Data Act für SaaS- und Cloud-Anbieter: Was die EU-Datenverordnung ändert

Kurz beantwortet: Der Data Act, die Verordnung (EU) 2023/2854, gilt als EU-Verordnung seit dem 12. September 2025 unmittelbar in Deutschland. Seit dem 30. Mai 2026 regelt das Datenverordnung-Anwendungs- und Durchsetzungsgesetz (DADG, BGBl. I 2026 Nr. 157) die Aufsicht durch die Bundesnetzagentur, bei personenbezogenen Daten durch den BfDI. Für SaaS- und Cloud-Anbieter sind vor allem drei Neuerungen wirtschaftlich und vertraglich relevant, wenn sie ihren Kunden einen Datenverarbeitungsdienst im Sinne der Verordnung bereitstellen. Erstens müssen sie den Wechsel zu einem anderen Anbieter technisch und vertraglich erleichtern und die dafür verlangten Wechselentgelte schrittweise abbauen. Zweitens unterliegen einseitig auferlegte Vertragsklauseln zur Datennutzung im Verhältnis zwischen Unternehmen seit dem 12. September 2025 einer Missbräuchlichkeitskontrolle. Drittens begründen Daten, die aus vernetzten Produkten und verbundenen Diensten anfallen, eigene Zugangs- und Weitergaberechte der Nutzer, die neben die datenschutzrechtlichen Betroffenenrechte treten. Wer als SaaS-Anbieter Exit-Klauseln, Kündigungsfristen und Preismodelle jetzt nicht anpasst, riskiert, dass die eigenen Standardverträge in Teilen unwirksam werden oder gegenüber Enterprise-Kunden nicht mehr verhandelbar sind.

Gilt der Data Act auch für SaaS- und Cloud-Anbieter?

Der Data Act ist keine reine IoT-Verordnung, auch wenn er ursprünglich vor allem für Daten aus vernetzten Produkten wie Maschinen oder Fahrzeugen bekannt geworden ist. Neben den Herstellern vernetzter Produkte und den Anbietern verbundener Dienste adressiert die Verordnung in einem eigenen Regelungsteil ausdrücklich auch Anbieter von Datenverarbeitungsdiensten. Darunter fallen nach der Begriffsbestimmung in Art. 2 der Verordnung (EU) 2023/2854 digitale Dienstleistungen, die einen flächendeckenden und auf Abruf verfügbaren Netzzugang zu einem gemeinsam genutzten Pool konfigurierbarer, skalierbarer und elastischer Rechenressourcen ermöglichen. Nach dieser Definition können insbesondere Cloud-Computing-Dienste sowie Infrastructure-, Platform- und Software-as-a-Service-Angebote darunter fallen. Ein SaaS-Anbieter, der seine Anwendung als bedarfsgerecht skalierbaren Dienst über eigene oder fremde Cloud-Infrastruktur bereitstellt, fällt damit regelmäßig in den Anwendungsbereich dieses Kapitels, unabhängig davon, ob die verarbeiteten Daten personenbezogen sind oder nicht. Das unterscheidet den Data Act von der DSGVO, deren Anwendungsbereich sich ausschließlich über den Personenbezug der Daten definiert.

Für die Praxis bedeutet das, dass ein SaaS-Unternehmen zwei Rollen gleichzeitig einnehmen kann. Es ist möglicherweise Anbieter eines verbundenen Dienstes im Sinne der Vorschriften zu vernetzten Produkten, wenn seine Software Daten aus IoT-Geräten oder Maschinen der Kunden verarbeitet, und es ist zugleich Anbieter eines Datenverarbeitungsdienstes im Sinne der Vorschriften zum Anbieterwechsel, wenn es seine Anwendung selbst als Cloud- oder SaaS-Leistung vertreibt. Beide Rollen lösen unterschiedliche Pflichten aus, die in denselben Vertragsdokumenten sauber auseinandergehalten werden sollten.

Was ändert sich beim Anbieterwechsel (Cloud-Switching)?

