Data Act für SaaS- und Cloud-Anbieter: Was die EU-Datenverordnung ändert

Kurz beantwortet: Der Data Act, die Verordnung (EU) 2023/2854, gilt seit dem 12. September 2025 unmittelbar in Deutschland und ohne dass es dafür eines nationalen Umsetzungsgesetzes bedurfte, weil es sich um eine EU-Verordnung und kein Richtlinienrecht handelt. Für SaaS- und Cloud-Anbieter sind vor allem drei Neuerungen wirtschaftlich und vertraglich relevant, wenn sie ihren Kunden einen Datenverarbeitungsdienst im Sinne der Verordnung bereitstellen. Erstens müssen sie den Wechsel zu einem anderen Anbieter technisch und vertraglich erleichtern und die dafür verlangten Wechselentgelte schrittweise abbauen. Zweitens unterliegen einseitig auferlegte Vertragsklauseln zur Datennutzung im Verhältnis zwischen Unternehmen künftig einer Missbräuchlichkeitskontrolle. Drittens begründen Daten, die aus vernetzten Produkten und verbundenen Diensten anfallen, eigene Zugangs- und Weitergaberechte der Nutzer, die neben die datenschutzrechtlichen Betroffenenrechte treten. Wer als SaaS-Anbieter Exit-Klauseln, Kündigungsfristen und Preismodelle jetzt nicht anpasst, riskiert, dass die eigenen Standardverträge in Teilen unwirksam werden oder gegenüber Enterprise-Kunden nicht mehr verhandelbar sind.

Gilt der Data Act auch für SaaS- und Cloud-Anbieter?

Der Data Act ist keine reine IoT-Verordnung, auch wenn er ursprünglich vor allem für Daten aus vernetzten Produkten wie Maschinen oder Fahrzeugen bekannt geworden ist. Neben den Herstellern vernetzter Produkte und den Anbietern verbundener Dienste adressiert die Verordnung in einem eigenen Regelungsteil ausdrücklich auch Anbieter von Datenverarbeitungsdiensten. Darunter fallen nach der Begriffsbestimmung in Art. 2 der Verordnung (EU) 2023/2854 digitale Dienste, die im Wege verteilter, skalierbarer und bedarfsgerechter Ressourcen bereitgestellt werden, insbesondere Cloud-Computing-Dienste sowie Infrastructure-, Platform- und Software-as-a-Service-Angebote. Ein SaaS-Anbieter, der seine Anwendung als bedarfsgerecht skalierbaren Dienst über eigene oder fremde Cloud-Infrastruktur bereitstellt, fällt damit regelmäßig in den Anwendungsbereich dieses Kapitels, unabhängig davon, ob die verarbeiteten Daten personenbezogen sind oder nicht. Das unterscheidet den Data Act von der DSGVO, deren Anwendungsbereich sich ausschließlich über den Personenbezug der Daten definiert.

Für die Praxis bedeutet das, dass ein SaaS-Unternehmen zwei Rollen gleichzeitig einnehmen kann. Es ist möglicherweise Anbieter eines verbundenen Dienstes im Sinne der Vorschriften zu vernetzten Produkten, wenn seine Software Daten aus IoT-Geräten oder Maschinen der Kunden verarbeitet, und es ist zugleich Anbieter eines Datenverarbeitungsdienstes im Sinne der Vorschriften zum Anbieterwechsel, wenn es seine Anwendung selbst als Cloud- oder SaaS-Leistung vertreibt. Beide Rollen lösen unterschiedliche Pflichten aus, die in denselben Vertragsdokumenten sauber auseinandergehalten werden sollten.

Was ändert sich beim Anbieterwechsel (Cloud-Switching)?

