In letzter Zeit stoßen immer mehr Unternehmen, die in die EU exportieren, auf ein neues Thema: Europäische Einkäufer verlangen, dass Produkte dem EU Data Act entsprechen. Die erste Reaktion vieler Unternehmen lautet: Wir stellen doch nur Laufbänder, Uhren, Haushaltsgeräte und Geräte her – warum sollte uns ein „Datengesetz“ betreffen?
Der Grund ist einfach: Viele Produkte sind heute keine reine Hardware mehr, sondern vernetzte Produkte. Sobald ein Produkt sich mit dem Internet verbinden, mit einer App koppeln, Daten hochladen, mit der Cloud synchronisieren, Fernupdates empfangen oder die Nutzung aufzeichnen kann, können europäische Einkäufer Unterlagen zum EU Data Act verlangen.
Früher achteten EU-Einkäufer meist auf:
-
CE (Conformité Européenne, europäische Konformität);
-
RoHS (Restriction of Hazardous
Substances, Beschränkung gefährlicher Stoffe);
-
RED (Radio Equipment Directive, Funkanlagenrichtlinie);
-
EMV (elektromagnetische Verträglichkeit);
-
LVD (Low Voltage Directive, Niederspannungsrichtlinie);
-
GPSR (General Product Safety
Regulation, Verordnung über die allgemeine Produktsicherheit).
Diese Anforderungen betreffen vor allem Produktsicherheit, Funk, elektromagnetische Verträglichkeit, gefährliche Stoffe und Verbrauchersicherheit. Beim EU Data Act geht es jedoch um etwas anderes:
ob Daten, die Nutzer bei der Verwendung vernetzter Produkte erzeugen, für die Nutzer erkennbar, zugänglich und exportierbar sind und unter bestimmten Bedingungen mit Dritten geteilt werden können. Mit anderen Worten: Einkäufer fragen nicht mehr nur „Ist dieses Produkt sicher?“, sondern auch:
Welche Daten erzeugt dieses Produkt? Können Nutzer darauf zugreifen? Können die Daten an Reparaturbetriebe, Dienstleister oder andere Plattformen weitergegeben werden? In welchem Format werden sie exportiert? Fallen Kosten an? Welche Daten berühren Geschäftsgeheimnisse?
2. Fall 1: Warum soll ein vernetztes Laufband den EU Data Act erfüllen?
Ein smartes Laufband kann sich beispielsweise mit einer App verbinden, und nach jedem Training zeichnet das System auf:
-
Trainingszeit;
-
Geschwindigkeit; Strecke;
-
Kalorien;
-
Steigung;
-
Trainingsprogramme;
-
Betriebszustand des Geräts;
-
Fehlerprotokolle;
-
Firmware-Version;
-
Kopplungsprotokolle des Geräts.
Ein Teil dieser Daten stammt aus dem Nutzerverhalten, ein Teil aus dem Betrieb des Geräts selbst. Wird das Produkt in der EU verkauft, können europäische Einkäufer fragen:
-
Welche Daten erzeugt das Laufband tatsächlich?
-
Werden die Daten in Echtzeit oder nach jedem Training erzeugt?
-
Wo werden die Daten gespeichert – auf dem Gerät, in der mobilen App, auf Cloud-Servern oder auf einer Drittplattform?
-
Können Nutzer ihre eigenen Trainingsdaten exportieren?
-
In welchem Format – CSV (Comma-Separated Values, kommagetrennte Werte), JSON (JavaScript Object Notation) oder einem anderen?
-
Können Nutzer Fitnessplattformen Dritter, Kundendienstanbieter oder Reparaturbetriebe zum Datenzugriff berechtigen?
-
Wie wird die Berechtigung des Nutzers bestätigt, wenn Dritte auf Daten zugreifen?
-
Wenn Fehlerprotokolle des Geräts die interne Diagnoselogik des Herstellers betreffen – handelt es sich um Geschäftsgeheimnisse?
-
Wenn die Bereitstellung von Daten zusätzliche technische Kosten verursacht – wird eine Gebühr erhoben, und wie wird sie festgelegt?
