Der EU Data Act und seine Bedeutung für Selbst­ständige und KMU

Der bereits am 11.Januar 2024 in Kraft getretene EU Data Act entfaltet ab dem 12. September 2025 seine meisten Regeln und bringt tiefgrei­fende Änderungen für den Umgang mit Daten in der Europäi­schen Union. Während sich viele Diskus­sionen bislang auf große Tech-Konzerne konzen­trierten, betrifft das Gesetz ausdrücklich auch Selbst­ständige, Start-ups und kleine sowie mittlere Unter­nehmen (KMU). Für sie ergeben sich neue Chancen im Bereich Inter­es­sen­ten­ge­winnung, B2B-Daten­aus­tausch und Geschäfts­modell-Entwicklung – aber auch neue Pflichten.

Da die meisten Selbst­stän­digen und KMUs keine eigene Rechts­ab­teilung beschäf­tigen und daher oft gar nicht wissen, dass und wie sie von solchen neuen Gesetzen schon kurzfristig betroffen sind, ist das wieder ein Grund, sich als Selbst­stän­diger einem Experten-Netzwerk wie dem Solidara.net anzuschließen.

Denn von ihren Steuer- und IT-Beratern werden sie über sowas in der Regel auch nicht infor­miert, weil die es genauso oft selbst nicht wisssen. Die sind ja in der Regel auch Einzel­kämpfer und kleine Firmen, die — genau wie ihre Kunden — eh schon von der Bürokratie erschlagen werden. Im Zweifelsfall kriegen es beide Seiten also erst dann mit, wenn sie sich darüber streiten, wer für einen aufge­tre­tenen Schadensfall haftet, der durch die Nicht­be­achtung der Gesetze entstanden ist.

1. . Was regelt der EU Data Act?

Der Data Act ist eine Querschnitts­ver­ordnung mit dem Ziel, den Zugang zu und die Nutzung von Daten fairer und trans­pa­renter zu gestalten. Er umfasst insbe­sondere:

• Nutzungs­rechte an Daten: Kunden (B2C und B2B) haben das Recht, Daten aus IoT-Geräten oder digitalen Diensten abzurufen und an Dritte weiter­zu­geben.
• Verpflichtung zum Daten­aus­tausch: Unter­nehmen, die über Daten verfügen, müssen diese in bestimmten Fällen anderen Unter­nehmen oder öffent­lichen Stellen zugänglich machen.
• Fairer Wettbewerb: Verhin­derung von Daten­mo­no­polen großer Platt­formen.
• Schutz von Geschäfts­ge­heim­nissen: Auch beim verpflich­tenden Daten­aus­tausch müssen KMU ihre vertrau­lichen Infor­ma­tionen absichern können.

2. Relevanz für Selbst­ständige und KMU

der EU Data Act betrifft in erster Linie Geräte­daten und „produkt­be­zogene Dienste“ — also “IoT-Hersteller”. “IoT” heißt ausge­schrieben Hersteller von „Internet of Things“-Geräten – also von physi­schen Geräten, die mit Sensoren, Software und Konnek­ti­vität ausge­stattet sind und Daten über das Internet austau­schen können.

Beispiele für IoT-Hersteller:

• Landwirt­schaft: Anbieter von vernetzten Traktoren, Sensoren für Böden, Drohnen.
• Haushalts­geräte: Hersteller von vernetzten Wasch­ma­schinen, Kühlschränken, Heizungen, Smart-Home-Systemen.
• Fahrzeuge: Autoher­steller, die Connected Cars mit Telema­tik­daten ausstatten.
• Industrie 4.0: Maschi­nen­bauer, die Sensoren in Produk­ti­ons­an­lagen einbauen, um Betriebs­daten auszu­werten.
• Gesund­heits­be­reich: Hersteller von Wearables (Smart­watches, Fitness-Tracker, Blutzu­cker­mess­geräte mit App-Anbindung).

Das heißt:

• Hersteller von IoT-Geräten (z. B. Maschinen, Fahrzeuge, Haushalts­geräte) müssen sicher­stellen, dass Nutzer­daten (z. B. Sensor­daten, Leistungs­daten, Betriebs­daten) für den Endnutzer zugänglich sind.
• Der Nutzer darf diese Daten an Dritte weiter­geben (z. B. an einen Wartungs­dienst, Software­an­bieter oder ein Netzwerk wie Solidara.net).
• Unter­nehmen dürfen keine Knebel­ver­träge mehr machen, die Daten­zugang einschränken.

👉 Wichtig:

• Klassische Kunden­da­ten­banken mit Adressen, Inter­essen, Merkmalen fallen nicht automa­tisch unter den Data Act.
• Diese unter­liegen weiterhin DSGVO (Daten­schutz) und ggf. anderen Branchen­regeln.
• Der Data Act kann aber indirekt helfen, wenn solche Daten aus Geräten oder IoT-Services abgeleitet sind (z. B. Nutzungs­daten von Smart-Home-Systemen, Fahrzeug­te­le­matik, PV-Anlagen, Maschinen im Handwerk).

Kurz gesagt: Welche Daten müssen auf Wunsch geteilt werden?

• Geräte­daten → ja, reguliert und verpflichtend teilbar.
• Selbst erstellte Kunden­daten → nicht direkt erfasst, weiterhin DSGVO.

