EU Data Act: Gerätedaten-Anfragen in Zypern bearbeiten

Vernetztes Produkt, verbundenen Dienst und Dateninhaber bestimmen

Ein vernetztes Produkt erzeugt Daten über seine Nutzung oder Umgebung und kann sie über einen elektronischen Kommunikationsdienst oder eine physische Verbindung übermitteln. Dazu gehören Verbrauchergeräte ebenso wie industrielle Maschinen. Ein verbundener Dienst ist ein digitaler Dienst, der Funktionen des Produkts ermöglicht oder erweitert, etwa eine App zur Steuerung eines Haushaltsgeräts. Ein Händler in Zypern, der fremde Geräte verkauft, kann vorvertragliche Informationspflichten haben, ohne selbst die Sensordaten zu halten. Hersteller, Cloud-Betreiber und App-Anbieter können verschiedene Rollen besitzen. Ordnen Sie die technischen und vertraglichen Beziehungen zu, bevor ein einziges Team pauschal für alle Anfragen verantwortlich gemacht wird.

Nutzer kann eine natürliche oder juristische Person sein, die das vernetzte Produkt besitzt, mietet oder least oder den verbundenen Dienst erhält. Dateninhaber ist die Stelle, die nach der Verordnung oder anderem Recht berechtigt oder verpflichtet ist, bestimmte Daten zu verwenden und bereitzustellen. Bei einem intelligenten Gerät und einer zugehörigen App können verschiedene Datenströme bei verschiedenen Akteuren liegen. Halten Sie fest, wer Sensordaten, Ereignisse des Dienstes, Speicherung und Export kontrolliert. Das ist auch dann nötig, wenn eine zyprische Tochtergesellschaft den Kundendienst übernimmt, technische Daten aber bei einer anderen Konzerngesellschaft liegen.

Diese Frage unterscheidet sich von einem Auskunftsanspruch nach der DSGVO. Ein Unternehmen kann als Nutzer nicht personenbezogene Maschinendaten nach dem Data Act verlangen, während ein Betroffener personenbezogene Informationen nach Datenschutzrecht anfordert. Gerätedaten können jedoch zugleich personenbezogen sein, etwa Standortdaten eines Fahrers. Leiten Sie daher nicht jedes Data-Act-Ticket an ein Datenschutzpostfach mit einer ungeprüften Monatsfrist weiter. Ebenso wenig darf der Gerätebesitz allein als Erlaubnis dienen, Daten anderer Personen offenzulegen. Die erste Einordnung muss den Rechtsweg benennen und Überschneidungen an Datenschutzfachleute eskalieren.

Für das andere Verfahren der Auskunft über personenbezogene Daten lesen Sie den DSGVO-Leitfaden für Auskunftsanfragen.

Rohdaten, vorverarbeitete Daten und Verfügbarkeit erfassen

Kapitel II betrifft Produktdaten und Daten verbundener Dienste einschließlich der Metadaten, die zu ihrer Auslegung und Nutzung nötig sind. Nach der Erläuterung der Kommission stehen ohne Weiteres verfügbare Rohdaten und vorverarbeitete Daten im Mittelpunkt. Beispiele sind Temperatur-, Druck-, Standort- und Betriebszustandswerte einer Maschine. Stark abgeleitete Analysen oder Inhalte sind grundsätzlich nicht dieselbe Zugangskategorie: Ein mit erheblicher Auswertung entwickelter Prognosewert ist nicht automatisch gleichzustellen mit den zugrunde liegenden Sensorwerten. Erfassen Sie pro Datenfeld die Quelle, Verarbeitungsstufe, rechtliche und technische Verfügbarkeit sowie die für eine sinnvolle Nutzung erforderlichen Metadaten.

Vermeiden Sie zwei gegensätzliche Fehler. Rohdaten dürfen nicht allein deshalb zurückgehalten werden, weil sie wirtschaftlich wertvoll sind oder weil ein kostenpflichtiges Dashboard eine Zusammenfassung zeigt. Umgekehrt muss der Anbieter nicht ohne Prüfung jeden proprietären Modellausgang, Film oder Softwarebestandteil herausgeben, der mit einem Gerät zusammenhängt. Das Beispiel der Kommission unterscheidet etwa Helligkeitsdaten eines Fernsehbildschirms vom abgespielten audiovisuellen Inhalt. Legen Sie für Entwickler eine Klassifikation mit konkreten Feldern an. Grenzfälle verarbeitet ein juristischer Prüfer anhand der gesetzlichen Definitionen, nicht anhand eines internen Etiketts wie „abgeleitet“.

