Data Act und KI

Der Data Act (Verordnung (EU) 2023/2854) gilt seit dem 12. September 2025 und regelt, wer die Daten vernetzter Produkte nutzen darf. Für Hersteller, Anbieter verbundener Dienste und Unternehmen, die mit Produkt- und Nutzungsdaten KI-Systeme trainieren, verschiebt er die Machtverhältnisse: Nutzer erhalten Zugangs- und Weitergaberechte, Dateninhaber müssen ihre Datennutzung vertraglich absichern.

Datenzugangsrechte bei vernetzten Produkten

Der Data Act erfasst vernetzte Produkte, die Daten über ihre Nutzung oder Umgebung erzeugen und übermitteln können, sowie verbundene Dienste, also digitale Dienste, ohne die das Produkt eine seiner Funktionen nicht erfüllen könnte. Beispiele sind Maschinen und Anlagen mit Fernwartung, Fahrzeuge, Medizingeräte, Smart-Home-Geräte und landwirtschaftliche Maschinen.

Nutzer, also Unternehmen wie Verbraucher, können vom Dateninhaber verlangen, dass ihnen die bei der Nutzung erzeugten Daten unverzüglich, unentgeltlich, in einem gängigen und maschinenlesbaren Format und gegebenenfalls kontinuierlich und in Echtzeit bereitgestellt werden (Art. 4). Erfasst sind die „Rohdaten“ und vorverarbeitete Daten einschließlich der zu ihrer Auslegung nötigen Metadaten. Nicht erfasst sind abgeleitete Daten, die durch proprietäre Algorithmen erzeugt wurden, etwa die Ergebnisse einer KI-Auswertung.

Vor Vertragsschluss sind Nutzer zudem nach Art. 3 Abs. 2 und 3 über Art, Umfang und Format der erzeugten Daten, den Zugang und die beabsichtigte Nutzung durch den Dateninhaber zu informieren.

Access by Design ab 12. September 2026

Für vernetzte Produkte und verbundene Dienste, die nach dem 12. September 2026 in Verkehr gebracht werden, gilt Art. 3 Abs. 1: Produkte sind so zu konzipieren und herzustellen, dass die Daten für den Nutzer standardmäßig einfach, sicher, unentgeltlich und, soweit relevant und technisch durchführbar, direkt zugänglich sind.

Praxistipp: Access by Design ist eine Anforderung an die Produktentwicklung. Wer Datenzugang erst nachträglich über manuelle Exporte organisiert, verfehlt die Vorgabe für neue Produkte. Prüfen Sie Ihre Produkt-Roadmap, Schnittstellen und Nutzerportale.

Datenweitergabe an Dritte

Auf Verlangen des Nutzers muss der Dateninhaber die Daten auch an einen vom Nutzer benannten Dritten herausgeben (Art. 5), etwa an einen unabhängigen Wartungsdienstleister oder einen Anbieter von Analysesoftware. Im Verhältnis zu diesem Dritten darf der Dateninhaber eine angemessene Gegenleistung verlangen, die nach Art. 9 nichtdiskriminierend sein muss und bei KMU auf die Kosten der Bereitstellung begrenzt ist.

Der Dritte unterliegt Nutzungsbeschränkungen (Art. 6): Er darf die Daten nur für die mit dem Nutzer vereinbarten Zwecke verwenden und nicht zur Entwicklung eines Konkurrenzprodukts nutzen. Als Datenempfänger ausgeschlossen sind Unternehmen, die als Torwächter nach dem Digital Markets Act benannt sind.

Nutzung der Daten durch den Dateninhaber

Der Hersteller oder Diensteanbieter darf nicht-personenbezogene Produktdaten nur auf Grundlage eines Vertrags mit dem Nutzer verwenden (Art. 4 Abs. 13). Die Daten dürfen nicht dazu genutzt werden, Rückschlüsse auf die wirtschaftliche Lage, Vermögenswerte oder Produktionsmethoden des Nutzers zu ziehen, die dessen Marktstellung untergraben könnten.

