Nexvyra

EU Data Act (VO 2023/2854) – Art. 4 und 5 Datenzugangsrecht des Nutzers und Weitergabe an Dritte In Kraft

Inhaltlich verantwortlich: Andreas Warkentin (warepoint-media GbR) · letzte Änderung: 2026-10-14 · letzte Prüfung: 2026-10-14 · Quellen-Autorität A Fehler melden ✉
Kurzantwort Seit dem **12. September 2025** kann jeder **Nutzer eines vernetzten Produkts** (Auto, Wärmepumpe, Saugroboter, Smartwatch, Traktor, Industriemaschine) vom **Dateninhaber**, meist dem Hersteller, die **Nutzungsdaten** seines Geräts verlangen ([Art. 4 Abs. 1 VO (EU) 2023/2854](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32023R2854)). Er kann außerdem verlangen, dass diese Daten **direkt an einen Dritten seiner Wahl** gehen, etwa an eine freie Werkstatt, einen Energieberater oder einen Versicherer ([Art. 5 Abs. 1](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32023R2854)). Die Bereitstellung muss **unverzüglich, einfach, sicher, für den Nutzer unentgeltlich**, in einem **maschinenlesbaren Format** und, soweit relevant und technisch durchführbar, **kontinuierlich und in Echtzeit** erfolgen. Erfasst sind die **„ohne Weiteres verfügbaren Daten“** samt Metadaten. Der Hersteller darf nur bei **Geschäftsgeheimnissen** (Art. 4 Abs. 6 bis 8) oder **Sicherheitsrisiken** (Art. 4 Abs. 2) verweigern und muss das dann der **Bundesnetzagentur melden**, bei Geschäftsgeheimnissen zusätzlich gegenüber dem Nutzer **schriftlich begründen**. **Torwächter** nach dem DMA (z. B. Alphabet, Apple, Meta, Amazon) sind als Empfänger **ausgeschlossen** (Art. 5 Abs. 3). In Deutschland ahndet die **Bundesnetzagentur** vorsätzliche Verstöße nach [§ 15 DADG](https://www.gesetze-im-internet.de/dadg/__15.html): Wer Daten nicht oder nicht richtig bereitstellt, riskiert bis zu **500.000 €**, ein Torwächter, der Nutzer zur Datenweitergabe anstiftet, bis zu **5 Mio. €** oder **2 % des weltweiten Jahresumsatzes**.

Kernfakten

PunktWert
RechtsaktVerordnung (EU) 2023/2854 (Data Act, „Datenverordnung“), Kapitel II, Art. 4 und 5, ergänzt durch Art. 6, 8, 9
RechtsnaturEU-Verordnung, unmittelbar anwendbar; DE-Durchführungsgesetz: DADG (in Kraft seit 30.05.2026)
Geltungseit 12.09.2025 (Art. 50), auch für Bestandsgeräte
BerechtigterNutzer: Eigentümer, Mieter/Leasingnehmer eines vernetzten Produkts oder Nutzer eines verbundenen Dienstes, Verbraucher und Unternehmen (Art. 2 Nr. 12)
VerpflichteterDateninhaber (Art. 2 Nr. 13), in der Regel Hersteller oder Anbieter des verbundenen Dienstes
Datenumfangohne Weiteres verfügbare Produkt- und verbundene Dienstdaten inkl. Metadaten (Art. 2 Nr. 17), keine abgeleiteten oder aufbereiteten Daten
Formunverzüglich, einfach, sicher, unentgeltlich für den Nutzer, umfassend, strukturiert, gängig, maschinenlesbar, gleiche Qualität wie für den Dateninhaber, ggf. kontinuierlich und in Echtzeit [Art. 4 Abs. 1, Art. 5 Abs. 1]
Antrag„auf einfaches Verlangen auf elektronischem Wege“ [Art. 4 Abs. 1 Satz 2]
Kosten für DritteDritter (B2B) kann zu angemessener Gegenleistung inkl. Marge verpflichtet sein; bei KMU und gemeinnützigen Forschungseinrichtungen nur Bereitstellungskosten [Art. 9 Abs. 1, 4]
VerweigerungsgründeSicherheitsrisiko für Gesundheit/Sicherheit (vertraglich, Art. 4 Abs. 2); Geschäftsgeheimnisse ohne Einigung über Schutzmaßnahmen (Art. 4 Abs. 7, Art. 5 Abs. 10); schwerer wirtschaftlicher Schaden in Ausnahmefällen (Art. 4 Abs. 8, Art. 5 Abs. 11)
Pflicht bei VerweigerungGeschäftsgeheimnisse: schriftliche Begründung an Nutzer/Dritten und Meldung an die Behörde (Art. 4 Abs. 7, 8; Art. 5 Abs. 10, 11); Sicherheitsbeschränkung: Meldung an die Behörde (Art. 4 Abs. 2)
Ausgeschlossene EmpfängerTorwächter nach Art. 3 DMA [Art. 5 Abs. 3]
Ausnahme DatenTestdaten neuer, noch nicht in Verkehr gebrachter Produkte, Stoffe oder Verfahren [Art. 5 Abs. 2]
Ausnahme UnternehmenKleinst- und Kleinunternehmen als Hersteller ohne größere Partner-/verbundene Unternehmen [Art. 7 Abs. 1]
Zuständige Behörde DEBundesnetzagentur [§ 2 DADG]; bei personenbezogenen Daten für nicht-öffentliche Stellen zusätzlich der BfDI [§ 3 Abs. 1, § 16 DADG]
Bußgeld Nicht-Bereitstellungbis 500.000 € [§ 15 Abs. 2 Nr. 2, Abs. 4 DADG]
Bußgeld Torwächter-Anreizebis 5 Mio. €, bei > 250 Mio. € Umsatz bis 2 % des weltweiten Gesamtumsatzes [§ 15 Abs. 2 Nr. 9, Abs. 4, 5 DADG]
Bußgeld Missbrauch durch Nutzerbis 500.000 € bei Nutzung für Konkurrenzprodukte [§ 15 Abs. 2 Nr. 6 i. V. m. Art. 4 Abs. 10]
RechtsbehelfeBeschwerde bei der Bundesnetzagentur (Art. 38), Streitbeilegungsstelle (Art. 10), Klage vor Gericht (Art. 4 Abs. 3, 9; Art. 5 Abs. 12); gerichtlicher Rechtsbehelf gegen Behördenentscheidungen (Art. 39)

