Access by Design nach dem Data Act ab September 2026

Was Access by Design verlangt

Access by Design ist inzwischen eine Produktanforderung für vernetzte Produkte, die in der EU verkauft werden. Nach Art. 3 Abs. 1 des Data Act (Verordnung (EU) 2023/2854) müssen vernetzte Produkte so konzipiert und hergestellt und verbundene Dienste so konzipiert und erbracht werden, dass Produktdaten und Daten verbundener Dienste – einschließlich der für ihre Auslegung und Nutzung erforderlichen Metadaten – standardmäßig für den Nutzer einfach, sicher, unentgeltlich, in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format und, soweit relevant und technisch durchführbar, direkt zugänglich sind. Die Pflicht gilt für vernetzte Produkte und verbundene Dienste, die nach dem 12.9.2026 in Verkehr gebracht werden (Art. 50 Data Act).

Für deutsche Hersteller von Maschinen, Fahrzeugen, Haushaltsgeräten, Medizin- und Landtechnik und anderen vernetzten Geräten bedeutet Access by Design, dass der Datenzugang nicht länger ein nachgelagertes Thema sein kann, das über ein Antragsverfahren abgewickelt wird. Er muss in die Produktarchitektur, die Benutzeroberfläche oder eine Schnittstelle wie eine App, ein Portal oder eine API eingebaut werden. Produkte, die vor diesem Datum in Verkehr gebracht wurden, unterliegen weiterhin der Pflicht zur Bereitstellung auf Verlangen nach Art. 4 Data Act, die seit dem 12.9.2025 gilt.

Welche Produkte und Daten erfasst sind

Ein „vernetztes Produkt“ ist ein Gegenstand, der Daten über seine Nutzung oder Umgebung erlangt, erzeugt oder erhebt und Produktdaten über einen elektronischen Kommunikationsdienst, eine physische Verbindung oder einen geräteinternen Zugang übermitteln kann und dessen Hauptfunktion nicht die Speicherung oder Verarbeitung von Daten für andere ist (Art. 2 Nr. 5 Data Act). Dazu gehören Industriemaschinen, Fahrzeuge, Smart-Home-Geräte, Wearables, Landmaschinen und viele andere Produkte mit Sensoren. Ein „verbundener Dienst“ ist ein digitaler Dienst, einschließlich Software, der zum Zeitpunkt des Kaufs, der Miete oder des Leasings so mit dem Produkt verbunden ist, dass das Produkt ohne ihn eine Funktion nicht ausführen könnte, oder der nachträglich verbunden wird, um Funktionen hinzuzufügen, zu aktualisieren oder anzupassen (Art. 2 Nr. 6 Data Act).

Erfasst sind „Produktdaten“ – durch die Nutzung des Produkts erzeugte Daten, die der Hersteller als abrufbar konzipiert hat – und „Daten verbundener Dienste“, die Handlungen des Nutzers oder Ereignisse während der Erbringung eines verbundenen Dienstes digital abbilden (Art. 2 Nr. 15 und 16 Data Act). Rohdaten und vorverarbeitete Daten sind erfasst, ebenso die für ihre Auslegung erforderlichen Metadaten. Abgeleitete oder gefolgerte Informationen, die das Ergebnis komplexer proprietärer Algorithmen sind, fallen nach den Erwägungsgründen des Data Act grundsätzlich nicht in den Anwendungsbereich.

Ausnahmen für kleine Hersteller

Kapitel II, einschließlich Access by Design, gilt nicht für Daten, die durch vernetzte Produkte erzeugt werden, die von Kleinst- und Kleinunternehmen hergestellt oder konzipiert werden, oder durch verbundene Dienste, die von diesen erbracht werden, sofern sie keine Partner- oder verbundenen Unternehmen haben, die keine Kleinst- oder Kleinunternehmen sind, und nicht als Unterauftragnehmer mit der Herstellung oder Konzeption des Produkts beauftragt sind (Art. 7 Abs. 1 Data Act). Mittlere Unternehmen profitieren von einer begrenzten Ausnahme für ein Jahr, nachdem sie als mittleres Unternehmen gelten, und für Produkte für ein Jahr nach deren Inverkehrbringen.

Die Bedeutung des Inverkehrbringens

Der Stichtag knüpft an das Inverkehrbringen an, nicht an die Markteinführung eines Produktmodells. Nach dem allgemeinen Ansatz des EU-Produktrechts bezieht sich das Inverkehrbringen auf jede einzelne Produkteinheit, die erstmals auf dem EU-Markt bereitgestellt wird. Hersteller sollten daher nicht davon ausgehen, dass eine vor dem 12.9.2026 eingeführte Produktserie für Einheiten, die nach diesem Datum geliefert werden, von Access by Design ausgenommen ist. Ist eine Überarbeitung bestehender Modelle nicht rechtzeitig möglich, ist eine sorgfältige rechtliche Analyse des Produktportfolios, der Lieferkette und der Lagerbestände erforderlich.

