EU Data Act: Cloud-Wechsel, Datenzugang und was Verträge jetzt regeln müssen

Dein ERP läuft als SaaS, die Zusammenarbeit in der Cloud, und die Maschinen, die du auslieferst, funken Betriebsdaten an einen Server. Genau diese Konstellation regelt der EU Data Act in beide Richtungen: Du bekommst Rechte gegenüber deinen Cloud-Anbietern und Pflichten gegenüber den Kunden deiner vernetzten Produkte. Dieser Artikel zeigt, was seit September 2025 gilt, was am 12. Januar 2027 hinzukommt und was du in Verträgen und im ISMS jetzt anfasst.

Was ist der EU Data Act und seit wann gilt er?

Der Data Act ist die Verordnung (EU) 2023/2854. Sie soll Datensilos aufbrechen und regelt drei Dinge: den Zugang zu Daten aus vernetzten Produkten, faire Bedingungen bei Datenverträgen zwischen Unternehmen und den Wechsel zwischen Cloud-Anbietern. Anders als die DSGVO schützt er nicht in erster Linie personenbezogene Daten, sondern verteilt den Zugriff auf Daten, die beim Betrieb von Produkten und Diensten entstehen. Personenbezogene Daten bleiben nebenbei von der DSGVO geschützt.

Die Anwendung ist gestaffelt. Das sind die Termine, die für den Mittelstand zählen:

Das ist keine Rechtsberatung. Klär Zweifelsfälle, vor allem bei Altverträgen und Auslegungsfragen, mit deiner Rechtsabteilung oder Kanzlei.

Wer ist vom Data Act betroffen?

Im Mittelstand sitzt du fast immer in zwei Rollen gleichzeitig. Nimm einen Maschinenbauer mit 110 Mitarbeitenden: Er nutzt ein SaaS-ERP, Collaboration-Dienste in der Cloud und einen Hosting-Anbieter für die Kundenportale. Gleichzeitig liefert er Anlagen aus, die per Fernwartung Betriebsdaten in eine Cloud schicken.

Rolle 1: Kunde eines Cloud- oder SaaS-Dienstes. Der Data Act nennt das "Datenverarbeitungsdienst": ein digitaler Dienst, der bedarfsgerechten Netzwerkzugang zu einem gemeinsamen Pool skalierbarer Rechenressourcen bietet. Dazu zählen laut Bundesnetzagentur IaaS, PaaS und SaaS. Die Wechselrechte gelten für dich als Kunden, und zwar auch für Verträge, die vor September 2025 geschlossen wurden.

Rolle 2: Hersteller, Anbieter oder Betreiber vernetzter Produkte. Ein vernetztes Produkt ist ein Gegenstand, der Daten über seine Nutzung oder Umgebung erhebt und übermitteln kann. Wer die Daten tatsächlich kontrolliert (Dateninhaber), muss sie dem Nutzer des Produkts zugänglich machen. Nutzer kann dein Kunde sein, aber auch du selbst, wenn du vernetzte Geräte kaufst oder mietest und ein anderer Hersteller sie betreibt.

Eine Ausnahme gibt es für Kleinunternehmen: Wer als Hersteller Kleinst- oder Kleinunternehmen im Sinne der EU-Definition ist (unter 50 Beschäftigte, bis 10 Millionen Euro Umsatz oder Bilanzsumme), muss die Zugangspflichten für Produktdaten nicht erfüllen, sofern kein Partner- oder verbundenes Unternehmen größer ist. Mittlere Unternehmen sind nur befristet ausgenommen (Artikel 7). Mit 110 Mitarbeitenden fällt unser Beispielunternehmen also nicht darunter.

Cloud-Wechsel nach dem Data Act: Was Anbieter ermöglichen müssen

Das Wechselkapitel (Kapitel VI) ist der Teil mit dem größten Hebel für den Mittelstand. Es zielt direkt auf Vendor-Lock-in: Du sollst den Anbieter wechseln, deine Daten in einen eigenen Betrieb zurückholen oder löschen lassen können, ohne dass der Vertrag, die Technik oder die Kosten dich festhalten.

Welche Fristen gelten für den Wechsel?

Artikel 25 legt die Höchstfristen fest, die dein Vertrag nicht überschreiten darf:

Du kannst dich für drei Wege entscheiden: Wechsel zu einem anderen Anbieter, Rückholung in die eigene IT (On-Premises) oder Löschung. Genau dieser zweite Weg ist für Self-Hosted-Betreiber interessant, dazu unten mehr.

