Inhalt dieses Artikels
Betrifft der EU Data Act dein Startup? Die Frage landet gerade in vielen Gründerteams, meist als lange Pflichtenliste aus einer Kanzleipräsentation. Für ein junges Unternehmen ist sie aber zuerst eine Größenfrage, und die fällt häufig zu deinen Gunsten aus.
Die EU-Datenverordnung gilt seit dem 12. September 2025 und greift tiefer in die Produktlogik ein als die Regelwerke davor: Sie verlangt nicht nur Dokumentation, sondern Schnittstellen, Exportwege und saubere Vertragsklauseln. Dieser Beitrag ordnet dein Setup ein, nennt die Fristen und endet mit einer Prüfung, die dein Team in vier Wochen schafft. Er ist eine praxisnahe Orientierung und keine Rechtsberatung.
Worum es beim Data Act geht, und wo die DSGVO aufhört
Der Data Act regelt drei Dinge: wer auf Daten zugreifen darf, die bei der Nutzung vernetzter Produkte und verbundener Dienste entstehen, unter welchen Bedingungen diese Daten an Dritte gehen, und wie der Wechsel zwischen Datenverarbeitungsdiensten abläuft. Die DSGVO schützt dagegen personenbezogene Daten. Beide Regelwerke können nebeneinander gelten, sie beantworten aber verschiedene Fragen. Wer sie in einen Topf wirft, sucht an der falschen Stelle.
Drei Begriffe hältst du am besten sauber auseinander. Vernetzte Produkte sind Geräte, die Daten über ihre Leistung, Nutzung oder Umgebung erzeugen, typischerweise über verbaute Sensoren. Verbundene Dienste sind Apps oder Services, ohne die das Produkt eine oder mehrere Funktionen nicht ausführen könnte. Datenverarbeitungsdienste sind Cloud-nahe Angebote, also Infrastruktur, Plattform und Software als Dienst.
Zuständig ist in Deutschland die Bundesnetzagentur. Sie betreibt ein Beschwerdeportal zum Data Act, lässt Streitbeilegungsstellen zu und veröffentlicht die Hintergrundseiten, auf denen dieser Beitrag beruht. Auslegungsfragen musst du also nicht erraten.
Quellen: Bundesnetzagentur, Datenzugang und Datennutzung | Bundesnetzagentur, Missbräuchliche Vertragsklauseln
Die Ausnahme für kleine Unternehmen, die viele Gründer übersehen
Von der Pflicht, Daten aus vernetzten Produkten bereitzustellen, sind Kleinst- und Kleinunternehmen ausgenommen. Das gilt, wenn ein solches Unternehmen das Produkt herstellt oder konzipiert oder den verbundenen Dienst erbringt. Die Größenklassen folgen der Empfehlung der Europäischen Kommission zur Einteilung von Unternehmen.
| Größenklasse | Beschäftigte | Jahresumsatz oder Bilanzsumme | Pflicht zur Datenbereitstellung |
|---|---|---|---|
| Kleinstunternehmen | bis 9 | bis 2 Mio. Euro | ausgenommen |
| Kleine Unternehmen | bis 49 | bis 10 Mio. Euro | ausgenommen |
| Mittlere Unternehmen | bis 249 | bis 50 Mio. Euro Umsatz, bis 43 Mio. Euro Bilanzsumme | greift erst ein Jahr nach dem Inverkehrbringen des Produkts |
| Großunternehmen | über 249 | über 50 Mio. Euro Umsatz | ohne zeitliche Erleichterung |
Diese Ausnahme hat drei Löcher, und genau in eines davon fallen Startups gern hinein. Sie greift nicht, wenn dein Unternehmen ein Partnerunternehmen hat oder zu einem Konzern gehört, der selbst kein Kleinst- oder Kleinunternehmen ist. Sie greift ebenfalls nicht, wenn du als Unterauftragnehmer mit der Herstellung oder Konzeption des Produkts beauftragt wurdest. Und sie deckt nur die Daten aus dem Produkt ab, nicht die Daten, die dein verbundener Dienst erzeugt.
Wächst du zu einem mittleren Unternehmen, bleibt dir eine Übergangsfrist von einem Jahr, bis die Bereitstellungspflichten greifen. Das ist der Zeitpunkt für einen ehrlichen Blick auf die Architektur, nicht erst der Tag, an dem der erste Enterprise-Kunde danach fragt.
Quellen: Bundesnetzagentur, Ausnahmen für kleine und mittlere Unternehmen
Was du bereitstellen musst, wenn die Ausnahme nicht greift
Dann wird aus der Regulierung eine Produktaufgabe. Schon vor Vertragsschluss musst du den Umfang und die möglichen Wege des Datenzugangs darstellen, etwa Art, Format und geschätzten Umfang der Produktdaten. Die Daten selbst sind einschließlich ihrer Metadaten einfach, sicher, unentgeltlich sowie in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format bereitzustellen, wo es relevant und technisch durchführbar ist auch kontinuierlich und in Echtzeit. Das gilt auch, wenn dein Nutzer die Herausgabe an einen Dritten verlangt.