Viele KMU sind sowohl Daten­nutzer als auch Daten­lie­fe­ranten. Der Data Act bringt daher neue Dynamiken:

• Inter­es­sen­ten­ge­winnung: KMU können künftig leichter auf Daten zugreifen, die bisher in den Silos großer Anbieter verschlossen waren. Beispiel: Ein Handwerks­be­trieb könnte durch Kunden­daten aus Smart-Home-Systemen gezielt Angebote unter­breiten.
• Neue Geschäfts­mo­delle: Daten können selbst zur Handelsware werden. Selbst­ständige und KMU, die Daten generieren (z. B. durch Maschinen, Sensoren oder digitale Services), können diese legal Dritten anbieten.
• Wettbe­werbs­vor­teile: Unter­nehmen können durch offenen Daten­aus­tausch Partner­netz­werke aufbauen und neue Märkte erschließen.
• B2B-Koope­ra­tionen: Verträge zwischen KMU und größeren Unter­nehmen müssen künftig klare Regelungen zum Daten­aus­tausch enthalten – das stärkt die Verhand­lungs­po­sition kleinerer Akteure.

3. Ausnahmen für Klein- und Kleinst­be­triebe (KKU)

Nach Artikel 7 Abs. 1 Data Act gilt Kapitel II nicht für Hersteller oder Anbieter, die Kleinst- oder Klein­un­ter­nehmen im Sinne der EU-Definition sind.

Das heißt:

• Kleinst­un­ter­nehmen: < 10 Mitar­beiter und ≤ 2 Mio. € Jahres­umsatz oder Bilanz­summe
• Klein­un­ter­nehmen: < 50 Mitar­beiter und ≤ 10 Mio. € Jahres­umsatz oder Bilanz­summe

➡️ Solche Unter­nehmen müssen keine Daten­zu­gangs- und ‑bereit­stel­lungs­ver­pflich­tungen erfüllen, wenn sie Hersteller oder Anbieter sind.

Aber: Zwei wichtige Einschrän­kungen

1. Verbundene Unter­nehmen:
   Wenn ein kleines Unter­nehmen Teil eines größeren Konzerns ist (also verbundene Unter­nehmen, Art. 2 Nr. 30 Data Act), wird die Schwelle auf den gesamten Verbund angewendet. → Ein „kleines“ Tochter­un­ter­nehmen eines großen Konzerns ist nicht ausge­nommen.
2. Nutznießer-Seite:
   Auch wenn du als KMU selbst Daten erhältst (z. B. von einem Maschi­nen­her­steller), profi­tierst du von den Zugangs­rechten – auch wenn du selbst nicht zur Bereit­stellung verpflichtet bist.

Prakti­sches Beispiel:

• Ein kleiner IoT-Hersteller mit 8 Mitar­beitern und 1 Mio. € Umsatz → ausge­nommen von Bereit­stel­lungs­pflichten.
• Ein mittel­großes KMU mit 120 Mitar­beitern → voll verpflichtet.
• Ein Konzern mit 5.000 Mitar­beitern, aber einer Tochter mit 20 Mitar­beitern → nicht ausge­nommen, da Konzern­schwellen gelten.

👉 Für Selbst­ständige und klassische KMU heißt das:

• Sehr kleine Firmen (< 50 MA und < 10 Mio. Umsatz) können frei entscheiden, ob sie Daten teilen.
• Größere KMU (ab 50 MA oder ab 10 Mio. € Umsatz) müssen Daten­zugang nach den Regeln gewähren, sobald sie Produkte oder Services mit Daten­funktion anbieten.

4. Pflichten für KMU

Neben Chancen bringt der Data Act auch neue Anfor­de­rungen:

• Vertrag­liche Trans­parenz: In B2B-Verträgen müssen Daten­zu­gangs­rechte klar geregelt sein.
• Technische Umsetzung: KMU müssen sicher­stellen, dass Daten in maschi­nen­les­baren Formaten bereit­ge­stellt werden können.
• Daten­schutz & Sicherheit: Auch beim Daten­aus­tausch gilt weiterhin die DSGVO. Geschäfts­ge­heim­nisse und IT-Sicherheit sind zwingend zu wahren.

5. Erste Schritte für KMU und Selbst­ständige

Ab September 2025 sollten KMU folgende Punkte umsetzen:

1. Bestands­auf­nahme: Welche Daten erzeugt und nutzt das Unter­nehmen bereits?
2. Daten­stra­tegie entwi­ckeln: Soll das Unter­nehmen Daten nur nutzen oder auch als Geschäfts­modell weiter­geben?
3. Verträge prüfen: Bestehende B2B-Verträge auf Daten­klauseln anpassen.
4. Technische Infra­struktur vorbe­reiten: Schnitt­stellen, APIs und Export­funk­tionen einrichten.
5. Compliance sicher­stellen: DSGVO, Geschäfts­ge­heim­nisse und IT-Sicherheit mit dem Data Act abstimmen.

6. Fazit

Der EU Data Act verändert die Spiel­regeln im Daten­markt. Selbst­ständige und KMU erhalten ab dem 12. September 2025 neue Möglich­keiten, Daten für Inter­es­sen­ten­ge­winnung, Marketing und Koope­ra­tionen im B2B-Bereich zu nutzen. Wer frühzeitig eine klare Daten­stra­tegie entwi­ckelt, kann die Öffnung des Marktes für sich nutzen – und gleich­zeitig die recht­lichen Anfor­de­rungen sicher erfüllen.

Weiter­füh­rende Infos

• Rechts­an­waelte Schürmann, Rosenthal, Dreyer

---