Ein Cloud-Vertrag verlängert sich automatisch. Der Datenexport wurde noch nie getestet. Und welche Informationen nach einer Kündigung tatsächlich mitgenommen werden können, weiß vermutlich der Anbieter. Für viele Unternehmen ist das keine Ausnahmesituation, sondern ein recht gut eingespielter Zustand.
Der Data Act verändert die rechtlichen Rahmenbedingungen solcher Abhängigkeiten. Die europäische Datenverordnung gilt grundsätzlich seit dem 12. September 2025. Im Jahr 2027 folgen weitere wichtige Schritte: Bestimmte Wechselentgelte entfallen, und die Kontrolle missbräuchlicher Datenvertragsklauseln wird auf bestimmte Altverträge ausgeweitet.
Für Geschäftsführung, IT, Einkauf und Rechtsabteilung ist deshalb jetzt ein guter Zeitpunkt, Verträge und technische Ausstiegsmöglichkeiten gemeinsam zu prüfen.
Rechtsstand: 6. Oktober 2026.
Der Data Act beginnt nicht erst 2027. Viele Anforderungen an Datenzugang und Cloud-Wechsel sind bereits anwendbar. Wer zunächst die Grundlagen nachlesen möchte, findet diese in unserem Beitrag zum EU Data Act: Datenzugang und Pflichten im Überblick.
Seit September 2026 ist außerdem eine zusätzliche Gestaltungspflicht relevant: Für erfasste vernetzte Produkte und verbundene Dienste, die nach dem 12. September 2026 in Verkehr gebracht werden, muss der Zugang zu Produkt- und Dienstdaten bereits durch die Konzeption ermöglicht werden. Direkter Zugang ist dabei vorgesehen, soweit er relevant und technisch durchführbar ist.
Für die weitere Planung sind insbesondere zwei Termine wichtig:
Die Termine betreffen unterschiedliche Anforderungen. Sie sollten deshalb nicht als einheitliche „Data-Act-Frist“ behandelt werden. Grundlage sind insbesondere Artikel 29 und die Übergangsregelungen in Artikel 50 der Verordnung (EU) 2023/2854.
Ab dem 12. Januar 2027 dürfen Anbieter für die vom Data Act vorgeschriebenen Handlungen beim Wechsel grundsätzlich keine Wechselentgelte mehr verlangen. Dazu gehören auch die entsprechenden Datenextraktionsentgelte, häufig als „Egress Fees“ bezeichnet.
Bis dahin dürfen reduzierte Wechselentgelte die Kosten nicht übersteigen, die dem Anbieter unmittelbar durch den betreffenden Wechsel entstehen.
Das bedeutet allerdings nicht, dass ein komplettes Migrationsprojekt kostenlos wird. Die Verordnung unterscheidet Wechselentgelte ausdrücklich von normalen Dienstleistungsentgelten und Sanktionen bei vorzeitiger Kündigung. Auch eigene Projektkosten oder Leistungen eines separat beauftragten IT-Dienstleisters verschwinden nicht.
Ein typisches Beispiel: Ein mittelständisches Unternehmen möchte seine Cloud-Infrastruktur wechseln. Die Datenübertragung durch den bisherigen Anbieter fällt unter die gesetzlichen Wechselvorgaben. Die Anpassung eigener Anwendungen, die Einrichtung der neuen Umgebung und Mitarbeiterschulungen verursachen dennoch Aufwand.
Für bestimmte individuell entwickelte, nicht im größeren kommerziellen Maßstab angebotene Datenverarbeitungsdienste bestehen zudem gesetzliche Ausnahmen. Unternehmen sollten daher zuerst prüfen, welche Regeln auf den konkreten Dienst anwendbar sind. Entscheidend sind die tatsächlichen Eigenschaften des Dienstes, nicht allein seine Produktbezeichnung. Die Abgrenzungen ergeben sich aus Artikel 2 Nummer 36 sowie den Artikeln 29 und 31 des Data Act.
Der Wegfall bestimmter Entgelte löst nicht jedes technische Problem. Daten können exportierbar sein und im Zielsystem trotzdem wenig Freude bereiten. Unterschiedliche Formate, fehlende Metadaten oder proprietäre Funktionen bleiben praktische Herausforderungen.
Der Data Act verlangt deshalb bereits heute vertragliche Regelungen zum Wechsel. Dazu gehören unter anderem die übertragbaren Daten und digitalen Vermögenswerte, Unterstützung beim Wechsel, die Aufrechterhaltung des Geschäftsbetriebs sowie Datenabruf und Löschung.
Für den eigentlichen Wechsel ist grundsätzlich ein Übergangszeitraum von höchstens 30 Kalendertagen nach Ablauf der Kündigungsfrist vorgesehen. Diese darf für die Einleitung des Wechsels maximal zwei Monate betragen. Bei technischer Undurchführbarkeit sieht die Verordnung begründete Verlängerungsmöglichkeiten vor. „Jeder Cloud-Umzug muss in 30 Tagen abgeschlossen sein“ wäre daher zu pauschal. Maßgeblich ist Artikel 25 des Data Act.
