Alles Wichtige über den Data Act

In diesem Artikel lesen Sie,

• was der Data Act ist,
• welche Möglichkeiten sich durch ihn ergeben
• und wie Cloud-Provider darauf reagieren müssen.

2025 bringt auch im digitalen Raum wieder regulatorische Neuerungen: Der EU Data Act trat am 12. September 2025 in Kraft. Er soll ein „barrierefreies“ Teilen von Daten erlauben und so zum Wegbereiter für datenbasierte Geschäftsmodelle werden. Datenmonopole sollen verschwinden. Damit sind auch spezifische Anforderungen an Cloud-Anbieter verbunden. Dieser Artikel gibt eine kurze Zusammenfassung und den aktuellen Stand des EU Data Act.

Ständig entstehen in einer digitalisierten Gesellschaft Daten. Und je höher der Grad der Vernetzung, desto mehr Daten werden erzeugt, gespeichert und verarbeitet. Diese Datenfülle bietet großartige Chancen für neuartige, datenbasierte Geschäftsmodelle. Doch wohin mit den Daten? Das hängt meist von der Menge ab. Manche Unternehmen sammeln Daten auf eigenen Speicherressourcen (on-premises), andere nutzen externe IT-Dienstleister oder Cloud-Anbieter.  

Insbesondere die Cloud erlaubt eine bequeme Speicherung, Analyse und Weiterverarbeitung der steigenden Datenmengen. Doch mit den unterschiedlichen Arten der Speicherung und der Datenkontrolle entstehen häufig Silos – einzelne Unternehmen haben die Kontrolle über die Daten. Das können sowohl die originären Anbieter von Diensten sein als auch Cloud-Provider. Mit dem EU Data Act hat die EU ein Rahmenwerk beschlossen, dass die Erschließung von Daten vereinfacht und reguliert.

Der EU Data Act sollte nicht mit dem Data Governance Act (DGA) verwechselt werden – auch wenn beides Bausteine der europäischen Datenstrategie sind. Der DGA schafft einen vertrauenswürdigen Rahmen für das freiwillige Datenteilen. Er will die Datennutzung im öffentlichen Interesse und für Innovation fördern.  

Der EU Data Act hingegen stärkt die Verfügbarkeit und Nutzung von Daten. Er etabliert Regeln für den Zugang und die Nutzung von Daten, insbesondere im Bereich des Internets der Dinge (IoT). Der Data Act zielt also darauf ab, Daten einfacher verfügbar zu machen – für Unternehmen, Verbraucher und Behörden. Die beiden Gesetze sollen einen Rahmen schaffen, damit ein nachhaltiges, fair geregeltes Datenökosystem für europäische Unternehmen, Verbraucher und die öffentliche Hand entsteht.

Der Data Act will die Geschäftspotenziale von Daten für europäische Unternehmen erschließen und rechtliche Unsicherheiten bei der Datenweitergabe verringern. Er zielt darauf ab, dass Unternehmen und Privatpersonen, wo immer möglich, Daten teilen. Daten sollen allen Teilnehmern der (digitalen) Wertschöpfungskette zur Verfügung stehen. Obwohl der Fokus auf Daten aus dem Internet of Things (IoT) liegt, kann das auch personenbezogene Daten umfassen. Im Zweifelsfall hat daher die EU-DSGVO Vorrang.

Angesprochen werden mit dem Data Act: Hersteller von Produkten und Erbringer „verbundener Dienste“, Dateninhaber, Datenempfänger, öffentliche Stellen und Organe, insbesondere Einrichtungen und sonstige Stellen der Europäischen Union sowie Anbieter von Datenverarbeitungsdiensten – also quasi alle Beteiligten an digitalen Wertschöpfungsketten.  

Wie auch in anderen Gesetzen haben die europäischen Gesetzgeber Klein- und Kleinstunternehmen mit einem Umsatz unter 10 Millionen Euro und weniger als 50 Mitarbeitern von der Regelung ausgenommen. Damit bleiben aber immer noch genügend Unternehmen übrig. Wer detaillierte Informationen zum EU Data Act sucht, findet im entsprechenden Leitfaden der Vereinigung der Bayerischen Wirtschaft e. V. (vbw) ein gutes Kompendium.

Der EU Data Act wurde bereits am 22. Dezember 2023 im Amtsblatt der EU veröffentlicht und trat am 11. Januar 2024 in Kraft. Strafen für die Nichterfüllung wurden bislang noch keine verhängt – das liegt an der Übergangsfrist von 20 Monaten, die die EU den Unternehmen eingeräumt hat.  

