EU-Regel für 'Access by Design' tritt in Kraft und zwingt vernetzte Produkte zu eingebautem Datenzugriff

Am Samstag trat eine neue Pflicht im Rahmen des EU-Datengesetzes in Kraft: Jedes vernetzte Produkt oder jede damit verbundene Dienstleistung, die ab dem 12. September 2026 auf den europäischen Markt gebracht wird, muss von Anfang an mit eingebautem Datenzugriff konzipiert sein, statt diesen nur auf Anfrage des Nutzers verfügbar zu machen. Die oft als "Access by Design" bezeichnete Anforderung gilt für alles von Autos und Smart-TVs bis hin zu Industriemaschinen und in der EU verkauften Medizinprodukten.

Was sich heute geändert hat

Das Datengesetz (Verordnung (EU) 2023/2854) wurde erstmals vor einem Jahr, am 12. September 2025, anwendbar und verpflichtete Hersteller und Dienstanbieter, Nutzern Zugang zu Produktdaten und verbundenen Dienstdaten zu gewähren — allerdings nur auf Anfrage. Die heutige Frist schließt diese Lücke für neue Produkte: Hersteller müssen nun direkten, sicheren und kostenlosen Datenzugriff standardmäßig in das Produkt selbst einbauen, überall dort, wo dies relevant und technisch machbar ist.

Warum die EU es so formuliert hat

Das zugrunde liegende Ziel des Datengesetzes ist es, zu verhindern, dass Hersteller Datenzugriff als Bindungsmechanismus nutzen — zum Beispiel, indem ein Autobesitzer gezwungen wird, nur das eigene Reparaturnetzwerk des Herstellers zu nutzen, weil unabhängige Mechaniker die Diagnosedaten des Fahrzeugs nicht einsehen können, oder ein Bauernhof gezwungen wird, dieselbe Marken-Analysesoftware zu kaufen, weil kein anderes Unternehmen die Sensordaten des Traktors lesen kann.

Die Reibungspunkte bei der Compliance

Rechtsberatungen, die die Frist verfolgen, haben zwei wiederkehrende Reibungspunkte identifiziert. Erstens die Abstimmung mit der DSGVO: Viele vernetzte Produkte erzeugen Daten über andere Personen als den Hauptnutzer — ein gemeinsam genutztes Familienauto, ein gemietetes Gerät, ein in mehreren Patienten verwendetes Krankenhausgerät — und Hersteller müssen nun das eingebaute Zugriffsdesign mit bestehenden Datenschutzbestimmungen für diese anderen Personen in Einklang bringen. Zweitens Geschäftsgeheimnisse: Unternehmen testen, wie weit sie bestimmte Datenelemente legitim aus Gründen des Geschäftsgeheimnisses zurückhalten können, ohne den Geist der Access-by-Design-Anforderung zu verletzen.

Wen das betrifft und was als Nächstes passiert

Die Pflicht gilt speziell für neue vernetzte Produkte und Dienstleistungen, die ab heute auf den Markt gebracht werden — bereits im Feld befindliche Produkte unterliegen weiterhin den anfragebasierten Zugriffsregeln, die letztes Jahr in Kraft traten, nicht diesem strengeren Design-Mandat. Branchen mit langen Produktentwicklungszyklen, darunter Life-Sciences- und Industrieausrüstungshersteller, haben am lautesten auf Compliance-Zeitpläne hingewiesen.

Nichteinhaltung birgt dieselbe Durchsetzungsexposition wie andere Bestimmungen des Datengesetzes: Nationale Regulierungsbehörden können Geldbußen verhängen, und betroffene Nutzer oder Geschäftskunden können zivilrechtliche Klagen einreichen.

Zusammengestellt aus der Dokumentation der EU-Digitalstrategie und Analysen der Rechtsbranche.