Am 12. September 2026 ist eine Frist abgelaufen, von der die meisten kleinen Unternehmen nie gehört haben. Seit diesem Tag müssen vernetzte Produkte, die neu in den Verkehr kommen, so konstruiert sein, dass der Nutzer an die Daten herankommt, die das Gerät erzeugt. Nicht auf Anfrage, nicht als Kulanz — von der Konstruktionszeichnung an.
Ich schreibe das sieben Wochen nach dem Stichtag, weil die Lage dadurch klarer ist als vorher: Es gibt jetzt keine Vorbereitungsphase mehr, sondern nur noch die Frage, ob dein Betrieb betroffen ist oder nicht. Und es gibt einen zweiten Termin, der deutlich mehr Unternehmen trifft als der erste — den schauen wir uns gleich an, weil er für die meisten die eigentliche Nachricht ist.
Was der Data Act regelt — und was nicht
Der EU Data Act ist die Verordnung (EU) 2023/2854, auf Deutsch Datenverordnung. Sie ist am 11. Januar 2024 in Kraft getreten und seit dem 12. September 2025 in weiten Teilen anwendbar. Ihr Thema ist der Zugang zu Daten, die vernetzte Produkte und zugehörige Dienste erzeugen: Maschinensensorik, Fahrzeugdaten, Gebäudetechnik, Smart-Home-Geräte.
Die wichtigste Abgrenzung zuerst, weil sie am häufigsten verwechselt wird: Die DSGVO regelt personenbezogene Daten. Der Data Act regelt vor allem nicht-personenbezogene Daten — Betriebsdaten, Messwerte, Nutzungsdaten einer Maschine. Beide können im selben Datensatz zusammentreffen, dann gelten beide. Der Data Act ersetzt die DSGVO also nicht und lockert sie auch nicht, er legt eine zweite Schicht darüber. Details stehen bei der Europäischen Kommission.
Der Kerngedanke: Wer eine Maschine kauft und benutzt, soll an die Daten dieser Maschine herankommen, statt sie dem Hersteller exklusiv zu überlassen. Das ist weniger ein Datenschutzthema als ein Wettbewerbsthema.
Die zwei Rollen, in denen dich das trifft
Hier liegt der Punkt, an dem die meisten Zusammenfassungen zu kurz greifen. Der Data Act trifft dich in zwei völlig verschiedenen Rollen, und die Pflichten dahinter haben fast nichts miteinander zu tun.
Rolle 1: Du stellst vernetzte Produkte her oder verkaufst sie. Dann betrifft dich der Datenzugang nach Kapitel II — Zugang gewähren, vor Vertragsabschluss offenlegen, welche Daten entstehen, und seit dem 12. September 2026 den Zugang technisch von Anfang an mitbauen. Das ist die Pflichtenseite, und sie betrifft einen überschaubaren Teil der kleinen Betriebe.
Rolle 2: Du bist Kunde eines Cloud- oder Softwareanbieters. Dann betrifft dich Kapitel VI — und das ist für dich keine Pflicht, sondern ein Recht. Du bekommst Ansprüche gegen deinen Anbieter. Diese Rolle trifft praktisch jeden Betrieb, der irgendeine Software in der Cloud nutzt, also fast alle.
Wenn du nur eine Sache aus diesem Artikel mitnimmst: Prüfe erst, in welcher der beiden Rollen du steckst. Die meisten kleinen Unternehmen sind ausschließlich in Rolle 2 — und damit auf der Gewinnerseite der Verordnung, nicht auf der Pflichtenseite.
Bin ich von den Herstellerpflichten ausgenommen?
Für Rolle 1 gibt es eine Größenausnahme, und die ist großzügiger, als man erwartet. Sie ist aber auch enger, als sie auf den ersten Blick klingt.
| Unternehmensgröße | Datenzugang by Design (Kap. II) | Herausgabe auf Nutzerverlangen | Cloud-Wechselrechte |
|---|---|---|---|
| Kleinstunternehmen (unter 10 Beschäftigte) | ausgenommen | bleibt bestehen | gilt als Recht |
| Kleinunternehmen (unter 50 Beschäftigte, bis 10 Mio. € Umsatz oder Bilanzsumme) | ausgenommen | bleibt bestehen | gilt als Recht |
| Mittlere Unternehmen (50–249 Beschäftigte) | gilt seit 12.09.2026 | gilt | gilt als Recht |
| Kleinbetrieb als Unterauftragnehmer für Konstruktion oder Herstellung | nicht ausgenommen | gilt | gilt als Recht |
Zwei Dinge daran werden regelmäßig falsch dargestellt, deshalb ausdrücklich:
Erstens befreit die Ausnahme von den konstruktiven Gestaltungspflichten — nicht von den reaktiven Ansprüchen. Wenn ein Kunde Daten verlangt, die bei dir leicht verfügbar vorliegen, hilft dir die Kleinunternehmer-Ausnahme nicht. Du musst das Produkt nicht umbauen, die Daten aber trotzdem herausgeben.
