Data Act (deutsch Datengesetz, formal Verordnung (EU) 2023/2854 über harmonisierte Vorschriften für einen fairen Datenzugang und eine faire Datennutzung) ist die europäische Verordnung für den Datenzugang aus vernetzten Produkten. Sie gibt Nutzer:innen vernetzter Produkte und verbundener Dienste einen Rechtsanspruch auf die von ihnen erzeugten Daten und erleichtert den Wechsel zwischen Cloud- und Datenverarbeitungsdiensten.
Die Verordnung wurde am 22. Dezember 2023 im Amtsblatt der Europäischen Union veröffentlicht, trat am 11. Januar 2024 in Kraft und ist seit dem 12. September 2025 überwiegend anwendbar (Artikel 50). Einzelne Bestimmungen – etwa der vollständige Abbau der Wechselentgelte beim Anbieterwechsel – folgen gestaffelt bis 2027.
Zusammenfassung
Der Data Act adressiert ein Ungleichgewicht, das mit dem Internet der Dinge entstanden ist: Hersteller vernetzter Produkte – vom Mähroboter bis zur Industrieanlage – sammeln durch die Nutzung ihrer Geräte fortlaufend Daten, auf die Nutzer:innen bislang keinen gesicherten Zugriff hatten. Kapitel II der Verordnung ändert das, indem es einen Zugangs- und Weitergabeanspruch schafft.
Eine zweite Säule, Kapitel VI, betrifft den Markt für Cloud- und Datenverarbeitungsdienste: Sie soll den Anbieterwechsel technisch und vertraglich erleichtern und sogenannte Lock-in-Effekte abbauen. Eine dritte Säule schützt in der EU gespeicherte, nicht-personenbezogene Daten vor unrechtmäßigem Zugriff durch Behörden aus Drittstaaten.
Kleinst- und Kleinunternehmen sind als Dateninhaber von den Kapitel-II-Pflichten weitgehend ausgenommen; personenbezogene Daten in diesem Datenverkehr bleiben zusätzlich vollumfänglich der DSGVO unterworfen. Der Data Act tritt neben sie, nicht an ihre Stelle.
Begriffsgeschichte
Die Europäische Kommission legte den Vorschlag für den Data Act am 23. Februar 2022 vor – als Teil der Europäischen Datenstrategie von 2020, die zuvor bereits den Data Governance Act hervorgebracht hatte.
Während der Data Governance Act vor allem die Weiternutzung öffentlicher und freiwillig geteilter Daten regelt, adressiert der Data Act den direkten Zugangsanspruch an Daten aus der Nutzung vernetzter Produkte – die beiden Verordnungen sind Schwesterrechtsakte derselben Strategie, mit unterschiedlichem Ansatzpunkt.
Nach Trilog-Verhandlungen zwischen Parlament, Rat und Kommission wurde der Text im November 2023 politisch vereinbart, am 27. November 2023 vom Parlament verabschiedet und am 22. Dezember 2023 im Amtsblatt veröffentlicht.
Die zwanzigmonatige Übergangsfrist bis zur Anwendbarkeit am 12. September 2025 sollte Unternehmen und Behörden Zeit zur Umsetzung geben – unter anderem für nationale Durchführungsgesetze. In Deutschland beschloss der Bundestag ein solches Durchführungsgesetz am 26. März 2026.
Methodische Grundlagen
Datenzugang für Nutzer:innen (Kapitel II, Artikel 3 bis 5). Hersteller vernetzter Produkte und Anbieter verbundener Dienste müssen Nutzungsdaten so gestalten, dass Nutzer:innen standardmäßig direkten Zugriff darauf haben.
Wo das technisch nicht möglich ist, besteht ein Anspruch gegen den Dateninhaber auf unverzügliche, kostenlose und – soweit relevant – kontinuierliche Bereitstellung in einem strukturierten, gängigen und maschinenlesbaren Format (Europäisches Parlament und Rat 2023, Artikel 3–5).
