Data Act 2025: Pflichten für Energieversorger und IoT-Hersteller
Ladesäule, Wärmepumpe, Windrad, Stromzähler: Jede dieser Anlagen erzeugt laufend Daten. Der Data Act sagt jetzt, wem sie gehören. Und das ist selten der Hersteller allein.
Der EU Data Act (Verordnung 2023/2854) ist seit dem 12. September 2025 anwendbar. Seit diesem Tag gelten das Zugangsrecht der Nutzer zu Daten aus vernetzten Produkten (Kapitel III) und das Verbot unfairer B2B-Vertragsklauseln (Kapitel IV). Energieversorger sind doppelt betroffen: als Betreiber vernetzter Anlagen wie Ladesäulen, Wärmepumpen und Smart Meter, die Daten herausgeben müssen, und als mögliche Empfänger fremder Betriebsdaten. Weitere Fristen sind gestaffelt: Access by Design für neue Produkte ab dem 12. September 2026, wegfallende Cloud-Wechselgebühren ab dem 12. Januar 2027. In Deutschland ist die Bundesnetzagentur zentrale Vollzugsbehörde, das Durchführungsgesetz vom März 2026 sieht Bußgelder bis 500.000 Euro pro Fall vor. Der wichtigste erste Schritt ist ein Katalog der eigenen vernetzten Produkte und der Daten, die sie erzeugen.
Der Data Act ist scharf gestellt
Der Data Act ist keine Verordnung mehr, auf die man sich noch vorbereiten kann. Er gilt. Seit dem 12. September 2025 kann jeder, der ein vernetztes Produkt nutzt, die Daten verlangen, die dabei entstehen. Und er kann verlangen, dass sie an einen Dritten gehen, an einen Dienstleister, einen Wettbewerber, wen auch immer.
Für Energieversorger und Gerätehersteller ist das kein Papierthema. Herausgabepflicht, Informationspflicht, dahinter eine Aufsichtsbehörde mit Bußgeldrahmen. Das greift jetzt, nicht irgendwann.
Die 270 Milliarden sind eine politische Zahl aus der Folgenabschätzung, keine Garantie. Der Gedanke dahinter ist trotzdem nachvollziehbar. Die Kommission schätzt, dass heute etwa 80 Prozent der Industriedaten ungenutzt liegen. Der Data Act soll diesen Datenschatz öffnen, auch die Daten aus deiner Ladesäule und deinem Zählerschrank.
Was sich am 12. September 2025 geändert hat
Zwei Kapitel der Verordnung sind an diesem Tag scharf geworden. Kapitel III regelt den Datenzugang für Nutzer, Kapitel IV verbietet unfaire Vertragsklauseln zwischen Unternehmen. Praktisch heißt das: Wer Daten aus einem vernetzten Produkt hält, darf sie nicht mehr einfach für eigene Zwecke verwenden.
Für die Herausgabe gelten klare Vorgaben. Die Daten müssen kostenlos bereitstehen, strukturiert, maschinenlesbar, und wo es technisch geht, kontinuierlich und in Echtzeit. Der Nutzer entscheidet, wer sie bekommt. Nur die großen Gatekeeper aus dem Digital Markets Act sind als Empfänger ausgeschlossen.
Die Produktdaten gehören nicht mehr dem, der die Sensoren gebaut hat, sondern dem, der das Produkt nutzt. Der Hersteller wird vom Eigentümer der Daten zum Verwalter, der auf Verlangen herausgeben muss.
Kapitel IV zieht eine zweite Grenze. Klauseln, die ein Unternehmen dem anderen einseitig aufzwingt und die grob vom Üblichen abweichen, sind unwirksam. Der Haftungsausschluss für Vorsatz oder grobe Fahrlässigkeit ist so ein Fall. Wer solche Klauseln in seinen Datenverträgen hat, sollte sie streichen, bevor es ein Gericht tut.
