EU-databeskyttelseslov: Hvad september 2026-milestone betyder for SMV'er

Hvad ændrede sig den 12. september 2026?

Den 12. september 2026 nåede EU-databeskyttelsesloven sin anden store milepæl. Reglerne har været gældende generelt siden den 12. september 2025, da Den Europæiske Kommission forklarer, Fra den 12. september 2026 trådte den såkaldte adgang-ved-design-forpligtelse i artikel 3(1) også i kraft. Tilsluttede produkter og relaterede tjenester, der markedsføres i EU fra denne dato, skal være designet således, at dataene, de genererer, som standard er tilgængelige for brugeren, nemt, sikkert og gratis i et struktureret og maskinlæsbart format, i overensstemmelse med en analyse af Heuking.

Reglen gælder kun for nye produkter. Produkter, der allerede er på markedet, behøver ikke at blive eftermonteret.; Forpligtelsen gælder for produktgenerationer, der er lanceret efter fristen. Tilsluttede produkter er bredt defineret og kan omfatte køretøjer, husholdningsapparater, wearables og industrielt udstyr, blandt andet. McCann FitzGerald bemærker. For producenterne kom datoen ét efter et: Fra den 11. september 2026 kræver Cybersikkerhedsloven, at producenterne rapporterer om aktivt udnyttede sårbarheder og alvorlige hændelser, med start tidligst 24 timer efter, som Faegre Drinker sætter gang i arbejdet.

Septembermærkedatoen er ikke slutningen på tidsrammen. Fra den 12. januar 2027 skal udbydere af cloud- og andre databehandlingsservices helt fjerne omkostninger ved skift af udbyder, ifølge Kommissionen. Fra den 12. september 2027 vil reglerne i databeskyttelsesloven om urimelige kontraktvilkår også gælde for mange ældre kontrakter: de kontrakter, der er indgået den 12. september 2025 eller tidligere og løber på ubestemt tid eller indtil mindst januar 2034, alt efter hvad der kommer først. Det tyske Bundesnetzagentur beskriver.

Hvorfor EU-databeskyttelsesloven er vigtig for en lille virksomhed

De fleste små virksomheder vil ikke blive direkte ramt af adgang-ved-design-reglen. Ifølge dataloven vil mikrovirksomheder og små virksomheder opleve mindre krav som producenter, ifølge Kommissionen, og Faegre Drinker bemærker, at kravene i artikel 3(1) ikke gælder for produkter fremstillet af mikrovirksomheder og små virksomheder, underlagt visse betingelser. Disse betingelser er vigtige, så en voksende hardwarevirksomhed eller en virksomhed, der er knyttet til en større koncern, bør undersøge sin egen situation i stedet for at antage, at de ikke er omfattet af kravene.

For mange mindre virksomheder har den mere praktiske effekt på de kontrakter, de underskriver. Databeskyttelsesloven beskytter virksomheder mod datarelaterede klausuler, som en stærkere part pålægger uden reel forhandling. Bundesnetzagentur betegner et vilkår som pålagt ensidigt, når én part har foreslået det og den anden ikke har kunnet påvirke dets indhold, selvom den forsøgte at forhandle om det. Vilkår, der udelukker eller begrænser ansvar for forsætlige handlinger eller grov uagtsomhed, er altid uretfærdige, og en yderligere liste over vilkår anses altid for uretfærdig. Ifølge Pillsbury, Reglerne dækker bestemmelser om adgang til og brug af data i enhver B2B-kontrakt, selv når data ikke er hovedemnet, og formodede urimelige vilkår omfatter at forhindre en part i at bruge sine egne data eller at nægte den adgang til data under eller efter kontrakten.

Her kommer AI-leverandører ind i billedet. Mange små virksomheder køber nu AI-værktøjer, analyseplatforme eller software som en tjeneste-produkter på standardvilkår, der fortæller meget om, hvem der må bruge kundens data, til hvilke formål og med hvilken ansvarlighed. Om en bestemt klausul falder ind under Data Act afhænger af dens ordlyd og kontekst, men virksomheder har nu et klarere juridisk rammeværk til at stille spørgsmålstegn ved ensidige databetingelser, og cloudkunder har stærkere skiftningsrettigheder fra begyndelsen af 2027.

Reglerne bevæger sig stadig

Dataloven er også en del af EU's bredere agenda for forenkling. I henhold til forslagene i Digital Omnibus omfatter Rådets kompromisforslag fritagelse for sky-omstillingsforpligtelser for SMV'er og små virksomheder med mellemstore markeder på kontrakter indgået før den 12. september 2025 samt lavere tærskler for at nægte dataudveksling på grund af forretningshemmeligheder, som Greenberg Traurig rapporterede den 15. juli 2026. Denne tekst var ikke endelig, og pr. 10. september 2026 lå Digital Omnibus fortsat under lovgivningsbehandling, ifølge McCann FitzGerald. Virksomheder bør planlægge for de gældende regler i dagens udgave og behandle de foreslåede ændringer som mulige, ikke som sikre.

