Data Act ab 12. September 2026: Access by Design

Was Unternehmen aus dieser Rechtslage mitnehmen

Was der Stichtag anordnet und was nicht

Die Übersicht ordnet jeden Regelungsgegenstand dem Zeitpunkt zu, ab dem er wirkt, und führt ausdrücklich auf, was der deutsche Gesetzgeber im Ausschussverfahren gestrichen hat.

Reichweite und Grenzen

Worauf die Aussagen beruhen

Nicht jede Aussage dieses Beitrags hat dasselbe Gewicht. Die Übersicht trennt Normtext, Verwaltungsauslegung, fachöffentliche Auswertung und eigene Bewertung.

Den allgemeinen Überblick über die Datenverordnung setzt dieser Beitrag voraus. Er steht auf der Übersichtsseite zum Datenrecht, die Einordnung des eigenen Produkts leistet der Data-Act-Check, und die Umsetzung im Unternehmen behandelt die Leistungsseite Data Act umsetzen. Wer den Stichtag neben den übrigen Digitalrechtsakten planen muss, findet die Zuordnung unter EU Digital Acts. Für die Übersetzung in Klauseln führt der Beitrag zur Vertragsgestaltung im IT-Recht weiter, für den Stand des Vereinfachungspakets der Beitrag zum Digitalen Omnibus.

Damit ist der Regelungsinhalt des Stichtags wiedergegeben. Was folgt, sind der Wortlaut der Übergangsvorschrift, die Auslegung des Inverkehrbringens durch die Bundesnetzagentur, der beschlossene Bußgeldkatalog samt der im Ausschuss gestrichenen Tatbestände und die Frage, welcher Rechtsweg gegen welche Entscheidung eröffnet ist.

¶Die Frist läuft je Exemplar, nicht je Baureihe

Die praktisch folgenreichste Aussage des Stichtags steht nicht in Art. 3, sondern in Art. 2 Nr. 22. Inverkehrbringen ist dort die erstmalige Bereitstellung eines vernetzten Produkts auf dem Unionsmarkt, und Bereitstellung auf dem Markt ist nach Art. 2 Nr. 21 jede entgeltliche oder unentgeltliche Abgabe zum Vertrieb, Verbrauch oder zur Verwendung im Rahmen einer Geschäftstätigkeit.^[1] Beide Begriffe stammen aus dem harmonisierten Produktrecht der Union und werden dort seit Langem auf das Einzelstück bezogen.

Der Wortlaut knüpft an das Produkt an, das in Verkehr gebracht wurde, nicht an den Zeitpunkt, zu dem eine Baureihe erstmals angeboten wurde. Verwaltungsauslegung Die Kommission liest ihn ebenso und hält fest, dass sich das Inverkehrbringen auf das einzelne Produkt bezieht und nicht auf einen Produkttyp.^[17] Art. 50 ist ohne Absätze gefasst, weshalb die Vorschrift hier als Unterabsatz 3 zitiert wird. In der Auswertung begegnet dieselbe Passage auch als Art. 50 Abs. 1 Satz 3.

Verwaltungsauslegung Die Bundesnetzagentur formuliert das in ihrem Glossar zum Data Act ausdrücklich: Ein vernetztes Produkt kann nur einmalig in Verkehr gebracht werden, und das Inverkehrbringen bezieht sich auf jedes individuelle Produkt, nicht auf einen Produkttyp.^[8] Das Glossar ist eine unverbindliche Auslegungshilfe der Behörde und bindet weder Gerichte noch die Behörde selbst. Für die Praxis kehrt es die verbreitete Erwartung um: Nicht das Datum der Markteinführung entscheidet, sondern das Datum der ersten Abgabe des konkreten Geräts.

Das Beispiel trägt deshalb, weil kein anderer Umstand das Ergebnis bestimmt. Der Hersteller ist kein Kleinunternehmen, das Produkt erzeugt Nutzungsdaten, und ein Ausschluss nach Art. 7 greift nicht. Allein der Zeitpunkt der ersten Abgabe des Einzelstücks entscheidet.

Zwei Randfälle klärt das Glossar mit

Verwaltungsauslegung Die Bundesnetzagentur zieht zwei Grenzen, die in der Auswertung selten auftauchen. Ein Produkt, das in der Union für den Export gefertigt und außerhalb der Union in Verkehr gebracht wird, ist nicht erfasst. Ebenso wenig erfasst ist der Eigenimport, bei dem ein Verbraucher das Produkt während seiner physischen Anwesenheit im Drittland erwirbt und für den privaten Gebrauch mitbringt.^[8][17] Die Einschränkung auf den körperlich anwesenden Verbraucher und dessen Privatgebrauch stammt aus den Fragen und Antworten der Kommission. Das Glossar der Bundesnetzagentur ist an dieser Stelle weiter gefasst.

Auf gewerbliche Einfuhren lässt sich der Ausschluss nicht übertragen. Nach den Fragen und Antworten der Kommission kann ein in die Union verbrachtes Produkt erst dann als auf dem Unionsmarkt in Verkehr gebracht gelten, wenn es zum zollrechtlich freien Verkehr überlassen wurde und damit den Status einer Unionsware hat.^[17] Die Überlassung ist notwendige Voraussetzung und nicht schon der Zeitpunkt des Inverkehrbringens. Maßgeblich bleibt, wann das einzelne Exemplar erstmals auf dem Unionsmarkt bereitgestellt wird. Ware kann Unionsware sein und gleichwohl unbereitgestellt im Lager des Einführers liegen. Wer Ware aus einem Drittland bezieht und in der Union weitergibt, muss deshalb prüfen, wann das einzelne Exemplar erstmals auf dem Unionsmarkt bereitgestellt wurde. Die pauschale Aussage, ein Kauf im Drittland schließe das Inverkehrbringen in der Union aus, trägt nur für den privaten Eigenimport. Umgekehrt sind bei einem in der Union in Verkehr gebrachten Produkt auch die Daten herauszugeben, die bei einer Nutzung in Drittländern entstehen, wobei die Herausgabe nur in der Union ansässige Nutzer verlangen können.

Ein Tag Abstand steht im Wortlaut

Nach dem Wortlaut ist ein am 12. September 2026 abgegebenes Exemplar nicht erfasst. Verwaltungspraxis Die amtliche Kommunikation folgt dem nicht durchgängig. Das Bundesministerium für Digitales und Staatsmodernisierung spricht von einer Übergangsfrist bis zum 12. September 2026.^[22]

Eigene Auslegung Als betriebliches Ziel taugt der 13. September nicht. Wer die Konformität erst dann herstellt, muss im Streitfall über einen Tag argumentieren. Die interne Freigabe gehört auf den 12. September 2026, die Auslegung des Wortlauts in die Akte.

Zurück zum Inhalt

¶Der Bestand verliert nur die Konstruktionspflicht

Das Übergangsrecht wirkt enger, als die Berichterstattung nahelegt. Art. 50 UAbs. 3 nimmt ausschließlich Art. 3 Abs. 1 aus. Die übrigen Vorschriften des Kapitels II gelten seit dem 12. September 2025, ohne dass der Zeitpunkt des Inverkehrbringens sie ausschließt. Drei Pflichten fallen im Alltag früher auf als die Konstruktion, und sie wirken in unterschiedlicher Weise auf den Bestand.

