Data Act und DORA – Regulierung & Strategie: Ihr Business sichern, neue Chancen nutzen

Der Data Act ist eine EU-Verordnung, die den fairen Zugang zu und die Nutzung von industriellen Daten regelt.

Die Verordnung trat am 11. Januar 2024 in Kraft und ist seit dem 12. September 2025 verbindlich anwendbar.

Der Data Act legt fest, wer welche Daten unter welchen Bedingungen nutzen darf, und schafft damit einen rechtlichen Rahmen für den Datenaustausch zwischen Unternehmen (B2B), zwischen Unternehmen und Verbrauchern (B2C) sowie zwischen Unternehmen und Behörden (B2G).

Der Data Act betrifft insbesondere Hersteller vernetzter Produkte und Anbieter verbundener Dienste, Cloud- und Edge-Service-Provider sowie Dateninhaber. Das Gesetz gilt nach dem Marktortprinzip – der Unternehmenssitz ist unerheblich. Entscheidend ist, ob Produkte oder Dienste in der EU in den Verkehr gebracht werden. Der Anwendungsbereich ist sehr weit gefasst und umfasst unter anderem:

Kleinstunternehmen und kleine Unternehmen sind von den Datenweitergabepflichten (Kapitel II) befreit. Mittlere Unternehmen erhalten eine einjährige Übergangsfrist sowohl ab dem Zeitpunkt, an dem sie den Status “mittleres Unternehmen” erreichen, als auch ab dem Zeitpunkt, an dem ein Produkt in den Verkehr gebracht wird.

Nutzer vernetzter Produkte haben das Recht, kostenlos, unverzüglich und kontinuierlich auf alle bei der Nutzung entstehenden Daten zuzugreifen. Die Daten müssen in einem strukturierten, gängigen und maschinenlesbaren Format bereitgestellt werden. Der Data Act unterscheidet drei zentrale Übermittlungsszenarien:

Die Bestimmung, wer im Einzelfall als Nutzer (User), Dateninhaber (Data Holder) oder Datenempfänger gilt, ist in der Praxis oft hochkomplex und führt zu erheblichen Abgrenzungsschwierigkeiten. Ein Unternehmen kann gleichzeitig mehrere Rollen innehaben und je nach Konstellation unterschiedliche Rechte und Pflichten haben.

Im Automobil-Leasing zeigt sich diese Komplexität exemplarisch: Der Fahrzeughersteller ist Dateninhaber für die vom Fahrzeug generierten technischen Daten, da er die Datenerfassung und Backend-Systeme kontrolliert.

Die Leasinggesellschaft nimmt eine Doppelrolle ein – sie ist sowohl Nutzer (als Eigentümerin mit Datenzugangsrechten gegenüber dem Hersteller) als auch Dateninhaber (für eigene Flottenmanagementdaten und weiterverarbeitete Fahrzeugdaten).

Der Leasingnehmer ist ebenfalls User mit eigenständigen Datenzugangsrechten, obwohl ihm nur temporäre Nutzungsrechte vertraglich übertragen wurden.

Ungeklärt ist die Rolle des Ehepartners oder anderer Familienangehöriger, die das Fahrzeug faktisch täglich nutzen, aber keine vertragliche Beziehung zum Leasinggeber haben – sind sie ebenfalls User mit eigenen Datenzugangsrechten oder lediglich indirekt über den Leasingnehmer berechtigt?

Dritte wie Versicherungen, unabhängige Werkstätten oder Konkurrenzhersteller sind potentielle Datenempfänger und können auf Verlangen des Nutzers Datenzugang verlangen.

Diese Mehrfachrollenkonstellation erfordert eine präzise vertragliche und technische Abgrenzung der Datenflüsse, Zuständigkeiten und Verantwortlichkeiten in jedem einzelnen Geschäftsverhältnis.

Die Pflicht zur Datenbereitstellung an Dritte – einschließlich direkter Wettbewerber – stellt eines der größten kommerziellen Risiken des Data Act dar. Konkurrenten erhalten Zugang zu wertvollen Betriebs-, Nutzungs- und technischen Daten, die für die Entwicklung konkurrierender Produkte, Services oder Geschäftsmodelle genutzt werden könnten.

Trotz vertraglicher Schutzklauseln besteht das Risiko der missbräuchlichen Verwendung, da gegebenenfalls auch Geschäftsgeheimnisse offengelegt werden müssen und die Durchsetzung von Schutzrechten komplex ist. Verschärfend kommt hinzu, dass Dateninhaber für die B2B-Datenbereitstellung nur eine Vergütung nach FRAND-Prinzipien (Fair, Reasonable and Non-Discriminatory) verlangen dürfen.

Diese muss angemessen, diskriminierungsfrei und verhältnismäßig sein – oft nur kostendeckend. Bei Kleinstunternehmen als Empfänger dürfen die Kosten sogar nur das abdecken, was für die Erhebung und Bereitstellung der Daten notwendig ist. Dies verhindert die Monetarisierung des eigentlichen Datenwerts und schwächt die Wettbewerbsposition des Dateninhabers erheblich.

Cloud-Anbieter müssen den Wechsel zwischen Diensten (“Cloud Switching”) erleichtern und Interoperabilität gewährleisten. Dies umfasst die Bereitstellung exportierbarer Daten, die Sicherstellung funktionaler Äquivalenz beim Anbieterwechsel sowie Unterstützungspflichten während der Transition. Ab dem 12. Januar 2027 dürfen für den Anbieterwechsel keine Wechselentgelte mehr erhoben werden. Ziel ist es, Vendor Lock-in-Effekte zu vermeiden und Business Continuity zu sichern. 

