Datenweitergabeverträge nach dem Data Act

Was der Data Act für Datenweitergabeverträge ändert

Datenweitergabeverträge zwischen Unternehmen unterliegen jetzt einer besonderen Fairnesskontrolle. Der Data Act (Verordnung (EU) 2023/2854) gilt seit dem 12.9.2025, und sein Kapitel IV erklärt bestimmte missbräuchliche Klauseln in Verträgen über die Datenweitergabe für nicht bindend, wenn ein Unternehmen sie einem anderen einseitig auferlegt hat. Neben dieser Fairnesskontrolle regelt der Data Act die Bedingungen, zu denen Dateninhaber Daten aus vernetzten Produkten Nutzern und Dritten bereitstellen müssen (Kapitel II und III), einschließlich der Anforderungen an faire, angemessene und nichtdiskriminierende Bedingungen (FRAND) und an eine angemessene Gegenleistung.

Für deutsche Unternehmen hat dies eine doppelte praktische Wirkung. Erstens muss jede Vorlage, die den Zugang zu und die Nutzung von Daten regelt – Lieferverträge für Maschinen mit Datenklauseln, Plattformbedingungen, IoT-Serviceverträge, Forschungskooperationen –, anhand von Art. 13 überprüft werden. Zweitens muss der Vertrag mit dem dritten Datenempfänger, wenn Daten auf Verlangen eines Nutzers bereitgestellt werden müssen, den FRAND- und Vergütungsregeln des Data Act entsprechen. Seit dem Inkrafttreten des deutschen Durchführungsgesetzes am 30.5.2026 beaufsichtigt die Bundesnetzagentur den Data Act in Deutschland.

Die Missbräuchlichkeitskontrolle nach Art. 13

Art. 13 gilt für Vertragsklauseln über den Zugang zu und die Nutzung von Daten oder über die Haftung und Rechtsbehelfe bei Verletzung oder Beendigung datenbezogener Pflichten, die ein Unternehmen einem anderen Unternehmen einseitig auferlegt hat. Eine solche Klausel ist für die andere Partei nicht bindend, wenn sie missbräuchlich ist. Missbräuchlich ist eine Klausel, wenn ihre Verwendung „grob von der guten Geschäftspraxis beim Datenzugang und bei der Datennutzung abweicht und gegen das Gebot von Treu und Glauben und des redlichen Geschäftsverkehrs verstößt“ (Art. 13 Abs. 3 Data Act).

Die Kontrolle gilt für alle Unternehmen, nicht nur für KMU. Eine Klausel gilt als einseitig auferlegt, wenn sie von einer Partei eingebracht wurde und die andere Partei ihren Inhalt trotz eines Versuchs, darüber zu verhandeln, nicht beeinflussen konnte. Die Partei, die die Klausel eingebracht hat, trägt die Beweislast dafür, dass sie nicht einseitig auferlegt wurde. Klauseln, die den Hauptgegenstand des Vertrags oder die Angemessenheit des Preises im Verhältnis zu den bereitgestellten Daten festlegen, sind von der Kontrolle ausgenommen (Art. 13 Abs. 8 Data Act), ebenso Klauseln, die zwingendes Unionsrecht wiedergeben. Die Parteien können Art. 13 vertraglich nicht abbedingen.

Schwarze Liste und graue Liste

Art. 13 Abs. 4 Data Act enthält eine schwarze Liste von Klauseln, die stets missbräuchlich sind. Art. 13 Abs. 5 Data Act enthält eine graue Liste von Klauseln, deren Missbräuchlichkeit vermutet wird.

Lässt sich eine missbräuchliche Klausel abtrennen, bleibt der übrige Vertrag bindend (Art. 13 Abs. 7 Data Act).

Verhältnis zum deutschen AGB-Recht

Das deutsche Recht kennt bereits eine strenge Kontrolle Allgemeiner Geschäftsbedingungen in §§ 305–310 des Bürgerlichen Gesetzbuchs (BGB), die auch zwischen Unternehmen gilt. Die Kontrolle nach dem Data Act ist ein eigenständiger unionsrechtlicher Maßstab mit einem eigenen Begriff der „einseitig auferlegten“ Klausel und eigenen Listen. In der Praxis müssen Datenweitergabeverträge, die deutschem Recht unterliegen, möglicherweise beiden Prüfungen standhalten. Da der Ansatz der deutschen Gerichte bei AGB in B2B-Verträgen bereits streng ist, werden viele Klauseln, die an Art. 13 scheitern, auch nach § 307 BGB problematisch sein; die beiden Prüfungen sollten aber getrennt durchgeführt werden.

Welche Datenweitergabeverträge erfasst sind und ab wann

Kapitel IV gilt für Verträge, die nach dem 12.9.2025 geschlossen wurden. Ab dem 12.9.2027 gilt es für Verträge, die am oder vor dem 12.9.2025 geschlossen wurden, wenn sie unbefristet sind oder frühestens zehn Jahre nach dem 11.1.2024 auslaufen (Art. 50 Data Act). Langfristige Rahmenverträge und sich automatisch verlängernde Verträge mit Datenklauseln müssen daher vor September 2027 überprüft werden.

