Der EU Data Act ist längst anwendbar – nun ist geklärt, welche Behörden ihn in Deutschland durchsetzen und was es kostet, wenn man dessen Vorgaben ignoriert.
Kurz zusammengefasst
- Am 26. März 2026 hat der Bundestag das DADG verabschiedet; in Kraft ist es seit dem 30. Mai 2026.
- An den materiellen Vorgaben ändert sich nichts – Datenzugang, Bereitstellungspflichten und die Vorgaben zum Cloud-Wechsel folgen bereits seit dem 12. September 2025 unmittelbar aus dem EU Data Act.
- Das DADG betrifft allein den Vollzug: Behördenzuständigkeit, Beschwerdeweg und Sanktionen.
- Als zentrale Behörde fungiert die Bundesnetzagentur; berührt ein Fall zugleich den Datenschutz, tritt ausnahmsweise die BfDI hinzu.
- Der Bußgeldrahmen reicht bis 5 Mio. Euro; im Gesetzgebungsverfahren sank die Zahl der Tatbestände von 35 auf 27.
Der Bundestag verabschiedete das Data-Act-Durchführungsgesetz (DADG) am 26. März 2026. Die Verkündung im Bundesgesetzblatt erfolgte am 29. Mai 2026, seit dem 30. Mai 2026 gilt es. Deutschland kam damit – rund neun Monate zu spät – der Vorgabe des Data Act nach, nationale Vollzugsregeln zu erlassen (Art. 40 Data Act).
Was regelt das DADG?
Der Gesetzgeber hat das Regelwerk bewusst knapp gehalten; sein Kern umfasst im Wesentlichen:
- die Behördenzuständigkeit (§§ 2, 3 DADG): Die BNetzA wird als zuständige Stelle und zentrale Anlaufstelle für Vollzug, Aufsicht und Durchsetzung bestimmt;
- die Ermittlungs- und Durchsetzungsbefugnisse der zuständigen Behörde (§§ 7–12 DADG): Sie darf Untersuchungen anstellen, Auskünfte einfordern, vorläufige Anordnungen erlassen und die Data-Act-Pflichten durchsetzen – bis hin zu Zwangsgeldern von 500.000 €;
- die Zulassung und Beaufsichtigung außergerichtlicher Streitbeilegungsstellen (Art. 10 Data Act), die etwa Streit über Datenzugang und -bereitstellung beilegen (Art. 5 DADG);
- die elektronische Kommunikation der Behörde und ihre Information der Öffentlichkeit (§§ 13, 14 DADG);
- die Bußgelder, die bei Verstößen verhängt werden können (§§ 15, 16 DADG).
Hinzu tritt eine urheberrechtliche Anpassung: Nach Art. 2 des Gesetzes findet der besondere Datenbankschutz (§ 87b UrhG) keine Anwendung, soweit Daten aus einem vom Data Act erfassten vernetzten Produkt oder verbundenen Dienst stammen. Der Datenbankschutz kann die neuen Zugangsrechte damit nicht unterlaufen.
Welche Behörde ist zuständig?
Im Zentrum steht die Bundesnetzagentur (BNetzA). Als einzige zuständige Behörde im Sinne des Art. 37 Abs. 1 Data Act vereint sie mehrere Funktionen in einer Hand:
- erste Anlaufstelle für sämtliche Fragen rund um den Data Act,
- Beschwerdestelle im Sinne des Art. 38 Data Act,
- Zulassungsstelle für die Streitbeilegungsstellen,
- prüfende Stelle für Datenverlangen von Bundesbehörden nach Kapitel V Data Act sowie
- Verfolgungsbehörde für Ordnungswidrigkeiten (§ 36 Abs. 1 Nr. 1 OWiG).