Ein brauchbares Datenverzeichnis enthält Produktfamilie, Modell, Firmware, Sensor oder Ereignis, Einheit, Abtastrate, Zeitstempelstandard, Speicherfrist, Speicherort und Exportformat. Der gleiche Begriff kann in Gerät und App verschiedene Größen meinen. Wenn ein Landwirt drei Monate Betriebsdaten anfordert, muss der Export gegebenenfalls Zeitzone, Lücken, Kalibrierung und Messeinheiten erklären. Artikel 4 verlangt relevante Metadaten und grundsätzlich dieselbe Qualität wie beim Dateninhaber. Eine CSV-Datei voller Zahlen ohne Feldbeschreibung kann technisch Werte enthalten, dem Nutzer aber keinen sinnvoll interpretierbaren Zugang geben.

Für zulässige Speicherfristen bei personenbezogenen Daten nutzen Sie den Leitfaden zu DSGVO-Aufbewahrungsfristen.

Die Termine 2025 und 2026 getrennt anwenden

Nach Artikel 50 gilt die Datenverordnung grundsätzlich seit dem 12. September 2025. Die spezielle Gestaltungspflicht aus Artikel 3 Absatz 1 gilt für vernetzte Produkte und verbundene Dienste, die nach dem 12. September 2026 in Verkehr gebracht werden. Bei einem neuen Gerät im Oktober 2026 muss das Team daher den standardmäßigen unmittelbaren Datenzugang im Produktdesign prüfen. Ein älteres Modell und ein neu in Verkehr gebrachtes Modell können insoweit unterschiedlich behandelt werden. Der spätere Gestaltungstermin verschiebt aber nicht die gesamte Verordnung und insbesondere nicht pauschal den Zugang auf Antrag nach Artikel 4.

Artikel 3 enthält außerdem vorvertragliche Informationen über Art, Format und geschätzten Umfang der Produktdaten, deren laufende Erzeugung, Speicherung und Möglichkeiten zum Zugriff oder Löschen. Für verbundene Dienste gibt es weitere Informationspunkte. Prüfen Sie Produktseite, Bestellablauf, Mietvertrag und App-Anmeldung gegen die jeweils anwendbaren Absätze. Eine allgemeine Datenschutzerklärung reicht dafür nicht aus. Auch ein gewerblicher Nutzer muss vor Vertragsschluss verstehen, welche Daten das Gerät erzeugt und wie er darauf zugreifen kann. Pflegen Sie deshalb ein Datenblatt, das bei Änderungen der Firmware oder des Dienstes aktualisiert wird.

Beim Entwurf neuer Produkte testen Sie, ob Daten einfach, sicher, unentgeltlich und in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format zugänglich sind. Wo es relevant und technisch durchführbar ist, soll der Zugang unmittelbar erfolgen. Ein Bildschirmfoto des Dashboards mag lesbar sein, ermöglicht aber keine maschinelle Weiterverarbeitung. Eine API wiederum ist ohne Anleitung für viele Verbraucher kaum nutzbar. Produktmanagement sollte Zugriffsweg, Authentifizierung, Metadaten, Unterstützung und Grenzen der technischen Durchführbarkeit dokumentieren und Download, API und Weitergabe an Dritte gesondert erproben.

Ein sicheres und einfaches Verfahren für Nutzeranfragen aufbauen

Kann der Nutzer nicht direkt auf die Daten zugreifen, muss der Dateninhaber ihm nach Artikel 4 die ohne Weiteres verfügbaren Daten und nötigen Metadaten ohne ungerechtfertigte Verzögerung, einfach, sicher und unentgeltlich zur Verfügung stellen. Format und Qualität müssen den gesetzlichen Anforderungen entsprechen; eine einfache elektronische Anfrage soll soweit technisch durchführbar möglich sein. Das Formular sollte Person, Produkt, Zeitraum, Datenstrom und gewünschten Übermittlungsweg erfassen, ohne eine unnötige Begründung des geschäftlichen Zwecks zu verlangen. Prüfen Sie Eigentum, Miete oder Dienstberechtigung und schützen Sie Daten anderer Personen bei gemeinsam genutzten Geräten.