Europäische Einkäufer verlangen von Laufbandherstellern also nicht deshalb Unterlagen zum EU Data Act, weil Laufbänder zu „Medizinprodukten“ oder „Internetplattformen“ geworden wären, sondern weil sie inzwischen über Internetanbindung, Datenaufzeichnung, Cloud-Synchronisierung und App-Dienste verfügen.
3. Fall 2: Smartwatches sind noch stärker betroffen
Smartwatches sind ein noch typischeres Beispiel.
Eine Smartwatch kann aufzeichnen:
-
Schritte;
-
Strecke;
-
Herzfrequenz;
-
Schlafdauer;
-
Trainingsrouten;
-
Blutsauerstoff;
-
Kalorien;
-
Akkustand;
-
Firmware-Version;
-
Sensorstatus;
-
Fehlerprotokolle;
-
Synchronisationsprotokolle mit der mobilen App.
Kauft ein Nutzer die Uhr, so sieht die Logik der EU-Regulierung vor, dass er nicht nur „passiv Daten liefert“, sondern das Recht hat zu erfahren, welche Daten es gibt, wo sie liegen, wie er sie erhält und ob sie mit Dritten geteilt werden können. Zum Beispiel:
-
Der Nutzer möchte Trainingsdaten mit einer Gesundheitsplattform eines Drittanbieters synchronisieren;
-
Der Nutzer möchte Geräteprotokolle an einen unabhängigen Reparaturbetrieb weitergeben;
-
Der Nutzer möchte von einer alten Uhrenmarke zu einer neuen wechseln;
-
Ein Firmenkunde möchte die Fitnessgerätedaten seiner Mitarbeitenden in sein eigenes Gesundheitsmanagementsystem integrieren;
-
Ein europäischer Händler möchte die für den Kundendienst benötigten Diagnosedaten erhalten.
In diesen Szenarien muss der Hersteller erklären: Welche Daten können bereitgestellt werden? Wie? An wen? Mit welchen Einschränkungen?
Die bloße Antwort „Wir legen Wert auf den Datenschutz“ oder „Wenden Sie sich an den Kundendienst“ reicht in der Regel nicht aus. Einkäufer brauchen konkretere Data Act Information und ein Data Access Procedure (Verfahren für den Datenzugang).
4. Welche Produkte werden am häufigsten nach dem EU Data Act gefragt?
In der Praxis sind beim Export in die EU vor allem folgende Produkte betroffen:
1. Smarte Wearables
Etwa Smartwatches, Fitnessarmbänder, GPS-Uhren für Kinder und smarte Ringe.
Diese Produkte zeichnen in der Regel Schritte, Herzfrequenz, Schlaf, Standort, Trainingsdaten und Geräteprotokolle auf.
2. Smarte Fitnessgeräte
Etwa Laufbänder, Rudergeräte, Spinning-Bikes, Krafttrainingsgeräte und Reha-Trainingsgeräte.
Diese Produkte zeichnen Trainingsverlauf, Trainingsergebnisse, Gerätestatus und Fehlerinformationen auf.
3. Smart-Home-Produkte
Etwa Saugroboter, smarte Schlösser, smarte Kameras, smarte Klimaanlagen und smarte Kühlschränke.
Diese Produkte zeichnen Nutzungsgewohnheiten, Betriebszustand, Umgebungsdaten im Haushalt, Fehlerprotokolle usw. auf.
4. Unterhaltungselektronik mit App
Etwa Bluetooth-Kopfhörer, smarte Lautsprecher, smarte Leuchten, smarte Projektoren und tragbare Powerstations.
Jedes Produkt, das über eine App gekoppelt, aktualisiert, gesteuert oder synchronisiert wird, kann betroffen sein.
5. Industrieanlagen und Laborgeräte
Etwa Roboter, Sensoren, Prüfinstrumente, Laborgeräte und ferngewartete Anlagen.
Diese Produkte können Betriebsparameter, Alarminformationen, Wartungsdaten, Produktionsdaten und Fehlerdiagnosedaten erzeugen.
6. Medizin- und Gesundheitsgeräte
Etwa Fernüberwachungsgeräte, Reha-Trainingsgeräte, Testgeräte für zu Hause und Geräte für das Gesundheitsmanagement.