Im Mittelpunkt für SaaS- und Cloud-Anbieter steht der Regelungsteil der Verordnung, der den Wechsel zwischen Datenverarbeitungsdiensten betrifft. Er verpflichtet Anbieter dazu, vertragliche, technische und wirtschaftliche Hindernisse zu beseitigen, die einen Kunden faktisch an einen Anbieter binden. Dazu gehört, dass Verträge über Datenverarbeitungsdienste dem Kunden ein Kündigungsrecht mit angemessener Frist einräumen müssen, dass der Anbieter während einer Übergangsphase bei der Migration zu einem anderen Anbieter oder in eine eigene On-Premises-Umgebung mitwirken muss und dass Daten sowie digitale Vermögenswerte des Kunden in einem strukturierten, gängigen und maschinenlesbaren Format exportierbar sein müssen. Diese Pflichten zur Beseitigung von Wechselhindernissen ergeben sich aus Art. 23 bis 31 der Verordnung (EU) 2023/2854, deren einleitende Vorschrift Art. 23 die „Beseitigung von Hindernissen für einen wirksamen Wechsel“ überschreibt und die vertraglichen, technischen und wirtschaftlichen Anforderungen an einen reibungslosen Anbieterwechsel bündelt.

Wirtschaftlich mindestens ebenso bedeutsam ist die schrittweise Abschaffung von Wechselentgelten, die Art. 29 der Verordnung (EU) 2023/2854 regelt. Danach dürfen Anbieter von Datenverarbeitungsdiensten für den Wechsel zu einem anderen Anbieter im Zeitraum vom 11. Januar 2024 bis zum 12. Januar 2027 nur noch ermäßigte, an den tatsächlich entstehenden Kosten orientierte Entgelte verlangen, und ab dem 12. Januar 2027 dürfen überhaupt keine Wechselentgelte mehr erhoben werden. Für SaaS-Anbieter, deren Preismodell bislang Exit- oder Migrationsgebühren vorsieht, bedeutet das, dass diese Klauseln spätestens ab diesem Stichtag nicht mehr durchsetzbar sein werden und die Vertragsvorlagen entsprechend anzupassen sind. Wer jetzt Verträge neu aufsetzt oder verlängert, sollte diesen Wegfall von vornherein einpreisen, statt später erneut nachverhandeln zu müssen.

Welche Vertragsklauseln werden unwirksam?

Neben dem Anbieterwechsel enthält der Data Act eine zweite, für die Vertragspraxis unmittelbar relevante Neuerung. Er führt in Art. 13 der Verordnung (EU) 2023/2854 eine Missbräuchlichkeitskontrolle für Vertragsklauseln ein, die den Zugang zu Daten oder deren Nutzung betreffen und einem anderen Unternehmen einseitig auferlegt wurden, ohne dass dieses die Klausel tatsächlich hätte aushandeln können. Diese Kontrolle greift, wenn eine solche Klausel grob von einer redlichen Geschäftspraxis abweicht und gegen Treu und Glauben verstößt, etwa weil sie einer Partei einseitig das Recht einräumt, den Vertrag auszulegen, weil sie eine Partei unangemessen daran hindert, selbst erzeugte Daten zu nutzen, oder weil sie eine unverhältnismäßig lange Kündigungsfrist zulasten der schwächeren Partei vorsieht. Die Verordnung richtet sich dabei ausdrücklich an das Verhältnis zwischen Unternehmen und schützt vor allem kleinere Vertragspartner vor Klauseln, die ihnen größere Anbieter ohne echte Verhandlungsmöglichkeit auferlegen.

Für SaaS-Anbieter, deren Standardverträge Klauseln zu Dateneigentum, Nutzungsrechten an aggregierten oder anonymisierten Daten, Audit-Rechten oder Haftungsbegrenzungen im Datenkontext enthalten, lohnt sich ein zweiter Blick. Nicht jede einseitige Klausel ist automatisch unwirksam, entscheidend ist die grobe Abweichung von redlicher Praxis im Einzelfall. Wer aber Enterprise-Kunden mit eigenem Verhandlungsgewicht gegenübersteht, sollte ohnehin damit rechnen, dass solche Klauseln in Vertragsverhandlungen künftig unter Verweis auf den Data Act infrage gestellt werden, auch unabhängig davon, ob der Kunde selbst als kleineres Unternehmen im Sinne der Verordnung gilt.

Wie grenzt sich der Data Act von der DSGVO ab?

