--- title: "EU Data Act: API-Checkliste für Connected Products" canonical: https://wavect.io/de/blog/eu-data-act-connected-product-api-2026/ language: de description: "Connected Products für den EU Data Act vorbereiten: Daten katalogisieren, Zugang wählen, Identität, Isolation, Export und Tests umsetzen." image: "https://wavect.io/img/blog/headers/header_eu-data-act-connected-product-api-2026.png" --- [**Zurück**](/de/blog/overview/) [![Kevin Riedl](/img/team/kevin.webp)](/de/team/kevin-riedl/) [Kevin Riedl](/de/team/kevin-riedl/) https://linkedin.com/in/wsdt 9 Min Lesezeit · 24. August 2026 Zuletzt geprüft 24. August 2026 [**Weiter**](/de/blog/smart-city-architecture-best-practices-2026/) # EU Data Act für Connected Products: Access-by-Design-API-Checkliste TL;DR Connected Products nach dem 12. September 2026 brauchen Access by Design. Katalogisiert erzeugte Daten und Metadaten, ordnet Nutzer und Holder zu, dokumentiert direkte Machbarkeit und bietet sonst API oder Export. Testet Tenant-Isolation, Delegation, Widerruf, Privacy, Trade Secrets, Last und die Richtigkeit der Produktangaben. **Connected Products und verbundene Dienste, die nach dem 12. September 2026 in der EU in Verkehr gebracht werden, müssen erzeugte Daten und notwendige Metadaten einfach, sicher, kostenlos, umfassend, strukturiert, gängig und maschinenlesbar zugänglich machen. Direkter Zugang gilt, wo er relevant und technisch machbar ist.** Dieser Leitfaden schließt die technische Lücke vom Gerät bis zur Cloud. Er ist keine Rechtsberatung. ## Was muss das Produkt ermöglichen? | Pflicht | Verhalten | Kontrolle | | --- | --- | --- | | **Access by Design** | Direkt, wo relevant und machbar | Entscheidung je Datenklasse dokumentieren | | **Auf Anfrage** | Ohne unangemessene Verzögerung, teils kontinuierlich | Authentifizierte API oder Export mit Monitoring | | **Vorvertraglich** | Volumen, Format, Frequenz, Speicher und Zugang | Angaben aus demselben Datenkatalog erzeugen | ## Welche Daten brauchen einen Zugangspfad? Katalogisiert rohe und vorverarbeitete Nutzungsdaten sowie notwendige Metadaten. Erfasst Nutzer, Holder, Quelle, Takt, Volumen, Format, Retention, Personenbezug, Trade Secrets, Security und Zugang. - Sensor- und Eventdaten von abgeleiteten Analysen trennen. - Eigentum, Account-Rolle, Tenant und Delegation zur Gerätebeziehung abbilden. - Einheiten, Zeit, Device-ID, Qualitätsflag und Schemaversion liefern. - Produktangaben mit Firmware, App, API und Retention synchron halten. ## Wie sieht eine Access-by-Design-API aus? Nutzt klare Ressourcen, stabile IDs, dokumentierte Schemas, Pagination oder Streaming, enge Rechte, Exportjobs und auditierbaren Widerruf. Ein Dashboard zum Scrapen ist kein belastbarer Zugang. - Nutzer und Gerätebeziehung vor Freigabe prüfen. - Tenant- und Device-Grenzen in jeder Query durchsetzen und testen. - Missbrauch limitieren, ohne normalen Echtzeitzugang zu verhindern. - Löschung, Delegation und Drittfreigabe vorsehen. ## Wie behandelt ihr Geheimnisse und Sicherheit? Klassifiziert das Risiko pro Feld und Zugang, nicht pauschal pro Dataset. Nutzt verhältnismäßige Kontrollen, dokumentiert Einschränkungen und bietet Eskalation. - Device Takeover, Token-Diebstahl, Enumeration, Replay und Bulk Extraction threat-modeln. - Minimierung, Scopes, Verschlüsselung, Monitoring und kurze Credentials nutzen. - Zurückgehaltenen oder verzögerten Zugang beweisbar begründen. ## Acht Schritte zur Readiness 1. Produkte und Dienste nach dem 12. September 2026 bestimmen. 2. Daten und Metadaten mit Volumen, Frequenz und Retention katalogisieren. 3. Direkt-, API-, Export- oder Assisted Access je Klasse entscheiden. 4. Gerät-Nutzer-Identität, Delegation und Isolation umsetzen. 5. Versionierte Schemas und maschinenlesbare Outputs liefern. 6. Verträge und Vorabinformationen technisch abgleichen. 7. Last, Security, Privacy, Geheimnisse und Widerruf testen. 