In Maschinenbauunternehmen läuft seit einigen Jahren dieselbe Überlegung. Die Anlagen sind vernetzt, die Betriebsdaten fließen ohnehin ins eigene Rechenzentrum, und daraus ließe sich etwas machen: vorausschauende Wartung, Betriebsoptimierung, ein Serviceangebot mit wiederkehrenden Erlösen. Die Idee ist richtig, und die technische Umsetzung ist heute keine große Hürde mehr.

Die Hürde liegt woanders, und sie wird in den Projekten, die ich sehe, regelmäßig erst dann entdeckt, wenn schon programmiert wird.

Die Grundlage, die meistens fehlt

Der Data Act, seit dem 12. September 2025 anwendbar, ordnet die Verfügung über Daten aus vernetzten Produkten neu. Bislang flossen Betriebs-, Sensor- und Nutzungsdaten faktisch allein zum Hersteller, der sie verwertete. Diese Selbstverständlichkeit ist weggefallen.

Zwei Punkte verändern die Lage für einen Hersteller. Erstens kann der Nutzer, also der Betreiber der Maschine, Zugang zu den Produkt- und verbundenen Dienstdaten verlangen, die ohne Weiteres verfügbar sind, samt der Metadaten, die man zum Verstehen braucht. Unentgeltlich, in einem gängigen maschinenlesbaren Format und bei fortlaufend erzeugten Daten auch fortlaufend. Er kann außerdem verlangen, dass die Daten an einen Dritten seiner Wahl gehen, etwa an einen unabhängigen Instandhaltungsdienstleister. Was das Gesetz nicht verlangt, ist die Erzeugung neuer Daten oder eine aufwendige Aufbereitung; veredelte Analyseergebnisse fallen nicht automatisch darunter.

Zweitens, und das ist der Punkt mit den größten Folgen für KI-Vorhaben: Der Dateninhaber, im Maschinenbau meist der Hersteller, darf die ohne Weiteres verfügbaren nicht-personenbezogenen Produktdaten nur auf einer vertraglichen Grundlage mit dem Nutzer verwenden. Wer bisher davon ausging, dass Daten aus der eigenen Maschine automatisch der eigenen Verwertung offenstehen, arbeitet ohne diese Grundlage.

Für ein Modell, das auf Betriebsdaten aus dem installierten Bestand trainiert wird, ist das keine Formalie. Es ist die Frage, ob der Trainingsdatensatz rechtmäßig zustande gekommen ist. Die Vertragsklausel beantwortet dabei nur die eine Hälfte. Stecken in den Betriebsdaten personenbezogene Anteile, etwa über Bedienerkennungen oder Schichtzuordnungen, braucht es daneben eine Rechtsgrundlage nach der Datenschutz-Grundverordnung, und die liefert der Data Act nicht mit.

Was im September 2026 dazukommt

Für vernetzte Produkte und verbundene Dienste, die nach dem 12. September 2026 in Verkehr gebracht beziehungsweise erbracht werden, gilt zusätzlich Access by Design: Sie müssen so konstruiert sein, dass die Daten von vornherein zugänglich sind. Das ist eine Produktentwicklungsanforderung, keine Vertragsfrage, und sie trifft die Konstruktion, nicht die Rechtsabteilung.

In Deutschland ist der Data Act seit dem Inkrafttreten des Durchführungsgesetzes am 30. Mai 2026 behördlich durchsetzbar. Zuständig ist die Bundesnetzagentur, dieselbe Behörde, die seit Ende Juli als zentrale Marktüberwachungsbehörde auch die KI-Verordnung überwacht. Für Unternehmen ist das eine der wenigen guten Nachrichten in diesem Feld, weil zwei Regelwerke an derselben Stelle zusammenlaufen. Alleinzuständig ist die Behörde deshalb in keinem der beiden Fälle. Wo Produktrecht, Branchenaufsicht oder personenbezogene Daten hineinspielen, bleiben andere Stellen daneben zuständig.

Der Konflikt, den niemand elegant löst

Der schwierigste Teil ist das Verhältnis von Datenherausgabe und eigenem Know-how. Ein Hersteller, der Rohdaten herausgibt, gibt unter Umständen Rückschlüsse auf Kalibrierung, Steuerungslogik und Auslegung mit heraus. Genau davor haben Maschinenbauer zu Recht Respekt.

Der Data Act erlaubt keine schrankenlose Offenlegung. Geschäftsgeheimnisse können geschützt werden, allerdings nur, wenn sie deklariert und mit technischen und organisatorischen Maßnahmen abgesichert sind: Vertraulichkeitsvereinbarungen, Nutzungsbeschränkungen, technische Sicherungen. In eng umrissenen Fällen darf die Herausgabe beschränkt oder verweigert werden, etwa bei drohendem schwerem wirtschaftlichem Schaden. Diese Ausnahmen sind begründungspflichtig und taugen nicht als pauschale Blockade.

Wo genau die Grenze zwischen herauszugebenden Rohdaten und geschützten, veredelten Analyseergebnissen verläuft, ist in vielen Konstellationen offen und wird die Gerichte beschäftigen. Wer heute konstruiert und verhandelt, muss mit dieser Unschärfe umgehen, statt auf Klärung zu warten.

