Data Act: Was die neue Konstruktionspflicht von Ihren vernetzten Produkten verlangt

Am 12. September 2026 ist eine Frist abgelaufen, die in vielen mittelständischen Unternehmen bisher wenig Aufmerksamkeit bekommen hat. Seit diesem Tag gilt für vernetzte Produkte, die neu in Verkehr gebracht werden, eine Konstruktionspflicht aus dem EU Data Act: Die Daten, die bei der Nutzung entstehen, müssen von der Konstruktion her zugänglich sein. Nicht auf Anfrage, nicht gegen Gebühr, nicht nur über ein Herstellerportal, sondern als Eigenschaft des Produkts.

In der Fachdiskussion läuft das unter dem Stichwort „Access by Design". Der Heise-Verlag hat dazu bereits im Vorfeld unter dem Titel „Data Act: Access by Design wird ab Herbst 2026 zur Pflicht" berichtet. Das Portal TechZeitGeist fasst die Anforderung in einem Beitrag vom 11. September 2026 so zusammen: Wer ab dem 12. September 2026 ein vernetztes Produkt neu in Verkehr bringt, baut es unter Access by Design, mit strukturierten Daten und sicherer Authentisierung von Anfang an.

Für Geschäftsführer ist das weniger eine juristische als eine produktstrategische Nachricht. Der Data Act entscheidet nicht nur darüber, was Sie herausgeben müssen. Er entscheidet mit darüber, wer künftig am Servicegeschäft rund um Ihre Maschinen verdient.

Wen es trifft und wen nicht

Betroffen sind Hersteller vernetzter Produkte und Anbieter der dazugehörigen Dienste: Maschinen, Anlagen, Fahrzeuge, Gebäudetechnik, Geräte mit Sensorik und Konnektivität. Zwei Abgrenzungen entlasten allerdings deutlich, und beide werden in der Praxis regelmäßig übersehen.

Erstens gilt die Konstruktionspflicht nur für Neues. Laut dem genannten Beitrag von TechZeitGeist vom 11. September 2026 muss die Bestandsflotte niemand pauschal nachrüsten. Wer also seit Jahren Anlagen im Feld hat, steht nicht vor einer flächendeckenden Hardware-Aktion. Das heißt nicht, dass für den Bestand nichts gilt: Auf ohne Weiteres verfügbare Daten haben Nutzer bereits seit dem 12. September 2025 einen Anspruch. Aber die Designpflicht greift für das, was Sie ab jetzt neu auf den Markt bringen.

Zweitens gibt es eine Größenabgrenzung. Eine Übersicht des Vinspire-Blogs, zuletzt aktualisiert am 10. September 2026, nennt Kleinstunternehmen mit weniger als 10 Beschäftigten und unter 2 Millionen Euro Umsatz sowie Kleinunternehmen mit weniger als 50 Beschäftigten und unter 10 Millionen Euro Umsatz als ausgenommen; mittlere Unternehmen erhalten demnach Übergangsfristen, wenn sie die Schwellenwerte erst kürzlich überschritten haben. Prüfen Sie diese Einordnung für Ihr Unternehmen sauber, bevor Sie ein Projekt aufsetzen oder eines für unnötig erklären.

Drei Fragen, die diese Woche auf den Tisch gehören

• Welche unserer Produkte erzeugen im Betrieb Daten und sind vernetzt? Diese Liste existiert in den meisten Unternehmen nicht schriftlich, sondern verteilt in den Köpfen von Entwicklung und Service.
• Welche davon bringen wir nach dem 12. September 2026 neu in Verkehr, und welche laufen als Bestand weiter? An dieser Linie entscheidet sich Aufwand und Dringlichkeit.
• Wer bei uns entscheidet eigentlich, welche Daten zugänglich gemacht werden? Solange das zwischen Entwicklung, Recht, Service und Vertrieb ungeklärt ist, entscheidet am Ende der Zufall, meist kurz vor einem Liefertermin.