Wie sich Access by Design umsetzen lässt

Art. 3 Abs. 1 Data Act ist technologieneutral. Hersteller können wählen, wie sie Daten zugänglich machen, etwa über:

• eine Schnittstelle am Gerät oder einen lokalen Datenanschluss;
• eine begleitende App oder ein Webportal mit Download- und Exportfunktionen;
• eine API, über die der Nutzer oder ein von ihm autorisierter Dritter Daten fortlaufend oder in Echtzeit abrufen kann;
• einen cloudbasierten Zugang, wenn die Daten auf Servern des Herstellers gespeichert sind.

Die Einschränkung „soweit relevant und technisch durchführbar“ bezieht sich nur auf den direkten Zugang. Der Nutzer muss die Daten in jedem Fall einfach, sicher, unentgeltlich und in maschinenlesbarem Format erhalten. Ist ein direkter Zugang nicht durchführbar, muss der Dateninhaber den Zugang auf Verlangen nach Art. 4 Data Act gewähren. Die Gestaltung muss auch die Sicherheit berücksichtigen: Der Datenzugang darf keine Schwachstellen schaffen, und der Cyber Resilience Act stellt parallel Cybersicherheitsanforderungen an Produkte mit digitalen Elementen. Siehe unseren Beitrag zum Cyber Resilience Act.

Ein praktischer Fahrplan für die Umsetzung

1. Bestandsaufnahme: Listen Sie vernetzte Produkte und verbundene Dienste, die von ihnen erzeugten Daten und den Speicherort der Daten auf.
2. Einordnung: Trennen Sie Produktdaten und Daten verbundener Dienste von abgeleiteten Daten sowie personenbezogene von nicht personenbezogenen Daten.
3. Gestaltung: Legen Sie für jede Produktlinie den Zugangskanal (Gerät, App, Portal, API) sowie Formate und Metadaten fest.
4. Absicherung: Integrieren Sie Authentifizierung, Autorisierung und Protokollierung, damit nur Nutzer oder autorisierte Dritte die Daten erhalten.
5. Schutz: Identifizieren Sie Geschäftsgeheimnisse und bereiten Sie Vertraulichkeitsmaßnahmen und Mustervereinbarungen vor.
6. Information: Aktualisieren Sie vorvertragliche Informationen, Produktdokumentation und Datenlizenzen für Nutzer.
7. Governance: Legen Sie Zuständigkeiten für Zugangsverlangen, Verweigerungen und Mitteilungen an die Bundesnetzagentur fest.

Access by Design ist ebenso eine technische wie eine rechtliche Aufgabe. Produktmanager, Entwickler und Rechtsabteilungen sollten sich frühzeitig auf ein Datenmodell verständigen, das über Produktgenerationen hinweg wiederverwendet werden kann, weil die Nachrüstung von Schnittstellen nach der Markteinführung teuer ist. Unternehmen, die über Händler verkaufen, sollten zudem sicherstellen, dass die vorvertraglichen Informationen den Endnutzer erreichen, etwa über Produktdokumentation und Händlerverträge.

Zugang für Dritte

Der Nutzer kann den Dateninhaber auffordern, Daten an einen Dritten weiterzugeben, etwa an einen Reparaturdienst, einen Versicherer oder einen Anbieter von Analysediensten (Art. 5 Data Act). Eine Schnittstelle nach dem Grundsatz Access by Design kann eine solche Weitergabe erleichtern, die Weitergabe an Dritte folgt aber eigenen Regeln.

Nach Art. 6 Data Act darf der Dritte die Daten nur für die mit dem Nutzer vereinbarten Zwecke verwenden, sie nicht zur Entwicklung eines Konkurrenzprodukts nutzen und muss sie löschen, wenn sie nicht mehr benötigt werden. Dateninhaber sollten daher eine Berechtigungsverwaltung in ihre Schnittstellen einbauen, damit Nutzer den Zugang Dritter einfach gewähren, beschränken und widerrufen können. Nach dem Digital Markets Act benannte Torwächter sind keine zulässigen Dritten (Art. 5 Abs. 3 Data Act). Dateninhaber können mit dritten Datenempfängern eine Gegenleistung nach Art. 9 Data Act vereinbaren, während der Zugang für den Nutzer selbst unentgeltlich sein muss.

Geschäftsgeheimnisse

Access by Design bedeutet nicht, dass alle Daten ohne Schutzvorkehrungen offengelegt werden müssen. Geschäftsgeheimnisse sind zu wahren: Der Dateninhaber muss die als Geschäftsgeheimnisse geschützten Daten identifizieren und mit dem Nutzer verhältnismäßige technische und organisatorische Maßnahmen vereinbaren (Art. 4 Abs. 6 Data Act). Kommt keine Einigung zustande oder untergräbt der Nutzer die Vertraulichkeit, kann der Dateninhaber die Weitergabe zurückhalten oder aussetzen und in Ausnahmefällen den Zugang verweigern, wenn er nachweisen kann, dass ihm mit hoher Wahrscheinlichkeit ein schwerer wirtschaftlicher Schaden entsteht (Art. 4 Abs. 7 und 8 Data Act). Solche Entscheidungen sind schriftlich zu begründen und der zuständigen Behörde mitzuteilen. Nutzer dürfen die Daten nicht zur Entwicklung eines konkurrierenden vernetzten Produkts verwenden (Art. 4 Abs. 10 Data Act).

