Ab dem 12. September 2026 unterliegen Hersteller vernetzter Produkte und Anbieter zugehöriger Dienstleistungen neuen Pflichten und Anforderungen, die ihre Produkte und Dienstleistungen erfüllen müssen (Artikel 3 Absatz 1 des Datenschutzgesetzes in Verbindung mit Artikel 50 des Datenschutzgesetzes). Diese Änderung fällt mit dem Ende einer der in der Verordnung (EU) 2023/2854 des Europäischen Parlaments und des Rates vom 13. Dezember 2023 (Datenschutzgesetz) vorgesehenen Übergangsfristen zusammen. Ab diesem Datum müssen Produkte, die auf den Markt kommen, bereits in der Entwicklungsphase den neuen Anforderungen entsprechen.
Wesen und Ziele des Datenschutzgesetzes
Diese Verordnung harmonisiert die Regeln für den fairen Zugang zu und die Nutzung von Daten. Ihre Hauptziele sind die Stärkung der datengetriebenen Wirtschaft der EU, die Förderung eines wettbewerbsfähigen Datenmarktes, die Schaffung von Rahmenbedingungen für Innovationen und die Gewährleistung eines möglichst breiten Datenzugangs. Vereinfacht ausgedrückt: Das Hauptziel des Datenschutzgesetzes ist es, sicherzustellen, dass nicht nur der Datenproduzent die Daten besitzt und von ihnen profitiert, sondern dass auch den Nutzern spezifische Rechte für den Zugriff, die Nutzung und die Weitergabe dieser Daten an Dritte ihrer Wahl eingeräumt werden.
Daher muss der Hersteller den Nutzern den Zugriff auf die Daten in strukturierter, lesbarer, sicherer und maschinenlesbarer Form sowie ohne unangemessene Verzögerung ermöglichen. Das Recht des Nutzers auf den Erhalt seiner Daten vom Inhaber ist mit dem Recht verbunden, diese Daten mit Dritten seiner Wahl zu teilen.
Das Datenschutzgesetz konzentriert sich primär auf nicht-personenbezogene Daten. Überschneidet es sich mit personenbezogenen Daten, sind die Bestimmungen der DSGVO parallel anzuwenden. Daher ist besondere Vorsicht geboten, da die Nichteinhaltung der sich aus diesen Rechtsvorschriften ergebenden Pflichten eine doppelte Haftung für die betroffenen Unternehmen zur Folge hat. Es ist außerdem zu beachten, dass diese Verordnung für alle Unternehmen gilt, die auf dem EU-Markt tätig sind, unabhängig von ihrem Sitz.
Für wen gilt das Datenschutzgesetz?
Die Verordnung verpflichtet primär zwei Kategorien von Unternehmen. Die erste Kategorie umfasst Hersteller vernetzter Produkte. Ein vernetztes Produkt ist ein Gegenstand, der zugängliche Daten über seine Nutzung oder Umgebung erfasst, generiert oder sammelt und diese Daten über einen elektronischen Kommunikationsdienst, eine physische Verbindung oder einen Gerätezugriff übermitteln kann – sofern seine Hauptfunktion nicht darin besteht, Daten im Auftrag eines Dritten zu speichern, zu verarbeiten oder zu übertragen. Die zweite Kategorie umfasst Anbieter vernetzter Dienste, d. h. digitale Dienste, die mit dem Produkt so verbunden sind, dass dessen Fehlen die Ausführung mindestens einer seiner Funktionen verhindern würde, oder die später mit dem Produkt verbunden werden, um dessen Funktionen zu aktualisieren oder zu modifizieren (Artikel 2 Ziffern 5 und 6 der Verordnung).
Diese Verordnung dürfte insbesondere für Hersteller von Unterhaltungselektronik und Smart-Home-Geräten, Fahrzeughersteller und deren Zulieferer, Hersteller von Industrie- und Landmaschinen sowie Hersteller von Medizinprodukten und Gesundheitsüberwachungsgeräten von Interesse sein. Geräte wie Smartphones und Computer fallen nicht unter den Anwendungsbereich der Verordnung. Dennoch betrifft das Datenschutzgesetz praktisch jeden, da die überwiegende Mehrheit von uns solche Produkte oder Dienstleistungen nutzt.
Welche Daten unterliegen der Offenlegungspflicht?
Gemäß der Verordnung sind auf Nutzeranfrage primär Rohdaten offenzulegen. Dies umfasst Daten, die von IoT-Geräten automatisch generiert werden – beispielsweise Daten zu Temperatur, Druck oder Standort, die von Sensoren in diesen Geräten erfasst werden. Diese Verpflichtung erstreckt sich teilweise auch auf vorverarbeitete Daten, sofern es sich um Rohdaten handelt, die für den Nutzer verständlich aufbereitet wurden, sowie auf Metadaten (z. B. Maßeinheiten), die für die korrekte Dateninterpretation erforderlich sind. Hochverarbeitete, abgeleitete oder erschlossene Daten unterliegen dieser Verpflichtung jedoch nicht. Es ist außerdem zu beachten, dass die Offenlegungspflicht keine Übertragung von Quellcode, Algorithmen oder Hersteller-Know-how erfordert.
Neue Gestaltungsverpflichtung (Barrierefreiheit durch Gestaltung) nach dem 12. September 2026
Ab diesem Datum unterliegen Hersteller und Anbieter zugehöriger Dienstleistungen – zusätzlich zur bestehenden Pflicht zur Bereitstellung von Daten auf Anfrage – einer Designverpflichtung, dem sogenannten „Access by Design“ (Artikel 3 DA). Alle Produkte und Dienstleistungen, die nach diesem Datum auf den Markt kommen, müssen den neuen Anforderungen entsprechen. Das bedeutet, dass der Datenzugriff bereits in der Designphase standardmäßig aktiviert sein muss, sodass der Nutzer ihn nicht anfordern oder verlangen muss. Produkte müssen so gestaltet sein, dass der Nutzer die benötigten Daten von seinem eigenen Gerät abrufen kann. Dies kann auf verschiedene Weise erfolgen, beispielsweise über eine Geräteschnittstelle, eine App oder einen Server. Ist es einem Produkt technisch nicht möglich, diese Anforderungen zu erfüllen, muss der Hersteller den Datenzugriff unter denselben Qualitätsbedingungen und ohne unangemessene Verzögerung gewährleisten.
Um zusammenzufassen
Das Datenschutzgesetz bringt zweifellos neue Verpflichtungen für Hersteller und zugehörige Dienstleister mit sich, deren Nichteinhaltung Sanktionen nach sich ziehen kann. Das Auslaufen der Übergangsfrist für die Anforderung des barrierefreien Zugangs durch Technikgestaltung – der 12. September 2026 – stellt diese Unternehmen vor erhebliche Herausforderungen. Sie müssen notwendige Prüfungen durchführen, die Lieferkette überprüfen, Verträge mit Unterauftragnehmern prüfen und Offenlegungspflichten sowie die Dokumentation vor dem Verkauf aktualisieren.
Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar.
Der aktuelle Stand der Rechtslage ist der 23. September 2026.
