EU Data Act und VPN-Wahl: Was er regelt — und was nicht

EU Data Act und VPN-Wahl: Was er regelt — und was nicht

Die wichtigste Klarstellung steht am Anfang, weil sie den größten Teil der Werbung zum Thema entwertet: Der Data Act ist kein Datenschutzgesetz.

Er regelt den Zugang zu Daten aus vernetzten Produkten, den Wechsel zwischen Datenverarbeitungsdiensten und den Schutz nicht-personenbezogener Daten vor Zugriffen aus Drittstaaten. Für deinen Datenschutz beim VPN bleibt die Datenschutz-Grundverordnung zuständig, flankiert von nationalem Recht.

Eine zweite Richtigstellung gehört ebenfalls in den Vorspann, weil sie 2026 auffällig oft falsch dargestellt wird: Ein EU-weites VPN-Verbot gibt es nicht. Weder existiert ein entsprechender Rechtsakt noch ein Vorschlag, der VPNs generell verbieten oder an eine Altersprüfung koppeln würde.

Dieser Artikel ordnet die Rechtslage ein und ist keine Rechtsberatung. Bei konkreten Fragen — etwa im Homeoffice mit Firmendaten — gehört der Fall zur Datenschutzbeauftragten oder in eine Fachkanzlei.

Was der Data Act tatsächlich regelt

Drei Kernbereiche lassen sich sauber trennen:

• Zugangsrechte zu Nutzungsdaten vernetzter Produkte — gedacht für Fahrzeuge, Maschinen und Haustechnik.
• Der Wechsel zwischen Datenverarbeitungsdiensten. Anbieter müssen den Umzug zu einem Wettbewerber aktiv ermöglichen, mit definierten Fristen und ohne vertragliche Sperren. Die Wechselentgelte laufen stufenweise aus.
• Schutz nicht-personenbezogener Daten vor unrechtmäßigem Zugriff durch Drittstaatsbehörden. Anbieter mit EU-Bezug müssen solchen Verlangen widersprechen, wenn keine Rechtsgrundlage nach europäischem oder mitgliedstaatlichem Recht besteht.

Was er ausdrücklich nicht regelt

• Er begründet keine neuen Betroffenenrechte im Sinne des Datenschutzrechts.
• Er verpflichtet zu keinem bestimmten Verschlüsselungsstandard.
• Er sagt nichts darüber, welche Verbindungsdaten ein VPN-Anbieter speichern darf.
• Er regelt keine Zugriffe inländischer Strafverfolgungsbehörden — das bleibt vollständig beim nationalen Recht.

Warum „Data-Act-konform" als Werbung misstrauisch machen sollte

Hier liegt die offene Flanke: Die Verordnung adressiert „Datenverarbeitungsdienste" und meint damit primär Cloud- und Edge-Dienste. Ob ein Endkunden-VPN darunterfällt, ist nicht abschließend geklärt.

Ein Anbieter, der mit Konformität wirbt, behauptet damit die Einhaltung einer Pflicht, deren Anwendbarkeit auf ihn er selbst nicht sicher kennt. Das ist kein Qualitätsmerkmal, sondern ein Hinweis darauf, wie sorgfältig andere Angaben formuliert sind.

Der Punkt, den die meisten Beiträge übersehen

Neue Zugangs-, Auskunfts- und Herausgabepflichten laufen ins Leere, wenn nichts gespeichert wird.

Ein Anbieter, der weder Verbindungszeitpunkte noch Quell-Adressen noch Zieladressen protokolliert, kann auf ein behördliches Verlangen nur mit einem leeren Datensatz antworten.

Deshalb geht das beliebte Argument „EU-Sitz ist automatisch schlechter, weil EU-Behörden zugreifen können" technisch am Ziel vorbei: Zugriff auf nichts bleibt nichts.

Die Betonung liegt auf „echt"

„No Logs" ist kein geschützter Begriff. Die Spannweite reicht von „keinerlei Verbindungsdaten" bis „wir speichern Bandbreite, Zeitstempel und die Zahl paralleler Geräte, zählen das aber nicht mit".

Prüf die Protokollierungspraxis, statt die Marketing-Aussage zu übernehmen. Konkret: Im Prüfbericht nachlesen, welche Datenfelder die Prüfer tatsächlich auf den Servern vorgefunden haben — nicht nur, welchen Prüfumfang der Anbieter vorgegeben hat.

Standortfragen richtig stellen

Was die „Eyes"-Debatte nicht leistet

Kaum ein Argument wird in Vergleichen so mechanisch wiederholt — und es ist strukturell schwach: Diese Zusammenschlüsse sind Kooperationsformate von Nachrichtendiensten, keine Rechtsgrundlagen. Sie verpflichten keinen privaten Anbieter zu irgendetwas.

