Von der Strategie bis zur technischen Umsetzung: Die komplette Data Act To-Do-Checkliste für Hersteller, Anbieter und Nutzer vernetzter Produkte und digitaler Dienste.

Der EU Data Act ist seit dem 12. September 2025 in Kraft. Viele Pflichten gelten bereits – andere greifen am 12. September 2026. Die Zeit für eine strukturierte Umsetzung wird knapper.

Viele Unternehmen wissen inzwischen, dass sie betroffen sind – aber was bedeutet das konkret? Was muss wann umgesetzt werden, und in welcher Reihenfolge?

In den vorherigen Teilen dieses Praxisleitfadens haben wir die wichtigsten Regelungsbereiche des Data Act erklärt: Datenzugangspflichten, Datennutzungsverträge, unfaire Vertragsklauseln, die Schutzstrategie für veredelte Daten und die Switching-Regeln für Cloud-Anbieter.

In diesem abschließenden Teil bringen wir alles zusammen – in einer praxisnahen, operativen To-Do-Checkliste, mit der Sie konkrete Schritte direkt umsetzen können.

Hier Checkliste kostenlos herunterladen.

Data Act-Compliance ist kein IT-Projekt

Die wichtigste Erkenntnis vorab: Der Data Act ist keine isolierte IT-Aufgabe. Er greift tief in technische Produktgestaltung, Vertragsrecht, operative Prozesse und kommerzielle Aspekte ein – gleichzeitig und branchenübergreifend. Hersteller vernetzter Produkte, Anbieter verbundener Dienste, Cloud-Anbieter und Nutzer sind alle betroffen, teils mit ganz unterschiedlichen Pflichten und Rechten.

Die Checkliste ist deshalb in fünf Bereiche gegliedert.

1. Dateninventar & Strategische Abgrenzung

Bevor eine einzige technische oder vertragliche Maßnahme sinnvoll geplant werden kann, braucht es ein vollständiges Bild der eigenen Datenlage. Das bedeutet: Welche Produkte und Dienste fallen überhaupt in den Anwendungsbereich? Welche Daten entstehen dabei – personenbezogen, nicht-personenbezogen oder gemischt?

Und wo in der Verarbeitungskette stehen diese Daten: sind es Rohdaten (Stufe 1), aufbereitete Daten (Stufe 2) oder veredelte Daten mit erheblichen Investitionen (Stufe 3)?

Diese Klassifizierung ist strategisch entscheidend, denn nur Daten der Stufen 1 und 2 unterliegen der Weitergabepflicht. Veredelte Daten genießen besonderen Schutz – aber nur, wenn die Investitionen sorgfältig dokumentiert sind.

Ein oft übersehener Punkt: Auch Bestandsgeräte, die vor dem 12.09.2025 verkauft wurden, sind betroffen. Für bekannte Nutzer muss die vertragliche Zustimmung zur Eigennutzung der Daten nachgeholt werden.

2. Design-Pflichten & Technische Umsetzung

Ab dem 12. September 2026 müssen neu auf den Markt gebrachte vernetzte Produkte so gestaltet sein, dass Nutzer standardmäßig direkten, einfachen und kostenlosen Zugang zu den generierten Daten haben – maschinenlesbar, kontinuierlich, in Echtzeit soweit technisch möglich. Das ist Access-by-Design, und es ist keine Empfehlung, sondern eine gesetzliche Pflicht.

Unsere Checkliste gibt hier konkrete Lösungen: APIs mit vollständiger Dokumentation, Authentifizierungs- und Autorisierungsmechanismen, Echtzeit-Fähigkeit, Qualitätsgleichheit mit den eigenen Datenzugriffen – und eine aktive Schutzstrategie für Geschäftsgeheimnisse, denn beim direkten Access-by-Design greift kein automatischer Schutz.

3. Nutzerverwaltung & Operative Prozesse

Dieser Abschnitt umfasst das Zustimmungsmanagement nach Art. 4 Abs. 13 (ohne vertragliche Zustimmung des Nutzers bestehen seit dem 12.09.2025 de facto keine Eigennutzungsrechte mehr), die Einrichtung eines Anfrage-Workflows für Datenzugangsanfragen, die Weitergabe an Dritte auf Nutzerverlangen, den Schutz von Geschäftsgeheimnissen und die offensive Nutzung eigener Rechte als Datenempfänger.

Besonders wichtig: Die Koordination mit der DSGVO. Der Data Act überlagert die DSGVO nicht – er tritt neben sie. Wer beide Regelwerke nicht abstimmt, riskiert gleichzeitig gegen beide zu verstoßen. Und bei Herausgaben an Behörden in Notstandssituationen sind personenbezogene Daten vor der Übermittlung soweit möglich zu anonymisieren oder pseudonymisieren.

4. Verträge & Cloud

AGB, Nutzungsbedingungen und Serviceverträge müssen auf drei Ebenen geprüft werden: Blacklist-Klauseln entfernen, Greylist-Klauseln überprüfen und – das wird oft vergessen – eine Lizenzklausel zur Eigennutzung der Daten aufnehmen. Letzteres ist keine Kür, sondern zwingend: Ohne sie hat der Dateninhaber keine Rechtsgrundlage mehr, die durch eigene Produkte entstehenden Daten für eigene Zwecke zu nutzen.

