Data Act im Onlineshop: Diese Angaben brauchen vernetzte Produkte

Der Data Act verpflichtet Onlineshops, Käufer vor dem Vertragsschluss darüber zu informieren, welche Daten vernetzte Produkte erzeugen und wie Nutzer darauf zugreifen können. Betroffen sind nicht nur Smart-Home-Geräte und Wearables, sondern auch vernetzte Werkzeuge, Fahrzeuge, Haushaltsgeräte und Maschinen. Für Händler wird damit aus einem abstrakten europäischen Datenrecht eine konkrete Aufgabe auf der Produktseite.

Vernetzte Produkte zuerst richtig erkennen

Als vernetzt gelten Gegenstände, die Daten über ihre Nutzung, Leistung oder Umgebung erlangen, erzeugen oder erheben und diese über eine elektronische, physische oder geräteinterne Verbindung übermitteln können. Dazu reichen nicht nur WLAN oder Mobilfunk. Auch USB, Bluetooth, NFC oder eine Schnittstelle, die erst bei der Wartung ausgelesen wird, können erfasst sein.

Typische Beispiele sind smarte Thermostate, Saugroboter, Türschlösser, Fitnessuhren, vernetzte Elektrowerkzeuge, Wallboxen und Industriemaschinen. Einen Eindruck davon, wie stark solche Geräte inzwischen mit digitalen Diensten und Geschäftsmodellen verbunden werden, vermittelt auch der Beitrag über Smart Living und vernetzte Produkte.

Vernetzte Produkte können dabei sowohl personenbezogene als auch nicht personenbezogene Daten erzeugen. Der Data Act verändert die Datenschutz-Grundverordnung nicht; sobald personenbezogene Daten betroffen sind, gelten deren Anforderungen weiter.

Anzeige

Nicht jede digitale Funktion genügt allerdings. Reine Speicher-, Rechen- oder Übertragungsprodukte fallen grundsätzlich nicht allein deshalb in den Anwendungsbereich. Auch stark angereicherte oder mit komplexen Verfahren abgeleitete Ergebnisse sind von den erfassten Rohdaten und vorverarbeiteten Daten zu unterscheiden. Bei einem Wearable können etwa Herzfrequenzmessungen, Beschleunigungswerte und Zeitstempel erfasst sein, während ein daraus errechneter Fitness- oder Schlafscore ein abgeleitetes Ergebnis sein kann.

Data Act gilt für Produktinformationen bereits seit 2025

Der Data Act gilt grundsätzlich seit dem 12. September 2025. Der spätere Stichtag 12. September 2026 betrifft nur die Konstruktionspflicht aus Artikel 3 Absatz 1: Vernetzte Produkte, die nach diesem Datum in Verkehr gebracht werden, müssen Daten standardmäßig leicht, sicher, kostenlos und in einem gängigen maschinenlesbaren Format zugänglich machen, soweit ein direkter Zugang relevant und technisch durchführbar ist.

Für vernetzte Produkte im aktuellen Sortiment bedeutet das: Die Informationspflicht darf nicht bis zum späteren Stichtag aufgeschoben werden. Der Händler muss die Angaben schon heute vor dem Vertragsschluss bereitstellen.

Die vorvertraglichen Informationspflichten aus Artikel 3 Absatz 2 und 3 sind davon zu trennen. Sie gelten bereits. Die FAQ der Bundesnetzagentur zu den vorvertraglichen Informationspflichten erläutert dazu, welche Angaben Händler und Diensteanbieter bereitstellen sollen. Der bestehende Beitrag zum Data Act in Deutschland beschreibt vor allem die Rolle der Bundesnetzagentur als zuständige Behörde. Für den Shopalltag ist dagegen entscheidend, wer den Vertrag mit dem Nutzer schließt.

Der Verkäufer bleibt in der Pflicht

Bei Kauf, Miete oder Leasing ist der unmittelbare Vertragspartner des Nutzers informationspflichtig. Im Onlineshop ist das regelmäßig der Verkäufer und nicht automatisch der Hersteller oder Dateninhaber. Ein Händler muss deshalb sicherstellen, dass er die notwendigen technischen Angaben vom Hersteller oder Lieferanten erhält. Ein bloßer Hinweis, die Informationen seien beim Hersteller erhältlich, verschiebt die Pflicht nicht.

Wer vernetzte Produkte verkauft, braucht damit einen geregelten Informationsfluss vom Hersteller bis zur Produktseite. Fehlen die Angaben in den Stammdaten, kann der Händler seine eigene Pflicht gegenüber dem Käufer nicht vollständig erfüllen.

Bei Marktplätzen kommt es auf die Rollenverteilung an. Ist ein Drittanbieter der Verkäufer, trifft ihn grundsätzlich die Informationspflicht für das Produkt. Wird der Plattformbetreiber selbst Vertragspartner, kann die Pflicht bei ihm liegen. Die Unternehmensgröße des Händlers schafft dabei keine allgemeine Ausnahme. Die Ausnahme des Data Act für bestimmte Kleinst- und Kleinunternehmen knüpft insbesondere an den Hersteller, Produktentwickler oder Anbieter des verbundenen Dienstes an und enthält ihrerseits Ausnahmen für verbundene Unternehmen und Auftragsfertigung.

