Verbundene Produkte: Definition und rechtliche Bedeutung (AI Act / Data Act)

Art. 2 Nr. 12 Data Act definiert „verbundenes Produkt" als ein Produkt, das (1) Daten erfasst, erzeugt oder übertragen kann und (2) mit einem elektronischen Kommunikationsnetz, einem aktiven Interface (z. B. Touchscreen) oder einem Computerprogramm verbunden ist. Wesentliche Merkmale: (a) Datenerzeugung/-erfassung — das Produkt erzeugt Daten bei der Nutzung (z. B. Sensor-Daten, Nutzungsdaten, Status-Daten); (b) Konnektivität — das Produkt ist vernetzt (Internet, Bluetooth, NFC) oder hat ein digitales Interface. Ausgenommen: Produkte, deren primäre Funktion Datenerhebung/Übertragung ist (z. B. Webcams, Sensoren ohne weitere Funktion), AI-Systeme-Training, Software ohne physische Komponente (Ausnahme durch Art. 2 Abs. 2). Beispiele: Smartphones, Wearables, Smart-Home-Geräte, vernetzte Fahrzeuge, Industrie-4.0-Maschinen, Smart-Meter, Connected Health-Devices.

Für verbundene Produkte gelten die Datenzugangs-Pflichten des Data Act: (1) Zugangspflicht — Anbieter/Halter müssen dem Datennutzer Zugang zu den durch das Produkt erzeugten Daten geben, standardmäßig, in Echtzeit soweit technisch möglich, kostenlos (Art. 4). (2) Weitergabepflicht — Datennutzer können die Daten an Dritte weitergeben (Art. 5): unabhängige Dienstleister (freie Werkstatt, alternative Smart-Home-Plattform), Konkurrenten des Herstellers (kompatibles Zubehör). Ausnahmen: Trade Secrets (vertrauliche Behandlung auf Verlangen), öffentliche Sicherheit, unverhältnismäßiger Aufwand, DSGVO (personenbezogene Daten). Die Pflichten gelten ab dem 12. September 2025 (Anwendbarkeit Data Act). Aufsichtlich: nationale Datenzugangsbehörden (DE: BMWK-zugeordnet). Die Pflichten brechen Hersteller-Datenmonopole und öffnen Sekundärmärkte.

Überlagert: (1) DSGVO — Daten verbundener Produkte sind oft personenbezogen (Nutzungsverhalten, Anwesenheit, Gesundheitsdaten); Rechtsgrundlage, Einwilligung, DSFA bei hochriskanter Verarbeitung. (2) AI Act — KI in verbundenen Produkten kann hochriskant sein: als Sicherheitskomponente regulierter Produkte (Anhang I), als biometrische KI (Anhang III Nr. 1), in kritischer Infrastruktur (Nr. 2). Smart-Home-Überwachungs-KI, Connected-Vehicle-Autonomie, Wearable-Medizinprodukt-KI sind Beispiele. (3) GPSR (Verordnung (EU) 2023/988) — allgemeine Produktsicherheit, für verbundene Produkte relevant. (4) Branchenspezifische Regelungen — Telekommunikationsrecht (TKG), Energiewirtschaftsrecht (EnWG), NIS2 (kritische Infrastruktur). (5) Cyber Resilience Act — Sicherheit von Produkten mit digitalen Elementen (verbundene Produkte sind Produkte mit digitalen Elementen). Eine konsolidierte Compliance kombiniert Data Act, DSGVO, AI Act, GPSR, CRA, branchenspezifisches Recht.