8. Erfolg, Zeit, Stale Data und Fehlzugriffe messen. ## FAQ zum Data Act für Connected Products ### Welche Produkte betrifft Access by Design ab September 2026? Connected Products und verbundene Dienste, die nach dem 12. September 2026 in Verkehr gebracht werden, vorbehaltlich Scope und Ausnahmen. ### Muss der Zugriff immer direkt vom Gerät erfolgen? Nein. Direkt, wo relevant und technisch machbar. Sonst braucht es einen wirksamen anfragebasierten Weg. ### Dürfen Nutzer für ihre Produktdaten zahlen? Artikel 3 beschreibt den Nutzerzugang als einfach, sicher und kostenlos sowie umfassend, strukturiert und maschinenlesbar. ### Reicht ein CSV-Export? Manchmal ist er Teil der Lösung. Es hängt von Daten, Metadaten, Frequenz, Volumen und Echtzeitanforderungen ab. ## Fazit Behandelt Datenzugang als Produktfähigkeit mit Owner, SLOs, Tests und Messwerten. Eine Policy kann eine ungeeignete Architektur nicht reparieren. ## Primärquellen 1. [Verordnung (EU) 2023/2854](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32023R2854). Verbindlicher Data Act 2. [EU-Kommission erklärt den Data Act](https://digital-strategy.ec.europa.eu/en/factpages/data-act-explained). Offizieller Überblick 3. [Bundesnetzagentur zum Data Act](https://www.bundesnetzagentur.de/EN/Areas/Digitalisation/DataAct/background/1-Data/start.html). Offizielle Umsetzung und Datum ## Das könnte dich auch interessieren.. [**Best Practices für Smart-City-Architektur** Wende die Checkliste auf Geräte, Edge und Datenplattform an.](/de/blog/smart-city-architecture-best-practices-2026/) [**Wavect vs. Entwicklungsagenturen** Vergleiche Teams für Connected Products und APIs.](/de/compare/wavect-vs-dev-agencies/) Architektur und Plattformen ## In diesem Cluster weiterlesen Framework-, Plattform- und Systementscheidungen mit langfristiger Delivery-Wirkung. [Mit dem Grundlagenartikel starten**Smart-City-Architektur: MQTT, LoRaWAN, Kubernetes und Terraform**](/de/blog/smart-city-architecture-best-practices-2026/) - [EU-Batteriepass: Softwarearchitektur für 2027](/de/blog/eu-battery-passport-software-architecture-2027/) - [Cursor Origin vs. GitHub: Soll dein Team wechseln?](/de/blog/cursor-origin-vs-github-code-hosting/) - [MoneyPrinterTurbo Test 2026: Gratis KI-Video, echte Kosten](/de/blog/moneyprinterturbo-review-2026/) - [Odoo-API-Integration: die fünf Limits, die deine Architektur entscheiden](/de/blog/odoo-erp-api-integration-limits-2026/) - [KI im Lebensmittelhandel: MPREIS Chancenkarte](/de/blog/mpreis-ai-grocery-retail-opportunity-map/) Postfach, ohne Lärm ## Folge der Arbeit, die für dich zählt Du bekommst eine kurze E-Mail, wenn wir etwas Neues veröffentlichen. Folge dem ganzen Blog oder nur den Themen, die dich interessieren. [**Zurück**](/de/blog/overview/) [![Kevin Riedl](/img/team/kevin.webp)](/de/team/kevin-riedl/) [Kevin Riedl](/de/team/kevin-riedl/) https://linkedin.com/in/wsdt 9 Min Lesezeit · 24. August 2026 Zuletzt geprüft 24. August 2026 [**Weiter**](/de/blog/smart-city-architecture-best-practices-2026/) Neue Beiträge per E-Mail × × Neue Beiträge per E-Mail Eine kurze E-Mail, wenn wir etwas veröffentlichen. Kostenlos, ohne Tracking. ## Structured Data ```json { "@context": "https://schema.org", "@graph": [ { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ], "employee": [ { "@id": "https://wavect.io/team/kevin-riedl/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Kevin Riedl", "url": "https://wavect.io/team/kevin-riedl/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } }, { "@id": "https://wavect.io/team/christof-jori/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Christof Jori", "url": "https://wavect.io/team/christof-jori/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } } ], "founder": [ { "@id": "https://wavect.io/team/kevin-riedl/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Kevin