Sechs Pflichtfelder für die Produktseite

Artikel 3 Absatz 2 lässt sich für vernetzte Produkte in sechs praktische Prüfpunkte übersetzen:

Die Produktseite für vernetzte Produkte sollte diese Punkte nicht in allgemeinen Datenschutzformulierungen verstecken, sondern eindeutig dem konkreten Modell zuordnen.

1. 1. Art der Produktdaten: Der Shop sollte konkrete Mess-, Zustands- und Ereignisdaten nennen. Je nach Produkt sind das beispielsweise Temperatur, Bewegung, Standort, Akkustand, Energieverbrauch, Betriebsstunden, Drehmoment, Fehlercodes oder Zeitpunkte von Bedienhandlungen. Die pauschale Angabe „Nutzungsdaten“ bleibt zu unbestimmt.
   2. Format und Struktur: Anzugeben ist, in welchem Format oder welcher Struktur die Daten vorliegen. Dazu können CSV, JSON, XML, Zeitreihen, Datensätze, Codelisten, Vokabulare oder eine dokumentierte Schnittstelle gehören. Eine Anzeige in einer App beantwortet noch nicht automatisch die Frage nach dem Datenformat.
   3. Geschätzter Umfang: Die voraussichtliche Datenmenge sollte mit einer nachvollziehbaren Einheit und einem Zeitraum beschrieben werden, etwa Datensätze pro Stunde, Megabyte pro Tag oder Gigabyte pro Jahr. Der Umfang muss nicht auf das Byte genau vorhergesagt werden, eine rein qualitative Angabe hilft dem Nutzer jedoch kaum.
   4. Kontinuierliche Erzeugung und Echtzeit: Händler müssen angeben, ob das Gerät Daten kontinuierlich und in Echtzeit erzeugen kann. Sinnvoll ist die zusätzliche Angabe des tatsächlichen Takts, beispielsweise jede Minute, stündlich oder nur bei einem Ereignis. Datenerzeugung in Echtzeit und ein Echtzeitzugriff des Nutzers sind dabei nicht dasselbe.
   5. Speicherung und Aufbewahrungsdauer: Die Produktinformation muss erkennen lassen, ob Daten auf dem Gerät oder auf einem entfernten Server gespeichert werden können. Soweit Daten aufbewahrt werden, ist die vorgesehene Dauer zu nennen. Das kann ein fester Zeitraum oder ein klares Löschereignis sein, etwa die Löschung durch den Nutzer.
   6. Zugriff, Abruf und gegebenenfalls Löschung: Zu beschreiben ist der tatsächliche Weg über App, Kundenkonto, Webportal, Download, USB, Bluetooth oder API. Hinzu kommen technische Voraussetzungen, Nutzungsbedingungen und die Qualität des Dienstes. Ist ein bestimmtes Betriebssystem, ein Konto oder ein zusätzlicher Vertrag erforderlich, gehört auch das in die Information.

Die Löschung steht im Produktblock unter dem Zusatz „soweit relevant“. Daraus sollte kein pauschales, uneingeschränktes Löschversprechen gemacht werden. Daneben gelten weiterhin die Datenschutz-Grundverordnung und mögliche gesetzliche Aufbewahrungspflichten. Data-Act-Informationen und Datenschutzerklärung dürfen zwar grundsätzlich miteinander verbunden werden, die Bundesnetzagentur hält eine getrennte Darstellung wegen der unterschiedlichen Inhalte und Zeitpunkte jedoch für praktikabler.

Vom Thermostat bis zum vernetzten Werkzeug

Die Angaben müssen zum konkreten Modell passen. Bei einem Smart-Home-Thermostat können Temperaturmessungen, Ein- und Ausschaltstatus, Energieverbrauch und Zeitpunkte manueller Änderungen relevant sein. Bei Wearables kommen etwa Herzfrequenz, Standort, Beschleunigung, Aktivitätszeit und Akkustand in Betracht. Vernetzte Werkzeuge können Drehzahl, Drehmoment, Gerätetemperatur, Betriebsstunden, Standort und Fehlermeldungen erzeugen.

Vernetzte Produkte aus derselben Warengruppe können trotzdem sehr unterschiedliche Datensätze und Zugangswege haben. Händler sollten Angaben daher nicht ungeprüft von einem ähnlichen Modell übernehmen.

Auch Kameras und Smart-TVs verlangen eine saubere Trennung. Gerätestatus, Helligkeit, Standort, Zeitstempel oder Ereignisprotokolle können Produktdaten sein. Fotos, Videos oder abgespielte Filme werden dagegen nicht allein durch die Speicherung oder Übertragung zu Daten, die nach Kapitel II herauszugeben sind. Eine pauschale Branchenvorlage wird diesen Unterschieden selten gerecht. Vernetzte Produkte brauchen mindestens eine modell- oder serienbezogene Datenauskunft.

