Der EU Data Act ist eine der folgenreichsten Technologieregulierungen, die Europa seit der DSGVO verabschiedet hat, und er hat eine Frist, die schon jetzt zählt. Ab dem 12. September 2026 müssen vernetzte Produkte, die auf dem EU-Markt in Verkehr gebracht werden, so gebaut sein, dass die von ihnen erzeugten Daten für die Menschen zugänglich sind, die sie nutzen. Für alle, die mit Standortdaten arbeiten, ist das keine ferne juristische Abstraktion. Positionsdaten sind genau die Art maschinengenerierter Daten, um die es im Data Act geht.
Dieser Beitrag erklärt, was der Data Act ist, wie er sich von der DSGVO unterscheidet, warum Standortdaten in seinem Zentrum stehen und was er bedeutet, wenn Sie Produkte mit einer Karten- oder Standort-API bauen.
Was der Data Act tatsächlich regelt
Der Data Act, formell Regulation (EU) 2023/2854, beantwortet eine einfache Frage, die die DSGVO nicht stellt: Wer darf die Daten nutzen, die ein vernetztes Produkt erzeugt? Jahrelang lautete die Antwort in der Praxis: der Hersteller. Eine Maschine, ein Fahrzeug oder ein Sensor erzeugte große Datenmengen, und diese Daten flossen zurück an denjenigen, der das Gerät gebaut hatte, oft ohne einen unkomplizierten Weg für die Nutzerin oder den Nutzer, an sie heranzukommen.
Der Data Act ändert diesen Standard. Die Nutzerin oder der Nutzer eines vernetzten Produkts, also die Person oder das Unternehmen, das es gekauft oder geleast hat, hat ein Recht darauf, auf die erzeugten Daten zuzugreifen und sie mit einem Dritten der eigenen Wahl zu teilen. Der Hersteller darf diese Daten nicht länger als exklusives Gut behandeln. Das Gesetz führt außerdem Regeln für faire Vertragsbedingungen bei der Datenweitergabe ein, Schutz gegen unfaire Klauseln gegenüber kleineren Unternehmen und Pflichten, die den Wechsel zwischen Cloud-Anbietern erleichtern.
Entscheidend ist, dass der Data Act sowohl personenbezogene als auch nicht personenbezogene Daten erfasst. Das ist der Teil, den viele übersehen. Die DSGVO reicht nur an Daten über identifizierbare Personen. Der Data Act reicht an den gesamten Datenstrom, den ein Gerät erzeugt, unabhängig davon, ob darin eine Einzelperson identifizierbar ist.
Data Act und DSGVO: Zwei Gesetze, ein Datenstrom
Die häufigste Verwechslung ist, dass der Data Act die DSGVO irgendwie ersetzt oder verwässert. Er tut weder das eine noch das andere. Beide sind darauf ausgelegt, zusammenzuwirken, und sie regeln Verschiedenes.
Die DSGVO regelt personenbezogene Daten: Sie legt die Bedingungen fest, unter denen Sie Informationen über identifizierbare Personen erheben, verarbeiten und weitergeben dürfen. Der Data Act regelt den Zugang zu und die Portabilität von maschinengenerierten Daten: Er verpflichtet Hersteller, die von ihren Produkten erzeugten Daten zu öffnen, und lässt Nutzerinnen und Nutzer sie anderswohin verschieben.
Wo sie sich treffen, gilt beides. Nehmen Sie eine Standortspur aus einem vernetzten Fahrzeug. Sie ist maschinengeneriert, also gelten die Zugangs- und Portabilitätsregeln des Data Act. Sie gibt zugleich die Bewegungen einer fahrenden Person preis, also ist sie personenbezogen, und auch die DSGVO gilt. Eine Weitergabeanfrage nach dem Data Act hebt die DSGVO nie aus: Sie brauchen weiterhin eine Rechtsgrundlage, Sie schulden weiterhin die üblichen Schutzvorkehrungen, und Sie dürfen personenbezogene Daten weiterhin nicht auf eine Weise an Dritte geben, die die DSGVO verbieten würde. Der Data Act öffnet eine Tür; die DSGVO entscheidet weiterhin, wer hindurchgehen darf.
Warum Standortdaten im Zentrum stehen
Von allen Daten, die vernetzte Produkte erzeugen, gehören Standortdaten zu den wertvollsten und den sensibelsten, und genau deshalb sind sie ein prägender Testfall für den Data Act.
Vernetzte Fahrzeuge, Flottentracker, Zustellhardware, Landmaschinen und unzählige IoT-Sensoren erzeugen einen kontinuierlichen Strom an Positionsdaten. Nach dem Data Act hat die Nutzerin oder der Nutzer dieses Produkts ein Recht darauf, an diesen Strom zu gelangen und ihn zu einem bevorzugten Dienst zu portieren. Ein Logistikunternehmen, das fremde Telematikhardware betreibt, kann seine eigenen Bewegungsdaten in nutzbarer Form anfordern. Eine Landwirtin kann Maschinendaten zu einem unabhängigen Analysewerkzeug mitnehmen. Eine fahrende Person kann ihren Fahrtverlauf mitnehmen.