Protokollieren Sie Eingangsdatum, Gerätekennung, Datenverzeichnis, Berechtigungsprüfung, Rechtsgrundlage für personenbezogene Daten, erzeugten Export, Sicherheitskontrolle, Zustellung und eine etwaige Einschränkung. Das Ticket muss die tatsächlich gelieferten Felder nachvollziehbar machen. Wenn eine Datenart nicht geliefert werden kann, unterscheiden Sie zwischen niemals erfassten, nicht ohne Weiteres verfügbaren und rechtmäßig gelöschten Daten. Erklären Sie den wirklichen Grund und prüfen Sie eine verfügbare Alternative statt einer leeren Datei ohne Erläuterung. Für den Zugang des Nutzers nach Artikel 4 darf der Dateninhaber keine Gebühr verlangen; andere Beziehungen zwischen Unternehmen haben andere Vergütungsregeln.

Bei Fahrzeugflotten oder gemeinsam genutzten Maschinen ist zu prüfen, wer für welchen Zeitraum Nutzer im Sinn des Data Act ist. Eigentümer, Leasingnehmer, Fahrer und Wartungsbetrieb haben möglicherweise unterschiedliche Interessen. Sensordaten können Bewegungen einzelner Personen offenbaren. Ein aktuelles Kontologin berechtigt nicht automatisch zum Export aller früheren Standortdaten. Begrenzen Sie den Datenausschnitt nach Gerät und Zeitraum und führen Sie für personenbezogene Felder zusätzlich die DSGVO-Prüfung durch. Für streitige Nutzungsrechte braucht der Kundendienst eine Eskalationsregel, damit er weder vorschnell alles freigibt noch ohne Prüfung jede Anfrage ablehnt.

Identitätsprüfung und Datenschutzrechte sind getrennt erläutert im Leitfaden zu DSGVO-Auskunftsersuchen.

Die Weitergabe auf Weisung des Nutzers an Dritte steuern

Artikel 5 eröffnet dem Nutzer unter den Voraussetzungen der Verordnung die Möglichkeit, die Bereitstellung ohne Weiteres verfügbarer Daten an einen von ihm gewählten Dritten zu verlangen. Ein unabhängiger Reparatur- oder Wartungsbetrieb ist ein praktisches Beispiel. Bestimmte nach dem Digital Markets Act benannte Gatekeeper sind von dieser Empfängerrolle ausgeschlossen. Verifizieren Sie die Weisung, die Identität des Empfängers, die betroffenen Datenarten und den Übermittlungsweg. Wo der gesetzliche Direktweg gilt, sollte der Nutzer große Dateien nicht unnötig selbst weiterreichen müssen; ein offener Downloadlink an eine ungeprüfte E-Mail-Adresse ist allerdings kein sicherer Ersatz.

Dokumentieren Sie Schnittstelle und Bedingungen für die Nutzung durch den Dritten, einschließlich vereinbartem Zweck, Datenschutz, Geschäftsgeheimnissen und technischen Schutzmaßnahmen. Die Datenverordnung untersagt Dritten bestimmte Verwendungen, darunter die Entwicklung eines konkurrierenden vernetzten Produkts. Daraus folgt kein pauschales Verbot unabhängiger Reparaturdienstleistungen. Das Vorgangsprotokoll sollte Nutzerweisung, Empfänger, Produkt, Zeitraum und Zustellung enthalten. Wenn später Missbrauch behauptet wird, lässt sich damit feststellen, welche Daten der Inhaber zu welcher Zeit auf welcher Grundlage übertragen hat.

Bei personenbezogenen Daten ersetzt das Nutzerrecht aus dem Data Act keine gültige Rechtsgrundlage nach der DSGVO. Ist der Data-Act-Nutzer nicht selbst die betroffene Person, verlangt die Verordnung eine entsprechende datenschutzrechtliche Grundlage, bevor solche Daten an einen Dritten gehen. Ein Fuhrparkbetreiber darf daher nicht automatisch die gesamte Standortgeschichte aller Fahrer an ein externes Analyseunternehmen übertragen, nur weil er den Leasingvertrag geschlossen hat. Identifizieren Sie betroffene Personen und Felder, prüfen Sie die Bedingungen für eine Offenlegung und trennen Sie gegebenenfalls nicht personenbezogene Maschinendaten ab.

