Ein Stichtag, der im Einkauf landet

Ein Betrieb schafft eine neue Verpackungsmaschine an, ein Kühlaggregat, eine Waage mit Netzanschluss oder einen Transporter mit Telematikeinheit. Diese Geräte erzeugen im Betrieb laufend Daten: Laufzeiten, Störungen, Temperaturverläufe, Zählerstände, Verbrauchswerte. Und in vielen Fällen sieht der Betrieb, dem das Gerät gehört, diese Daten genau so, wie der Hersteller sie ihm zeigt — im Portal, in der App, in der Auswertung, die als Zusatzmodul dazugebucht wird.

Am 12. September 2026 ändert sich daran etwas — an einer Stelle, die man leicht übersieht. Nicht am Vertrag, sondern am Bau des Geräts.

Die Bundesnetzagentur ist seit dem 30. Mai 2026 die zuständige deutsche Behörde für die europäische Datenverordnung, den Data Act. Sie beschreibt die neue Anforderung so: „Die Produktgestaltungspflicht gilt für vernetzte Produkte und die mit ihnen verbundenen Dienste, die nach dem 12. September 2026 in Verkehr gebracht werden, soweit der direkte Zugang relevant und technisch durchführbar ist."

Das ist ein Satz für den Einkauf, nicht für die Rechtsabteilung. Er bedeutet: Wer ein vernetztes Gerät neu beschafft, sollte vor der Unterschrift wissen, wie er an die Daten kommt, die dieses Gerät im eigenen Betrieb erzeugt. Und wer selbst etwas Vernetztes bauen lässt, hat eine Anforderung mehr im Lastenheft.

Auf einen Blick

Der Stichtag ist der 12. September 2026. Er hängt am Inverkehrbringen des Produkts, nicht an Ihrem Bestelldatum und nicht am Baujahr der Anlagen, die bei Ihnen bereits laufen.
Erfasst sind vernetzte Produkte und die mit ihnen verbundenen Dienste — also auch App, Portal und Auswertung, nicht nur das Gerät selbst.
Ziel ist der direkte Zugang zu den Daten, die bei der Nutzung entstehen — möglichst ohne den Umweg über eine Anfrage beim Hersteller.
Die Pflicht steht unter einem Vorbehalt. „Soweit der direkte Zugang relevant und technisch durchführbar ist" gehört zum Wortlaut der Behörde und ist keine Nebenbemerkung.
Der Data Act ist nicht neu. Er gilt seit dem 12. September 2025; hinzu kommt am 12. September 2026 eine Anforderung an den Bau neuer Produkte.
Zwei Rollen, zwei Handlungen: Als Käufer klären Sie den Datenzugang im Angebot. Als Auftraggeber einer Entwicklung schreiben Sie ihn ins Lastenheft.
Nicht zu verwechseln mit den Data-Act-Regeln zum Wechsel des Cloud-Anbieters und nicht mit der Meldepflicht des Cyber Resilience Act ab dem 11. September 2026.

Das ist nicht der Cloud-Wechsel aus dem August

Der Data Act ist ein Rechtsakt mit mehreren Pflichten, die wenig miteinander zu tun haben. Im Beitrag „Cloud-Anbieter wechseln: feste Fristen, ab 2027 ohne Gebühr" vom 12. August 2026 ging es um Verträge über Cloud-Dienste: um Kündigungsfristen, um den Übergang zu einem anderen Anbieter und um das Verbot von Wechselentgelten ab dem 12. Januar 2027. Hier geht es um etwas anderes: um Geräte, die in Ihrem Betrieb stehen, und um die Frage, wie deren Daten herauskommen. Gleicher Rechtsakt, andere Pflicht, anderer Ansprechpartner — dort Ihr Cloud-Anbieter, hier Ihr Maschinen- oder Gerätelieferant.

Was der Stichtag praktisch bedeutet

Drei Punkte aus dem Wortlaut sind für die Praxis entscheidend.

Er gilt für Neuware. Maßgeblich ist, wann das Produkt in Verkehr gebracht wird — nicht, wann Sie es bestellen, und schon gar nicht, wann Sie es in Betrieb nehmen. Für die Anlage, die seit 2021 in Ihrer Halle läuft, ändert sich durch diesen Stichtag nichts an der Bauweise. Ob ein Gerät aus dem Lager des Händlers, ein Ausstellungsstück oder eine im Sommer 2026 gefertigte Charge darunterfällt, ist eine Rechtsfrage und keine Liefertermin-Frage. Wer nah am Stichtag beschafft, sollte sie stellen, statt sie sich selbst zu beantworten.