In der Praxis sollte ein Unternehmen vier Fragen beantworten können:
Ein begrenzter Testexport ist häufig aufschlussreicher als die allgemeine Zusage, ein Wechsel sei „selbstverständlich möglich“. Selbstverständlich ist zunächst nur, dass dieser Satz schnell geschrieben ist.
Der Data Act schützt Unternehmen vor bestimmten missbräuchlichen Vertragsklauseln, die ihnen von einem anderen Unternehmen einseitig auferlegt werden. Betroffen sind Regelungen über Datenzugang und Datennutzung sowie über Haftung und Rechtsbehelfe bei datenbezogenen Pflichten.
Einseitig auferlegt bedeutet dabei nicht lediglich, dass eine Partei den Vertragsentwurf geliefert hat. Entscheidend ist, dass die andere Partei den Inhalt trotz eines Verhandlungsversuchs nicht beeinflussen konnte.
Problematisch können beispielsweise Klauseln sein, die einer Vertragspartei das ausschließliche Recht geben, die Vertragsgemäßheit gelieferter Daten zu bestimmen. Auch die Verhinderung einer angemessenen Nutzung eigener bereitgestellter oder erzeugter Daten kann unter die Missbrauchskontrolle fallen.
Für Verträge, die nach dem 12. September 2025 geschlossen wurden, gelten diese Regeln bereits. Ab dem 12. September 2027 werden zusätzlich Verträge erfasst, die am oder vor dem 12. September 2025 geschlossen wurden, sofern sie entweder unbefristet sind oder ihre Laufzeit frühestens am 11. Januar 2034 endet.
Nicht jeder Altvertrag und nicht jede nachteilige Klausel wird dadurch automatisch unwirksam. Die Voraussetzungen müssen im Einzelfall geprüft werden. Die Kontrolle nach Artikel 13 betrifft zudem weder die Festlegung des Hauptgegenstands noch die Angemessenheit des Preises für die als Gegenleistung weitergegebenen Daten. Die Details stehen in Artikel 13 und Artikel 50 der Verordnung.
Parallel zur Umsetzung wird über Änderungen des europäischen Digitalrechts beraten. Der Digital Omnibus enthält auch Vorschläge zum Data Act.
Zum Rechtsstand dieses Beitrags befindet sich das betreffende Verfahren jedoch weiterhin im Gesetzgebungsprozess. Das Verfahrensregister des Europäischen Parlaments weist eine noch ausstehende Ausschussentscheidung aus.
Unternehmen sollten diese Entwicklung beobachten, ihre Umsetzung aber nicht auf mögliche zukünftige Erleichterungen stützen. Ein Vorschlag ändert weder bestehende Verträge noch bereits geltende Pflichten.
Der sinnvollste Einstieg ist eine priorisierte Bestandsaufnahme. Welche Cloud-Dienste sind geschäftskritisch? Welche Datenvereinbarungen laufen langfristig? Wo bestehen technische oder vertragliche Abhängigkeiten?
Darauf sollte eine gemeinsame Prüfung durch IT, Einkauf und Rechtsabteilung folgen. Der Vertrag beschreibt die Ausstiegsmöglichkeiten; ein technischer Test zeigt, ob sie praktisch funktionieren. Beide Ergebnisse gehören zusammen.
Als Orientierung stellt die EU-Kommission unverbindliche Vertragsmuster für Datennutzung und Cloud-Verträge im Rahmen einer Entwurfsempfehlung bereit. Sie können die Prüfung unterstützen, ersetzen aber keine Anpassung an den konkreten Dienst und das jeweilige Geschäftsmodell.
Datenschutz und Informationssicherheit bleiben Teil dieser Arbeit. Ein Export darf nicht unkontrolliert personenbezogene Daten, Zugangsinformationen oder vertrauliche Geschäftsunterlagen verteilen. Der Data Act ist keine pauschale Freigabe für jede Datenweitergabe.
In Deutschland ist die Bundesnetzagentur seit dem 30. Mai 2026 die zentrale Anlaufstelle für den Data Act und überwacht dessen Umsetzung.
K11 Consulting unterstützt Unternehmen dabei, Datenschutz, Informationssicherheit und organisatorische Umsetzung miteinander zu verbinden. Für die rechtliche Vertragsprüfung lässt sich diese Arbeit mit der K11 Rechtsanwaltsgesellschaft verzahnen.
Der Data Act stärkt die Möglichkeiten von Unternehmen, Daten zu nutzen und Anbieterabhängigkeiten zu reduzieren. Entscheidend ist aber nicht allein, ob ein Recht im Vertrag steht. Es muss sich auch technisch und organisatorisch ausüben lassen.
Wer Cloud-Verträge, Datenvereinbarungen und Exit-Prozesse jetzt prüft, kann die Änderungen 2027 gezielt berücksichtigen. Gute Vorbereitung beginnt deshalb nicht mit der Kündigung, sondern mit der Frage, was danach tatsächlich funktioniert.