Der er også hjælp til udarbejdelsen af dokumenter. I november 2025 offentliggjorde Kommissionen ikke-bindende modelkontraktvilkår for dataudveksling og standardkontraktbestemmelser for cloudcomputingkontrakter, der dækker ændring af udbyder, opsigelse, opsigelse og sikkerhed, som Bryan Cave Leighton Paisner opsummerer. De er frivillige skabeloner, der er designet til at kunne tilpasses, men de giver mindre virksomheder et nyttigt referencepunkt i forhandlingerne.

Praktiske næste skridt

Først skal du, hvis du fremstiller eller sælger forbundne produkter, kortlægge, hvilke produkter der vil blive markedsført i EU efter den 12. september 2026, og kontrollere, om kravet om adgang ved design gælder, herunder om der er mulighed for nogen form for fritagelse for små virksomheder i din situation. Gennemgå, hvordan brugere kan få adgang til deres data, og hvad din produktdokumentation siger om det. Hvis du også er producent i henhold til Cyber Resilience Act, skal du sikre dig, at din procedure for rapportering af hændelser og sårbarheder er på plads, da de to ordninger kan overlappe hinanden.

For det andet skal du gennemgå dine vigtigste leverandørkontrakter, begyndende med AI-værktøjer, cloud-tjenester og softwareplatforme, der indeholder virksomheds- eller kundedata. Se på klausuler om leverandørens ret til at bruge dine data, din ret til at få adgang til og eksportere dem, ansvarsgrænser og opsigelse. Bemærk hvilke kontrakter der blev underskrevet før og efter den 12. september 2025, da de ulovlige vilkår gælder anderledes for hver gruppe.

Tre, forbered jer på 12. januar 2027. Hvis du planlægger at skifte cloud- eller softwareudbyder, så forstå dine rettigheder ved afgang og dine aftaler om dataeksport nu, og kontroller, hvordan udbyderen håndterer skiftgebyrer i overgangsperioden. Når du forhandler nye kontrakter, kan Kommissionens modelvilkår og standardklausuler tjene som reference for, hvordan afbalancerede vilkår ser ud.

Endelig bør du holde øje med Digital Omnibus. Hvis det vedtages, kan det ændre nogle forpligtelser, især for mindre udbydere, der benytter cloud-tjenester. Da den rette tilgang afhænger af hver virksomheds produkter, kontrakter og rolle i datakæden, er det værd at få rådgivning om din egen situation, før du foretager ændringer.

Brenvard Fra s perspektiv

For virksomheder som Brenvard Forbrugerrådet er dataloven først og fremmest relevant på købssiden, ligesom det er tilfældet for de fleste små virksomheder. Vi er afhængige af cloud- og softwareleverandører til vores daglige arbejde, og reglerne om skift og urimelige vilkår giver os og de virksomheder, vi samarbejder med, et bedre grundlag for at gennemgå disse kontrakter. Det ændrer også vores egen rutine: Før vi indfører en ny AI- eller softwareværktøj, fortjener klausuler om databrug, eksportrettigheder og udtrædelsesbetingelser samme opmærksomhed som pris og funktioner. Den modsatte side er kompleksitet. Kontraktsgennemgangen tager længere tid, når der er flere regler at kontrollere, og små virksomheder kan være fristet til at springe den over. Vi mener, at den praktiske gevinst er klar, men kun for virksomheder, der faktisk læser dataklausulerne, inden de underskriver dem.

En rolig fremgangsmåde

Dataloven bliver gradvist til praktiske forpligtelser og praktiske rettigheder. For de fleste små virksomheder handler det umiddelbare opgave mindre om at redesigne produkter og mere om at forstå kontrakter, især med AI- og cloud-udbydere. Brenvard Supporten til startups og mindre virksomheder i denne forbindelse kommer fra organisationen Juridisk support til små virksomheder, der hjælper holdene med at prioritere det, der er vigtigt, inden fristerne for 2027 indtræder.

Kilder

Europa-Kommissionen – Databeskyttelseslov forklaret (opdateret 15. december 2025)
Heuking – Databeskyttelsesloven: Adgang ved design bliver obligatorisk fra den 12. september (1. september 2026)
Faegre Drinker – September 2026 EU-overholdelseskrav for producenter af forbundne produkter (10. september 2026)
McCann FitzGerald – Datalagtslovgivningens udvikling: 2026 og fremover (10. september 2026)
Bundesnetzagentur – Uretfærdige kontraktvilkår i henhold til databeskyttelsesloven (adgang 1. oktober 2026)
Pillsbury / Sourcing Speak – EU Data Act: Omfang, forpligtelser og håndhævelse (17. september 2025)
Greenberg Traurig – EU's digitale omnibuspakke foreslår ændringer af dataloven (15. juli 2026)
Bryan Cave Leighton Paisner – EU Data Act: Nye kontraktvilkår og standardklausuler (november 2025)