Die Bundesnetzagentur beschreibt die Zweimonatsfrist als Vorbereitungszeit des Anbieters, andere Quellen als Mitteilungsfrist des Kunden. Für deine Vertragsprüfung zählt dasselbe: Mehr als zwei Monate Vorlauf darf der Vertrag nicht verlangen.

Was muss im Vertrag stehen?

Nach Artikel 25 muss der Vertrag deine Wechselrechte schriftlich und verständlich regeln, und zwar so, dass du sie vor Vertragsabschluss einsehen und speichern kannst. Mindestens diese Punkte gehören hinein:

• eine Klausel, die den Wechsel oder die Datenübertragung ohne unnötige Verzögerung und innerhalb von höchstens 30 Kalendertagen ermöglicht
• die Pflicht des Anbieters, deine Exit-Strategie zu unterstützen
• das Ende des Vertrags mit erfolgreichem Wechsel
• die Höchstfrist von zwei Monaten für den Start des Wechsels
• eine abschließende Liste der Datenkategorien und digitalen Vermögenswerte, die du mitnehmen kannst, und der Kategorien, die der Anbieter wegen Geschäftsgeheimnissen ausnimmt
• eine Datenabrufphase von mindestens 30 Tagen und die Zusage, danach alle Kundendaten zu löschen
• die Regelung der Wechselentgelte nach Artikel 29

Fehlt eine dieser Klauseln in deinem Vertrag, hast du ein konkretes Argument für das Anpassungsgespräch mit dem Anbieter.

Datenexport und Interoperabilität: Was heißt "exportierbar"?

Exportierbare Daten sind alle Eingabe- und Ausgabedaten samt Metadaten, die bei deiner Nutzung des Dienstes direkt oder indirekt entstehen. Ausgenommen sind Daten und Werte, die durch geistiges Eigentum des Anbieters geschützt sind. Die Grenze dürfte in der Praxis der Streitpunkt sein: Deine Datensätze und Dokumente gehören dazu, die interne Konfigurationslogik des Anbieters nicht.

Die technischen Pflichten unterscheiden sich nach Diensttyp (Artikel 30):

• IaaS-Anbieter müssen alle zumutbaren Maßnahmen ergreifen, damit du nach dem Wechsel zu einem gleichartigen Dienst funktionale Gleichwertigkeit erreichst. Dazu gehören Informationen, Dokumentation, technischer Support und Werkzeuge.
• PaaS- und SaaS-Anbieter müssen offene Schnittstellen kostenlos für Kunden und Zielanbieter bereitstellen, mit genug technischer Dokumentation, um Software für Datenportabilität zu schreiben. Außerdem müssen sie sich nach gemeinsamen Spezifikationen oder harmonisierten Standards richten, und zwar innerhalb von 12 Monaten nach deren Veröffentlichung im zentralen EU-Standardregister.

Der Anbieter muss dafür weder neue Technologien entwickeln noch Geschäftsgeheimnisse offenlegen. Ein realistischer Test für dich lautet deshalb: Kannst du aus dem Dienst heute schon strukturierte Daten in einem gängigen, maschinenlesbaren Format ziehen, mit Verknüpfungen, und zwar ohne Support-Ticket?

Wann gelten die Wechselregeln nicht?

Zwei Gruppen sind teilweise ausgenommen (Artikel 31): Dienste, bei denen die Mehrheit der Hauptfunktionen für einen einzelnen Kunden maßgeschneidert wurde und die nicht im Standardkatalog verkauft werden, und Testversionen für begrenzte Zeit. Der Anbieter muss dir vor Vertragsabschluss mitteilen, welche Pflichten für sein Angebot nicht gelten. Für ein individuell gebautes Branchensystem kann das also relevant sein.

Wechselentgelte: Was am 12. Januar 2027 endet und was nicht

Die zweite Hürde nach der Technik ist das Geld. Artikel 29 staffelt das Ende der Wechselentgelte in zwei Phasen:

• Bis 11. Januar 2027: Der Anbieter darf reduzierte Wechselentgelte berechnen, aber nicht mehr als seine direkten Kosten, die mit dem Wechsel verbunden sind.
• Ab 12. Januar 2027: Der Anbieter darf für den Wechsel keine Entgelte mehr berechnen.