Apps können ein zweites Informationspaket auslösen

Bei einer App oder einem anderen verbundenen Dienst kann zusätzlich Artikel 3 Absatz 3 greifen. Ein verbundener Dienst zeichnet sich grundsätzlich durch einen bidirektionalen Datenaustausch aus und beeinflusst Funktionen, Verhalten oder Betrieb des Produkts. Eine reine Anzeige- oder Auslesefunktion reicht nach der derzeitigen Behördenauslegung nicht ohne Weiteres.

Vor Abschluss des Dienstvertrags muss der Diensteanbieter unter anderem Art, Umfang und Erfassungsfrequenz der erhaltenen Produktdaten sowie Art und Umfang der entstehenden Dienstdaten erläutern. Hinzu kommen Speicherort und Aufbewahrungsdauer, Zugriffsmöglichkeiten, eigene Nutzungszwecke, eine geplante Verwendung durch Dritte, Identität und Kontakt des Dateninhabers, Möglichkeiten zur Freigabe an Dritte und deren Beendigung, das Beschwerderecht, Angaben zu Geschäftsgeheimnissen sowie Vertragslaufzeit und Kündigung.

Händler sollten Produkt- und Dienstinformationen nicht vermischen. Der Verkäufer schuldet die Informationen zum vernetzten Produkt. Für den verbundenen Dienst ist dessen unmittelbarer Anbieter verantwortlich. Fallen beide Rollen bei demselben Unternehmen zusammen, müssen trotzdem beide Informationspakete vollständig und vor dem jeweiligen Vertragsschluss vorliegen.

Ein klarer Link kann genügen, eine versteckte Seite nicht

Der Data Act schreibt keine bestimmte Darstellungsform vor. Nach dem aktuellen Rechtsverständnis der Bundesnetzagentur kann ein Onlineshop beim konkret beworbenen Produkt einen eindeutig bezeichneten Link setzen, beispielsweise am Ende der Produktbeschreibung. Zusätzlich kann der Hinweis unmittelbar vor dem Kaufbutton erscheinen.

Das Linkziel sollte stabil, produktspezifisch und speicherbar sein. Nutzer müssen die Informationen später unverändert wiedergeben können. Eine allgemeine Hersteller-Startseite, ein nichtssagender Link wie „Weitere Informationen“ oder eine nur mündliche Auskunft reichen dafür nicht. Eine ausdrückliche Bestätigung, dass der Käufer den Text gelesen hat, verlangt die Behörde dagegen nicht. Bereitstellung ist Pflicht, tatsächliche Kenntnisnahme nicht.

Informationen für vernetzte Produkte können dabei auf einer eigenen Herstellerseite liegen. Der Link muss jedoch eindeutig bezeichnet sein und genau zu den Angaben für das angebotene Produkt führen.

Wer in mehreren EU-Staaten verkauft, muss außerdem die Sprachfassungen berücksichtigen. Nach Auffassung der Bundesnetzagentur sind die Angaben in den Amtssprachen der Staaten bereitzustellen, in denen das Produkt oder der Dienst in Verkehr gebracht wird.

Die eigentliche Arbeit beginnt in den Produktdaten

Für Händler besteht die größte Hürde weniger im Einfügen eines Links als in der Beschaffung belastbarer Produktdaten. Sinnvoll ist eine Sortimentsprüfung mit einem Kennzeichen für vernetzte Produkte, einem zweiten Kennzeichen für verbundene Dienste und strukturierten Feldern für sämtliche Pflichtangaben. Herstellerdokumente sollten einer konkreten Artikelnummer zugeordnet, auf Aktualität geprüft und versioniert werden.

Besondere Vorsicht ist bei Varianten, Gebrauchtware und wechselnden App-Funktionen nötig. Die EU-Kommission geht davon aus, dass die Transparenzpflicht auch beim Weiterverkauf eines vernetzten Produkts greift. Ändert ein Hersteller Datenformate, Speicherfristen oder Zugangswege, kann eine zuvor richtige Produktseite veralten. Ein einmal angelegtes PDF ist deshalb kein Freifahrtschein für die nächsten Jahre.

Verstöße können nach Einschätzung der Bundesnetzagentur zivilrechtliche und wettbewerbsrechtliche Folgen haben. Der praktische Maßstab bleibt dennoch in Bewegung: Die FAQ gibt das aktuelle Rechtsverständnis der Behörde wieder, ersetzt aber weder den Verordnungstext noch eine gerichtliche Klärung. Händler sollten daher nicht nur einen Textbaustein veröffentlichen, sondern einen belastbaren Aktualisierungsprozess aufbauen.

Vernetzte Produkte werden damit auch zur Datenpflegeaufgabe im Shop: Ohne aktuelle Herstellerinformationen bleibt selbst eine formal vorhandene Data-Act-Seite lückenhaft.

Faktenbox