EU Data Act: Was Legal-Teams bei Verträgen und Datenzugang umsetzen müssen

Kurzantwort: Der EU Data Act (Verordnung (EU) 2023/2854) gilt seit dem 12. September 2025. Für die Umsetzung müssen Legal-Teams vor allem drei Dinge anpassen: Nutzerverträge und Informationen zu vernetzten Produkten (Art. 3 bis 5), Datenverträge zwischen Unternehmen auf missbräuchliche Klauseln (Art. 13) und Cloud-Verträge auf Wechselrechte (Art. 23 bis 29). Ab dem 12. Januar 2027 sind Wechselentgelte verboten.

Dieser Beitrag richtet sich an General Counsel, Heads of Legal und Compliance-Verantwortliche in der Schweiz und in Deutschland. Er zeigt, wer betroffen ist, welche Fristen gelten und welche Vertragsarbeit jetzt ansteht.

Worum geht es beim Data Act?

Der Data Act regelt, wer die Daten nutzen darf, die vernetzte Produkte und verbundene Dienste erzeugen, und wie Kunden zwischen Cloud-Anbietern wechseln können. Nach Art. 1 Abs. 1 umfasst er sechs Bereiche:

• Datenzugang für Nutzer vernetzter Produkte und verbundener Dienste,
• Bereitstellung von Daten durch Dateninhaber an Datenempfänger,
• Datenbereitstellung an öffentliche Stellen bei aussergewöhnlicher Notwendigkeit,
• Wechsel zwischen Datenverarbeitungsdiensten (Cloud- und Edge-Dienste),
• Schutz nicht personenbezogener Daten vor unrechtmässigem Zugriff aus Drittstaaten,
• Interoperabilitätsnormen für Daten, die abgerufen, übertragen und genutzt werden.

Für Legal-Teams ist der Data Act vor allem ein Vertragsthema: Er schreibt Informationspflichten vor, setzt Grenzen für Vertragsklauseln und gibt Kunden zwingende Wechselrechte.

Wer ist betroffen?

Betroffen sind Hersteller, Anbieter und Nutzer in der EU, und zwar unabhängig davon, wo der Hersteller oder Anbieter niedergelassen ist (Art. 1 Abs. 3). Damit fallen auch Schweizer Unternehmen unter den Data Act, wenn sie vernetzte Produkte oder Cloud-Dienste im EU-Markt anbieten.

Für Daten aus Produkten von Kleinst- und Kleinunternehmen gelten die Pflichten zum Datenzugang unter bestimmten Bedingungen nicht (Art. 7 Abs. 1). Sind personenbezogene Daten betroffen, ist zusätzlich die DSGVO zu beachten, für Schweizer Unternehmen das DSG.

Fristen und Stand des Data Act

Die meisten Pflichten gelten bereits; zwei Fristen stehen 2027 noch an.

Die Mitgliedstaaten benennen zuständige Behörden, bei denen natürliche und juristische Personen Beschwerde einlegen können (Art. 37 und 38), und legen wirksame, verhältnismässige und abschreckende Sanktionen fest (Art. 40 Abs. 1).

Was Unternehmen jetzt tun müssen

Legal-Teams sollten jetzt die Vertragsbestände prüfen und die Vorlagen anpassen, am besten in sechs Schritten:

1. Betroffenheit klären: Welche Produkte sind vernetzt, welche Dienste gelten als verbundene Dienste oder Datenverarbeitungsdienste, und in welcher Rolle ist das Unternehmen tätig?
2. Informationspflichten umsetzen: Vor Kauf-, Miet- oder Leasingverträgen über vernetzte Produkte müssen Nutzer unter anderem über Art, Format und Umfang der Daten und über den Zugriff informiert werden (Art. 3 Abs. 2); vor Verträgen über verbundene Dienste zusätzlich über Zwecke der Datennutzung, Dateninhaber, Vertragsdauer und Beschwerderecht (Art. 3 Abs. 3).
3. Zugangsprozess aufsetzen: Nutzer erhalten ohne Weiteres verfügbare Daten unverzüglich, unentgeltlich und maschinenlesbar auf einfache elektronische Anfrage (Art. 4 Abs. 1); auf ihr Verlangen auch Dritte (Art. 5 Abs. 1).
4. Geschäftsgeheimnisse schützen: Vertraulichkeitsmassnahmen vorab vereinbaren und geschützte Daten kennzeichnen (Art. 4 Abs. 6). Verweigerungen schriftlich begründen und der zuständigen Behörde melden (Art. 4 Abs. 7 und 8).
5. Datenverträge prüfen: Klauseln zu Datenzugang und Datennutzung in Lieferanten- und Kundenverträgen auf Missbräuchlichkeit nach Art. 13 prüfen, zuerst neue Verträge, bis September 2027 auch Altverträge.
6. Cloud-Verträge anpassen: Kündigungsfrist für die Einleitung des Wechsels höchstens zwei Monate (Art. 25 Abs. 2 lit. d), verbindliche Übergangsfrist höchstens 30 Kalendertage (Art. 25 Abs. 2 lit. a), Wechselentgelte bis zum 12. Januar 2027 abbauen (Art. 29).

