Data Act in Shopify: Pflichtangaben für vernetzte Produkte

Die EU-Verordnung 2023/2854 (Data Act) gilt bereits seit dem 12. September 2025 unmittelbar. Am 12. September 2026 endet nun eine zweite, spezifischere Frist: die Übergangszeit für die Pflicht, vernetzte Produkte nach dem Prinzip Access by Design zu gestalten (Quelle: BMDS). Wer das liest und keine vernetzten Produkte verkauft, kann an dieser Stelle eigentlich schon aufhören.

Genau das ist der wichtigste Satz dieses Artikels: Für die meisten deutschen Shopify-Händler ändert sich am 12. September 2026 nichts, weil ihr Sortiment gar keine vernetzten Produkte im Sinne der Verordnung enthält. Wer Kleidung, Kosmetik, Möbel ohne App-Anbindung oder klassisches Zubehör verkauft, dürfte als Verkäufer in aller Regel nicht betroffen sein. Betroffen sind Händler, deren Produkte während der Nutzung automatisiert Daten erzeugen und übertragen, meist über WLAN, Bluetooth, eine App oder eine Cloud-Anbindung. Dieser Artikel klärt zunächst, wie Sie das für Ihr eigenes Sortiment sauber feststellen, und geht danach in die technische Umsetzung in Shopify, für den Fall, dass Sie tatsächlich betroffen sind.

Ab wann gilt was: die zwei Fristen auseinanderhalten

Der Data Act ist als EU-Verordnung seit dem 12. September 2025 unmittelbar anwendbares Recht in allen Mitgliedstaaten, ohne nationales Umsetzungsgesetz (Quelle: BMDS). Seitdem gelten unter anderem die vorvertraglichen Informationspflichten aus Art. 3 Abs. 2 und 3 sowie der Anspruch von Nutzern auf Zugang zu bereits vorhandenen Produktdaten, wenn der Dateninhaber diese Daten ohnehin schon speichert.

Was zusätzlich am 12. September 2026 endet, ist eine andere, engere Frist: die Übergangszeit für Art. 3 Abs. 1, die eigentliche Access-by-Design-Pflicht. Diese verlangt, dass vernetzte Produkte und verbundene Dienste von Anfang an so konstruiert werden, dass Nutzer standardmäßig einfach, sicher und unentgeltlich in einem strukturierten, gängigen und maschinenlesbaren Format auf ihre Produktdaten zugreifen können. Laut Art. 50 Data Act gilt diese Pflicht für vernetzte Produkte und verbundene Dienste, die nach dem 12. September 2026 in Verkehr gebracht werden (Quelle: heise online). Für bereits verkaufte Geräte ändert sich an diesem Stichtag nichts, für neu auf den Markt gebrachte Modelle wird aus einer Pflicht auf Anfrage eine Pflicht ab Werk.

Was ein vernetztes Produkt ist, und ob Sie überhaupt betroffen sind

Ein vernetztes Produkt ist nach der Definition der Verordnung ein Gegenstand, der Daten über seine Nutzung oder seine Umgebung erlangt, generiert oder erhebt und diese über eine elektronische Kommunikationsverbindung, etwa eine Internet- oder Mobilfunkverbindung, ein WLAN oder Bluetooth, übermitteln kann. Beispiele, die in Shopify-Sortimenten tatsächlich vorkommen, laut Händlerbund und IT-Recht Kanzlei:

• Smartwatches und Fitnesstracker mit App-Anbindung
• Saugroboter, vernetzte Heizungsthermostate, smarte Steckdosen und Lampen
• Smart-TVs und vernetzte Lautsprecher beziehungsweise Sprachassistenten
• Vernetzte E-Bikes und E-Scooter mit GPS- oder Akku-Tracking per App
• Baby-Monitore, smarte Waagen oder andere Geräte mit Cloud-Synchronisation

(Quelle: Händlerbund; Quelle: IT-Recht Kanzlei)

Nicht erfasst sind Produkte ohne jede Datenerfassung während der Nutzung, also der weit überwiegende Teil klassischer Shopify-Sortimente: Textilien, Möbel ohne App, Kosmetik, Lebensmittel, Werkzeug ohne Sensorik. Wenn Ihr Shop ausschließlich solche Produkte führt, endet die für Sie relevante Prüfung hier. Führen Sie auch nur vereinzelt Produkte mit App-Kopplung, Bluetooth-Verbindung oder WLAN-Chip, lohnt sich eine genauere Prüfung nach dem im technischen Teil beschriebenen Muster.

