EU Data Act & IoT 2026: Was Hersteller vernetzter Produkte bis September umsetzen müssen

WZ-IT führt thingshost weiter. Aktuelles Hosting ab 159,80 € netto/Monat; Einrichtung und Service Level gemäß Angebot. Frühere Paketpreise, Standortlisten und Kostenvergleiche in diesem datierten Artikel beschreiben das damalige Angebot, nicht die aktuellen WZ-IT-Konditionen. Aktuellen Leistungsumfang ansehen.

Der EU Data Act ist die folgenreichste Datenregulierung seit der DSGVO – und für Hersteller vernetzter Produkte rückt ein konkretes Datum näher: Ab dem 12. September 2026 müssen neu in Verkehr gebrachte vernetzte Produkte so konstruiert sein, dass die von ihnen erzeugten Daten standardmäßig zugänglich sind – „by design und by default". Wer Sensoren, Maschinen, Fahrzeuge oder Smart-Building-Technik baut, muss Datenzugang jetzt als Architekturentscheidung behandeln, nicht als späteres Feature. Dieser Beitrag ordnet ein, was der Data Act verlangt, welche Fristen gelten und welche technischen Bausteine eine souveräne IoT-Plattform dazu beisteuern kann.

Hinweis: Dieser Beitrag ist eine technische und organisatorische Einordnung auf Basis offizieller EU-Quellen – keine Rechtsberatung. Für die rechtliche Bewertung Ihres konkreten Produkts und Ihrer Verträge ziehen Sie bitte qualifizierten Rechtsrat hinzu.

Auch interessant: ThingsBoard vs. AWS IoT Core: Open Source gegen Amazon-Cloud · ThingsBoard Hosting: Cloud vs. Self-Hosted vs. Managed

Inhaltsverzeichnis

• Was der EU Data Act ist – in einem Absatz
• Die Stichtage: warum „September 2026" das relevante Datum ist
• Geltungsbereich: Was zählt als „vernetztes Produkt"?
• Die Kernpflichten für Hersteller und Dateninhaber
  • 1. Datenzugang „by design und by default" (Artikel 3)
  • 2. Transparenz vor Vertragsschluss
  • 3. Recht auf Datenzugang des Nutzers (Artikel 4)
  • 4. Recht auf Weitergabe an Dritte (Artikel 5)
  • 5. Wechsel & Interoperabilität (Kapitel VI)
• Sanktionen: Was bei Verstößen droht
• Wo eine IoT-Plattform technisch hilft – und wo nicht
• Datenhoheit und der Data Act: zwei Seiten einer Medaille
• Praktische Checkliste bis September 2026
• thingshost: Managed ThingsBoard mit Datenhoheit
• Fazit
• Quellen

Was der EU Data Act ist – in einem Absatz

Der EU Data Act (Verordnung (EU) 2023/2854) ist eine sektorübergreifende Verordnung, die regelt, wer auf die Daten zugreifen darf, die vernetzte Produkte und verbundene Dienste erzeugen. Ziel ist eine fairere Datenwirtschaft: Nutzer sollen Zugriff auf die Daten erhalten, die sie durch die Nutzung ihrer Geräte miterzeugen, und diese Daten an Dritte weitergeben können – während Hersteller weiterhin Anreize zum Investieren behalten. Der Data Act ergänzt die DSGVO (er ersetzt sie nicht) und greift auch dort, wo es um nicht-personenbezogene Maschinendaten geht – ein Bereich, den die DSGVO gar nicht abdeckt [1][2].

Die Stichtage: warum „September 2026" das relevante Datum ist

Hier entsteht die häufigste Verwechslung. Der Data Act kennt mehrere Daten:

Die Verordnung gilt also schon seit dem 12. September 2025 [1][2]. Das für Produkthersteller folgenreichste Datum ist aber der 12. September 2026: Ab dann muss jedes neu auf den EU-Markt gebrachte vernetzte Produkt die Konstruktionspflicht aus Artikel 3 Absatz 1 erfüllen [3][4]. Anders gesagt: Produkte, die danach erstmals verkauft, vermietet oder verleast werden, müssen Datenzugang bereits eingebaut haben. Für Geräte mit langen Entwicklungszyklen – Industriemaschinen, Fahrzeuge, Medizintechnik – ist das praktisch jetzt ein Thema, nicht erst im September.

Geltungsbereich: Was zählt als „vernetztes Produkt"?