Für personenbezogene Daten gilt eine Sonderregel. Zuständig ist hier nicht die andernfalls nach § 40 BDSG berufene Landesdatenschutzbehörde, sondern – auch gegenüber privaten Unternehmen – die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI). Verfahrensrechtlich läuft das mehrstufig ab: Die BNetzA bearbeitet den Vorgang, zieht bei datenschutzrechtlichem Bezug die BfDI hinzu und ist an deren Einschätzung gebunden; angreifbar ist die datenschutzrechtliche Beurteilung nur im Verbund mit der Gesamtentscheidung der BNetzA. Politisch war diese Zentralisierung umkämpft – Bundesrat und Landesdatenschutzbehörden hätten die Kompetenz lieber bei den Ländern gesehen –; sie soll eine einheitliche Aufsicht gewährleisten und doppelte Verfahren verhindern.
Welche Bußgelder sind vorgesehen?
Der Katalog der Geldbußen findet sich in § 15 DADG. Die Höchstbeträge sind nach der Schwere des Verstoßes abgestuft – in vier Stufen zwischen 50.000 Euro und 5 Millionen Euro. Die nachstehende Übersicht ordnet die 27 Tatbestände thematischen Verstoßgruppen zu und weist zu jeder Pflicht den maximalen Bußgeldrahmen aus.
| Norm Data Act | Pflicht (verkürzt) | Max. Bußgeld |
|---|---|---|
| Gruppe 1 – Datenzugang und Datenbereitstellung | ||
| Art. 3 Abs. 1 | Produkte und Dienste so ausgestalten, dass die Daten zugänglich sind | bis 500.000 € |
| Art. 4 Abs. 1 S. 1 / Art. 5 Abs. 1 S. 1 | Daten dem Nutzer oder einem Dritten zur Verfügung stellen | bis 500.000 € |
| Art. 4 Abs. 5 S. 1 / Art. 5 Abs. 4 S. 1 | Vom Nutzer keine unzulässigen Angaben einfordern | bis 50.000 € |
| Art. 4 Abs. 8 S. 2 / Art. 5 Abs. 11 S. 2 | Verweigerte Datenweitergabe nachweisen | bis 50.000 € |
| Art. 9 Abs. 7 | Über die Verhandlung zur Gegenleistung unterrichten | bis 50.000 € |
| Gruppe 2 – Zweckbindung und Nutzungsschranken | ||
| Art. 4 Abs. 10 | Daten nicht unbefugt nutzen oder weiterreichen (Nutzer) | bis 500.000 € |
| Art. 4 Abs. 13 S. 2 / Art. 5 Abs. 6 | Keine Rückschlüsse auf die wirtschaftliche Situation des Dateninhabers ziehen | bis 500.000 € |
| Art. 6 Abs. 2 lit. c, d | Erhaltene Daten nicht an weitere Dritte weiterreichen | bis 500.000 € |
| Art. 6 Abs. 2 lit. e | Erhaltene Daten nicht für Konkurrenzprodukte verwenden | bis 500.000 € |
| Art. 6 Abs. 1 S. 1 | Daten ausschließlich zu den vereinbarten Zwecken verarbeiten | bis 100.000 € |
| Art. 6 Abs. 1 S. 2 | Nicht länger benötigte Daten löschen | bis 100.000 € |
| Art. 6 Abs. 2 lit. b | Keine Verwendung zu Profiling-Zwecken | bis 100.000 € |
| Gruppe 3 – Schutz des Nutzers und Missbrauchsverbote | ||
| Art. 5 Abs. 3 lit. a, b | Gatekeeper: Nutzer weder zur Datenweitergabe drängen noch durch Anreize dazu verleiten | bis 5 Mio. € / 2 % |
| Art. 4 Abs. 14 S. 1 | Produktdaten nicht an Gatekeeper übermitteln | bis 100.000 € |
| Art. 6 Abs. 2 lit. h | Nutzer bei der Datenweitergabe nicht behindern | bis 100.000 € |
