Ein Jahr nach Geltungsbeginn des Data Act wird am 12. September 2026 der Access by Design scharf geschaltet. Für alle vernetzten Produkte und die mit ihnen verbundenen Dienste, die nach diesem Stichtag in Verkehr gebracht werden, gilt ab dann das Datenzugangsrecht aus Art. 3 Abs. 1 Data Act. Vernetzte Produkte und verbundene Dienste sind dann so zu konzipieren, dass Nutzer einfach, sicher und unentgeltlich auf die generierten Daten zugreifen können.

Dieser Beitrag widmet sich den zentralen technischen und organisatorischen Pflichten, die aus dem Access by Design folgen.

1. Pflichten aus dem Access by Design

Art. 3 Abs. 1 Data Act verpflichtet Hersteller vernetzter Produkte und Anbieter verbundener Dienste, ihre Produkte und Dienste bereits bei der Entwicklung und Konzeption so zu gestalten, dass die bei ihrer Nutzung erzeugten Daten einschließlich relevanter Metadaten für Nutzer

• einfach (ohne unangemessenen Aufwand),
• sicher (unter Wahrung angemessener technischer und organisatorischer Schutzmaßnahmen),
• unentgeltlich und
• in einem strukturierten, gängigen und maschinenlesbaren Format

standardmäßig und, soweit technisch möglich, direkt zugänglich sind.

Die Verpflichtung geht deutlich über eine bloße Herausgabepflicht auf Anfrage hinaus. Vielmehr verlangt die Regelung, dass der Datenzugang bereits bei der Produkt- und Dienstentwicklung technisch mitgedacht sowie in die Produkt- und Dienstarchitektur integriert wird und der Datenabruf nicht nur auf Anfrage zu erfolgen hat.

2. Handlungsbedarf für Unternehmen

Die Pflicht zum Access by Design gilt nur für vernetzte Produkte und die mit ihnen verbundenen Dienste, die nach dem 12. September 2026 in Verkehr gebracht werden (Art. 50 Abs. 3 Data Act). Maßgeblich ist dabei nicht der jeweilige Produkttyp oder die Produktreihe, sondern das jeweils konkret in Verkehr gebrachte Produkt. Bestandsprodukte, die bereits vor diesem Stichtag in Verkehr gebracht worden sind, werden von der Verpflichtung nicht erfasst. Hersteller sind somit nicht verpflichtet, bereits im Markt befindliche Produkte allein aufgrund des Data Act nachträglich technisch anzupassen oder umzurüsten.

Unternehmen sollten dennoch jetzt prüfen,

• ob Neuentwicklungen oder neue Produktgenerationen nach dem 12. September 2026 auf den Markt gebracht werden sollen,
• welche Produkt- und Dienstdaten bei der Nutzung des Produkts oder des Dienstes entstehen,
• ob Nutzer auf diese Daten bereits selbst zugreifen können und
• ob bestehende Schnittstellen den Anforderungen des Data Act genügen.

In der Praxis kann die Umsetzung des Access by Design insbesondere folgende Maßnahmen erfordern:

• Bereitstellung eines direkten Datenzugangs über das Produkt selbst (z. B. über eine Schnittstelle, eine lokale App oder eine Bluetooth-/WLAN-Verbindung), soweit technisch möglich, oder
• Bereitstellung der Daten über einen verbundenen Dienst (z. B. eine Companion-App oder ein Nutzerportal), wenn ein direkter Gerätezugriff nicht sinnvoll oder möglich ist,
• Verzicht auf nicht erforderliche Zwischenschritte wie manuelle Anträge oder Registrierungshürden, soweit diese nicht aus Sicherheitsgründen erforderlich sind,
• Einhaltung angemessener IT-Sicherheitsstandards, insbesondere im Hinblick auf Authentifizierung und Integrität der Daten.

