Datenzugang trifft auf DSGVO und Geschäftsgeheimnisse Rechte und Pflichten nach dem EU Data Act

Anbieter zum Thema

Fsas Technologies GmbH

FTAPI Software GmbH

Der EU Data Act verändert den Umgang mit Daten grundlegend. Er schafft neue Zugangsrechte, verpflichtet Unternehmen zu mehr Transparenz und erleichtert den Wechsel von Cloud-Anbietern. Aber welche Daten müssen bereitgestellt werden, welche bleiben durch die DSGVO oder Geschäftsge­heimnisse geschützt? Erfahren Sie, welche Chancen und Pflichten sich daraus ergeben und wie Sie Ihr Unternehmen vorbereiten können.

Seit 12. September 2025 ist die Verordnung (EU) 2023/2854 (Data Act) in allen EU-Mitgliedstaaten unmittelbar anwendbar geworden. Die Verordnung markiert einen Meilenstein für das europäische Datenrecht, denn der Data Act soll einen fairen, wettbewerbsfähigen und innovationsfreundlichen Datenbinnenmarkt schaffen. Kernanliegen des Gesetzgebers ist es, den Zugang zu und die Nutzung von Daten aus vernetzten Produkten und Diensten zu erleichtern. Unternehmen sollen Daten effizienter austauschen können, ohne dabei Datenschutz, Geschäftsgeheimnisse oder geistige Eigentumsrechte zu gefährden. Der Data Act soll die bisherige Exklusivstellung vieler Dateninhaber aufbrechen und die Rechte von Nutzern sowie die Interoperabilität von Cloud-Diensten stärken. Damit einhergehen umfangreiche Compliance-Anforderungen, aber auch Chancen für neue Geschäftsmodelle.

Neue Datenzugangsrechte

Wie man sich auf den EU Data Act vorbereitet

Anwendungsbereich

Der Anwendungsbereich umfasst insbesondere Rohdaten, die durch die Nutzung vernetzter Produkte und verbundener Dienste entstehen – von Smart-Home-Geräten über Fahrzeuge bis hin zu komplexen Industrieanlagen. Abgeleitete oder aggregierte Daten fallen hingegen regelmäßig nicht unter den Data Act. Adressaten der Verordnung sind Hersteller und Anbieter solcher Produkte und Dienste, Dateninhaber, Nutzer (Unternehmen und Verbraucher), Dritte, die auf Veranlassung des Nutzers Daten erhalten sollen, sowie Anbieter von Datenverarbeitungsdiensten wie Cloud-Plattformen. Die Verordnung gilt für alle Akteure, die Produkte oder Dienste auf dem EU-Markt bereitstellen oder nutzen. Betroffen sind auch Unternehmen aus Drittstaaten, sofern eine Datennutzung in der EU erfolgt. Nicht erfasst sind Daten, die bereits durch spezielle unionsrechtliche Vorschriften geregelt sind. Für personenbezogene Daten bleibt die Datenschutz-Grundverordnung (DSGVO) vorrangig.

Pflichten für Unternehmen

Unternehmen, die vernetzte Produkte oder verbundene Dienste anbieten, unterliegen nach Unternehmen, die vernetzte Produkte oder verbundene Dienste anbieten, unterliegen nach dem Data Act umfangreichen Verpflichtungen. Sie müssen Nutzern auf Verlangen unverzüglich, unentgeltlich und in einem gängigen, maschinenlesbaren Format Zugang zu den bei der Nutzung entstehenden Daten gewähren, einschließlich relevanter Metadaten. Darüber hinaus sind sie verpflichtet, die Weitergabe dieser Daten an einen vom Nutzer benannten Dritten zu ermöglichen – unter fairen, angemessenen und nichtdiskriminierenden Bedingungen (FRAND-Prinzip). Vertragsklauseln, die diese Rechte ausschließen oder einschränken, sind grundsätzlich unwirksam. Im B2B-Bereich sind „Buy-Out“-Klauseln zulässig, sofern der Nutzer für den Verzicht auf seine Rechte eine angemessene Gegenleistung erhält. Unternehmen müssen zudem vor Vertragsschluss umfassend über Art, Umfang und Zugangsmöglichkeiten zu den erhobenen Daten informieren. Für Anbieter von Datenverarbeitungsdiensten wie Cloud-Plattformen gelten zusätzliche Informationspflichten, etwa zu Wechsel- und Übertragungsverfahren, Kompatibilität und Schutzmaßnahmen. Cloud-Anbieter sind verpflichtet, schriftliche Verträge mit bestimmten Mindestinhalten abzuschließen. Dazu gehören Regelungen zu Kündigungsfristen, Datenkategorien und Wechselentgelten. Die Herausgabe von Daten kann verweigert werden, wenn Geschäftsgeheimnisse betroffen sind und trotz Vertraulichkeitsvereinbarung ein erheblicher wirtschaftlicher Schaden droht. Datenbankherstellerrechte treten gegenüber den Zugangsrechten aus dem Data Act zurück. Die Einhaltung dieser Pflichten wird durch nationale Behörden wie die Bundesnetzagentur überwacht. Verstöße können zu empfindlichen Sanktionen führen.

