Durchführungsgesetz zum Data Act verabschiedet und verkündet

DADG bildet gesetzlichen Rahmen für die Umsetzung des Data Act 

Mit einer Verspätung von etwa 9 Monaten ist am 29. Mai 2026 das deutsche Gesetz zur Durchführung der Data-Act-Verordnung der EU im Bundesgesetzblatt veröffentlicht worden (BGBl. 2026 I Nr. 157) und am 30. Mai 2026 in Kraft getreten. Der Data Act regelt den Zugang zu und die Nutzung von Daten in vernetzten Geräten und digitalen Diensten, um Transparenz, Wettbewerb und eine faire Datennutzung zu fördern. Er gilt EU-weit bereits seit dem 12. September 2025. Das Datenverordnung-Anwendungs-und-Durchsetzungs-Gesetz (DADG) bildet nun das nationale Durchführungsgerüst für die Umsetzung der Vorgaben des Data Act und schreibt die Zuständigkeiten, Verfahrensvorschriften sowie den Bußgeldrahmen vor. 

Zuständigkeiten zwischen BNetzA, BfDI und Datenschutzbehörden aufgeteilt 

Ein Grund für die Verzögerung der Verabschiedung des DADG war, dass während des Gesetzgebungsverfahrens im Bundesrat und im Bundestag über die Zuweisung der Zuständigkeiten für die Aufsicht gestritten wurde. Konkret ging es dabei darum, ob es eine zentrale Aufsicht durch die Bundesnetzagentur (BNetzA) geben sollte, oder ob die einzelnen Datenschutzbehörden der Länder die Aufsicht dezentral übernehmen.  

Das DADG sieht nun einen Kompromiss vor, bei dem allerdings die BNetzA die zuständige Behörde für die Anwendung und Durchsetzung des Data Act und zugleich zentrale Anlaufstelle für alle Fragen von Bürgerinnen und Bürgern, Unternehmen und öffentlichen Stellen im Zusammenhang mit der Durchführung des Data Act ist (§ 2 DADG).  Die oder der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) ist „die für die Überwachung der Anwendung der Datenverordnung bezüglich des Schutzes personenbezogener Daten zuständige Datenschutzaufsichtsbehörde für nicht-öffentliche Stellen“ (§ 3 DADG). Für die öffentlichen Stellen sind hingegen weiterhin die Datenschutzbehörden der Länder zuständig, wenn es um die Aufsicht in Bezug auf die Verarbeitung personenbezogener Daten geht. 

Das DADG verpflichtet die Bundesnetzagentur und die von ihr beteiligten Behörden im Rahmen ihrer jeweiligen Zuständigkeiten bei der Wahrnehmung ihrer Aufgaben und Befugnisse „kooperativ und vertrauensvoll“ zusammenzuarbeiten (§ 4 DADG). 

Unterschiedliche Zuständigkeiten erfordern mehrstufiges Verfahren 

Aufgrund der Zuständigkeiten der unterschiedlichen Behörden ergibt sich in der Praxis ein mehrstufiges Verfahren, bei dem die BNetzA die Führung übernimmt: Die BNetzA prüft als zentrale Anlaufstelle den Sachverhalt, beteiligt bei Datenschutzbezug nicht-öffentlicher Stellen die oder den BfDI und ist an deren oder dessen Prüfergebnis gebunden. Die datenschutzrechtliche Einschätzung kann dann nicht isoliert, sondern nur in Verbindung mit der Gesamtentscheidung der BNetzA angefochten werden.  

Bußgelder richten sich nach Unternehmensgröße 

Die Bußgeldvorschriften sind in § 15 DSG geregelt. Sie richten sich nach den jeweiligen Verstößen und der Größe des Unternehmens und sehen insgesamt 5 Bußgeldstufen mit Bußgeldhöhen von 5 Mio. EUR, 500.000 EUR, 100.000 EUR, 50.000 EUR sowie eine umsatzbezogene Schwelle von 2 Prozent des weltweit erzielten Gesamtumsatzes vor.  

Gesetz zur Durchführung der Verordnung (EU) 2023/2854 des Europäischen Parlaments und des Rates vom 13. Dezember 2023 über harmonisierte Vorschriften für einen fairen Datenzugang und eine faire Datennutzung sowie zur Änderung der Verordnung (EU) 2017/2394 und der Richtlinie (EU) 2020/1828, BGBl. 2026 I Nr. 157 vom 29.05.2026