Was einen Anbieter tatsächlich zwingen kann, sind nationale Normen: Speicherpflichten, Auskunftsanordnungen, Mitwirkungspflichten bei Überwachungsmaßnahmen.

Ein Anbieter in einem Mitgliedsstaat ohne anwendbare Speicherpflicht steht damit besser da als einer in einem Nicht-Mitgliedsstaat mit strenger Mitwirkungspflicht. Je nach Land dreht sich die Rangfolge um.

Die drei Fragen, die den Standort ersetzen

Die relevantere Frage 2026 dreht sich um Infrastruktur-Abhängigkeiten. Ein Dienst auf fremder Cloud-Infrastruktur kann rechtlich anders zu bewerten sein als einer auf eigener Hardware — auch wenn ein europäischer Rechenzentrumsstandort gewählt wurde, weil sich behördliche Zugriffsansprüche am Mutterkonzern festmachen können.

Wer das ernst nimmt, prüft drei Dinge statt einem:

• Wo sitzt die Firma?
• Wo stehen die Server?
• Wem gehören die Server?

Was kein Standort löst

Kein Sitzland verhindert, dass ein Anbieter freiwillig protokolliert. Keines schützt vor Schadsoftware, Betrugsversuchen oder einem kompromittierten Endgerät. Und keines macht Rechtsverstöße legal.

Was Prüfberichte und Transparenzangaben wert sind

Ein Prüfsiegel auf der Startseite sagt für sich genommen wenig. Drei Fragen entscheiden über den Wert:

• Wer hat geprüft?
• Was war der Prüfumfang? Eine Prüfung der Anwendungen sagt nichts über die Serverkonfiguration.
• Wann war das? Ein zwei Jahre alter Bericht sagt nichts über die heutige Infrastruktur.

Und ein Bericht, den der Anbieter nur zusammenfasst, statt ihn vollständig zu veröffentlichen, ist eine Behauptung über einen Bericht.

Transparenzberichte lesen

Aussagekräftig sind Zahlen: Wie viele Anfragen kamen an, wie viele wurden beantwortet — und in wie vielen Fällen konnten überhaupt Daten geliefert werden? Die letzte Zahl ist die interessante.

Am belastbarsten sind dokumentierte Ernstfälle. Es gibt Fälle, in denen bei behördlichen Maßnahmen keine Nutzungsdaten sichergestellt werden konnten — und andere, in denen Anbieter Verbindungsdaten herausgeben mussten, weil ihr Dienst nach nationalem Recht als Telekommunikationsdienst eingestuft wurde.

Such gezielt nach solchen Vorgängen zu deinem Wunschanbieter. Sie sagen mehr als jedes Siegel.

Technik: was eine Zusage überhaupt einlösbar macht

• Server ohne dauerhaften Datenträger halten den Systemzustand im flüchtigen Speicher. Das reduziert exakt ein Risiko: die nachträgliche Auswertung physisch entnommener Datenträger. Laufende Verbindungen schützt es nicht.
• Beim Protokoll hat sich ein schlankerer Standard durchgesetzt. Ein Detail mit Datenschutzrelevanz: Er weist Clients im Ausgangsdesign interne Adressen zu, die für die Sitzungsdauer bestehen bleiben. Seriöse Anbieter lösen das mit eigenen Erweiterungen — frag beim Support danach, die Antwort trennt Anbieter mit eigenem Entwicklungsteam von reinen Wiederverkäufern.
• Mehrfach-Weiterleitung über zwei Länder kostet Bandbreite und lohnt nur, wenn dein Risikoszenario einen einzelnen kompromittierten Betreiber einschließt. Für das Hotel-WLAN ist sie überflüssig.

Wann der Standort wirklich zählt

Homeoffice mit Firmendaten

Hier zählt er am stärksten — allerdings anders, als die Werbung nahelegt.

Wenn du personenbezogene Daten deines Arbeitgebers durch einen Tunnel schickst, wird der Anbieter potenziell zum Auftragsverarbeiter. Dann braucht es einen entsprechenden Vertrag, technische und organisatorische Maßnahmen und bei Servern außerhalb der EU eine Grundlage für den Drittlandtransfer.

Ein Privatabo aus einer Werbeanzeige erfüllt das nicht — unabhängig davon, wie gut sein Prüfbericht aussieht. Kläre das mit deinem Arbeitgeber, bevor du ein privates VPN dienstlich nutzt.

Wo der Data Act praktisch irrelevant ist

Beim Umgehen regionaler Sperren geht es um Lizenzverträge und Nutzungsbedingungen, nicht um Datenrecht. Kein Paragraf verschafft dir Zugriff auf eine andere Ländermediathek.

