Data Act Reifegrad Analyse

Data Act Reifegrad Analyse

Hat der Anwendbarkeitscheck ergeben, dass Ihr Unternehmen in den Anwendungsbereich des EU Data Act fällt, dient diese EU Data Act Reifegrad-Analyse der Bestimmung Ihres aktuellen Umsetzungsreifegrads.
Viele Pflichten des Data Act gelten bereits seit dem 12. September 2025 – die Zeit zur Umsetzung drängt.

Data Act Umsetzung ist keine isolierte IT-Aufgabe, sondern eine interdisziplinäre komplexe Herausforderung:
Die Umsetzung greift tief in technische Produkt- und Dienstgestaltung, Verträge, operative Prozesse und kommerzielle Aspekte ein – branchenübergreifend für Hersteller, Anbieter, Nutzer und Datenempfänger.

Ziel dieser nicht abschließenden Analyse ist es, kritische Lücken zu identifizieren und die wichtigsten pragmatischen Schritte für Anpassungen an Produkten, verbundenen Diensten, Verträgen, Geschäftsprozessen und Vergütungsmodellen aufzuzeigen.
Die Reifegrad-Analyse konzentriert sich auf die geschäftskritischen Anforderungen: technisch operative Umsetzung des Datenzugangs, Schutz von geistigem Eigentum und Geschäftsgeheimnissen, Vertragsgestaltung, Datenstrategien und kommerzielle Aspekte, Cloud- und Switching-Rechte sowie interne Governance.

Bitte beantworten Sie die folgenden Fragen ehrlich und vollständig. Die Erläuterungen helfen bei der Einordnung. Je präziser Ihre Antworten, desto gezielter können wir helfen Ihre nächsten Schritte richtig zu priorisieren.

Am Ende erhalten Sie ein Kurzergebnis angezeigt und per E-Mail eine detaillierte Reifegrad-Bewertung mit konkreten pragmatischen Prioritäts-Maßnahmen.

Weitere Hilfe bietet unser Praxisleitfaden zum EU Data Act – mit konkreten Praxistipps zu Datenzugangspflichten, Datennutzungsverträgen, Vertragsklauseln und dem Wechsel von Datenverarbeitungsdiensten.

Von der Strategie bis zur Umsetzung: Wir begleiten Sie bei der Data-Act-Transformation:

Sprechen Sie uns unverbindlich und vertraulich an: per E-Mail an info@pri-com.de oder über das Kontaktformular.
Ihr PRICOM Team.

