Data Act-Durchführungsgesetz: Neue Dokumentationspflichten für vernetzte Produkte ab 2026

Ein neues Gesetz, das viele Unternehmen noch nicht auf dem Schirm haben

Waehrend sich die meisten deutschen Unternehmen 2026 auf E-Rechnung und GoBD konzentrieren, ist mit dem Data Act-Durchfuehrungsgesetz (DADG) eine ganz andere Pflicht in Kraft getreten, die viele kalt erwischt. Sie betrifft nicht die Buchhaltung, sondern jedes Unternehmen, das vernetzte Produkte herstellt, verkauft, vermietet oder betreibt: Maschinen mit Sensoren, smarte Geraete, vernetzte Fahrzeuge, IoT-Anlagen in der Produktion oder digitale Dienste, die zusammen mit einem Produkt genutzt werden. Grundlage ist die EU-Verordnung 2023/2854, der sogenannte Data Act, die seit dem 12. September 2025 EU-weit unmittelbar gilt. Das deutsche Ausfuehrungsgesetz dazu, offiziell das Gesetz zur Durchfuehrung des Data Act, wurde am 26. Maerz 2026 vom Bundestag verabschiedet und am 29. Mai 2026 im Bundesgesetzblatt verkuendet (BGBl. 2026 I Nr. 157). In Kraft trat es am 30. Mai 2026.

Was der Data Act konkret verlangt

Der Data Act regelt, wer auf welche Daten zugreifen darf, die bei der Nutzung vernetzter Produkte und verbundener Dienste entstehen. Hersteller und Verkaeufer solcher Produkte muessen Nutzerinnen und Nutzern schon vor Vertragsschluss klar und verstaendlich mitteilen, welche Datenkategorien anfallen, wie diese verarbeitet werden und ob sie an Dritte weitergegeben werden. Ist ein Unternehmen gesetzlich verpflichtet, Daten an einen Datenempfaenger bereitzustellen, muss dies zu fairen, angemessenen und nicht diskriminierenden Bedingungen geschehen, den sogenannten FRAND-Bedingungen. Betroffen sind laengst nicht nur Software- und Tech-Firmen, sondern ausdruecklich auch die verarbeitende Industrie, die Bauwirtschaft, Energieversorger, Transportunternehmen und Dienstleister, die vernetzte Anlagen einsetzen oder verkaufen.

Bußgeldkatalog: bis zu 5 Millionen EUR oder 2 Prozent des Umsatzes

Das DADG bestimmt die Bundesnetzagentur als zentrale Durchsetzungsbehoerde fuer die meisten Data-Act-Pflichten, waehrend der Bundesbeauftragte fuer den Datenschutz und die Informationsfreiheit (BfDI) fuer den Umgang mit personenbezogenen Daten zustaendig bleibt. Im parlamentarischen Verfahren wurde der urspruenglich schaerfere Bußgeldkatalog aus dem Regierungsentwurf zwar entschaerft, sodass Sanktionen in der Regel nur bei vorsaetzlichen Verstoessen greifen. Dennoch bleibt der Rahmen erheblich: Die Stufen reichen von 50.000 EUR ueber 100.000 EUR und 500.000 EUR bis zu 5 Millionen EUR, alternativ bis zu 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag hoeher ist. Fuer die Produktgestaltung selbst, also die technische Verpflichtung, Daten zugaenglich zu machen, laeuft noch eine Uebergangsfrist bis zum 12. September 2026. Wer bis dahin keine Nachweise ueber Umsetzung und Vorbereitung vorlegen kann, geht bei einer Pruefung durch die Bundesnetzagentur ein reales Risiko ein.

Welche Dokumente jetzt neu entstehen

Fuer die Dokumentenverwaltung im Unternehmen bedeutet der Data Act vor allem eines: Es entsteht eine ganze Kategorie neuer Nachweise, die bislang nicht systematisch erfasst wurde. Dazu zaehlen insbesondere:

• Vorvertragliche Informationsblaetter zu vernetzten Produkten, die belegen, welche Datenkategorien beschrieben wurden
• Datenbereitstellungsvertraege mit Datenempfaengern samt Nachweis der FRAND-konformen Konditionen
• Interne Protokolle ueber Anfragen von Nutzern oder Dritten auf Datenzugang und deren Beantwortung
• Technische Nachweise zur produktseitigen Umsetzung der Zugaenglichkeitspflichten vor Ablauf der Uebergangsfrist
• Korrespondenz mit der Bundesnetzagentur im Fall von Beschwerden oder Auskunftsersuchen

Diese Unterlagen sind rechtlich relevant, weil im Streitfall oder bei einer Pruefung genau nachvollziehbar sein muss, wann welche Information wem gegeben wurde und zu welchen Bedingungen Daten bereitgestellt wurden. Anders als bei klassischen Buchhaltungsbelegen gibt es fuer diese Dokumente noch keine etablierte Aufbewahrungspraxis, was in vielen Unternehmen aktuell zu einem unstrukturierten Sammelsurium aus E-Mails, Vertragsanhaengen und internen Notizen fuehrt.

Wer besonders schnell handeln sollte

Besonders betroffen sind Maschinenbauer, Anlagenbetreiber, Hersteller vernetzter Konsumguetern, Flottenbetreiber mit vernetzten Fahrzeugen sowie Anbieter industrieller IoT-Plattformen. Aber auch mittelstaendische Zulieferer, die Sensorik oder Steuerungssoftware in fremde Produkte integrieren, koennen als Dateninhaber im Sinne des Gesetzes gelten und damit selbst zur Bereitstellung verpflichtet sein. Wer bislang davon ausgegangen ist, der Data Act betreffe nur grosse Plattformkonzerne, sollte die eigene Produktpalette pruefen: Entscheidend ist nicht die Unternehmensgroesse, sondern ob ein Produkt Daten erzeugt, die ueber eingebettete Sensorik, Software oder verbundene Dienste zugaenglich sind.

Was jetzt zu tun ist

Bis zum Ende der Uebergangsfrist am 12. September 2026 bleibt wenig Zeit, um Prozesse und Nachweise zu ordnen. Sinnvoll ist ein zentrales Verzeichnis, in dem vorvertragliche Informationsblaetter, Datenbereitstellungsvertraege und die Korrespondenz mit Aufsichtsbehoerden pro Produktlinie zusammengefuehrt werden, statt verstreut in einzelnen Postfaechern oder auf lokalen Laufwerken zu liegen. Wer schon heute ein Dokumentenmanagementsystem einsetzt, sollte pruefen, ob sich fuer Data-Act-relevante Unterlagen eine eigene Kategorie mit klaren Zugriffsrechten und Versionsverlauf einrichten laesst, damit im Fall einer Anfrage der Bundesnetzagentur oder eines Datenempfaengers innerhalb weniger Minuten belastbar nachgewiesen werden kann, welche Informationen wann bereitgestellt wurden.