Zweitens fällt die Ausnahme weg, wenn du als Unterauftragnehmer mit Konstruktion oder Herstellung eines vernetzten Produkts beauftragt bist. Der Zulieferer mit acht Leuten, der für einen Maschinenbauer eine Steuerung entwickelt, ist also nicht automatisch draußen. Genau dieser Fall kommt im Mittelstand häufig vor, und er wird in den meisten Übersichten schlicht unterschlagen.
Der 12. Januar 2027: Cloud-Wechsel wird kostenlos
Das ist der Termin, der mehr Betriebe betrifft als alles andere am Data Act — und der am wenigsten diskutiert wird, weil er nach einer Anbieterpflicht aussieht und nicht nach einer Kundennachricht.
Seit dem 12. September 2025 dürfen Anbieter von Datenverarbeitungsdiensten für einen Anbieterwechsel nur noch Entgelte verlangen, die ihre tatsächlichen Kosten nicht überschreiten. Ab dem 12. Januar 2027 ist auch das vorbei: Wechselentgelte sind dann vollständig verboten, ausdrücklich einschließlich der Egress-Kosten für den Datenabzug, soweit sie mit dem Wechsel zusammenhängen.
Was das praktisch bedeutet: Der häufigste Grund, warum Unternehmen bei einem unpassenden Cloud- oder Softwareanbieter bleiben, ist nicht Zufriedenheit — es ist die Rechnung für den Auszug. Diese Rechnung fällt in gut zehn Wochen weg. Wenn du also seit Längerem mit einem Anbieter unglücklich bist, aber die Wechselkosten gescheut hast, ist das Zeitfenster jetzt da.
Eine Einschränkung muss ich dazusagen, damit keine falsche Erwartung entsteht: Verboten ist, dass der alte Anbieter dir den Ausstieg in Rechnung stellt. Der Aufwand eines Wechsels verschwindet damit nicht — Datenmigration, Neueinrichtung, Schulung und Parallelbetrieb kosten weiter Geld und Zeit, nur eben nicht mehr als Strafgebühr des Anbieters, den du verlässt. Wer diesen Aufwand klein halten will, braucht vorher eine saubere Übersicht seiner Datenflüsse; bei genau dieser Bestandsaufnahme hilft eine strukturierte Workflow-Automatisierung mehr als jede Vertragsprüfung.
Wer kontrolliert das, und was kostet ein Verstoß
In Deutschland setzt das Datenverordnung-Anwendungs-und-Durchsetzungs-Gesetz — kurz DADG — den Data Act um. Der Bundestag hat es am 26. März 2026 beschlossen, in Kraft ist es seit Mai 2026. Den Gesetzestext gibt es bei gesetze-im-internet.de.
Zuständige Behörde ist die Bundesnetzagentur. Sie überwacht die Umsetzung, bearbeitet Beschwerden über ein eigenes Portal und verhängt Bußgelder. Für Fragen gibt es dort die Adresse DataAct@BNetzA.de. Geht es um personenbezogene Daten, ist zusätzlich die Bundesdatenschutzbeauftragte im Spiel.
Die Bußgelder sind gestaffelt: bis 50.000 Euro bei leichten, bis 100.000 Euro bei mittelschweren und bis 500.000 Euro bei schweren Verstößen. Das ist deutlich weniger als die ursprünglich diskutierten zehn Millionen und auch weniger als im AI Act — ich halte es trotzdem nicht für vernachlässigbar, weil ein Bußgeld selten allein kommt. Sind personenbezogene Daten betroffen, gilt der DSGVO-Rahmen zusätzlich, also bis zu 20 Millionen Euro oder vier Prozent des Jahresumsatzes.
Was ich daraus ableite: Panik ist unangebracht, Ignorieren auch. Die realistische Gefahr für einen kleinen Betrieb ist nicht die Behörde, sondern der Großkunde, der Nachweise verlangt, bevor er den nächsten Auftrag vergibt.
Was ich an deiner Stelle in den nächsten Wochen tun würde
Vier Schritte, in dieser Reihenfolge. Zusammen ein halber Tag, nicht mehr.
- Rolle klären. Stellst du vernetzte Produkte her oder lieferst du Teile dafür zu? Wenn nein, sind Kapitel II und der 12. September 2026 für dich erledigt — weiter zu Schritt 3.