Für Cloud- und SaaS-Anbieter kommen die Switching-Regeln hinzu: maximale Kündigungsfrist von 30 Tagen und maximale Frist von 2-7 Monaten zur Durchführung des Wechsels, kostenfreier Datenexport, funktionale Äquivalenz. Diese Regeln gelten seit dem 12.09.2025 auch für bestehende Altverträge.

5. Organisation & Governance

Alle vorgenannten Maßnahmen sind ohne klare interne Verantwortlichkeiten wirkungslos. Die Checkliste fordert: Management-Awareness herstellen, einen Data Act Compliance Officer oder SPOC benennen, ein funktionsübergreifendes Team etablieren, interne Leitlinien entwickeln und alle betroffenen Bereiche schulen – von IT und Produktentwicklung bis zu Vertrieb, Support und Recht.

Und: Die Arbeit ist mit der Erstimplementierung nicht getan. Delegierte Rechtsakte, EU-Standardvertragsklauseln und Interoperabilitätsnormen werden von der EU-Kommission noch verabschiedet. Kontinuierliches Monitoring ist Pflicht.

Business sichern, Risiken minimieren, Chancen nutzen.

Laden Sie die vollständige To-Do-Checkliste kostenlos herunter und nutzen Sie sie als Grundlage für Ihre eigene Data Act Roadmap.

Haben Sie den Data Act Anwendbarkeitscheck noch nicht gemacht? Starten Sie hier unseren kostenlosen Data Act Anwendbarkeitscheck.

Möchten Sie wissen, wo Ihr Unternehmen heute steht? Unsere kostenlose Reifegrad-Analyse gibt Ihnen in wenigen Minuten eine erste Einschätzung:

Von der Strategie bis zur Umsetzung – Wir begleiten Sie Sie pragmatisch und effizient bei der Data-Act-Transformation

Der EU Data Act ist komplex. Aber er ist auch eine Chance: Wer jetzt handelt, sichert sein Business, schützt seine Werte und erschließt neue Potenziale.

this post EU Data Act: Praxisleitfaden Teil 7 – Die operative To-Do-Checkliste first appeared on PRICOM - Pragmatische Experten für Datenschutz, Compliance & KI and is written by

Die ersten fünf Teile unseres Praxisleitfadens haben gezeigt, was der EU Data Act konkret bedeutet – für vernetzte Produkte, Datennutzungsverträge, Vertragsklauseln, Datenzugangspflichten und Datenverarbeitungs-Dienste.

Bevor Sie in die operative Umsetzung einsteigen, gibt es zwei Fragen, die Sie zuerst beantworten sollten:

1. Gilt der Data Act überhaupt für Ihr Unternehmen?

2. Und wenn ja – wo stehen Sie heute?

Zwei kostenlose Tools von PRICOM helfen Ihnen, Ihre Betroffenheit zu prüfen und Ihren Umsetzungsstand zu bewerten.

Schritt 1: Der kostenlose Data Act Anwendbarkeitscheck

Nicht jedes Unternehmen ist vom Data Act gleichermaßen betroffen. Ob und in welchem Umfang die Pflichten gelten, hängt von Ihrer Unternehmensgröße, Ihren Produkten, Ihren digitalen Diensten und Ihrer Rolle im Datengefüge ab – als Hersteller, Anbieter verbundener Dienste, Dateninhaber, Nutzer oder Datenverarbeitungsdienstleister.

Unser kostenloser Data Act Anwendbarkeitscheck führt Sie in wenigen Minuten durch die entscheidenden Fragen und gibt Ihnen eine erste, strukturierte Einschätzung Ihrer Betroffenheit.

Jetzt kostenlos Data Act Anwendbarkeitscheck starten:

Schritt 2: Die kostenlose Data Act Reifegrad-Analyse

Wenn der Data Act auf Ihr Unternehmen anwendbar ist, stellt sich die nächste Frage: Was haben Sie bereits umgesetzt – und wo bestehen noch Lücken?

Unsere kostenlose Reifegrad-Analyse bewertet Ihren aktuellen Umsetzungsstand systematisch: von der technischen Umsetzung des Datenzugangs über Vertragsgestaltung und Governance bis zum Schutz Ihrer Geschäftsgeheimnisse. Sie erhalten eine strukturierte Einschätzung Ihrer kritischen Handlungsfelder – als Grundlage für eine pragmatische Umsetzungsplanung.

Jetzt kostenlos Ihre Reifegrad-Analyse starten:

Die Ergebnisse beider Analysen bilden die Grundlage für den nächsten Teil 7 unseres Praxis-Leitfadens:

Die operative Data Act To-Do-Checkliste mit allen konkreten Umsetzungsschritten.

Von der Strategie bis zur Umsetzung – Wir begleiten Sie Sie pragmatisch und effizient bei der Data-Act-Transformation

Der EU Data Act ist komplex. Aber er ist auch eine Chance: Wer jetzt handelt, sichert sein Business, schützt seine Werte und erschließt neue Potenziale.