Sicherheits- und Geheimnisschutz eng begründen

Der Data Act enthält Schutzvorkehrungen für Produktsicherheit, Cybersicherheit und Geschäftsgeheimnisse. Sie sind keine generelle Ausnahme für wirtschaftlich interessante Daten. Artikel 4 lässt unter bestimmten Bedingungen eine vertragliche Beschränkung zu, wenn Zugang, Nutzung oder Weitergabe rechtlich vorgeschriebene Sicherheitsanforderungen untergraben und Gesundheit, Sicherheit oder Schutz natürlicher Personen ernsthaft beeinträchtigen könnten. Eine darauf gestützte Ablehnung kann eine Mitteilung an die zuständige Behörde erfordern. Dokumentieren Sie die konkrete Gefahr, die betroffenen Felder und warum eine engere sichere Bereitstellung nicht ausreicht. Die Formel „unsere Sicherheitsrichtlinie verbietet Exporte“ ist zu unbestimmt.

Geschäftsgeheimnisse können durch vereinbarte technische und organisatorische Maßnahmen geschützt werden. Artikel 5 enthält besondere Regeln für die Weitergabe an Dritte und lässt eine außergewöhnliche Verweigerung im Einzelfall bei hoher Wahrscheinlichkeit eines schweren wirtschaftlichen Schadens trotz Schutzmaßnahmen zu. Prüfen Sie die genauen gesetzlichen Voraussetzungen und den jeweils geltenden Text, bevor Sie diese Grenze anwenden. Nicht alle Daten eines patentierten oder proprietären Geräts sind automatisch geheim. Benennen Sie das konkrete Geheimnis, seinen Inhaber und die notwendige Vertraulichkeitsmaßnahme. Kann nur ein kleiner Teil nicht sicher geteilt werden, prüfen Sie die Freigabe der übrigen Daten mit Metadaten.

Cybersicherheit sollte den rechtmäßigen Zugang ermöglichen statt ihn pauschal zu blockieren. Starke Authentifizierung, zeitlich und sachlich begrenzte Berechtigungen, verschlüsselter Transport, Ratenbegrenzung und Protokolle mindern das Risiko unbefugter Weitergabe. Ein Prozess, bei dem ein Entwickler rohe Datenbankdateien per E-Mail verschickt, ist schwer zu kontrollieren und zu wiederholen. Testen Sie, dass der Export andere Nutzer schützt, keine Steuerbefehle an Geräte einschleust und seine Vollständigkeit überprüfbar bleibt. Wenn ein Echtzeitstrom technisch nicht möglich ist, halten Sie die Ursache fest; die einschlägigen Pflichten enthalten ausdrückliche Grenzen der technischen Durchführbarkeit.

Für den Umgang mit einem Sicherheitsvorfall nach Datenschutzrecht siehe den Leitfaden zur DSGVO-Datenpanne.

Drei Anfragen zu vernetzten Produkten durchspielen

Ein Anbieter vernetzter Bewässerungsgeräte in Zypern erhält von einem landwirtschaftlichen Betrieb eine Anfrage nach zeitgestempelten Durchfluss- und Druckwerten. Ein unabhängiger Wartungsdienst soll damit Wasserverbrauch optimieren. Der Anbieter prüft die Stellung des Betriebs als Nutzer, ordnet die ohne Weiteres verfügbaren Sensorfelder zu und ergänzt Einheiten sowie Zeitstempel. Er verifiziert die Weisung zur Weitergabe an den benannten Dienst. Rohwerte werden nicht allein zurückgehalten, weil das eigene Dashboard Analysen verkauft. Umgekehrt wird ein proprietärer Prognosewert nicht ungeprüft als Teil derselben Zugangskategorie versprochen. Das Vorgangsprotokoll belegt die rechtliche und technische Übertragung.

Eine Autovermietung fordert für eine vernetzte Fahrzeugflotte historische Standortdaten an. Der Geräteanbieter trennt nicht personenbezogene Telemetrie von Bewegungsprofilen identifizierbarer Fahrer, verifiziert die Nutzerstellung für die betroffenen Fahrzeuge und legt die personenbezogenen Felder dem Datenschutzteam vor. Er gibt nicht jede frühere Fahrt heraus, nur weil der Vermieter den Flottenvertrag unterschrieben hat. Soweit eine tragfähige Rechtsgrundlage die Bereitstellung erlaubt, begrenzt der Export Fahrzeuge und Zeiträume. Metadaten erklären Zeitzonen und Datenlücken, damit eine zulässige Auswertung nicht zu falschen Schlüssen führt.