Er erfasst auch den verbundenen Dienst. Genannt sind „vernetzte Produkte und die mit ihnen verbundenen Dienste". Das ist der Teil, der im Einkauf am häufigsten untergeht: Die Daten liegen selten im Gerät, sondern in der App, im Portal, in der Cloud des Herstellers. Eine Zusage über das Gerät allein hilft Ihnen deshalb wenig.

Er steht unter einem Vorbehalt. „Soweit der direkte Zugang relevant und technisch durchführbar ist" — dieser Halbsatz gehört zum Wortlaut der Behörde. Er ist der Grund, warum aus dem Stichtag keine pauschale Zusicherung wird, dass jedes Gerät ab Werk eine offene Schnittstelle hat. Was im Einzelfall relevant und technisch durchführbar ist, entscheidet nicht der Käufer und nicht dieser Beitrag. Für Ihre Beschaffung ist das aber kein Grund zu schweigen, sondern der Anlass, eine Begründung zu verlangen, wenn ein Lieferant den direkten Zugang ablehnt.

Als Käufer: die Frage gehört ins Angebot

Der praktische Hebel liegt vor der Unterschrift. Danach ist der Datenzugang eine Bitte, vorher ist er ein Punkt in der Verhandlung. Fünf Fragen genügen, und keine davon setzt technisches Wissen voraus:

Welche Daten entstehen bei der Nutzung dieses Produkts? Eine Liste, keine Beschreibung des Portals.
Wie kommen wir an diese Daten heran, ohne Sie zu fragen? Gibt es einen direkten Zugang am Gerät oder eine Schnittstelle, oder führt jeder Weg über Ihr Portal?
In welchem Format, und wie oft? Ein Bildschirm mit Diagrammen ist kein Datenzugang. Eine Datei, die sich weiterverarbeiten lässt, ist einer.
Was kostet der Zugang? Ist er im Kaufpreis enthalten, hängt er an einem Wartungsvertrag oder an einem Zusatzmodul mit eigener Laufzeit?
Was passiert, wenn die Geschäftsbeziehung endet? Bleiben die bisherigen Daten abrufbar, und in welcher Form?

Diese Fragen gehören schriftlich gestellt und schriftlich beantwortet — nicht aus Misstrauen, sondern weil eine Antwort am Telefon sich später weder nachlesen noch jemandem vorlegen lässt. Und sie lohnen sich unabhängig vom Stichtag: Auch bei einem Gerät, das nicht unter die neue Anforderung fällt, ist der Datenzugang verhandelbar. Er wird nur nicht von selbst zum Thema.

Als Auftraggeber: eine Zeile ins Lastenheft

Die zweite Rolle trifft weniger Betriebe, dafür härter. Wer selbst etwas Vernetztes herstellen oder bauen lässt — eine Steuerung, ein Messgerät, eine Anlage mit Fernwartung —, gibt ein vernetztes Produkt weiter. Dann ist der Datenzugang nicht mehr eine Frage an den Lieferanten, sondern eine Anforderung an das eigene Produkt.

Der teure Fehler ist zeitlich, nicht technisch. Datenzugang, der von Anfang an vorgesehen ist, kostet Entwurfsarbeit. Datenzugang, der nachträglich in eine fertige Firmware und ein fertiges Portal eingebaut wird, kostet ein Projekt. Wer eine Entwicklung beauftragt, sollte die Anforderung deshalb in dieselbe Liste schreiben wie Spannungsversorgung und Schutzart, und nicht in die Wunschliste für Version 2.

Zwei Punkte gehören dabei ausdrücklich in den Auftrag: dass der Zugang auch den verbundenen Dienst umfasst, also App und Portal, und wer welche Rolle trägt, wenn Sie ein zugekauftes Gerät unter eigenem Namen weitergeben. Die zweite Frage ist rechtlich zu klären und nicht technisch zu lösen.

Drei Termine, die alle am Inverkehrbringen hängen

Für Betriebe, die etwas Vernetztes nach außen geben, fallen in diesem Zeitraum drei Pflichten zusammen, die man leicht in einen Topf wirft:

11. September 2026 — Meldepflicht des Cyber Resilience Act. Wird eine Schwachstelle im eigenen Produkt aktiv ausgenutzt, ist das binnen 24 Stunden zu melden. Beschrieben im Beitrag „Cyber Resilience Act: Meldepflicht ab 11. September 2026" vom 7. August 2026.
12. September 2026 — Produktgestaltungspflicht des Data Act. Der Nutzer soll an die Daten kommen, die bei der Nutzung entstehen. Darum geht es in diesem Beitrag.
9. Dezember 2026 — neue Produkthaftung. Software zählt haftungsrechtlich als Produkt; die Regeln gelten für Produkte, die nach diesem Tag in Verkehr gebracht oder in Betrieb genommen werden. Beschrieben im Beitrag „Software wird zum Produkt: Frist 9. Dezember 2026" vom 17. Juli 2026.

