Sanktionen und Durchsetzung
EU-Data-Act-Sanktionen und -Durchsetzung
Der EU Data Act wird von nationalen Behörden in jedem EU-Land durchgesetzt. Es gibt keine einheitliche EU-weite Geldbuße, aber die Sanktionen müssen wirksam, verhältnismäßig und abschreckend sein — und wenn personenbezogene Daten betroffen sind, können zusätzlich Geldbußen in DSGVO-Höhe verhängt werden.
Wer setzt den Data Act durch?
Jeder EU-Mitgliedstaat benennt eine oder mehrere zuständige Behörden, die den Data Act anwenden und durchsetzen (Art. 37). Benennt ein Land mehrere, übernimmt eine davon als „Datenkoordinator" die einheitliche Durchsetzung über die Sektoren hinweg.
Die Datenschutzbehörden bleiben für die Teile des Data Act zuständig, die personenbezogene Daten betreffen. Auch sektorale Aufsichtsbehörden — etwa in den Bereichen Energie, Automobil oder Telekommunikation — können in ihrem Bereich beteiligt sein.
Welche Sanktionen gibt es?
Anders als die DSGVO legt der Data Act keine einheitliche EU-weite Obergrenze für Geldbußen fest. Stattdessen legt jeder Mitgliedstaat seine eigenen Sanktionen fest, die wirksam, verhältnismäßig und abschreckend sein müssen (Art. 40). Die Mitgliedstaaten mussten ihre Sanktionsvorschriften bis zum 12. September 2025 der Europäischen Kommission mitteilen, sodass die genaue Höhe von Land zu Land unterschiedlich ist.
Bei der Festlegung einer Sanktion berücksichtigen die Behörden Faktoren wie Art, Schwere, Umfang und Dauer des Verstoßes, ergriffene Maßnahmen zur Schadensminderung, frühere Verstöße, den erzielten finanziellen Vorteil sowie den Jahresumsatz des Verantwortlichen in der EU.
Wann zusätzlich DSGVO-Geldbußen gelten
Wenn ein Verstoß personenbezogene Daten betrifft, können die Datenschutzbehörden das eigene Bußgeldsystem der DSGVO nach Art. 83 anwenden — bis zu 20 Mio. € oder 4 % des gesamten weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Der Data Act ersetzt die DSGVO nicht, sodass beide Regelungen für dieselbe Tätigkeit gelten können.
Mehr als Geldbußen
Folgen über finanzielle Sanktionen hinaus
Nichtige Vertragsklauseln
Missbräuchliche Vertragsklauseln zum Datenzugang und zur Datennutzung sind automatisch nichtig und nicht durchsetzbar (Art. 13) — unabhängig von einer Geldbuße.
Beschwerden
Nutzer und Geschäftskunden können bei der zuständigen Behörde Beschwerde einlegen (Art. 38), was eine Untersuchung auslösen kann.
Anordnungen zur Einhaltung
Behörden können verlangen, dass Sie Produkte, Dienste oder Verträge in Einklang bringen — nicht nur eine Geldbuße verhängen.
Kommerzielles und Reputationsrisiko
Blockierte Wechsel, verweigerter Datenzugang oder unfaire Bedingungen können Kundenbeziehungen schädigen und Rechtsstreitigkeiten nach sich ziehen.
Risiko verringern
So senken Sie Ihr Durchsetzungsrisiko
Ihre Behörde kennen
Ermitteln Sie die zuständige Behörde — und einen etwaigen Datenkoordinator — in jedem EU-Land, in dem Sie tätig sind.
Nichtige Klauseln beheben
Prüfen Sie B2B-Verträge auf die nach Art. 13 verbotenen Klauseln und entfernen Sie diese, bevor eine Gegenpartei sie anficht.
Anfragen ordnungsgemäß bearbeiten
Dokumentieren Sie, wie Sie Anfragen zum Datenzugang und zum Wechsel entgegennehmen, prüfen und beantworten, damit Beschwerden unwahrscheinlicher werden.
DSGVO-Überschneidung abbilden
Wenn die Weitergabe personenbezogene Daten betrifft, stellen Sie eine DSGVO-Rechtsgrundlage sicher, um eine doppelte Bußgeldgefahr zu vermeiden.
Ihre Betroffenheit prüfen
Sehen Sie, wo Ihre Compliance-Lücken sind
Beantworten Sie einige Fragen für eine kostenlose Einschätzung, wo Ihr Unternehmen einem Durchsetzungsrisiko nach dem Data Act ausgesetzt sein könnte.