Erstens die vorvertragliche Information. Art. 3 Abs. 2 richtet sich an den Verkäufer, Vermieter oder Leasinggeber, bei dem es sich auch um den Hersteller handeln kann, und verlangt vier Angaben: Art, Format und geschätzten Umfang der Produktdaten, die Angabe, ob das Produkt Daten kontinuierlich und in Echtzeit generieren kann, die Angabe zur Speicherung auf dem Gerät oder einem entfernten Server samt vorgesehener Speicherungsdauer sowie die Angabe, wie der Nutzer zugreifen, abrufen und löschen kann, einschließlich der technischen Mittel, der Nutzungsbedingungen und der Dienstqualität.^[1] Art. 3 Abs. 3 trifft den Anbieter eines verbundenen Dienstes und verlangt neun Angaben, darunter die Zwecke einer beabsichtigten Eigennutzung, die Identität des künftigen Dateninhabers und die Angabe, ob dieser Inhaber von Geschäftsgeheimnissen in den Daten ist.

Diese Pflichten knüpfen an den bevorstehenden Vertragsschluss an und wirken deshalb nicht zurück. Für Verträge vor dem 12. September 2025 entsteht keine nachträgliche Informationspflicht. Erfasst ist jeder seither neu geschlossene Vertrag, auch über eine ältere Baureihe. Erwägungsgrund 24 lässt als Umsetzung eine dauerhaft erreichbare Internetadresse genügen, die als Weblink oder QR-Code verbreitet wird, verlangt aber, dass der Nutzer die Information speichern und unverändert wiedergeben kann.

Zweitens der Zugang auf Verlangen. Sind Daten nicht direkt aus dem Produkt zugänglich, hat der Dateninhaber die ohne Weiteres verfügbaren Daten samt einschlägiger Metadaten unverzüglich, in derselben Qualität, die ihm selbst zur Verfügung steht, einfach, sicher, unentgeltlich, umfassend, strukturiert und maschinenlesbar bereitzustellen, und wo relevant und technisch durchführbar fortlaufend und in Echtzeit.^[1] Die Bundesnetzagentur beschreibt diesen Zugang in ihrem Informationsangebot als eigenständiges Recht neben der Konstruktionspflicht.^[10] Die Pflicht trifft den vorhandenen Gerätebestand, für den eine Konstruktionsanpassung nicht mehr möglich ist. Adressat ist dabei nicht ohne Weiteres der Hersteller, sondern der jeweilige Dateninhaber. Er muss für die bei ihm ohne Weiteres verfügbaren Daten einen geeigneten Bereitstellungsprozess vorhalten. Vorgeschrieben ist das Ergebnis und nicht ein bestimmter Weg. Verwaltungsauslegung Die Kommission erwartet dafür automatisierte Lösungen, strukturierte Anfrageverfahren und Selbstbedienungsportale, um die Abhängigkeit von manuellen Eingriffen zu verringern.^[17] Wo das nicht trägt, bleibt der manuelle Weg zulässig. Eine Pflicht, bislang nicht verfügbare Daten neu zu erzeugen oder eine neue Erfassungsinfrastruktur aufzubauen, folgt daraus nicht.

Der Zugriff auf den Bestand ist damit nicht unbegrenzt. Erfasst sind nur Daten, die der Dateninhaber rechtmäßig erlangt oder ohne unverhältnismäßigen Aufwand erlangen kann (Art. 2 Nr. 17), und auch nur, soweit kein Ausschluss nach Art. 7 Abs. 1 greift.

Eine zeitliche Grenze kommt hinzu, die nicht am Gerät ansetzt, sondern am Datum. Verwaltungsauslegung Die Bundesnetzagentur erfasst die Pflichten des Kapitels II für Daten, die ab dem 12. September 2025 erzeugt oder gesammelt werden.^[10] Das Alter des Geräts bleibt danach unerheblich, der Erzeugungszeitpunkt der einzelnen Daten kann es dagegen sein. Wer Betriebsdaten aus früheren Jahren vorhält, sollte deshalb den Erzeugungszeitpunkt im Datenkatalog führen.

Drittens die Weitergabe an Dritte nach Art. 5. Der Nutzer kann verlangen, dass die Daten einem von ihm benannten Dritten bereitgestellt werden, etwa einem unabhängigen Wartungsbetrieb. Statusbezogen ausgeschlossen sind als Torwächter benannte Unternehmen. Daneben steht eine räumliche Grenze. Verwaltungsauslegung Die Pflicht des Kapitels II besteht nur gegenüber Empfängern in der Union. Der Nutzer kann eine Weitergabe an eine Stelle ohne Niederlassung in der Union verlangen, der Dateninhaber muss ihr aber nicht entsprechen.^[17]

Zurück zum Inhalt

¶Die Konstruktion hängt nicht am Fernzugriff

Eine verbreitete Verkürzung setzt die Konstruktionspflicht mit der Zugangspflicht gleich und unterstellt beiden dieselbe Voraussetzung. Das trifft nicht zu, und der Unterschied entscheidet über den Entwicklungsaufwand.

Art. 2 Nr. 17 beschreibt die ohne Weiteres verfügbaren Daten als solche, die der Dateninhaber rechtmäßig erlangt oder ohne unverhältnismäßigen Aufwand erlangen kann. Diese Einschränkung gehört zum Tatbestand der Art. 4 und Art. 5. Art. 3 Abs. 1 nennt sie nicht. Die Vorschrift verlangt eine Produkteigenschaft und macht sie nicht davon abhängig, ob der Hersteller die Daten seinerseits abrufen kann.

Praktisch kehrt das die Prüfungsreihenfolge um. Für Bestandsgeräte fragt man zuerst, welche Daten der Dateninhaber hat oder mit einfachem Vorgang erlangen kann. Für neu bereitgestellte Exemplare fragt man zuerst, welche Daten das Produkt erzeugt und wie der Nutzer an sie gelangt. Die zweite Frage lässt sich nicht mit dem Hinweis beantworten, das eigene Telemetriesystem übertrage diese Felder nicht.

Die Reichweite bleibt gleichwohl begrenzt. Die Verordnung schreibt nicht vor, welche Sensorik ein Produkt trägt, und verpflichtet nicht dazu, Daten außerhalb der erzeugenden Komponente zu speichern oder zu übermitteln (ErwG 20). Ob ein Datenpunkt entsteht, bleibt eine Entscheidung der Produktentwicklung. Entsteht er und handelt es sich um ein Produktdatum im Sinne des Art. 2 Nr. 15, entscheidet Art. 3 Abs. 1 darüber, ob der Nutzer ihn erreicht. Die Definition knüpft dabei an die Konzeptionsentscheidung des Herstellers an, und Art. 3 Abs. 1 wirkt gerade auf diese Entscheidung ein. Ein rein flüchtiges internes Signal, das das erzeugende Bauteil nie verlässt und nirgends gespeichert wird, ist damit noch kein Produktdatum.

