EU Data Act: Was ab 12. September für Kunden gilt

Der Anruf kommt an einem Dienstagmorgen. Ein Bestandskunde, der einen kleinen Onlineshop mit angeschlossener Buchungssoftware betreibt, hat in einem Newsletter etwas vom „Data Act" gelesen und will wissen, ob er jetzt etwas tun muss. Du kennst dich mit der DSGVO aus, mit dem AI Act hast du dich durchgerungen – aber der Data Act? Kaum ein Gesetz aus Brüssel wurde in kleinen Agenturen so wenig beachtet. Dabei greift am 12. September 2026 eine zentrale Stufe, und die Fragen deiner Kunden werden nicht weniger.

Die gute Nachricht vorweg: Für die meisten kleinen Webagenturen bedeutet der Data Act weit weniger Aufwand als DSGVO oder AI Act. Die schlechtere: Genau deshalb wirst du zur Anlaufstelle, wenn Kunden verunsichert sind – und ein paar der neuen Regeln verändern still, aber spürbar, wie du künftig Hosting und Cloud für deine Kunden auswählst. Dieser Beitrag ordnet ein, was wirklich zählt. Er ist bewusst sachlich gehalten und ersetzt keine Rechtsberatung; bei konkreten Pflichten für ein bestimmtes Kundenprojekt gehört eine fachkundige Person mit ins Boot.

EU Data Act: Was hinter dem Gesetz steckt

Der EU Data Act – auf Deutsch das Datengesetz – ist seit dem 11. Januar 2024 in Kraft und gilt laut Zusammenfassung von Lexware verbindlich seit dem 12. September 2025 in allen Mitgliedstaaten. Sein Ziel unterscheidet ihn grundlegend von der DSGVO: Während die DSGVO regelt, wie personenbezogene Daten geschützt werden, geht es beim Data Act darum, wer Daten nutzen darf – vor allem die Daten, die vernetzte Produkte und Maschinen erzeugen. Die EU will damit ein altes Ärgernis auflösen: dass die Daten smarter Geräte bislang faktisch dem Hersteller gehörten und niemand sonst herankam.

Für dich als Agentur sind zwei Bereiche relevant, der Rest betrifft eher Industrie und Maschinenbauer. Erstens die Regeln für Cloud- und Hosting-Anbieter, die deinen Arbeitsalltag berühren. Zweitens die Rolle als Ratgeber für Kunden, die vernetzte Produkte verkaufen oder Software mit Datenzugriff betreiben. Beides gehen wir durch.

Der Stichtag 12. September 2026: Access by Design

Der Aktualitätsanker ist ein Datum. Ab dem 12. September 2026 müssen neu auf den Markt gebrachte vernetzte Produkte den sogenannten „Access by Design" ermöglichen – also von vornherein einen sicheren, direkten Zugang zu den erzeugten Daten bieten (Art. 3 Abs. 1 Data Act). Nutzer sollen an „ihre" Gerätedaten kommen, ohne beim Hersteller betteln zu müssen. Wichtig für die Einordnung: Diese Pflicht gilt nur für Produkte, die nach diesem Datum in Verkehr gebracht werden. Bestehende Geräte müssen nicht nachgerüstet werden.

Was heißt das konkret? Wenn ein Kunde von dir eine smarte Maschine, ein IoT-Gerät oder ein vernetztes Produkt herstellt und verkauft, muss die begleitende Software oder App künftig so gebaut sein, dass der Käufer die anfallenden Daten abrufen kann. Nach Art. 4 Abs. 1 müssen diese Daten „unverzüglich, einfach, sicher, unentgeltlich" und in gängigen, maschinenlesbaren Formaten bereitstehen. Für den klassischen Broschüren- oder Shop-Kunden ändert sich hier nichts. Baust du hingegen für einen Kunden ein Dashboard, das Sensordaten einer vernetzten Anlage einsammelt und anzeigt, dann ist das genau der Punkt, an dem „Access by Design" zur Anforderung im Lastenheft wird.

Neu ist auch, dass Nutzer verlangen können, ihre Gerätedaten an Dritte weiterzugeben – etwa an einen unabhängigen Wartungsdienst statt an den Originalhersteller (Art. 5 Abs. 1 Data Act). Für dich wird das interessant, wenn ein Kunde genau so ein Drittanbieter sein will: Er könnte künftig auf Datenströme zugreifen, die ihm bisher verschlossen blieben, und darauf ein neues Service-Angebot aufbauen. Dateninhaber dürfen dafür eine angemessene Gegenleistung verlangen – von Kleinst- und Kleinunternehmen jedoch nicht.

Ein Detail solltest du kennen, weil es die Aufregung dämpft: Kleinst- und Kleinunternehmen sind von den Datenherausgabepflichten weitgehend ausgenommen. Als kleines Unternehmen gilt nach der Definition, wer weniger als 50 Beschäftigte und höchstens 10 Millionen Euro Jahresumsatz hat. Viele deiner Kunden – und sehr wahrscheinlich deine eigene Agentur – fallen darunter. Mittlere Unternehmen bekommen eine Übergangsfrist; ihre Pflichten setzen ebenfalls ab September 2026 ein.

