EU DATA ACT

Datenzugangsrechte · Vertragsrealität · Geschäftsgeheimnisse · Branchenprofile

Vorbemerkung

Diese Leitfadenreihe ist aus einer spezifischen Perspektive heraus geschrieben: der einer General Counsel / Senior Vice President, die über viele Jahre in leitender Inhouse-Funktion in regulierten Unternehmen gearbeitet hat – in der Schweiz und in der EU. Die Autorin verfügt über eine juristische und betriebswirtschaftliche Ausbildung in der Schweiz und in Deutschland sowie über langjährige operative Erfahrung als interne Rechts- und Compliance-Verantwortliche in internationalen Konzernen und KMU-Umfeldern.

Diese Kombination – juristische Tiefe, operatives Management-Know-how und direkte Erfahrung mit den Realitäten von Lieferketten, Vertragsverhandlungen und Aufsichtsbehörden – ist der Grund, warum die Texte so geschrieben sind, wie sie sind: nicht als formale Gesetzeskommentare, sondern als Arbeitsinstrumente. Sie richten sich gleichzeitig an Führungskräfte, die schnell einordnen müssen, was eine Regulierung für ihr Unternehmen bedeutet, und an Fachabteilungen, die wissen müssen, was operativ zu tun ist.

Der interdisziplinäre Ansatz ist bewusst: Digitale Regulierung berührt gleichzeitig IT, Recht, Procurement, Geschäftsführung, HR und Lieferkette. Eine Perspektive, die nur eine dieser Dimensionen kennt, liefert unvollständige Antworten. Die Leitfäden versuchen, alle relevanten Dimensionen gleichzeitig zu adressieren – mit dem Bewusstsein, dass in der Praxis selten ein Team allein zuständig ist und die wirklichen Herausforderungen meistens an den Schnittstellen entstehen.

Die Perspektive «Schweizer KMU im EU-Kontext» ist nicht zufällig. Sie spiegelt langjährige Arbeit an der Schnittstelle zwischen Schweizer Geschäftspraxis und europäischem Regulierungsrahmen: die Erfahrung, was es konkret bedeutet, wenn ein EU-Kundenvertrag plötzlich DORA-Klauseln enthält, wenn ein Procurement-Fragebogen AI-Act-Anforderungen stellt oder wenn ein Lieferant keine NIS2-konformen Sicherheitsnachweise liefern kann. Diese Leitfäden sind aus genau diesen Situationen heraus entstanden – nicht aus dem Lesen von Gesetzestexten, sondern aus der Erfahrung ihrer Auswirkungen.

Vorwort: Warum der Data Act anders ist als NIS2 oder AI Act

Der Data Act (seit September 2025 wirksam) ist kein Sicherheits- oder KI-Regulierungsrahmen. Er ist ein Datenwirtschaftsgesetz: Er bestimmt, wer auf welche Daten zugreifen darf, zu welchen Bedingungen, und wie Macht über Daten in Wertschöpfungsketten verteilt wird.

Für Schweizer KMU ist das auf den ersten Blick abstrakt. In der Praxis bedeutet es: Ihre Kunden bekommen neue Rechte auf Daten, die Ihre Produkte erzeugen. Und Ihre eigenen Rechte gegenüber Plattformen und Cloud-Anbietern werden stärker.

1. Bin ich betroffen? – Entscheidungslogik

Der Data Act hat mehrere Anwendungsbereiche. Bevor Sie weiterlesen, klären Sie, welcher auf Sie zutrifft.

1.1 Der Schnelltest

1.2 Was der Data Act regelt – und was nicht

2. Was wird konkret von mir verlangt?

2.1 Hersteller vernetzter Produkte: Datenzugang für Nutzer

Wenn Ihr Produkt Daten über seine Nutzung erzeugt, hat der Nutzer – Konsument oder Unternehmen – ein Recht auf Zugang zu diesen Daten. Das ist keine Kann-Bestimmung.

Was Sie technisch implementieren müssen:

API oder Schnittstelle: Der Datenzugang muss programmatisch möglich sein. Eine manuelle Datenexport-Funktion reicht für industrielle Produkte nicht.

Datenformat: Strukturiert und maschinenlesbar (JSON, CSV, standardisierte Formate). Proprietäre Formate sind problematisch.

Echtzeit-Fähigkeit: Für industrielle Geräte erwartet der Data Act Echtzeit- oder Nahezeit-Zugang. Tagesexporte sind kein Echtzeit.

Transparenz: Nutzer müssen bei Produktkauf informiert werden, welche Daten erzeugt werden und wie sie darauf zugreifen können.

2.2 Verbundene Dienstleister: Datenzugang auf Ihr Service-Backend

Wenn Ihr digitaler Dienst Daten erzeugt, die mit einem vernetzten Gerät zusammenhängen, gelten dieselben Datenzugangsrechte wie für den Gerätehersteller. Das betrifft insbesondere Cloud-Backends, Apps und Analyseplattformen.