Im Mittelpunkt für SaaS- und Cloud-Anbieter steht der Regelungsteil der Verordnung, der den Wechsel zwischen Datenverarbeitungsdiensten betrifft. Er verpflichtet Anbieter dazu, vertragliche, technische und wirtschaftliche Hindernisse zu beseitigen, die einen Kunden faktisch an einen Anbieter binden. Dazu gehört, dass Verträge über Datenverarbeitungsdienste für die Einleitung des Wechsels eine Kündigungsfrist von höchstens zwei Monaten vorsehen müssen (Art. 25 Abs. 2 lit. d der Verordnung (EU) 2023/2854), dass der Anbieter während einer Übergangsphase bei der Migration zu einem anderen Anbieter oder in eine eigene On-Premises-Umgebung mitwirken muss und dass Daten sowie digitale Vermögenswerte des Kunden in einem strukturierten, gängigen und maschinenlesbaren Format exportierbar sein müssen. Der Wechsel oder die Übertragung muss grundsätzlich innerhalb eines verbindlichen Übergangszeitraums von höchstens 30 Kalendertagen nach Ablauf der Kündigungsfrist vollzogen werden (Art. 25 Abs. 2 lit. a); ist das technisch nicht durchführbar, muss der Anbieter dies innerhalb von 14 Arbeitstagen begründen und einen alternativen Übergangszeitraum von höchstens sieben Monaten nennen (Art. 25 Abs. 4). Für den anschließenden Datenabruf ist eine Frist von mindestens 30 Kalendertagen vorzusehen (Art. 25 Abs. 2 lit. g). Diese Pflichten zur Beseitigung von Wechselhindernissen ergeben sich aus Art. 23 bis 31 der Verordnung (EU) 2023/2854, deren einleitende Vorschrift Art. 23 die „Beseitigung von Hindernissen für einen wirksamen Wechsel“ überschreibt und die vertraglichen, technischen und wirtschaftlichen Anforderungen an einen reibungslosen Anbieterwechsel bündelt.

Wirtschaftlich mindestens ebenso bedeutsam ist die schrittweise Abschaffung von Wechselentgelten, die Art. 29 der Verordnung (EU) 2023/2854 regelt. Danach dürfen Anbieter von Datenverarbeitungsdiensten für den Wechsel zu einem anderen Anbieter im Zeitraum vom 11. Januar 2024 bis zum 12. Januar 2027 nur noch ermäßigte, an den tatsächlich entstehenden Kosten orientierte Entgelte verlangen, und ab dem 12. Januar 2027 dürfen überhaupt keine Wechselentgelte mehr erhoben werden. Für SaaS-Anbieter, deren Preismodell bislang Exit- oder Migrationsgebühren vorsieht, bedeutet das, dass diese Klauseln spätestens ab diesem Stichtag nicht mehr durchsetzbar sein werden und die Vertragsvorlagen entsprechend anzupassen sind. Wer jetzt Verträge neu aufsetzt oder verlängert, sollte diesen Wegfall von vornherein einpreisen, statt später erneut nachverhandeln zu müssen. Ausgenommen von den Wechselentgelt-Regeln und einzelnen technischen Pflichten sind Datenverarbeitungsdienste, deren zentrale Funktionen überwiegend auf einen einzelnen Kunden zugeschnitten sind und die nicht im größeren kommerziellen Maßstab angeboten werden; Test- und Bewertungsversionen für einen begrenzten Zeitraum fallen ganz aus dem Wechsel-Kapitel heraus (Art. 31 der Verordnung (EU) 2023/2854).

Welche Vertragsklauseln werden unwirksam?

Neben dem Anbieterwechsel enthält der Data Act eine zweite, für die Vertragspraxis unmittelbar relevante Neuerung. Er führt in Art. 13 der Verordnung (EU) 2023/2854 eine Missbräuchlichkeitskontrolle für Vertragsklauseln ein, die den Zugang zu Daten oder deren Nutzung betreffen und einem anderen Unternehmen einseitig auferlegt wurden, ohne dass dieses die Klausel tatsächlich hätte aushandeln können. Diese Kontrolle greift, wenn eine solche Klausel grob von einer redlichen Geschäftspraxis abweicht oder gegen Treu und Glauben verstößt, etwa weil sie einer Partei einseitig das Recht einräumt, den Vertrag auszulegen, weil sie eine Partei unangemessen daran hindert, selbst erzeugte Daten zu nutzen, weil sie die andere Partei daran hindert, den Vertrag innerhalb einer angemessenen Frist zu kündigen (Art. 13 Abs. 5 lit. d), oder weil sie dem Verwender erlaubt, selbst mit unangemessen kurzer Frist zu kündigen (Art. 13 Abs. 5 lit. f). Neben Klauseln zu Datenzugang und Datennutzung erfasst die Kontrolle auch Klauseln zur Haftung und zu Rechtsbehelfen bei datenbezogenen Pflichten (Art. 13 Abs. 1). Die Verordnung richtet sich dabei ausdrücklich an das Verhältnis zwischen Unternehmen und gilt unabhängig von deren Größe; praktisch schützt sie vor allem Vertragspartner, denen Klauseln ohne tatsächliche Verhandlungsmöglichkeit auferlegt werden.