Die praktische Konsequenz ist unbequem und klar: Die Deklaration der Geschäftsgeheimnisse muss vorliegen, bevor die erste Anfrage kommt. Danach ist sie schwer nachzuholen.

Wo die Erleichterung greift und wo nicht

Für Daten aus Produkten von Kleinst- und Kleinunternehmen sieht der Data Act eine Erleichterung vor: weniger als fünfzig Beschäftigte und höchstens zehn Millionen Euro Jahresumsatz oder Jahresbilanzsumme. Sie betrifft die Zugangs- und Designpflichten, nicht sämtliche Pflichten des Data Act, und sie entfällt in den Partner-, Verbund- und Subunternehmerkonstellationen, die das Gesetz eigens nennt. Wer als kleiner Hersteller zu einer größeren Gruppe gehört oder als verlängerte Werkbank für einen größeren Auftraggeber baut, sollte sich auf sie nicht verlassen. Für den typischen Mittelständler im Maschinenbau greift sie ohnehin meist nicht.

Und sie greift auch dort nicht, wo viele sie vermuten: Für die Regeln zum Wechsel von Datenverarbeitungsdiensten gibt es keine Größenausnahme. Ein Anbieter mit dreißig Beschäftigten, dessen Maschinenplattform ein Datenverarbeitungsdienst im Sinne des Gesetzes ist, muss seinen Kunden den Wechsel ermöglichen, auch wenn er von den Produktpflichten befreit ist. Ob eine solche Plattform darunter fällt, hängt an ihrem Zuschnitt, und für eng auf einen einzelnen Kunden zugeschnittene Dienste sieht das Gesetz eigene Ausnahmen vor. Wechselentgelte sind ab dem 12. Januar 2027 vollständig verboten.

Warum das eine Geschäftsmodellfrage ist

Man kann den Data Act als Verlust lesen: Der Hersteller verliert die exklusive Verfügung über Daten, aus denen bisher kostenpflichtige Zusatzdienste entstanden. Diese Lesart ist verständlich und führt in die Defensive.

Die andere Lesart ist die interessantere. Wenn der Kunde die Daten ohnehin bekommt und weitergeben darf, entscheidet nicht mehr der Zugang über den Erfolg eines Datenprodukts, sondern die Qualität dessen, was man daraus macht. Ein Hersteller, der seine eigenen Maschinen besser kennt als jeder Dritte, hat dabei einen strukturellen Vorteil, den ihm der Data Act nicht nimmt. Er muss ihn nur ausspielen, statt sich auf die Zugangssperre zu verlassen.

Wer den erzwungenen Zugang aktiv gestaltet, kann daraus ein Angebot machen: aufbereitete Daten, verlässliche Schnittstellen, Auswertungen, die der Kunde selbst nicht bauen würde. Wer ihn erleidet, bekommt dieselbe Pflicht ohne das Geschäft.

Das ist eine Entscheidung an der Schnittstelle von Produktentwicklung, IT, Recht und Vertrieb, und deshalb keine Aufgabe für die Rechtsabteilung allein.

Was in den nächsten Wochen zu klären ist

• Steht in Ihren Kundenverträgen eine Klausel zur Datennutzung? Wenn nicht, ist die Grundlage für die eigene Auswertung und für jedes darauf trainierte Modell ungeklärt, und das ist der erste Punkt, den eine rechtliche Prüfung ansehen sollte.
• Enthalten die Betriebsdaten personenbezogene Anteile? Dann trägt die Data-Act-Klausel allein nicht; die datenschutzrechtliche Grundlage ist gesondert zu klären.
• Sind die Geschäftsgeheimnisse in den Produktdaten identifiziert und deklariert? Mit Schutzmaßnahmen, nicht nur als Absichtserklärung.
• Können Sie einer Kundenanfrage nach den Daten innerhalb angemessener Frist nachkommen? In einem gängigen Format, ohne Sonderprojekt.
• Erfüllen neu entwickelte Produkte die Anforderung, dass die Daten von vornherein zugänglich sind?
• Falls Sie eine Plattform betreiben: Sind Kündigungsfristen, Exportformate und Wechselentgelte in Ordnung?

Fragen, die sich in ein bis zwei Terminen klären lassen, solange niemand von außen drängt.

Ein Hinweis zur Haltbarkeit dieses Textes: Der Datenteil des Digital Omnibus sieht vor, den Data Act zum zentralen Datengesetz auszubauen und beim Geschäftsgeheimnisschutz nachzubessern. Dieser Teil ist noch im Verfahren. Bis zu einer Verabschiedung gilt der Data Act unverändert.

Wie sich Daten- und KI-Fragen in einem Rahmen statt in zwei Projekten behandeln lassen, ist Gegenstand des AI-Act-Checks und der Begleitung beim Aufbau der Governance. Welche Verfahren aus diesen Daten überhaupt Wert schöpfen, behandelt ein eigener Beitrag.

Zum Schluss die Frage, die in Maschinenbauunternehmen für die längsten Pausen sorgt: Auf welcher vertraglichen Grundlage werten Sie heute die Betriebsdaten Ihrer ausgelieferten Maschinen aus?

---

Rechtsstand: 30. Juli 2026. Wo sich die Rechtslage danach ändert, wird der Beitrag nachgeführt oder die Änderung gekennzeichnet.