Nutzer:innen dürfen diese Daten zudem an selbstgewählte Dritte weitergeben, etwa an Reparaturbetriebe oder Analysedienste – ausgenommen sind nach dem Digital Markets Act benannte Gatekeeper, die solche Daten nicht als Dritte erhalten dürfen.
Ausnahme für Kleinst- und Kleinunternehmen (Artikel 7). Wer weniger als zehn Beschäftigte hat und höchstens zwei Millionen Euro Jahresumsatz oder -bilanzsumme erzielt (Kleinstunternehmen) beziehungsweise unter fünfzig Beschäftigten mit höchstens zehn Millionen Euro bleibt (Kleinunternehmen), ist von den Kapitel-II-Pflichten als Dateninhaber ausgenommen.
Eine Ausnahme von der Ausnahme gilt, wenn das Unternehmen zu einer größeren Unternehmensgruppe gehört oder als Auftragnehmer für Entwicklung oder Herstellung des Produkts beauftragt wurde (Europäisches Parlament und Rat 2023, Artikel 7).
Anbieterwechsel bei Datenverarbeitungsdiensten (Kapitel VI, Artikel 23 bis 31). Anbieter von Cloud- und ähnlichen Diensten dürfen Kündigungsfristen von höchstens zwei Monaten vorsehen. Sie müssen zudem eine Übergangsphase von in der Regel dreißig Tagen für den Wechsel zu einem anderen Anbieter einräumen, verlängerbar auf bis zu sieben Monate bei nachgewiesenem technischen Bedarf (Europäisches Parlament und Rat 2023, Artikel 23–31).
Wechselentgelte werden seit dem 12. September 2025 schrittweise reduziert und sind ab dem 12. Januar 2027 vollständig verboten – Anbieter dürfen ab diesem Datum nur noch tatsächlich entstandene Migrationskosten in Rechnung stellen (Bundesnetzagentur 2025, Anbieterwechsel).
Schutz vor Drittstaaten-Zugriff (Kapitel VII, Artikel 32). Anbieter von Datenverarbeitungsdiensten müssen technische, organisatorische und vertragliche Maßnahmen treffen, um zu verhindern, dass Behörden oder Gerichte aus Drittstaaten unrechtmäßig auf in der EU gespeicherte, nicht-personenbezogene Daten zugreifen (Europäisches Parlament und Rat 2023, Artikel 32).
Für personenbezogene Daten in denselben Systemen bleiben unverändert die Regeln der DSGVO maßgeblich, einschließlich ihrer eigenen Vorgaben zu Drittstaatentransfers.
Verhältnis zur DSGVO (Artikel 1 Absatz 5). Der Data Act lässt das Datenschutzrecht der Union ausdrücklich unberührt: Wo Nutzungsdaten personenbezogen sind, gilt zusätzlich die DSGVO, und im Kollisionsfall hat sie nach Erwägungsgrund 7 Vorrang (Europäisches Parlament und Rat 2023, Artikel 1 Absatz 5). Der Data Act öffnet Zugänge, schafft aber selbst keine Rechtsgrundlage für die Verarbeitung personenbezogener Daten.
Anwendungsfelder
Für die KI-Landschaft ist der Data Act vor allem als Datenquelle relevant, nicht als KI-spezifisches Gesetz. Vernetzte Produkte – Industrieroboter, Fahrzeuge, medizinische Geräte, Haushaltsgeräte, Sensorik in der Landwirtschaft – erzeugen fortlaufend Sensor- und Nutzungsdaten in einem Umfang, den klassische Web-Scraping-Quellen nicht liefern können.
Der Zugangs- und Weitergabeanspruch nach Kapitel II öffnet diese Datenströme erstmals systematisch für Dritte, sofern die Nutzer:innen zustimmen – womit sie potenziell auch als Trainingsdaten für KI-Systeme infrage kommen, etwa in der vorausschauenden Wartung, der Robotik oder autonomen Fahrfunktionen.
Diese Öffnung erzeugt zugleich eine Reibung mit der KI-Verordnung. Artikel 10 der KI-Verordnung verlangt von Anbietern von Hochrisiko-Systemen dokumentierte Daten-Governance – Herkunft, Repräsentativität und Qualität der Trainingsdaten müssen nachweisbar sein (Europäisches Parlament und Rat 2024, Artikel 10).
