Hintergrund
Der Data Act ist Teil der europäischen Datenstrategie und trat am 11. Januar 2024 in Kraft. Seit heute (12. September 2025) ist dieser anwendbar. Durch den Data Act soll mehr Klarheit darüber geschaffen werden, wer welche Daten unter welchen Bedingungen nutzen darf und wie Daten zwischen Geräten, Diensten und Anbietern zu teilen sind. Da verfügbare Datenbestände bislang aufgrund gesetzlicher, wirtschaftlicher und technischer Hemmnisse nicht vollständig ausgenutzt wurden, rechnet die EU-Kommission damit, dass die Mitgliedstaaten durch den Data Act bis 2028 einen BIP-Zuwachs in Höhe von 270 Mrd. EUR verzeichnen werden. Die wirtschaftlichen Chancen sind für jedes Unternehmen daher immens, die Risiken im Falle einer unzureichenden Umsetzung allerdings auch.
So gilt es die folgenden, aus dem Data Act resultierenden Compliance-Pflichten umzusetzen:
- Vermeidung von Vendor Lock-in: Nutzer haben künftig stärkere Rechte, Diensteanbieter insb. vernetzter Geräte zu wechseln und ihre Daten hierbei zu portieren. Unternehmen erhalten zugleich eine größere Flexibilität bei der Kombination verschiedener Cloud-Anbieter, müssen sich aber auch darauf einstellen, selbst dahingehende Pflichten gegenüber ihren Nutzer*Innen zu erfüllen und insb. Daten in Echtzeit bereitstellen sowie Fremddaten aufnehmen zu können.
- Vertrags- und Risikomanagement: Bestehende Verträge mit Cloud- und Datenverarbeitungsdiensten müssen überprüft und ggf. angepasst werden, dies insb. hinsichtlich vereinbarter Kündigungsfristen sowie Datenportabilitäts- und -zugangsrechte, um Verstöße gegen die dahingehenden Vorgaben des Data zu vermeiden Acts (etwa betreffend die Vorgaben der sog. „schwarzen“ und „grauen“ Liste gem. Art. 13 Abs. 4 und 5 Data Act).
- Angemessene Wechselentgelte: Wechsel- oder Exit-Entgelte betreffend einen Provider-wechsel sind für eine Übergangsfrist erlaubt, werden aber künftig ganz untersagt sein. Entsprechend müssen Unternehmen ihre Preis- und Abrechnungsmodelle überprüfen und anpassen, um den Vorgaben des Data Acts zu entsprechen.
- Datenbereitstellung an Behörden: In bestimmten Fällen kann eine Datenbereitstellung an Behörden sicherzustellen sein. Hierzu müssen Unternehmen Prozesse vorsehen, um dahingehende Anfragen prüfen und erforderlichenfalls erfüllen zu können.
- Beachtung von Datenschutzanforderungen: Der Data Act betrifft sowohl personenbezogene als auch nicht-personenbezogene Daten. Bei ersteren ist neben dem Data Act die DSGVO zu beachten. Entsprechend müssen Unternehmen die Umsetzung des Data Acts in das bestehende Datenschutz-Management einbinden. Integrierte Prozesse sind daher unentbehrlich, eine Abstimmung mit der Funktion des Datenschutzbeauftragten entsprechend obligatorisch. Gleiches gilt es mit Blick auf die Einbeziehung des Informationssicherheitsbeauftragten (ISO bzw. CISO) mit Blick auf die Sicherheit der Verarbeitung in diesem Kontext.
Wichtig: Unmittelbares Handeln ist gefragt!
Sollten Ihr Unternehmen die aus dem Data Act resultierenden Pflichten noch nicht umfassend umgesetzt haben, empfiehlt es sich, umgehend zu handeln. Denn andernfalls können rechtliche Auseinandersetzungen insb. mit Nutzern, Geschäftspartnern und Aufsichtsbehörden drohen. Letztere können dabei auch Bußgelder in Höhe von bis zu EUR 20 Mio. oder 4 % des weltweiten Jahresumsatzes eines Unternehmens aussprechen, wobei ein Rückblick auf die Sanktionspraxis nach Anwendbarkeit der DSGVO zeigt, dass dies nicht allzu lange auf sich warten lassen dürfte.
Was wir für Sie tun können
Wir bieten Ihnen umfassende Beratung und Begleitung rund um die Anforderungen des Data Acts und unterstützen Sie insbesondere bei den folgenden Themen:
- Compliance Check: Wir führen eine Analyse durch, ob und inwieweit sie Pflichten des Data Act zu beachten haben und welche Dienste, Daten und Prozesse betroffen sind. Auch unterstützen wir Sie dabei zu verstehen, welche Rechte und Pflichten Sie gegenüber Geschäftspartnern haben und helfen Ihnen, diese durch- oder umzusetzen.
- Vertragsprüfung und -gestaltung: Gerne analysieren wir bestehende SaaS- sowie sonstige Cloud- und Datenverarbeitungsverträge mit Blick auf die Vorgaben des Data Act und helfen Ihnen, diese bei Bedarf anzupassen.
- Schulung & Sensibilisierung: Wir bieten adressatengerechte Schulungen an, um Geschäftsführung, IT-Abteilungen, Vertragsverantwortliche und andere relevante Akteure über die Rechte und Pflichten nach dem Data Act aufzuklären und das dahingehende Compliance-Bewusstsein im Unternehmen zu stärken.
- Implementierungsunterstützung: Gemeinsam mit Ihren technischen Fachbereichen unterstützen wir Sie, bestehende Anforderungen an die Interoperabilität der Daten umzusetzen und insoweit eine ordnungsgemäße Dokumentation zu schaffen.
- Rechtsvertretung und Behördenkommunikation: Sollte es zu Streitigkeiten im Zusammenhang mit dem Data Act kommen, vertreten wir Ihre Interessen bspw. gegenüber Anbietern und Aufsichtsbehörden, dies außergerichtlich und gerichtlich.
Sie profitieren dabei von unserer langjährigen Beratungserfahrung im technologische Umfeld. Dabei nehmen wir stets eine pragmatische, unternehmensnahe Perspektive ein, dies nicht zuletzt aufgrund unserer im Datenschutz- und Informationssicherheitskontext erworbenen, langjährigen Inhouse-Erfahrung.
Sprechen Sie uns im Falle von Fragen oder Unterstützungsbedarf gerne an!