Diese Produkte betreffen in der Regel gleichzeitig Nutzerdaten, Gerätedaten, Gesundheitsdaten und Cloud-Plattformdienste und stehen daher besonders im Fokus der Einkäufer.
5. Was verlangen Einkäufer in der Regel von Herstellern?
Wenn europäische Einkäufer Anforderungen nach dem EU Data Act stellen, genügt es meist nicht, eine gewöhnliche Datenschutzerklärung vorzulegen; Hersteller müssen Folgendes bereitstellen.
1. Welche Daten das Produkt erzeugt, zum Beispiel:
-
Nutzungsdaten;
-
Betriebsdaten des Geräts;
-
Fehlerprotokolle;
-
Wartungsdaten;
-
Verbindungsdaten;
-
Cloud-Synchronisationsdaten;
-
App-Interaktionsdaten.
2. Wie häufig Daten erzeugt werden, zum Beispiel:
-
In Echtzeit;
-
Nach jeder Nutzung;
-
Tägliche Synchronisierung;
-
Beim Auftreten eines Fehlers;
-
Bei Firmware-Updates;
-
Bei einer Aktion des Nutzers.
3. Wo Daten gespeichert werden, zum Beispiel:
-
Auf dem Produkt;
-
In der mobilen App;
-
Auf Cloud-Servern;
-
Auf Servern in Europa;
-
Auf Servern von Drittanbietern.
4. Wie Nutzer auf Daten zugreifen, zum Beispiel:
-
Export über die App;
-
Download über ein Webkonto;
-
Anfrage per E-Mail;
-
Anfrage über eine Kundendienstplattform;
-
Zugriff über eine API (Application Programming Interface, Programmierschnittstelle).
5. Datenformate – gängige Formate sind:
-
CSV (Comma-Separated Values, kommagetrennte Werte);
-
JSON (JavaScript Object Notation);
-
XML (Extensible Markup Language, erweiterbare Auszeichnungssprache);
-
PDF (Portable Document Format);
-
API-Antwortformate.
Für Einkäufer gilt: Je klarer das Datenformat, desto leichter lässt sich beurteilen, ob das Produkt Zugänglichkeit und Übertragbarkeit bietet.
6. Wie Dritte auf Daten zugreifen – ein wichtiger Punkt; Hersteller sollten erklären:
-
Ob Nutzer Dritten den Zugriff gestatten können;
-
Wie Dritte Anfragen stellen;
-
Wie die Berechtigung des Nutzers überprüft wird;
-
Wie lange die Berechtigung gilt;
-
Wie Nutzer die Berechtigung widerrufen;
-
Dass Dritte die Daten nicht für nicht genehmigte Zwecke verwenden dürfen.
7. Ob Gebühren anfallen, zum Beispiel:
-
Ob der direkte Zugriff des Nutzers auf Basisdaten kostenlos ist;
-
Ob beim Zugriff Dritter angemessene technische Kosten anfallen können;
-
Ob Gebühren für Schnittstellenentwicklung, Datenverarbeitung oder manuelle Prüfung anfallen;
-
Ob die Gebührenregeln transparent sind.
8. Wie Geschäftsgeheimnisse geschützt werden – nicht alle Daten müssen bedingungslos offengelegt werden. Zum Beispiel:
-
Algorithmen zur Motorsteuerung;
-
Interne Diagnoselogik;
-
Modelle für Trainingsempfehlungen;
-
Anti-Manipulations-Mechanismen;
-
Interne Debugging-Parameter;
-
Sicherheitsstrategien.
Diese können Geschäftsgeheimnisse berühren. Unternehmen können angemessene Einschränkungen festlegen, etwa Anonymisierung, minimale Offenlegung, Vertraulichkeitsvereinbarungen und begrenzten Zugriffsumfang.
6. Wie sollten chinesische Exporteure reagieren?
Wir empfehlen Unternehmen folgendes Vorgehen.
Schritt 1: Klären, ob es sich um ein vernetztes Produkt handelt
Prüfen Sie zunächst, ob das Produkt folgende Funktionen hat:
-
Verbindung mit dem Internet;
-
Verbindung mit einer App;
-
Hochladen von Daten;
-
Eine Cloud-Plattform;
-
Unterstützung von Fernupdates;
-
Aufzeichnung des Nutzerverhaltens;
-
Aufzeichnung von Betriebsprotokollen des Geräts.