Vor Vertragsabschluss muss der Anbieter offenlegen, welche Standardgebühren, Vertragsstrafen bei vorzeitiger Kündigung und reduzierten Wechselentgelte anfallen, und dich auf Dienste hinweisen, bei denen der Wechsel komplex oder teuer ist. Diese Informationen muss er öffentlich bereitstellen, etwa auf seiner Website.

Wichtig ist die Definition: Wechselentgelte sind Entgelte "für Handlungen, die die Verordnung für den Wechsel vorschreibt", ausdrücklich ohne Standardgebühren des Dienstes und ohne Vertragsstrafen bei vorzeitiger Kündigung. Das hat drei Konsequenzen für dich:

1. Egress-Gebühren, die für die Datenübertragung beim Wechsel anfallen, fallen unter das Verbot. Wer parallel in mehreren Clouds arbeitet (Multi-Cloud), kann dagegen weiter Egress-Entgelte zahlen, aber nur bis zur Höhe der tatsächlichen Kosten (Artikel 34 Absatz 2).
2. Bei befristeten Verträgen bleibt eine angemessene Vertragsstrafe bei vorzeitiger Kündigung nach der Definition möglich. Wer mitten in einer 36-Monats-Laufzeit wechselt, zahlt also weiter, nur nicht für den Wechselvorgang.
3. Migrationsleistungen, die der Anbieter zusätzlich anbietet (etwa Beratung zum Umzug), sind nicht automatisch Wechselentgelt. Prüf, was der Anbieter für "vorgeschriebene Handlungen" hält und was er als freiwillige Zusatzleistung verkauft.

Bis zum 12. Januar 2027 solltest du wissen, welche Positionen in deinen Preisblättern betroffen sind.

Datenzugang bei vernetzten Produkten: Rechte der Nutzer und Pflichten der Hersteller

Jetzt zur zweiten Rolle. Wenn du Maschinen, Fahrzeugflotten, Sensorik oder Smart-Home-Produkte baust, verkaufst oder betreibst, gelten Kapitel II und III. Der Kern ist einfach: Daten, die ein vernetztes Produkt erzeugt, gehören nicht allein dem Hersteller.

Data Access by Design: Was ab dem 12. September 2026 gilt

Artikel 3 Absatz 1 verlangt, dass vernetzte Produkte und verbundene Dienste so gestaltet werden, dass Produktdaten und Metadaten standardmäßig einfach, sicher, kostenlos, umfassend, strukturiert, in gängigem maschinenlesbaren Format und, soweit technisch machbar, direkt zugänglich sind. Das gilt für Produkte, die nach dem 12. September 2026 in Verkehr kommen. Für Altprodukte gilt die Gestaltungspflicht nicht, die Zugangsrechte nach Artikel 4 gelten aber auch dort, wenn der Dateninhaber die Daten hat.

Zusätzlich musst du vor dem Kauf, der Miete oder dem Leasing informieren (Artikel 3 Absatz 2): welche Daten das Produkt erzeugt, in welchem Format und Umfang, ob kontinuierlich und in Echtzeit, wo sie gespeichert werden und wie lange, und wie der Nutzer sie abrufen oder löschen kann. Bei verbundenen Diensten kommen weitere Angaben dazu, etwa wer die Daten nutzt, wie Anfragen ablaufen und dass der Nutzer sich bei der Behörde beschweren kann.

Der Zusammenhang zum Cyber Resilience Act ist offensichtlich, denn beide Verordnungen treffen dieselben Produkte. Der CRA verlangt Sicherheit by Design, der Data Act Zugänglichkeit by Design. Wer eine Datenschnittstelle baut, muss sie also von Anfang an so absichern, dass sie nicht zum Einfallstor wird.

Was dürfen Nutzer verlangen, und was darf der Dateninhaber?