Die drei Termine liegen dicht beieinander und knüpfen alle daran an, dass ein Produkt den Betrieb verlässt. Sie sind trotzdem nicht dasselbe: Jeder Rechtsakt beschreibt diesen Moment mit eigenen Worten und zieht die Grenze für sich. Eine einzige Auskunft Ihres Lieferanten deckt also nicht alle drei ab — und eine Antwort zum Cyber Resilience Act sagt nichts über den Datenzugang.

Was wir hier nicht behaupten

Dieser Beitrag stützt sich auf die Darstellung der Bundesnetzagentur als zuständiger deutscher Behörde. Den Verordnungstext selbst haben wir dafür nicht im Original eingesehen. Drei Punkte lassen wir deshalb offen, statt sie plausibel klingend zu füllen.

Wen die Pflicht als Verpflichteten trifft. Ob im Einzelfall der Hersteller, der Importeur oder derjenige haftet, der ein Gerät unter eigenem Namen weitergibt, geht aus der eingesehenen Darstellung nicht hervor.
Welche Ansprüche für Geräte gelten, die heute schon laufen. Die Produktgestaltungspflicht betrifft sie nicht. Ob und in welchem Umfang für sie andere Regeln des Data Act greifen, prüfen wir hier nicht — dass wir es offen lassen, heißt ausdrücklich nicht, dass es nichts gibt.
Ob es Ausnahmen nach Unternehmensgröße gibt. Größenabhängige Erleichterungen sind in europäischen Rechtsakten üblich; ob und wie sie hier greifen, haben wir nicht geprüft. Verlassen Sie sich darauf nicht, ohne es klären zu lassen.

Ein Hinweis zur Haltbarkeit dieses Beitrags: In Fachbeiträgen wird über mögliche Änderungen am Data Act auf europäischer Ebene berichtet. Wir haben dazu keine amtliche Quelle geprüft und sagen deshalb nichts darüber, ob und was sich ändert. Der 12. September 2026 ist der Stand, den die zuständige Behörde am 13. August 2026 nennt.

Was Sie jetzt tun können

Die anstehenden Beschaffungen durchsehen. Steht bis Ende 2026 eine vernetzte Maschine, ein Fahrzeug mit Telematik oder ein Messgerät auf der Liste? Dann gehört der Datenzugang in die Anfrage.
Die fünf Fragen an Ihren Lieferanten schriftlich stellen — bei laufenden Angeboten sofort, nicht erst beim nächsten Gerät.
Prüfen, ob Sie selbst etwas Vernetztes weitergeben. Wer ein Gerät mit eigener Software ausliefert oder unter eigenem Namen weiterverkauft, sollte seine Rolle rechtlich klären lassen — für diesen Stichtag und für den 11. September 2026 gleich mit.
Aufschreiben, welche Geräte im Betrieb überhaupt Daten erzeugen und wo diese Daten landen. Diese Liste gibt es in den wenigsten Betrieben, und ohne sie bleibt jeder Anspruch theoretisch.
Bei laufenden Entwicklungsaufträgen das Lastenheft aufschlagen. Steht dort etwas zum Datenzugang? Wenn nein, ist der günstigste Zeitpunkt für die Ergänzung der heutige.

Fazit

Der 12. September 2026 ist kein Termin, an dem in Ihrem Betrieb etwas umgestellt werden muss. Er ist ein Termin, ab dem Sie beim Einkauf mehr verlangen können — und ab dem Sie beim eigenen Produkt mehr liefern müssen. Beides entscheidet sich in Papierform, im Angebot und im Lastenheft, nicht an der Maschine.

Wenn Sie mögen, gehen wir Ihre anstehenden Beschaffungen mit Ihnen durch, formulieren die Fragen an den Lieferanten so, dass eine überprüfbare Antwort herauskommt, und ordnen die Antworten ein. Bei einer eigenen Entwicklung helfen wir, die Anforderung an den Datenzugang so ins Lastenheft zu schreiben, dass sie später nachweisbar erfüllt ist. Eigene Entwickler haben wir nicht — Software entsteht bei uns über einen Partner. Die rechtliche Bewertung Ihres Einzelfalls bleibt bei Ihrer Rechtsberatung.

Rechtlicher Hinweis: Dieser Beitrag beschreibt die Rechtslage in ihren Grundzügen und ist keine Rechtsberatung. Ob und wie eine Vorschrift auf Ihr Unternehmen zutrifft, lassen Sie im Einzelfall rechtlich prüfen. Stand dieses Beitrags: 13. August 2026.

Vernetzte Geräte ab 12. September 2026: Datenzugang ab Werk