Der EU Data Act: Warum Hersteller von vernetzten Geräten (IoT) ihre Daten jetzt teilen müssen – und wie Sie Ihre Geschäftsgeheimnisse trotzdem schützen

23.06.2026

Mit dem Data Act verfolgt die Europäische Union das Ziel, den Zugang zu industriellen Daten grundlegend neu zu ordnen. Insbesondere Hersteller vernetzter Produkte verlieren künftig einen Teil ihrer bisherigen Kontrolle über die bei der Nutzung ihrer Geräte entstehenden Daten. Nutzer erhalten weitreichende Ansprüche auf Zugang zu diesen Informationen und können deren Weitergabe an Dritte verlangen.

Gerade für Hersteller von IoT-Produkten wirft dies erhebliche Fragen auf. Denn die betroffenen Produkt- und Dienstdaten können Rückschlüsse auf technische Prozesse, Entwicklungsleistungen oder andere wirtschaftlich wertvolle Informationen zulassen. Der Data Act bewegt sich daher in einem Spannungsfeld zwischen Datenzugang und Geheimnisschutz. Wie dieses Spannungsverhältnis aufgelöst werden soll, gehört zu den zentralen Herausforderungen der neuen Verordnung.

Der Data Act im Überblick: Welche Akteure sind betroffen?

Der Data Act basiert auf einem Dreiecksverhältnis zwischen Nutzer, Dateninhaber und Datenempfänger.

Nutzer ist die natürliche oder juristische Person, die Eigentümer eines vernetzten Produkts ist oder dieses auf Grundlage eines vertraglichen Nutzungsrechts verwendet. Dabei kann es sich sowohl um Verbraucher als auch um Unternehmen handeln.

Dateninhaber ist die Person oder Organisation, die die Kontrolle über die betreffenden Daten ausübt und diese auf Grundlage des Data Act bereitstellen muss. In der Praxis wird dies regelmäßig der Hersteller eines vernetzten Produkts oder der Anbieter eines verbundenen digitalen Dienstes sein.

Datenempfänger ist schließlich ein vom Nutzer ausgewählter Dritter, an den die Daten auf dessen Verlangen übermittelt werden sollen. Hierzu zählen etwa unabhängige Reparatur- oder Wartungsunternehmen, Analyseanbieter oder andere Dienstleister, die auf die Daten angewiesen sind, um eigene Leistungen anbieten zu können.

Warum müssen Hersteller Daten herausgeben?

Der europäische Gesetzgeber sieht in der faktischen Datenkontrolle vieler Hersteller ein Wettbewerbshemmnis. Zwar entstehen die Daten häufig erst durch die Nutzung eines Produkts durch den Kunden, tatsächlich verbleiben sie jedoch regelmäßig beim Hersteller. Dadurch kann dieser nachgelagerte Märkte kontrollieren, etwa im Bereich Wartung, Reparatur, Analyse oder datenbasierter Zusatzdienste.

Der Data Act soll diese Datenasymmetrien abbauen. Nutzer sollen stärker über die durch die Nutzung eines Produkts erzeugten Daten verfügen können und die Möglichkeit erhalten, diese auch konkurrierenden Anbietern zugänglich zu machen. Ziel ist es, Innovationen zu fördern, Markteintrittsbarrieren zu reduzieren und die Entwicklung neuer datengetriebener Geschäftsmodelle zu erleichtern.

Besonders relevant ist dies im Bereich des Internet of Things. Wer eine vernetzte Maschine, ein intelligentes Fahrzeug oder ein Smart Device nutzt, soll künftig nicht mehr ausschließlich auf die Dienstleistungen des Herstellers angewiesen sein. Vielmehr soll der Nutzer selbst entscheiden können, wem die durch das Produkt erzeugten Daten zur Verfügung gestellt werden.

Der konkrete Datenzugangsanspruch: Woraus ergibt er sich?

Die zentralen Datenzugangsansprüche des Data Act finden sich in Art. 4 und Art. 5 DA. Art. 4 Abs. 1 DA verpflichtet den Dateninhaber, dem Nutzer auf Verlangen die durch das vernetzte Produkt oder den verbundenen Dienst erzeugten und „ohne Weiteres verfügbaren“ Daten bereitzustellen, soweit diese dem Nutzer nicht bereits unmittelbar zugänglich sind. Die Bereitstellung hat grundsätzlich unverzüglich, unentgeltlich, in einem strukturierten, gängigen und maschinenlesbaren Format sowie – sofern relevant und technisch durchführbar – kontinuierlich und in Echtzeit zu erfolgen.

Ergänzend hierzu regelt Art. 5 Abs. 1 DA den Anspruch des Nutzers, die betreffenden Daten nicht an sich selbst, sondern unmittelbar an einen von ihm benannten Dritten übermitteln zu lassen. Der Dateninhaber ist in diesem Fall verpflichtet, die erfassten Daten dem Dritten bereitzustellen. Die Herausgabepflicht beschränkt sich dabei auf die vom Data Act erfassten Produktdaten und verbundenen Dienstdaten, soweit diese dem Dateninhaber tatsächlich vorliegen oder für ihn ohne Weiteres verfügbar sind.

Geschäftsgeheimnisse als Grenze der Datenzugangsansprüche und wie der Data Act deren Schutz sichern will

Für viele Unternehmen stellt sich die Frage, ob Geschäftsgeheimnisse von den Datenzugangsansprüchen ausgenommen sind. Die Antwort lautet: grundsätzlich nein.

Nach der Geschäftsgeheimnis-Richtlinie und den nationalen Umsetzungsgesetzen sind Geschäftsgeheimnisse Informationen, die nicht allgemein bekannt oder ohne Weiteres zugänglich sind, aufgrund ihrer Geheimhaltung wirtschaftlichen Wert besitzen und durch angemessene Geheimhaltungsmaßnahmen geschützt werden.