Riedl", "url": "https://wavect.io/team/kevin-riedl/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } }, { "@id": "https://wavect.io/team/christof-jori/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Christof Jori", "url": "https://wavect.io/team/christof-jori/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } } ], "legalRepresentative": [ { "@id": "https://wavect.io/team/kevin-riedl/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Kevin Riedl", "url": "https://wavect.io/team/kevin-riedl/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } }, { "@id": "https://wavect.io/team/christof-jori/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Christof Jori", "url": "https://wavect.io/team/christof-jori/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } } ], "name": "Wavect GmbH", "subjectOf": { "@id": "https://wavect.io/verified-claims.json#dataset", "@type": "Dataset", "creator": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] }, "description": "A machine-readable registry of quantitative and qualitative claims published by Wavect, with review dates, localized page appearances and public third-party citations where available.", "inLanguage": "en", "isAccessibleForFree": true, "license": "https://creativecommons.org/licenses/by/4.0/", "name": "Wavect verified publication claims", "url": "https://wavect.io/verified-claims.json" }, "url": "https://wavect.io/" }, { "@id": "https://wavect.io/team/kevin-riedl/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Kevin Riedl", "sameAs": [ "https://www.wikidata.org/wiki/Q139796365", "https://www.linkedin.com/in/wsdt", "https://github.com/wsdt" ], "url": "https://wavect.io/team/kevin-riedl/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } }, { "@id": "https://wavect.io/team/christof-jori/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Christof Jori", "sameAs": [ "https://www.wikidata.org/wiki/Q139796367", "https://www.linkedin.com/in/jocr77/", "https://github.com/jo-chris" ], "url": "https://wavect.io/team/christof-jori/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } }, { "@id": "https://wavect.io/#website", "@type": "WebSite", "inLanguage": [ "en", "de", "es", "zh" ], "name": "Wavect", "potentialAction": { "@type": "SearchAction", "query-input": "required name=search_term_string", "target": { "@type": "EntryPoint", "urlTemplate": "https://wavect.io/search/?q={search_term_string}" } }, "publisher": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] }, "url": "https://wavect.io/" }, { "@id": "https://wavect.io/de/blog/eu-data-act-connected-product-api-2026/#webpage", "@type": "WebPage", "dateModified": "2026-08-24", "inLanguage": "de", "isPartOf": { "@id": "https://wavect.io/#website", "@type": "WebSite" }, "lastReviewed": "2026-08-24", "url": "https://wavect.io/de/blog/eu-data-act-connected-product-api-2026/" } ] } ``` ```json { "@context": "https://schema.org", "@type": "BlogPosting", "abstract": "Connected Products nach dem 12. September 2026 brauchen Access by Design. Katalogisiert erzeugte Daten und Metadaten, ordnet Nutzer und Holder zu, dokumentiert direkte Machbarkeit und bietet sonst API oder Export. Testet Tenant-Isolation, Delegation, Widerruf, Privacy, Trade Secrets, Last und die Richtigkeit der Produktangaben.", "articleBody": " Blog-Übersicht/Delivery und QA/Architektur und Plattformen EU Data Act für Connected Products: Access-by-Design-API-Checkliste TL;DR Connected Products nach dem 12. September 2026 brauchen Access by Design. Katalogisiert erzeugte Daten und Metadaten, ordnet Nutzer und Holder zu, dokumentiert direkte Machbarkeit und bietet sonst API oder Export. Testet Tenant-Isolation, Delegation, Widerruf, Privacy, Trade Secrets, Last und die Richtigkeit der Produktangaben. Connected Products und verbundene Dienste, die nach dem 12. September 2026 in der EU in Verkehr gebracht werden, müssen erzeugte Daten und notwendige Metadaten einfach, sicher, kostenlos, umfassend, strukturiert, gängig und maschinenlesbar