Ein Hersteller bringt nach dem 12. September 2026 ein neues Smart-Home-Gerät in Verkehr. Die App zeigt schöne Diagramme, bietet aber keinen strukturierten Export; der Kundendienst verschickt auf Nachfrage Bildschirmfotos. Produkt- und Rechtsteam prüfen die Gestaltungspflicht aus Artikel 3 Absatz 1, schaffen einen sicheren maschinenlesbaren Download und beschreiben die relevanten Felder. Sie ergänzen vorvertragliche Angaben zu Datenmenge, Speicherung und Zugriff. Die Gestaltungspflicht wird für das neu in Verkehr gebrachte Produkt geprüft; Anfragen nach Artikel 4 zu bereits verwendeten Geräten werden daneben anhand der ohne Weiteres verfügbaren Daten bearbeitet.

Für jedes Produkt eine prüfbare Data-Act-Akte führen

Die Produktakte sollte Rollenübersicht, Datenverzeichnis, Regeln zur Nutzerberechtigung, vorvertragliche Informationen, Exportformat, Metadatenwörterbuch, Gestaltungstest nach Artikel 3, Verfahren nach Artikel 4, Weitergabe nach Artikel 5 sowie Datenschutz- und Sicherheitsentscheidungen umfassen. Firmware- oder Cloud-Änderungen können zusätzliche Datenströme erzeugen oder Speicherfristen verändern und müssen nachvollziehbar erfasst werden. Testen Sie eine Musteranfrage mit einer Person ohne Kenntnis des technischen Systems: Findet sie den Zugang, kann sie sich authentifizieren, erhält sie eine verständliche Datei und versteht sie einen begründeten Ausschluss? Praktische Tests entdecken Lücken, die eine Richtlinie auf Papier nicht zeigt.

Benennen Sie Verantwortliche in Produktentwicklung, Kundendienst, IT-Sicherheit, Datenschutz und Recht. Das Supportteam muss erkennen, ob es eine Data-Act-Anfrage, ein DSGVO-Auskunftsersuchen oder einen Antrag zum Wechsel des Cloud-Anbieters bearbeitet; Umfang und Verfahren unterscheiden sich. Dokumentieren Sie den tatsächlich gelieferten Datensatz und die dem Inhaber damals verfügbare technische Qualität. Bei gemeinsamer Gerätenutzung muss die Akte zeigen, wie Daten anderer Personen geschützt wurden. Für die Weitergabe an Dritte bewahren Sie die Weisung des Nutzers und die Empfängerprüfung auf. Vorlagen werden bei neuen Sensoren und Diensten überprüft, nicht erst nach einer schwierigen Beschwerde.

Im Oktober 2026 liegt ein Vorschlag des Digital Omnibus vor, der Teile der Datenverordnung ändern würde. Solange er nicht angenommen ist, darf er nicht anstelle der geltenden Vorschriften verwendet werden. Prüfen Sie den aktuellen EUR-Lex-Text und die Hinweise der Kommission, bevor Sie eine Ablehnung oder ein Produktdesign auf eine mögliche Änderung stützen. Diese Seite betrifft Daten aus vernetzten Produkten und verbundenen Diensten; für den Wechsel von Cloud-Anbietern ist eine gesonderte Analyse nötig. Ziel ist eine nachvollziehbare Antwort mit brauchbaren Daten, wo das Recht Zugang verlangt, und präzise begründeten Grenzen bei Datenschutz, Geheimnissen und Sicherheit.

Primärquellen und Geltungsbereich

Quellenabgleich: 8. Oktober 2026. Dieser Leitfaden bezieht sich auf die Republik Zypern. Beispiele sind hypothetisch und keine Kundenfälle. Prüfen Sie vor einer Einreichung die aktuellen amtlichen Anforderungen.

• Verordnung (EU) 2023/2854 (Datenverordnung), Artikel 3 bis 5 und 50
• Europäische Kommission: Erläuterung des Data Act
• Europäische Kommission: Zugang zu Daten vernetzter Geräte
• Kommissionsvorschlag COM(2025) 837, Digital Omnibus

Praktische Leitfäden zu diesem Thema

• EU Data Act: Cloud-Wechselklauseln für SaaS-Anbieter in Zypern

  Verträge für Cloud- und SaaS-Wechsel nach dem EU Data Act: Exportdaten, Fristen, technische Schnittstellen, Löschung und Wechselentgelte ab 2027.