- Bei Produkten: Bestandsliste. Welche Geräte hast du nach dem 12. September 2026 neu in den Verkehr gebracht? Nur die unterliegen der Design-Pflicht. Älteres bleibt, wie es ist. Prüfe dabei auch deine Zulieferverträge auf die Unterauftragnehmer-Konstellation.
- Cloud-Verträge sichten. Liste alle Datenverarbeitungsdienste auf, die du nutzt, und notiere Kündigungsfristen und vereinbarte Wechsel- oder Egress-Entgelte. Alles, was nach dem 12. Januar 2027 noch an Ausstiegsgebühren verlangt wird, ist angreifbar. Denk dabei an die Dienste, die man nicht als „Cloud” abspeichert: Auch ein KI-Telefonassistent oder ein Web-Assistent ist ein Datenverarbeitungsdienst im Sinne der Verordnung — Gesprächsprotokolle und Chatverläufe gehören also mit auf die Liste.
- Einen Wechsel durchrechnen, den du ohnehin erwogen hast. Ab Januar fehlt dem Zögern das stärkste Argument.
Für Schritt 3 reicht in den meisten Fällen eine Tabelle. Wenn du dabei merkst, dass niemand im Haus genau sagen kann, welche Dienste überhaupt im Einsatz sind, ist das der eigentliche Befund — und ein guter Anlass für einen Website- und Infrastruktur-Audit, bevor der Januar-Termin ungenutzt verstreicht.
Häufige Fragen zum EU Data Act
Betrifft der Data Act mich, wenn ich nur Software nutze und keine Geräte verkaufe?
Ja, aber ausschließlich auf der Rechteseite. Du hast dann Ansprüche gegen deine Cloud- und Softwareanbieter auf Wechselunterstützung und ab 12. Januar 2027 auf einen entgeltfreien Ausstieg. Pflichten aus Kapitel II treffen dich nicht.
Ich habe unter zehn Mitarbeiter — muss ich gar nichts machen?
Von den Design-Pflichten bist du befreit. Zwei Ausnahmen bleiben: Du musst leicht verfügbare Daten auf Verlangen des Nutzers trotzdem herausgeben, und die Befreiung entfällt, wenn du als Unterauftragnehmer an Konstruktion oder Herstellung eines vernetzten Produkts beteiligt bist.
Was ist am 12. September 2026 genau passiert?
Ab diesem Tag muss der Datenzugang bei vernetzten Produkten, die neu in Verkehr gebracht werden, konstruktiv vorgesehen sein. Für Produkte, die vorher auf dem Markt waren, gilt diese Design-Anforderung nicht.
Ersetzt der Data Act die DSGVO?
Nein. Der Data Act betrifft vor allem nicht-personenbezogene Daten und tritt neben die DSGVO. Treffen beide in einem Datensatz zusammen, gelten beide Regelwerke gleichzeitig.
Wer ist mein Ansprechpartner bei Problemen?
Die Bundesnetzagentur auf Grundlage des DADG. Sie betreibt ein Beschwerdeportal, über das du zum Beispiel einen Anbieter melden kannst, der den Wechsel behindert.
Wie hoch sind die Bußgelder?
Gestaffelt bis 50.000, 100.000 und 500.000 Euro je nach Schwere des Verstoßes. Bei personenbezogenen Daten kommt der DSGVO-Rahmen hinzu.
Mein Fazit
Der Data Act ist für die meisten kleinen Unternehmen keine Pflichtenlawine, sondern ein Satz neuer Rechte — und er wird genau deshalb übersehen. Die Design-Pflicht seit dem 12. September 2026 trifft Hersteller vernetzter Produkte und ihre Entwicklungszulieferer. Alle anderen stehen auf der anderen Seite des Tisches.
Der Termin, den ich mir an deiner Stelle notieren würde, ist der 12. Januar 2027. Ab dann kostet der Abschied von einem Anbieter nichts mehr, und die Abhängigkeit, die sich über Jahre aufgebaut hat, wird verhandelbar. Wer bis dahin weiß, welche Dienste er nutzt und was in den Verträgen steht, kann das sofort nutzen. Wer es nicht weiß, lässt ein Fenster ungenutzt, das sich so schnell nicht wieder öffnet.
Wenn du unsicher bist, in welcher der beiden Rollen dein Betrieb steckt, melde dich kurz bei mir — das ist meist in zwanzig Minuten geklärt, und oft ist die Antwort beruhigender als erwartet.
Dieser Artikel gibt den Stand vom 30. Oktober 2026 wieder und ersetzt keine Rechtsberatung. Für die verbindliche Einordnung deines konkreten Falls sprich mit einem Fachanwalt für IT-Recht.
