wie die Produktinformationspflichten, die seit September 2026 gelten.

Cloud-Wechsel: das Ende des Lock-ins

Die zweite Hälfte des Data Act zielt auf Datenverarbeitungsdienste, was IaaS, PaaS und SaaS umfasst.

Anbieter müssen:

• Kommerzielle, technische, vertragliche und organisatorische Wechselhindernisse beseitigen.
• Einen Wechsel innerhalb einer maximalen Übergangsfrist abschließen, in der Regel 30 Tage nach einer Kündigungsfrist von bis zu zwei Monaten, verlängerbar, wo technisch nicht machbar.
• Den Export aller exportierbaren Daten und digitalen Vermögenswerte in einem strukturierten, gängigen, maschinenlesbaren Format unterstützen.
• Offene Schnittstellen bereitstellen und, bei Infrastrukturdiensten, funktionale Gleichwertigkeit nach dem Wechsel.
• Eine Mindestabrufdauer von 30 Tagen nach Beendigung anbieten.

Bei den Entgelten wurden die Wechselkosten ab dem Anwendungsdatum reduziert und werden ab dem 12. Januar 2027 vollständig abgeschafft. Danach darf ein Anbieter für den Wechselvorgang überhaupt nichts mehr berechnen.

Die Vertragsbedingungen müssen das abbilden, einschließlich Wechselverfahren, Übergangsfrist, der abschließenden Aufzählung der exportierbaren Datenkategorien und der angebotenen Unterstützung.

Wenn Sie Cloud-Dienste kaufen

Das ist ein echter Hebel, und die meisten Einkäufer nutzen ihn nicht.

Verlangen Sie bei der nächsten Verlängerung die Wechselklausel, die exportierbaren Datenkategorien und die Zusagen zur Ausstiegsunterstützung. Sie haben Anspruch darauf. Ist die Antwort vage, sagt Ihnen das etwas darüber, wie schwierig ein Ausstieg tatsächlich wäre.

Es lohnt sich außerdem, einen Exporttest zu fahren, statt einer Dokumentationsseite zu vertrauen. Exportieren Sie alles, versuchen Sie, es zu verstehen, und prüfen Sie, ob es Ihren Dienst woanders tatsächlich wieder aufbauen würde. Die Lücke zwischen dem, was ein Anbieter als exportierbar bezeichnet, und dem, was nutzbar ist, ist normalerweise der Ort, an dem das Lock-in wohnt.

Wenn Sie Cloud-Dienste verkaufen

Sie brauchen die Wechselklausel in Ihren Verträgen, ein dokumentiertes Wechselverfahren, einen Exportmechanismus, der etwas wirklich Nutzbares produziert, und einen Plan für den Nullentgelt-Punkt im Januar 2027, falls Sie derzeit Egress- oder Ausstiegsgebühren erheben.

Besonders die Egress-Preisgestaltung verdient Aufmerksamkeit. Datenverkehr nach außen zu berechnen ist eine lang etablierte Branchenpraxis, und die Abgrenzung zwischen gewöhnlichen Egress-Entgelten und Wechselentgelten ist eine, die Aufsichtsbehörden anschauen werden.

Zugang des öffentlichen Sektors und B2B-Bedingungen

Zwei kleinere Punkte, die man kennen sollte.

Die Verordnung gibt öffentlichen Stellen ein Recht, Daten von privaten Unternehmen bei außergewöhnlicher Notwendigkeit anzufordern, vor allem in öffentlichen Notlagen. Das ist eng, aber wer Daten von öffentlicher Bedeutung hält, sollte wissen, dass es das Verfahren gibt.

Sie führt außerdem eine Missbräuchlichkeitsprüfung für Vertragsklauseln über Datenzugang und Datennutzung ein, die einem anderen Unternehmen einseitig auferlegt werden. Eine Klausel, die grob von guter Geschäftspraxis abweicht, ist nicht bindend. Das ist ein nützlicher Kontrollpunkt gegen Alles-oder-nichts-Datenklauseln in Lieferantenverträgen.

