Data Act ab 12. September 2026: Warum der Stichtag nur neue Produkte betrifft und die eigentliche Pflicht seit einem Jahr gilt

Der 12. September 2026 steht derzeit in vielen Kalendern, meist unter einer Überschrift wie Data Act tritt in Kraft. Diese Überschrift ist gleich doppelt falsch. Die Verordnung ist seit Januar 2024 in Kraft und seit September 2025 anwendbar. Was am 12. September 2026 tatsächlich passiert, ist eng begrenzt, und es ist mit hoher Wahrscheinlichkeit nicht der Teil des Data Act, der Ihr Unternehmen zuerst erreicht.

Drei Daten, die regelmäßig verwechselt werden

Der Schlussartikel der Verordnung (EU) 2023/2854 ordnet einen gestaffelten Geltungsbeginn an. Wer ihn genau liest, hat die meisten der derzeit kursierenden Fragen bereits beantwortet.

Lesen Sie die mittlere Zeile ein zweites Mal, denn sie ist diejenige, die in Zusammenfassungen verschwindet. Die Pflicht aus Artikel 3 Absatz 1 gilt für vernetzte Produkte und verbundene Dienste, die nach dem 12. September 2026 in Verkehr gebracht wurden. Ihr Bestand ist von diesem Datum nicht berührt. Und die oberste Zeile ist die, auf die es heute ankommt.

Was Artikel 3 Absatz 1 verlangt, und warum die Frist faktisch vorbei ist

Der Wortlaut beschreibt eine Konstruktionsanforderung, keine Dokumentationspflicht. Vernetzte Produkte werden so konzipiert und hergestellt und verbundene Dienste so erbracht, dass die Produktdaten samt der zur Auslegung erforderlichen Metadaten standardmäßig für den Nutzer einfach, sicher und unentgeltlich in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format zugänglich sind, und soweit relevant und technisch durchführbar direkt.

Standardmäßig. Direkt. Unentgeltlich. Maschinenlesbar. Diese vier Wörter beschreiben eine Architektur, und Architektur wird früh entschieden. Im Maschinenbau liegt der Weg vom Konzept bis zur Markteinführung je nach Baugröße zwischen einem und drei Jahren. Für alles, was gerade in dieser Kette steckt und nach dem 12. September 2026 auf den Markt kommt, ist die Entscheidung also längst gefallen, richtig oder falsch. Dieser Stichtag fragt nicht, was Sie im nächsten Monat tun. Er zeigt, was Sie im vorletzten Jahr entschieden haben.

Das ist unangenehm und zugleich entlastend: Lautet die Antwort nein, ändert keine Anstrengung zwischen heute und September etwas am Status dieser Produkte. Die nützliche Frage ist eine andere, und sie betrifft die Maschinen, die längst beim Kunden stehen.

Die Pflicht, über die niemand spricht

Artikel 4 Absatz 1 gilt seit September 2025, und zwar für alles, neu wie alt. Soweit der Nutzer nicht direkt vom Produkt aus auf die Daten zugreifen kann, stellt der Dateninhaber ihm die ohne Weiteres verfügbaren Daten einschließlich der zur Auslegung erforderlichen Metadaten bereit: unverzüglich, einfach, sicher, unentgeltlich, in einem umfassenden, gängigen und maschinenlesbaren Format, soweit machbar kontinuierlich und in Echtzeit.

Dann folgt der Satz, der über die betriebliche Wirkung entscheidet: Dies geschieht auf einfaches Verlangen auf elektronischem Wege, soweit technisch durchführbar. Kein Formular. Keine Begründung. Keine Verhandlung. Eine E-Mail des Kunden löst die Pflicht aus.

Artikel 5 Absatz 1 erweitert das noch. Auf Verlangen des Nutzers muss der Dateninhaber dieselben Daten einem Dritten bereitstellen, ebenfalls unverzüglich, für den Nutzer unentgeltlich und in derselben Qualität, die dem Dateninhaber selbst zur Verfügung steht. Für einen Hersteller mit eigenem Servicegeschäft ist das die wirtschaftlich schärfste Kante der Verordnung. Der Kunde kann die Betriebsdaten seiner Maschine zu einem freien Instandhalter leiten lassen. Wer seine Servicemarge darauf gestützt hat, der Einzige zu sein, der die Maschine lesen kann, dem ist diese Voraussetzung vor einem Jahr abhandengekommen.

Ob Sie das überhaupt betrifft

Die Definition in Artikel 2 Nummer 5 ist weit. Ein vernetztes Produkt ist ein Gegenstand, der Daten über seine Nutzung oder Umgebung erlangt, generiert oder erhebt und diese Produktdaten über einen elektronischen Kommunikationsdienst, eine physische Verbindung oder einen geräteinternen Zugang übermitteln kann, sofern seine Hauptfunktion nicht die Speicherung oder Verarbeitung von Daten für andere ist. Dieser letzte Halbsatz nimmt Server und Cloud-Plattformen aus. Maschinen nimmt er nicht aus.