Daten, die über den Data-Act-Anspruch von Dritten bezogen werden, durchlaufen diese Kette typischerweise nicht in derselben Kontrolle wie selbst erhobene Daten. Wer Nutzungsdaten eines fremden Produkts als Trainingsdatenquelle übernimmt, muss ihre Governance-Anforderungen selbst erfüllen, ohne auf die Dokumentation des ursprünglichen Dateninhabers zurückgreifen zu können.
Diese Spannung zwischen offenem Datenzugang und geschlossener Governance-Kette ist in der Fachdiskussion bislang eher benannt als aufgelöst.
Für Anbieter von Datenverarbeitungsdiensten, auf denen KI-Trainingsinfrastruktur läuft, greifen zudem die Kapitel-VI-Regeln zum Anbieterwechsel unmittelbar – sie senken die Wechselkosten zwischen Cloud-Anbietern, was auch für das Training und den Betrieb von KI-Modellen relevante Marktdynamik verändert.
Kontroversen und Kritik
Wirtschaftsverbände, allen voran Bitkom, kritisieren den hohen Umsetzungsaufwand: In Befragungen gaben rund zwei Drittel der betroffenen Unternehmen erheblichen bürokratischen Mehraufwand an, rund drei Viertel sahen dadurch weniger Zeit für eigentliche Innovationsarbeit (Bitkom 2026).
Ein zentraler Streitpunkt betrifft den Schutz von Geschäftsgeheimnissen: Dateninhaber dürfen die Herausgabe von Daten nur verweigern, wenn sie eine „ernsthafte wirtschaftliche Schädigung” nachweisen. Kritiker:innen stufen diese Hürde als praktisch kaum erfüllbar ein, während Verbraucher- und Interoperabilitätsverbände sie genau deshalb für nötig halten, um den Zugangsanspruch nicht wirkungslos zu machen.
Die EU-Kommission selbst hat im Rahmen ihres Digital-Omnibus-Vereinfachungspakets signalisiert, dass Teile der Data-Act-Bürokratie nachgebessert werden sollen – ohne die Grundarchitektur der Verordnung infrage zu stellen. Wie sich die Wechselentgelt-Regeln nach dem vollständigen Verbot ab Januar 2027 in der Praxis auswirken, ist zum Redaktionsschluss noch nicht belastbar zu beurteilen.
Verwandte Begriffe
- Digitaler Omnibus – Vereinfachungspaket, das auch Teile der Data-Act-Bürokratie nachbessern soll
- Hochrisiko-KI-System – die Systemkategorie, deren Daten-Governance-Pflichten nach Artikel 10 der KI-Verordnung mit dem Data-Act-Zugangsanspruch in Spannung stehen können
- DSGVO – bleibt neben dem Data Act für personenbezogene Daten unverändert maßgeblich
Quellenangaben
- Bitkom, 2026. Bundestag beschließt Gesetz zur Umsetzung des Data Act. bitkom.org, 26. März 2026.
- Bundesnetzagentur, 2025. Data Act – Hintergrund: Anbieterwechsel bei Datenverarbeitungsdiensten. bundesnetzagentur.de.
- Bundesnetzagentur, 2025. Data Act – Hintergrund: Datenzugang für Nutzer:innen vernetzter Produkte. bundesnetzagentur.de.
- Data Act Law, 2024. Art. 32 Data Act – Staatlicher Zugang und staatliche Übermittlung. data-act-law.eu.
- Europäisches Parlament und Rat, 2023. Verordnung (EU) 2023/2854 über harmonisierte Vorschriften für einen fairen Datenzugang und eine faire Datennutzung und zur Änderung der Verordnung (EU) 2017/2394 und der Richtlinie (EU) 2020/1828 (Datengesetz). Amtsblatt der Europäischen Union L, 2023/2854, 22. Dezember 2023.
- Europäisches Parlament und Rat, 2024. Verordnung (EU) 2024/1689 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz, Artikel 10. Amtsblatt der Europäischen Union, 12. Juli 2024.