Geltungsbereich

Vernetztes Produkt ist jeder Gegenstand, der Daten über seine Nutzung oder Umgebung erhebt und Produktdaten über Mobilfunk, WLAN, Kabel oder geräteinternen Zugang übermitteln kann (Art. 2 Nr. 5). Typisch: Pkw, E-Bikes, Wallboxen, Wärmepumpen, Smart-Home-Geräte, Fitnesstracker, Landmaschinen, Produktionsanlagen. Nicht erfasst sind Geräte, deren Hauptfunktion die Speicherung oder Übertragung von Daten für andere ist (z. B. Server, Router für Dritte), und reine Software.

Verbundener Dienst ist ein digitaler Dienst, ohne den das Produkt eine Funktion nicht ausführen könnte, etwa die Steuerungs-App (Art. 2 Nr. 6).

Ohne Weiteres verfügbare Daten sind Daten, die der Dateninhaber rechtmäßig vom Produkt erhält oder erhalten kann, ohne unverhältnismäßigen Aufwand über eine einfache Bearbeitung hinaus (Art. 2 Nr. 17). Der Nutzer hat also keinen Anspruch darauf, dass der Hersteller neue Daten erhebt, Analysen erstellt oder aufbereitete Kennzahlen liefert.

Verhältnis zu Art. 3: Art. 3 Abs. 1 verpflichtet Hersteller, ab dem 12.09.2026 in Verkehr gebrachte Geräte so zu bauen, dass der Nutzer direkt zugreifen kann. Art. 4 ist der Auffanganspruch: Wo kein direkter Zugang besteht, insbesondere bei allen älteren Geräten, muss der Dateninhaber auf Verlangen liefern.

Art. 4 – Zugangsrecht des Nutzers

Anspruch (Abs. 1): Bereitstellung der ohne Weiteres verfügbaren Daten inklusive der zur Auslegung nötigen Metadaten, auf einfaches elektronisches Verlangen.

Keine Hürden (Abs. 4 und 5): Der Dateninhaber darf die Ausübung nicht unangemessen erschweren, auch nicht durch Dark Patterns in der Benutzeroberfläche. Zur Prüfung der Nutzereigenschaft darf er nicht mehr Informationen verlangen als erforderlich und keine überflüssigen Protokolldaten über den Zugriff speichern. Verstoß gegen Abs. 5 Satz 1: Bußgeld bis 50.000 € (§ 15 Abs. 2 Nr. 3, Abs. 4 DADG).