Am 12. September 2025 hat sich das jedoch geändert: Dann wird der EU Data Act EU-weit unmittelbar anwendbares Recht in allen Mitgliedstaaten. Wer die Voraussetzungen für beispielweise eine einfache Datenportabilität noch nicht geschaffen hat, sollte also jetzt etwas unternehmen und seine Systeme und Prozesse nach Data Act auf den aktuellen Stand bringen.

Die Kapitel II bis V des Data Act regeln, wer wem unter welchen Umständen welche Daten zur Verfügung stellen muss. Kapitel VI und VIII gehen detaillierter auf die Technik ein. Sie beschreiben den Umgang mit Datenräumen und stellen sicher, dass Datennutzer ihren Datenverarbeiter möglichst leicht wechseln können – der EU Data Act versucht also, einen Vendor Lock-in zu verhindern.  

Kapitelübersicht:

• Kapitel I Allgemeine Bestimmungen
• Kapitel II Datenweitergabe von Unternehmen an Verbraucher und zwischen Unternehmen
• Kapitel III Pflichten der Dateninhaber bei Weitergabe von Daten
• Kapitel IV Missbräuchliche Vertragsklauseln in Bezug zu Datenzugang und Datennutzung zwischen Unternehmen
• Kapitel V Bereitstellung von Daten für öffentliche Stellen bei außergewöhnlicher Notwendigkeit
• Kapitel VI Wechsel zwischen Datenverarbeitungsdiensten
• Kapitel VII Unrechtmäßiger Zugang zu nicht-personenbezogenen Daten im internationalen Umfeld
• Kapitel VIII Interoperabilität

Die abschließenden Kapitel IX bis XI decken Standardthemen, beispielsweise Anwendung und Durchsetzung sowie Schlussbestimmungen ab. Dort werden auch der Zeitraum des Inkrafttretens (12. September 2025) und die Sanktionen ausgeführt.

Offen ist derzeit (Stand November 2025) immer noch, welche Behörde in Deutschland für die Anwendung und Durchsetzung dieser Verordnung (laut Artikel 37) verantwortlich ist. Seit Februar 2025 gibt es einen offiziellen Referentenentwurf für ein nationales Umsetzungsgesetz, das sogenannte Data-Act-Durchführungsgesetz (DADG). Dieser nennt die Bundesnetzagentur als zentrale Durchsetzungsinstanz. Der Bundesbeauftragte für Datenschutz unterstützt sie in datenschutzrechtlichen Fragen. Ob das DADG so in Kraft tritt, steht noch abzuwarten.

Für Rechtsexperten mögen „Verbundene Dienste“, „Dateninhaber“ und „Datenempfänger“ vertraut sein. Aber Nichtjuristen tun sich mit dem Data-Act-Vokabular schwer. Und noch verwirrender wird es, wenn man versucht, die verschiedenen Rollen innerhalb „verbundener Dienste“ auf die verschiedenen Akteure zu verteilen. Schauen wir uns ein Beispiel an.

Familie Vogt hat in ihrem Haus eine intelligente Heizungssteuerung installiert. Sie hat sich für eine Lösung der Firma ABCHeizung entschieden. Die Heizungssteuerung von ABCHeizung misst regelmäßig den Energieverbrauch, die Außen- und Innentemperatur, das Heizverhalten sowie andere Parameter. Für die Speicherung der Daten greift ABCHeizung (als „Datenhalter“) auf einen Cloud-Anbieter zurück, sagen wir, die Open Telekom Cloud. Der EU Data Act gibt Familie Vogt (als „Endnutzer“) das Recht, jederzeit auf die Daten zuzugreifen, die die IoT-Geräte in ihrem Haus erzeugen. Das geht über die App von ABCHeizung. Hier kann sie z. B. auch ihren Energieverbrauch einsehen.

Familie Vogt möchte weniger Energie verbrauchen und Heizkosten sparen. Die Auswertungsmöglichkeiten von ABCHeizung geben dazu nicht viel her. Im Internet stößt Familie Vogt aber auf eine Lösung der XYZEnergie, die über die Plattform „IVLConnect“ angeboten wird. XYZEnergie als „Datenempfänger“ benötigt für seine Analyse die Daten der Familie, die in der Open Telekom Cloud („Datenverarbeiter“) unter der Kontrolle des Datenhalters (ABCHeizung) liegen. Ein „verbundener Dienst“ entsteht, den ein Unternehmen (XYZEnergie) mit den Daten unter der Kontrolle eines anderen Unternehmens (ABCHeizung) erbringt.  

