Data Act Österreich: Praxischeck für KMU

Eine vernetzte Heizungssteuerung, eine Produktionsmaschine mit Fernwartung oder eine cloudbasierte Branchensoftware erzeugt laufend Daten. Für österreichische KMU stellt sich deshalb nicht nur eine technische Frage: Wer darf auf welche Daten zugreifen, in welchem Format müssen sie bereitstehen und wie lässt sich ein Cloud-Anbieter später wechseln? Seit 12. September 2025 ist der EU Data Act grundsätzlich anwendbar. Er betrifft unter anderem vernetzte Produkte, damit verbundene Dienste und Datenverarbeitungsdienste wie Cloud- und Edge-Angebote.

Der folgende Praxischeck hilft bei der organisatorischen Einordnung. Er ersetzt keine individuelle Rechts-, Vertrags- oder Datenschutzberatung. Entscheidend sind immer die konkrete Rolle des Unternehmens, das Produkt, die erzeugten Daten und die Vertragsbeziehungen. Wer diese vier Punkte sauber dokumentiert, kann Anfragen von Kunden, Lieferanten und Dienstleistern jedoch wesentlich schneller beantworten und einen späteren Systemwechsel kontrollierter vorbereiten.

Wann der Data Act im KMU-Alltag relevant wird

Der Data Act ist kein Spezialthema nur für große Plattformen. Er kann einen Installationsbetrieb betreffen, der vernetzte Wärmepumpen betreut, ebenso einen Maschinenhändler mit Fernwartungsportal, einen Fuhrparkbetreiber mit Telematik oder einen Softwareanbieter mit Cloud-Service. Wichtig ist eine nüchterne Rollenprüfung: Dass ein Gerät Daten erzeugt, bedeutet noch nicht automatisch, dass jedes Unternehmen in der Lieferkette dieselben Pflichten hat.

Vernetztes Produkt, verbundener Dienst oder klassische Software?

Ein vernetztes Produkt kann Daten über seine Nutzung oder Umgebung erfassen und über eine Verbindung bereitstellen. Die EU-Kommission nennt beispielsweise Fahrzeuge, Industrieanlagen und Konsumgüter. Ein verbundener Dienst ist eine digitale Leistung, ohne die eine oder mehrere Funktionen des Produkts nicht funktionieren würden oder deren späterer Einsatz das Verhalten des Produkts verändert. Bei einer intelligenten Bewässerungsanlage können das etwa die Steuereinheit und die dazugehörige App sein.

Eine rein lokale Tabellenkalkulation fällt nicht deshalb unter die Produktdatenregeln, weil darin Betriebsdaten gespeichert werden. Cloud-Software kann hingegen unter die Regeln für Datenverarbeitungsdienste fallen. Trennen Sie daher Produkt, App, Fernwartung, Kundenportal und Cloud-Infrastruktur in Ihrer Bestandsaufnahme, statt alles pauschal als „Software“ zu behandeln.

Dateninhaber, Nutzer und Datenempfänger auseinanderhalten

Der Nutzer kann eine natürliche oder juristische Person sein, die ein vernetztes Produkt besitzt, mietet oder least beziehungsweise einen verbundenen Dienst bezieht. Der Dateninhaber ist vereinfacht jene Stelle, die nach dem Data Act zur Nutzung und Bereitstellung bestimmter Daten berechtigt oder verpflichtet ist. Auf Wunsch des Nutzers können Daten unter Voraussetzungen auch an einen Dritten übermittelt werden, etwa an einen unabhängigen Wartungsbetrieb.

Ein österreichischer Händler kann damit gleichzeitig Nutzer eigener Vorführgeräte, Vertragspartner seiner Kunden und Vermittler zu einem ausländischen Herstellerportal sein. Notieren Sie je Datenfluss, wer technisch zugreifen kann, wer vertraglich entscheidet und wer eine Anfrage tatsächlich erfüllen müsste. Diese Rollenmatrix verhindert, dass Kunden zwischen Hersteller, Händler und Servicefirma weitergeschickt werden.