Auch Produkt- und Dienstdaten können diese Voraussetzungen erfüllen, sofern – wie bereits angesprochen – Rückschlüsse auf die Funktionsweise eines Produkts, interne Entwicklungsprozesse oder sonstige wirtschaftlich wertvolle Informationen möglich sind.

Welche Schutzmechanismen bietet der Data Act also?

An die Stelle einer generellen Ausnahme tritt ein abgestuftes Schutzkonzept. Nach Art. 4 Abs. 6 DA dürfen Geschäftsgeheimnisse nur offengelegt werden, wenn zuvor alle erforderlichen Maßnahmen getroffen wurden, um ihre Vertraulichkeit zu wahren. Für die praktische Umsetzung sehen Art. 4 Abs. 6 DA und Art. 5 Abs. 9 DA vor, dass Dateninhaber mit dem Nutzer beziehungsweise dem Datenempfänger technische und organisatorische Schutzmaßnahmen vereinbaren können. Die Verordnung nennt hierfür beispielhaft Vertraulichkeitsvereinbarungen, Mustervertragsklauseln, Zugangsbeschränkungen, technische Sicherheitsstandards oder die Anwendung von Verhaltenskodizes. Kommt eine Einigung über solche Maßnahmen nicht zustande oder werden sie nicht umgesetzt, ist der Dateninhaber nach Art. 4 Abs. 7 DA beziehungsweise Art. 5 Abs. 10 DA berechtigt, die Offenlegung der Daten zu verweigern.

Darüber hinaus sieht der Data Act eine weitere Schutzstufe für besonders sensible Konstellationen vor. Nach Art. 4 Abs. 8 DA und Art. 5 Abs. 11 DA darf der Dateninhaber die Datenbereitstellung ausnahmsweise vollständig verweigern, wenn er nachweisen kann, dass trotz der vereinbarten Schutzmaßnahmen mit hoher Wahrscheinlichkeit ein schwerer wirtschaftlicher Schaden durch die Offenlegung eines Geschäftsgeheimnisses eintreten würde. Die Anforderungen hierfür sind bewusst hoch angesetzt: Die Gefahr muss auf objektiven Tatsachen beruhen und gegenüber dem Nutzer sowie der zuständigen Behörde nachvollziehbar dokumentiert werden. Die bloße Behauptung eines Geheimhaltungsinteresses genügt daher nicht.

Was sollten Hersteller jetzt zum Schutz ihrer Geschäftsgeheimnisse unternehmen?

Der Rückgriff auf die Schutzmechanismen des Data Act erfordert es in der Praxis einige Prozesse anzustoßen. Insbesondere setzt der Schutz von Geschäftsgeheimnissen operativ voraus, dass Unternehmen bereits im Vorfeld geeignete organisatorische, technische und vertragliche Maßnahmen implementieren. Hersteller vernetzter Produkte sollten daher zunächst systematisch erfassen, welche Produkt- und Dienstdaten von den Datenzugangsansprüchen erfasst werden und ob diese Geschäftsgeheimnisse enthalten oder Rückschlüsse auf solche zulassen können. Eine belastbare Datenklassifizierung wird künftig eine zentrale Voraussetzung sein, um sensible Informationen überhaupt identifizieren und schützen zu können.

Darüber hinaus empfiehlt es sich, standardisierte Verfahren für Auskunfts- und Datenzugangsersuchen zu etablieren. Da Art. 4 Abs. 6 ff. und Art. 5 Abs. 9 ff. DA die Offenlegung von Geschäftsgeheimnissen an die Vereinbarung geeigneter Schutzmaßnahmen knüpfen, sollten Unternehmen frühzeitig Mustervertraulichkeitsvereinbarungen, technische Sicherheitskonzepte und interne Prüfprozesse entwickeln. Nur so kann sichergestellt werden, dass die erforderlichen Schutzvorkehrungen vor einer Datenweitergabe tatsächlich umgesetzt werden.

Besondere Aufmerksamkeit verdient zudem die Dokumentation. Möchte sich ein Dateninhaber etwa auf die Ausnahmevorschriften des Art. 4 Abs. 8 oder Art. 5 Abs. 11 DA berufen, muss er substantiiert darlegen können, weshalb trotz aller Schutzmaßnahmen mit hoher Wahrscheinlichkeit ein schwerer wirtschaftlicher Schaden droht. Dies setzt voraus, dass die betroffenen Geschäftsgeheimnisse, ihr wirtschaftlicher Wert sowie die konkreten Risiken einer Offenlegung nachvollziehbar dokumentiert werden.

Für Hersteller wird der Schutz von Geschäftsgeheimnissen daher künftig nicht erst bei Eingang eines Datenzugangsverlangens relevant. Vielmehr sollte bereits bei der Entwicklung vernetzter Produkte und Datenarchitekturen berücksichtigt werden, welche Daten erhoben werden, welche Informationen offengelegt werden müssen und welche Schutzmaßnahmen erforderlich sind, um sensible Unternehmensinformationen auch unter den Vorgaben des Data Act wirksam zu schützen.

AGOR legal als Ihr Ansprechpartner zum Data Act und zum Schutz von Geschäftsgeheimnissen

Die AGOR legal unterstützt Sie bei allen rechtlichen Fragestellungen rund um den Data Act – von der Einordnung konkreter Datenzugangsansprüche über die Identifikation und Absicherung von Geschäftsgeheimnissen bis hin zur Gestaltung geeigneter vertraglicher, technischer und organisatorischer Schutzmaßnahmen. Gerne begleiten wir Sie bei der Entwicklung einer rechtssicheren Data-Governance.