1. Dateninventar und Dokumentation der Datenflüsse: Haben Sie eine Übersicht (Inventar) Ihrer Produkte und Dienste sowie eine Dokumentation der zugehörigen Datenflüsse erstellt?
2. Abgrenzung von Rohdaten vs. abgeleiteten Daten: Haben Sie eine klare Definition und Dokumentation darüber erstellt, welche Daten "Rohdaten" sind und bei welchen Daten es sich um durch (hohe) Investments abgeleitete/veredelte Informationen handelt?
Erklärung: Der Data Act verpflichtet zur Herausgabe von Daten der Stufe 1 (Rohdaten) und Stufe 2 (aufbereitete Daten). Er soll jedoch nicht dazu dienen, Ihre geistigen Investitionen in komplexe Daten (Stufe 3) gratis preiszugeben. Eine rechtssichere Verteidigungsstrategie erfordert eine präzise Trennung: Herausgabepflicht: Was ist ein "generiertes Signal" oder eine "einfache Aufbereitung" zur Lesbarkeit? Schutzbereich: Was ist ein "proprietäres Ergebnis" (Inferences), das durch komplexe Algorithmen und erhebliche Investitionen (KI-Training, Know-how) erst geschaffen wurde? Ohne diese Dokumentation riskieren Sie, bei Anfragen auch wertvolles geistiges Eigentum offenlegen zu müssen.
3. Design-Pflichten und technische Umsetzung: Haben Sie bei der Entwicklung Ihrer vernetzten Produkte/Dienste bereits berücksichtigt, dass Nutzer Zugang zu den generierten Daten haben müssen (Access by Design)? 3. Enthalten Ihre Produkte Sensoren, Software oder andere digitale Technologien, die Daten über Nutzung oder Umgebung generieren?
Erklärung: "Access by Design" bedeutet, dass der Datenzugang von Anfang an in die Produktentwicklung integriert wird - ähnlich wie "Privacy by Design" beim Datenschutz. Für Produkte, die nach dem 12. September 2026 in Verkehr gebracht werden, ist dies verpflichtend. Der Datenzugang muss standardmäßig aktiviert sein (by default).
4. Ist der Datenzugang für Nutzer einfach, sicher und kostenlos möglich?
Erklärung: Der Data Act verlangt: Einfach: Ohne unverhältnismäßigen Aufwand, keine besonderen technischen Kenntnisse erforderlich Sicher: Authentifizierung, Verschlüsselung, Zugriffskontrolle implementiert Kostenlos: Nutzer dürfen für Zugang zu "ihren" Daten nicht zur Kasse gebeten werden.
5. Können Nutzer direkt am Produkt auf Daten zugreifen oder haben Sie APIs/Schnittstellen implementiert?
Erklärung: Der Datenzugang kann erfolgen über: Direkter Zugriff am Gerät (Display, lokale Schnittstelle, USB, Bluetooth) APIs (Programmierschnittstellen) für automatisierten Zugriff Web-Portale oder Apps Download-Funktionen APIs sind besonders wichtig für B2B-Szenarien und Datenweitergabe an Dritte.
6. In welchem Format stellen Sie die Daten bereit?
Erklärung: Der Data Act verlangt strukturierte, gängige und maschinenlesbare Formate. Wichtig für die Weiterverarbeitung durch Nutzer oder Dritte.
7. Stellen Sie zusammen mit den Rohdaten auch relevante Metadaten bereit?
Erklärung: Metadaten sind für die Interpretation und Nutzung der Daten erforderlich: Zeitstempel (wann wurden Daten erfasst?); Kontextinformationen (Bedingungen der Erfassung); Datenstruktur und Einheiten (Format, Maßeinheiten); Qualitätsinformationen (Genauigkeit, Zuverlässigkeit); Geräteinformationen (Sensor, Modell).
8. Nutzerkonto-System: Haben Sie ein Nutzerkonto-System implementiert?
Erklärung: Ein Nutzerkonto ermöglicht die Identifizierung und Authentifizierung von Nutzern und ist typischerweise für die Verwaltung von Datenzugangsrechten erforderlich.
9. Können Nutzer ihre Konten und damit verbundene Daten löschen?
Erklärung: Dies ist besonders wichtig bei Eigentumswechsel oder wenn andere Personen das vernetzte Produkt nutzen sollen.
10. Bei Produkten mit mehreren Nutzern: Können separate Benutzerkonten eingerichtet werden?
Erklärung: Wenn vernetzte Produkte typischerweise von mehreren Personen genutzt werden (z.B gemeinsam genutztes Gerät), sollten Mechanismen vorhanden sein, um getrennte Konten oder gemeinsam genutzte Konten zu ermöglichen.
11. Prozess für Datenzugangsanfragen Haben Sie einen definierten Prozess für die Bearbeitung von Datenzugangsanfragen (von Nutzern oder Dritten) etabliert?