Für SaaS-Anbieter, deren Standardverträge Klauseln zu Dateneigentum, Nutzungsrechten an aggregierten oder anonymisierten Daten, Audit-Rechten oder Haftungsbegrenzungen im Datenkontext enthalten, lohnt sich ein zweiter Blick. Nicht jede einseitige Klausel ist automatisch unwirksam, entscheidend ist die grobe Abweichung von redlicher Praxis im Einzelfall. Wer aber Enterprise-Kunden mit eigenem Verhandlungsgewicht gegenübersteht, sollte ohnehin damit rechnen, dass solche Klauseln in Vertragsverhandlungen künftig unter Verweis auf den Data Act infrage gestellt werden, auch unabhängig davon, ob der Kunde selbst als kleineres Unternehmen im Sinne der Verordnung gilt.

Wie grenzt sich der Data Act von der DSGVO ab?

Die DSGVO und der Data Act verfolgen unterschiedliche Regelungsziele und schließen sich nicht gegenseitig aus, sondern ergänzen sich. Die DSGVO knüpft ausschließlich an den Personenbezug von Daten an, sie regelt, auf welcher Rechtsgrundlage personenbezogene Daten verarbeitet werden dürfen, welche Pflichten Verantwortliche und Auftragsverarbeiter treffen und welche Rechte betroffene Personen haben. Der Data Act setzt breiter an und erfasst auch nicht personenbezogene Daten, insbesondere solche, die durch die Nutzung vernetzter Produkte und Dienste anfallen, sowie die Bedingungen für den Wechsel zwischen Datenverarbeitungsdiensten unabhängig vom Personenbezug der übertragenen Daten. Wo beide Regelwerke denselben Datensatz betreffen, weil zum Beispiel personenbezogene Nutzungsdaten aus einer vernetzten Software zugleich Gegenstand eines Datenzugangsanspruchs sind, verdrängt der Data Act die DSGVO nicht. Nach Art. 1 Abs. 5 der Verordnung (EU) 2023/2854 lässt sie das Unionsrecht zum Schutz personenbezogener Daten und der Privatsphäre ausdrücklich unberührt, und bei einem Konflikt zwischen dem Data Act und diesem Recht hat das Datenschutzrecht Vorrang.

Für SaaS-Anbieter, die bereits eine belastbare DSGVO-Dokumentation führen, also Verzeichnis von Verarbeitungstätigkeiten, Auftragsverarbeitungsverträge und Löschkonzepte, bedeutet das keine vollständige Neukonzeption. Der Data Act tritt als zusätzliche Prüfungsebene hinzu, vor allem dort, wo es um nicht personenbezogene Daten, um den Anbieterwechsel und um die vertragliche Beziehung zwischen Unternehmen geht. Wer die bestehende DSGVO-Architektur um die Cloud-Switching- und Klauselkontroll-Aspekte des Data Act ergänzt, deckt beide Regelwerke konsistent ab.

Ab wann gilt der Data Act?

Der Data Act ist am 11. Januar 2024 in Kraft getreten, zwanzig Tage nach seiner Veröffentlichung im Amtsblatt der Europäischen Union am 22. Dezember 2023. Die Verordnung gewährt den Marktteilnehmern jedoch eine Übergangszeit bis zum Geltungsbeginn, den Art. 50 der Verordnung (EU) 2023/2854 auf den 12. September 2025 festlegt. Seit diesem Datum sind die Pflichten der Verordnung, einschließlich der Vorgaben zum Anbieterwechsel und zur Missbräuchlichkeitskontrolle, unmittelbar anwendbares Recht in allen Mitgliedstaaten. In Deutschland regelt seit dem 30. Mai 2026 das Datenverordnung-Anwendungs- und Durchsetzungsgesetz (DADG, BGBl. I 2026 Nr. 157) die Durchsetzung, zuständig ist die Bundesnetzagentur, bei personenbezogenen Daten der BfDI. Die Bundesnetzagentur ist zugleich zentrale Anlaufstelle für Anbieter von Datenverarbeitungsdiensten; das Gesetz regelt außerdem ein Beschwerdeverfahren, die Zulassung von Streitbeilegungsstellen und Bußgeldtatbestände.