Die Verordnung kennt dafür zwei Wege. Beim direkten Zugang greift der Nutzer ohne dein Zutun auf die Daten zu, etwa über eine Schnittstelle am Gerät oder über einen Server. Beim indirekten Zugang beantragt er den Zugang bei dir, zum Beispiel über ein Webportal. Für vernetzte Produkte und ihre verbundenen Dienste, die nach dem 12. September 2026 in Verkehr gebracht werden, gilt zusätzlich eine Produktgestaltungspflicht: Der direkte Zugang ist dann bereits im Produktentwurf vorzusehen, soweit er relevant und technisch durchführbar ist.
Zwei Entwarnungen gehören dazu. Geschäftsgeheimnisse bleiben geschützt, auch wenn sie grundsätzlich von der Bereitstellungspflicht erfasst sind. Und wenn du als Dateninhaber Daten an einen Empfänger weitergibst, darfst du eine angemessene Gegenleistung verlangen; gegenüber Kleinstunternehmen, KMU und gemeinnützigen Forschungseinrichtungen allerdings höchstens die Kosten der Bereitstellung.
Quellen: Bundesnetzagentur, Art und Wege der Datenbereitstellung
Anbieterwechsel: der Fahrplan und das Ende der Wechselentgelte
Dieser Teil trifft dich doppelt: Verkaufst du selbst einen Cloud-, Edge- oder SaaS-Dienst, bist du der abgebende Anbieter, nutzt du Hyperscaler, bist du der Kunde, der wechseln können will. Die Regeln gelten nur bei gleicher Dienstart, also bei demselben Hauptziel, denselben Hauptfunktionen und demselben Dienstmodell.
| Schritt im Wechsel | Standardfall | Hohe technische Komplexität |
|---|---|---|
| Ankündigungsfrist für die technischen Vorbereitungen | maximal 2 Monate | maximal 2 Monate |
| Meldung, dass der Wechsel technisch nicht in der Regelfrist geht | entfällt | innerhalb von 14 Arbeitstagen, mit Begründung |
| Übergangszeitraum für die eigentliche Migration | maximal 30 Kalendertage | bis zu 7 Monate |
| Verlängerung auf Wunsch des Kunden | einmalig, ohne technische Begründung | einmalig, zusätzlich zur verlängerten Frist |
| Daten beim bisherigen Anbieter abrufbar | mindestens 30 Kalendertage | mindestens 30 Kalendertage |
Während des vereinbarten Übergangszeitraums müssen die Daten übertragen werden, die Schnittstellen bereitstehen und der ursprüngliche Dienst erreichbar bleiben. Danach sind die Daten zu löschen, sofern kein rechtlicher Grund zur Aufbewahrung besteht.
Beim Geld läuft eine Stufe aus. Seit dem 11. Januar 2024 darf ein Anbieter nur noch die Kosten berechnen, die unmittelbar mit dem Wechsel zusammenhängen. Ab dem 12. Januar 2027 dürfen überhaupt keine Wechselentgelte mehr erhoben werden. Wer sein Preismodell heute auf Austrittshürden stützt, baut es besser jetzt um.
Quellen: Bundesnetzagentur, Datenverarbeitungsdienste und Anbieterwechsel
Missbräuchliche Vertragsklauseln in B2B-Verträgen
Der Data Act führt eine Inhaltskontrolle für Datenverträge zwischen Unternehmen ein. Sie ähnelt der Klauselkontrolle aus dem deutschen AGB-Recht und betrifft Regelungen zu Datenzugang, Datennutzung, Haftung sowie Rechten bei Pflichtverletzung oder Beendigung.
Geprüft werden nur Klauseln, die eine Partei der anderen einseitig auferlegt hat: Die eine Seite schlägt die Bedingung vor, die andere kann ihren Inhalt trotz eines Verhandlungsversuchs nicht beeinflussen. Die Beweislast dafür, dass eine Klausel nicht einseitig auferlegt wurde, trägt die Partei, die sie vorgeschlagen hat. Ausgenommen sind Klauseln zum Hauptgegenstand des Vertrags und zur Angemessenheit des Preises.
Eine missbräuchliche Bedingung ist nicht bindend, und zwar in Gänze: Eine Auslegung, die einen zulässigen Rest stehen lässt, gibt es grundsätzlich nicht. Der übrige Vertrag bleibt bestehen, soweit er ohne die gestrichene Regelung noch Sinn ergibt. Das Risiko trägt die stärkere Partei, und als kleines Startup stehst du meist auf der geschützten Seite. Umgekehrt gehören deine eigenen Kundenverträge auf den Prüfstand, besonders wenn du ein Unternehmen übernommen und dessen Vertragsmuster geerbt hast.