| Art. 11 Abs. 1 S. 2 | Datenempfänger gleich behandeln | bis 100.000 € |
| Gruppe 4 – Wechsel von Datenverarbeitungsdiensten (Cloud) | ||
| Art. 23 S. 2 | Keine Hindernisse für den Anbieterwechsel errichten | bis 100.000 € |
| Art. 30 Abs. 2 S. 1 | Schnittstellen für den Cloud-Wechsel vorhalten | bis 100.000 € |
| Art. 30 Abs. 3 | Kompatibilität sicherstellen (binnen 12 Monaten nach Spezifikation) | bis 100.000 € |
| Art. 31 Abs. 3 | Kunden informieren | bis 100.000 € |
| Art. 25 Abs. 1 S. 2 i. V. m. Abs. 2, 3 | Vertrag über den Cloud-Wechsel zur Verfügung stellen | bis 50.000 € |
| Art. 26 | Aufklärung bei Vertragsschluss (Cloud-Dienste) | bis 50.000 € |
| Art. 30 Abs. 5 | Beim Cloud-Wechsel den Datenexport gewährleisten | bis 50.000 € |
| Gruppe 5 – Behördliche Anordnungen, Geschäftsgeheimnisse und Mitteilungspflichten | ||
| Art. 11 Abs. 2 | Aufforderungen der Behörde nachkommen | bis 100.000 € |
| Art. 14 | Anordnungen zum Schutz von Geschäftsgeheimnissen beachten | bis 100.000 € |
| § 9 Abs. 3 DADG | Vollziehbaren Durchsetzungsanordnungen der BNetzA Folge leisten | bis 100.000 € |
| § 5 Abs. 2 S. 3 DADG | Änderungen bei Streitbeilegungsstellen der BNetzA anzeigen | bis 100.000 € |
| Art. 4 Abs. 7 S. 2 / Art. 5 Abs. 10 S. 2 / Art. 25 Abs. 4 S. 1 / Art. 32 Abs. 5 | Mitteilungspflichten (Ablehnung, Wechsel, Übermittlung in Drittländer) | bis 50.000 € |
| Gruppe 6 – Vertreter nicht in der Union niedergelassener Anbieter | ||
| Art. 37 Abs. 11 | Einen Vertreter benennen | bis 50.000 € |
| Art. 37 Abs. 12 S. 1 | Einen Vertreter bestellen | bis 50.000 € |
Übersteigt der weltweite Jahresumsatz eines Unternehmens 250 Mio. Euro, tritt in der obersten Stufe an die Stelle des Betrags von 5 Mio. Euro eine umsatzbezogene Obergrenze von bis zu 2 % des Gesamtumsatzes.
Welche Pflichten bleiben bußgeldfrei?
Der Katalog des § 15 DADG ist abschließend gefasst. Etliche Pflichten des Data Act hat der Gesetzgeber bewusst von einer Bußgeldbewehrung ausgenommen. Nicht erfasst sind namentlich:
- die vorvertraglichen Informationspflichten nach Art. 3 Abs. 2 und 3 Data Act – jene Angaben zu Art und Umfang der Daten, die dem Nutzer bereits vor Vertragsschluss zu machen sind,
- die Pflichten zur Unterrichtung der Behörde (Art. 4 Abs. 7 S. 3, Art. 5 Abs. 10 S. 3, Art. 4 Abs. 8 S. 3, Art. 5 Abs. 11 S. 3 Data Act),
- die Regelung zur Datennutzung in Art. 4 Abs. 13 S. 1 Data Act,
- das Verwendungsverbot des Art. 6 Abs. 2 lit. f Data Act,
- das Verbot, technische Schutzmaßnahmen zu verändern (Art. 11 Abs. 1 S. 3 Data Act),
- die Informationspflichten für Cloud-Dienste nach Art. 28 Abs. 1 und 2 Data Act sowie
- die Vorgaben zu intelligenten Verträgen aus Art. 36 Abs. 1 Data Act.
Inhaltlich bestehen diese Pflichten fort; allein die Sanktion durch Bußgeld entfällt. Erzwingen lassen sie sich weiterhin über die Anordnungsbefugnisse der BNetzA sowie auf zivilrechtlichem Weg (dazu sogleich).