Nach Artikel 4 muss der Dateninhaber verfügbare Daten auf einfache Anfrage ohne unnötige Verzögerung, in der gleichen Qualität wie er sie selbst hat, einfach, sicher, kostenlos und maschinenlesbar bereitstellen. Nutzer können die Daten außerdem an Dritte weitergeben lassen (Artikel 5). Mehr Regeln:

• Geschäftsgeheimnisse: Der Dateninhaber darf Daten nicht pauschal zurückhalten. Bei Geheimnissen müssen beide Seiten Schutzmaßnahmen vereinbaren, etwa Vertraulichkeitsabreden. Nur bei ernsten Sicherheits- oder Gesundheitsrisiken darf er die Weitergabe einschränken.
• Nutzung durch den Dateninhaber: Nicht personenbezogene Produktdaten darf er nur auf Grundlage eines Vertrags mit dem Nutzer verwenden. Er darf daraus keine Erkenntnisse über die wirtschaftliche Lage oder Produktionsmethoden des Nutzers ableiten, die dessen Wettbewerbsposition schaden.
• Nutzer-Grenzen: Der Nutzer darf die Daten nicht zur Entwicklung eines konkurrierenden Produkts verwenden und nicht an Dritte zu diesem Zweck geben.
• Personenbezug: Sind nicht der Nutzer, sondern andere Personen betroffen, braucht es eine DSGVO-Rechtsgrundlage.

Praktisch heißt das für unseren Maschinenbauer: Er braucht einen Prozess, der eine Datenanfrage eines Kunden aufnimmt, Identität und Berechtigung prüft, die Daten bereitstellt und die Entscheidung über zurückgehaltene Geheimnisse dokumentiert.

Unfaire Vertragsklauseln: Was Artikel 13 bei Datenverträgen verbietet

Artikel 13 schützt ein Unternehmen vor Klauseln, die ihm ein anderes Unternehmen einseitig auferlegt und die den Zugang zu Daten, ihre Nutzung oder die Haftung und Rechtsfolgen bei Pflichtverletzung betreffen. Unfair ist eine Klausel, die erheblich von der guten Geschäftspraxis beim Datenzugang abweicht, gegen Treu und Glauben verstößt. Zwei Listen konkretisieren das:

• Immer unfair (Schwarze Liste): Klauseln, die die Haftung für Vorsatz oder grobe Fahrlässigkeit ausschließen, Rechtsbehelfe bei Nichterfüllung beseitigen oder der stellenden Partei das alleinige Auslegungsrecht geben.
• Vermutet unfair (Graue Liste): unter anderem Klauseln, die nach Vertragsende den Datenabruf blockieren, unangemessen kurze Kündigungsfristen vorsehen, unverhältnismäßige Kündigungsbeschränkungen enthalten oder einseitige Preisänderungen ohne angemessene Schutzvorkehrungen erlauben.

Das trifft Verträge mit Datenklauseln, die du selbst verwendest, und Verträge, die dir Dienstleister vorlegen. Für neue Verträge gilt die Kontrolle seit dem 12. September 2025, für ältere unbefristete oder sehr lange laufende ab dem 12. September 2027. Die Europäische Kommission hat dazu unverbindliche Mustervertragsklauseln für Datenverträge und Standardklauseln für Cloud-Verträge veröffentlicht. Nach der Kommissions-Website (Stand Juli 2026) liegt dieses Paket als Entwurf vor. Nutze es als Orientierung, nicht als Pflichttext.

Wer überwacht den Data Act in Deutschland, und was droht?

Das Durchführungsgesetz zum Data Act (Datenverordnung-Anwendungs- und Durchsetzungsgesetz, DADG) hat der Bundestag am 26. März 2026 beschlossen. Es ist am 30. Mai 2026 in Kraft getreten. Zuständig ist die Bundesnetzagentur: Sie überwacht die Einhaltung, bearbeitet Beschwerden, ermittelt, setzt Bußgelder fest und ist insbesondere für die Wechselregeln bei Cloud-Anbietern verantwortlich. Geht es um personenbezogene Daten im Data-Act-Kontext, ist die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit zuständig, auch für private Unternehmen.

Bei den Bußgeldern weichen die Quellen ab. Der Bundestag nennt Bußgelder bis zu 500.000 Euro je nach Verstoß, eine Zusammenfassung des Gesetzestextes erwähnt bei sehr großen Unternehmen zusätzlich einen Prozentsatz vom Umsatz. Bei personenbezogenen Daten kommen die DSGVO-Sanktionen hinzu. Prüf die genaue Höhe im Gesetzestext, bevor du sie in eine Risikobewertung schreibst.

Und die Digital-Omnibus-Pläne? Die Europäische Kommission hat Änderungen am Data Act vorgeschlagen. Sie sehen vor allem Erleichterungen für kleine und mittlere Cloud-Anbieter bei älteren Verträgen vor, ein leichteres Regime für maßgeschneiderte Dienste und die ausdrückliche Möglichkeit angemessener Vertragsstrafen bei vorzeitiger Kündigung befristeter Verträge. Nach dem Stand der jüngsten Quelle (Juli 2026) waren diese Änderungen nicht beschlossen, die Verhandlungen im Rat liefen noch. Plan deshalb mit dem geltenden Text und beobachte, ob sich daran etwas ändert.