Erklärung: Der Data Act verpflichtet Unternehmen, Daten auf Anfrage "unverzüglich" bereitzustellen. Ohne einen standardisierten Workflow (Eingang, Prüfung der Berechtigung, Bereitstellung Daten, Beantwortung von Rückfragen, Eskalation bei Problemen*) riskieren Sie Verstöße gegen den Data Act.
12. Können Datenanfragen automatisiert bearbeitet werden?
Erklärung: Automatisierte Bearbeitung ohne manuelle Prüfung oder Genehmigung ist der Idealfall und vom Data Act vorgesehen, wo technisch möglich.
13. Prozesse Datenweitergabe an Dritte: Haben Sie Prozesse etabliert, wie Nutzer die Weitergabe von Daten an Dritte beantragen können?
Erklärung: Nutzer müssen in der Lage sein, zu verlangen, dass ihre Daten direkt an von ihnen ausgewählte Dritte weitergegeben werden.
14. Defensive Strategie bei Datenzugangsansprüchen & Schutz von Geschäftsgeheimnissen: Verfügt Ihr Unternehmen über ein definiertes Protokoll zur Identifizierung von Geschäftsgeheimnissen und zur Abwehr unberechtigter oder wettbewerbswidriger Datenzugangsansprüche?
Erklärung: Um Ihre Marktposition und Ihr Know-how zu schützen, muss vor jeder Datenfreigabe ein Prüfprozess erfolgen. Der Data Act erlaubt die Verweigerung oder Einschränkung der Herausgabe nur als letztes Mittel (Ultima Ratio), wenn der Schutz von Geschäftsgeheimnissen trotz technischer und organisatorischer Maßnahmen (z. B. NDAs) nachweislich nicht garantiert werden kann. Ein wirksames Konzept umfasst: - Identifikation und Dokumentation des "spezifischen Know-hows", das in der Datenstruktur oder den Metadaten steckt; -Identitätsprüfung des Anfragenden (Schutz vor unberechtigten Dritten); -Prüfung auf Wettbewerbswidrigkeit (Verbot für Dritte, die Daten zur Entwicklung eines Konkurrenzprodukts zu nutzen); -Festlegung angemessener Schutzmaßnahmen (z. B. vertragliche Nutzungsbeschränkungen, Verschlüsselung).
15. Offensive Nutzung des Data Act: Sind Sie Datenempfänger oder möchten Sie Datenempfänger werden? Haben Sie evaluiert, wie Sie als Datenempfänger den Anspruch auf Datenzugang nutzen können, um eigene Produkte oder Services auf Basis von Konkurrenzdaten zu entwickeln oder zu verbessern?
16. Schnittstelle zum Datenschutz (DSGVO): Ist die organisatorische Verzahnung zwischen Data Act-Anfragen und DSGVO-Betroffenenrechten (Art. 15, 20 DSGVO) geklärt?
Erklärung: Oft enthalten IoT-Daten auch personenbezogene Daten. Die Prozesse für den Data Act und die DSGVO müssen Hand in Hand gehen, um widersprüchliche Antworten oder Verstöße gegen beide oder eine der Verordnungen zu vermeiden.
17. Entgelte für die Datenbereitstellung (B2B): Haben Sie eine Strategie oder Preisliste für die Entschädigung bei der Datenbereitstellung an Dritte (B2B) erstellt?
Erklärung: Der Data Act erlaubt es Dateninhabern, von Dritten (nicht vom Nutzer!) eine angemessene Entschädigung zu verlangen. Diese muss für KMU auf die Kosten der Bereitstellung begrenzt sein, darf bei großen Unternehmen aber eine Gewinnmarge enthalten.
18. Überwachung von Gatekeepern (Digital Markets Act): Stellen Sie sicher, dass Daten nicht an Unternehmen weitergegeben werden, die nach dem DMA als "Gatekeeper" eingestuft sind, sofern dies gesetzlich untersagt ist?
Erklärung: Der Data Act verbietet es Gatekeepern (sehr große Tech-Konzerne), Empfänger von Daten über die neuen Nutzer-Zugangsrechte zu sein, um eine weitere Datenkonzentration zu verhindern.
19. Vertragliche Aspekte: Haben Sie Ihre Verträge (AGB, Nutzungsbedingungen) auf Konformität mit dem Data Act überprüft und angepasst?
Erklärung: Der Data Act verbietet einseitig benachteiligende Klauseln, insbesondere solche, die: • Datenzugangsrechte vollständig ausschließen • Unverhältnismäßig hohe Gebühren verlangen • Intransparent oder unklar formuliert sind • Nutzungsrechte unangemessen einschränken.
20. Sind Datenzugangsrechte und Nutzungsrechte in Ihren Verträgen transparent und verständlich geregelt?
Erklärung: Nutzer sollten klar verstehen können - Auf welche Daten sie Zugriff haben; - Wie sie Zugang erhalten; - Welche Rechte und Pflichten bestehen; - Ob und wie Daten mit Dritten geteilt werden können.
