Data Act für KMU: Was sich am 12. September 2026 ändert

Inhalt in Kürze

• Der Data Act (Verordnung (EU) 2023/2854) gilt seit dem 12. September 2025 und regelt, wer auf die Daten vernetzter Produkte zugreifen darf und wie Cloud-Wechsel funktionieren müssen.
• Ab dem 12. September 2026 müssen neu in Verkehr gebrachte vernetzte Produkte so konstruiert sein, dass Nutzer direkt an ihre Daten kommen (Art. 3 Abs. 1). Bestandsmaschinen sind davon nicht betroffen.
• Bei Cloud-Verträgen fallen Wechselentgelte ab dem 12. Januar 2027 vollständig weg (Art. 29). Bis dahin sind nur noch kostendeckende Entgelte erlaubt.
• In Deutschland prüft seit dem 30. Mai 2026 die Bundesnetzagentur, bei personenbezogenen Daten zusätzlich die BfDI. Bußgeldrahmen: bis zu 500.000 Euro.

Die meisten Geschäftsführer, mit denen wir sprechen, haben vom Data Act noch nie gehört. Verständlich — er kam zwischen NIS2, AI Act und Cyber Resilience Act unter die Räder. Nur: Er betrifft deutlich mehr Mittelständler als NIS2, und der nächste Stichtag ist der 12. September 2026.

Was der Data Act regelt — in drei Sätzen

Der Data Act ist die europäische Verordnung über faire Datennutzung. Sie gibt Nutzern von vernetzten Produkten einen Anspruch auf die Daten, die sie mit diesen Produkten erzeugen — und sie zwingt Anbieter von Cloud- und Rechendiensten dazu, den Wechsel zu einem Konkurrenten praktisch möglich zu machen.

Betroffen sind Sie in einer von drei Rollen: als Hersteller vernetzter Produkte, als Nutzer solcher Produkte oder als Kunde eines Cloud-Dienstes. Die dritte Rolle trifft praktisch jedes Unternehmen.

Den vollständigen Text finden Sie in der Verordnung (EU) 2023/2854 auf EUR-Lex. Die Bundesnetzagentur hat unter bundesnetzagentur.de/DataAct eine deutschsprachige Übersicht aufgebaut.

Stichtag 12. September 2026: Datenzugang „by design”

Das ist der Termin, der Herstellern jetzt weh tut. Art. 3 Abs. 1 Data Act verlangt, dass vernetzte Produkte und die dazugehörigen Dienste so gestaltet werden, dass der Nutzer direkt, einfach und sicher auf die erzeugten Daten zugreifen kann — ohne Umweg über den Hersteller.

Der entscheidende Halbsatz steht in der Übergangsregelung: Diese Pflicht gilt nur für Produkte, die nach dem 12. September 2026 in der EU in Verkehr gebracht werden. Wer eine Maschine 2023 verkauft hat, muss sie nicht umbauen.

Die Fristen im Überblick

Cloud-Verträge: Der Ausstieg wird billiger

Hier profitieren Sie als Kunde. Anbieter von Datenverarbeitungsdiensten — also IaaS, PaaS und SaaS — müssen den Wechsel zu einem anderen Anbieter oder zurück ins eigene Rechenzentrum ermöglichen: mit offenen Schnittstellen, definierten Kündigungs- und Übergangsfristen und ohne finanzielle Sperren.

Der Kern für Ihre Vertragsverhandlung: Seit dem 11. Januar 2024 dürfen Anbieter nur noch reduzierte Wechselentgelte verlangen, die die tatsächlich entstandenen Kosten nicht übersteigen. Ab dem 12. Januar 2027 sind Wechselentgelte nach Art. 29 Data Act komplett unzulässig. Die Bundesnetzagentur erläutert die Anbieterpflichten in ihrem Themenbereich zum Anbieterwechsel.