Für die Teams, die diese Produkte bauen, rücken drei Pflichten von optional zu strukturell:
- Zugang standardmäßig. Ab September 2026 muss ein neues vernetztes Produkt so gestaltet sein, dass die von ihm erzeugten Daten ohne einen eigens gebauten, hinderlichen Prozess erreichbar sind.
- Portabilität. Nutzerinnen und Nutzer können ihre Daten anderswohin mitnehmen, was bedeutet, dass sie in einer Form ausgegeben werden müssen, die ein anderes System tatsächlich einlesen kann.
- Interoperabilität. Daten, die nachgelagert nicht verstanden werden können, sind nicht wirklich portabel, also zählen offene Formate und stabile Referenzen.
Nichts davon wird durch einen proprietären Export erfüllt, den nur Ihre eigenen Werkzeuge lesen können. Portabilität, die von Ihrem Lock-in abhängt, ist keine Portabilität.
Ein Produkt für die Pflichten des Data Act gestalten
Die drei Pflichten des Gesetzes, Zugang, Portabilität und Interoperabilität, übersetzen sich in konkrete technische Entscheidungen. Treffen Sie sie richtig, während Sie bauen, kostet Sie die Pflicht fast nichts; rüsten Sie sie nach, nachdem eine Nutzerin oder ein Nutzer eine Anfrage gestellt hat, kostet es viel.
Bauen Sie den Zugangsweg, bevor jemand fragt. Ab September 2026 muss ein neues vernetztes Produkt seine erzeugten Daten standardmäßig offenlegen, nicht über ein Support-Ticket und zwei Wochen Wartezeit. Der günstigste Zeitpunkt, einen sauberen, dokumentierten Endpunkt zu entwerfen, der einer Nutzerin oder einem Nutzer die eigenen Daten zurückgibt, ist während Sie die Funktion bauen, nicht nachdem das Recht ausgeübt wurde.
Machen Sie den Export wirklich portabel. Portabilität, die nur Ihre eigenen Werkzeuge lesen können, ist keine Portabilität. Daten, die Ihr System als GeoJSON verlassen, einem dokumentierten offenen Standard, erfüllen die Interoperabilitätspflicht schon durch ihre Bauart; ein proprietärer Blob ist eine Beschwerde, die nur darauf wartet, eingereicht zu werden. Offene Formate sind die günstigste Versicherung, die das Gesetz bietet.
Vermeiden Sie Lock-in bei Identifikatoren und Geocodes. Wenn Sie eine Adresse in Koordinaten umwandeln oder einem Ort eine ID zuweisen, bevorzugen Sie Referenzen, die ein anderes System auflösen kann, damit eine Nutzerin oder ein Nutzer, die ihre Daten zu einem Wettbewerber portieren, nicht mit unbrauchbaren Schlüsseln dort ankommen. Siehe Was ist ein Geocode dazu, warum die Koordinatenschicht hier zählt.
Eine Sache klärt das Gesetz nicht: welches Recht die Daten überhaupt regiert. Das ist eine verwandte, aber eigenständige Frage, die Datensouveränität, und sie ist es wert, bewusst entschieden zu werden statt durch den Zufall, wo Ihre API gerade läuft. Wir behandeln sie in Datensouveränität und Standortdaten.
Wie MapAtlas zum Data Act passt
Der Data Act belohnt offene, portable, nicht weggeschlossene Daten, und genau so liefert MapAtlas Ergebnisse standardmäßig zurück. Unsere Geocoding API und Search API geben Koordinaten und Orte in dokumentierten offenen Formaten zurück statt in einem proprietären Container, sodass der Export, den Sie Ihren Nutzerinnen und Nutzern nach dem Gesetz schulden, etwas ist, das Sie bereits haben, statt etwas, das Sie später rückentwickeln müssen.
Nichts davon macht Compliance automatisch. Der Data Act wird dadurch erfüllt, wie Sie Ihr Produkt gestalten, Ihre Verträge schreiben und Ihre Daten steuern, nicht durch einen einzelnen Anbieter. Was die richtige Infrastruktur leistet, ist der Wegfall des Nachrüstens: Ist Ihre Standortschicht bereits offen und portabel, sind die schwersten Pflichten des Gesetzes an der Quelle erfüllt.
Zu den Bausteinen: Was ist Reverse Geocoding behandelt das Zurückwandeln von Positionen in Adressen, Was ist GeoJSON erklärt das offene Format, das die Portabilitätspflicht trivial macht, und unsere Seite zu DSGVO-konformen Karten zeigt, wie die europäische Verarbeitung über die gesamte Plattform hinweg funktioniert. Die Regulierung ist anspruchsvoll, aber ausnahmsweise sind der konforme und der gut konstruierte Weg dieselbe Straße.
