Wem gehören Ihre Gerätedaten?

Eine Frist in zehn Tagen

Am 12. September 2026 greift der letzte große Baustein des EU Data Act — der Verordnung (EU) 2023/2854. Ab diesem Datum muss jedes vernetzte Produkt, das auf dem europäischen Markt bereitgestellt wird, so konstruiert sein, dass die erzeugten Daten für denjenigen zugänglich sind, der das Gerät nutzt.

Nicht zugänglich auf Anfrage. Nicht zugänglich nach einem Support-Ticket und sechs Wochen Wartezeit. Zugänglich standardmäßig, in einem strukturierten, maschinenlesbaren Format und unentgeltlich.

Der übrige Data Act gilt bereits seit dem 12. September 2025. Neu ist, dass „dafür müssten wir die Firmware neu bauen“ bei neuen Produkten nicht mehr als Argument trägt. Wer nach diesem Datum auf dem EU-Markt bereitstellt, muss den Zugang von vornherein mitdenken.

Was als vernetztes Produkt gilt

Der Anwendungsbereich ist breiter, als die meisten annehmen. Erfasst ist jedes physische Produkt, das Daten über seine eigene Nutzung, seine Leistung oder seine Umgebung erhebt, erzeugt oder sammelt und diese Daten übermittelt — über ein Netz, eine physische Verbindung oder einen Zugriff auf dem Gerät selbst.

In der Praxis heißt das: Industriemaschinen, vernetzte Fahrzeuge, Medizin- und Wellnessgeräte, Wearables, Gebäudeleittechnik, Marineelektronik, Profi-Küchentechnik und eine lange Reihe ganz gewöhnlicher Betriebshardware, die still und leise Telemetrie protokolliert.

Erfasst sind auch verbundene Dienste: die digitale Schicht, die ausdrücklich mit dem Betrieb des Produkts verknüpft ist und dessen Verhalten beeinflussen kann. Ferndiagnose, vorausschauende Wartung, Navigation, Flotten-Dashboards — sie fallen zusammen mit der Hardware in den Anwendungsbereich.

Eine wichtige Grenze: Die Pflicht bezieht sich auf ohne Weiteres verfügbare Roh- und vorverarbeitete Daten. Daten, die Sie durch eigene Investitionen tatsächlich abgeleitet oder erschlossen haben — Scoring-Modelle, Analyseergebnisse, eigenes Know-how —, verlangt die Verordnung nicht heraus.

Was „Zugang durch Technikgestaltung“ konkret verlangt

Artikel 3 Absatz 1 formuliert die Gestaltungsregel: Soweit relevant und technisch durchführbar, müssen Produkt- und Dienstdaten dem Nutzer unmittelbar zugänglich sein — einfach, sicher, umfassend, in einem strukturierten, maschinenlesbaren Format und, wo einschlägig, kontinuierlich und in Echtzeit.

Artikel 3 enthält zudem eine Transparenzpflicht, die vor dem Verkauf wirkt. Käufer müssen vorab erfahren, welche Art, welches Format und welchen Umfang die erzeugten Daten haben, wie der Zugang erfolgt, wer Dateninhaber ist und wie er erreichbar ist, ob Dritte Daten erhalten, wo Beschwerden möglich sind und wie das Verhältnis endet.

Artikel 4 gibt dem Nutzer ein unentgeltliches Zugangsrecht. Artikel 5 erlaubt ihm, den Dateninhaber anzuweisen, die Daten an einen Dritten seiner Wahl weiterzugeben — die Vorschrift, die den Servicemarkt tatsächlich umbauen wird.

Für die meisten Unternehmen ist das weniger eine juristische Formulierungsaufgabe als eine Frage der Technik und der Webentwicklung: eine API, ein Exportweg, ein authentifiziertes Portal und eine ehrliche Dokumentation dessen, was das Gerät aufzeichnet.

Monaco ist nicht in der EU — wen trifft es also

Monaco ist kein EU-Mitgliedstaat, und der Data Act ist kein monegassisches Recht. Auf ein rein inländisches Geschäft zwischen zwei Unternehmen in Monaco findet er keine Anwendung.

Der Anwendungsbereich folgt jedoch dem Markt, nicht dem Hersteller. Erfasst sind vernetzte Produkte und verbundene Dienste, die auf dem Unionsmarkt bereitgestellt werden, unabhängig vom Niederlassungsort des Anbieters. Ein in Monaco eingetragenes Unternehmen, das vernetzte Geräte an Kunden in Frankreich, Italien oder anderswo in der Union verkauft oder vermietet, ist für diese Produkte erfasst.