21. Prüfung auf missbräuchliche Vertragsklauseln (Art. 13): Haben Sie Ihre Standardverträge und AGB daraufhin geprüft, ob sie Klauseln enthalten, die den Datenzugang oder die Datennutzung für Vertragspartner einseitig und unangemessen einschränken?
Erklärung: Nach Art. 13 sind Vertragsklauseln unwirksam, wenn sie einem Partner einseitig auferlegt wurden und missbräuchlich sind. Dies gilt insbesondere, wenn: - Die Haftung für vorsätzliche Pflichtverletzungen ausgeschlossen wird. - Exklusive Nutzungsrechte eingeräumt werden, die den gesetzlichen Datenzugang faktisch verhindern. - Dem Vertragspartner unangemessene Kündigungsfristen oder Abnahmepflichten bezüglich der Daten auferlegt werden.
22. Falls Sie Daten an Dritte weitergeben: Erfolgt dies nur auf Verlangen (Request) des Nutzers und haben Sie konforme Vereinbarungen?
Erklärung: Wichtige Punkte bei Datenweitergabe sind a) die Weitergabe nur mit expliziter Zustimmung des Nutzers b) die klare Regelungen zu Nutzungszwecken c) keine Weitergabe an weitere Dritte ohne Zustimmung d) Sitz des Empfängers in der EU (für verpflichtende Weitergabe) und e) Pflichten des Datenempfängers klar definiert.
23. (Anbieterwechsel & Cloud-Interoperabilität) - Kommerzielle und operative Auswirkungen der Switching-Regelungen: Haben Sie evaluiert, wie sich die Verpflichtung zur Erleichterung des Anbieterwechsels (Switching) auf Ihre Kundenbindung und Ihre operativen Prozesse auswirkt?
Erklärung: Der Data Act verpflichtet Anbieter von Datenverarbeitungsdiensten, Hindernisse für einen Wechsel zu beseitigen (z.B. technischer Art oder Kündigungsfristen). Operativ müssen Schnittstellen für den Datenexport bereitstehen; kommerziell entfallen schrittweise die Wechselgebühren (Switching Charges). Dies erfordert eine Neubewertung der Customer Lifetime Value Strategie.
24. Management-Awareness: Ist das Management über die Pflichten, Risiken und Chancen des Data Act informiert?
Erklärung: Die Geschäftsführung sollte die strategischen Implikationen und potenziellen Haftungsrisiken verstehen, die mit dem neuen gesetzlichen Rahmenwerk für den Datenaustausch einhergehen.
25. Verantwortlichkeiten und Governance: Haben Sie klare Verantwortlichkeiten für die Data-Act-Compliance in Ihrem Unternehmen definiert?
Erklärung: Es sollte festgelegt sein, wer für die Umsetzung zuständig ist, z. B. Data Act Officer/Compliance Officer, Produktmanagement, IT-Abteilung oder die Rechtsabteilung.
26. Umsetzungsplan: Haben Sie bereits einen konkreten Umsetzungsplan für den Data Act entwickelt?
Erklärung: Ein Umsetzungsplan sollte einen Zeitplan mit Meilensteinen, Ressourcenplanung (Budget, Personal), die Priorisierung der Maßnahmen sowie eine Erfolgskontrolle umfassen inkl. Überwachung und Implementation der weiteren Konkretisierungen (z.B. EU-Standardvertragsklauseln oder Interoperabilitätsnormen) zum Data Act?
27. Schulung und Awareness: Wurden Ihre Mitarbeitenden über die Anforderungen des Data Act geschult?
Erklärung: Relevante Fachbereiche wie Produktentwicklung, IT, Kundensupport, Vertrieb, Marketing sowie Rechts- und Compliance-Abteilungen sollten für die neuen Anforderungen sensibilisiert werden.
28. Interne Leitlinien: Gibt es interne Leitlinien oder Richtlinien zur Umsetzung des Data Act?
Erklärung: Interne Dokumente helfen den Mitarbeitenden, die Anforderungen (z. B. den Umgang mit Datenanfragen) im Tagesgeschäft sicher und einheitlich umzusetzen.
29. Dokumentation der technischen Schnittstellen und Formate Ist Ihre technische Implementierung (APIs, Schnittstellen, Datenformate) so dokumentiert, dass ein reibungsloser Datenzugriff für Nutzer und Dritte möglich ist?
Erklärung: Eine präzise technische Dokumentation ist nach dem Data Act essenziell für: 1) Externe Nutzer/Empfänger: Um den Zugang zu Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu ermöglichen. 2) Interoperabilität: Sicherstellung, dass Schnittstellen (APIs) für Dritte funktionsfähig und verständlich sind. 3) Aufsichtsbehörden: Nachweis der Compliance bei Prüfungen.
Wir verarbeiten Ihre hier eingegebenen personenbezogenen Daten nur für die Reifegrad Analyse und Zusendung der Bewertung. Weitere Informationen finden Sie in unserer Datenschutzerklärung.