Eine Werkzeugmaschine mit Zustandsüberwachung fällt darunter. Ein Nutzfahrzeug mit Telematik. Eine Heizungsanlage mit Fernwartung. Ein Medizingerät mit Protokollierung. Eine Verpackungslinie, die Taktzahlen meldet. Dass die Daten heute nur intern ausgewertet werden oder nur vom eigenen Servicetechniker, ändert an der Einordnung nichts. Und Nutzer ist nach Artikel 2 Nummer 12 jede natürliche oder juristische Person, die das Produkt besitzt oder zeitweilige vertragliche Nutzungsrechte hat, womit gewerbliche Käufer und Leasingnehmer mitten im Anwendungsbereich stehen.

Deutschland hat dafür jetzt eine Behörde

Artikel 40 legt selbst keine Bußgeldhöhen fest. Er überlässt sie den Mitgliedstaaten und verlangt nur, dass sie wirksam, verhältnismäßig und abschreckend sind. Das deutsche Durchführungsgesetz wurde am 29. Mai 2026 im Bundesgesetzblatt verkündet und trat am Tag darauf in Kraft; zuständige Behörde ist die Bundesnetzagentur.

Für den Alltag wiegt Artikel 38 schwerer als jedes Bußgeld. Er gibt Nutzern ein Beschwerderecht bei genau dieser Behörde. Ein Kunde, dessen Datenverlangen unbeantwortet bleibt, braucht keinen Anwalt und kein Gericht, sondern ein Formular. Das senkt die Schwelle zur Durchsetzung erheblich gegenüber Regelungen, bei denen nur der Klageweg bleibt, und es bedeutet, dass der erste Kontakt mit dieser Verordnung eher als Schreiben aus Bonn eintrifft denn als Anspruchsschreiben.

Zum Warten auf den Omnibus

Die Kommission hat im November 2025 im Rahmen des Digital-Omnibus-Pakets Änderungen am Data Act vorgeschlagen, das Verfahren in Parlament und Rat läuft noch. Einige der Vorschläge betreffen wirtschaftlich empfindliche Teile der Regelung. Geltendes Recht ist keiner davon.

Dasselbe Muster war beim AI Act zu beobachten. Eine Entschärfung wurde angekündigt, breit berichtet und von vielen als Grund zum Abwarten genommen, und am Ende verschob sich nur ein Teil, während die Pflichten, mit denen die meisten Unternehmen tatsächlich zu tun hatten, planmäßig in Kraft traten. Solange eine Änderung nicht im Amtsblatt steht, gilt der geltende Text. Wer eine Entschärfung einplant, plant mit einem Entwurf.

Was sich in den nächsten vier Wochen lohnt

• Legen Sie fest, wer das erste Verlangen beantwortet. Es kommt eine E-Mail mit der Bitte um Maschinendaten. Wer liest sie, wer entscheidet, in welcher Frist? Ohne benannte Zuständigkeit werden aus „unverzüglich" drei Wochen internes Weiterleiten, und allein das ist der Verstoß.
• Stellen Sie fest, was Sie heute tatsächlich exportieren können. Nicht, was das System im Prinzip könnte. Nehmen Sie einen Maschinentyp, fordern Sie die Daten so an, wie ein Kunde es täte, und stoppen Sie die Zeit. Diese eine Messung ist mehr wert als jede Bestandsaufnahme auf dem Papier.
• Sehen Sie in Ihre Serviceverträge, bevor es ein anderer tut. Klauseln, die den Datenzugang der eigenen Serviceorganisation vorbehalten, sind die, die mit Artikel 5 kollidieren. Besser, Sie finden sie selbst, als der Anwalt eines Kunden.
• Trennen Sie im Export personenbezogene von nicht personenbezogenen Daten. Maschinendaten führen häufig Bedienerkennungen, Schichtmuster oder Ausweisnummern mit. Der Data Act setzt die DSGVO nicht außer Kraft; wo beides greift, gilt beides.
• Nehmen Sie die vorvertraglichen Angaben aus Artikel 3 Absatz 2 in Ihre Vertriebsunterlagen auf. Art, Format und geschätzter Umfang der Daten, ob kontinuierlich erzeugt wird, ob auf dem Gerät oder entfernt gespeichert wird, wie der Zugang funktioniert. Das ist vergleichsweise billig und der Teil, den ein Kunde zuerst bemerkt.

Fazit

Der 12. September 2026 ist ein echter Stichtag, aber ein schmaler: Er betrifft die Konstruktionspflicht aus Artikel 3 Absatz 1, und nur für Produkte, die danach in Verkehr gebracht werden. Wenn Ihre Entwicklung das nicht berücksichtigt hat, wird der September das nicht heilen, und so zu tun als ob verschenkt die vier Wochen, die bleiben. Die Pflicht, die Ihren Bestand erreicht, gilt seit einem Jahr, kommt per einfacher E-Mail, erstreckt sich auf Dritte, die Ihr Kunde benennt, und hat inzwischen eine Behörde mit Beschwerdeformular hinter sich. Darauf lohnt die Vorbereitung, und Vorbereitung heißt zu wissen, wer antwortet, wie schnell und mit welcher Datei. Wenn Sie wissen möchten, was Ihre Systeme heute tatsächlich liefern statt im Prinzip, ist genau das der Zweck eines Erstgesprächs, und das größere Budgetbild steht in IT-Strategie für den Mittelstand.

Häufige Fragen zum Data Act für vernetzte Produkte