Der Data Act gilt seit dem 12. September 2025, und in unseren Gesprächen ist er bei Shop-Betreibern bisher kaum ein Thema gewesen. Am 12. September 2026 kommt die zweite Stufe, und die trifft eine kleinere Gruppe, dafür härter. Wer Elektronik unter eigener Marke verkauft, sollte die vier Wochen bis dahin nutzen.
Was am 12. September 2026 dazukommt
Artikel 50 der Verordnung regelt die Staffelung. Insgesamt gilt die Verordnung seit dem 12. September 2025. Für die Pflicht aus Artikel 3 Absatz 1 gilt jedoch ein eigener Anknüpfungspunkt: Sie greift für vernetzte Produkte und die mit ihnen verbundenen Dienste, die nach dem 12. September 2026 in Verkehr gebracht wurden.
Artikel 3 Absatz 1 ist das, was in der Fachpresse als Access by Design läuft. Vernetzte Produkte sind so zu konzipieren und herzustellen und verbundene Dienste so zu konzipieren und zu erbringen, dass die Produkt- und Dienstdaten einschließlich der nötigen Metadaten standardmäßig für den Nutzer einfach, sicher, unentgeltlich, in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format und, soweit relevant und technisch durchführbar, direkt zugänglich sind.
Zwei Begrenzungen stecken im Wortlaut. Die Pflicht knüpft an das Inverkehrbringen an, betrifft also nicht den Lagerbestand. Und sie richtet sich an den, der konzipiert und herstellt, nicht an jeden, der verkauft.
Vernetzt heißt weniger, als man denkt, und mehr
Ein vernetztes Produkt ist nach Artikel 2 Nummer 5 ein Gegenstand, der Daten über seine Nutzung oder Umgebung erlangt, generiert oder erhebt und diese Produktdaten über einen elektronischen Kommunikationsdienst, eine physische Verbindung oder einen geräteinternen Zugang übermitteln kann, und dessen Hauptfunktion nicht die Speicherung, Verarbeitung oder Übertragung von Daten im Namen einer anderen Partei als des Nutzers ist.
Für einen Shop-Katalog heißt das: Ein Kabel ist es nicht, ein Fitness-Tracker schon, und dazwischen liegt mehr, als das Wort IoT vermuten lässt. Eine Kaffeemaschine mit App-Anbindung fällt darunter, ein Sensor im Werkzeug, ein smarter Türgriff. Der Auslöser ist die Datenerhebung mit Übertragungsmöglichkeit, nicht der Preis und nicht die Produktkategorie.
Artikel 7 Absatz 1 nimmt Daten von den Pflichten des gesamten Kapitels II aus, also der Artikel 3 bis 7, wenn die vernetzten Produkte von einem Kleinstunternehmen oder Kleinunternehmen hergestellt oder konzipiert werden. Maßgeblich sind dafür die Schwellen der Empfehlung 2003/361/EG: unter 10 Beschäftigte und höchstens 2 Millionen Euro für Kleinstunternehmen, unter 50 Beschäftigte und höchstens 10 Millionen Euro für Kleinunternehmen. Bedingungslos ist die Ausnahme nicht: Sie entfällt, wenn dieses Unternehmen ein Partner- oder verbundenes Unternehmen hat, das selbst nicht klein ist, und ebenso, wenn es als Unterauftragnehmer mit Herstellung oder Konzeption beauftragt wurde. Für Unternehmen, die seit weniger als einem Jahr als mittleres Unternehmen gelten, sowie für Produkte im ersten Jahr nach ihrem Inverkehrbringen durch ein mittleres Unternehmen gilt die Ausnahme ebenfalls.
Der für Shops wichtige Punkt daran: Die Ausnahme knüpft an den Hersteller an, nicht an die Größe des Verkäufers. Wer selbst klein ist und fremde Produkte verkauft, entkommt darüber also nicht. Umgekehrt reicht der Wortlaut weit, denn Kapitel II enthält auch die Verkäufer-Angaben aus Artikel 3 Absatz 2. Ob diese vorvertraglichen Angaben bei Produkten kleiner Hersteller tatsächlich entfallen, ist unseres Wissens weder behördlich noch gerichtlich geklärt. Wer sich darauf stützen möchte, sollte das vorher anwaltlich absichern; wer die Angaben ohnehin vom Hersteller bekommt, stellt sie einfach bereit und braucht die Frage nicht.