Personenbezogene Daten

Ist der Nutzer nicht die betroffene Person, dürfen personenbezogene Daten nur bereitgestellt werden, wenn eine Rechtsgrundlage nach Art. 6 DSGVO besteht und gegebenenfalls die Voraussetzungen des Art. 9 DSGVO und des Art. 5 Abs. 3 der ePrivacy-Richtlinie erfüllt sind (Art. 4 Abs. 12 Data Act). Das Produktdesign sollte daher zwischen personenbezogenen und nicht personenbezogenen Daten unterscheiden und die Datenminimierung unterstützen.

Vorvertragliche Informationen und Verträge mit Nutzern

Seit dem 12.9.2025 müssen Verkäufer, Vermieter und Leasinggeber vernetzter Produkte vor Vertragsschluss über Art, Format und geschätzten Umfang der Produktdaten informieren, darüber, ob Daten fortlaufend und in Echtzeit erzeugt werden, wo und wie lange Daten gespeichert werden und wie der Nutzer auf sie zugreifen, sie abrufen oder löschen kann (Art. 3 Abs. 2 Data Act). Anbieter verbundener Dienste haben weitergehende Informationspflichten, unter anderem zur Identität des Dateninhabers, zu den beabsichtigten Datennutzungen und zum Recht des Nutzers, sich bei der zuständigen Behörde zu beschweren (Art. 3 Abs. 3 Data Act).

Der Dateninhaber darf ohne Weiteres verfügbare nicht personenbezogene Daten nur auf Grundlage eines Vertrags mit dem Nutzer verwenden (Art. 4 Abs. 13 Data Act). Hersteller benötigen daher Datenlizenzbedingungen für Nutzer, die dem Data Act und dem deutschen AGB-Recht unterliegen. Klauseln, die die Rechte der Nutzer zu deren Nachteil ausschließen oder beschränken, sind nicht bindend (Art. 7 Abs. 2 Data Act). Siehe unseren Beitrag zu Datenweitergabeverträgen.

Durchsetzung und Bußgelder in Deutschland

Die Bundesnetzagentur ist nach dem seit dem 30.5.2026 geltenden Datenverordnung-Anwendungs-und-Durchsetzungs-Gesetz (DADG) die zuständige Behörde für den Data Act in Deutschland. Nach § 15 Abs. 2 Nr. 1 und Abs. 4 DADG handelt ordnungswidrig, wer vernetzte Produkte entgegen Art. 3 Abs. 1 Data Act konzipiert oder herstellt oder verbundene Dienste entsprechend konzipiert oder erbringt; die Ordnungswidrigkeit kann mit einer Geldbuße von bis zu 500.000 Euro geahndet werden.

Wer Daten entgegen Art. 4 Abs. 1 Data Act nicht auf Verlangen bereitstellt, riskiert dasselbe Höchstmaß. Nutzer können sich bei der Bundesnetzagentur beschweren und ihre Rechte vor den Zivilgerichten durchsetzen; Wettbewerber können auch lauterkeitsrechtliche Ansprüche in Betracht ziehen, wobei die Gerichte noch nicht geklärt haben, inwieweit die Pflichten des Data Act Marktverhaltensregeln sind.

Der Vorschlag für einen Digital Omnibus vom November 2025 (COM(2025) 837) würde die Datenzugangsvorschriften des Data Act in einen konsolidierten Rahmen überführen, war zum Zeitpunkt der Abfassung aber nicht angenommen. Die Pflicht zu Access by Design gilt daher wie beschrieben. Siehe unsere Seite zum Data Act.

So unterstützt TRW & Co bei Access by Design

Wir beraten Hersteller und Anbieter verbundener Dienste bei der Umsetzung von Access by Design: bei der Bestimmung der erfassten vernetzten Produkte und Daten, bei der Überprüfung von Produktarchitektur und Schnittstellen gemeinsam mit Entwicklungsteams, beim Entwurf vorvertraglicher Informationen und Datenlizenzen für Nutzer, beim Schutz von Geschäftsgeheimnissen und bei der Abstimmung mit den Anforderungen von DSGVO und Cybersicherheit. Wir beraten auch Nutzer und Dritte, die Zugang zu Daten anstreben, und vertreten Mandanten vor der Bundesnetzagentur. Siehe auch unsere Seiten zu Produkthaftung und Compliance und zu Daten und Digitalisierung oder kontaktieren Sie uns.