Vorvertragliche Informationspflichten: was ins Angebot muss

Das ist der Kern der Norm für Verkäufer. Nach Art. 3 Abs. 2 und 3 Data Act müssen Verkäufer, Vermieter oder Leasinggeber eines vernetzten Produkts sowie Anbieter eines verbundenen Dienstes dem Nutzer vor Vertragsschluss bestimmte Informationen zur Verfügung stellen (Quelle: data-act-law.eu):

Laut IT-Recht Kanzlei gehört diese Information in die Produktbeschreibung, eine verlinkte Detailseite oder ein herunterladbares Datenblatt, ausdrücklich nicht nur in eine PDF-Beilage im Karton oder in ein Pop-up erst im Checkout (Quelle: IT-Recht Kanzlei). Der Grund liegt im Wort vorvertraglich: Die Information muss vorliegen, bevor der Kunde kauft, nicht erst danach.

Hersteller, Händler, Dateninhaber: wo ein Shopify-Verkäufer steht

Der Data Act unterscheidet mehrere Rollen, die in der Praxis oft in unterschiedlichen Unternehmen liegen:

• Hersteller entwickelt und produziert das vernetzte Produkt und muss die technischen Voraussetzungen für den Datenzugang schaffen, einschließlich der Access-by-Design-Anforderung aus Art. 3 Abs. 1.
• Händler beziehungsweise Verkäufer verkauft das fertige Produkt an den Endkunden und muss diesen vorvertraglich informieren, so wie oben beschrieben.
• Dateninhaber ist, wer die vom Produkt erzeugten Daten tatsächlich speichert und verwaltet; das kann der Hersteller selbst sein, mitunter aber auch ein Dritter, etwa ein Cloud-Anbieter.

Für den typischen Shopify-Betreiber, der Markenware einkauft und weiterverkauft, ist die praktisch relevante Rolle die des Verkäufers, nicht die des Herstellers oder Dateninhabers. Das bedeutet: Sie müssen die in Art. 3 Abs. 2 und 3 verlangten Angaben nicht selbst erfinden, Sie brauchen sie vom Hersteller oder Lieferanten und müssen sie an den Endkunden weiterreichen, bevor dieser kauft. Wenn Sie dagegen unter eigener Marke ein vernetztes Produkt entwickeln oder fertigen lassen, können Sie zusätzlich als Hersteller gelten, mit den entsprechend weitergehenden Pflichten aus Art. 3 Abs. 1. Ob das bei Ihrem konkreten Geschäftsmodell der Fall ist, ist wieder eine Frage für den Anwalt, nicht für dieses Dokument.

Ausnahmen für Kleinstunternehmen und kleine Unternehmen

Art. 7 Data Act nimmt Kleinstunternehmen und kleine Unternehmen von den Pflichten aus Kapitel II teilweise aus, wenn sie keine größeren Partner- oder verbundenen Unternehmen haben und nicht im Auftrag eines größeren Unternehmens als Unterauftragnehmer tätig werden; für mittlere Unternehmen gilt eine Erleichterung befristet auf ein Jahr nach dem erstmaligen Inverkehrbringen (Quelle: data-act-law.eu). Diese Ausnahme betrifft in erster Linie Hersteller-Pflichten aus Kapitel II, also unter anderem die Access-by-Design-Konstruktion selbst.