Direkt heißt ohne Zutun des Dateninhabers

Eine zweite Verkürzung setzt den direkten Zugang mit einem Zugriff am Gerät gleich. Verwaltungsauslegung Nach den Fragen und Antworten der Kommission liegt direkter Zugang vor, wenn der Nutzer die Daten abrufen kann, ohne den Dateninhaber zuvor darum zu bitten, etwa über eine Schnittstelle, die der Nutzer selbst bedient. Indirekt ist der Zugang, wenn das Produkt den Nutzer auf ein Freigabeverfahren verweist, beispielsweise ein Portal mit Antragsstrecke.^[17]

Wo die Daten liegen, entscheidet darüber nicht. Ein automatisiert bedienbares Nutzerkonto und eine Programmierschnittstelle können direkter Zugang sein, obwohl die Daten auf einem entfernten Server liegen. Ein Portal, in dem ein Mitarbeiter des Herstellers die Freigabe erteilt, ist es nicht, auch wenn es schnell antwortet. Sicherheits- und Authentifizierungsschritte, die ohne Entscheidung des Dateninhabers ablaufen, stehen dem direkten Zugang nicht entgegen.

Zurück zum Inhalt

¶Der Datenbegriff endet bei den Ableitungen

Die Konstruktionspflicht reicht so weit wie der Datenbegriff der Verordnung, und der ist enger, als der Wortlaut des Art. 3 Abs. 1 vermuten lässt. Der Übergang von der technischen zur rechtlichen Kategorie findet an einer einzigen Stelle statt: bei der Frage, ob ein Datenpunkt roh, aufbereitet oder abgeleitet ist.

Erwägungsgrund 15 nennt als Beispiel für den ausgenommenen Bereich ausdrücklich Informationen aus Sensorfusion, bei der Daten mehrerer Sensoren über komplexe proprietäre Algorithmen abgeleitet werden.^[1] Zugleich stellt er klar, dass der Begriff der aufbereiteten Daten den Dateninhaber nicht zu wesentlichen Investitionen in Bereinigung und Transformation verpflichtet und dass die bereitzustellenden Daten die einschlägigen Metadaten einschließlich Kontext und Zeitstempel umfassen.

Offene Frage Wo die Grenze im Einzelfall verläuft, ist ungeklärt. Die Zusammenführung mehrerer Sensorwerte zu einer physikalischen Größe ist nicht schon deshalb bloße Aufbereitung, weil das Ergebnis eine Messgröße trägt. Steckt in der Zusammenführung ein proprietärer Algorithmus und eine eigene Investition, spricht Erwägungsgrund 15 gerade für eine ausgenommene Ableitung. Ebenso lässt sich eine Schwellenwertüberschreitung, die eine eingebettete Software als Fehlercode ausgibt, als aufbereitete Zustandsinformation lesen oder als Ergebnis einer Bewertungslogik.

Die technische Analogie zum Auskunftsrecht aus Art. 15 DSGVO hinkt an dieser Stelle. Das Auskunftsrecht erfasst auch abgeleitete personenbezogene Daten, sofern sie beim Verantwortlichen vorliegen. Die Datenverordnung nimmt die abgeleitete Ebene bewusst aus, um Investitionsanreize zu erhalten. Wer beide Regime in einem Prozess bedient, führt deshalb zwei unterschiedliche Datenkataloge.

Zurück zum Inhalt

¶Ein größeres Partnerunternehmen beendet die Ausnahme

Art. 7 Abs. 1 nimmt die Pflichten des Kapitels II und damit auch Art. 3 Abs. 1 für Daten aus, die bei der Nutzung vernetzter Produkte generiert werden, die ein Kleinstunternehmen oder ein Kleinunternehmen herstellt oder konzipiert, sowie für Daten aus verbundenen Diensten solcher Unternehmen.^[1] Die Ausnahme entfällt in zwei Konstellationen, die in Konzernstrukturen häufig übersehen werden.

• Das Unternehmen hat ein Partnerunternehmen oder ein verbundenes Unternehmen im Sinne des Art. 3 des Anhangs der Empfehlung 2003/361/EG, das kein Kleinst- oder Kleinunternehmen ist.
• Das Unternehmen wurde als Unterauftragnehmer mit der Herstellung oder Konzeption eines vernetzten Produkts oder mit der Erbringung eines verbundenen Dienstes beauftragt.

Für mittlere Unternehmen greift eine gestufte Erleichterung, die Art. 7 Abs. 1 UAbs. 2 in zwei getrennte Fälle zerlegt. Die Ausnahme gilt fort, solange das Unternehmen seit weniger als einem Jahr als mittleres Unternehmen eingestuft ist, und zwar für vernetzte Produkte wie für verbundene Dienste. Zusätzlich gilt sie für vernetzte Produkte für ein Jahr nach dem Zeitpunkt ihres Inverkehrbringens durch ein mittleres Unternehmen.^[1] Diese produktbezogene Jahresfrist nennt der Wortlaut allein für vernetzte Produkte, nicht für verbundene Dienste. Erwägungsgrund 41 begründet die Erleichterung mit der Vorbereitungszeit, die ein solches Unternehmen benötigt, bevor es auf dem Dienstleistungsmarkt für seine eigenen Produkte dem Wettbewerb ausgesetzt wird.

Die Einstufung folgt nicht allein aus der Beschäftigtenzahl. Nach der Empfehlung 2003/361/EG treten Umsatz oder Bilanzsumme hinzu, und Partner- sowie verbundene Unternehmen sind einzurechnen. Ein Unternehmen mit 200 Beschäftigten kann deshalb ein mittleres Unternehmen sein, es kann aber über die Verbundrechnung auch die Schwelle überschreiten.

Diese Unterscheidung entscheidet über die Rollenverteilung in Wertschöpfungsketten. Ein Auftragsfertiger mit 40 Beschäftigten, der für einen Konzern produziert, verliert die Ausnahme über die Unterauftragsklausel. Ein Betreiber von Ladeinfrastruktur mit 30 Beschäftigten, der Geräte eines Drittherstellers einsetzt, kann sich nicht allein auf seine eigene Unternehmensgröße berufen. Die Ausnahme knüpft an die Größe des Herstellers oder des Diensteanbieters an. Ist der Hersteller selbst ein Kleinunternehmen ohne größeres Partnerunternehmen, entfallen die Pflichten des Kapitels II für dieses Produkt gleichwohl. Ob er Dateninhaber ist, entscheidet sich gesondert nach Art. 2 Nr. 13 und damit danach, ob er berechtigt oder verpflichtet ist, die Daten zu nutzen und bereitzustellen. Die bloße Zugriffsmöglichkeit genügt dafür nicht.

Zurück zum Inhalt

¶Geschäftsgeheimnisse tragen kein pauschales Nein

Die häufigste Verteidigungslinie gegen ein Zugangsverlangen ist der Hinweis auf Geschäftsgeheimnisse. Sie trägt in dieser Allgemeinheit nicht. Erwägungsgrund 31 formuliert den Ausgangspunkt: Dateninhaber können ein Datenzugangsverlangen nicht allein deshalb ablehnen, weil bestimmte Daten als Geschäftsgeheimnisse gelten, weil dies die beabsichtigte Wirkung der Verordnung untergraben würde.^[1]

Der Verordnungsgeber sieht ein dreistufiges Vorgehen vor. Zunächst hat der Dateninhaber die Geschäftsgeheimnisse vor der Offenlegung zu ermitteln. Sodann kann er mit dem Nutzer oder dem Dritten die notwendigen Maßnahmen zur Wahrung der Vertraulichkeit vereinbaren, wobei Erwägungsgrund 31 Mustervertragsklauseln, Vertraulichkeitsvereinbarungen, strenge Zugangsprotokolle, technische Standards und Verhaltenskodizes nennt. Erst wenn eine Vereinbarung ausbleibt, die vereinbarten Maßnahmen nicht umgesetzt werden oder die Vertraulichkeit verletzt wird, darf er die Weitergabe verweigern oder aussetzen und muss dies der zuständigen Behörde mitteilen.