Besonders kritisch ist die neue Kündigungsregelung: Verträge mit Mindestlaufzeiten dürfen künftig mit einer Frist von nur 30 Tagen gekündigt werden. Diese Regelung zeigt die Zielkonflikte des Data Act zwischen Nutzerfreiheit und Anbieterinteressen deutlich auf:

Vorteile für Nutzer: Erhöhte Flexibilität und Wahlfreiheit, schneller Wechsel zu besseren oder günstigeren Anbietern, Reduzierung der Abhängigkeit von einzelnen Dienstleistern, gestärkte Verhandlungsposition gegenüber Anbietern, Förderung des Wettbewerbs durch niedrige Wechselbarrieren.

Nachteile für Service-Anbieter: Der Annual Recurring Revenue (ARR) wird unzuverlässig, langfristige Planungssicherheit entfällt vollständig, erhebliche Investitionen in Infrastruktur, Entwicklung, Innovation und Kundenakquise können nicht mehr über die ursprünglich kalkulierten Vertragslaufzeiten amortisiert werden. Dies untergräbt die Wirtschaftlichkeit von Cloud-Geschäftsmodellen fundamental, gefährdet Innovationsinvestitionen und zwingt Anbieter zu defensiven Pricing- und Investitionsstrategien. Besonders Start-ups und Scale-ups, die auf planbare Umsätze für Finanzierung und Wachstum angewiesen sind, werden strukturell benachteiligt.

Paradoxe Preiseffekte: Obwohl der Data Act mehr Wettbewerb und niedrigere Preise fördern soll, kann die 30-Tage-Kündigungsfrist gerade bei marktmächtigen Anbietern zu höheren Preisen führen. Diese könnten das Risiko frühzeitiger Kündigungen und entgangener Amortisation von Beginn an durch höhere Preise, Risikoaufschläge oder kürzere Investitionszyklen kompensieren. Nutzer würden dann paradoxerweise mehr bezahlen für die gewonnene Flexibilität. Kleinere Anbieter ohne entsprechende Marktmacht könnten gezwungen sein, ihre Preise ebenfalls zu erhöhen oder ganz aus dem Markt auszuscheiden, was mittelfristig zu weniger Wettbewerb und einer Marktkonzentration bei großen, kapitalkräftigen Anbietern führen könnte – das Gegenteil des eigentlichen Ziels des Data Act.

Der Data Act gilt neben der DSGVO und ersetzt diese nicht. Während die DSGVO personenbezogene Daten schützt, regelt der Data Act den Zugang zu allen Daten – personenbezogen und nicht-personenbezogen. Bei personenbezogenen Daten müssen beide Verordnungen parallel beachtet werden, was zu erheblichen Rechtsunsicherheiten und praktischen Problemen führt. 

Ein fundamentaler Widerspruch besteht darin, dass der Data Act in bestimmten Konstellationen die Herausgabe von Daten verpflichtend vorschreibt (insbesondere bei Weitergabe an Dritte auf Nutzerweisung), während die DSGVO die Verarbeitung und Weitergabe personenbezogener Daten streng reguliert und in vielen Fällen verbietet. Der Data Act kann nicht als eigenständige Rechtsgrundlage für die Verarbeitung personenbezogener Daten nach Art. 6 DSGVO dienen – es muss stets eine zusätzliche datenschutzrechtliche Rechtsgrundlage vorliegen. 

Besonders problematisch: Wenn ein Nutzer (der nicht die betroffene Person ist) personenbezogene Daten Dritter an Wettbewerber weitergeben lassen möchte, entsteht ein Dilemma zwischen der Herausgabepflicht nach Data Act und dem Verarbeitungsverbot nach DSGVO. Diese ungeklärten Überschneidungen schaffen ein Haftungsdilemma, bei dem Unternehmen gleichzeitig gegen beide Verordnungen verstoßen können. Eine sorgfältige Datenklassifizierung, strikte Trennung personenbezogener und nicht-personenbezogener Daten sowie eine dokumentierte Compliance-Strategie sind daher zwingend erforderlich.

Bei Verstößen gegen den Data Act können empfindliche Bußgelder verhängt werden. Die EU-Mitgliedstaaten legen die konkreten Sanktionen fest, die jedoch wirksam, verhältnismäßig und abschreckend sein müssen.

In Deutschland sind Bußgelder von bis zu 500.000 Euro vorgesehen, für Gatekeeper nach dem Digital Markets Act sogar bis zu 4 % des in der EU erzielten Jahresumsatzes. Diese Sanktionen orientieren sich an der DSGVO und können bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes betragen.

Unternehmen sollten umgehend eine Bestandsaufnahme durchführen und identifizieren, welche Produkte und Dienste unter den Data Act fallen. Erforderlich sind eine vollständige Datenklassifizierung (personenbezogen vs. nicht-personenbezogen), die Anpassung von Produkten zur Access-by-Design-Implementierung, die Überarbeitung von Verträgen und AGB sowie die Entwicklung von Prozessen für Datenzugangsanfragen.

Zudem müssen Informationspflichten gegenüber Nutzern erfüllt, robuste Schutzmaßnahmen für Geschäftsgeheimnisse etabliert (NDAs, technische Schutzmaßnahmen, Dokumentation) und FRAND-konforme Vergütungsmodelle für die B2B-Datenbereitstellung entwickelt werden.

Cloud- und Service-Provider müssen ihre Geschäftsmodelle auf die 30-Tage-Kündigungsfrist und wegfallende Wechselentgelte anpassen. Eine frühzeitige strategische Planung, die sowohl Data Act als auch DSGVO-Anforderungen integriert, minimiert das doppelte Haftungsrisiko und ermöglicht neue Geschäftschancen.