Für einzelne Pflichten gelten davon abweichende, spätere Stichtage. Wechselentgelte dürfen nach Art. 29 der Verordnung (EU) 2023/2854 erst ab dem 12. Januar 2027 überhaupt nicht mehr erhoben werden, bis dahin sind nur ermäßigte, kostenbasierte Entgelte zulässig. Die Klauselkontrolle nach Art. 13 der Verordnung (EU) 2023/2854 gilt für Verträge, die nach dem 12. September 2025 geschlossen werden, unmittelbar, für Altverträge, die an oder vor diesem Tag geschlossen wurden, greift sie nach der Übergangsregelung erst ab dem 12. September 2027, sofern diese Verträge unbefristet sind oder frühestens zehn Jahre nach dem 11. Januar 2024 enden. Die Pflicht, vernetzte Produkte und verbundene Dienste so zu gestalten, dass die Daten für den Nutzer direkt zugänglich sind (Art. 3 Abs. 1 der Verordnung (EU) 2023/2854), gilt für Produkte und Dienste, die nach dem 12. September 2026 in Verkehr gebracht wurden. Die übrigen Zugangs- und Weitergaberechte der Nutzer nach Art. 4 und 5 der Verordnung (EU) 2023/2854 gelten bereits seit dem 12. September 2025.

Was sollten SaaS-Anbieter jetzt in ihren Verträgen prüfen?

Da der Data Act seit September 2025 anwendbar ist, sollten SaaS- und Cloud-Anbieter ihre Standardverträge und AGB nicht erst bei der nächsten Kundenbeschwerde, sondern planmäßig überarbeiten. In der Praxis bewährt sich eine Prüfung entlang folgender Punkte. Erstens die Exit- und Migrationsklauseln, die regeln müssen, in welchem Format und innerhalb welcher Frist Kundendaten beim Vertragsende exportiert werden und welche Mitwirkung der Anbieter während der Migration schuldet. Zweitens das Preismodell, das etwaige Exit- oder Migrationsgebühren an die vorgegebene Kostenorientierung und die absehbare vollständige Abschaffung anpassen sollte. Drittens die Klauseln zu Datenzugriff, Datennutzung und Haftung in den eigenen AGB, die daraufhin zu prüfen sind, ob sie einseitig auferlegt sind und grob von redlicher Geschäftspraxis abweichen. Viertens, sofern die eigene Software Daten aus vernetzten Produkten der Kunden verarbeitet, die Frage, ob zusätzliche Zugangs- und Weitergaberechte der Nutzer an diesen Daten zu berücksichtigen sind. Fünftens das Zusammenspiel mit der bestehenden DSGVO-Dokumentation, damit Datenexport- und Löschregelungen aus AVV und Data-Act-Klauseln nicht in Widerspruch zueinander geraten. Welches eigene Schutzrecht Ihnen an dem aufgebauten Datenbestand zusteht und wo dessen Grenzen liegen, ordnet der Beitrag zum Schutz des Datenbankherstellers ein.

Wo finden Sie die Vertiefung zu einzelnen Punkten?

Wie ein Datenexport beim Vertragsende technisch und vertraglich sauber geregelt wird, damit er sowohl den Anforderungen des Data Act als auch einer praktikablen Exit-Strategie genügt, vertieft der Beitrag zu Datenexport und Exit bei SaaS-Verträgen. Den Gesamtaufbau eines SaaS-Vertrags, in den Kündigungs-, Exit- und Haftungsklauseln eingebettet sind, ordnet der Leitfaden zu SaaS-Verträgen ein, während der Beitrag zur SaaS-Vertragsarchitektur zeigt, wie sich Haupt-, Auftragsverarbeitungs- und Servicevertrag zueinander verhalten sollten. Für die Abgrenzung und das Zusammenspiel mit dem Datenschutzrecht liefert der Leitfaden zur DSGVO für Software- und SaaS-Unternehmen die Vertiefung. Den Einstieg in die laufende rechtliche Begleitung Ihres Software- oder SaaS-Geschäfts finden Sie über die Rechtsberatung im IT-Recht und die Seite für Software-, SaaS- und KI-Unternehmen.