Geschäftsgeheimnisse (Abs. 6 bis 9):

  1. Grundsatz: Geschäftsgeheimnisse werden offengelegt, wenn vorher Schutzmaßnahmen vereinbart sind (Vertraulichkeitsvereinbarung, Zugangsprotokolle, Mustervertragsklauseln).
  2. Keine Einigung oder Bruch der Vertraulichkeit: Dateninhaber darf verweigern oder aussetzen, muss dies ordnungsgemäß begründen, dem Nutzer unverzüglich schriftlich mitteilen und der Behörde melden (Abs. 7).
  3. Außergewöhnliche Umstände: Ablehnung im Einzelfall, wenn der Dateninhaber trotz Schutzmaßnahmen einen schweren wirtschaftlichen Schaden mit hoher Wahrscheinlichkeit nachweist, auf Grundlage objektiver Fakten (Abs. 8).
  4. Der Nutzer kann die Entscheidung bei der Bundesnetzagentur oder vor einer Streitbeilegungsstelle anfechten (Abs. 9).

Pflichten des Nutzers (Abs. 10 und 11): Keine Nutzung zur Entwicklung eines konkurrierenden vernetzten Produkts, keine Weitergabe mit dieser Absicht, keine Ausforschung der wirtschaftlichen Lage oder Produktionsmethoden des Herstellers. Kein Hacking oder Ausnutzen von Sicherheitslücken.

Personenbezogene Daten (Abs. 12): Ist der Nutzer nicht selbst die betroffene Person (z. B. Flottenbetreiber, Vermieter eines Autos), braucht die Bereitstellung eine Rechtsgrundlage nach Art. 6 DSGVO, ggf. Art. 9 DSGVO und Art. 5 Abs. 3 ePrivacy-RL (in Deutschland § 25 TDDDG).

Grenzen für den Dateninhaber (Abs. 13 und 14): Er darf nicht-personenbezogene Daten nur auf Vertragsgrundlage mit dem Nutzer selbst verwenden und daraus keine Einblicke in dessen wirtschaftliche Lage gewinnen. An Dritte darf er nicht-personenbezogene Produktdaten nur zur Erfüllung des Vertrags mit dem Nutzer weitergeben.

Art. 5 – Weitergabe an Dritte

Anspruch (Abs. 1): Auf Verlangen des Nutzers oder einer in seinem Namen handelnden Partei stellt der Dateninhaber die Daten einem Dritten bereit, in derselben Qualität, für den Nutzer unentgeltlich, ggf. in Echtzeit. Die Bedingungen gegenüber dem Dritten richten sich nach Art. 8 (fair, angemessen, diskriminierungsfrei) und Art. 9 (Gegenleistung).

Gegenleistung des Dritten (Art. 9): Bei B2B-Datenbereitstellung darf eine diskriminierungsfreie, angemessene Gegenleistung vereinbart werden, die eine Marge enthalten darf. Berücksichtigt werden Formatierungs-, Übertragungs- und Speicherkosten sowie ggf. Investitionen in die Datenerhebung. Ist der Dritte ein KMU oder eine gemeinnützige Forschungseinrichtung, sind nur die Bereitstellungskosten erstattungsfähig (Art. 9 Abs. 4). Der Dateninhaber muss die Berechnungsgrundlage offenlegen (Art. 9 Abs. 7; Verstoß: bis 50.000 €, § 15 Abs. 2 Nr. 15 DADG).

Torwächter-Ausschluss (Abs. 3): Ein nach Art. 3 DMA benannter Torwächter ist kein zulässiger Dritter. Er darf Nutzer weder auffordern noch durch Anreize bewegen, Daten für seine Dienste bereitzustellen oder beim Hersteller anzufordern, und keine nach Art. 4 erlangten Daten vom Nutzer entgegennehmen.

Weitere Regeln: Testdaten nicht marktreifer Produkte sind ausgenommen (Abs. 2). Datensparsamkeit bei der Identitätsprüfung (Abs. 4). Kein Hacking durch den Dritten (Abs. 5). Kein Ausforschen des Dritten durch den Dateninhaber (Abs. 6). Art. 20 DSGVO (Datenübertragbarkeit) bleibt unberührt und darf nicht behindert werden (Abs. 8 und 13). Geschäftsgeheimnis-Regeln wie bei Art. 4, aber Offenlegung nur, soweit für den vereinbarten Zweck unbedingt erforderlich (Abs. 9 bis 12).

Pflichten des Dritten (Art. 6): Der Dritte darf die Daten nur für die mit dem Nutzer vereinbarten Zwecke verarbeiten und muss sie löschen, wenn sie nicht mehr benötigt werden. Er darf sie u. a. nicht zur Entwicklung eines Konkurrenzprodukts nutzen und nicht an Torwächter weitergeben. Verstöße sind nach § 15 Abs. 2 Nr. 10 bis 14 und Abs. 3 DADG bußgeldbewehrt.