Die vollständige Ablehnung im Einzelfall bleibt der Ausnahmefall. Sie setzt den Nachweis voraus, dass durch die Offenlegung trotz der vom Nutzer oder Dritten getroffenen technischen und organisatorischen Maßnahmen mit hoher Wahrscheinlichkeit ein schwerer wirtschaftlicher Schaden entsteht, den Erwägungsgrund 31 mit schweren irreparablen wirtschaftlichen Verlusten gleichsetzt. Die Begründung muss sich auf objektive Fakten stützen. Wie ein solcher Schutz vertraglich und organisatorisch aufgesetzt wird, behandelt die Seite zum Geschäftsgeheimnisschutz.

Verwaltungsauslegung Die Bundesnetzagentur hält für die Mitteilungen nach Art. 4 Abs. 7 und 8 sowie Art. 5 Abs. 10 und 11 eigene Formulare bereit und nimmt Beschwerden und Mitteilungen ausschließlich darüber entgegen, nicht per E-Mail.^[9] Diese Angabe stammt von der Behörde und ist keine Rechtsquelle. Wer die Weitergabe verweigert, ohne die Mitteilung abzusetzen, verliert damit nicht nur ein Argument: Die unterbliebene Mitteilung ist nach § 15 Abs. 2 Nr. 4 DADG eine eigenständige Ordnungswidrigkeit mit einem Höchstmaß von 50.000 Euro.^[2]

Zurück zum Inhalt

¶Der Rahmen endet nicht bei 500.000 Euro

Das DADG ist schlank ausgefallen. Es benennt die zuständigen Behörden, regelt die Zulassung privater Streitbeilegungsstellen, ordnet die Befugnisse der Bundesnetzagentur und enthält in §§ 15 und 16 den Bußgeldkatalog.^[2] An den materiellen Pflichten ändert es nichts, weil diese unmittelbar aus der Verordnung folgen.

Der Wortlaut entscheidet über das subjektive Element. Er bedroht fahrlässiges Handeln nicht ausdrücklich mit Geldbuße. Nach § 10 OWiG kann als Ordnungswidrigkeit nach § 15 DADG deshalb nur vorsätzliches Handeln geahndet werden. Für den eigenständigen Sanktionsweg des Art. 40 Abs. 4 der Datenverordnung in Verbindung mit § 16 DADG gilt das nicht, weil Art. 83 Abs. 2 lit. b DSGVO vorsätzliche und fahrlässige Verstöße erfasst.^[6] Ein objektiv nicht konformes Produkt begründet damit noch keine Verantwortlichkeit, und die Halbierung des Höchstbetrags nach § 17 Abs. 2 OWiG spielt für § 15 Abs. 2 DADG keine Rolle.

§ 15 Abs. 4 DADG staffelt die Höchstmaße nach den Nummern des Katalogs.^[3] Die Tabelle gibt die Stufen wieder und ordnet ihnen die für Hersteller wichtigsten Tatbestände zu.

Damit ist der Rahmen aber nicht ausgeschöpft. Zwei Vorschriften führen darüber hinaus, und beide werden in der Auswertung selten genannt.

Bemerkenswert bleibt die Gewichtung innerhalb des Katalogs. Die schwerste Stufe schützt nicht den Datenzugang des Nutzers, sondern die Abgrenzung gegenüber Torwächtern. Die Konstruktionspflicht liegt eine Stufe darunter und ist für sich genommen nicht umsatzbezogen ausgestaltet. Für einen Konzern mit Milliardenumsatz ist ein Betrag von 500.000 Euro kein Steuerungsinstrument. Für einen Mittelständler mit 80 Millionen Euro Umsatz ist er eines.

Die Durchsetzungsbefugnisse des § 9 DADG reichen von der Feststellung des Verstoßes bis zur Anordnung. Erst die Zuwiderhandlung gegen eine vollziehbare Anordnung ist ihrerseits bußgeldbewehrt. Verwaltungsbehörde im Sinne des § 36 Abs. 1 Nr. 1 OWiG ist die Bundesnetzagentur.^[2]

Zurück zum Inhalt

¶Die gestrichenen Tatbestände verlagern das Risiko

Die auffälligste Entscheidung des parlamentarischen Verfahrens ist eine Streichung. Verstöße gegen die vorvertraglichen Informationspflichten aus Art. 3 Abs. 2 und 3 sind im beschlossenen Katalog nicht mehr enthalten. Ebenso gestrichen wurde der Tatbestand zur Nutzung nicht personenbezogener Daten ohne Vertrag nach Art. 4 Abs. 13 Satz 1, während das Verbot des Satzes 2 als § 15 Abs. 2 Nr. 7 mit 500.000 Euro bewehrt geblieben ist. Die Fraktion der SPD hat die Streichung von neun Bußgeldtatbeständen als Entlastung kleiner und mittlerer Unternehmen bezeichnet.^[3]

Die Begründung erklärt die Streichung mit der Verhältnismäßigkeit, nicht mit einer geringeren Bedeutung der Pflicht. Über die Folgen außerhalb des Ordnungswidrigkeitenrechts sagt sie nichts.

Eigene Auslegung Für die Risikobewertung eines Herstellers folgt daraus keine Entlastung, sondern eine Verlagerung. Die Informationspflichten des Art. 3 Abs. 2 richten sich an den Nutzer vor Vertragsschluss und betreffen damit eine geschäftliche Handlung im Sinne des § 2 Abs. 1 Nr. 2 UWG. Gegenüber Verbrauchern liegt die Anknüpfung an § 5b Abs. 4 UWG nahe, der Informationen als wesentlich einstuft, die dem Verbraucher aufgrund unionsrechtlicher Verordnungen nicht vorenthalten werden dürfen. Für die nicht verbraucherbezogenen Pflichten kommt der Rechtsbruchtatbestand des § 3a UWG in Betracht, weil die Vorschrift das Marktverhalten im Interesse der Marktteilnehmer regelt.

Der härtere Druckpunkt liegt ohnehin außerhalb des Sanktionsrechts. Er liegt im Vertrag. Wer nach dem Stichtag ein Produkt liefert, das die Konstruktionspflicht verfehlt, kann eine Sache liefern, die nicht der vereinbarten oder der üblichen Beschaffenheit entspricht. Ob ein Mangel vorliegt, hängt von der Vereinbarung, vom Produkt und vom Zeitpunkt ab und folgt nicht schon aus dem Verstoß. Beobachtung aus der Beratungspraxis In Beschaffungsverfahren des Mittelstands wird die Data-Act-Konformität als Zusicherung abgefragt. Eine unzutreffende Zusicherung wirkt dort schneller als jedes Bußgeld. Wie sich das in Klauseln übersetzt, behandelt der Beitrag zur Vertragsgestaltung im IT-Recht.