3. Schutz von Geschäftsgeheimnissen

Auch bei der Umsetzung des Access by Design stellt sich in der Praxis die Frage nach dem Schutz von Geschäftsgeheimnissen und Know-how des Herstellers. Dieser Schutz steht in einem Spannungsverhältnis zu den Rechten des Nutzers. Der Data Act verdeutlicht, dass ein schlichter Verweis auf Geschäftsgeheimnisse nicht dazu genutzt werden darf, Datenzugangsansprüche faktisch leerlaufen zu lassen. Der Data Act gewährt dem Geheimnisschutz gerade keinen generellen Vorrang, sodass ein Datenzugang im Grundsatz auch bei geschäftsgeheimnisrelevanten Daten geschuldet bleibt.

Während der Data Act ein eng begrenztes Verweigerungsrecht bei Geschäftsgeheimnissen für die bereits geltenden Herausgabe- und Weitergabeverlangen ausdrücklich vorsieht, fehlt ein entsprechendes Pendant für den direkten Datenzugang des Nutzers im Rahmen des Access by Design. Derzeit noch ungeklärt ist, ob und wenn ja in welchem Umfang Hersteller den Zugang zu geschäftsgeheimnisrelevanten Daten im Rahmen des Access by Design einschränken dürfen.

Um die Vertraulichkeit ihrer Geschäftsgeheimnisse bestmöglich zu wahren, sollten Hersteller von vernetzten Produkten und verbundenen Diensten daher in jedem Fall sorgfältig die den Produkten und Diensten zugrunde liegenden Verträge und Nutzungsbedingungen prüfen und ausreichende vertragliche Rücksichtnahme- und Geheimhaltungspflichten vorsehen.

4. Aktuelle To-dos für Unternehmen

Unabhängig von den noch offenen Auslegungsfragen empfehlen sich für Unternehmen, die vernetzte Produkte und verbundene Dienste anbieten, aktuell insbesondere folgende Schritte:

• Bestandsaufnahme und Produktanalyse: Prüfung, welche vernetzten Produkte und verbundenen Dienste nach dem 12. September 2026 erstmals in Verkehr gebracht werden, Bestimmung der erzeugten Produkt- und Dienstdaten, Prüfung bestehender Datenzugangsmechanismen.
• Technische Umsetzung: Implementierung der Access by Design-Anforderungen in der Produktentwicklung.
• Governance: Definition interner Verantwortlichkeiten zwischen Produktmanagement, IT und Rechtsabteilung, Aufbau von Prozessen zur Bearbeitung von Datenzugangs- und Datenweitergabeverlangen.
• Vertrags- und Dokumentationsprüfung: Überprüfung und Erstellung von Geschäfts- und Nutzungsbedingungen rund um vernetzte Produkte und verbundene Dienste, die einen ausreichenden Schutz von Geschäftsgeheimnissen gewährleisten.

5. Fazit

Mit dem 12. September 2026 erreicht der Data Act die nächste entscheidende Umsetzungsstufe. Während sich Unternehmen im vergangenen Jahr vor allem auf die Informationspflichten konzentriert haben, rückt nun die technische Umsetzung der Datenzugangsrechte in den Vordergrund. Für Unternehmen, die vernetzte Produkte und verbundene Dienste entwickeln, wird der Datenzugang damit endgültig zu einem festen Bestandteil der Produktgestaltung. Gleichzeitig zeigen die offenen Fragen rund um Geschäftsgeheimnisschutz und die ebenfalls bevorstehenden Änderungen durch den Digital Omnibus, dass der Data Act auch weiterhin für erheblichen Klärungsbedarf sorgen wird.

Für weitere Fragen zum Thema Datennutzung, Data Act oder zum IT- und Datenschutzrecht im Allgemeinen steht Ihnen die Praxisgruppe IT & Datenschutzrecht von RITTERSHAUS gerne zur Verfügung.

Weiterführend zum Data Act: Blog-Beitrag vom 29. April 2024: Der Data Act – Neue Regeln für den Zugang und die Nutzung von Daten sowie vom 11. September 2025: Der Data Act in der Unternehmenspraxis: Umsetzung der Informationspflichten