Die gestaffelten Fristen bis 2027
Der Data Act kommt nicht auf einen Schlag. Die Herausgabepflichten gelten seit 2025, die Design-Pflichten und die Cloud-Regeln folgen später. Wer die Reihenfolge kennt, kann Produktentwicklung und Verträge gezielt takten statt alles gleichzeitig zu stemmen.
| Stichtag | Was in Kraft tritt | Wen es zuerst trifft |
|---|---|---|
| 12.09.2025 | Datenzugang für Nutzer (Kap. III), Verbot unfairer B2B-Klauseln (Kap. IV) | Alle Dateninhaber vernetzter Produkte |
| 12.09.2026 | Access by Design nach Artikel 3 für neu in Verkehr gebrachte Produkte | Hersteller neuer vernetzter Geräte |
| 12.01.2027 | Cloud- und Edge-Anbieter schaffen Wechselgebühren ab, Kündigungsfrist maximal zwei Monate | Anbieter von Cloud-Diensten |
| 12.09.2027 | Klauselkontrolle auch für langfristige B2B-Altverträge vor dem 12.09.2025 | Unternehmen mit alten Datenverträgen |
Der 12. September 2026 ist für Hersteller der eigentliche Einschnitt. Bis dahin reicht es, Daten auf Anfrage bereitzustellen. Danach muss ein neues Produkt den Zugang von Werk aus mitbringen. Das ist eine Frage der Produktarchitektur, nicht der Rechtsabteilung, und Produktzyklen dauern länger als ein Jahr.
Konkrete Pflichten für Energieversorger
Energieversorger stehen mitten im Anwendungsbereich, weil ihre Anlagen ununterbrochen Maschinendaten erzeugen. Eine Ladesäule, eine Wärmepumpe, ein PV-Wechselrichter, ein Windrad: Das alles sind vernetzte Produkte im Sinne des Data Act. Und der Betreiber muss offenlegen, welche Daten anfallen, und sie auf Verlangen zugänglich machen.
Am deutlichsten trifft es die Ladeinfrastruktur. Betreiber (CPO) und Mobilitätsanbieter (EMP) gelten als Dateninhaber nach Artikel 2 Nummer 13. Sie müssen nicht nur die Ladeleistung herausgeben, sondern auch die Metadaten, die für Wartung, Reparatur und Sicherheit nötig sind, also Diagnosedaten, Fehlercodes, Temperaturwerte. Wer schon die Datenpflicht für Ladeinfrastruktur nach DATEX II kennt, sieht hier ein zweites, breiteres Regelwerk übereinandergelegt.
Drei Anlagentypen, drei Datenpflichten
Ladesäulen
Lade-, Diagnose- und Fehlerdaten müssen dem Nutzer und benannten Dritten zugänglich sein. Der Betreiber ist Dateninhaber.
Smart Meter
Versorger dürfen Messdaten für eigene Tarife nutzen, unterliegen aber den Zugangsrechten des Anschlussnutzers.
Wärmepumpe, PV, Wind
Betriebsdaten, die oft beim Wartungsdienstleister liegen, muss der Anlagenbetreiber auf Verlangen bekommen.
Beim Smart Meter wird die Doppelrolle greifbar. Der Versorger darf die Messdaten für seine Tarife auswerten, das bleibt erlaubt. Gleichzeitig hat der Anschlussnutzer ein Zugangsrecht auf genau diese Daten und kann sie zu einem anderen Anbieter mitnehmen. Wer den Smart-Meter-Rollout ohnehin verfolgt, hat mit dem Data Act eine weitere Datenschicht zu bedienen.
Pflichten für IoT- und Gerätehersteller
Die größte Umstellungslast tragen die Hersteller vernetzter Geräte. Sie dürfen die Daten ihrer eigenen Produkte nicht mehr ohne Zustimmung des Nutzers verwenden, auch nicht für die Produktverbesserung. Und ab September 2026 müssen neue Geräte den direkten Zugang gleich mitbringen.