Ob die vorvertragliche Informationspflicht aus Art. 3 Abs. 2 und 3 für einen kleinen Handelsbetrieb, der fremde vernetzte Produkte verkauft, durch Art. 7 ebenfalls entfällt, konnte ich in den ausgewerteten Quellen nicht abschließend und übereinstimmend belegen. Der Händlerbund weist in seinem Ratgeber ausdrücklich darauf hin, dass Online-Händler auch als kleinere Betriebe compliant handeln sollten, wenn sie an Verbraucher verkaufen (Quelle: Händlerbund). Klären Sie diesen Punkt für Ihre konkrete Unternehmensgröße und Lieferkette mit einem Anwalt, bevor Sie sich allein auf die KMU-Ausnahme verlassen.

Sanktionen und Zuständigkeit in Deutschland

Mit dem Datenverordnung-Anwendungs- und -Durchsetzungsgesetz (DADG), das laut Bundesnetzagentur seit dem 30. Mai 2026 in Kraft ist, wurde die Bundesnetzagentur zur zentralen zuständigen Behörde für die Durchsetzung des Data Act in Deutschland bestimmt (Quelle: Bundesnetzagentur). Bei Verstößen mit Personenbezug bleibt der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) zusätzlich zuständig.

Die Bußgelder stehen in § 15 DADG und sind gestaffelt, nicht ein einziger Betrag. Die Kanzlei HÄRTING gliedert sie in vier Stufen: bis zu 5 Millionen Euro oder 2 Prozent des Gesamtumsatzes für Verstöße gegen Art. 5 Abs. 3, bis zu 500.000 Euro für Verstöße gegen die Datenbereitstellungspflichten aus Art. 3 bis 6, bis zu 100.000 Euro und bis zu 50.000 Euro für die übrigen Pflichten, darunter die reinen Informations- und Mitteilungspflichten (Quelle: HÄRTING). Davon zu trennen ist das Zwangsgeld nach § 9 Abs. 3 DADG, ebenfalls bis 500.000 Euro, mit dem die Bundesnetzagentur eine bereits ergangene Anordnung durchsetzen kann. Sobald personenbezogene Daten betroffen sind, gelten zusätzlich die DSGVO-Höchstsätze von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes (Quelle: activeMind.legal). Art. 40 Data Act selbst verlangt von den Mitgliedstaaten nur, dass Sanktionen wirksam, verhältnismäßig und abschreckend sind (Quelle: data-act-law.eu); die konkreten Beträge stammen also aus der deutschen Umsetzung, nicht aus dem Verordnungstext.

Für einen Händler, der die vorvertraglichen Angaben nicht macht, ist damit die unterste Stufe einschlägig und nicht die Schlagzeilen-Summe. Welche Stufe ein konkreter Verstoß träfe, ist eine rechtliche Bewertung und gehört zum Anwalt.

Technischer Teil: Betroffenheit im Shopify-Sortiment filtern

Bevor Sie Metafelder anlegen, brauchen Sie eine verlässliche Liste, welche Produkte überhaupt betroffen sein könnten. In den meisten Shops reicht dafür eine Kombination aus drei Filterkriterien, die Sie im Admin unter Produkte mit gespeicherten Suchansichten abbilden können:

1. Produkttyp und Hersteller filtern

   Filtern Sie im Produkt-Admin nach product_type beziehungsweise Vendor-Feld auf Kategorien, die typischerweise vernetzte Geräte enthalten: Elektronik, Wearables, Smart Home, Fahrräder mit E-Antrieb. Das ist eine grobe Vorauswahl, kein abschließendes Ergebnis, aber sie reduziert die Prüfmenge auf ein handhabbares Set.

2. Tag für vernetzte Produkte einführen

   Legen Sie einen Tag wie connected-product an und pflegen Sie ihn nach individueller Prüfung jedes Produkts aus der Vorauswahl. Ein Tag lässt sich im Storefront-Filter, in Smart Collections und in Flow-Automatisierungen weiterverwenden, ohne dass Sie den Produkttyp selbst umbauen müssen.

