Articles 3 and 7 Data Act: connected products placed on the market after 12 September 2026 must make data accessible by default – not below 50 employees, yes from 50

Key takeaways

• A „vernetztes Produkt“ – connected product – is under Article 2(5) „einen Gegenstand, der Daten über seine Nutzung oder Umgebung erlangt, generiert oder erhebt und der Produktdaten über einen elektronischen Kommunikationsdienst, eine physische Verbindung oder einen geräteinternen Zugang übermitteln kann und dessen Hauptfunktion nicht die Speicherung, Verarbeitung oder Übertragung von Daten im Namen einer anderen Partei – außer dem Nutzer – ist“ – an item that obtains, generates or collects data on its use or environment and can communicate product data, and whose primary function is not storing, processing or transmitting data on behalf of a party other than the user.
• Article 3(1) is a design-and-manufacture obligation, not an obligation to hand over data afterwards. It reaches into product development and, under Article 50 third paragraph, applies to products „die nach dem 12. September 2026 in Verkehr gebracht wurden“.
• Article 3(2) requires information to the user before a sale, rental or lease contract, including „die Art, das Format und der geschätzte Umfang der Produktdaten, die das vernetzte Produkt generieren kann“ – the type, format and estimated volume of product data the connected product can generate.
• Article 7(1) first subparagraph: the Chapter II obligations „gelten nicht für Daten, die bei der Nutzung von vernetzten Produkten generiert werden, die von einem Kleinstunternehmen oder einem Kleinunternehmen hergestellt oder konzipiert werden“ – do not apply to data generated by connected products manufactured or designed by a micro or small enterprise – provided no partner or linked enterprise is larger and there is no subcontracting.
• Article 7(1) second subparagraph gives medium-sized enterprises time: exempted are products of an enterprise „das seit weniger als einem Jahr als mittleres Unternehmen … eingestuft ist“ – qualified as medium-sized for less than a year – and connected products „für ein Jahr nach dem Zeitpunkt ihres Inverkehrbringens durch ein mittleres Unternehmen“ – for one year after being placed on the market by a medium-sized enterprise.
• Small under Article 2(2) of the Annex to Recommendation 2003/361/EC is an enterprise that „weniger als 50 Personen beschäftigt und dessen Jahresumsatz bzw. Jahresbilanz 10 Mio. EUR nicht übersteigt“ – fewer than 50 persons and at most EUR 10 million turnover or balance sheet; medium under paragraph 1 is „weniger als 250 Personen“ and at most EUR 50 million turnover or EUR 43 million balance sheet.
• For the three size bands of the Mittelstand: up to 49 employees exempt, 50 to 249 bound with the one-year rule, 250 and above bound without relief.

An obligation for design, not for customer service

Chapter II of the Data Act, data sharing business-to-consumer and business-to-business, is usually described through the user's access right under Article 4 and the right to share with third parties under Article 5. Both presuppose that data are accessible at all. That is precisely what Article 3(1) governs, as a requirement of the product itself: „Vernetzte Produkte werden so konzipiert und hergestellt … dass die Produktdaten … standardmäßig für den Nutzer … direkt zugänglich sind.“ Anyone who builds a machine, a device or a vehicle with sensors and a data interface must provide for data access in the design.

This article reproduces Article 2(5) and (6), Article 3(1) and (2), Article 7(1) and Article 50 of Regulation (EU) 2023/2854 and Article 2 of the Annex to Recommendation 2003/361/EC in the versions made available by the Publications Office of the European Union, quoting the German text that German authorities apply, with English renderings alongside.

Article 2(5) and (6): connected product and related service

Article 2(5) defines the connected product as „einen Gegenstand, der Daten über seine Nutzung oder Umgebung erlangt, generiert oder erhebt und der Produktdaten über einen elektronischen Kommunikationsdienst, eine physische Verbindung oder einen geräteinternen Zugang übermitteln kann und dessen Hauptfunktion nicht die Speicherung, Verarbeitung oder Übertragung von Daten im Namen einer anderen Partei – außer dem Nutzer – ist“. The definition is wide: a sensor on a machine tool, a meter, a vehicle, a household appliance with an app are covered as soon as they collect and can communicate data on use or environment. The final clause excludes devices whose primary function is processing data for others, such as servers.

Article 2(6) adds the related service: „einen digitalen Dienst, bei dem es sich nicht um einen elektronischen Kommunikationsdienst handelt, – einschließlich Software –, der zum Zeitpunkt des Kaufs, der Miete oder des Leasings so mit dem Produkt verbunden ist, dass das vernetzte Produkt ohne ihn eine oder mehrere seiner Funktionen nicht ausführen könnte oder der anschließend vom Hersteller oder einem Dritten mit dem Produkt verbunden wird, um die Funktionen des vernetzten Produkts zu ergänzen, zu aktualisieren oder anzupassen“ – a digital service, including software, connected with the product at the time of purchase, rent or lease in such a way that the product could not perform one or more of its functions without it, or connected subsequently to add to, update or adapt its functions. The app for the machine and the remote-maintenance portal are related services, and Article 3(1) applies to them in the same way.