Zurück zum Inhalt

¶Zwei Bußgeldrahmen, verzahnte Zuständigkeiten

Umstritten war im Gesetzgebungsverfahren nicht, ob eine Bundesbehörde zuständig sein soll, sondern wer den Datenschutz im Anwendungsbereich der Verordnung beaufsichtigt. Nach § 2 DADG ist die Bundesnetzagentur die nach Art. 37 Abs. 1 der Datenverordnung zuständige Behörde und zugleich zentrale Anlaufstelle.^[2] Sie hat die Aufgabenübertragung am 30. Mai 2026 öffentlich bekannt gemacht.^[13] Ein gesonderter Datenkoordinator wurde nicht benannt, sodass die Bundesnetzagentur nach Erwägungsgrund 107 auch dessen Aufgaben übernimmt.

Für den Schutz personenbezogener Daten im Anwendungsbereich der Datenverordnung ist abweichend von § 40 BDSG die oder der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit auch für nicht öffentliche Stellen zuständig. Die Koalitionsfraktionen haben diese Zuständigkeit im Ausschuss ausdrücklich weit verstanden wissen wollen: Sie solle auch datenschutzrechtliche Fragen innerhalb desselben Rechts- und Vertragsverhältnisses erfassen, soweit dieses durch die Datenverordnung geprägt wird.^[3] Die Fraktionen Bündnis 90/Die Grünen und Die Linke haben sich unter Hinweis auf Rechtsunsicherheit und verfassungsrechtliche Bedenken enthalten.

Zwei Rahmen bedeuten nicht zwei Geldbußen für denselben Vorwurf. Ob beide Behörden ahnden, hängt davon ab, ob ein Verstoß gegen die Datenverordnung und ein davon zu trennender Verstoß gegen das Datenschutzrecht vorliegen. Betrifft ein und dieselbe Handlung beide Regelungsbereiche, greifen die allgemeinen Regeln des Ordnungswidrigkeitenrechts über die Behandlung einer Tat.

Verzahnt sind die Zuständigkeiten dort, wo eine Entscheidung beide Rechtsgebiete berührt. § 3 DADG verpflichtet die Bundesnetzagentur, bei Datenschutzbezug die Bundesbeauftragte zu beteiligen. Fachöffentliche Auswertung Nach der Auswertung ist die Bundesnetzagentur an deren Prüfergebnis gebunden, und die datenschutzrechtliche Einschätzung lässt sich nicht isoliert angreifen, sondern nur zusammen mit der Gesamtentscheidung.^[28] Davon zu unterscheiden ist die eigene Bußgeldzuständigkeit nach § 16 DADG, die bei der Bundesbeauftragten verbleibt und nicht auf die Bundesnetzagentur übergeht.

Der Rechtsweg folgt der Art der Entscheidung

Aussagen zum Rechtsweg werden unmittelbar in Handlungen übersetzt und verlangen deshalb eine ausdrückliche Zuweisung. Das DADG enthält drei Ebenen, die auseinanderzuhalten sind.

• Gegen einen Bußgeldbescheid der Bundesnetzagentur nach § 15 DADG ist der Einspruch statthaft. Da das DADG keine abweichende Zuweisung enthält, entscheidet nach § 68 Abs. 1 OWiG das Amtsgericht am Sitz der Verwaltungsbehörde.
• Für Bußgeldbescheide der Bundesbeauftragten nach Art. 40 Abs. 4 der Datenverordnung in Verbindung mit § 16 DADG fehlt eine ausdrückliche Zuweisung. Ob § 41 Abs. 2 BDSG mit der dortigen Zuständigkeit des Landgerichts entsprechend gilt, ist ungeklärt. Offene Frage
• Gegen eine Anordnung nach § 9 DADG und gegen sonstige Maßnahmen unterhalb der Geldbuße ist mangels ausdrücklicher Zuweisung nach § 40 Abs. 1 VwGO der Verwaltungsrechtsweg eröffnet. Eigene Auslegung
• Vertragliche Erfüllungs- und Schadensersatzansprüche gehören unabhängig davon vor die Zivilgerichte. Daneben steht in bestimmten Fällen die Streitbeilegung vor einer nach dem DADG zugelassenen Stelle.

Für die Beschwerde des Nutzers bleibt es damit bei einem dreigliedrigen System: Beschwerde bei der Bundesnetzagentur nach Art. 38, außergerichtliche Streitbeilegung und Zivilrechtsweg. Verwaltungsauslegung Die Behörde beschreibt das Rechtsschutzsystem in ihrem Beschwerdeportal in derselben Dreiteilung.^[12] Beschwerden und Mitteilungen nimmt die Behörde ausschließlich über die dafür bereitgestellten Formulare entgegen.^[9] Nach § 13 DADG kann sie die Öffentlichkeit über ihre Tätigkeit und über geführte Verfahren unterrichten.

Zurück zum Inhalt

¶Das Datenbankherstellerrecht greift seit 2025 nicht

Der für Rechteinhaber folgenreichste Punkt steht in Art. 43 der Datenverordnung. Danach findet das in Art. 7 der Richtlinie 96/9/EG festgelegte Schutzrecht sui generis keine Anwendung, wenn Daten mittels eines in den Anwendungsbereich der Verordnung fallenden vernetzten Produkts oder verbundenen Dienstes erlangt oder erzeugt wurden.^[1] Art. 43 gehört zu den Vorschriften, die seit dem 12. September 2025 gelten. Er wirkt unmittelbar und bedurfte keiner Umsetzung.

Art. 2 des Gesetzes vom 26. Mai 2026 hat gleichwohl einen neuen § 87b Abs. 3 UrhG eingefügt, wonach Absatz 1 in den in Art. 43 der Datenverordnung genannten Fällen nicht anzuwenden ist.^[4] Er gilt seit dem 30. Mai 2026 und bildet die unionsrechtliche Lage zusätzlich ab, ohne sie zu ändern.

Der Schutz bestand allerdings auch vorher nicht von selbst. Nach der Rechtsprechung des Gerichtshofs zählen Investitionen in die Erzeugung von Daten nicht als Investitionen in deren Beschaffung.^[5] Wer eine Maschinendatenbank allein aus dem Betrieb der eigenen Geräte befüllt, erfüllte die Schutzvoraussetzungen deshalb häufig schon vor dem 12. September 2025 nicht. Art. 43 nimmt der Position seitdem zusätzlich die Grundlage.

Die praktische Wirkung ist erheblich. Ein Hersteller, der eine Maschinendatenbank gegen die Entnahme wesentlicher Teile mit dem Datenbankherstellerrecht verteidigt hat, verliert diese Position, soweit die Daten aus einem vernetzten Produkt stammen. Übrig bleiben der Schutz von Geschäftsgeheimnissen nach den engen Voraussetzungen des Art. 4 Abs. 6 bis 8 und der urheberrechtliche Schutz der Datenbankstruktur, der den Inhalt ohnehin nicht erfasst.

Zurück zum Inhalt

¶Vier Regelwerke treffen dasselbe Gerät

Ein vernetztes Produkt mit Cloud-Anbindung unterliegt regelmäßig vier Regelwerken gleichzeitig. Die Übersicht ordnet jedem Regime Adressat, Auslöser und Rechtsfolge zu und zeigt, dass die Regelwerke unterschiedliche Anknüpfungspunkte haben und einander nicht ersetzen.