Der Data Act ist bewusst breit angelegt. Ein vernetztes Produkt ist ein Gegenstand, der Daten über seine Nutzung oder seine Umgebung erhebt, erzeugt oder sammelt und diese über einen Dienst oder eine physische Schnittstelle übermitteln kann. Die EU-Kommission nennt als Spannbreite ausdrücklich Geräte „von Smartphones und smarten Haushaltsgeräten bis zu intelligenten Industriemaschinen" [2]. Typische Beispiele aus der Praxis:

• Industrie & Fertigung: vernetzte Maschinen, SPS, Sensoren in Produktionslinien (Industrie 4.0)
• Energie: Windkraftanlagen, PV-Wechselrichter, Smart-Meter-Gateways
• Mobilität: vernetzte Fahrzeuge, Telematik, Ladeinfrastruktur
• Smart Building: HLK-Systeme, Zähler, Zutritts- und Gebäudeleittechnik
• Medizin & Landwirtschaft: vernetzte Geräte, Sensorik, Maschinen

Entscheidend: Die Pflicht trifft Hersteller unabhängig vom Sitz – sobald das Produkt auf den EU-Markt kommt, gilt der Data Act [3]. Ein US-amerikanischer oder asiatischer Hersteller ist genauso betroffen wie ein europäischer.

Die Kernpflichten für Hersteller und Dateninhaber

1. Datenzugang „by design und by default" (Artikel 3)

Die zentrale Pflicht: Vernetzte Produkte müssen so konstruiert und verbundene Dienste so gestaltet sein, dass die Produkt- und Dienstdaten – inklusive der zur Interpretation nötigen Metadaten – standardmäßig einfach, sicher, kostenlos und in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format zugänglich sind; wo relevant und technisch machbar, direkt vom Gerät [3][4]. Datenzugang ist damit eine Architekturanforderung. Wer Telemetrie heute in proprietären Formaten und ohne Exportweg ablegt, muss umbauen.

2. Transparenz vor Vertragsschluss

Bereits vor dem Kauf, Miet- oder Leasingvertrag müssen Hersteller und Verkäufer klar informieren – unter anderem über Art und Umfang der erzeugten Daten, Erhebungsfrequenz, ob die Daten kontinuierlich und in Echtzeit anfallen, wie der Nutzer darauf zugreift und wie er Zugang verlangen oder Beschwerde einlegen kann [5][6].

3. Recht auf Datenzugang des Nutzers (Artikel 4)

Sind Daten nicht direkt vom Produkt abrufbar, muss der Dateninhaber sie dem Nutzer auf Anfrage bereitstellen – kostenlos, in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format und, soweit machbar, kontinuierlich und in Echtzeit [3][5].

4. Recht auf Weitergabe an Dritte (Artikel 5)

Auf Verlangen des Nutzers muss der Dateninhaber die Daten an einen Dritten der Wahl des Nutzers übermitteln – zu denselben technischen Bedingungen wie gegenüber dem Nutzer [3][5]. Das berühmte Beispiel der Kommission: Der Betreiber einer Windturbine kann den Hersteller anweisen, Nutzungsdaten an einen unabhängigen Wartungsdienst seiner Wahl zu übergeben [2].

5. Wechsel & Interoperabilität (Kapitel VI)

Der Data Act adressiert auch den Wechsel zwischen Datenverarbeitungsdiensten (Cloud-Switching): Anbieter müssen den Wechsel ermöglichen, Hindernisse abbauen und – ab 12. Januar 2027 – die Wechselentgelte streichen [1][2]. Für IoT-Architekturen heißt das: Vendor-Lock-in wird nicht nur betriebswirtschaftlich teuer, sondern regulatorisch unerwünscht.

Sanktionen: Was bei Verstößen droht

Der Data Act überlässt die konkrete Ausgestaltung der Sanktionen den Mitgliedstaaten. Artikel 40 verlangt, dass diese „wirksam, verhältnismäßig und abschreckend" sind, und nennt sechs Bemessungskriterien – darunter Art, Schwere und Dauer des Verstoßes sowie den EU-Jahresumsatz des Verantwortlichen [7]. Zwei Ebenen sind wichtig:

• DSGVO-Ebene: Betrifft ein Verstoß gegen die Kapitel II, III oder V personenbezogene Daten, können die Datenschutz-Aufsichtsbehörden Geldbußen nach Artikel 83 DSGVO verhängen – bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist [7][8].
• Nationale Ebene (Deutschland): Das Data-Act-Durchführungsgesetz (DADG) wurde vom Bundestag am 26. März 2026 beschlossen; der Bundesrat erhob am 8. Mai 2026 keinen Einspruch [9]. Zuständige Behörde ist die Bundesnetzagentur; bei personenbezogenen Daten kommt die BfDI hinzu [9][10]. Für Data-Act-Verstöße im Zuständigkeitsbereich der BNetzA sieht § 15 DADG Geldbußen bis zu 500.000 Euro vor [10][11].