3. Herstellerangabe zu Konnektivität einholen

   Fragen Sie bei Lieferanten und Herstellern aktiv nach, ob und welche Konnektivität ein Produkt hat, sofern das nicht ohnehin aus dem Datenblatt hervorgeht. Diese Angabe ist zugleich die Grundlage für die inhaltlichen Pflichtangaben aus Art. 3 Abs. 2 und 3, Sie brauchen sie also ohnehin.

4. Ergebnis in einer gespeicherten Suche sichern

   Speichern Sie die Filterkombination als eigene Ansicht im Produkt-Admin, damit neue Produkte beim Anlegen direkt gegen dieselben Kriterien geprüft werden, statt die Analyse bei jeder Sortimentserweiterung neu zu machen.

Wo die Angaben hingehören: Metafelder statt Fließtext

Sobald ein Produkt als vernetzt markiert ist, brauchen Sie einen Ort für die sechs Pflichtangaben aus der Tabelle oben. Der naheliegende, aber schlechtere Weg ist, sie als weiteren Absatz in die normale Produktbeschreibung zu schreiben. Das Problem dabei: Fließtext lässt sich nicht strukturiert auswerten, nicht zuverlässig in einen CSV-Export überführen und nicht automatisch aktualisieren, wenn sich beim Hersteller etwas ändert, etwa eine neue Speicherfrist.

Strukturierte Metafeld-Definitionen auf Produktebene lösen das nach demselben Muster, das sich bereits bei den GPSR-Pflichtangaben bewährt hat. Sinnvolle Metafeld-Definitionen für den Data Act, als Namensraum custom oder ein eigener Namensraum data_act:

• data_act.connected_product (Boolean): markiert das Produkt als vernetztes Produkt
• data_act.data_types (mehrzeilig oder Liste): Art und Format der erzeugten Produktdaten
• data_act.realtime_capable (Boolean): ob das Produkt Echtzeitdaten erzeugen kann
• data_act.storage_location (Einzeilentext): Gerät, entfernter Server, oder beides
• data_act.storage_duration (Einzeilentext): Speicherdauer, so wie vom Hersteller angegeben
• data_act.access_deletion (mehrzeilig): wie der Nutzer auf seine Daten zugreift und sie löschen kann
• data_act.data_holder_contact (mehrzeilig): Name und Kontakt des Dateninhabers, falls abweichend vom Verkäufer

Diese Struktur hat einen praktischen Vorteil gegenüber Fließtext: Sie lässt sich unverändert für die Ausgabe auf der Produktseite, für den CSV-Export und für eine Warenwirtschafts-Synchronisation weiterverwenden, ohne dass Sie den Text an drei Stellen unterschiedlich pflegen.

Ausgabe auf der Produktseite, CSV-Import und ERP-Sync

Für die Ausgabe reicht ein bedingt geladenes Theme-Snippet, das nur rendert, wenn data_act.connected_product auf true steht, ähnlich dem Aufbau, den ich im GPSR-Artikel beschrieben habe. Ein vereinfachtes Beispiel, konstruiert zur Illustration, kein lauffähiges Produktionssnippet:

{% if product.metafields.data_act.connected_product %}
  <div class="data-act-info">
    <h3>Angaben zu Produktdaten (Data Act)</h3>
    <ul>
      <li>Datenarten: {{ product.metafields.data_act.data_types }}</li>
      <li>Echtzeitfähig: {{ product.metafields.data_act.realtime_capable }}</li>
      <li>Speicherort: {{ product.metafields.data_act.storage_location }}</li>
      <li>Speicherdauer: {{ product.metafields.data_act.storage_duration }}</li>
      <li>Zugriff/Löschung: {{ product.metafields.data_act.access_deletion }}</li>
    </ul>
  </div>
{% endif %}