Drei Pflichten sind seit 2025 aktiv. Erstens die Datenlizenz: Jede eigene Nutzung der Produktdaten braucht eine vertragliche Grundlage mit dem Nutzer, geregelt in Artikel 4. Zweitens die vorvertragliche Information: Vor dem Kauf muss klar sein, welche Daten das Gerät erzeugt, in welchem Format und über welchen Weg der Zugang läuft. Drittens der Umgang mit Geschäftsgeheimnissen.
Der wunde Punkt sind die Geschäftsgeheimnisse. Der Data Act zwingt zur Offenlegung, lässt den Dateninhaber aber angemessene Schutzmaßnahmen und Vertraulichkeitsvereinbarungen verlangen. Wo genau die Grenze verläuft, sagt die Verordnung nicht scharf. Solange Musterklauseln und erste Gerichtsurteile fehlen, bleibt jede Herausgabe eine Abwägung mit Restrisiko.
Dazu kommt die unbequeme Wahrheit über den Wettbewerb. Ein Nutzer darf seine Daten an einen direkten Konkurrenten des Herstellers weitergeben. Der Data Act baut zwar Leitplanken ein, etwa das Verbot, die Daten zum Nachbau eines Konkurrenzprodukts zu verwenden. Ob diese Leitplanken in der Praxis halten, ist offen. Ein Hersteller, der bisher Daten als stillen Wettbewerbsvorteil behandelt hat, verliert diesen Vorteil zu einem guten Teil.
Deutschland: Durchführungsgesetz und Bundesnetzagentur
Der Data Act gilt als EU-Verordnung unmittelbar, das nationale Recht regelt aber Zuständigkeit, Verfahren und Sanktionen. In Deutschland tut das seit 2026 das Data-Act-Durchführungsgesetz. Der Bundestag hat es am 26. März 2026 beschlossen, im Mai 2026 wurde es verkündet.
Gegenüber dem ersten Referentenentwurf wurde der Bußgeldkatalog spürbar entschärft. Das nimmt kleineren Unternehmen etwas vom Druck, ändert an den materiellen Pflichten aber nichts. Die gelten seit September 2025, unabhängig vom nationalen Gesetz.
Ganz einig war sich der Bundestag nicht. In der Sachverständigenanhörung stritten die Fachleute über Aufwand und Rechtsunsicherheit, gerade für den Mittelstand. Das ist ein ehrliches Signal: Der Rahmen steht, die Praxis muss ihn erst noch füllen. Wie stark die Bundesnetzagentur den Vollzug treibt, wird sich 2026 und 2027 zeigen.
Herausforderungen und Risiken
Der Data Act öffnet Daten. Er schafft damit aber auch neue Spannungen, und die Umsetzung bindet Ressourcen. Zwischen Transparenzpflicht und dem Schutz eigener Vorteile liegt kein bequemer Mittelweg.
Am teuersten wird der Fehler, das Ganze als reines Rechtsthema abzulegen. Der Data Act ist eine Datenaufgabe. Wer nur eine Klausel anpasst und die Schnittstellen vergisst, steht bei der ersten echten Anfrage ohne Antwort da.
Was Unternehmen jetzt tun sollten
Kein Großprojekt nötig. Was zuerst zählt, ist eine schlichte Frage: Welche vernetzten Produkte betreibst du überhaupt, und welche Daten spucken sie aus? Erst wenn diese Liste steht, lohnt der Rest. Sie ist nebenbei auch das, worauf jedes spätere Datenprojekt aufsetzt.
Fünf Schritte in dieser Reihenfolge
-
Datenkatalog erstellen
Welche vernetzten Produkte betreibst du, und welche Daten erzeugen sie in welchem Format? Ohne diese Liste ist jede weitere Diskussion Spekulation. Sie ist zugleich die Grundlage für jedes spätere Datenprojekt.