zugänglich machen. Direkter Zugang gilt, wo er relevant und technisch machbar ist. Dieser Leitfaden schließt die technische Lücke vom Gerät bis zur Cloud. Er ist keine Rechtsberatung. Was muss das Produkt ermöglichen? PflichtVerhaltenKontrolle Access by DesignDirekt, wo relevant und machbarEntscheidung je Datenklasse dokumentierenAuf AnfrageOhne unangemessene Verzögerung, teils kontinuierlichAuthentifizierte API oder Export mit MonitoringVorvertraglichVolumen, Format, Frequenz, Speicher und ZugangAngaben aus demselben Datenkatalog erzeugen Welche Daten brauchen einen Zugangspfad? Katalogisiert rohe und vorverarbeitete Nutzungsdaten sowie notwendige Metadaten. Erfasst Nutzer, Holder, Quelle, Takt, Volumen, Format, Retention, Personenbezug, Trade Secrets, Security und Zugang. Sensor- und Eventdaten von abgeleiteten Analysen trennen.Eigentum, Account-Rolle, Tenant und Delegation zur Gerätebeziehung abbilden.Einheiten, Zeit, Device-ID, Qualitätsflag und Schemaversion liefern.Produktangaben mit Firmware, App, API und Retention synchron halten. Wie sieht eine Access-by-Design-API aus? Nutzt klare Ressourcen, stabile IDs, dokumentierte Schemas, Pagination oder Streaming, enge Rechte, Exportjobs und auditierbaren Widerruf. Ein Dashboard zum Scrapen ist kein belastbarer Zugang. Nutzer und Gerätebeziehung vor Freigabe prüfen.Tenant- und Device-Grenzen in jeder Query durchsetzen und testen.Missbrauch limitieren, ohne normalen Echtzeitzugang zu verhindern.Löschung, Delegation und Drittfreigabe vorsehen. Wie behandelt ihr Geheimnisse und Sicherheit? Klassifiziert das Risiko pro Feld und Zugang, nicht pauschal pro Dataset. Nutzt verhältnismäßige Kontrollen, dokumentiert Einschränkungen und bietet Eskalation. Device Takeover, Token-Diebstahl, Enumeration, Replay und Bulk Extraction threat-modeln.Minimierung, Scopes, Verschlüsselung, Monitoring und kurze Credentials nutzen.Zurückgehaltenen oder verzögerten Zugang beweisbar begründen. Acht Schritte zur Readiness Produkte und Dienste nach dem 12. September 2026 bestimmen.Daten und Metadaten mit Volumen, Frequenz und Retention katalogisieren.Direkt-, API-, Export- oder Assisted Access je Klasse entscheiden.Gerät-Nutzer-Identität, Delegation und Isolation umsetzen.Versionierte Schemas und maschinenlesbare Outputs liefern.Verträge und Vorabinformationen technisch abgleichen.Last, Security, Privacy, Geheimnisse und Widerruf testen.Erfolg, Zeit, Stale Data und Fehlzugriffe messen. Sinnvolle Service-Wege: Internet of Things In Produktion gesehen: Anleihen-Analytics-Plattform Vorher entscheiden: Wie wählt man eine Softwareagentur aus? FAQ zum Data Act für Connected Products Welche Produkte betrifft Access by Design ab September 2026? Connected Products und verbundene Dienste, die nach dem 12. September 2026 in Verkehr gebracht werden, vorbehaltlich Scope und Ausnahmen. Muss der Zugriff immer direkt vom Gerät erfolgen? Nein. Direkt, wo relevant und technisch machbar. Sonst braucht es einen wirksamen anfragebasierten Weg. Dürfen Nutzer für ihre Produktdaten zahlen? Artikel 3 beschreibt den Nutzerzugang als einfach, sicher und kostenlos sowie umfassend, strukturiert und maschinenlesbar. Reicht ein CSV-Export? Manchmal ist er Teil der Lösung. Es hängt von Daten, Metadaten, Frequenz, Volumen und Echtzeitanforderungen ab. Fazit Behandelt Datenzugang als Produktfähigkeit mit Owner, SLOs, Tests und Messwerten. Eine Policy kann eine ungeeignete Architektur nicht reparieren. Primärquellen Verordnung (EU) 2023/2854. Verbindlicher Data ActEU-Kommission erklärt den Data Act. Offizieller ÜberblickBundesnetzagentur zum Data Act. Offizielle Umsetzung und Datum Das könnte dich auch interessieren.. Best Practices für Smart-City-Architektur Wende die Checkliste auf Geräte, Edge und Datenplattform an. Wavect vs. Entwicklungsagenturen Vergleiche Teams für Connected Products und APIs. Architektur und Plattformen In diesem Cluster