ABCHeizung als Datenhalter muss die angeforderten Daten in einem maschinenlesbaren Format bereitstellen und darf dafür sogar eine Marge verlangen, allerdings keine „überzogene“. ABCHeizung muss die Daten vollständig und unverzüglich liefern – das geht natürlich nur in Zusammenarbeit mit dem Cloud-Anbieter. Damit wird die XYZEnergie zum „Datenempfänger“. IVLConnect (der „Data Intermediary“) sorgt für einen sicheren Datenaustausch zu XYZEnergie. XYZEnergie verwendet die Daten ausschließlich für die vereinbarten Analysen und gibt Familie Vogt detaillierte Einsparungsvorschläge. XYZEnergie darf die Daten nicht für andere Zwecke verwenden oder an Dritte weiterverkaufen.  

All diese Abläufe, die Rechte und Pflichten aller Beteiligten regelt der EU Data Act.  

Es geht sogar noch weiter: Wenn die Stadtverwaltung anonymisierte und aggregierte Heizungsdaten nutzen möchte, um die Energieeffizienz in der Region zu verbessern, dann darf sie diese bei ABCHeizung anfragen! ABCHeizung ist verpflichtet, diese Daten im öffentlichen Interesse bereitzustellen – solange keine Geschäftsgeheimnisse oder Datenschutzrechte verletzt werden. Der Data Act stellt sicher, dass Daten auf transparente und faire Weise geteilt werden, um Innovation zu fördern. Bei alledem bleibt aber ABCHeizung dafür verantwortlich, dass die rechtlichen Vorgaben des EU Data Act eingehalten werden.

Für den Cloud-Anbieter, in diesem Fall die Open Telekom Cloud, bedeutet das. Sie muss:

• Datenzugänglichkeit ermöglichen (beispielsweise über APIs)  
• Datenintegrität sicherstellen  
• Datenportabilität gewährleisten (auch für größere Datenmengen), d.h. die Daten müssen sich einfach, schnell und kostengünstig auf einen anderen Speicher transferieren lassen (Reduktion des Vendor Lock-in).  
• Was sie nicht darf: eine eventuelle Monopolstellung ausnutzen, um den Zugang zu Daten zu behindern oder zusätzliche Gebühren zu erheben

Insbesondere Artikel 26 regelt die „Informationspflichten für Anbieter von Datenverarbeitungsdiensten“, aka Cloud-Provider. Diese müssen ihren Kunden Informationen über die verfügbaren Verfahren für den Wechsel und die Übertragung von Inhalten bereitstellen. Dazu gehören die verfügbaren Wechsel-, Übertragungsmethoden und -formate sowie über Einschränkungen und technische Beschränkungen.  Zudem müssen sie einen Verweis auf ein aktuelles Online-Register der Anbieter von Datenverarbeitungsdiensten vorhalten. Dieses bietet Einzelheiten zu allen Datenstrukturen und Datenformaten sowie zu den einschlägigen Normen und offenen Interoperabilitätsspezifikationen, in denen die exportierbaren Daten verfügbar sind.

Der EU Data Act reguliert Cloud-Dienstleister stärker als bisher, damit diese Daten nicht für eigene Zwecke nutzen oder generell die Tatsache ausnutzen, dass sie den Zugang zu Daten kontrollieren. Das Ziel des Data Act sind faire, transparente und interoperable Datenökosysteme.  

Insbesondere Unternehmen, die IoT-Services oder vernetzte Devices anbieten, sind gefordert, seit September 2025 (gemeinsam mit ihrem IT-Provider) Mechanismen zu implementierten, die das einfache und kostengünstige Teilen von Daten ermöglichen. Auch der komplette Umzug bzw. Abzug von Daten muss kostengünstig innerhalb von 30 Tagen möglich sein.    

Für die Open Telekom Cloud war die Umsetzung der Data-Act-Vorgaben kein Problem: Durch die Nutzung von OpenStack als Open-Source-Software existieren offene Schnittstellen für den Datentransfer. Teilen und Exportieren von Daten sind damit einfach und transparent möglich, der Vendor Lock-in ist minimal. Weitere Informationen über die Exportmöglichkeiten bieten die Open Telekom Cloud Docs. Außerdem können Kunden über ein Formular eine kostenlose Datenübertragung beauftragen.