Die DSGVO und der Data Act verfolgen unterschiedliche Regelungsziele und schließen sich nicht gegenseitig aus, sondern ergänzen sich. Die DSGVO knüpft ausschließlich an den Personenbezug von Daten an, sie regelt, auf welcher Rechtsgrundlage personenbezogene Daten verarbeitet werden dürfen, welche Pflichten Verantwortliche und Auftragsverarbeiter treffen und welche Rechte betroffene Personen haben. Der Data Act setzt breiter an und erfasst auch nicht personenbezogene Daten, insbesondere solche, die durch die Nutzung vernetzter Produkte und Dienste anfallen, sowie die Bedingungen für den Wechsel zwischen Datenverarbeitungsdiensten unabhängig vom Personenbezug der übertragenen Daten. Wo beide Regelwerke denselben Datensatz betreffen, weil zum Beispiel personenbezogene Nutzungsdaten aus einer vernetzten Software zugleich Gegenstand eines Datenzugangsanspruchs sind, verdrängt der Data Act die DSGVO nicht. Nach Art. 1 Abs. 5 der Verordnung (EU) 2023/2854 lässt sie das Unionsrecht zum Schutz personenbezogener Daten und der Privatsphäre ausdrücklich unberührt, und bei einem Konflikt zwischen dem Data Act und diesem Recht hat das Datenschutzrecht Vorrang.

Für SaaS-Anbieter, die bereits eine belastbare DSGVO-Dokumentation führen, also Verzeichnis von Verarbeitungstätigkeiten, Auftragsverarbeitungsverträge und Löschkonzepte, bedeutet das keine vollständige Neukonzeption. Der Data Act tritt als zusätzliche Prüfungsebene hinzu, vor allem dort, wo es um nicht personenbezogene Daten, um den Anbieterwechsel und um die vertragliche Beziehung zwischen Unternehmen geht. Wer die bestehende DSGVO-Architektur um die Cloud-Switching- und Klauselkontroll-Aspekte des Data Act ergänzt, deckt beide Regelwerke konsistent ab.

Ab wann gilt der Data Act?

Der Data Act ist am 11. Januar 2024 in Kraft getreten, zwanzig Tage nach seiner Veröffentlichung im Amtsblatt der Europäischen Union am 22. Dezember 2023. Die Verordnung gewährt den Marktteilnehmern jedoch eine Übergangszeit bis zum Geltungsbeginn, den Art. 50 der Verordnung (EU) 2023/2854 auf den 12. September 2025 festlegt. Seit diesem Datum sind die Pflichten der Verordnung, einschließlich der Vorgaben zum Anbieterwechsel und zur Missbräuchlichkeitskontrolle, unmittelbar anwendbares Recht in allen Mitgliedstaaten, ohne dass es eines deutschen Ausführungsgesetzes bedürfte.

Für einzelne Pflichten gelten davon abweichende, spätere Stichtage. Wechselentgelte dürfen nach Art. 29 der Verordnung (EU) 2023/2854 erst ab dem 12. Januar 2027 überhaupt nicht mehr erhoben werden, bis dahin sind nur ermäßigte, kostenbasierte Entgelte zulässig. Die Klauselkontrolle nach Art. 13 der Verordnung (EU) 2023/2854 gilt für Verträge, die nach dem 12. September 2025 geschlossen werden, unmittelbar, für Altverträge, die an oder vor diesem Tag geschlossen wurden, greift sie nach der Übergangsregelung erst ab dem 12. September 2027, sofern diese Verträge unbefristet sind oder frühestens zehn Jahre nach dem 11. Januar 2024 enden. Die Nutzerrechte an Daten aus vernetzten Produkten nach Art. 3 bis 7 der Verordnung (EU) 2023/2854 gelten für vernetzte Produkte, die nach dem 12. September 2026 in Verkehr gebracht werden.

Was sollten SaaS-Anbieter jetzt in ihren Verträgen prüfen?

Da der Data Act seit September 2025 anwendbar ist, sollten SaaS- und Cloud-Anbieter ihre Standardverträge und AGB nicht erst bei der nächsten Kundenbeschwerde, sondern planmäßig überarbeiten. In der Praxis bewährt sich eine Prüfung entlang folgender Punkte. Erstens die Exit- und Migrationsklauseln, die regeln müssen, in welchem Format und innerhalb welcher Frist Kundendaten beim Vertragsende exportiert werden und welche Mitwirkung der Anbieter während der Migration schuldet. Zweitens das Preismodell, das etwaige Exit- oder Migrationsgebühren an die vorgegebene Kostenorientierung und die absehbare vollständige Abschaffung anpassen sollte. Drittens die Klauseln zu Datenzugriff, Datennutzung und Haftung in den eigenen AGB, die daraufhin zu prüfen sind, ob sie einseitig auferlegt sind und grob von redlicher Geschäftspraxis abweichen. Viertens, sofern die eigene Software Daten aus vernetzten Produkten der Kunden verarbeitet, die Frage, ob zusätzliche Zugangs- und Weitergaberechte der Nutzer an diesen Daten zu berücksichtigen sind. Fünftens das Zusammenspiel mit der bestehenden DSGVO-Dokumentation, damit Datenexport- und Löschregelungen aus AVV und Data-Act-Klauseln nicht in Widerspruch zueinander geraten.