Die Pflicht, die Verkäufer seit fast einem Jahr trifft
Der Teil, der Verkäufer vernetzter Produkte betrifft, ist nicht neu. Artikel 3 Absatz 2 verlangt, dass dem Nutzer vor Abschluss eines Kauf-, Miet- oder Leasingvertrags über ein vernetztes Produkt vom Verkäufer, Vermieter oder Leasinggeber mindestens vier Angaben klar und verständlich bereitgestellt werden: Art, Format und geschätzter Umfang der Produktdaten, die das Produkt generieren kann; ob es Daten kontinuierlich und in Echtzeit generieren kann; ob es Daten auf einem Gerät oder einem entfernten Server speichert, gegebenenfalls mit vorgesehener Speicherdauer; und wie der Nutzer auf die Daten zugreifen, sie abrufen oder gegebenenfalls löschen kann, einschließlich der technischen Mittel, der Nutzungsbedingungen und der Dienstqualität.
Diese Pflicht gilt seit dem 12. September 2025 und kennt keine Übergangsregel für Bestandsware. Für Shops, die vernetzte Produkte handeln, ohne sie herzustellen, ist sie damit die praktisch relevantere. Einen Ort schreibt die Verordnung nicht vor; verlangt ist die Bereitstellung vor Vertragsschluss in klarer und verständlicher Art und Weise. Praktisch am belastbarsten ist die Produktseite, weil die Angaben je Modell verschieden sind.
Der unangenehme Teil ist ein Beschaffungsthema, kein technisches: Die vier Angaben kann nur der Hersteller liefern, und anzufragen sind sie je Modell.
Wer in Deutschland zuständig ist
Das Durchführungsgesetz kam spät: Das Datenverordnung-Anwendungs-und-Durchsetzungs-Gesetz vom 26. Mai 2026 ist erst am 30. Mai 2026 in Kraft getreten. Sein § 2 benennt die Bundesnetzagentur als zuständige Behörde nach Artikel 37 Absatz 1 der Datenverordnung.
§ 15 des Gesetzes enthält die Bußgeldvorschriften. Die hier einschlägigen Tatbestände stehen in Absatz 2, die Zuordnung der Rahmen in Absatz 4. Für die beiden hier besprochenen Pflichten heißt das Folgendes. Wer entgegen Artikel 3 Absatz 1 vernetzte Produkte nicht richtig konzipiert oder herstellt, fällt unter Absatz 2 Nummer 1, und der Rahmen dafür liegt bei bis zu 500.000 Euro. Die vorvertraglichen Angaben des Verkäufers nach Artikel 3 Absatz 2 sind in § 15 dagegen überhaupt nicht als Ordnungswidrigkeit erfasst; wer sie unterlässt, riskiert dort kein Bußgeld. Ob ein Verstoß daneben wettbewerbsrechtlich abmahnbar ist, ist unseres Wissens bislang nicht geklärt.
Die höheren Beträge, die in Zusammenfassungen des Gesetzes kursieren, gehören nicht hierher. Die 5 Millionen Euro und die umsatzbezogene Bemessung bis zu 2 Prozent des Gesamtumsatzes bei einem Gesamtumsatz von mehr als 250 Millionen Euro gelten nach Absatz 4 und Absatz 5 ausschließlich für Absatz 2 Nummer 9, also für einen anderen Tatbestand.
Zuständig ist übrigens nicht nur eine Behörde: Für den datenschutzrechtlichen Teil benennt § 3 DADG die oder den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit, der mit der Bundesnetzagentur zusammenarbeitet.
Was in den nächsten vier Wochen sinnvoll ist
Erstens: Gehen Sie Ihren Katalog nach der Definition durch, nicht nach Bauchgefühl. Die Frage lautet, welches Ihrer Produkte Daten über Nutzung oder Umgebung erhebt und übertragen kann. Die Definition greift damit weiter als das, was ein Katalog üblicherweise als smart auszeichnet.
Zweitens: Für diese Produkte prüfen Sie, ob die vier Angaben aus Artikel 3 Absatz 2 vor Vertragsschluss erreichbar sind. Falls nicht, ist das prüfenswert, sofern nicht die Ausnahme nach Artikel 7 greift, und zwar unabhängig vom 12. September 2026.
Drittens, und nur wenn Sie unter eigener Marke fertigen lassen: Klären Sie mit Ihrem Auftragsfertiger, ob die nach dem 12. September 2026 in Verkehr gebrachten Geräte die Zugänglichkeitsanforderung erfüllen. Das ist eine Produktentwicklungs-Frage mit langem Vorlauf, keine Shop-Frage. Wer sie erst im September stellt, stellt sie zu spät.
Die Rollenfrage dahinter, ab wann ein Händler zum Hersteller wird, kennen Sie vielleicht aus der Meldepflicht des Cyber Resilience Act und den Pflichtangaben nach der GPSR. Jedes dieser Regelwerke beantwortet sie etwas anders, und genau deshalb lohnt es, sie einmal für das eigene Sortiment zu klären statt dreimal nebenbei.
Wenn Sie wissen wollen, welche Produktdaten-Felder Sie in Shopify dafür brauchen und wie die Angaben je Modell gepflegt werden, schildern Sie uns über das Kontaktformular kurz Ihr Sortiment.