Und beim Online-Banking bringt ein VPN gegenüber der ohnehin vorhandenen Verschlüsselung kaum Zusatznutzen — manche Bank blockt sogar Anmeldungen aus ungewöhnlichen Ländern.

Was ein VPN grundsätzlich nicht leistet

Es verlagert ein Entdeckungsrisiko, es beseitigt keine Rechtsverletzung. Wer über einen Tunnel rechtswidrig handelt, handelt weiterhin rechtswidrig — Anonymisierung ist eine technische Maßnahme, keine rechtliche Freistellung.

Fünf Fragen an den Support vor Vertragsabschluss

Support-Antworten sind schriftlich, datierbar und im Zweifel belastbarer als eine Marketingseite. Diese fünf Fragen kosten zehn Minuten:

• Welche Datenfelder werden zum Konto gespeichert, und wie lange? Gefragt ist eine Aufzählung. Wer „nur das Nötigste" antwortet, hat nicht geantwortet.
• Wer betreibt die Server physisch, und wem gehört die Infrastruktur?
• Wo finde ich den vollständigen Prüfbericht, mit Datum und Prüfumfang? Ein Link auf eine Zusammenfassung reicht nicht.
• Wie viele behördliche Anfragen gab es zuletzt, und in wie vielen Fällen wurden Daten geliefert?
• Welches Recht gilt für den Vertrag, und welche Aufsichtsbehörde ist zuständig? Wer darauf ausweichend antwortet, wird auch bei einer Auskunftsanfrage ausweichen.

Der Test, den du selbst durchführen kannst

Verlange Auskunft über alle zu dir gespeicherten Daten. Die Antwort zeigt dir, was der Anbieter tatsächlich vorhält — unabhängig von seiner Zusage.

Das kostet nichts außer einer E-Mail, und die Frist beträgt einen Monat. Kommt nichts, ist die Beschwerde bei der zuständigen Aufsichtsbehörde ebenfalls kostenfrei.

Das ist der einzige belastbare Test, den du ohne fremde Hilfe machen kannst.

Häufige Irrtümer

Praktische Handlungsempfehlungen September 2026

• Werbeaussagen mit Verordnungsbezug ignorieren — sie sagen nichts über die Protokollierungspraxis.
• Prüfbericht im Volltext suchen, mit Datum und Prüfumfang.
• Die drei Standortfragen stellen: Firmensitz, Serverstandort, Eigentümer der Infrastruktur.
• Die fünf Support-Fragen schriftlich stellen, bevor du abschließt.
• Auskunft über gespeicherte Daten verlangen — der einzige Test, den du selbst machen kannst.
• Nach dokumentierten Ernstfällen zum Anbieter suchen.
• Bei dienstlicher Nutzung mit dem Arbeitgeber klären, bevor du ein privates Abo einsetzt.
• Beim Wechsel Löschung verlangen, sobald der Vertrag beendet ist.

Fazit

Der Data Act ist kein Datenschutzgesetz — er regelt Datenzugang, Dienstewechsel und Drittstaatszugriffe. Für den Datenschutz beim VPN bleibt die Datenschutz-Grundverordnung zuständig. Und ob Endkunden-VPN überhaupt unter die Wechselvorschriften fallen, ist nicht geklärt: Wer damit wirbt, behauptet die Einhaltung einer Pflicht, deren Anwendbarkeit er selbst nicht sicher kennt.

Der Punkt, den die meisten Beiträge übersehen, ist einfacher: Neue Zugangs- und Herausgabepflichten laufen ins Leere, wenn nichts gespeichert wird. Zugriff auf nichts bleibt nichts — deshalb entscheidet die Protokollierungspraxis, nicht das Sitzland.

Und den einen Test, der wirklich etwas belegt, kannst du selbst machen: Verlange Auskunft über alle zu dir gespeicherten Daten. Die Antwort zeigt, was ein Anbieter tatsächlich vorhält — unabhängig davon, was auf seiner Startseite steht.

Quellen und weiterführende Informationen

• EUR-Lex (eur-lex.europa.eu) — Verordnung (EU) 2023/2854 (Data Act), Verordnung (EU) 2024/2847 (Cyber Resilience Act), DSGVO und Richtlinie (EU) 2022/2555 im Volltext.
• Europäische Kommission (commission.europa.eu) — Auslegungshinweise und Fragen-und-Antworten zum Data Act.
• Bundesbeauftragte für den Datenschutz (bfdi.bund.de) und die Landesdatenschutzbehörden — Beschwerdeweg und Auslegungspraxis.
• Europäischer Datenschutzausschuss (edpb.europa.eu) — Leitlinien zum Verhältnis von Datenschutzrecht und neuen Datenrechtsakten.
• Bundesamt für Sicherheit in der Informationstechnik (bsi.bund.de) — technische Einordnung von VPN-Diensten.
• Datenschutzerklärung und Prüfberichte des jeweiligen Anbieters — maßgeblich für die tatsächliche Protokollierungspraxis.
• Gesetze im Internet (gesetze-im-internet.de) — BDSG, TKG, TDDDG sowie §§ 202a und 303a StGB.