Die Übersicht ersetzt die Abgrenzung im Einzelfall nicht. Sie zeigt aber, dass ein einziges Ereignis, etwa der Zugriff eines Wartungsdienstleisters auf Maschinendaten, gleichzeitig eine Weitergabe nach Art. 5, eine Auftragsverarbeitung nach Art. 28 DSGVO und einen sicherheitsrelevanten Vorgang darstellen kann. Die Zuordnung der Regelwerke zueinander behandelt die Seite EU Digital Acts, die Sicherheitsorganisation die Seite Cybersecurity.

Zurück zum Inhalt

¶Mit dem Inverkehrbringen beginnt die Nachweisphase

Mit der ersten konformen Bereitstellung auf dem Unionsmarkt ist die Arbeit nicht beendet. Vier Ebenen setzen danach ein, jede mit eigenem Auslöser und eigener Rechtsfolge.

Eine nachgeholte Konformität beseitigt einen bereits eingetretenen Verstoß nicht. Wer ein Exemplar am 20. September 2026 ohne Zugangsweg abgibt und ihn im Dezember nachrüstet, hat die Pflicht im September verletzt. Für die Ahndung bleibt es bei der Verjährungsfrist des § 31 OWiG, deren Beginn bei einer an die Beschaffenheit anknüpfenden Pflicht ungeklärt ist.

Zurück zum Inhalt

¶Vor der Freigabe entscheidet sich die Konformität

1. Produktinventar mit Abgabedatum aufbauenAlle Produktlinien erfassen, die nach dem 12. September 2026 noch Exemplare erstmals in der Union abgeben, und das Feld der erstmaligen Bereitstellung in den Stammdaten führen.
2. Datenkatalog je Produktlinie erstellenRohdaten, aufbereitete Daten und abgeleitete Informationen trennen und je Kategorie festhalten, wo die Daten liegen und mit welchem Aufwand sie abrufbar sind.
3. Zugangsweg festlegenJe Linie zwischen einem Zugang ohne Zutun des Dateninhabers, etwa am Gerät oder über eine automatisiert bedienbare Schnittstelle, und einem indirekten Weg über ein Freigabeverfahren entscheiden. Die technische Begründung dokumentieren, wenn der direkte Weg nicht durchführbar ist.
4. Vorvertragliche Information aufsetzenEine dauerhaft erreichbare Seite je Produktlinie einrichten, alle vier Angaben des Art. 3 Abs. 2 abdecken und bei verbundenen Diensten die neun Angaben des Art. 3 Abs. 3 ergänzen.
5. Datenlizenz mit dem Nutzer schließenOhne Vertrag darf der Dateninhaber nicht personenbezogene Produktdaten nicht selbst nutzen. Die Zwecke benennen und festlegen, welche Erweiterung eine Vertragsanpassung verlangt.
6. Verfahren für Geschäftsgeheimnisse einrichtenGeschützte Datenfelder vorab bestimmen, Vertraulichkeitsklauseln bereithalten und festlegen, wer die Mitteilung an die Bundesnetzagentur absetzt.
7. Cloud- und SaaS-Verträge auf den Wechsel prüfenKündigungsfristen, Übergangszeiträume, Exportformate und Entgelte prüfen. Ab dem 12. Januar 2027 sind Wechselentgelte unzulässig.^[11]
8. Freigabestufe im Entwicklungsprozess verankernDie Konformität mit Art. 3 Abs. 1 als Voraussetzung der Produktfreigabe festschreiben und vor jeder erstmaligen Bereitstellung prüfen. Ein nachträglicher Zugangsweg heilt den Verstoß nicht.

Belegliste für eine Prüfung durch die Bundesnetzagentur

Musterformulierungen

Die folgenden Formulierungen sind unverbindliche Ausgangspunkte und vor Verwendung an Produkt, Datenkatalog und Vertragsstruktur anzupassen.

Zurück zum Inhalt

¶Lagerbestand und Aufarbeitung sind die Sonderfälle

Drei Konstellationen entscheiden sich nicht am Kalender, sondern an der Frage, wann und ob eine erstmalige Bereitstellung vorliegt. Sie werden in der bisherigen Auswertung kaum behandelt.

Der Lagerbestand ist der klarste Fall. Ein Gerät, das der Hersteller ohne jedes Absatzgeschäft im eigenen Werkslager hält, ist noch nicht in Verkehr gebracht. Der Zeitpunkt der körperlichen Auslieferung entscheidet darüber aber nicht allein. Verwaltungsauslegung Maßgeblich ist, ob nach Abschluss der Herstellung ein Angebot oder eine Vereinbarung über die Übertragung von Eigentum, Besitz oder eines sonstigen Rechts an dem konkreten Exemplar vorliegt.^[17][18] Eine körperliche Übergabe ist dafür nicht erforderlich, und auch Miete, Leasing oder Leihe können eine Bereitstellung sein. Eine Serie, die im Sommer 2026 gefertigt und im Frühjahr 2027 ausgeliefert wird, kann deshalb je nach Vertragslage bereits 2026 in Verkehr gebracht worden sein.

Das Auslieferungsdatum ist ein Indiz und kein Tatbestandsmerkmal. Zu prüfen sind der Zeitpunkt der Fertigstellung des Exemplars, seine verbindliche Zuordnung zu einem Geschäft, das Angebot oder die Vereinbarung über die Übertragung von Eigentum, Besitz oder Nutzungsrechten und die Liefer- und Klauselstruktur des Vertrages. Eigene Auslegung Wer den Stichtag allein am Auslieferdatum festmacht, arbeitet mit einem Hilfsmerkmal und trägt im Streitfall das Risiko einer abweichenden Zuordnung.

Das Ersatzteil ist der zweite Fall. Eine Baugruppe, die selbst kein vernetztes Produkt im Sinne des Art. 2 Nr. 5 ist, löst die Konstruktionspflicht nicht aus. Wird dagegen ein vollständiges vernetztes Produkt als Austauschgerät abgegeben, liegt darin eine erstmalige Bereitstellung dieses Exemplars.

Offene Frage Der dritte Fall ist ungeklärt. Ob ein wiederaufgearbeitetes Gerät als erneut in Verkehr gebracht gilt, sagt die Verordnung nicht. Im harmonisierten Produktrecht führt eine wesentliche Veränderung dazu, dass der Verändernde als Hersteller behandelt wird und das Produkt als neu in Verkehr gebracht gilt. Ob dieser Maßstab auf Art. 2 Nr. 21 und 22 der Datenverordnung übertragbar ist, ist nicht entschieden. Für das Refurbishment-Geschäft ist das die praktisch wichtigste offene Frage des Übergangsrechts.

Zurück zum Inhalt

¶Acht Annahmen im Abgleich mit dem Text

Die folgenden Aussagen begegnen in Beratungsgesprächen und in der Berichterstattung regelmäßig. Das Verdikt bezeichnet den tatsächlichen Befund und nicht eine pauschale Bewertung.