Was sich noch ändern kann: der Digital Omnibus

Am 19. November 2025 hat die Kommission einen Digital Omnibus vorgeschlagen (Verfahren 2025/0360(COD)), der den Daten-Governance-Rechtsakt, die Open-Data-Richtlinie und die Verordnung über den freien Verkehr nicht-personenbezogener Daten in einen neu strukturierten Data Act überführen und kleine Unternehmen von einigen Regeln zum Cloud-Wechsel ausnehmen würde. Es ist ein Vorschlag, kein geltendes Recht. Stand 10. Oktober 2026 arbeiteten sich die federführenden Ausschüsse des Parlaments noch durch mehr als 1.750 Änderungsanträge zu ihrem Berichtsentwurf, und der Rat hatte kein Verhandlungsmandat: Die Abstimmung der Botschafter am 7. Oktober wurde vertagt, Berichten zufolge, weil Frankreich und Deutschland im Data Act einen stärkeren Schutz von Geschäftsgeheimnissen wollen; ein neuer Anlauf wurde für den 11. Oktober erwartet. Bis ein Text verabschiedet ist, planen Sie mit dem Data Act in seiner geltenden Fassung, einschließlich des Termins im Januar 2027 für Wechselentgelte.

Was wir jetzt tun würden

Wenn Sie vernetzte Produkte herstellen, ist das Datum im September 2026 bereits verstrichen. Die Gestaltungspflicht gilt für Produkte, die danach in Verkehr gebracht werden, also ist alles erfasst, was Sie jetzt auf den Markt bringen und was gerade in Entwicklung ist. Beginnen Sie mit der Trennung im Datenmodell, weil alles Weitere daran hängt.

Wenn Sie einen Datenverarbeitungsdienst betreiben, prüfen Sie Verträge, Exportwerkzeuge und Entgeltstruktur. Der Nullentgelt-Punkt im Januar 2027 ist nicht weit, und die Umsatzfolgen brauchen eine Entscheidung auf Leitungsebene statt in der Entwicklung.

Wenn Sie Cloud-Dienste kaufen, nutzen Sie Ihren Hebel bei der Verlängerung und testen Sie Ihren Exportpfad. Das kostet einen Tag und sagt Ihnen etwas Wertvolles über Ihr tatsächliches Risiko.

Alle anderen sollten den Anwendungsbereich trotzdem prüfen. Die Definition eines vernetzten Produkts ist weiter, als der Begriff nahelegt, und Unternehmen, die sich für Softwarehäuser halten, liefern manchmal Hardware aus, ohne dass das intern registriert wäre.

Das größere Bild

Der Data Act gehört zu einer Reihe von Regeln, die zusammen die Annahmen umbauen, auf denen europäische Software steht. Der Leitfaden zur EU-Digital-Compliance 2026 kartiert die gesamte Oberfläche einschließlich der Fristen, die parallel dazu kommen.

Es gibt echte Überschneidungen zum Ausnutzen. Für den Data Act gebaute Datenzugangs-APIs teilen Infrastruktur mit Anfragen zur Datenübertragbarkeit nach DSGVO. Für den Cyber Resilience Act gebaute Komponenteninventare sagen Ihnen, wo Produktdaten tatsächlich liegen. Das als eine Plattformfähigkeit statt als drei Projekte zu bauen ist der Unterschied zwischen einem Quartal und einem Jahr.

Wir entwerfen und bauen Datenplattformen, APIs und Cloud-Infrastruktur für Unternehmen in Europa, einschließlich der Maschinerie für delegierten Zugriff und Export, die diese Verordnung voraussetzt. Wenn Sie Hilfe brauchen einzuschätzen, was die Gestaltungspflicht vom September 2026 für ein konkretes Produkt bedeutet, schreiben Sie an office@c9group.dev oder lesen Sie mehr über unsere Arbeit mit AWS-Infrastruktur und EU-Markteintritt.

Wir bauen Systeme, wir erteilen keine Rechtsauskünfte. Anwendungsbereich und Positionen zu Geschäftsgeheimnissen gehören zu Ihren Juristen.