Wo finden Sie die Vertiefung zu einzelnen Punkten?

Wie ein Datenexport beim Vertragsende technisch und vertraglich sauber geregelt wird, damit er sowohl den Anforderungen des Data Act als auch einer praktikablen Exit-Strategie genügt, vertieft der Beitrag zu Datenexport und Exit bei SaaS-Verträgen. Den Gesamtaufbau eines SaaS-Vertrags, in den Kündigungs-, Exit- und Haftungsklauseln eingebettet sind, ordnet der Leitfaden zu SaaS-Verträgen ein, während der Beitrag zur SaaS-Vertragsarchitektur zeigt, wie sich Haupt-, Auftragsverarbeitungs- und Servicevertrag zueinander verhalten sollten. Für die Abgrenzung und das Zusammenspiel mit dem Datenschutzrecht liefert der Leitfaden zur DSGVO für Software- und SaaS-Unternehmen die Vertiefung. Den Einstieg in die laufende rechtliche Begleitung Ihres Software- oder SaaS-Geschäfts finden Sie über die Rechtsberatung im IT-Recht und die Seite für Software-, SaaS- und KI-Unternehmen.

Häufige Fragen

Betrifft der Data Act nur Hersteller vernetzter Produkte wie Maschinen oder Fahrzeuge?

Nein. Neben den Vorschriften zu vernetzten Produkten enthält die Verordnung einen eigenen Regelungsteil zu Anbietern von Datenverarbeitungsdiensten, der Cloud-, Platform- und Software-as-a-Service-Angebote erfasst, unabhängig davon, ob personenbezogene oder nicht personenbezogene Daten verarbeitet werden.

Muss ein SaaS-Anbieter Wechselentgelte sofort abschaffen?

Nicht sofort. Art. 29 der Verordnung (EU) 2023/2854 lässt bis zum 12. Januar 2027 noch ermäßigte, kostenbasierte Entgelte zu, danach dürfen gar keine Wechselentgelte mehr erhoben werden. Bestehende Preismodelle sollten aber jetzt schon auf diesen Wegfall ausgerichtet werden.

Sind alle einseitigen Vertragsklauseln zur Datennutzung automatisch unwirksam?

Nein. Die Klauselkontrolle greift nur, wenn eine einseitig auferlegte Klausel grob von redlicher Geschäftspraxis abweicht und gegen Treu und Glauben verstößt. Maßgeblich ist die Einzelfallprüfung, nicht ein pauschales Verbot bestimmter Klauseltypen.

Verdrängt der Data Act die DSGVO bei personenbezogenen Daten?

Nein. Der Data Act lässt die Anwendung des Datenschutzrechts unberührt. Wo dieselben Daten personenbezogen sind, gelten DSGVO und Data Act nebeneinander, im Konfliktfall geht das Datenschutzrecht vor.

Ab wann müssen SaaS-Verträge an den Data Act angepasst sein?

Die Verordnung ist seit dem 12. September 2025 unmittelbar anwendbar. Verträge und AGB, die danach neu abgeschlossen oder verlängert werden, sollten die Vorgaben zu Anbieterwechsel und Klauselkontrolle bereits berücksichtigen.

Sie überarbeiten gerade Ihre SaaS-Verträge, AGB oder Exit-Klauseln und wollen prüfen, wo der Data Act konkreten Anpassungsbedarf auslöst? In einem Erstgespräch ordnen wir Ihre bestehenden Vertragsdokumente entlang der Cloud-Switching- und Klauselkontroll-Vorgaben ein. Für die laufende rechtliche Begleitung Ihres Software- oder SaaS-Geschäfts unterstützt Sie die Rechtsberatung im IT-Recht.

→ Erstgespräch anfragen