Data-Act-Pflichten im Überblick: Wer ist adressiert und was prüfst du?

Die Tabelle fasst zusammen, welche Pflicht wen trifft und was du in deinem Unternehmen konkret nachsiehst:

Die letzte Zeile ist der Unterschied zwischen Recht und Pflicht: Der Data Act gibt dir das Recht zu wechseln, aber keine Pflicht zu einem Plan. Den verlangen andere Regelwerke, darum geht es im nächsten Abschnitt.

Exit-Strategie im ISMS: Vendor-Lock-in als Lieferantenrisiko

Ein Wechselrecht auf dem Papier hilft nicht, wenn du im Ernstfall nicht weißt, wohin du wechselst, wie lange das dauert und was dabei an Daten verloren geht. Der Exit-Plan ist deshalb ein Teil der Lieferantensteuerung, und das Vendor-Lock-in-Risiko gehört ins Risikoregister wie jedes andere Lieferantenrisiko.

Was gehört in einen Exit-Plan?

Pro kritischem Dienst reicht eine Seite, wenn sie Folgendes beantwortet:

• Auslöser: Wann steigen wir aus? Preiserhöhung über einer Schwelle, Insolvenz oder Übernahme des Anbieters, Ausfall, Sicherheitsvorfall, Verlust einer Zertifizierung.
• Umfang: Welche Daten, Konfigurationen, Integrationen und Benutzer hängen am Dienst? Hier zahlt sich ein gepflegtes Asset-Register aus.
• Ziel: Anderer Anbieter, eigene Infrastruktur oder Verzicht auf den Dienst. Mindestens eine realistische Alternative ist benannt.
• Fristenrechnung: Zwei Monate Vorlauf, 30 Tage Übergang, 30 Tage Abruf: Das sind etwa vier Monate vom Entschluss bis zur gesicherten Datenübernahme. Passt das zu deinem RTO (Recovery Time Objective, der maximal tolerierten Ausfallzeit)?
• Exportnachweis: Wann hast du zuletzt einen vollständigen Export gezogen und geprüft, ob er sich in einem anderen System importieren lässt?
• Verantwortliche und Kosten: Wer führt den Wechsel, wer entscheidet, was kostet er nach dem 12. Januar 2027 noch (Migration, Doppelbetrieb, Schulung) und was nicht mehr (Wechselentgelt)?

Wie fließt der Data Act in die Lieferantenbewertung ein?

Ergänze deine Lieferantenbewertung um Fragen, die der Data Act jetzt beantwortbar macht: Enthält der Vertrag die Wechselklauseln nach Artikel 25? Welche Entgelte fallen heute an, welche entfallen im Januar 2027? Wie sieht der Export aus, und gibt es dazu Doku? Welchem Rechtsraum unterliegt die Infrastruktur? Jede Frage lässt sich mit ja oder nein und einem Beleg beantworten.

Für die Bewertung der Anbieter selbst helfen Nachweise wie BSI C5. Sie sagen etwas über die Sicherheit des Dienstes, aber nichts über deine Wechselfähigkeit. Beides gehört getrennt bewertet. Die vertragliche Seite deckst du mit den Sicherheitsklauseln ab: Wechselunterstützung, Exportformate und Löschnachweise gehören dort hinein, nicht erst in ein Nachtragsgespräch.

Wie setzt du das in ISMS Lite um?

In ISMS Lite legst du den Dienstleister mit Kritikalität, Vertragsende, Kündigungsfrist, Erinnerungstermin und Wiederbewertung an und verknüpfst ihn mit den Assets und Verarbeitungstätigkeiten, die auf ihm laufen. Das Vendor-Lock-in-Risiko dokumentierst du im Risikoregister, den Exit-Plan als Maßnahme mit Verantwortlichem und Termin. Kündigungsfristen und Erinnerungstermine laufen im Fristen-Dashboard auf, damit du den Ausstieg nicht erst planst, wenn die Frist schon verstrichen ist.

Data Act, NIS2, DORA und Self-Hosted: Wie passt das zusammen?

Der Data Act steht neben den Sicherheitsregelwerken, er ersetzt sie nicht.