Business sichern, Risiken minimieren, Chancen nutzen.

Sprechen Sie uns direkt an – unverbindlich und vertraulich:

this post EU Data Act: Praxisleitfaden Teil 6 – Anwendbarkeitscheck und Reifegrad-Analyse first appeared on PRICOM - Pragmatische Experten für Datenschutz, Compliance & KI and is written by

Neue Bedrohungen, neue Regulierung, neue Standards, neue Maßnahmen

Die IT-Sicherheitslandschaft durchlebt einen fundamentalen Wandel bei steigenden Bedrohungen:

KI-gestützte Cyberangriffe erreichen neue Komplexitätsstufen, während verschärfte Regularien wie NIS2, DORA und AI Act die Einhaltung des “Stands der Technik” verbindlich vorschreiben und zusätzliche Risiken schaffen.

Cybercrime-Fälle steigen europaweit um 25% mit Schäden über 180 Mrd. Euro, Ransomware wird zur dominierenden Bedrohung und ENISA warnt vor “KI-Missbrauch für Cyber-Angriffe”.

Die systematische Umsetzung nötiger Abwehrmaßnahmen im Einklang mit NIS2 und ISO-Normen wird geschäftskritisch – ISMS müssen um KI-Sicherheitsstandards erweitert und an die neue Bedrohungslage angepasst werden. Dies hat unmittelbare Auswirkungen auf Audits und Zertifizierungsprozesse.

Während Regulierung und Verträge “angemessene Maßnahmen” und „Stand der Technik“ fordern, bleibt die konkrete praktische Umsetzung oft unklar.

In diesem Video zeigen wir:

✅ Wie KI die Bedrohungslandschaft verändert
✅ Welche neuen Abwehrmaßnahmen zur Umsetzung der NIS2 Anforderungen nutzbar sind

✅ Hilfreiche praxisrelevante Maßnahmen aus der aktualisierten IT Security Association Germany (TeleTrusT)-Handreichung
✅ Den 7-stufigen Verteidigungsprozess gegen Ransomware
✅ Auswirkungen auf ISMS-Anpassungen und ISO Zertifizierungen

Wir bieten die gesetzlich vorgeschriebenen NIS2 Geschäftsleitungsschulungen nach § 38 BSIG an.

• Gesetzlich fundiert & nachweisbar.
• Sofort und 24/7 flexibel abrufbar.
• Flexibel in 8-10 Kapiteln mit 3-4h Inhalt
• Erfüllt die wesentlichen Anforderungen nach § 38 BSIG
• Teilnahmezertifikat als Offizieller Nachweis für Ihre Compliance
• Erstellt und präsentiert von erfahrenen InfoSec Experten, Rechtsanwälten & ISO 27001 Lead Auditoren

Jetzt NIS2 Geschäftsleitungsschulung buchen:

Weitere Informationen zu NIS2 finden Sie hier:

Brauchen Sie Unterstützung: Sprechen Sie uns direkt an – unverbindlich und vertraulich:

this post NIS2 & IT-Sicherheit first appeared on PRICOM - Pragmatische Experten für Datenschutz, Compliance & KI and is written by

NIS2 & BSIG: 30.000 Unternehmen müssen handeln!

Seit dem 6. Dezember 2025 gilt das neue BSI-Gesetz.

Die wichtigsten Fakten:

– Erweiterter Anwendungsbereich auf ~30.000 Unternehmen

– Betroffenheitsprüfung & Registrierung bis 5. März 2026

– 10-Punkte-Mindestkatalog an IT-Sicherheitsmaßnahmen

– Verschärfte Meldepflichten bei Sicherheitsvorfällen

– Persönliche Verantwortung und Haftung der Geschäftsführung

Für betroffene Unternehmen besteht dringender Handlungsbedarf.

Unser NIS2 Praxisleitfaden zeigt Ihnen Schritt für Schritt, was zu tun ist:

Von der Betroffenheitsprüfung über die Registrierung, Incidence Response Plan und Disaster Recovery bis zur strategischen ISMS-Implementierung.

And, one more thing….:

Wir bieten die gesetzlich vorgeschriebenen NIS2 Geschäftsleitungsschulungen nach § 38 BSIG an.

• Gesetzlich fundiert & nachweisbar.
• Sofort und 24/7 flexibel abrufbar.
• Flexibel in 8-10 Kapiteln mit 3-4h Inhalt
• Erfüllt die wesentlichen Anforderungen nach § 38 BSIG
• Teilnahmezertifikat als Offizieller Nachweis für Ihre Compliance
• Erstellt und präsentiert von erfahrenen InfoSec Experten, Rechtsanwälten & ISO 27001 Lead Auditoren

Jetzt NIS2 Geschäftsleitungsschulung buchen:

Weitere Informationen zu NIS2 finden Sie hier:

Brauchen Sie Unterstützung: Sprechen Sie uns direkt an – unverbindlich und vertraulich:

this post NIS2 & BSIG: Praxistipps für Sofortmaßnahmen first appeared on PRICOM - Pragmatische Experten für Datenschutz, Compliance & KI and is written by