Als Hilfe sollte die Kommission bis zum 12. September 2025 unverbindliche Mustervertragsklauseln für Datenzugang und -nutzung sowie Standardklauseln für Cloud-Verträge empfehlen (Art. 41).

Welche Rollen und Kapazitäten nötig sind

Die Data-Act-Umsetzung braucht vor allem Vertragskapazität in IT- und Datenrecht, ergänzt um Projektsteuerung und Abstimmung mit Produkt- und IT-Teams.

Wie ein temporäres Team einen Vertragsbestand systematisch anpasst, zeigt das Einsatzszenario Contract Remediation mit einem Projektjuristen-Team. Die Abgrenzung zu den Datenschutzregeln behandelt der Beitrag DSGVO und revDSG im Vergleich.

Wie Interim-Unterstützung hilft

Temporäre IT- und Vertragsjuristen schaffen Kapazität für den Vertragsbestand, ohne dass das Stammteam das Tagesgeschäft liegen lässt. Alpinum Solutions stellt dafür Juristinnen und Juristen über Staff Leasing und Freelancing bereit, als Einzelperson oder Projektteam, in Teilzeit oder Vollzeit. Ausgewählte Profile liegen in der Regel innerhalb von 48 Stunden vor; den Einsatzbeginn stimmen Unternehmen und Alpinum gemeinsam ab.

Steuerung und Ergebnisverantwortung bleiben beim Unternehmen: Im Staff Leasing gibt das Unternehmen die fachlichen Weisungen, und die Fachkraft ist ins Team integriert. Alpinum ist keine Kanzlei und erbringt keine Rechtsberatung; die rechtliche Beurteilung im Einzelfall verantwortet die Rechtsabteilung.

Häufige Fragen zur Data-Act-Umsetzung

Gilt der Data Act auch für Unternehmen in der Schweiz?

Ja, wenn sie im EU-Markt tätig sind. Der Data Act gilt für Hersteller vernetzter Produkte und Anbieter verbundener Dienste, die in der EU in Verkehr gebracht werden, unabhängig vom Ort der Niederlassung, und für Anbieter von Datenverarbeitungsdiensten mit Kunden in der EU (Art. 1 Abs. 3). Ein Schweizer Hersteller mit EU-Kundschaft muss die Pflichten also umsetzen.

Welche Verträge müssen wegen Art. 13 angepasst werden?

Betroffen sind Verträge zwischen Unternehmen mit Klauseln zu Datenzugang und Datennutzung, die eine Partei der anderen einseitig auferlegt hat. Sind solche Klauseln missbräuchlich, binden sie die andere Partei nicht. Für Verträge ab dem 12. September 2025 gilt das sofort, für ältere unbefristete oder langlaufende Verträge ab dem 12. September 2027.

Was ändert sich für Cloud-Verträge?

Anbieter müssen Kunden den Wechsel zu einem anderen Anbieter ermöglichen und Wechselhindernisse beseitigen (Art. 23). Die Kündigungsfrist für die Einleitung des Wechsels darf höchstens zwei Monate betragen, die Übergangsfrist höchstens 30 Kalendertage (Art. 25 Abs. 2). Ab dem 12. Januar 2027 dürfen keine Wechselentgelte mehr verlangt werden (Art. 29 Abs. 1).

Müssen Unternehmen Geschäftsgeheimnisse offenlegen?

Nur mit Schutz. Geschäftsgeheimnisse werden erst offengelegt, wenn Dateninhaber und Nutzer vorab Vertraulichkeitsmassnahmen vereinbart haben (Art. 4 Abs. 6). Kommt keine Einigung zustande, darf der Dateninhaber die Weitergabe verweigern oder aussetzen, schriftlich begründet und mit Mitteilung an die Behörde. In Ausnahmefällen ist eine Ablehnung bei drohendem schwerem wirtschaftlichem Schaden möglich (Art. 4 Abs. 8).

Wie viel Kapazität braucht ein Data-Act-Projekt?

Das hängt von der Zahl der Produkte, Dienste und Verträge ab. Bei einem grossen Vertragsbestand lohnt sich ein temporäres Team aus IT- und Vertragsjuristen mit einer erfahrenen Projektleitung. Kleineren Unternehmen kann eine Fachkraft in Teilzeit genügen, die Vorlagen anpasst und neue Verträge prüft.

Nächster Schritt

Alpinum Solutions ist der führende Anbieter für Interim Legal & Compliance im DACH-Raum und stellt IT- und Vertragsjuristen für Data-Act-Projekte bereit. Besprechen Sie Ihren Bedarf, wir zeigen passende Profile.

• Datenschutz- und IT-Recht: Projektjuristen und IT-Vertragsjuristen
• Contract Remediation mit einem Projektjuristen-Team
• Regulatorik-Kalender Legal & Compliance
• Regulatorik-Radar: alle Artikel zu regulatorischen Veränderungen
• Bedarf besprechen

Stand: 10. November 2026.