Achtung bei der Abgrenzung: Echte Zusatzleistungen bleiben kostenpflichtig. Wenn Sie Ihre Daten in einem bestimmten Zielformat, beschleunigt oder mit Migrationsunterstützung haben wollen, darf der Anbieter das berechnen. Unzulässig ist das Entgelt für den Wechsel als solchen.

Wer prüft das in Deutschland?

Lange war offen, welche Behörde zuständig ist. Seit dem 30. Mai 2026 ist es geklärt: Das Data Act-Durchführungsgesetz ist in Kraft, der Bundestag hatte es am 26. März 2026 beschlossen.

• Bundesnetzagentur. Zentrale Aufsichtsbehörde für den Data Act — Beschwerden, Marktbeobachtung, Bußgelder, Zulassung von Streitbeilegungsstellen.
• BfDI. Zuständig, sobald personenbezogene Daten betroffen sind. Das ist eine Besonderheit: Ihr normaler Datenschutz-Ansprechpartner bleibt die Landesbehörde, für Data-Act-Fragen mit Personenbezug landen Sie beim Bund.
• Bußgeldrahmen. Bis zu 500.000 Euro. Bei zusätzlichem DSGVO-Verstoß kommen bis zu 20 Millionen Euro oder 4 Prozent des Jahresumsatzes dazu.

Aus der Praxis

Wir sehen bei Maschinenbauern gerade zwei Reflexe. Der eine sagt: „Die Daten aus unseren Anlagen gehören uns, da geben wir nichts raus." Der andere hat panisch ein Datenportal gebaut, das niemand nutzt. Beides geht am Punkt vorbei. Der Data Act fragt nicht nach einem Portal, sondern danach, ob der Kunde ohne Ihre Mithilfe an seine Nutzungsdaten kommt. Das ist eine Konstruktionsfrage, keine Marketingfrage — und sie muss vor der Serienfreigabe geklärt sein, nicht danach.

Jens HagelGeschäftsführer & Mitgründer frag.hugo

Data Act und DSGVO: zwei Regelwerke, ein Datensatz

Der häufigste Denkfehler: „Der Data Act verpflichtet mich zur Herausgabe, also darf ich herausgeben.” So funktioniert es nicht.

Der Data Act lässt das Datenschutzrecht ausdrücklich unberührt. Sobald in den Maschinendaten personenbezogene Informationen stecken — und das passiert schneller als gedacht, etwa über Bediener-Kennungen, Schichtzuordnungen oder GPS-Positionen im Fuhrpark — brauchen Sie zusätzlich eine Rechtsgrundlage nach Art. 6 DSGVO.

Praktisch heißt das: Die Datenflüsse aus dem Data Act gehören in Ihr Verarbeitungsverzeichnis, und für die Weitergabe an Dritte brauchen Sie dieselbe vertragliche Disziplin wie beim Auftragsverarbeitungsvertrag.

Was Sie in den nächsten Wochen tun sollten

1. Rolle klären. Sind Sie Hersteller vernetzter Produkte, Nutzer oder nur Cloud-Kunde? Die Pflichten unterscheiden sich fundamental. Für viele Dienstleister und Händler endet die Prüfung hier nach 20 Minuten.
2. Produkt-Roadmap prüfen. Welche Ihrer Produkte gehen nach dem 12. September 2026 neu in den Markt? Diese brauchen Access by Design — und das ist eine Anforderung an Hardware, Firmware und Schnittstelle, nicht an die AGB.
3. Cloud-Verträge sichten. Listen Sie alle Datenverarbeitungsdienste auf und markieren Sie Kündigungsfristen, Exit-Klauseln und Wechselentgelte. Alles, was 2026 zur Verlängerung ansteht, wird jetzt nachverhandelt.
4. Datenkategorien trennen. Legen Sie je Produkt fest, welche Daten rein technisch und welche personenbeziehbar sind. Ohne diese Trennung wird jede Datenherausgabe zum Datenschutz-Risiko.
5. Zuständigkeit intern benennen. Der Data Act fällt zwischen IT, Vertrieb und Recht durch. Benennen Sie eine Person, die die Anfragen entgegennimmt — genauso wie bei Auskunftsanfragen nach der DSGVO.

