EU Data Act für SaaS- und Cloud-Anbieter: Pflichten, Cloud-Switching und Vertragsgestaltung

Viele SaaS- und Cloud-Anbieter haben Kapitel VI des EU Data Act bislang kaum auf dem Radar - obwohl die Pflichten seit dem 12. September 2025 unmittelbar gelten. Wer jetzt noch mit alten Vertragsklauseln und Lock-in-Mechanismen arbeitet, riskiert nicht nur Kundenkonflikte, sondern auch regulatorische Sanktionen. Dieser Beitrag erklärt, was konkret von Ihnen verlangt wird - und wo Handlungsbedarf besteht.

Hinweis: Dieser Beitrag vertieft die Cloud- und SaaS-spezifischen Pflichten des Data Act. Einen vollständigen Überblick über alle Regelungsbereiche finden Sie in unserem EU Data Act Pillar-Post.

Wer ist betroffen? Der Begriff "Datenverarbeitungsdienst"

Kapitel VI des Data Act richtet sich an Anbieter sogenannter "Datenverarbeitungsdienste". Darunter fallen Edge- und Cloud-Anwendungen im weitesten Sinne - insbesondere typische Cloud-Dienste wie Infrastructure as a Service (IaaS), Platform as a Service (PaaS) und Software as a Service (SaaS). Die sehr abstrakte gesetzliche Definition erfasst digitale Dienste, die einen flächendeckenden und auf Abruf verfügbaren Netzzugang zu einem gemeinsam genutzten Pool konfigurierbarer, skalierbarer und elastischer Rechenressourcen ermöglichen.

Wichtig für die Praxis: Der Begriff "Datenverarbeitungsdienst" ist nicht mit dem Begriff "Datenverarbeitung" im Sinne der DSGVO gleichzusetzen - das Wort "Daten" ist nicht einmal Teil der Definition im Data Act. Es geht also nicht um personenbezogene Daten im datenschutzrechtlichen Sinne, sondern um die technische Infrastruktur der Dienstleistung selbst.

Die Cloud-Switching-Pflichten gelten unabhängig vom Sitz des Anbieters, sobald Datenverarbeitungsdienste für EU-Kunden erbracht werden. Nicht-EU-Anbieter, die EU-Kunden bedienen, müssen das Regime daher ebenfalls einhalten.

Das Herzstück: Das Recht auf Cloud-Switching

Verträge müssen es Kunden ermöglichen, jederzeit zu einem anderen Anbieter oder zur eigenen Infrastruktur zu wechseln - mit der Folge, dass der bestehende Vertrag beendet wird. Anbieter sind verpflichtet, alle vorkommerziellen, gewerblichen, technischen, vertraglichen und organisatorischen Hindernisse zu beseitigen, die einem Wechsel entgegenstehen könnten.

Der Ablauf ist gesetzlich klar strukturiert: EU-Kunden von betroffenen Datenverarbeitungsdiensten können einen Wechsel zu einem anderen Anbieter oder zu einer On-Premises-Infrastruktur mit einer Ankündigungsfrist von maximal zwei Monaten einleiten - und damit den laufenden Vertrag faktisch vorzeitig beenden. Nach Einleitung des Wechsels muss der Anbieter den Prozess grundsätzlich innerhalb von 30 Kalendertagen abschließen. Ist dies technisch nicht möglich, kann die Frist auf bis zu sieben Monate verlängert werden.

Wenn ein Kunde den Wechsel einleitet, muss der bisherige Cloud-Anbieter aktiv bei der Migration mitwirken und sicherstellen, dass während des gesamten Wechselprozesses ein hohes Datensicherheitsniveau gewahrt bleibt.

Für SaaS-Anbieter mit langen Vertragslaufzeiten bedeutet das eine erhebliche Verschiebung: Lange Vertragslaufzeiten werden faktisch obsolet. Der Kunde kann jederzeit mit einer Ankündigungsfrist von zwei Monaten den Wechsel einleiten; nach weiteren 30 Tagen soll der Wechsel im Regelfall abgeschlossen sein, und der bisherige Vertrag gilt dann als beendet.