In Summe: Die direkten Data-Act-Bußgelder in Deutschland sind moderater als die DSGVO-Sanktionen – aber sobald personenbezogene Daten im Spiel sind, gilt der volle DSGVO-Rahmen.

Wo eine IoT-Plattform technisch hilft – und wo nicht

Vorweg, ehrlich: Eine IoT-Plattform stellt keine Rechts-Compliance her. Die Frage, welche Daten an wen mit welcher Rechtsgrundlage herausgegeben werden, beantwortet kein Software-Feature. Was eine Plattform liefert, sind die technischen Bausteine, mit denen sich die operativen Anforderungen aus Artikel 3 bis 5 erfüllen lassen: strukturierte Speicherung, maschinenlesbarer Export, programmatischer Zugriff.

ThingsBoard – die Open-Source-IoT-Plattform unter Apache 2.0 – bringt hier brauchbare Eigenschaften mit:

Die zugrundeliegenden Zeitreihen liegen in PostgreSQL/TimescaleDB oder Cassandra, abhängig vom Volumen – also in offenen, exportierbaren Datenbanken [13]. Die Wahl der Betriebsform (self-hosted, Cloud oder Managed) ändert daran nichts: Die Daten bleiben in strukturiertem, abrufbarem Format.

Datenhoheit und der Data Act: zwei Seiten einer Medaille

Der Data Act ist nicht nur eine Pflicht – er ist auch ein Argument für Datensouveränität. Wer die Anforderungen an Datenzugang, Datenweitergabe und Anbieterwechsel ernst nimmt, landet zwangsläufig bei zwei Fragen: Liegen meine Daten in einem offenen, exportierbaren Format? Und: Habe ich die Hoheit, den Anbieter zu wechseln?

Hier verstärken sich Data Act und Souveränitäts-Argument gegenseitig:

• Offene Formate statt Black Box. Artikel 3 verlangt strukturierte, maschinenlesbare Daten. Eine Open-Source-Plattform mit dokumentierten APIs liefert das von Haus aus – im Gegensatz zu einem proprietären Cloud-IoT-Stack, aus dem ein vollständiger Export oft mühsam ist.
• Wechselmöglichkeit statt Lock-in. Kapitel VI zielt auf einfaches Switching. Eine Apache-2.0-Plattform lässt sich per Backup auf neue Infrastruktur umziehen – Tage statt Jahre. Wie heikel der umgekehrte Weg ist, zeigt der erzwungene Umzug, wenn ein US-Anbieter einen Dienst abkündigt: etwa beim Support-Ende von AWS IoT Events.
• Hosting-Standort & CLOUD Act. Werden IoT-Daten bei einem US-Anbieter verarbeitet, bleibt der strukturelle Konflikt mit dem US CLOUD Act bestehen – unabhängig vom Speicherort. Europäisches, souveränes Hosting nimmt diese Unsicherheit aus der Gleichung und vereinfacht die DSGVO-Bewertung, die der Data Act für personenbezogene Daten ausdrücklich mitführt [7].

Datenhoheit ersetzt also keine juristische Prüfung – aber sie macht die operative Erfüllung der Data-Act-Pflichten erheblich einfacher. Für viele Hersteller läuft parallel eine zweite Regulierung mit eigenen Nachweispflichten: Was NIS2 und § 30 BSIG konkret von OT- und IIoT-Umgebungen verlangen, ordnet der zugehörige Leitfaden ein.

Praktische Checkliste bis September 2026

Ein pragmatischer Fahrplan – ohne Anspruch auf Vollständigkeit und ohne Rechtsberatung:

1. Inventarisieren: Welche Ihrer Produkte sind „vernetzte Produkte" im Sinne des Data Act? Welche Daten erzeugen sie?
2. Datenflüsse kartieren: Wo liegen die Daten? In welchem Format? Wer hat heute Zugriff?
3. Zugangsfähigkeit prüfen: Sind die Daten strukturiert, maschinenlesbar und über eine API abrufbar? Falls nicht – das ist der größte Umbau.
4. Transparenzinformationen vorbereiten: Vorvertragliche Angaben zu Datenart, -umfang und -zugang formulieren.
5. Prozesse für Nutzer- und Drittanfragen etablieren (Artikel 4 und 5) – inklusive Authentifizierung und Berechtigung.
6. Lock-in bewerten: Können Sie Daten exportieren und den Anbieter wechseln? Wenn nicht, ist eine offene Plattform eine strategische Antwort.
7. Rechtlich absichern: Verträge, Geschäftsgeheimnis-Schutz und DSGVO-Schnittstellen von qualifiziertem Rechtsrat prüfen lassen.

thingshost: Managed ThingsBoard mit Datenhoheit

Wer ThingsBoard produktiv betreibt und dabei Datenhoheit und planbare Kosten will, nutzt thingshost:

• Dedizierte ThingsBoard-Instanz (CE oder PE) in 8 Regionen weltweit
• Region Deutschland: Rechenzentren mit ISO-27001- und BSI-C5-Zertifizierung (Zertifikate der Betreiber), weitere Regionen ISO 27001 und SOC 2 Type II – kein US-Konzern, kein CLOUD-Act-Konflikt
• Offene APIs (REST/WebSocket) für strukturierten, maschinenlesbaren Datenzugang
• Apache 2.0 Open Source – exportierbar und migrierbar, kein Vendor-Lock-in
• Standard (CE) ab 149,90 €/Monat (Region Deutschland), empfohlen bis 100 Geräte, 24/7-Monitoring, Backups

Was die Pläne kosten und wie die Staffelung nach Geräten läuft, steht bei den ThingsBoard-Hosting-Preisen im Überblick.

Wie sich Datenstandort, Auftragsverarbeitung und Exit-Rechte im laufenden Betrieb konkret abbilden, steht auf der Seite zum ThingsBoard Hosting in Deutschland.

Leistungsumfang und Bereitstellung mit WZ-IT abstimmen. Bereitstellung und Vertragsbedingungen werden mit WZ-IT im Angebot vereinbart. Es gibt kein Self-Service-Portal und kein automatisches Testabonnement.

Fazit

Der EU Data Act macht Datenzugang von einer Kür zur Pflicht. Die allgemeine Geltung läuft seit dem 12. September 2025, doch der für Produkthersteller entscheidende Stichtag ist der 12. September 2026: Ab dann müssen neu in Verkehr gebrachte vernetzte Produkte Datenzugang „by design und by default" mitbringen – strukturiert, maschinenlesbar, kostenlos und, wo machbar, direkt vom Gerät.

Eine IoT-Plattform liefert keine Rechts-Compliance, aber die technischen Voraussetzungen: strukturierte Speicherung, maschinenlesbare APIs und Exportwege. Eine Open-Source-Plattform wie ThingsBoard – betrieben in europäischen, souveränen Rechenzentren – erfüllt diese Bausteine ohne proprietären Lock-in und vereinfacht zugleich die DSGVO-Bewertung, die der Data Act für personenbezogene Daten mitführt. Datenhoheit und Data-Act-Konformität sind damit kein Widerspruch, sondern dieselbe Richtung. Wer diesen Weg mit einem deutschen Betreiber gehen will, findet Leistungen und Regionen unter Managed ThingsBoard mit deutscher Datenhaltung. Die rechtliche Einordnung Ihres konkreten Produkts bleibt aber Sache qualifizierter Rechtsberatung.

Lesetipp: ThingsBoard vs. AWS IoT Core: Open Source gegen Amazon-Cloud · ThingsBoard Hosting: Cloud vs. Self-Hosted vs. Managed

Quellen

• [1] Europäische Kommission – Data Act explained (Geltung seit 12.09.2025, Cloud-Switching ab 12.01.2027)
• [2] Europäische Kommission – Data Act (Geltungsbereich, Nutzerrechte, Windturbinen-Beispiel)
• [3] Alston & Bird – The Data Act: Connected Products (Artikel 3(1) ab 12.09.2026, Artikel 4/5)
• [4] Data Act – Artikel 50 (Inkrafttreten und Geltung; Artikel 3(1) für Produkte nach 12.09.2026)
• [5] Data Act – Artikel 3 (Datenzugang by design/by default)
• [6] Verordnung (EU) 2023/2854 (Data Act) – Artikel 3(2): vorvertragliche Informationspflichten (Art und Umfang der Daten, Frequenz, Zugang, Beschwerde)
• [7] Data Act – Artikel 40 (Sanktionen; Verweis auf DSGVO Art. 83 für Kapitel II/III/V)
• [8] DSGVO Artikel 83 (Bußgelder bis 20 Mio. EUR / 4 % weltweiter Jahresumsatz)
• [9] Deutscher Bundestag – Umsetzung EU-Datenzugang (Beschluss 26.03.2026, Bundesnetzagentur)
• [10] activeMind.legal – Das Durchführungsgesetz zum Data Act (DADG; Bußgelder, BNetzA, BfDI)
• [11] HÄRTING Rechtsanwälte – DADG: Was Unternehmen jetzt wissen müssen
• [12] ThingsBoard – REST API (Zeitreihen-Abfrage, Telemetrie)
• [13] ThingsBoard – Time-Series Data (PostgreSQL/TimescaleDB/Cassandra, Export)
• [14] ThingsBoard – WebSocket API (Echtzeit-Subscriptions)
• [15] ThingsBoard – Offizielle Website (Apache 2.0, Cloud & On-Premises)
• thingshost.de – Managed ThingsBoard Hosting