Data Act und Access by Design: So kommen Betreiber an Maschinendaten

Seit dem 12. September 2025 haben Betreiber vernetzter Maschinen nach dem EU Data Act einen Anspruch auf die ohne Weiteres verfügbaren Produkt- und Dienstdaten – auch bei Bestandsanlagen. Seit dem 12. September 2026 kommt für neu in Verkehr gebrachte Maschinen die Designpflicht aus Artikel 3 Absatz 1 hinzu: Data Act Access by Design verlangt, dass die Daten standardmäßig direkt zugänglich sind. Dieser Artikel beantwortet die Ingenieursfrage dahinter – über welche Schnittstelle, in welchem Format und mit welchem Rechtekonzept.

Zwei Stufen, zwei Pflichten: was seit 2025 gilt und was seit 2026 dazugekommen ist

Der Data Act – Verordnung (EU) 2023/2854 – gilt seit dem 12. September 2025 unmittelbar in allen Mitgliedstaaten. Seit diesem Tag kann der Nutzer eines vernetzten Produkts vom Dateninhaber die ohne Weiteres verfügbaren Daten samt der nötigen Metadaten verlangen: unverzüglich, unentgeltlich, in derselben Qualität wie beim Dateninhaber und – wo relevant und technisch machbar – kontinuierlich und in Echtzeit (Artikel 4 Absatz 1). Dieser Anspruch kennt keinen Stichtag für die Maschine; er erfasst auch Anlagen, die vor 2025 geliefert wurden.

Die zweite Stufe ist die Designpflicht aus Artikel 3 Absatz 1. Vernetzte Produkte müssen so konzipiert und hergestellt werden, dass Produktdaten und verbundene Dienstdaten standardmäßig leicht, sicher, unentgeltlich, in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format und – wo relevant und technisch machbar – direkt für den Nutzer zugänglich sind. Nach Artikel 50 gilt das für vernetzte Produkte, die nach dem 12. September 2026 in Verkehr gebracht werden. Die Pflicht wirkt nicht zurück; für Maschinen im Markt besteht kein Umbauzwang.

„In Verkehr bringen“ meint die erstmalige Bereitstellung auf dem Unionsmarkt. Nach der gängigen Lesart zählt das einzelne Exemplar, nicht die Baureihe: Auch eine seit Jahren gebaute Baureihe fällt für die ab dem Stichtag bereitgestellten Exemplare unter Artikel 3 Absatz 1. Ob das im Einzelfall so ist, klären Sie mit Anwalt oder IHK. Wie sich der Data Act in die übrigen Stichtage bis Ende 2027 einordnet, zeigt der Regulatorik-Fahrplan für die Produktion.

Eine Erleichterung gibt es für Kleinst- und Kleinunternehmen im Sinne der Empfehlung 2003/361/EG, auf die Artikel 7 Absatz 1 für die Abgrenzung verweist. Für Daten aus Produkten, die ein solches Unternehmen herstellt oder entwirft, gelten die Data-Act-Pflichten für den Maschinenbau aus Kapitel II nicht – sofern es kein Partner- oder verbundenes Unternehmen oberhalb dieser Schwelle hat und nicht als Unterauftragnehmer fertigt. Für den typischen mittelständischen Maschinenbauer greift die Ausnahme selten.

Welche Daten sind „ohne Weiteres verfügbar“?

Ohne Weiteres verfügbar sind nach Artikel 2 Nummer 17 die Produkt- und verbundenen Dienstdaten, die der Dateninhaber rechtmäßig aus dem vernetzten Produkt erhält oder erhalten kann, ohne unverhältnismäßigen Aufwand, der über einen einfachen Vorgang hinausgeht. Die Europäische Kommission fasst Kapitel II so zusammen: alle Roh- und vorverarbeiteten Daten aus der Nutzung eines vernetzten Produkts oder verbundenen Dienstes. Erschlossene oder abgeleitete Daten – etwa stark angereicherte Daten – liegen außerhalb.

Vernetztes Produkt

Gegenstand, der Daten über seine Nutzung oder Umgebung erzeugt und sie über einen Kommunikationsdienst, eine physische Verbindung oder geräteinternen Zugang übermitteln kann (Artikel 2 Nummer 5).

Produktdaten und verbundene Dienstdaten

Durch die Nutzung erzeugte Daten, die der Hersteller abrufbar ausgelegt hat (Nummer 15), sowie Daten, die bei einem verbundenen Dienst – etwa Fernwartung oder Monitoring – aufgezeichnet werden (Nummer 16).

Nutzer und Dateninhaber

Nutzer ist, wer das Produkt besitzt oder vertraglich nutzen darf – im Werk der Betreiber. Dateninhaber ist, wer die Daten bereitstellen darf oder muss – in der Regel der Hersteller (Nummern 12 und 13).