Bedeutung für das Training von KI mit Produktdaten

Für KI-Projekte ist dies der Kern des Data Act. Wer Maschinen-, Fahrzeug- oder Gerätedaten für das Training oder die Verbesserung von KI-Modellen nutzt, braucht eine tragfähige vertragliche Grundlage:

Vertragliche Nutzungserlaubnis: Das Training eigener Modelle mit Produktdaten sollte im Nutzungsvertrag ausdrücklich und hinreichend bestimmt vorgesehen sein.
Zweckbindung: Die vereinbarten Zwecke begrenzen die Nutzung. Ein später hinzugenommenes Trainingsprojekt ist nicht automatisch gedeckt.
Wettbewerbsschutz des Nutzers: Modelle, die Produktionsgeheimnisse oder Wirtschaftsdaten einzelner Kunden abbilden, sind problematisch.
Datenqualität: Nutzer und Dritte können dieselben Rohdaten verwenden. Ein exklusiver Datenvorsprung lässt sich über den Data Act nicht mehr halten, wohl aber über abgeleitete Daten und Modelle.
Personenbezug: Viele Produktdaten sind personenbezogen, etwa Fahrdaten oder Gesundheitsdaten von Wearables. Dann ist zusätzlich die DSGVO maßgeblich.

Umgekehrt eröffnet der Data Act Chancen: Anbieter von KI-Analysen oder Predictive-Maintenance-Lösungen können über den Nutzer Zugang zu Daten erhalten, die bisher beim Hersteller verschlossen waren.

Unfaire Vertragsklauseln (Art. 13)

Art. 13 kontrolliert Klauseln über Datenzugang und Datennutzung, die ein Unternehmen einem anderen Unternehmen einseitig auferlegt. Eine solche Klausel ist unwirksam, wenn sie missbräuchlich ist. Die Verordnung nennt Klauseln, die stets als missbräuchlich gelten, etwa einen Haftungsausschluss für vorsätzliches oder grob fahrlässiges Handeln oder das einseitige Recht, die Vertragskonformität der Daten zu bestimmen. Weitere Klauseln werden als missbräuchlich vermutet, etwa unangemessene Beschränkungen der Nutzung der von der anderen Partei bereitgestellten Daten.

Seit dem 12. September 2025 gilt dies für neue Verträge. Für Altverträge, die unbefristet sind oder frühestens zehn Jahre nach dem 11. Januar 2024 auslaufen, greift Art. 13 ab dem 12. September 2027.

Cloud-Wechsel

Kapitel VI verpflichtet Anbieter von Datenverarbeitungsdiensten wie Cloud-, PaaS- und SaaS-Angeboten, ihren Kunden den Wechsel zu einem anderen Anbieter oder in die eigene Infrastruktur zu ermöglichen. Vorgesehen sind unter anderem eine Kündigungsfrist von höchstens zwei Monaten, ein Übergangszeitraum von grundsätzlich 30 Tagen und die Unterstützung beim Export von Daten und digitalen Vermögenswerten. Bis zum 11. Januar 2027 dürfen Anbieter allenfalls ermäßigte Wechselentgelte in Höhe der unmittelbaren Kosten verlangen; ab dem 12. Januar 2027 sind Wechselentgelte unzulässig.

Für KI-Plattformen und Machine-Learning-Umgebungen in der Cloud bedeutet das: Verträge müssen den Export von Trainingsdaten, Konfigurationen und Modellartefakten regeln, soweit sie zu den exportierbaren Daten gehören.

Schutz von Geschäftsgeheimnissen

Der Data Act lässt Geschäftsgeheimnisse nicht schutzlos (Art. 4 Abs. 6 bis 8, Art. 5 Abs. 9 bis 11). Der Dateninhaber kann vor der Herausgabe technische und organisatorische Schutzmaßnahmen vereinbaren, etwa Vertraulichkeitsvereinbarungen und Zugriffsbeschränkungen. Werden diese nicht eingehalten oder droht ein schwerer wirtschaftlicher Schaden, kann er die Herausgabe in Ausnahmefällen verweigern, muss dies aber begründen und der zuständigen Behörde mitteilen.