Der Anwendungsbereich erfasst Datenweitergabeverträge in einem weiten Sinn: jede Vertragsklausel über den Zugang zu und die Nutzung von Daten, ob personenbezogen oder nicht, unabhängig davon, ob die Weitergabe nach dem Data Act verpflichtend oder freiwillig ist. Beispiele sind Datenlizenzen in industriellen Lieferketten, Telematik- und Flottendatenverträge, Datenklauseln in Wartungsverträgen, Forschungs- und Entwicklungsverträge sowie die Bedingungen von Datenmarktplätzen und Plattformen.

FRAND-Bedingungen und angemessene Gegenleistung

Ist ein Dateninhaber verpflichtet, einem Datenempfänger Daten bereitzustellen – insbesondere wenn ein Nutzer eines vernetzten Produkts nach Art. 5 Data Act verlangt, dass Daten an einen Dritten weitergegeben werden –, so muss dies nach Kapitel III zu fairen, angemessenen und nichtdiskriminierenden Bedingungen und in transparenter Weise geschehen (Art. 8 Data Act). Dateninhaber und Datenempfänger müssen die Modalitäten vereinbaren, und der Dateninhaber darf vergleichbare Kategorien von Datenempfängern nicht unterschiedlich behandeln.

Art. 9 Data Act regelt die Gegenleistung in diesen Pflichtfällen. Sie muss nichtdiskriminierend und angemessen sein und kann eine Marge enthalten. Die Parteien müssen insbesondere die Kosten der Bereitstellung der Daten (Formatierung, Verbreitung und Speicherung) und die Investitionen in die Erhebung und Erzeugung der Daten berücksichtigen. Die Gegenleistung kann auch von Menge, Format und Art der Daten abhängen.

Ist der Datenempfänger ein KMU oder eine gemeinnützige Forschungseinrichtung ohne Partner- oder verbundene Unternehmen, die keine KMU sind, darf die Gegenleistung die Kosten der Bereitstellung der Daten nicht übersteigen, und zwar ohne Marge (Art. 9 Abs. 4 Data Act). Der Dateninhaber muss die Grundlage seiner Berechnung so detailliert erläutern, dass der Empfänger die Einhaltung prüfen kann (Art. 9 Abs. 7 Data Act). Die Kommission ist verpflichtet, Leitlinien zur Berechnung der angemessenen Gegenleistung zu erlassen (Art. 9 Abs. 5 Data Act).

Streitbeilegung

Nutzern, Dateninhabern und Datenempfängern stehen für Streitigkeiten über FRAND-Bedingungen und Gegenleistung zertifizierte Streitbeilegungsstellen zur Verfügung (Art. 10 Data Act). In Deutschland zertifiziert die Bundesnetzagentur diese Stellen nach § 5 des Datenverordnung-Anwendungs-und-Durchsetzungs-Gesetzes (DADG). Den Parteien bleibt der Weg zu den Gerichten unbenommen.

Die Mustervertragsklauseln der Kommission

Art. 41 Data Act verpflichtete die Kommission, unverbindliche Mustervertragsklauseln (Model Contractual Terms, MCT) für Datenzugang und Datennutzung zu entwickeln und zu empfehlen, einschließlich Klauseln zur angemessenen Gegenleistung und zum Schutz von Geschäftsgeheimnissen, sowie Standardvertragsklauseln für Cloud-Computing-Verträge. Am 19.11.2025 hat die Kommission einen Empfehlungsentwurf mit diesen Vorlagen gebilligt. Nach der zuletzt im März 2026 aktualisierten Seite der Kommission lag der englische Text vor, und als nächster Schritt war die Übersetzung in die anderen EU-Sprachen vorgesehen.

Die Mustervertragsklauseln umfassen gesonderte Sätze für die verpflichtende Datenweitergabe nach Kapitel II und III (Dateninhaber an Nutzer, Nutzer an Datenempfänger sowie Dateninhaber an Datenempfänger) und einen Satz für die freiwillige Datenweitergabe zwischen Unternehmen, der auf die Einhaltung von Kapitel IV ausgelegt ist. Sie sind freiwillig und können angepasst werden.

Für deutsche Unternehmen sind die Mustervertragsklauseln ein nützlicher Maßstab: Eine Klausel, die erheblich zugunsten der verwendenden Partei von ihnen abweicht, wird eher als missbräuchlich angegriffen. Die Mustervertragsklauseln sind jedoch für den EU-weiten Einsatz formuliert und berücksichtigen keine Besonderheiten des deutschen Rechts, etwa die AGB-Kontrolle, das Gesetz zum Schutz von Geschäftsgeheimnissen (GeschGehG) oder Fragen der Rechtswahl und des Gerichtsstands.