Für den CSV-Import und -Export exportiert Shopify Metafelder automatisch als eigene Spalten im Format Metafield: data_act.data_types [multi_line_text_field]. Bei Sortimenten mit mehreren hundert vernetzten Produkten ist der Bulk-Import über den Admin oder eine Automatisierung wie Mechanic der praktikable Weg, die Angaben pro Produkt einzupflegen, sobald sie vom Hersteller vorliegen. Wenn Sie Ihr Sortiment über eine ERP-Integration synchronisieren, muss das Mapping die neuen Metafelder mitziehen: Andernfalls überschreibt der nächste automatische Sync die von Ihnen gepflegten Data-Act-Angaben mit leeren Werten, ein Fehler, der bei Compliance-Metafeldern regelmäßig erst auffällt, wenn die Angabe schon wieder verschwunden ist.

Verhältnis zu den GPSR-Angaben

Wenn Sie bereits GPSR-Pflichtangaben im Shop hinterlegt haben, wie Herstelleradresse und Sicherheitshinweise, sind das inhaltlich andere Angaben als die des Data Act: Die GPSR betrifft die physische Produktsicherheit, der Data Act die Daten, die ein Produkt während der Nutzung erzeugt. Beide Pflichten können für dasselbe Produkt gleichzeitig gelten, wenn es sich um ein vernetztes Produkt handelt, das gleichzeitig unter die allgemeine Produktsicherheitsverordnung fällt, was bei Konsumelektronik der Regelfall ist.

Technisch lohnt es sich trotzdem, beide als getrennte Metafeld-Namensräume zu führen, gpsr.* und data_act.*, damit eine spätere Änderung an der einen Verordnung nicht versehentlich Felder der anderen mit betrifft. Die Ausgabe auf der Produktseite kann beide Blöcke nebeneinander in einem gemeinsamen Compliance-Bereich zeigen, ohne dass die Datenstruktur dahinter vermischt wird.

Fazit: erst prüfen, ob Sie betroffen sind, dann strukturieren

Der 12. September 2026 ist kein Stichtag, der für die meisten Shopify-Händler eine neue Handlungspflicht auslöst. Er markiert das Ende der Übergangsfrist für die Access-by-Design-Pflicht der Hersteller vernetzter Produkte, während die für Verkäufer relevante vorvertragliche Informationspflicht aus Art. 3 Abs. 2 und 3 bereits seit dem 12. September 2025 gilt. Der erste und wichtigste Schritt ist deshalb nicht technisch, sondern eine ehrliche Bestandsaufnahme: Enthält Ihr Sortiment überhaupt Produkte, die während der Nutzung automatisiert Daten erzeugen und übertragen?

Fällt die Antwort ja aus, auch nur für einzelne Produkte, dann lohnt sich die Metafeld-Struktur aus diesem Artikel, weil sie dieselben Angaben für Produktseite, CSV-Export und ERP-Sync gleichzeitig nutzbar macht. Fällt die Antwort nein aus, können Sie diesen Artikel getrost abhaken und sich anderen Fristen widmen. Für die rechtliche Einordnung Ihres Einzelfalls, insbesondere zur KMU-Ausnahme und zur Rollenverteilung Hersteller/Händler/Dateninhaber, ist ein Anwalt für IT-Recht oder Händlerbund die richtige Adresse; ich übernehme anschließend die technische Umsetzung im Shop.

Häufige Fragen

Weiterführende Artikel

• GPSR im Shopify-Shop: Pflichtangaben richtig anzeigen: Dasselbe Grundmuster aus Metafeldern und Theme-Snippet, für eine Verordnung mit bereits vollständig feststehenden Anzeigepflichten.
• ERP-Integration für Shopify: Wichtig, damit Compliance-Metafelder wie die des Data Act bei der Warenwirtschafts-Synchronisation nicht versehentlich überschrieben werden.
• Shopify-Automatisierung mit Mechanic: Praktischer Weg für den Bulk-Import und die laufende Pflege von Compliance-Metafeldern über größere Sortimente hinweg.