Mehr als das Bußgeld: weitere Folgen eines Verstoßes
Ein Verstoß gegen den Data Act zieht nicht allein die Gefahr einer Geldbuße nach sich. Neben dem Katalog des § 15 DADG bestehen zwei weitere Durchsetzungswege – die verwaltungsrechtliche Anordnung der BNetzA einerseits, die zivilrechtliche Inanspruchnahme durch Betroffene und Wettbewerber andererseits. Gerade dort, wo ein Bußgeld nicht in Betracht kommt, greifen beide.
Anordnung und Zwangsgeld durch die BNetzA
Die BNetzA kann einen Verstoß nicht nur sanktionieren, sondern ihn unmittelbar beenden. Nach den §§ 7 bis 9 DADG darf sie den Sachverhalt aufklären und Auskünfte verlangen. Die Durchsetzung ist dabei abgestuft: Zunächst richtet die Behörde ein Abhilfeverlangen an das Unternehmen und setzt eine angemessene Frist; bleibt dies fruchtlos, kann sie die Erfüllung der Data-Act-Pflichten durch eine vollziehbare Durchsetzungs- bzw. Abhilfeanordnung erzwingen (§ 9 DADG). Befolgt das Unternehmen auch diese nicht, lässt sich ein Zwangsgeld von bis zu 500.000 Euro festsetzen und bei anhaltender Weigerung wiederholen.
Die Unterscheidung ist praktisch folgenreich: Während das Bußgeld einen abgeschlossenen Verstoß ahndet, dient das Zwangsgeld als Beugemittel, das auf künftige Erfüllung zielt. Gerade deshalb behält die BNetzA auch dort Handlungsspielraum, wo der Bußgeldkatalog eine Lücke aufweist. Die aus dem Katalog gestrichene Datennutzung nach Art. 4 Abs. 13 S. 1 Data Act etwa kann sie auf eine Beschwerde hin untersagen und das Verbot mit Zwangsgeld durchsetzen – ein Bußgeld scheidet zwar aus, erzwingbar bleibt die Pflicht gleichwohl.
Ansprüche Dritter aus UWG und BGB
Auch abseits des behördlichen Verfahrens steht Privaten der Weg gegen Verstöße offen. Naheliegend ist zunächst das Lauterkeitsrecht: Lassen sich einzelne Data-Act-Pflichten als Marktverhaltensregelungen im Sinne des § 3a UWG deuten – man denke an die Pflicht zur Datenbereitstellung oder an das Verbot, erhaltene Daten für Konkurrenzprodukte einzusetzen –, so können Mitbewerber und klagebefugte Verbände auf Unterlassung und Beseitigung (§ 8 UWG) sowie Schadensersatz (§ 9 UWG) dringen und abmahnen. Welche Bestimmungen des Data Act einen solchen Marktbezug tragen, ist bislang offen und wird die Rechtsprechung noch beschäftigen.
Hinzu treten Ansprüche aus Vertrag und Delikt nach dem BGB. So kann der Nutzer – oder ein von ihm benannter Dritter – die Herausgabe der Daten als Erfüllungsanspruch verlangen und bei schuldhafter Verletzung Schadensersatz nach § 280 BGB fordern. Sind einzelne Vorschriften des Data Act als Schutzgesetze im Sinne des § 823 Abs. 2 BGB einzuordnen, treten deliktische Ersatzansprüche hinzu. Klauseln, die den Datenzugang in missbräuchlicher Weise unterlaufen, sind nach Art. 13 Data Act unverbindlich; hierauf kann sich die benachteiligte Partei unmittelbar stützen.
Wer Data-Act-Compliance daher allein am Bußgeldrisiko misst, greift zu kurz. Bei Pflichtverstößen drohen neben dem Einschreiten der BNetzA ebenso Abmahnungen von Wettbewerbern sowie Erfüllungs- und Schadensersatzklagen der Berechtigten.