Wechselentgelte: Stufenweiser Abbau bis zum vollständigen Verbot

Eines der einschneidendsten Elemente für bestehende Geschäftsmodelle ist die Regelung zu Wechselentgelten. Die Entgelte werden stufenweise vollständig abgeschafft: Im Übergangszeitraum vom 11. Januar 2024 bis 11. Januar 2027 dürfen Anbieter nur noch tatsächliche, direkte Kosten in Rechnung stellen. Ab dem 12. Januar 2027 dürfen überhaupt keine Wechselentgelte mehr erhoben werden.

Ab dem 12. Januar 2027 sind Wechselentgelte für Cloud-Switching nach Art. 29 Abs. 2 Data Act vollständig verboten.

Nicht jede Kostenposition ist damit verboten. Nicht jede Kostenposition ist untersagt: Erwägungsgrund 85 stellt klar, dass "spezielle professionelle Übergangsdienste" weiterhin vergütet werden dürfen - also Unterstützungsleistungen, die über die gesetzlichen Mindestpflichten hinausgehen. Dazu zählen etwa Premium-Support während der Migration oder individuelle Schulungen durch den bisherigen Anbieter.

Davon strikt zu trennen sind Vertragsstrafen bei vorzeitiger Kündigung: Wichtig ist die Unterscheidung zwischen Wechselentgelten für den technischen Vorgang und Sanktionen wegen vorzeitiger Vertragsbeendigung. Wenn ein Kunde einen befristeten Vertrag vorzeitig verlässt, darf der Anbieter laut Erwägungsgrund 89 eine "verhältnismäßige Sanktion" verlangen - was oft der Restvergütung bis zum regulären Laufzeitende entspricht.

Zwingende Vertragsklauseln: Was ab sofort in jeden Cloud-Vertrag muss

Um das Machtungleichgewicht zwischen Anbietern und Kunden im Cloud-Markt zu überwinden, legt der Data Act Mindestanforderungen an den Inhalt von Cloud-Verträgen fest. Kunden aus dem privaten und öffentlichen Sektor profitieren dabei von deutlich mehr vertraglicher Transparenz.

Nach Art. 25 Abs. 1 Data Act müssen Anbieter die Rechte des Kunden und ihre eigenen Pflichten beim Wechsel schriftlich im Vertrag festhalten. Konkret gehören dazu:

• Maximale Ankündigungsfrist von zwei Monaten für den Wechselwunsch des Kunden
• Übergangszeitraum von 30 Tagen (verlängerbar auf bis zu sieben Monate bei technischer Unmöglichkeit)
• Vollständige Spezifikation aller Datenkategorien und digitalen Assets, die beim Wechsel portiert werden können
• Regelung zu Wechselentgelten und deren Höhe (gemäß der Übergangsregelung)
• Löschpflicht: Garantie der vollständigen Löschung aller exportierbaren Daten nach Ablauf der Datenabruffrist

Darüber hinaus müssen Kunden vor Vertragsschluss über verfügbare Wechsel- und Portierungsverfahren sowie über ein Online-Register informiert werden, das Datenstrukturen und -formate der exportierbaren Daten enthält.

Auf der Website des Anbieters müssen zudem Informationen zur Rechtsordnung, der die eingesetzte IKT-Infrastruktur unterliegt, sowie eine allgemeine Beschreibung der Maßnahmen zum Schutz vor internationalem Regierungszugriff auf nicht-personenbezogene EU-Daten veröffentlicht werden.

Unfaire Vertragsklauseln: Was der Data Act für B2B-Verträge verbietet

Neben den Cloud-Switching-Pflichten enthält Kapitel IV des Data Act ein eigenständiges "AGB-Recht" für Datenzugangs- und Datennutzungsklauseln. Der Data Act schützt alle europäischen Unternehmen - insbesondere KMU - vor unfairen Vertragsbedingungen in Situationen, in denen eine Partei aufgrund ihrer Marktgröße eine stärkere Verhandlungsposition hat und der anderen Partei Klauseln nach dem "Take-it-or-leave-it"-Prinzip aufzwingt.