Gestaltung von Datenweitergabeverträgen nach dem Data Act

Eine sorgfältige Vertragsgestaltung verringert das Risiko, dass zentrale Klauseln entfallen. Besonders relevant sind folgende Punkte:

• Verhandlungsdokumentation: Da die einbringende Partei beweisen muss, dass eine Klausel nicht einseitig auferlegt wurde, sollten echte Verhandlungen und auf Wunsch der Gegenseite vorgenommene Änderungen dokumentiert werden.
• Haftung: Schließen Sie die Haftung für Vorsatz oder grobe Fahrlässigkeit nicht aus; bemessen Sie Haftungsobergrenzen für einfache Fahrlässigkeit nach Risiko und Preis.
• Datennutzung durch die stärkere Partei: Beschreiben Sie die zulässigen Nutzungen genau, schützen Sie Geschäftsgeheimnisse und vermeiden Sie weitreichende Rechte zur Nutzung der Daten der anderen Partei für beliebige Zwecke.
• Zugang und Kopien: Stellen Sie sicher, dass die Gegenseite Daten, die sie bereitgestellt oder erzeugt hat, während und nach der Vertragslaufzeit nutzen und eine Kopie davon erhalten kann.
• Kündigung und Änderungen: Sehen Sie angemessene Kündigungsfristen und objektive Gründe für einseitige Änderungen vor, verbunden mit einem kostenfreien Kündigungsrecht.
• Geschäftsgeheimnisse: Nutzen Sie die in Art. 4 Abs. 6 und Art. 5 Abs. 9 Data Act vorgesehenen Vertraulichkeits- und Schutzmaßnahmen, wenn Geschäftsgeheimnisse betroffen sind, und legen Sie die Folgen fest, wenn der Empfänger sie verletzt.
• Gegenleistung: Dokumentieren Sie die Kostengrundlage und eine etwaige Marge und prüfen Sie den KMU-Status des Empfängers.

Personenbezogene Daten unterliegen weiterhin der DSGVO. Datenweitergabeverträge ersetzen weder eine Rechtsgrundlage für die Verarbeitung noch einen Auftragsverarbeitungsvertrag, wo ein solcher erforderlich ist. Siehe unseren Beitrag zum Datenaustausch im Konzern.

Aufsicht und Bußgelder in Deutschland

Nach § 2 DADG ist die Bundesnetzagentur die zuständige Behörde für die Anwendung und Durchsetzung des Data Act in Deutschland und fungiert als zentrale Anlaufstelle; die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) ist die zuständige Datenschutzbehörde für Fragen, die personenbezogene Daten betreffen (§ 3 DADG).

Art. 13 Data Act selbst wird zivilrechtlich durchgesetzt: Eine missbräuchliche Klausel ist schlicht nicht bindend. Verstöße gegen andere Pflichten im Zusammenhang mit Datenweitergabeverträgen können jedoch nach § 15 DADG mit Bußgeldern geahndet werden. Beispiele sind die fehlende Information über die Berechnungsgrundlage der Gegenleistung nach Art. 9 Abs. 7 Data Act und der Einsatz technischer Schutzmaßnahmen, die Datenempfänger entgegen Art. 11 Abs. 1 Data Act diskriminieren. Die Beträge hängen vom Verstoß ab und reichen in der schwersten Kategorie, die die unzulässige Beeinflussung von Nutzern zur Datenweitergabe betrifft, bis zu 5 Mio. Euro (oder 2 % des weltweiten Gesamtumsatzes bei Unternehmen mit einem Umsatz von mehr als 250 Mio. Euro). Siehe unsere Seite zum Data Act.

Der von der Kommission im November 2025 vorgelegte Vorschlag für einen Digital Omnibus (COM(2025) 837) würde gezielte Änderungen am Data Act vornehmen, darunter Anpassungen des Kapitels zum Cloud-Wechsel für bestimmte Anbieter. Zum Zeitpunkt der Abfassung war er nicht angenommen, sodass die hier beschriebenen Regeln weiterhin gelten. Siehe unseren Beitrag zum Digital Omnibus.

So unterstützt TRW & Co bei Datenweitergabeverträgen

Wir prüfen und entwerfen Datenweitergabeverträge, Datenlizenzen, IoT- und Plattformbedingungen anhand der Missbräuchlichkeitskontrolle des Data Act und des deutschen AGB-Rechts und vergleichen bestehende Vorlagen mit den Mustervertragsklauseln der Kommission. Wir beraten Dateninhaber und Datenempfänger zu FRAND-Bedingungen, Vergütungsmodellen, dem Schutz von Geschäftsgeheimnissen und der Streitbeilegung und vertreten Mandanten vor der Bundesnetzagentur und in Vertragsstreitigkeiten. Siehe auch unsere Seiten zu Handelsverträgen und zu Daten und Digitalisierung oder kontaktieren Sie uns.