NIS2. Die Richtlinie verlangt in Artikel 21 Absatz 2 Buchstabe d Maßnahmen zur Sicherheit der Lieferkette, einschließlich der sicherheitsrelevanten Aspekte der Beziehung zu direkten Lieferanten und Dienstleistern. Nach Absatz 3 berücksichtigst du die spezifischen Schwachstellen jedes Lieferanten und die Qualität seiner Produkte und Sicherheitspraktiken. Ein Anbieter, den du nicht verlassen kannst, ist ein spezifisches Risiko, und der Data Act liefert dir dafür das Werkzeug.

DORA. Finanzunternehmen müssen für IKT-Dienste, die kritische oder wichtige Funktionen unterstützen, Exit-Strategien haben (Artikel 28 Absatz 8), die dokumentiert, getestet und regelmäßig überprüft werden. Wer Finanzunternehmen beliefert, muss damit rechnen, dass solche Anforderungen vertraglich weitergereicht werden. Das DORA-Informationsregister und die Exit-Pläne sollten dieselben Verträge und Fristen abbilden, die du für den Data Act prüfst.

ISO 27001. Die Controls zu Lieferantenbeziehungen und Cloud-Diensten (A.5.19 bis A.5.23) verlangen Vereinbarungen mit Lieferanten und regeln die Nutzung von Cloud-Diensten bis zum Ausstieg. Der Data Act liefert für die Cloud-Seite gesetzliche Mindestinhalte, an denen du diese Vereinbarungen messen kannst.

Self-Hosted. Artikel 25 nennt ausdrücklich den Wechsel in die eigene Infrastruktur als gleichwertigen Weg. Wer das ernsthaft erwägt, findet im Artikel zur Migration von der Cloud auf den eigenen Server den praktischen Ablauf. Ein selbst betriebener Dienst löst das Wechselthema nicht auf, er verlagert es: Du bist dann selbst der Anbieter, und der Lock-in liegt bei Betriebssystem, Datenbank und Backup-Format. Auch hier zählen offene Formate und ein getesteter Export. ISMS Lite läuft auf deiner eigenen Infrastruktur und exportiert die Daten als JSON, sodass der Ausstieg auch bei dir selbst geplant werden kann.

Und der US-Rechtsraum? Artikel 28 verpflichtet Cloud-Anbieter, auf ihrer Website anzugeben, welchem Recht die Infrastruktur unterliegt, und die Maßnahmen gegen unzulässigen Behördenzugriff auf nicht personenbezogene Daten zu beschreiben. Die Angabe wandert in den Vertrag. Sie ersetzt keine Prüfung, ist aber ein neuer Beleg für die Bewertung von Cloud Act und Schrems II.

Checkliste: Cloud-Verträge Data-Act-Check

Bestandsaufnahme

• Alle Cloud-, SaaS-, IaaS- und PaaS-Dienste mit Vertragspartner, Laufzeit und Kündigungsfrist erfasst
• Kritische Dienste nach Schutzbedarf und Ausfallfolgen markiert
• Verträge identifiziert, die vor dem 12. September 2025 geschlossen wurden, und Angebote mit individueller Anpassung (mögliche Ausnahme nach Artikel 31) gesondert gekennzeichnet

Wechselrechte im Vertrag

• Wechsel- und Rückholklausel vorhanden (anderer Anbieter, eigene IT, Löschung)
• Vorlauf bis zum Wechselbeginn höchstens zwei Monate
• Übergangszeitraum höchstens 30 Kalendertage, Verlängerung nur mit nachgewiesener technischer Begründung
• Datenabrufphase von mindestens 30 Tagen nach dem Wechsel
• Löschzusage und Löschbestätigung nach Ablauf der Abrufphase
• Abschließende Liste der exportierbaren Daten und der ausgenommenen Kategorien
• Pflicht des Anbieters zur Unterstützung deiner Exit-Strategie

Entgelte

• Alle wechselbezogenen Positionen im Preisblatt gelistet (Egress, Migration, Export, Support)
• Bis 11. Januar 2027: Entgelte nur in Höhe der direkten Kosten
• Ab 12. Januar 2027: keine Wechselentgelte mehr, Anbieter schriftlich um Bestätigung gebeten
• Vertragsstrafe bei vorzeitiger Kündigung getrennt bewertet und im Exit-Plan eingerechnet