Datengesetze und Datenschutzgesetze

So lassen sich Daten nutzen und trotzdem schützen

Cloud-Switching und Interoperabilität

Der Data Act verfolgt das Ziel, Lock-in-Effekte im Cloud-Markt zu reduzieren und den Wechsel zwischen Anbietern zu erleichtern. Was auf den ersten Blick begrüßenswert klingt, ist für betroffene Anbieter aufgrund unklarer Rechtsbegriffe, widersprüchlicher Sprachfassungen und fehlender technischer Standards ein Minenfeld. Praktisch bedeutet dies für Cloud-Anbieter erheblichen Anpassungsbedarf: Bestehende Verträge müssen überprüft, Wechselprozesse definiert und technische Schnittstellen standardisiert werden. Rechtliche Unsicherheiten bestehen zudem hinsichtlich der Anwendbarkeit auf Bestandsverträge – die überwiegende Meinung lehnt eine Rückwirkung jedoch zurecht ab.

Spannungen mit dem Datenschutz

Das Verhältnis zwischen dem Data Act und dem Datenschutzrecht ist von erheblicher praktischer Bedeutung. Während der Data Act einen möglichst umfassenden Zugang zu Daten aus vernetzten Produkten und Diensten ermöglicht, zielen das Datenschutzrecht und die DSGVO darauf ab, Betroffene bei der Verarbeitung ihrer personenbezogenen Daten zu schützen. Beide Regelwerke können auf denselben Datenbestand Anwendung finden, was ein Spannungsverhältnis erzeugt. Der Data Act stellt klar, dass er „unbeschadet“ des Datenschutzrechts gilt. Bei Konflikten hat deshalb die DSGVO Vorrang. Folglich ist für jede Verarbeitung personenbezogener Daten eine Rechtsgrundlage nach Art. 6 DSGVO (bei besonderen Kategorien von personenbezogenen Daten zusätzlich: Art. 9 DSGVO) erforderlich. Der Data Act schafft allerdings keine eigenständige Rechtsgrundlage für die Verarbeitung personenbezogener Daten. In der Praxis ist die Abgrenzung schwierig, da viele technisch generierte Daten Personenbezug aufweisen können. Für Daten, die ausschließlich den anfragenden Nutzer betreffen, kann ein Zugangsverlangen nicht allein mit Verweis auf den Datenschutz abgelehnt werden, sofern eine Rechtsgrundlage zur Datenbereitstellung besteht. Vor allem, wenn die Daten nicht nur den anfragenden Nutzer, sondern auch Dritte betreffen, kann es kompliziert werden. Technische Maßnahmen wie Anonymisierung oder Differential Privacy können in solchen Konstellationen helfen, die DSGVO und den Data Act in Einklang zu bringen. Unternehmen stehen dennoch vor erheblichen Compliance-Herausforderungen.

EuGH präzisiert Personenbezug pseudonymisierter Daten

Wann pseudonyme Daten personen­bezogen sind und was das für KI heißt

Praktische Umsetzung

Die praktische Umsetzung erfordert ein strukturiertes, interdisziplinäres Vorgehen, das rechtliche, technische und organisatorische Aspekte integriert. Unternehmen sollten daher frühzeitig ein Projektteam aus den Bereichen Recht, IT, Datenschutz und Produktmanagement bilden und eine umfassende Analyse der eigenen Datenflüsse und Vertragsstrukturen durchführen. Ein zentraler Schritt ist die Datenklassifizierung: Primärdaten, Metadaten und abgeleitete Daten müssen präzise voneinander abgegrenzt und die jeweiligen Bereitstellungspflichten dokumentiert werden. Technisch müssen geeignete Schnittstellen wie APIs oder Download-Links implementiert werden, um Zugangs- und Weitergaberechte zu gewährleisten. Auf vertraglicher Ebene sind bestehende Vereinbarungen zu prüfen und anzupassen. Cloud-Anbieter müssen die Mindestinhalte nach Art. 25 DA berücksichtigen, darunter Regelungen zu Wechselverfahren, Kündigungsfristen und Datenkategorien. Für physisch vernetzbare Produkte ohne Online-Anbindung sind pragmatische Lösungen gefragt, etwa die Bereitstellung von Daten im Rahmen von Wartungseinsätzen. Zudem sollten Unternehmen, die im Data Act vorgesehenen Ausnahmen zum Schutz von Geschäftsgeheimnissen nutzen und diese durch technische und vertragliche Maßnahmen absichern. Schließlich müssen Unternehmen die Rechtsentwicklung, behördliche Leitlinien und Rechtsprechung beobachten und ihre Compliance-Maßnahmen flexibel anpassen.

CLOUD Act bleibt Risiko trotz EU‑Rechenzentren

US‑Recht gefährdet Datensouveränität auch bei EU‑Rechenzentren

Fazit

Der Data Act führt einen verbindlichen Rechtsrahmen ein, der Unternehmen zu klaren Prozessen beim Datenzugang verpflichtet. Gleichzeitig begrenzt er bestehende Schutzrechte, wie die Datenbankherstellerrechte, und stärkt die Position der Nutzer erheblich. Die größte praktische Herausforderung liegt in der sauberen Abgrenzung zwischen Daten, die bereitgestellt werden müssen, und solchen, die wegen des Datenschutzes oder von Geschäftsgeheimnissen geschützt bleiben müssen. Unternehmen sollten daher ihre Datenbestände strukturieren, technische Schnittstellen definieren und ihre Vertragswerke anpassen. Wer diese Schritte umsetzt, kann die Anforderungen rechtssicher erfüllen und Risiken im laufenden Betrieb reduzieren.

Über den Autor: Rechtsanwalt Stefan Hessel, LL.M. ist Partner und Head of Digital Business bei der Kanzlei reuschlaw in Saarbrücken. Er berät Unternehmen und die öffentliche Hand zu komplexen Fragestellungen in den Bereichen IT-Recht, Cybersicherheit sowie Datenschutz.

Cyber-Abwehr und -Krisenhilfe für Unternehmen

Die EU als „neuer Sheriff in Town”

(ID:50690894)