Zurück zum Inhalt

¶Die Regelung überzeugt, ihre Sanktionierung nicht

Die einjährige zusätzliche Übergangsfrist für die Konstruktionspflicht ist sachgerecht. Gerechnet ab dem Inkrafttreten am 11. Januar 2024 standen damit rund 32 Monate zur Verfügung. Produktentwicklungszyklen im Maschinenbau und in der Medizintechnik dauern länger als zwölf Monate, und die Anknüpfung an das Inverkehrbringen statt an einen festen Kalenderstichtag für alle Geräte vermeidet eine rückwirkende Umrüstungspflicht. Auch die Abstufung nach Unternehmensgröße in Art. 7 ist handwerklich sauber, weil sie die Umgehung über Unterauftragsketten und Konzernverbund ausdrücklich ausschließt.

Schwächer ist die deutsche Sanktionsseite geraten. Drei Punkte fallen auf. Erstens hat der Gesetzgeber die Verletzung der vorvertraglichen Informationspflichten aus dem Katalog gestrichen, obwohl sie die einzige Pflicht ist, die vor Vertragsschluss wirkt und deshalb die Marktentscheidung des Nutzers beeinflusst. Zweitens ist die Streichung des Tatbestands zu Art. 4 Abs. 13 Satz 1 mit der Entlastung kleiner Unternehmen nur schwer zu erklären, weil sie einen Hersteller begünstigt, der Daten ohne vertragliche Grundlage fortnutzt. Drittens ist der Rahmen für Art. 3 Abs. 1 nicht umsatzbezogen ausgestaltet, was die Steuerungswirkung bei großen Herstellern begrenzt.

Eigene Bewertung Die Gegenposition ist vertretbar. Wer die Datenverordnung als Ordnungsrahmen für private Ansprüche liest, kann die Zurückhaltung des Ordnungswidrigkeitenrechts begrüßen, weil der Nutzer seinen Zugangsanspruch vor den Zivilgerichten durchsetzen kann und die Behörde über Abhilfeverlangen, Anordnung und einen darauf bezogenen Bußgeldtatbestand ein abgestuftes Instrumentarium behält. Diese Lesart übersieht allerdings, dass der einzelne Nutzer eines Serienprodukts den Aufwand einer Klage selten trägt.

Der Ausschuss selbst hat die Belastbarkeit der Struktur in Zweifel gezogen, wenn auch an anderer Stelle. Die angenommene Entschließung fordert die Bundesregierung auf, die nationale Aufsichts- und Behördenstruktur noch in dieser Wahlperiode, spätestens 2028, umfassend zu evaluieren und den Personalbedarf der Bundesnetzagentur zu prüfen.^[3] Eine Aufsicht, deren Ausstattung der Gesetzgeber im selben Beschluss zur Prüfung stellt, ist kein Argument für ein schmales Sanktionsrecht.

Die bisherige fachöffentliche Auswertung ist umfangreich, konzentriert sich aber auf die Zuständigkeitsfrage und den Bußgeldkatalog.^[25] Die Frage, wie sich der Stichtag auf Lagerbestände, Ersatzteile und wiederaufgearbeitete Geräte auswirkt, ist kaum behandelt. Ebenso fehlt eine Auseinandersetzung mit dem Verhältnis der gestrichenen Bußgeldtatbestände zum Lauterkeitsrecht.

Zurück zum Inhalt

¶Bis 2028 entscheidet sich, wie weit Artikel 3 reicht

Der Stichtag steht am Anfang und nicht am Ende der Entwicklung. Fünf Zeitmarken prägen die kommenden zwei Jahre.

Bei den Vertragsklauseln ist der Stand präziser, als die Berichterstattung nahelegt. Die Kommission hat die unverbindlichen Mustervertragsbedingungen und Standardvertragsklauseln am 19. November 2025 in englischer Sprache veröffentlicht, während Übersetzung und Veröffentlichung in allen Amtssprachen ausstehen.^[15] Für die Leitlinien zur angemessenen Gegenleistung endete die Konsultation am 20. Februar 2026.^[16] Die Politikseite der Kommission führt sie mit Seitenstand vom 2. Juli 2026 weiterhin als künftige Arbeit.^[14]

Der Digital Omnibus verschiebt den Stichtag nicht

Seit dem Kommissionsvorschlag vom 19. November 2025 kursiert die Erwartung, die Datenverordnung werde im Zuge der Vereinfachungsagenda entschärft. Für den Stichtag trifft das nicht zu, und die Verwechslungsgefahr hat einen konkreten Grund: Das Paket zerfällt in zwei Vorhaben.

Der Digitalomnibus zur künstlichen Intelligenz ist als Verordnung (EU) 2026/1744 vom 8. Juli 2026 am 24. Juli 2026 im Amtsblatt erschienen.^[23] Er ändert die Verordnungen (EU) 2024/1689, (EU) 2018/1139 und (EU) 2023/1230. Die Datenverordnung gehört nicht dazu. Amtliche Verfahrensakte Der zweite Vorschlag, der die Datenverordnung, den Daten-Governance-Rechtsakt, die DSGVO, die ePrivacy-Richtlinie und die NIS-2-Richtlinie erfassen soll, wird im Verfahrensregister des Europäischen Parlaments unter 2025/0360(COD) geführt und stand am 6. August 2026 auf dem Stand des Ausschussverfahrens. Ein angenommener Ausschussbericht liegt nicht vor, und damit auch kein Verhandlungsmandat und keine politische Einigung.^[19] Fachöffentliche Auswertung Die laufenden Übersichten der Beratungspraxis kommen zum selben Ergebnis.^[26][27] Den Verlauf verfolgt der Beitrag zum Digitalen Omnibus.

Vier Szenarien für die kommenden 24 Monate

Prognose Der wirtschaftliche Unterschied zwischen enger und weiter Auslegung liegt beim Datenkatalog. Wer den Begriff der abgeleiteten Daten weit versteht und viele Felder ausnimmt, spart kurzfristig Entwicklungsaufwand und riskiert eine Nachrüstung für sämtliche nach dem Stichtag abgegebenen Exemplare. Wer ihn eng versteht, öffnet den Folgemarkt für Wettbewerber und gibt einen Teil der eigenen Servicemarge auf. Die falsche Wette kostet in der ersten Variante Entwicklungszyklen, in der zweiten Marktanteile im Service.

Zurück zum Inhalt

¶Häufige Fragen

Zurück zum Inhalt

¶Was noch nicht bekannt ist

• Wann die Muster- und Standardvertragsklauseln in den übrigen Amtssprachen vorliegen. Die Kommission nennt dafür keinen Termin.
• Wann die Leitlinien zur angemessenen Gegenleistung nach Art. 9 Abs. 5 vorliegen. Eine angenommene Endfassung ist in den amtlichen Quellen nicht ausgewiesen, und die Politikseite führt sie mit Stand vom 2. Juli 2026 weiterhin als künftige Arbeit.
• Ob bei der Bundesnetzagentur Beschwerden nach Art. 38 der Datenverordnung eingegangen sind oder entsprechende Verfahren laufen. § 13 Abs. 1 DADG enthält einen allgemeinen Berichtsauftrag über die Tätigkeit der Behörde. Die Veröffentlichung einzelner Verfahrenseinleitungen und Entscheidungen steht nach § 13 Abs. 3 DADG in ihrem Ermessen.
• Wann die Fundstellen der harmonisierten Normen zur Interoperabilität nach Art. 33 im Amtsblatt erscheinen. Die Standardisierungsanfrage C(2025) 4135 vom 1. Juli 2025 ist ergangen und von den europäischen Normungsorganisationen unter dem Mandat M/614 angenommen worden.^[20][24] Ein erstes Ergebnis liegt seit dem 25. März 2026 mit EN 18235-1:2026 zur Begriffsbildung vor, für das eine Amtsblattfundstelle allerdings nicht erwartet wird.^[21] Die Teile, die eine Fundstelle erhalten sollen, sind noch nicht endgültig. Der Auftrag betrifft ohnehin Art. 33 und nicht die Konstruktionspflicht des Art. 3 Abs. 1.
• Ob und wann sich Parlament und Rat zum Datenteil des Digital Omnibus einigen.