Klauseln, die den Datenzugang einseitig einschränken oder überzogene Haftungsausschlüsse enthalten, sind künftig unwirksam. Zwischen Dateninhabern und Dritten gilt das FRAND-Prinzip (fair, reasonable and non-discriminatory): Daten müssen also zu fairen, angemessenen und nicht diskriminierenden Bedingungen bereitgestellt werden.

Gilt eine Klausel als missbräuchlich, ist sie schlicht unwirksam - sie wird, soweit möglich, aus dem Vertrag herausgelöst. Bei widerleglich missbräuchlichen Klauseln kann der Verwender versuchen nachzuweisen, dass die Klausel im konkreten Fall nicht unfair ist.

Für SaaS-Anbieter bedeutet das: Standardverträge und AGB müssen auf Klauseln überprüft werden, die einseitige Haftungsbeschränkungen für Datenfehler, den Ausschluss von Rechtsbehelfen oder übermäßige Vertraulichkeitspflichten enthalten. Der Data Act verlangt eine Balance zwischen Datenzugang und dem Schutz von Geschäftsgeheimnissen. Weitreichende Vertraulichkeitsklauseln, die jede Weitergabe verbieten, sind problematisch und sollten durch maßgeschneiderte Regelungen ersetzt werden.

Interoperabilität: Die technische Dimension

Der Data Act definiert wesentliche Anforderungen an die Interoperabilität, damit Daten nahtlos zwischen Sektoren und Mitgliedstaaten sowie zwischen Datenverarbeitungsdienstleistern fließen können. Kapitel VIII ergänzt die Switching-Pflichten um technische Standards.

Wenn die Kommission einen harmonisierten Standard oder eine gemeinsame Spezifikation im Repository veröffentlicht, hat der Anbieter zwölf Monate Zeit, um Kompatibilität sicherzustellen - ohne dass neue Technologien entwickelt, geschützte Assets (z. B. Quellcode oder Algorithmen) offengelegt oder die Sicherheit und Integrität der Systeme als Bedingung für die Migration gefährdet werden müssen.

Um nahtlose Anbieterwechsel zu ermöglichen, muss auch auf technischer Seite nachgerüstet werden. Dienste müssen so gestaltet sein, dass Daten strukturiert und maschinenlesbar exportiert werden können. Für PaaS- und SaaS-Anbieter steht dabei die Öffnung von Schnittstellen und die Standardisierung von Datenformaten im Vordergrund.

Abgrenzung zur DSGVO: Zwei Regelwerke, zwei Regelungszwecke

Ein häufiges Missverständnis in der Praxis: Der Data Act und die DSGVO verfolgen unterschiedliche Ziele und sind klar voneinander zu trennen.

Der Data Act greift nicht in die DSGVO ein - personenbezogene Daten bleiben weiterhin dem Datenschutzrecht unterstellt. Während die DSGVO den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten regelt, zielt der Data Act auf den fairen Zugang zu und die Nutzung von Daten im wirtschaftlichen Kontext - unabhängig davon, ob diese personenbezogen sind oder nicht.

Der internationale Datentransfer ist im Data Act separat geregelt, um unrechtmäßigen Zugriff ausländischer Behörden auf nicht-personenbezogene Daten zu verhindern. Die Anforderungen sind jedoch nicht identisch mit den DSGVO-Regelungen zu Drittlandübermittlungen.

Für die Praxis heißt das: Compliance-Teams müssen beide Regelwerke parallel im Blick behalten. Ein DSGVO-konformer Vertrag ist nicht automatisch Data-Act-konform - und umgekehrt.