Aktuelle Pflicht und geplante Änderung unterscheiden

Die geltende Verordnung und politische Änderungsvorschläge dürfen nicht vermischt werden. Die EU-Kommission hat im Rahmen des Digital-Omnibus-Pakets Änderungen vorgeschlagen, die unter anderem Cloud-Wechselregeln für bestimmte kleinere Anbieter betreffen könnten. Ein Vorschlag ändert die derzeit geltende Rechtslage jedoch nicht automatisch. Kennzeichnen Sie in internen Notizen deshalb klar „geltendes Recht“, „Übergangsregel“ und „Vorschlag“ und prüfen Sie den Stand vor einer Vertragsumstellung erneut.

Geräte- und Servicedaten systematisch erfassen

Ein belastbares Dateninventar beginnt nicht mit juristischen Formulierungen, sondern mit einem konkreten Produkt. Wählen Sie beispielsweise eine CNC-Maschine, einen Energieregler oder ein Flottenfahrzeug und verfolgen Sie den Datenweg vom Sensor bis zum Portal. Der Data Act erfasst insbesondere unmittelbar erzeugte Rohdaten und vorverarbeitete, ohne unverhältnismäßigen Aufwand verfügbare Daten. Aufwendig abgeleitete Analysen oder proprietäre Schlussfolgerungen sind nicht automatisch im selben Umfang umfasst.

Pro Produkt eine kompakte Datenkarte anlegen

Eine Datenkarte kann als Tabelle im bestehenden Dokumentationssystem geführt werden. Sie sollte Produktmodell, verantwortlichen Lieferanten, verbundenen Dienst, Nutzergruppen und alle bekannten Datenarten enthalten. Ergänzen Sie Format, ungefähres Volumen, Erzeugungshäufigkeit, Speicherort, Aufbewahrungsdauer und die Frage, ob Daten in Echtzeit entstehen. Für eine Maschine wären das beispielsweise Laufzeit, Temperatur, Fehlercode und Wartungsereignis; für ein Fahrzeug könnten es Ladezustand, Kilometerstand und Diagnosewerte sein.

Dokumentieren Sie außerdem, welche Daten am Gerät selbst verfügbar sind und welche nur über ein Herstellerkonto abgerufen werden können. Ein Screenshot des Menüs genügt als Nachweis selten. Besser sind ein Beispiel-Export, die technische Schnittstellenbeschreibung und ein benannter interner Verantwortlicher. So wird aus einer abstrakten Datenliste ein überprüfbarer Arbeitsstand.

Den tatsächlichen Zugriff mit einem Testfall prüfen

Testen Sie den Zugriff wie ein Kunde: Wo beginnt die Anfrage? Wird die Identität angemessen geprüft? Wie lange dauert die Bereitstellung? Welches Format kommt zurück, und lässt es sich mit üblicher Software öffnen? Die Verordnung sieht für erfasste Daten grundsätzlich einen einfachen, sicheren und unentgeltlichen Zugriff in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format vor, soweit die jeweiligen Voraussetzungen erfüllt sind.

Protokollieren Sie Testdatum, Rolle, Datenumfang, Bearbeitungszeit und Ergebnis. Ein PDF-Bericht kann für Menschen hilfreich sein, ist aber nicht immer ein brauchbarer maschinenlesbarer Export. Werden Zeitreihen nur als Bild geliefert oder fehlen Feldbeschreibungen, sollten Technik und Vertrag gemeinsam geprüft werden. Wiederholen Sie den Test nach einem Geräte-, Portal- oder Anbieterupdate.

Drittzugriff, Wartung und Schutzinteressen abstimmen

Gerätedaten können Reparatur, vorausschauende Wartung oder einen Anbieterwechsel erleichtern. Gleichzeitig bleiben Geschäftsgeheimnisse, IT-Sicherheit und personenbezogene Daten relevant. Definieren Sie daher einen geregelten Weg für die Übermittlung an einen vom Nutzer benannten Dritten: verifizierte Anfrage, klarer Datensatz, sicherer Übertragungskanal, Zweckhinweis, Frist und dokumentierte Freigabe.

Personenbezogene Daten dürfen nicht allein deshalb beliebig weitergegeben werden, weil zusätzlich der Data Act berührt ist. Prüfen Sie Datenschutzrollen und Rechtsgrundlage gesondert. Bei Sicherheitsbedenken sollten nicht pauschal alle Daten blockiert, sondern konkrete Risiken, technische Schutzmaßnahmen und erforderliche Einschränkungen nachvollziehbar dokumentiert werden.