Zurück zum Inhalt

¶Begriffe

Zurück zum Inhalt

¶Quellen

Normtext und Primärdokumente

1. Verordnung (EU) 2023/2854 des Europäischen Parlaments und des Rates vom 13. Dezember 2023 über harmonisierte Vorschriften für einen fairen Datenzugang und eine faire Datennutzung (Datenverordnung), ABl. L, 2023/2854 vom 22.12.2023, EUR-Lex, abgerufen am 6.8.2026.
2. Gesetz zur Anwendung und Durchsetzung der Datenverordnung (DADG), Art. 1 des Gesetzes vom 26. Mai 2026, BGBl. 2026 I Nr. 157, in Kraft seit 30. Mai 2026, Gesetze im Internet, abgerufen am 6.8.2026.
3. Deutscher Bundestag, Beschlussempfehlung und Bericht des Ausschusses für Digitales und Staatsmodernisierung vom 25. März 2026, Drucksache 21/4998, dort Nummer 9 Buchstabe b und c sowie S. 11, dserver.bundestag.de, abgerufen am 6.8.2026.
4. § 87b des Urheberrechtsgesetzes in der Fassung des Art. 2 des Gesetzes vom 26. Mai 2026, Gesetze im Internet, abgerufen am 6.8.2026.
5. EuGH, Urteil vom 9. November 2004, C-203/02, The British Horseracing Board u.a., EUR-Lex, abgerufen am 6.8.2026.
6. Gesetz über Ordnungswidrigkeiten (OWiG), insbesondere §§ 10, 17, 30, 36 und 68, Gesetze im Internet, abgerufen am 6.8.2026.
7. Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), insbesondere Art. 83 Abs. 5, ABl. L 119 vom 4.5.2016, EUR-Lex, abgerufen am 6.8.2026.

Amtliche Quellen und Verwaltungsauslegung

8. Bundesnetzagentur, Glossar Data Act, Eintrag „Inverkehrbringen“, bundesnetzagentur.de, abgerufen am 6.8.2026.
9. Bundesnetzagentur, Data Act, Überblicksseite mit Formularen für Beschwerden und Mitteilungen, bundesnetzagentur.de, abgerufen am 6.8.2026.
10. Bundesnetzagentur, Datenzugang und Datennutzung, bundesnetzagentur.de, abgerufen am 6.8.2026.
11. Bundesnetzagentur, Datenverarbeitungsdienste und Anbieterwechsel, bundesnetzagentur.de, abgerufen am 6.8.2026.
12. Bundesnetzagentur, Data Act, Beschwerdeportal und Übersicht der Rechtsdurchsetzung, bundesnetzagentur.de, abgerufen am 6.8.2026.
13. Bundesnetzagentur, Pressemitteilung vom 30. Mai 2026 zur Zuständigkeit für den Data Act, bundesnetzagentur.de, abgerufen am 6.8.2026.
14. Europäische Kommission, Data Act, Politikseite, Seitenstand 2. Juli 2026, digital-strategy.ec.europa.eu, abgerufen am 6.8.2026.
15. Europäische Kommission, Mustervertragsbedingungen für Datenzugang und Datennutzung sowie Standardvertragsklauseln für Cloud-Computing-Verträge, veröffentlicht am 19. November 2025 in englischer Sprache, digital-strategy.ec.europa.eu, abgerufen am 6.8.2026.
16. Europäische Kommission, Konsultation zum Entwurf der Leitlinien für eine angemessene Gegenleistung, Rückmeldefrist 20. Februar 2026, digital-strategy.ec.europa.eu, abgerufen am 6.8.2026.
17. Europäische Kommission, Frequently Asked Questions zur Datenverordnung, Fassung 1.4 vom 22. Januar 2026, Europäische Kommission, abgerufen am 6.8.2026.
18. Europäische Kommission, Leitfaden für die Umsetzung der Produktvorschriften der EU 2022 (Blue Guide), Abschnitte 2.3 und 2.5, ABl. C 247 vom 29.6.2022, EUR-Lex, abgerufen am 6.8.2026.
19. Europäisches Parlament, Legislative Observatory, Verfahrensakte 2025/0360(COD), Vereinfachung des digitalen Rechtsrahmens, Legislative Observatory, abgerufen am 6.8.2026.
20. Europäische Kommission, Durchführungsbeschluss C(2025) 4135 final vom 1. Juli 2025 über einen Normungsauftrag an CEN, CENELEC und ETSI (Mandat M/614), Dokumentenregister der Kommission, abgerufen am 6.8.2026.
21. CEN und CENELEC, New Standard Building Trust for Data Sharing in Europe, Mitteilung vom 30. April 2026 zur Veröffentlichung von EN 18235-1:2026, CEN-CENELEC, abgerufen am 6.8.2026.
22. Bundesministerium für Digitales und Staatsmodernisierung, Data Act, bmds.bund.de, abgerufen am 6.8.2026.
23. Verordnung (EU) 2026/1744 vom 8. Juli 2026 (Digitalomnibus zur künstlichen Intelligenz), ABl. L, 2026/1744 vom 24.7.2026, EUR-Lex, abgerufen am 6.8.2026.
24. CEN und CENELEC, Data Act: Standardization Request Officially Accepted, Mitteilung vom 11. Juli 2025 zur Annahme des Mandats M/614, CEN-CENELEC, abgerufen am 6.8.2026.

Fachöffentliche Auswertung

25. Schirmbacher/Czempinski, Data-Act-Durchführungsgesetz (DADG), Härting Rechtsanwälte, Beitrag vom 29. Mai 2026, haerting.de, abgerufen am 6.8.2026.
26. Osborne Clarke, Digital Omnibus package, laufend aktualisierte Übersicht, osborneclarke.com, abgerufen am 6.8.2026.
27. Becker Büttner Held, Der EU Digital Omnibus rollt an, Beitrag vom 30. Juni 2026, bbh-blog.de, abgerufen am 6.8.2026.
28. Haufe Online-Redaktion, Durchführungsgesetz Data Act verabschiedet und verkündet, Beitrag vom 11. Juni 2026, Haufe, abgerufen am 6.8.2026.

Zur Quellenlage

Weiterlesen

• Datenrecht: Data Act, Datenzugang, Vertragsfairness, Cloud Exit
• Data-Act-Check: Datenzugang, Drittzugang und Cloud-Exit einordnen
• Data Act umsetzen: Klauseln, Zugangswege, Know-how-Schutz
• CRA-Check: Produkte mit digitalen Elementen einordnen
• Hub IT-Recht und Digitalisierung

Rechtsstand: 6. August 2026. Dieser Beitrag gibt den Stand zum genannten Datum wieder.