Haftungsausschluss

Keine Rechtsberatung: Dieser Artikel auf vpnsafe.de dient der allgemeinen Information und Orientierung und ersetzt keine Prüfung deines Einzelfalls durch eine Fachkanzlei oder eine spezialisierte Datenschutzberatung. Die rechtliche Einordnung mehrerer hier angesprochener Fragen ist offen — insbesondere, ob Endkunden-VPN-Dienste als Datenverarbeitungsdienste im Sinne des Data Act gelten und ob sie in Deutschland als Telekommunikationsdienste einzuordnen sind. Aufsichtspraxis, Rechtsprechung und Gesetzeslage entwickeln sich fort; bewusst nennen wir keine Stichtage für noch nicht abgeschlossene Verfahren und keine Angaben zu einzelnen Anbietern oder Rechtsordnungen, die sich nicht aus erster Hand belegen ließen. Maßgeblich sind die jeweils geltenden Fassungen der genannten Rechtsakte.

Zum Rechtsrahmen: Die Datenschutz-Grundverordnung regelt Grundsätze und Rechtsgrundlagen der Verarbeitung, Informations-, Auskunfts- und Löschungsrechte, datenschutzfreundliche Voreinstellungen, Sicherheitsmaßnahmen sowie die Bedingungen für Drittlandtransfers; das Marktortprinzip erfasst auch Anbieter außerhalb der EU, die sich an Nutzer in der Union richten. Das BDSG ergänzt sie um nationale Regelungen, das TKG bestimmt Pflichten von Telekommunikationsanbietern, und § 25 TDDDG — die Nachfolgeregelung des früheren TTDSG — regelt den Zugriff auf Endgeräteinformationen. Der Data Act (EU) 2023/2854 gilt seit September 2025 unmittelbar; der Cyber Resilience Act (EU) 2024/2847 tritt gestuft in Kraft und verpflichtet Hersteller vernetzter Produkte zu Sicherheitsaktualisierungen über einen definierten Zeitraum. Die Richtlinie (EU) 2022/2555 hebt Cybersicherheits- und Meldepflichten für betroffene Einrichtungen an — ein privat gewähltes VPN im Firmenkontext kann dabei als nicht abgestimmte Software auffallen.

Zur Nutzung und Affiliate: Ein VPN verschleiert deine Adresse gegenüber Zielservern und schützt den Datenverkehr in fremden Netzen; es hebt geltendes Recht nicht auf. Wer darüber urheberrechtlich geschütztes Material verbreitet, verbotene Inhalte abruft oder sich unbefugt Zugang zu fremden Systemen verschafft, handelt weiterhin rechtswidrig — §§ 202a und 303a StGB ziehen die Grenze zwischen dem Schutz eigener Kommunikation und Eingriffen in fremde Systeme. Beurteile die Protokollierungspraxis nicht anhand von Werbeversprechen, sondern anhand der Datenschutzerklärung im Wortlaut, unabhängiger und wiederholter Prüfungen benannter Prüfstellen sowie dokumentierter Reaktionen auf behördliche Ersuchen; prüf zusätzlich, welche Verbindungs-, Zahlungs- und Kontodaten trotz aller Zusicherungen zwangsläufig anfallen. Beim Vertragsschluss im Fernabsatz steht dir nach § 312g BGB ein vierzehntägiges Widerrufsrecht zu, seit dem 19. Juni 2026 ergänzt um die elektronische Widerrufsfunktion nach § 356a BGB; § 312k BGB verpflichtet Anbieter laufender Verträge zu einer leicht auffindbaren Kündigungsschaltfläche. Dieser Blog nimmt an Partnerprogrammen teil; über gekennzeichnete Links kann bei einem Vertragsabschluss eine Provision anfallen, ohne dass sich der Preis für dich verändert. Die redaktionelle Einordnung erfolgt davon unabhängig. Alle genannten Markennamen sind eingetragene Warenzeichen der jeweiligen Inhaber.

* Dieser Beitrag enthält Affiliate-Links. Bei einem Kauf oder Abschluss über diese Links erhalten wir eine kleine Provision – für dich entstehen keine Mehrkosten.