Verträge und Kundeninformationen praktisch prüfen

Viele Data-Act-Probleme entstehen nicht erst bei einer Datenanfrage. Sie beginnen auf der Produktseite, im Angebot oder im Servicevertrag, wenn Datenarten und Zugriffswege unklar bleiben. Die Verordnung verlangt für vernetzte Produkte und verbundene Dienste bestimmte Informationen vor Vertragsabschluss. Dazu zählen je nach Fall Art, Format und geschätztes Volumen der Produktdaten, die Frage einer kontinuierlichen Erzeugung sowie Zugriffs-, Abruf- und gegebenenfalls Löschmöglichkeiten.

Vorvertragliche Information verständlich bündeln

Erstellen Sie pro Produktfamilie ein kurzes Datenblatt, das Vertrieb, Webshop und Service verwenden. Es sollte beantworten: Welche Daten erzeugt das Produkt? Wo werden sie gespeichert? Wie lange? Kann der Nutzer direkt zugreifen oder ist eine Anfrage notwendig? Nutzt der Anbieter die Daten selbst, und zu welchen Zwecken? Wie erreicht der Nutzer die zuständige Stelle?

Diese Angaben gehören dorthin, wo die Kauf- oder Mietentscheidung fällt. Ein schwer auffindbarer Link in einem allgemeinen Datenschutztext ist als Prozesslösung ungeeignet. Verwenden Sie auf Produktseiten eine verständliche Zusammenfassung und verlinken Sie auf die aktuelle Detailfassung. Prüfen Sie bei vernetzten Produkten außerdem den zeitlichen Anwendungsbereich einzelner Designpflichten, denn bestimmte Vorgaben des Artikels 3 Absatz 1 greifen für nach dem 12. September 2026 in Verkehr gebrachte Produkte.

Nutzungszwecke und Vertragsklauseln präzisieren

Verträge sollten benennen, welche nicht personenbezogenen Daten der Anbieter verwenden darf, wofür und wie lange. Allgemeine Formulierungen wie „für Geschäftszwecke“ erschweren eine belastbare Prüfung. Trennen Sie Betrieb und Support, Sicherheitsanalyse, Produktverbesserung und optionale Zusatzdienste. Notieren Sie ebenso, ob Daten an weitere Dienstleister gehen und wie ein Nutzer eine Drittübermittlung anstoßen kann.

Der Data Act enthält auch Regeln gegen bestimmte missbräuchliche Vertragsklauseln, wenn Datenzugang und Datennutzung einseitig auferlegt werden. Übernehmen Sie daher nicht ungeprüft die Bedingungen eines Herstellers in eigene Kundenverträge. Lassen Sie besonders Haftungsbeschränkungen, einseitige Datenzugriffsrechte, Änderungsbefugnisse und Ausschlüsse von Rechtsbehelfen fachlich prüfen. Die Modellvertragsklauseln der EU-Kommission können als Orientierung dienen, ersetzen aber keine Anpassung an das konkrete Geschäft.

Website, Support und interne Zuständigkeit verbinden

Die beste Vertragsklausel hilft wenig, wenn Supportanfragen im falschen Postfach landen. Veröffentlichen Sie einen eindeutigen Kontaktweg für Datenzugang und Cloud-Export. Das Formular sollte nur die nötigen Angaben abfragen: Produkt oder Dienst, Vertrags- oder Seriennummer, Rolle der anfragenden Person, gewünschter Datensatz, Zeitraum und gewünschter Empfänger. Sensible Zugangsdaten gehören nicht in ein Freitextfeld.

Hinterlegen Sie intern eine Entscheidungsmatrix: Wer prüft Berechtigung, wer exportiert, wer bewertet Datenschutz und Geschäftsgeheimnisse, und wer antwortet? Ein ähnliches Prinzip gilt für andere digitale Abläufe. Der Leitfaden Website als Prozesswerkzeug zeigt, wie öffentliche Information, Formular und interne Übergabe zusammengeführt werden können.

Cloud-Wechsel und Exit-Prozess belastbar vorbereiten

Bei Cloud- und anderen Datenverarbeitungsdiensten zielt der Data Act darauf, technische, vertragliche und organisatorische Wechselhindernisse abzubauen. Für ein KMU ist das praktisch relevant, wenn Buchhaltung, CRM, Warenwirtschaft, Dokumentenmanagement oder ein Branchenportal den Anbieter wechseln soll. Ein Exit-Plan gehört deshalb vor Vertragsabschluss in die Auswahl und nicht erst in die Kündigungsphase.