Für eine Werkzeugmaschine heißt das: Spindeldrehzahl, Achslasten, Temperaturen, Betriebsstunden, Zähler, Alarm- und Zustandsmeldungen sind Produktdaten; ein mit einem proprietären Modell berechneter Verschleißindex ist typischerweise abgeleitet. Wo die Grenze genau verläuft, ist eine Auslegungsfrage ohne gefestigte Praxis – entschieden wird sie über die Tag-Liste. Wer eine Baureihe nach Artikel 3 Data Act für vernetzte Produkte auslegt, markiert je Datenpunkt der Steuerung: Rohsignal, vorverarbeitet, abgeleitet, intern. Daraus ergeben sich der freigegebene Namespace und die Dokumentation nach Artikel 3 Absatz 2; als Betreiber sollten Sie genau diese Liste verlangen.

Data Act Access by Design technisch: welche Schnittstelle erfüllt die Anforderung?

Data Act Access by Design schreibt keine Technologie vor. Verlangt wird ein umfassendes, strukturiertes, gängiges und maschinenlesbares Format sowie – wo relevant und technisch machbar – direkter Zugang, also ohne dass der Hersteller jede Abfrage einzeln freigibt. Die DIHK formuliert das Ziel so: Die Daten müssen „direkt und automatisch“ verfügbar sein, ohne komplizierte Anfragen oder zusätzliche Software. Mehrere Wege sind zulässig, aber nicht gleich gut geeignet; die Tabelle ist eine technische Einschätzung, keine rechtliche Bewertung.

Für Maschinenbauer ist ein OPC-UA-Server auf der Steuerung meist der Weg mit dem besten Verhältnis aus Aufwand und Zielerreichung: Die meisten aktuellen Steuerungen bringen ihn mit, der Adressraum trägt Einheit und Beschreibung am Datenpunkt, Zertifikate und Rollen sind Teil des Standards. Ein Portal in der Herstellercloud kann ergänzen, ersetzt aber keinen Zugang ohne Herstellerkonto. Wann MQTT die bessere Wahl ist, behandelt OPC UA oder MQTT.

Format und Semantik: was maschinenlesbar praktisch bedeutet

Maschinenlesbar ist eine CSV-Datei auch. Sie erfüllt den Zweck trotzdem nicht, wenn Spalten wie temp_1 ohne Einheit dastehen, Zeitstempel ohne Zeitzone kommen und offenbleibt, ob Zähler beim Neustart auf null gehen. Artikel 3 Absatz 1 und Artikel 4 Absatz 1 nennen ausdrücklich die Metadaten, die zum Verstehen und Nutzen nötig sind. Für den Betreiber, der die Daten in ein MES oder eine Zeitreihendatenbank übernimmt, sind das mindestens diese Angaben je Datenpunkt.

Bedeutung statt nur Zugriff liefern die OPC UA Companion Specifications: domänenspezifische Informationsmodelle für Branchen, Geräte und Anwendungsfälle. Die OPC Foundation nannte im April 2026 mehr als 430 solcher Spezifikationen. Wer seine Freigabe daran ausrichtet, beantwortet die Frage nach dem „gängigen Format“ mit einem Verweis statt mit einer Eigenentwicklung. Die Verwaltungsschale (Asset Administration Shell) ist der zweite verbreitete Weg und lässt sich mit einem OPC-UA-Zugang kombinieren.

Geschäftsgeheimnisse schützen, ohne den Zugang zu verweigern

Der Data Act löst den Konflikt durch Bedingungen, nicht durch Verweigerung. Nach Artikel 4 Absatz 6 werden Geschäftsgeheimnisse nur offengelegt, wenn Dateninhaber und Nutzer vorher alle nötigen technischen und organisatorischen Maßnahmen zur Vertraulichkeit treffen – etwa Vertraulichkeitsvereinbarungen und Zugriffsprotokolle. Verweigern darf der Dateninhaber nach Artikel 4 Absatz 8 nur ausnahmsweise, wenn höchstwahrscheinlich ein schwerer wirtschaftlicher Schaden droht – schriftlich begründet und der zuständigen Behörde gemeldet. Umgekehrt darf der Nutzer die Daten nach Artikel 4 Absatz 10 nicht für ein konkurrierendes vernetztes Produkt verwenden.

Technisch heißt das: Die Freigabestruktur ist das Schutzinstrument. Ein typisches Muster trennt drei Ebenen im OPC-UA-Adressraum oder im Topic-Baum.

• —Rohsignale und Zustände – Sensorwerte, Zähler, Alarme, Betriebsstunden: im freigegebenen Namespace, lesbar für die Rolle des Betreibers.
• —Regelungs-Know-how – Reglerparameter, Rezepturen, Kompensationstabellen, Modellkoeffizienten: in einem separaten Namespace nur für Servicerollen des Herstellers. Das sind keine bei der Nutzung erzeugten Daten, sondern Konstruktionswissen.
• —Abgeleitete Ergebnisse – Verschleißindizes, Prognosen: getrennt gehalten, damit die Grenze zwischen Produktdaten und Analyseergebnis im System sichtbar ist.