Ob Ihre Kundenverträge zu den neuen Regeln für Anbieterwechsel und Datenzugang passen, prüft die Geschäftsführung oft erst, wenn ein Kunde wechseln will. Das Rechtliche Audit prüft Ihre Vertragsdokumente vorher und zeigt, welche Klauseln zuerst anzupassen sind. Rechtliches Audit: Ihre SaaS-Verträge auf den Data Act prüfen

Wie das in der Praxis aussieht

Ein Beispiel, wie es in dieser Form häufig vorkommt: Ein Anbieter von Energiemonitoring-Software für Fabriken mit rund 40 Mitarbeitenden stellt seine Anwendung als skalierbaren Cloud-Dienst bereit. Die Preisliste enthält eine Migrationsgebühr, die Kündigungsfrist beträgt sechs Monate, und die Software liest Daten aus vernetzten Zählern der Kunden. Zu klären ist, in welcher Rolle der Data Act das Unternehmen erfasst. Als Anbieter eines Datenverarbeitungsdienstes treffen es die Regeln zum Anbieterwechsel; verarbeitet die Software Daten aus vernetzten Produkten, kann es zugleich Anbieter eines verbundenen Dienstes sein.

Danach trennen sich die Wege. Wird der Dienst als Standardprodukt im größeren Maßstab angeboten, gelten die Wechselregeln vollständig: höchstens zwei Monate Kündigungsfrist für die Einleitung des Wechsels, ein Übergangszeitraum von grundsätzlich höchstens 30 Kalendertagen, Export in einem gängigen, maschinenlesbaren Format und bis zum 12. Januar 2027 nur kostenbasierte Wechselentgelte, danach keine mehr. Ist eine Lösung überwiegend auf einen einzelnen Kunden zugeschnitten und nicht über den Katalog angeboten, entfallen einzelne Pflichten, darunter die zu Wechselentgelten. Am Ende stehen angepasste Vorlagen und eine Preisliste ohne Exit-Gebühr. Welche Klauseln Sie zuerst anpassen sollten, zeigt das Rechtliche Audit.

Häufige Fragen

Betrifft der Data Act nur Hersteller vernetzter Produkte wie Maschinen oder Fahrzeuge?

Nein. Neben den Vorschriften zu vernetzten Produkten enthält die Verordnung einen eigenen Regelungsteil zu Anbietern von Datenverarbeitungsdiensten, der Cloud-, Platform- und Software-as-a-Service-Angebote erfasst, unabhängig davon, ob personenbezogene oder nicht personenbezogene Daten verarbeitet werden.

Muss ein SaaS-Anbieter Wechselentgelte sofort abschaffen?

Nicht sofort. Art. 29 der Verordnung (EU) 2023/2854 lässt bis zum 12. Januar 2027 noch ermäßigte, kostenbasierte Entgelte zu, danach dürfen gar keine Wechselentgelte mehr erhoben werden. Bestehende Preismodelle sollten aber jetzt schon auf diesen Wegfall ausgerichtet werden.

Sind alle einseitigen Vertragsklauseln zur Datennutzung automatisch unwirksam?

Nein. Die Klauselkontrolle greift nur, wenn eine einseitig auferlegte Klausel grob von redlicher Geschäftspraxis abweicht oder gegen Treu und Glauben verstößt. Maßgeblich ist die Einzelfallprüfung, nicht ein pauschales Verbot bestimmter Klauseltypen.

Verdrängt der Data Act die DSGVO bei personenbezogenen Daten?

Nein. Der Data Act lässt die Anwendung des Datenschutzrechts unberührt. Wo dieselben Daten personenbezogen sind, gelten DSGVO und Data Act nebeneinander, im Konfliktfall geht das Datenschutzrecht vor.

Ab wann müssen SaaS-Verträge an den Data Act angepasst sein?

Die Verordnung ist seit dem 12. September 2025 unmittelbar anwendbar. Verträge und AGB, die danach neu abgeschlossen oder verlängert werden, sollten die Vorgaben zu Anbieterwechsel und Klauselkontrolle bereits berücksichtigen.

Sie überarbeiten gerade Ihre SaaS-Verträge, AGB oder Exit-Klauseln und wollen prüfen, wo der Data Act konkreten Anpassungsbedarf auslöst? In einem Erstgespräch ordnen wir Ihre bestehenden Vertragsdokumente entlang der Cloud-Switching- und Klauselkontroll-Vorgaben ein. Für die laufende rechtliche Begleitung Ihres Software- oder SaaS-Geschäfts unterstützt Sie die Rechtsberatung im IT-Recht.