Praxisbeispiele

Durchsetzung und Sanktionen in Deutschland

Das Datenverordnung-Anwendungs-und-Durchsetzungs-Gesetz (DADG) vom 26.05.2026 ist seit dem 30.05.2026 in Kraft. Zuständig ist die Bundesnetzagentur (§ 2 DADG), sie ist auch Verwaltungsbehörde im Bußgeldverfahren (§ 15 Abs. 7 DADG).

| Verstoß | Norm Data Act | § 15 DADG | Höchstbetrag | |---|---|---|---| | Daten nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig bereitgestellt | Art. 4 Abs. 1 S. 1, Art. 5 Abs. 1 S. 1 | Abs. 2 Nr. 2 | 500.000 € | | Überflüssige Informationen zur Identitätsprüfung verlangt | Art. 4 Abs. 5 S. 1, Art. 5 Abs. 4 S. 1 | Abs. 2 Nr. 3 | 50.000 € | | Verweigerung nicht ordnungsgemäß mitgeteilt | Art. 4 Abs. 7 S. 2, Art. 5 Abs. 10 S. 2 | Abs. 2 Nr. 4 | 50.000 € | | Nachweis „schwerer wirtschaftlicher Schaden“ nicht vorgelegt | Art. 4 Abs. 8 S. 2, Art. 5 Abs. 11 S. 2 | Abs. 2 Nr. 5 | 50.000 € | | Nutzer verwendet Daten für Konkurrenzprodukt | Art. 4 Abs. 10 | Abs. 2 Nr. 6 | 500.000 € | | Dateninhaber forscht Nutzer/Dritten aus | Art. 4 Abs. 13 S. 2, Art. 5 Abs. 6 | Abs. 2 Nr. 7 | 500.000 € | | Unzulässige Weitergabe von Produktdaten an Dritte | Art. 4 Abs. 14 S. 1 | Abs. 2 Nr. 8 | 100.000 € | | Torwächter fordert Nutzer zur Datenweitergabe auf | Art. 5 Abs. 3 lit. a, b | Abs. 2 Nr. 9 | 5 Mio. € / 2 % Umsatz | | Dritter löscht Daten nicht | Art. 6 Abs. 1 S. 2 | Abs. 2 Nr. 10 | 100.000 € | | Dritter nutzt Daten zweckwidrig | Art. 6 Abs. 1 S. 1 | Abs. 3 | 100.000 € |

Nur Vorsatz: § 15 DADG nennt keine Fahrlässigkeit, daher sind nur vorsätzliche Verstöße bußgeldbewehrt (§ 10 OWiG). Personenbezogene Daten: Daneben kann die Datenschutzaufsicht nach Art. 40 Abs. 4 Data Act Geldbußen im Rahmen von Art. 83 DSGVO verhängen, dort auch bei Fahrlässigkeit.

Beweislast in der Praxis: Wer verweigert, muss Geschäftsgeheimnisse konkret identifizieren (auch in den Metadaten), die nicht vereinbarten Schutzmaßnahmen benennen und beim Ausnahmetatbestand des Art. 4 Abs. 8 den schweren wirtschaftlichen Schaden mit objektiven Fakten belegen. Hersteller sollten jede Anfrage, Bearbeitungszeit, Begründung und Behördenmeldung dokumentieren.

Häufige Fehler

Hinweis Faktencheck

`factcheck_status: ok` (Faktencheck 14.10.2026):

  1. Art. 2, 4, 5, 6, 8, 9, 38–40, 50 VO (EU) 2023/2854 wurden im Volltext des Amtsblatts (ABl. L 2023/2854 vom 22.12.2023, Abruf über den Publications-Office-Endpunkt publications.europa.eu/resource/celex/32023R2854) geprüft.
  2. § 15 DADG (Tatbestände Abs. 2 Nr. 1–27, Abs. 3, Bußgeldrahmen Abs. 4–7) stimmt mit dem Gesetzesbeschluss des Bundestages (BR-Drs. 204/26 vom 17.04.2026, Maßgabe zu § 15 Abs. 4 und 5) überein; Verkündung BGBl. 2026 I Nr. 157 vom 29.05.2026, Inkrafttreten nach Art. 3 am 30.05.2026.
  3. Hinweis: Der Daten-Teil des „Digital Omnibus“ (Verfahren 2025/0360(COD)), der u. a. Art. 4 Abs. 8 ändern soll, war nach Ratsdokumenten vom Juni 2026 noch nicht verabschiedet; Art. 4 und 5 gelten unverändert in der Fassung vom 13.12.2023.

Änderungsverlauf

Siehe auch

Stand

Quellen

Letzte Änderung:
2026-10-14
Letzte Prüfung:
2026-10-14
In Kraft seit:
2025-09-12
Status:
In Kraft
Quellen-Autorität:
A
Lizenz:
CC BY 4.0
Fehler gefunden? Bitte melden an info@nexvyra.fr.