Sind personenbezogene Daten betroffen, gilt parallel das monegassische Regime nach dem Gesetz Nr. 1.565 vom 3. Dezember 2024 unter Aufsicht der APDP — beide Rahmen stehen nebeneinander und ersetzen einander nicht. Die Bestandsaufnahme, die Sie für die Datenschutz-Compliance ohnehin brauchen, trägt hier den größten Teil des Weges.

Die Sanktionen legen die Mitgliedstaaten fest, nicht die Union zentral. Berührt der Verstoß zugleich personenbezogene Daten, können Aufsichtsbehörden auf Bußgelder in DSGVO-Höhe zurückgreifen — bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes. Das ist eine Obergrenze, keine Prognose, aber es setzt den Ton.

Was die meisten Unternehmen in Monaco übersehen

Wer den Data Act nur als Last liest, übersieht die Hälfte, die für ihn arbeitet. Die meisten Unternehmen im Fürstentum bauen keine Geräte — sie nutzen sie, und die Verordnung macht sie zu Begünstigten.

Denken Sie an das, was ein Betrieb in Monaco ohnehin betreibt: Gebäudeleittechnik und Klimaanlagen, Aufzüge, Ladesäulen, Kassenterminals, Gewerbekälte in der Gastronomie, vernetzte Navigation und Überwachung an Bord eines Schiffs. Jedes dieser Systeme erzeugt Daten, die bislang meist nur in eine Richtung geflossen sind — zum Anbieter, der Ihnen die Auswertung anschließend zurückverkauft.

Seit dem 12. September 2025 können Sie diese Daten bereits einfordern. Ab 2026 müssen neue Geräte so gebaut sein, dass Sie herankommen. Und Artikel 5 erlaubt Ihnen, sie an einen unabhängigen Wartungsdienstleister statt an den Originalanbieter zu leiten. Gerade für Yachting und Immobilien — wo Serviceverträge lang, teuer und schwer kündbar sind — ist das echte Verhandlungsmacht. Unternehmen im Yachting und im vernetzten Anlagengeschäft sollten ihre Lieferantenverträge jetzt prüfen, nicht erst 2027.

Ein weiteres Datum lohnt eine Notiz. Artikel 13 macht einseitig auferlegte, missbräuchliche B2B-Klauseln über Datenzugang und -nutzung unverbindlich. Ab dem 12. September 2027 erfasst diese Kontrolle auch bereits bestehende Langzeitverträge — solche auf unbestimmte Dauer oder mit Laufzeit über Januar 2034 hinaus. Ein heute unterschriebener Vertrag sollte nicht davon ausgehen, dass die Datenklausel des Anbieters in Stein gemeißelt ist.

Was bis zur Frist zu tun ist

Wenn Sie vernetzte Produkte in die EU verkaufen: Erfassen Sie, was Ihre Geräte tatsächlich aufzeichnen, entscheiden Sie, was Rohdaten und was echte Ableitung ist, legen Sie den Zugangsweg fest und schreiben Sie die vorvertragliche Dokumentation neu. Die Technik dauert in aller Regel länger als das Papier.

Wenn Sie vernetzte Geräte einkaufen: Listen Sie Ihre Anbieter auf, fragen Sie jeden schriftlich, wie Sie an Ihre eigenen Daten kommen, und prüfen Sie vor der Verlängerung, was Ihr laufender Vertrag dazu sagt. Allein diese Übung rechnet sich häufig.

In beiden Fällen ist das zuerst eine Frage der Datenarchitektur und erst danach eine juristische — und sie gehört in dieselbe Diskussion wie Ihre übergeordnete Digitalstrategie.

Eine notwendige Einschränkung: Dies ist eine Zusammenfassung, keine Rechtsberatung. Der Data Act greift mit Sektorvorschriften, dem Datenschutzrecht und Ihren eigenen Verträgen auf eine Weise ineinander, die von Ihrem konkreten Sachverhalt abhängt, und die Durchsetzung unterscheidet sich je nach Mitgliedstaat. Wo die Antwort Ihre Produkt-Roadmap oder Ihre Lieferantenbeziehungen berührt, lassen Sie sie von einer qualifizierten Anwältin oder einem qualifizierten Anwalt bestätigen.

Wenn Sie in Monaco vernetzte Produkte bauen, verkaufen oder von ihnen abhängen und nicht sicher sind, auf welcher Seite Sie stehen, nehmen Sie Kontakt auf — wir gehen es gemeinsam durch.