Article 3(1): by default, easily, securely, free of charge

Article 3(1) reads in full: „Vernetzte Produkte werden so konzipiert und hergestellt und verbundene Dienste werden so konzipiert und erbracht, dass die Produktdaten und verbundenen Dienstdaten – einschließlich der für die Auslegung und Nutzung dieser Daten erforderlichen relevanten Metadaten – standardmäßig für den Nutzer einfach, sicher, unentgeltlich in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format und, soweit relevant und technisch durchführbar, direkt zugänglich sind.“

Five characteristics sit in one sentence. „Standardmäßig“ – by default – means without a separate request. „Einfach, sicher, unentgeltlich“ – easily, securely, free of charge – rules out paid data packages and access routed only through the manufacturer. The „umfassende, strukturierte, gängige und maschinenlesbare Format“ rules out PDF reports and undocumented proprietary binary formats. „Einschließlich der … relevanten Metadaten“ means the data must be interpretable without the manufacturer. And „soweit relevant und technisch durchführbar, direkt zugänglich“ means access on the product or in the related service, not only after a request. Anyone designing a product today that will be placed on the market after 12 September 2026 is designing it under this provision.

Article 3(2): the information before the contract

Article 3(2) requires that „vor Abschluss eines Kauf-, Miet- oder Leasingvertrags für ein vernetztes Produkt … dem Nutzer vom Verkäufer, Vermieter oder Leasinggeber – wobei es sich auch um den Hersteller handeln kann – mindestens folgende Informationen in klarer und verständlicher Art und Weise bereitgestellt“ – before a sale, rental or lease contract the seller, lessor or manufacturer provides the user with at least the following information in a clear and comprehensible manner – first among them „die Art, das Format und der geschätzte Umfang der Produktdaten, die das vernetzte Produkt generieren kann“. The obligation falls on whoever sells, rents or leases; it presupposes that the manufacturer supplies the information. A data sheet listing only performance figures does not meet it.

Article 50: 12 September 2026, and what it does not mean

Article 50 second paragraph provides that the Regulation applies „ab dem 12. September 2025“. The third paragraph defers a single obligation: „Die Verpflichtung gemäß Artikel 3 Absatz 1 gilt für vernetzte Produkte und die mit ihnen verbundenen Dienste, die nach dem 12. September 2026 in Verkehr gebracht wurden.“ The sentence attaches to the placing on the market of the individual product, not to the date of product development or type approval. A product whose design was completed in 2024 and which ships from October 2026 falls under Article 3(1). Conversely, the remaining Chapter II obligations, such as the access right under Article 4 and the information under Article 3(2), are untouched by the deferral; they have applied since 12 September 2025.

Article 7(1): the exemption for micro and small enterprises and the year for medium-sized ones

Article 7(1) first subparagraph: „Die Pflichten nach diesem Kapitel gelten nicht für Daten, die bei der Nutzung von vernetzten Produkten generiert werden, die von einem Kleinstunternehmen oder einem Kleinunternehmen hergestellt oder konzipiert werden oder die bei der Nutzung von verbundenen Diensten generiert werden, die von einem solchen Unternehmen erbracht werden, sofern dieses Unternehmen kein Partnerunternehmen oder kein verbundenes Unternehmen im Sinne des Artikels 3 des Anhangs der Empfehlung 2003/361/EG hat, das nicht als Kleinstunternehmen oder Kleinunternehmen gilt, und sofern das Kleinstunternehmen oder Kleinunternehmen nicht als Unterauftragnehmer mit der Herstellung oder der Konzeption eines vernetzten Produkts oder der Erbringung eines verbundenen Dienstes beauftragt wurde.“ – the Chapter II obligations do not apply to data generated by connected products manufactured or designed, or related services provided, by a micro or small enterprise, provided it has no partner or linked enterprise that is not itself micro or small, and provided it was not subcontracted to manufacture or design the product or provide the service.

The exemption has two provisos that frequently bite in the Mittelstand. First, it falls away if the small enterprise has a partner or linked enterprise that is larger; a subsidiary with 30 employees inside a group is not exempt. Second, it falls away if the small enterprise was engaged „als Unterauftragnehmer mit der Herstellung oder der Konzeption“ – as a subcontractor for manufacture or design; a supplier that designs a connected component for a manufacturer cannot rely on its own size.

The second subparagraph governs the move into the medium class: „Das Gleiche gilt für Daten, die durch die Nutzung von vernetzten Produkten generiert werden, die von einem Unternehmen hergestellt werden, das seit weniger als einem Jahr als mittleres Unternehmen Sinne des Artikels 2 des Anhangs der Empfehlung 2003/361/EG eingestuft ist, oder für verbundene Dienste, die von einem solchen Unternehmen erbracht werden, und für vernetzten Produkte für ein Jahr nach dem Zeitpunkt ihres Inverkehrbringens durch ein mittleres Unternehmen.“ – the same applies to products of an enterprise qualified as medium-sized for less than a year, and to connected products for one year after being placed on the market by a medium-sized enterprise. An enterprise that crosses the 50-employee threshold has a year, and every product placed on the market by a medium-sized enterprise is exempt for one year from placing on the market.