Nutzungsdaten Ihrer App oder Ihres Services: Wenn ein Nutzer Ihre Software auf seinem Gerät betreibt und Daten entstehen, die seinen Betrieb beschreiben, hat er darauf Zugangsrecht.

Weiterleitung an Dritte: Der Nutzer darf die Daten an Wettbewerber Ihrer Dienstleistung weitergeben. Sie dürfen das nicht vertraglich verbieten.

Keine Zweckbindung gegen den Nutzer: Sie dürfen die Daten nicht so einsetzen, dass sie den Nutzer benachteiligen oder seine Wechselentscheidung beeinflussen.

2.3 Cloud-Anbieter: Switching und Portabilität

Der Data Act verpflichtet Cloud-Anbieter, Anbieterwechsel zu erleichtern. Das ist direkt relevant für Schweizer Cloud- und SaaS-Anbieter mit EU-Kunden.

2.4 Datenempfänger: B2B-Datenteilung

Wenn Sie Daten von EU-Partnern empfangen, die diese auf Basis des Data Acts mit Ihnen teilen müssen, gelten für Sie als Empfänger ebenfalls Regeln.

Faire Bedingungen: Sie dürfen die Daten nur für den vereinbarten Zweck nutzen.

Keine Weitergabe ohne Zustimmung: Empfangene Daten dürfen nicht ohne Genehmigung an Dritte weitergegeben werden.

Geschäftsgeheimnisse schützen: Sie müssen technische Maßnahmen ergreifen, um Geschäftsgeheimnisse des Datenlieferanten zu schützen.

Keine Nutzung zur Konkurrenz: Empfangene Daten dürfen nicht genutzt werden, um direkt mit dem Datenlieferanten zu konkurrieren.

3. Was können Sie gegenüber Plattformen und Kunden einfordern?

Dieser Abschnitt ist der meistübersehene Teil des Data Acts: Er gibt Schweizer KMU nicht nur Pflichten, sondern auch neue Rechte – insbesondere gegenüber großen Plattformen und Cloud-Anbietern.

3.1 Ihre neuen Rechte gegenüber Plattformen

3.2 Vertragsklauseln: Verhandlungslinien

Datenzugangsklauseln in Ihren Produktverträgen

Cloud-Verträge: Switching und Exit

Geschäftsgeheimnisschutz bei Datenteilung

4. Die fünf häufigsten Fehler in der Praxis

Fehler 1: Data Act und GDPR verwechseln

Der häufigste Fehler: KMU behandeln den Data Act wie einen Datenschutzrahmen. Das ist falsch. Der Data Act regelt wirtschaftliche Datenzugangsrechte – auch für Maschinen- und Betriebsdaten, die keine personenbezogenen Daten sind. GDPR-Compliance schützt Sie nicht vor Data-Act-Pflichten.

Fehler 2: Datenzugang als rein technische Frage behandeln

'Wir bauen eine API' – und dann ist die Compliance-Abteilung entlassen. Der Data Act ist aber auch eine Geschäftsmodell-Frage: Wer hat Zugang zu den Daten, die Ihre Produkte erzeugen? Könnten Kunden diese Daten nutzen, um Ihre Dienstleistung durch einen Wettbewerber zu ersetzen? Das ist kein Bug des Data Acts, das ist seine Absicht.

Fehler 3: Geschäftsgeheimnisse nicht aktiv schützen

Der Data Act erlaubt es Unternehmen, Datenzugangsanfragen abzulehnen oder einzuschränken, wenn Geschäftsgeheimnisse betroffen sind – aber nur wenn diese Geheimnisse auch nachweisbar geschützt wurden. Wer keine technischen und organisatorischen Maßnahmen zum Schutz seiner Geheimnisse implementiert hat, verliert diese Schutzposition.

Fehler 4: Cloud-Verträge nicht überprüfen

Viele bestehende Cloud-Verträge enthalten Klauseln, die mit dem Data Act nicht vereinbar sind – insbesondere zu Dateneigentum, Portabilität und Wechselgebühren. Diese Verträge müssen aktiv überprüft und angepasst werden. Warten auf Vertragsablauf ist eine Strategie, aber keine gute.

Fehler 5: B2G-Datenzugang ignorieren

Der Data Act erlaubt Behörden in bestimmten Situationen (Krisensituationen, öffentliches Interesse), Datenzugang von Unternehmen zu verlangen. Das wird selten diskutiert, aber es ist relevant für Unternehmen in kritischen Sektoren. Wer darauf nicht vorbereitet ist, hat im Krisenfall keine geordneten Prozesse.

5. Branchenprofile: Was bedeutet das konkret für Sie?

Profil A: Schweizer Hersteller von Industriemaschinen mit Cloud-Connectivity

Profil B: Schweizer SaaS-Anbieter mit EU-Unternehmenskunden

Profil C: Schweizer Agrartechnik-Unternehmen mit IoT-Sensorik

Profil D: Schweizer Energieversorger oder Gebäudetechnik-Anbieter

6. Data Act im Zusammenspiel mit GDPR, AI Act und NIS2

7. Was Sie jetzt tun – priorisiert

Kontakt & weitere Informationen