Lautet die Antwort „ja“, müssen Sie den EU Data Act berücksichtigen.
Schritt 2: Ein Dateninventar erstellen
Listen Sie alle vom Produkt erzeugten Daten auf, einschließlich:
-
Datenbezeichnung;
-
Datenquelle;
-
Zweck;
-
Häufigkeit;
-
Speicherort;
-
Ob exportierbar;
-
Ob an Dritte weitergebbar;
-
Ob Geschäftsgeheimnisse betroffen sind.
Dieser Schritt ist entscheidend. Ohne Dateninventar bleiben spätere Erklärungen leicht vage.
Schritt 3: Einen Zugangsmechanismus für Nutzer einrichten
Unternehmen sollten mindestens erklären:
-
Wie Nutzer Daten anfordern;
-
Wer Anfragen bearbeitet;
-
Antwortzeit;
-
Bereitgestelltes Format;
-
Welche Daten bereitgestellt werden können;
-
Welche Daten nicht bereitgestellt werden können, und warum.
Schritt 4: Regeln für den Zugriff Dritter festlegen
Wenn Nutzer Dritten den Datenzugriff gestatten, brauchen Unternehmen grundlegende Verfahren und Bedingungen, um Missbrauch zu verhindern.
Schritt 5: Ein Dokumentenpaket zum EU Data Act vorbereiten
Wir empfehlen in der Regel die Erstellung von:
-
Data Mapping Table (Datenzuordnungstabelle)
-
EU Data Act Information
-
Data Access Procedure (Verfahren für den Datenzugang)
-
Third-party Access Terms (Bedingungen für den Zugriff Dritter)
-
Trade Secret Assessment (Bewertung von Geschäftsgeheimnissen)
7. Fazit
Der EU Data Act zeigt, dass sich die Compliance-Anforderungen der EU an Produkte wandeln. Früher konzentrierten sich Unternehmen beim EU-Export vor allem auf Produktsicherheit, Funk, EMV, Umweltanforderungen und Kennzeichnung. Heute achten europäische Einkäufer bei smarter Hardware und vernetzten Produkten zusätzlich darauf:
-
Welche Daten erzeugt das Produkt?
-
Können Nutzer darauf zugreifen?
-
Kann Dritten der Zugriff gestattet werden?
-
In welchem Format werden sie bereitgestellt?
-
Fallen Gebühren an?
-
Wie werden Geschäftsgeheimnisse geschützt?
Für chinesische Hersteller lässt sich der EU Data Act nicht einfach mit einer Datenschutzerklärung lösen; nötig ist ein Dokumentensystem, das – ausgehend von Produktfunktionen, Apps, Cloud-Plattformen, Datenarten und Kundendienstmodellen – gegenüber europäischen Einkäufern erklärt und geliefert werden kann.
Serviceempfehlungen von EVERBIZ
EVERBIZ unterstützt Hersteller von smarter Hardware, digitalen Produkten, Medizin- und Gesundheitsgeräten, Industrieanlagen und vernetzten Produkten beim Aufbau eines Compliance-Dokumentensystems für den EU Data Act, darunter: Produktdateninventare;
-
EU Data Act Information
-
Data Access Procedure (Verfahren für den Datenzugang)
-
Third-party Access Terms (Bedingungen für den Zugriff Dritter)
-
Trade Secret Assessment (Bewertung von Geschäftsgeheimnissen)
-
Beantwortung von Datenschutz-Fragebögen europäischer Einkäufer;
-
Schulungen zur Daten-Compliance für Lieferanten.
Wenn Sie bereits Anforderungen zum EU Data Act von europäischen Kunden erhalten haben, empfehlen wir, nicht nur Ihre Datenschutzerklärung zu überarbeiten, sondern so bald wie möglich mit einem Produktdateninventar und einem Zugangsmechanismus zu beginnen, um eine vollständigere Compliance-Dokumentation aufzubauen, die Einkäufer leichter akzeptieren.