Lesetipp: Dieses Thema wird in unserem kostenlosen E-Book „CYBER-SICHER — Der IT-Sicherheits-Guide für den deutschen Mittelstand” (47 Seiten, 2026-Edition) ausführlich behandelt. Jetzt herunterladen →

Fazit: Ihr nächster Schritt

Der Data Act ist keine Katastrophe, aber er ist auch nicht optional. Für reine Cloud-Kunden ist er sogar eine gute Nachricht: Der Anbieterwechsel wird ab 2027 spürbar günstiger. Für Hersteller vernetzter Produkte läuft dagegen eine harte Konstruktionsfrist, die am 12. September 2026 zuschlägt — und Konstruktionsfristen lassen sich nicht mit einer Richtlinie im Intranet heilen.

Prüfen Sie, ob Sie überhaupt betroffen sind, bevor Sie ein Projekt aufsetzen. Bei den meisten KMU dauert diese Klärung eine Stunde. Wie sicher Ihre Cloud-Anbindung technisch aufgestellt ist, sehen Sie parallel in unserem Beitrag zur Cloud-Sicherheit im Mittelstand.

Häufige Fragen (FAQ)

Seit wann gilt der Data Act?

Die Verordnung (EU) 2023/2854 gilt seit dem 12. September 2025. Einzelne Vorschriften greifen später: Die konstruktive Pflicht zum Datenzugang nach Art. 3 Abs. 1 gilt nur für vernetzte Produkte, die nach dem 12. September 2026 in der EU in Verkehr gebracht werden. Die Regeln zu Wechselentgelten bei Cloud-Diensten verschärfen sich zum 12. Januar 2027.

Muss ich meine bereits verkauften Maschinen nachrüsten?

Nein. Die Access-by-Design-Pflicht aus Art. 3 Abs. 1 Data Act betrifft nur Produkte, die nach dem 12. September 2026 neu in Verkehr gebracht werden. Bestandsmaschinen müssen nicht technisch nachgerüstet werden. Die Auskunfts- und Bereitstellungspflichten gegenüber dem Nutzer können Sie aber auch bei Altgeräten treffen, sofern die Daten bereits ohne unverhältnismäßigen Aufwand verfügbar sind.

Wer beaufsichtigt den Data Act in Deutschland?

Seit dem 30. Mai 2026 gilt das Data Act-Durchführungsgesetz. Zentrale Aufsichtsbehörde ist die Bundesnetzagentur. Sind personenbezogene Daten betroffen, ist zusätzlich die oder der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit zuständig.

Wie hoch sind die Bußgelder beim Data Act?

Das deutsche Durchführungsgesetz sieht Geldbußen von bis zu 500.000 Euro vor. Betrifft der Verstoß zugleich personenbezogene Daten, kommen die DSGVO-Sanktionen von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes obendrauf.

Darf mein Cloud-Anbieter mir noch Wechselgebühren berechnen?

Bis zum 12. Januar 2027 nur noch in reduzierter Höhe: Die Entgelte dürfen die tatsächlich für den Wechsel entstandenen Kosten nicht übersteigen. Ab dem 12. Januar 2027 sind Wechselentgelte nach Art. 29 Data Act vollständig unzulässig. Echte Zusatzleistungen wie eine Datenaufbereitung in ein Wunschformat dürfen weiterhin berechnet werden.

Ersetzt der Data Act die DSGVO?

Nein. Der Data Act lässt das Datenschutzrecht unberührt. Sobald personenbezogene Daten im Spiel sind, brauchen Sie zusätzlich eine Rechtsgrundlage nach Art. 6 DSGVO, müssen informieren und das Verarbeitungsverzeichnis pflegen. Der Data Act schafft Zugangsansprüche, keine datenschutzrechtliche Erlaubnis.