Cloud-Wechsel: der Teil, der deinen Alltag verändert

Der praktisch wichtigste Teil des Data Act für kleine Agenturen ist ein anderer: die Regeln für den Wechsel zwischen Cloud-Anbietern. Wer schon einmal versucht hat, das Hosting eines Kunden von einem Anbieter zum nächsten umzuziehen, kennt die üblichen Bremsen – proprietäre Formate, unklare Exportwege und mitunter happige Gebühren fürs Gehen.

Genau hier setzt der Data Act an. Er verpflichtet Cloud- und Hosting-Anbieter, den Wechsel zu einem anderen Dienst aktiv zu ermöglichen: Daten müssen in gängigen, strukturierten Formaten exportierbar sein, und vertragliche wie technische Hürden sollen fallen. Der spürbarste Hebel sind die Wechselgebühren. Laut Analyse von fragHugo dürfen Anbieter bis zum 12. Januar 2027 nur noch kostendeckende Entgelte für den Wechsel verlangen; ab dem 12. Januar 2027 sind Wechselgebühren dann ganz verboten. Berechtigte Zusatzleistungen wie eine begleitete Migration bleiben davon unberührt und dürfen weiter in Rechnung gestellt werden.

Für dich bedeutet das dreierlei. Erstens sinkt das Risiko des Anbieter-Lock-ins, das dich bislang von Wechseln abgehalten hat – ein Argument, das du bei der Auswahl von Hosting für Neukunden einpreisen kannst. Zweitens wird der Umzug selbst günstiger, was gerade bei kleinen Budgets zählt. Und drittens ist genau das ein Verkaufsargument: Du kannst Kunden aktiv anbieten, ihr Setup zu prüfen und sie – jetzt zu besseren Konditionen – auf ein passenderes oder europäisches Hosting zu bringen. Wer ohnehin über Datensouveränität und die Abhängigkeit von US-Clouds nachdenkt, findet im Data Act einen zusätzlichen Rückenwind, denn leichtere Wechsel machen den Umstieg auf europäische Alternativen realistischer.

Wer überwacht das – und was kostet ein Verstoß?

Auch die Aufsicht ist inzwischen geregelt. In Deutschland wacht die Bundesnetzagentur über die Einhaltung des Data Act, nimmt Beschwerden entgegen und kann Sanktionen verhängen; bei personenbezogenen Daten bleibt die Datenschutzaufsicht zuständig. Die Bußgelder für Standardverstöße reichen laut fragHugo bis zu 500.000 Euro. Überschneidet sich ein Verstoß mit der DSGVO, greifen zusätzlich deren deutlich höhere Rahmen von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes.

Für eine kleine Agentur ist das kein Grund zur Panik, aber ein Grund zur Sorgfalt: Wenn du für einen Kunden Software mit Datenzugriff baust oder ein vernetztes Produkt begleitest, gehört die Data-Act-Konformität in die Anforderungen – ähnlich, wie du DSGVO-Themen längst mitdenkst. Wie beim AI Act und dessen verschobenen Fristen gilt: Der Teufel steckt in den Details des Einzelfalls.

Was du deinen Kunden jetzt sagen kannst

Die meisten Kundenanrufe zum Data Act lassen sich mit ein paar klaren Sätzen beruhigen. Für einen typischen Handwerksbetrieb, eine Kanzlei oder einen kleinen Shop ohne vernetzte Produkte ändert sich durch den 12. September 2026 nichts an der Website. Wer selbst als Kleinunternehmen einzustufen ist, ist von den Datenherausgabepflichten ohnehin weitgehend befreit. Und wer ein vernetztes Produkt neu auf den Markt bringt, sollte den Datenzugang von Anfang an mitplanen – das ist, wie es die Fachwelt formuliert, eine Konstruktionsfrage und keine, die man nachträglich per Marketing löst.

Daraus ergibt sich ein konkretes Vorgehen für deine Agentur. Sichte bei aktiven Projekten, ob irgendwo Daten aus vernetzten Geräten verarbeitet werden – falls ja, gehört Access by Design auf die Agenda. Nimm den Cloud-Wechsel in dein Beratungsangebot auf und weise Kunden darauf hin, dass ein Umzug ab 2027 gebührenfrei wird. Und dokumentiere, welche Dienste in deinen Projekten wo hosten – diese Übersicht hilft dir nicht nur beim Data Act, sondern auch bei Backups und im Ernstfall.

Der rote Faden hinter all dem ist Verlässlichkeit: Kunden wollen wissen, dass ihre Daten ihnen gehören und dass sie den Anbieter wechseln können, ohne gefangen zu sein. Dasselbe Prinzip zieht sich durch moderne, DSGVO-konforme Werkzeuge aus der EU – vom Hosting bis zu einem Chatbot wie Ragnova, der nur belegbare Auskünfte gibt. Der Data Act macht diese Haltung nun zum Gesetz. Wer sie früh in seine Beratung übernimmt, steht beim nächsten Dienstagmorgen-Anruf nicht ratlos da, sondern hat eine Antwort parat.