Dazu kommen ein Rollenmodell mit Zertifikaten statt geteilter Passwörter, ein Audit-Log je Zugriff und eine Liste der gesperrten Datenpunkte mit Begründung. Welche Maßnahmen im Einzelfall „nötig“ sind, ist keine Frage der Steuerungsprogrammierung – dafür gehören Anwalt oder IHK an den Tisch.

Betreiberperspektive: Daten beim Hersteller anfordern

Als Betreiber sind Sie in der Regel der Nutzer, der Hersteller der Dateninhaber. Ihr Anspruch auf Herausgabe von Maschinendaten aus Artikel 4 besteht seit dem 12. September 2025 – unabhängig vom Lieferdatum, solange die Daten beim Hersteller ohne Weiteres verfügbar sind. Über Erfolg entscheidet die Konkretheit der Anfrage: Eine Anforderungsliste produziert Daten, „bitte alle Daten der Anlage“ produziert Rückfragen.

1. 01

   Anlagenliste erstellen

   Je Maschine: Hersteller, Typ, Seriennummer, Lieferdatum, vorhandene Konnektivität (Steuerungstyp, OPC-UA-Server, Gateway, Cloud-Anbindung). Das Datum des Inverkehrbringens entscheidet, ob zusätzlich die Designpflicht greift.

2. 02

   Datenpunkte konkret benennen

   Nicht „Maschinendaten“, sondern Spindelstrom, Achstemperaturen, Zykluszähler, Alarmliste mit Code und Zeitstempel, Betriebsstunden je Betriebsart. Kennen Sie die Namen nicht, verlangen Sie die Tag-Liste des Herstellers.

3. 03

   Format und Übergabeweg festlegen

   Bevorzugt ein OPC-UA-Endpunkt im Werksnetz oder MQTT an Ihren Broker; ersatzweise eine dokumentierte API oder ein strukturierter Export mit Schema – jeweils mit den Mindestangaben aus der Checkliste oben.

4. 04

   Frequenz, Historie und Entgelt klären

   Kontinuierlich und in Echtzeit, wo relevant und technisch machbar – so Artikel 4 Absatz 1. Fragen Sie, welche Historie vorliegt und wie lange sie gespeichert bleibt. Der Zugang ist für Sie unentgeltlich; rechnen Sie mit einer Vertraulichkeitsvereinbarung.

5. 05

   Bei Neukauf: Informationen vor Vertragsschluss einfordern

   Artikel 3 Absatz 2 verpflichtet den Verkäufer, vor Vertragsschluss Art, Format und geschätzten Umfang der Daten offenzulegen, ob sie in Echtzeit anfallen, wo sie gespeichert werden und wie der Nutzer sie abruft. Nehmen Sie das in Lastenheft und Abnahme auf.

Was tun mit Bestandsmaschinen ohne brauchbare Schnittstelle?

Hier hilft es, Pflicht und Nutzen zu trennen. Für den Data Act und Bestandsmaschinen gilt: Die Designpflicht greift nicht, der Zugangsanspruch schon – aber er erzeugt keine Daten, die es nicht gibt. Eine Maschine ohne Netzwerkanbindung ist häufig gar kein vernetztes Produkt im Sinne der Verordnung; liegen Daten nur lokal in der Steuerung, sind beim Hersteller keine Daten ohne Weiteres verfügbar. Der Data Act ersetzt dann kein Retrofit.

Die technischen Wege dafür stehen in Maschinendaten nachrüsten: vier Wege für Anlagen ohne Schnittstelle. Bei Neuanschaffungen trifft neue Maschinen zusätzlich die Maschinenverordnung mit ihren Cybersecurity-Anforderungen. Eine offene Datenschnittstelle muss deshalb von Anfang an mit Authentifizierung, Verschlüsselung und Rollen ausgelegt sein – nicht als nachträglich geöffneter Port.

Prüfliste für Hersteller und Betreiber

Fazit: Zugang ist eine Architekturentscheidung

Der Data Act hat zwei Stufen. Seit 2025 geht es um das Herausgeben vorhandener Daten – Tag-Listen, Übergabewege, Vertraulichkeitsregeln. Seit dem 12. September 2026 geht es für neue Maschinen um Data Act Access by Design: eine Frage der Architektur – welcher Endpunkt, welcher Namespace, welche Metadaten, welche Rollen. Wer das bei der Planung einer Baureihe mitdenkt, erfüllt die Pflicht mit demselben OPC-UA-Server, den er für Servicezugang und Zustandsüberwachung ohnehin braucht.

Für Betreiber lautet die Reihenfolge: Anlagenliste, konkrete Datenpunkte, Übergabeweg, dann die Anfrage – und bei jedem Neukauf der Datenzugang als Abnahmekriterium. Wie solche Datenprojekte in der Praxis aussehen, vom OPC-UA-Endpunkt bis zum Dashboard, zeigen die Lösungen von ralwo.