Technik und Export

• Vollständiger Export in gängigem, maschinenlesbarem Format mit Verknüpfungen getestet
• Offene Schnittstellen kostenlos dokumentiert und nutzbar
• Zielsystem oder Zielanbieter für den Re-Import benannt
• Rechtsraum der Infrastruktur und Schutzmaßnahmen laut Artikel 28 im Vertrag oder auf der Website des Anbieters nachgelesen

Exit-Plan und ISMS

• Exit-Plan für jeden kritischen Dienst dokumentiert (Auslöser, Umfang, Ziel, Fristen, Verantwortliche)
• Vendor-Lock-in als Risiko im Risikoregister bewertet, Maßnahme mit Termin angelegt
• Export-Test mindestens jährlich terminiert und als Nachweis abgelegt
• Data-Act-Fragen in die Lieferantenbewertung aufgenommen
• Anpassungsgespräch mit Anbietern geführt, deren Verträge Lücken zeigen, und Ergebnis dokumentiert

Eigene Produkte und Verträge

• Produkte mit Marktstart nach dem 12. September 2026 auf standardmäßigen Datenzugang geprüft
• Vorvertragliche Informationen zu Datenart, Format, Speicherort und Abruf in den Vertragsunterlagen ergänzt
• Prozess für Datenanfragen von Nutzern mit Verantwortlichem und Frist eingerichtet
• Eigene Rahmen- und Lieferverträge auf Klauseln der schwarzen und grauen Liste nach Artikel 13 geprüft

Häufige Fehler beim Data Act im Mittelstand

Den Data Act für ein reines Anbieterthema halten. Er verpflichtet die Cloud-Anbieter, aber du musst die Rechte kennen, einfordern und mit einem Plan unterlegen. Ohne Exit-Plan bleibt das Wechselrecht eine Theorie.

Annehmen, ab Januar 2027 sei jeder Wechsel kostenlos. Entfallen sind Entgelte für den Wechselvorgang. Weiter fallen an: Servicegebühren bis zum Vertragsende, Vertragsstrafen bei vorzeitiger Kündigung befristeter Verträge, Aufwand für Doppelbetrieb, Migration und Schulung, und bei Multi-Cloud kostenbasierte Egress-Entgelte.

Bestandsverträge als außen vor betrachten. Die Wechselregeln gelten auch für ältere Verträge. Wartet der Anbieter mit der Anpassung, hast du trotzdem ein Argument. Und die Klauselkontrolle erreicht Altverträge zum 12. September 2027, wenn sie unbefristet oder sehr lang laufen.

Den Export nie testen. Ein "Datenexport" im Vertrag, der in der Praxis nur PDFs oder Teilmengen ohne Verknüpfungen liefert, taugt nicht für eine Migration. Zieh einmal pro Jahr einen vollständigen Export und prüf, ob ein anderes System ihn lesen kann.

Die eigene Seite vergessen. Wer vernetzte Produkte baut, übersieht gern, dass die Gestaltungspflicht seit dem 12. September 2026 für neue Produkte gilt und dass Kunden Daten verlangen dürfen. Eine Anfrage ohne Prozess landet im Postfach des Vertriebs und liegt dort Wochen.

Fazit: Das Wechselrecht nutzt nur, wenn du den Ausstieg geplant hast

Der Data Act gibt dir als Cloud-Kunden klare Höchstfristen, ein Ende der Wechselentgelte am 12. Januar 2027 und Datenzugang bei vernetzten Produkten. Nutz die Monate bis zum Stichtag, um Verträge nach der Checkliste zu prüfen, Anbieter um Anpassungen zu bitten und für jeden kritischen Dienst einen Exit-Plan mit getestetem Export zu schreiben. Den ersten Schritt machst du heute: Liste deine Cloud-Dienste mit Kündigungsfrist und Kritikalität auf, und markiere diejenigen, bei denen du nicht sagen kannst, wie du deine Daten herausbekämst.

Weiterführende Artikel

• SaaS vs. Self-Hosted: Die wahren Kosten von Compliance-Software über 5 Jahre
• Digitale Souveränität im Mittelstand: Mehr als ein politisches Schlagwort
• Auftragsverarbeitung: AVV prüfen und Dienstleister bewerten
• Cybersecurity Act 2: Hochrisiko-Lieferanten und die neue ICT-Lieferkettensicherheit
• NIS2 für den Mittelstand: Was du wissen musst und was jetzt zu tun ist