Sie brauchen für den Einstieg kein Rechtsgutachten. Sie brauchen drei belastbare Antworten aus Ihrem eigenen Haus:

Der Reflex, der teuer wird

Der typische Fehler ist nicht Untätigkeit, sondern Aktionismus in die falsche Richtung. Sobald das Wort Frist fällt, entsteht in vielen Häusern ein Nachrüstprojekt für alles, was jemals ausgeliefert wurde. Das bindet Entwicklungskapazität, die Sie für die neuen Baureihen brauchen, und es ist, siehe oben, in dieser Breite gar nicht gefordert.

Die zweite Fehlstelle liegt nicht in der Technik, sondern in den Verträgen. Der Data Act adressiert ausdrücklich auch die vertragliche Seite des Datenzugangs, einschließlich missbräuchlicher Klauseln. Ihre Serviceverträge, Lizenzbedingungen und Datenklauseln sind damit genauso Gegenstand der Umsetzung wie Ihre Schnittstellen. Wer nur die Firmware anfasst, ist nicht fertig.

Zur Größenordnung des Risikos: Nach der Darstellung im Guide von activeMind.legal zum Data-Act-Durchführungsgesetz, das der Bundestag am 26. März 2026 beschlossen hat, ist die Bundesnetzagentur für Überwachung und Durchsetzung zuständig, und Verstöße können mit Bußgeldern von bis zu 500.000 Euro belegt werden. Sind personenbezogene Daten betroffen, kommen laut derselben Quelle zusätzlich die Sanktionen der Datenschutz-Grundverordnung in Betracht. Das ist kein Grund zur Panik, aber es ist genug, um die Frage nicht weiter zu vertagen.

Datenzugang ist eine Produktentscheidung, keine Compliance-Übung

Der lohnendere Blick auf die Regelung ist dieser: Sie müssen den Zugang ohnehin bauen. Die einzige offene Frage ist, ob Sie ihn so bauen, dass er nur eine Pflicht erfüllt, oder so, dass er ein Angebot wird.

Wenn Kundendaten sauber, strukturiert und authentifiziert abrufbar sind, wird aus dem Pflichtinterface eine Schnittstelle, an die sich Ihre eigenen Analyse-, Wartungs- und Verbrauchsdienste andocken lassen. Genau hier entscheidet sich, ob Ihr Kunde für die Auswertung seiner Maschinendaten künftig zu Ihnen geht oder zu einem Dritten, der die Daten nun ebenfalls anfordern darf.

Ein praktischer Hinweis zur Umsetzung: Der Maschinenbau arbeitet an genau dieser Standardisierung seit Jahren. Ein Bericht des Fachmagazins Produktion vom 12. September 2025 verweist auf über 60 Companion Specifications, die der VDMA in mehr als 40 Arbeitskreisen mit über 700 Unternehmen zu OPC UA erarbeitet hat. Bevor Sie ein eigenes Datenmodell entwerfen, lohnt der Blick darauf, ob es für Ihre Produktgattung bereits eines gibt.

Halten Sie die Entscheidung fest, nicht nur das Ergebnis

Umsetzungsprojekte dieser Art haben eine unangenehme Eigenschaft: Die teuren Festlegungen fallen früh, und niemand erinnert sich später daran, warum. Welche Datenfelder haben wir als zugänglich definiert und welche nicht? Welche Baureihe haben wir als Bestand eingestuft? Wer hat das entschieden, auf welcher Annahme, mit welchem geschätzten Aufwand?

Halten Sie zu jeder dieser Festlegungen drei Dinge schriftlich fest: das Datum, die Annahme, auf der sie beruht, und die Person, die sie verantwortet. Wenn in zwei Jahren ein Kunde, ein Wettbewerber oder eine Behörde nachfragt, ist der Unterschied zwischen einer nachvollziehbaren und einer unbelegten Entscheidung erheblich. Und wenn sich eine Annahme als falsch erweist, sehen Sie sofort, welche anderen Festlegungen daran hängen.

Genau dafür führt ChiefBoard ein Entscheidungs-Ledger: Jede Festlegung wird mit Annahmen, geschätzten Kosten und erwartetem Nutzen dokumentiert, und Szenarien lassen sich durchrechnen, bevor Entwicklungskapazität gebunden wird. Ob Sie das mit einem Werkzeug oder mit einer disziplinierten Tabelle lösen, ist zweitrangig. Dass Sie es in den nächsten Wochen überhaupt tun, ist es nicht.