Zeitlich gilt die Kontrolle seit dem 12. September 2025 für Verträge, die danach geschlossen werden. Für ältere Verträge greift sie ab dem 12. September 2027, wenn sie unbefristet sind oder eine Laufzeit bis mindestens zum 11. Januar 2034 haben. Als Hilfe hat die Europäische Kommission unverbindliche Mustervertragsklauseln für Datenzugang und Datennutzung veröffentlicht; ihre Verwendung ist freiwillig.
Quellen: Bundesnetzagentur, Missbräuchliche Vertragsklauseln | Europäische Kommission, Datengesetz erklärt
Die Vier-Wochen-Prüfung für dein Team
Woche 1, Datenmapping. Schreib auf, welche Daten in deinem vernetzten Produkt entstehen und welche im verbundenen Dienst. Trenne Rohdaten von abgeleiteten Daten und kläre, wer in deiner Kette Nutzer, Kunde, Betreiber oder Dritter ist. Ohne diese Grundlage ist jeder weitere Schritt geraten.
Woche 2, Größenprüfung und Verträge. Halte zuerst fest, in welche Größenklasse du fällst und ob eines der drei Löcher der Ausnahme auf dich zutrifft. Danach sichtest du Kundenverträge, AGB und Vendor-Verträge auf Klauseln zu Datenzugang, Haftung, Kündigung und Migration. Die Einkaufsseite vergisst fast jedes Team.
Woche 3, Export- und Migrationstest. Mach einen echten Test mit echten Daten. Ist der Export vollständig und maschinenlesbar? Stimmt die Dokumentation der Schnittstellen? Und vor allem: Kann jemand mit diesem Export in einem Zweitsystem weiterarbeiten? Ein Export-Button, dessen Ergebnis niemand importieren kann, hält der Prüfung nicht stand.
Woche 4, Zuständigkeit und offene Fragen. Benenne eine verantwortliche Person, sammle deine Fragen an die Cloud- und Plattformanbieter zu Exit, Interoperabilität und Fristen und priorisiere die Lücken auf der Produkt-Roadmap. Das Vorgehen kennst du womöglich schon aus der NIS2-Prüfung.
Häufige Fragen zum EU Data Act
Gilt der Data Act auch für mein Zwei-Personen-Startup?
Die Pflicht, Produktdaten bereitzustellen, trifft dich als Kleinstunternehmen nicht, solange du kein Partnerunternehmen hast, nicht zu einem größeren Konzern gehörst und nicht als Unterauftragnehmer für ein größeres Unternehmen entwickelst. Die Regeln zum Anbieterwechsel und zu missbräuchlichen Vertragsklauseln gelten dagegen unabhängig von deiner Größe, und als Kunde profitierst du von ihnen.
Was ist der Unterschied zwischen Data Act und DSGVO?
Die DSGVO regelt den Umgang mit personenbezogenen Daten. Der Data Act regelt, wer auf durch Nutzung erzeugte Daten zugreifen darf und welche Rechte beim Wechsel zwischen Datenverarbeitungsdiensten bestehen. Beide gelten parallel, sobald die Daten einen Personenbezug haben.
Muss ich als reiner SaaS-Anbieter etwas tun?
Software als Dienst zählt zu den Datenverarbeitungsdiensten. Für dich zählen daher vor allem die Wechselregeln: nachvollziehbare Angaben schon vor Vertragsschluss, funktionierende Exportwege und das Auslaufen der Wechselentgelte. Die Pflicht zur Bereitstellung von Produktdaten greift erst, wenn ein vernetztes Produkt im Spiel ist.
Wo bekomme ich verbindliche Auskunft?
Die Bundesnetzagentur ist in Deutschland die zuständige Stelle und führt Hintergrundseiten, ein Glossar und ein Beschwerdeportal. Die Europäische Kommission betreibt zusätzlich einen Legal Helpdesk und hat Mustervertragsklauseln veröffentlicht. Für deinen konkreten Vertrag ersetzt beides keine anwaltliche Prüfung.
Fazit
Für die meisten jungen Unternehmen ist der EU Data Act kein Compliance-Projekt, sondern eine Einordnung mit drei Fragen: Fällst du unter die Ausnahme für kleine Unternehmen, erzeugt dein Produkt überhaupt die Daten, um die es geht, und hält dein Dienst einem echten Export stand? Die Fristen bestimmen dann die Reihenfolge: Die Produktgestaltungspflicht läuft bereits, das Ende der Wechselentgelte steht als Nächstes an, und die Klauselkontrolle erreicht Altverträge zuletzt.
Daraus wird eine Roadmap, und aus der Roadmap ein Verkaufsargument: Ein Produkt, aus dem Kunden ihre Daten jederzeit mitnehmen können, verkauft sich im B2B-Geschäft leichter als eines, bei dem der Exit eine offene Frage bleibt.
Transparenzhinweis: Dieser Beitrag wurde unter Zuhilfenahme künstlicher Intelligenz erstellt und redaktionell geprüft. Alle Zahlen, Fristen und Rechtsaussagen sind an den genannten amtlichen Quellen belegt.