Typischer Fehler: Unternehmen berufen sich pauschal auf Geschäftsgeheimnisse. Das trägt nicht. Erforderlich sind eine konkrete Identifizierung der geschützten Daten und dokumentierte Schutzmaßnahmen im Sinne des Geschäftsgeheimnisgesetzes.

Verhältnis zur DSGVO

Die DSGVO bleibt unberührt und geht im Konfliktfall vor (Art. 1 Abs. 5). Der Data Act schafft keine eigene Rechtsgrundlage für die Verarbeitung personenbezogener Daten. Sind Produktdaten personenbezogen, gilt:

Die Herausgabe an Nutzer, die nicht die betroffene Person sind, und an Dritte braucht eine Rechtsgrundlage nach Art. 6 DSGVO, bei Gesundheitsdaten zusätzlich nach Art. 9 DSGVO.
Das Training von KI-Modellen mit solchen Daten ist eine eigene Verarbeitung mit eigener Rechtsgrundlage.
Datenschutz durch Technikgestaltung (Art. 25 DSGVO) und Access by Design sind gemeinsam umzusetzen, etwa durch Pseudonymisierung an der Schnittstelle.
Bei umfangreichen Verarbeitungen kann eine Datenschutz-Folgenabschätzung (Art. 35 DSGVO) erforderlich sein.

Hinweise zur technischen Umsetzung finden Sie unter Anonymisierung und Pseudonymisierung.

Checkliste für Hersteller und Anbieter

Vernetzte Produkte und verbundene Dienste erfassen, die in den Anwendungsbereich fallen.
Datenkategorien bestimmen: Rohdaten, vorverarbeitete Daten, abgeleitete Daten, personenbezogene Daten.
Vorvertragliche Informationen nach Art. 3 Abs. 2 und 3 erstellen.
Für neue Produkte Access by Design in Schnittstellen und Portalen umsetzen.
Nutzungsverträge mit Kunden aufsetzen, die die eigene Datennutzung einschließlich KI-Training regeln.
Prozess für Zugangs- und Weitergabeverlangen einschließlich Geschäftsgeheimnisschutz einrichten.
B2B-Verträge über Daten auf Art. 13 prüfen.
Cloud-Verträge auf Wechselrechte und Exportfähigkeit prüfen.

So unterstützen wir Sie

Einordnung Ihrer Produkte und Dienste in den Anwendungsbereich des Data Act
Gestaltung von Datennutzungsverträgen, vorvertraglichen Informationen und Vertragsmustern für Datenweitergaben
Rechtliche Absicherung des KI-Trainings mit Produkt- und Nutzungsdaten
Prüfung von B2B-Datenklauseln nach Art. 13 und von Cloud-Verträgen
Konzepte zum Schutz von Geschäftsgeheimnissen bei Herausgabeverlangen
Abstimmung von Data Act und DSGVO, einschließlich Datenschutz-Folgenabschätzung

Häufige Fragen

Gilt der Data Act auch für Software ohne eigenes Gerät?

Der Datenzugangsanspruch knüpft an vernetzte Produkte und verbundene Dienste an. Reine Software ohne Produktbezug fällt insoweit nicht darunter. Die Regeln zum Cloud-Wechsel und zu unfairen Klauseln können aber unabhängig davon gelten.

Muss ein Hersteller auch KI-Auswertungen herausgeben?

Nein. Erfasst sind Rohdaten und vorverarbeitete Daten. Abgeleitete Informationen, die durch komplexe proprietäre Algorithmen gewonnen werden, muss der Dateninhaber nicht herausgeben.

Darf ein Hersteller Produktdaten zum Training eigener KI-Modelle verwenden?

Ja, wenn er dies mit dem Nutzer vertraglich vereinbart hat und die Nutzung die Grenzen des Art. 4 Abs. 13 und 14 sowie bei personenbezogenen Daten die DSGVO einhält.

Welche Behörde ist in Deutschland zuständig?

Die Zuständigkeit ergibt sich aus dem nationalen Durchführungsrecht. Prüfen Sie im Einzelfall den aktuellen Stand der Behördenzuständigkeit.