Was SaaS- und Cloud-Anbieter jetzt konkret tun müssen

Die Anforderungen des Data Act greifen an mehreren Stellen gleichzeitig. Eine strukturierte Herangehensweise ist daher entscheidend:

1. Betroffenheitsanalyse: Prüfen Sie für jeden Ihrer Dienste, ob er als "Datenverarbeitungsdienst" im Sinne des Data Act qualifiziert. Ausgenommen sind On-Premises- und Private-Cloud-Lösungen sowie Dienste, die eine hochgradig individualisierte, arbeitsintensive Einrichtung durch den Anbieter erfordern. Jenseits dieser Ausnahmen besteht eine regulatorische Grauzone, die eine sorgfältige, dienstbezogene Prüfung erfordert.

2. Vertragsaudit: Kartieren Sie alle Dienste anhand der Data-Act-Definition und prüfen Sie auf Dienstebene, welche Angebote dem Cloud-Switching-Regime unterliegen. Überprüfen und überarbeiten Sie Kundenverträge, um Switching-Pflichten und verhältnismäßige Vertragsstrafen bei vorzeitiger Kündigung abzubilden.

3. Preismodell-Review: Passen Sie Preisstrukturen einschließlich Kündigungsgebühren an die kommerziellen Implikationen des Switching an. Wechselentgelte, die über die tatsächlichen direkten Kosten hinausgehen, sind bereits heute unzulässig.

4. Technische Readiness: Entwickeln Sie robuste technische Fähigkeiten für Datenexport, Migration und Interoperabilität. Daten müssen in einem strukturierten, gängigen und maschinenlesbaren Format bereitgestellt werden können.

5. Website-Pflichten: Stellen Sie sicher, dass Ihre Website die gesetzlich vorgeschriebenen Informationen zur Infrastruktur-Jurisdiktion und zu Maßnahmen gegen Drittstaatenzugriff enthält.

6. AGB-Kontrolle: Überprüfen Sie alle Standard-AGB und Musterverträge auf Klauseln, die nach Kapitel IV des Data Act als missbräuchlich gelten könnten - insbesondere einseitige Haftungsbeschränkungen und Ausschlüsse von Rechtsbehelfen.

Sanktionen: Was bei Verstößen droht

Die Durchsetzung der Data-Act-Pflichten liegt bei den nationalen Behörden. Die Verordnung sieht vor, dass Strafen bei Verstößen wirksam, verhältnismäßig und abschreckend sein müssen. Verstöße gegen die Pflichten des Data Act können erhebliche Strafen nach sich ziehen. Daneben drohen zivilrechtliche Ansprüche von Kunden, deren Switching-Rechte verletzt wurden - und bei personenbezogenen Daten, die beim Wechsel verloren gehen, können zusätzlich DSGVO-Ansprüche entstehen.

Für Anbieter mit langen Bestandsverträgen und etablierten Preismodellen ist der Handlungsdruck besonders hoch: Insbesondere wenn Anbieter mit langen Vertragslaufzeiten arbeiten oder der Export der Kundendaten aufwändig ist, muss das Geschäftsmodell auf den Prüfstand gestellt werden.

Fazit: Vertragsgestaltung ist jetzt strategische Aufgabe

Der EU Data Act verändert die Spielregeln für SaaS- und Cloud-Anbieter grundlegend. Unternehmen sind gut beraten, die Implikationen für ihre Geschäftsmodelle und Vertragsgestaltung sorgfältig zu prüfen. Die Pflichten gelten bereits - und die Frist für das vollständige Verbot von Wechselentgelten rückt näher.

Vectocon begleitet SaaS- und Cloud-Anbieter bei der rechtlichen und vertraglichen Umsetzung: von der Betroffenheitsanalyse über das Vertragsaudit bis zur Gestaltung Data-Act-konformer AGB und Exit-Klauseln. Dabei fließen rechtliche und - wo relevant - steuerliche Aspekte von Anfang an gemeinsam in die Beratung ein.

KI-generiertes Bild