Häufig gestellte Fragen
Was ist der EU Data Act?
Der EU Data Act (Regulation (EU) 2023/2854) ist ein europäisches Gesetz, das regelt, wer auf die von vernetzten Produkten und zugehörigen Diensten erzeugten Daten zugreifen und sie nutzen darf. Sein Kerngedanke: Die Daten, die ein Gerät erzeugt (ein Auto, ein Sensor, eine Maschine oder ein Wearable), sollen für die Nutzerin oder den Nutzer zugänglich sein, die sie generiert haben, und nicht vom Hersteller weggeschlossen werden. Die meisten seiner Bestimmungen gelten seit dem 12. September 2025, und ab dem 12. September 2026 müssen neu in Verkehr gebrachte vernetzte Produkte so gestaltet sein, dass diese Daten standardmäßig zugänglich sind. Er tritt neben die DSGVO, ersetzt sie aber nicht: Die DSGVO regelt personenbezogene Daten, während der Data Act den Zugang zu und die Weitergabe von sowohl personenbezogenen als auch nicht personenbezogenen maschinengenerierten Daten regelt.
Wie unterscheidet sich der EU Data Act von der DSGVO?
Bei der DSGVO geht es um den Schutz personenbezogener Daten: Sie schränkt ein, wie Sie Informationen erheben, verarbeiten und weitergeben, die eine Person identifizieren. Beim Data Act geht es um den Zugang zu und die Portabilität von maschinengenerierten Daten: Er verpflichtet Hersteller, die von einem vernetzten Produkt erzeugten Daten der Nutzerin oder dem Nutzer verfügbar zu machen, und erlaubt dieser Person, sie mit Dritten zu teilen. Wo sich beide überschneiden, etwa bei einer Standortspur, die zugleich maschinengeneriert und personenbezogen ist, gelten beide Gesetze gleichzeitig. Der Data Act schwächt die DSGVO nicht: Eine Datenweitergabe nach dem Data Act muss weiterhin die Rechtsgrundlagen und Schutzvorkehrungen der DSGVO wahren.
Was bedeutet der EU Data Act für Standortdaten?
Standortdaten sind eines der klarsten Beispiele für maschinengenerierte Daten, die der Data Act erfasst. Ein vernetztes Fahrzeug, ein Flottentracker, ein Zustellgerät oder ein IoT-Sensor erzeugt fortlaufend Positionsdaten, und nach dem Data Act hat die Nutzerin oder der Nutzer dieses Produkts ein Recht darauf, sie abzurufen und zu einem Dienst der eigenen Wahl zu portieren. Für alle, die Standortfunktionen entwickeln, ist die praktische Folge: Datenportabilität und Interoperabilität sind keine Kür mehr, sondern werden zu Anforderungen an das Design. Ist eine Standortspur mit einer Person verknüpft, ist sie zugleich personenbezogen, sodass zusätzlich die DSGVO gilt.
Wann tritt der EU Data Act in Kraft?
Der Data Act trat im Januar 2024 in Kraft und ist seit dem 12. September 2025 anwendbar. Ein wichtiger weiterer Meilenstein fällt auf den 12. September 2026: Vernetzte Produkte und zugehörige Dienste, die ab diesem Datum auf dem EU-Markt in Verkehr gebracht werden, müssen so gestaltet sein, dass die von ihnen erzeugten Daten standardmäßig einfach, sicher und, wo relevant, direkt für die Nutzerin oder den Nutzer zugänglich sind. Pflichten zum Cloud-Wechsel und zur Interoperabilität greifen im selben Zeitraum. Die Durchsetzung liegt bei den von jedem Mitgliedstaat benannten zuständigen Behörden, sodass die genauen Sanktionen je Land variieren.
Wie können Karten-APIs die Einhaltung regionaler Regelungen wie des Data Act unterstützen?
Eine Karten- oder Standort-API kann Sie nicht allein compliant machen, denn Compliance hängt von Ihrem Produktdesign, Ihren Verträgen und Ihrer Data Governance ab. Was der richtige Anbieter leistet, ist der Abbau von Reibung: Eine API, die Standortabfragen innerhalb der EU verarbeitet, Daten in offenen, portablen Formaten wie GeoJSON bereitstellt und Sie nicht an proprietäre Identifikatoren bindet, macht die Pflichten des Data Act zu Zugang, Portabilität und Interoperabilität weit leichter erfüllbar, und sie erleichtert zugleich benachbarte regionale Regelungen wie die DSGVO. MapAtlas verarbeitet Standortdaten standardmäßig innerhalb der EU und liefert Ergebnisse in offenen Formaten zurück, was die Compliance-Fläche klein hält.
