Verordnung (EU) 2023/2854 des Europäischen Parlaments und des Rates vom 13. Dezember 2023 über harmonisierte Vorschriften für einen fairen Datenzugang und eine faire Datennutzung sowie zur Änderung der Verordnung (EU) 2017/2394 und der Richtlinie (EU) 2020/1828 (Datenverordnung) (Text von Bedeutung für den EWR)

Die Verordnung (EU) 2023/2854 ist eine unmittelbar geltende EU-Verordnung auf Grundlage von Artikel 114 AEUV und ordnet den fairen Zugang zu sowie die Nutzung von Daten im Binnenmarkt unionsweit harmonisiert. Systematisch verbindet sie Datenzugang bei vernetzten Produkten und verbundenen Diensten, Pflichten zur Datenweitergabe zwischen Unternehmen, Regeln für Datenzugang öffentlicher Stellen in Ausnahmesituationen, Cloud-Wechsel sowie Interoperabilität. Sie ergänzt insbesondere Datenschutz-, Verbraucher-, Wettbewerbs- und Immaterialgüterrecht, ohne deren Vorrang oder Schutzstandards aufzuheben. Inhaltlich stärkt sie Nutzerrechte an Produkt- und Dienstdaten, begrenzt missbräuchliche Vertragsklauseln und schafft unionsweite Vorgaben für Datenbereitstellung, Geschäftsgeheimnisschutz und Anbieterwechsel. • Der Anwendungsbereich erfasst Hersteller vernetzter Produkte, Anbieter verbundener Dienste, Nutzer in der Union, Dateninhaber, Datenempfänger, öffentliche Stellen, die Kommission, die Europäische Zentralbank, Einrichtungen der Union, Anbieter von Datenverarbeitungsdiensten, Teilnehmer an Datenräumen sowie Anbieter oder Einführer intelligenter Verträge. Er gilt für personenbezogene und nicht-personenbezogene Daten je nach Kapitel, insbesondere für Produktdaten, verbundene Dienstdaten, Datenweitergabe zwischen Unternehmen, Datenzugriffe öffentlicher Stellen bei außergewöhnlicher Notwendigkeit sowie Cloud- und Edge-Dienste. Ausgenommen sind unter anderem Inhalte als solche, bestimmte Strafverfolgungs-, Zoll- und Steuerzwecke, Bereiche außerhalb des Unionsrechts wie nationale Sicherheit sowie in Teilen Kleinst- und Kleinunternehmen und vorübergehend bestimmte mittlere Unternehmen. Zudem gilt die Verordnung nur eingeschränkt für bestimmte individuell entwickelte Datenverarbeitungsdienste und wahrt den Vorrang des Datenschutzrechts bei personenbezogenen Daten. • In der Praxis müssen vernetzte Produkte und verbundene Dienste so gestaltet werden, dass Nutzer ihre Daten leicht, sicher, unentgeltlich und möglichst direkt erhalten und an Dritte weitergeben können. Dateninhaber müssen dafür Verfahren, Formate, Transparenz und Schutz von Geschäftsgeheimnissen organisatorisch und technisch absichern. Unternehmen müssen Vertragsmuster, Datenfreigaben, Drittzugriffe und Cloud-Ausstiegsprozesse überprüfen und an die unionsweiten Vorgaben anpassen. Für öffentliche Stellen eröffnet die Verordnung einen eng begrenzten Datenzugang in Notlagen oder sonstigen Fällen außergewöhnlicher Notwendigkeit.

Stand: 26.05.2026

Hersteller vernetzter Produkte und Anbieter verbundener Dienste: • Produkte und Dienste so konzipieren und bereitstellen, dass Produktdaten und verbundene Dienstdaten für Nutzer einfach, sicher, unentgeltlich und in maschinenlesbarem Format zugänglich sind. • Vor Vertragsschluss klare Informationen zu Art, Format, Umfang, Speicherung und Zugriffsmöglichkeiten der Daten bereitstellen. • Geschäftsgeheimnisse vor Offenlegung identifizieren und angemessene technische und organisatorische Schutzmaßnahmen vereinbaren. • Empfehlung: Datenzugangs- und Berechtigungskonzepte bereits in Entwicklung, Vertragsgestaltung und Schnittstellenmanagement integrieren. Dateninhaber: • Nutzern und auf deren Verlangen Dritten ohne Weiteres verfügbare Daten unverzüglich, sicher und in geeigneter Qualität bereitstellen. • Nicht-personenbezogene Daten des Nutzers nur auf vertraglicher Grundlage nutzen und nicht zur Schwächung seiner Marktposition einsetzen. • Bei gesetzlicher Datenbereitstellung faire, angemessene, nichtdiskriminierende und transparente Bedingungen gewährleisten. • Empfehlung: Standardisierte Prozesse für Zugangsverlangen, Geschäftsgeheimnisschutz, Gegenleistungsmodelle und Dokumentation einrichten. Nutzer: • Erlangte Daten nicht zur Entwicklung eines konkurrierenden vernetzten Produkts verwenden. • Keine technischen Schutzmaßnahmen oder Sicherheitslücken ausnutzen, um Daten unbefugt zu erlangen. • Bei Verarbeitung personenbezogener Daten die datenschutzrechtliche Rechtsgrundlage sicherstellen, wenn die nutzende Stelle nicht selbst betroffene Person ist. • Empfehlung: Rechte auf Datenzugang und Datenweitergabe strategisch für Wartung, Folgedienste und Anbieterwechsel nutzen. Dritte/Datenempfänger: • Erhaltene Daten nur zu den mit dem Nutzer vereinbarten Zwecken verarbeiten und löschen, sobald sie dafür nicht mehr erforderlich sind. • Daten weder an Torwächter weitergeben noch für Profiling oder konkurrierende Produkte unzulässig verwenden. • Vereinbarte Schutzmaßnahmen für Geschäftsgeheimnisse strikt einhalten. • Empfehlung: Nutzungszwecke, Löschfristen und Geheimnisschutz vertraglich und technisch sauber abbilden. Anbieter von Datenverarbeitungsdiensten: • Wechselhindernisse abbauen und Kunden den Wechsel zu anderen Diensten oder zu eigener IKT-Infrastruktur vertraglich und technisch ermöglichen. • Verträge mit klaren Regelungen zu Kündigungsfrist, Übergangszeitraum, exportierbaren Daten und Löschung ausstatten. • Unzulässige Wechselentgelte abbauen und die erforderlichen Informationen zum Wechsel transparent bereitstellen. • Empfehlung: Exit-Prozesse, offene Schnittstellen und Interoperabilitätsstandards frühzeitig in das Service-Design aufnehmen. Öffentliche Stellen, Kommission, Europäische Zentralbank und Einrichtungen der Union: • Daten nur bei nachgewiesener außergewöhnlicher Notwendigkeit, zweckgebunden, verhältnismäßig und transparent verlangen. • Erhaltene Daten schützen, nur zweckentsprechend nutzen und nach Zweckerreichung löschen. • Bei personenbezogenen Daten und Geschäftsgeheimnissen besondere Schutzmaßnahmen umsetzen. • Empfehlung: Datenverlangen eng begründen, dokumentieren und institutionell mit Datenschutz- und Fachaufsicht abstimmen.