Recommendation 2003/361/EC: where small ends and medium begins

The Data Act does not define the size classes itself but refers to the Annex to Commission Recommendation 2003/361/EC. Its Article 2(1): the SME category „setzt sich aus Unternehmen zusammen, die weniger als 250 Personen beschäftigen und die entweder einen Jahresumsatz von höchstens 50 Mio. EUR erzielen oder deren Jahresbilanzsumme sich auf höchstens 43 Mio. EUR beläuft“ – fewer than 250 persons and either at most EUR 50 million turnover or at most EUR 43 million balance sheet. Paragraph 2: „Innerhalb der Kategorie der KMU wird ein kleines Unternehmen als ein Unternehmen definiert, das weniger als 50 Personen beschäftigt und dessen Jahresumsatz bzw. Jahresbilanz 10 Mio. EUR nicht übersteigt.“ – small: fewer than 50 persons and at most EUR 10 million. Paragraph 3: „Innerhalb der Kategorie der KMU wird ein Kleinstunternehmen als ein Unternehmen definiert, das weniger als 10 Personen beschäftigt und dessen Jahresumsatz bzw. Jahresbilanz 2 Mio. EUR nicht überschreitet.“ – micro: fewer than 10 persons and at most EUR 2 million.

For manufacturers of connected products this produces a three-way split. Up to 49 employees and at most EUR 10 million turnover or balance sheet: Chapter II does not apply, subject to the group and subcontracting rule of Article 7(1). 50 to 249 employees: Chapter II applies, with the one-year rule of the second subparagraph. 250 employees and more: Chapter II applies without relief, and for products after 12 September 2026 Article 3(1) applies.

What a manufacturer with 50 or more employees now has to hold

Four items follow from the wording. First, a product register recording, for every connected product, the date each unit was placed on the market, because Article 50 third paragraph attaches to it. Second, evidence for every product placed on the market after 12 September 2026 that data access, format and metadata are provided for under Article 3(1). Third, the Article 3(2) information as part of the pre-contractual documents. Fourth, a dated determination of the company's own size class under Article 2 of the Annex to Recommendation 2003/361/EC, including partner and linked enterprises, because the exemption and the one-year period hang on it.

In CIVAC these four items can be run as tasks and documents per product line, 12 September 2026 set as a deadline, and the size-class determination kept as evidence to be re-checked annually. It changes nothing about the duty itself. Whether a product meets Article 3(1) is decided by its design; the platform records when that was checked and documented.

Where this article ends

CIVAC is not a law firm and does not provide legal services within the meaning of the German Legal Services Act (Rechtsdienstleistungsgesetz). This article reproduces Article 2(5) and (6), Article 3(1) and (2), Article 7(1) and Article 50 of Regulation (EU) 2023/2854 and Article 2 of the Annex to Recommendation 2003/361/EC verbatim. Whether a particular item is a connected product, which data are product data, whether a shareholding creates a partner or linked enterprise and when a unit was placed on the market is not decided by this text but by the manufacturer vis-à-vis its users and the authority competent under Article 37.

Frequently asked questions

Does Article 3(1) apply to machines sold before 12 September 2026?

No. Article 50 third paragraph of Regulation (EU) 2023/2854 limits the obligation to „vernetzte Produkte und die mit ihnen verbundenen Dienste, die nach dem 12. September 2026 in Verkehr gebracht wurden“ – connected products and related services placed on the market after 12 September 2026. The other Chapter II obligations have applied since 12 September 2025 regardless of the date of placing on the market.

Is a manufacturer with 40 employees exempt?

As a small enterprise under Article 2(2) of the Annex to Recommendation 2003/361/EC, that is with fewer than 50 employees and at most EUR 10 million turnover or balance sheet, yes – but under Article 7(1) Data Act only if it has no larger partner or linked enterprise and was not subcontracted for manufacture or design.

What happens on crossing 50 employees?

Article 7(1) second subparagraph exempts products of an enterprise „das seit weniger als einem Jahr als mittleres Unternehmen … eingestuft ist“ – qualified as medium-sized for less than a year – and connected products „für ein Jahr nach dem Zeitpunkt ihres Inverkehrbringens durch ein mittleres Unternehmen“. Once the year has run, Chapter II applies in full.

Is it enough to release data on request by e-mail?

Article 3(1) requires the data to be accessible „standardmäßig“ – by default – and „soweit relevant und technisch durchführbar, direkt zugänglich“ – directly where relevant and technically feasible – „in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format“. Access only on request is not by default; whether a particular access route is technically feasible is a question of the individual case.

Does the obligation also cover the app for the machine?

Yes, if the app is a related service under Article 2(6), that is connected with the product in such a way „dass das vernetzte Produkt ohne ihn eine oder mehrere seiner Funktionen nicht ausführen könnte“ – that the product could not perform one or more functions without it – or connected subsequently „zu ergänzen, zu aktualisieren oder anzupassen“ its functions. Article 3(1) names related services expressly.