Ein vollständiges Exportpaket definieren

Listen Sie alle exportierbaren Daten und digitalen Vermögenswerte auf: Stammdaten, Belege, Dateien, Metadaten, Benutzerrollen, Protokolle, Vorlagen und Konfigurationen. Fragen Sie, welche offenen Schnittstellen verfügbar sind, welche Formate geliefert werden und welche Daten nur mit Zusatzaufwand migrierbar sind. Ein ZIP-Archiv ohne Feldbeschreibung, Relationen und Zeitstempel kann formal umfangreich wirken und trotzdem praktisch unbrauchbar sein.

Vereinbaren Sie Verantwortliche, Fristen und eine technische Kontaktstelle. Legen Sie fest, wie lange nach dem Wechsel ein Abruf möglich bleibt und wann Daten beim bisherigen Anbieter gelöscht werden. Prüfen Sie auch Abhängigkeiten zu Identitätsdiensten, Domains, E-Mail, Zahlungsanbietern und Automationen. Der Beitrag zum Agenturwechsel und zur Zugangsübergabe bietet dafür eine ergänzende Eigentums- und Berechtigungslogik.

Migration mit Testdaten und Abnahmekriterien erproben

Warten Sie nicht auf die Kündigung. Fordern Sie frühzeitig einen begrenzten Export an und importieren Sie ihn in eine Testumgebung oder zumindest in ein neutrales Prüfwerkzeug. Kontrollieren Sie Anzahl, Vollständigkeit, Datentypen, Sonderzeichen, Verknüpfungen und Anhänge. Halten Sie fest, welche Funktionen beim Zielanbieter neu aufgebaut werden müssen und welche nur übergangsweise parallel betrieben werden.

Definieren Sie Abnahmekriterien in Geschäftssprache: offene Aufträge sind vollständig, Belege bleiben auffindbar, Benutzerrechte sind korrekt, gesetzliche Aufbewahrungsanforderungen können erfüllt werden und wichtige Automationen laufen kontrolliert weiter. Erst danach sollte das Abschaltdatum festgelegt werden. Ein dokumentierter Probetransfer zeigt zugleich, ob Vertragsversprechen technisch belastbar sind.

Kosten, Fristen und Änderungsvorschläge im Blick behalten

Nach geltendem Data Act müssen Anbieter Wechselhindernisse schrittweise beseitigen. Übergangsweise können bestimmte Wechselentgelte noch kostenorientiert zulässig sein; ab 12. Januar 2027 sollen Wechselentgelte nach dem aktuellen Verordnungstext grundsätzlich entfallen. Das bedeutet nicht, dass jede Migration kostenlos wird: interner Aufwand, Zielsystem, Beratung und individuelle Anpassung können weiterhin Kosten verursachen.

Erfassen Sie daher getrennt Anbieterentgelt, Datenübertragung, internen Aufwand und Kosten beim neuen Dienst. Prüfen Sie vor einem Wechsel den aktuellen Gesetzesstand, weil das vorgeschlagene Digital-Omnibus-Paket Änderungen bringen könnte. Für den laufenden Betrieb empfiehlt sich ein jährlicher Exit-Test sowie ein Vertragscheck vor Verlängerung. So wird der Data Act zu einem Anlass für bessere Datenportabilität statt zu einer hektischen Einmalprüfung.

Fazit: Mit einem konkreten Datenfluss beginnen

Österreichische KMU müssen nicht sofort jedes System neu dokumentieren. Beginnen Sie mit einem geschäftskritischen vernetzten Produkt oder Cloud-Dienst, erstellen Sie eine Datenkarte, testen Sie den Export und ordnen Sie Verantwortliche zu. Danach folgen Kundeninformation und Vertrag. Dieser kleine, belegbare Durchlauf zeigt meist schnell, wo technische, organisatorische oder rechtliche Klärung nötig ist. Wer Datenzugang und Exit regelmäßig testet, verbessert zugleich Service, Wartbarkeit und digitale Unabhängigkeit.

Data Act für KMU: Gerätedaten und Cloud-Verträge praktisch prüfen