weiterlesen Framework-, Plattform- und Systementscheidungen mit langfristiger Delivery-Wirkung. Mit dem Grundlagenartikel startenSmart-City-Architektur: MQTT, LoRaWAN, Kubernetes und Terraform EU-Batteriepass: Softwarearchitektur für 2027 Cursor Origin vs. GitHub: Soll dein Team wechseln? MoneyPrinterTurbo Test 2026: Gratis KI-Video, echte Kosten Odoo-API-Integration: die fünf Limits,", "articleSection": "IoT", "author": { "@id": "https://wavect.io/team/kevin-riedl/#person", "@type": "Person", "name": "Kevin Riedl", "sameAs": [ "https://www.wikidata.org/wiki/Q139796365", "https://www.linkedin.com/in/wsdt", "https://github.com/wsdt" ], "url": "https://wavect.io/team/kevin-riedl/" }, "citation": [ { "@type": "WebPage", "name": "Verordnung (EU) 2023/2854", "url": "https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32023R2854" }, { "@type": "WebPage", "name": "EU-Kommission erklärt den Data Act", "url": "https://digital-strategy.ec.europa.eu/en/factpages/data-act-explained" }, { "@type": "WebPage", "name": "Bundesnetzagentur zum Data Act", "url": "https://www.bundesnetzagentur.de/EN/Areas/Digitalisation/DataAct/background/1-Data/start.html" } ], "dateModified": "2026-08-24", "datePublished": "2026-08-24", "description": "Connected Products nach dem 12. September 2026 brauchen Access by Design. Katalogisiert erzeugte Daten und Metadaten, ordnet Nutzer und Holder zu, dokumentiert direkte Machbarkeit und bietet sonst API oder Export. Testet Tenant-Isolation, Delegation, Widerruf, Privacy, Trade Secrets, Last und die Richtigkeit der Produktangaben.", "headline": "EU Data Act: API-Checkliste für Connected Products", "image": "https://wavect.io/img/blog/headers/header_eu-data-act-connected-product-api-2026.svg", "inLanguage": "de", "keywords": "EU Data Act, Connected Products, API-Architektur", "mainEntityOfPage": { "@id": "https://wavect.io/de/blog/eu-data-act-connected-product-api-2026/", "@type": "WebPage" }, "publisher": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] }, "url": "https://wavect.io/de/blog/eu-data-act-connected-product-api-2026/", "wordCount": 726 } ``` ```json { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "item": "https://wavect.io/de/", "name": "Startseite", "position": 1 }, { "@type": "ListItem", "item": "https://wavect.io/de/blog/overview/", "name": "Blog-Übersicht", "position": 2 }, { "@type": "ListItem", "item": "https://wavect.io/de/blog/topics/delivery-qa/", "name": "Delivery und QA", "position": 3 }, { "@type": "ListItem", "item": "https://wavect.io/de/blog/clusters/architecture-platforms/", "name": "Architektur und Plattformen", "position": 4 }, { "@type": "ListItem", "item": "https://wavect.io/de/blog/eu-data-act-connected-product-api-2026/", "name": "EU Data Act: API-Checkliste für Connected Products | ", "position": 5 } ] } ``` ```json { "@context": "https://schema.org", "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "acceptedAnswer": { "@type": "Answer", "text": "Connected Products und verbundene Dienste, die nach dem 12. September 2026 in Verkehr gebracht werden, vorbehaltlich Scope und Ausnahmen." }, "name": "Welche Produkte betrifft Access by Design ab September 2026?" }, { "@type": "Question", "acceptedAnswer": { "@type": "Answer", "text": "Nein. Direkt, wo relevant und technisch machbar. Sonst braucht es einen wirksamen anfragebasierten Weg." }, "name": "Muss der Zugriff immer direkt vom Gerät erfolgen?" }, { "@type": "Question", "acceptedAnswer": { "@type": "Answer", "text": "Artikel 3 beschreibt den Nutzerzugang als einfach, sicher und kostenlos sowie umfassend, strukturiert und maschinenlesbar." }, "name": "Dürfen Nutzer für ihre Produktdaten zahlen?" }, { "@type": "Question", "acceptedAnswer": { "@type": "Answer", "text": "Manchmal ist er Teil der Lösung. Es hängt von Daten, Metadaten, Frequenz, Volumen und Echtzeitanforderungen ab." }, "name": "Reicht ein CSV-Export?" } ] } ```