-
Verträge prüfen
Datenlizenzen nach Artikel 4 aufnehmen, unfaire Klauseln streichen. Die unverbindlichen EU-Musterklauseln geben eine Orientierung, an der man sich messen kann.
-
Zugangsprozess definieren
Wer beantwortet Nutzer- und Drittanfragen, in welcher Frist, über welche Schnittstelle? Eine Anfrage ohne zuständige Stelle wird zum Beschwerdefall bei der Bundesnetzagentur.
-
Geschäftsgeheimnisse absichern
Festlegen, welche Daten sensibel sind, und dafür Schutzmaßnahmen und Vertraulichkeitsvereinbarungen vorbereiten. Das ist die Voraussetzung, um überhaupt kontrolliert herausgeben zu können.
-
Access by Design einplanen
Für die Produktgeneration ab September 2026 gehört der direkte Datenzugang in die Architektur, nicht nachträglich obendrauf. Produktzyklen brauchen Vorlauf, der Stichtag ist näher, als er wirkt.
Für die strategische Einordnung hilft ein Blick über den Data Act hinaus. Der europäische Energiedatenraum und die KI-Regulatorik für Energieversorger greifen ineinander. Wer seine Datenbasis jetzt ordnet, arbeitet nicht nur eine Pflicht ab, sondern legt das Fundament für alles, was danach mit diesen Daten passieren soll.
Weiterführende Informationen
Häufig gestellte Fragen
Seit dem 12. September 2025. Die Verordnung (EU) 2023/2854 ist seit dem 11. Januar 2024 in Kraft, angewendet wird sie seit dem 12. September 2025. Ab diesem Tag gelten Kapitel III zum Datenzugang und Kapitel IV zu unfairen Vertragsklauseln zwischen Unternehmen.
Wer vernetzte Anlagen betreibt, muss deren Daten herausgeben. Ladesäulen, Wärmepumpen, PV-Wechselrichter und Windanlagen erzeugen Maschinendaten, auf die Nutzer und von ihnen benannte Dritte ein Zugangsrecht haben. Betreiber von Ladeinfrastruktur gelten als Dateninhaber und müssen Lade-, Diagnose- und Fehlerdaten zugänglich machen.
Access by Design heißt, dass ein vernetztes Produkt von Werk aus einen direkten Datenzugang für den Nutzer bietet, ohne Umweg über den Hersteller. Diese Pflicht aus Artikel 3 des Data Act gilt für Produkte, die ab dem 12. September 2026 neu in Verkehr gebracht werden. Für Bestandsprodukte gilt sie nicht.
Die Bundesnetzagentur ist zentrale Vollzugsbehörde. Für personenbezogene Daten bleibt der Bundesbeauftragte für den Datenschutz zuständig. Das deutsche Data-Act-Durchführungsgesetz wurde am 26. März 2026 vom Bundestag beschlossen und im Mai 2026 verkündet. Es sieht Bußgelder bis 500.000 Euro pro Fall vor, in der Regel nur bei Vorsatz.
In den meisten Fällen ja. Für jede eigene Nutzung der Produktdaten braucht der Dateninhaber seit dem 12. September 2025 eine vertragliche Lizenz mit dem Nutzer. Unfaire, einseitig auferlegte Klauseln zwischen Unternehmen sind unwirksam. Für langfristige B2B-Verträge, die vor dem 12. September 2025 geschlossen wurden, greift die Klauselkontrolle ab dem 12. September 2027.
Der Data Act zwingt zur Offenlegung von Produktdaten, schützt aber Geschäftsgeheimnisse. Der Dateninhaber darf angemessene Schutzmaßnahmen und Vertraulichkeitsvereinbarungen verlangen, bevor er sensible Daten teilt. In der Praxis ist genau diese Abgrenzung der größte Streitpunkt, weil klare Durchsetzungsmechanismen noch fehlen.