Der EU Data Act für SaaS: Cloud-Wechsel wird zum Kundenrecht

Die meisten SaaS-Gründer begegneten dem Data Act als Gerücht über vernetzte Autos. Dann lasen die Einkaufsabteilungen ihrer Enterprise-Kunden Kapitel VI — und plötzlich enthält jede Vertragsverhandlung im DACH-Markt Fragen zu Wechselunterstützung, Egress-Gebühren und exportierbaren Datenformaten. Die Verordnung hörte auf, das Gesetz der anderen zu sein, an dem Tag, an dem sie zur Einkaufscheckliste wurde.

Der Rahmen: Die Verordnung (EU) 2023/2854 trat im Januar 2024 in Kraft und gilt seit dem 12. September 2025. Ihre bekanntesten Kapitel regeln den Zugang zu Daten vernetzter Produkte. Für Softwareunternehmen ist der operative Teil aber das Cloud-Wechsel-Regime: Anbieter von Datenverarbeitungsdiensten — IaaS, PaaS und ja, SaaS — müssen Hindernisse beseitigen, die Kunden vom Wechsel zu einem anderen Anbieter oder dem Umzug on-premise abhalten.

Was das Wechselregime tatsächlich verlangt

• Vertragsinhalte: Vereinbarungen müssen Wechselrechte ausbuchstabieren — eine Kündigungsfrist für die Einleitung des Wechsels von höchstens zwei Monaten, einen Übergangszeitraum von höchstens 30 Kalendertagen (den der Anbieter nur bei technischer Undurchführbarkeit auf bis zu sieben Monate verlängern darf und den der Kunde einmal verlängern kann) und die Kategorien exportierbarer Daten.
• Egress-Ökonomie: Wechselentgelte sind übergangsweise auf die Kosten des Anbieters gedeckelt und entfallen für Standard-Wechsel ab dem 12. Januar 2027 — Daten-Lösegeld als Retention-Strategie ist weglegislatiert.
• Exportierbare Daten: Die Daten des Kunden und für viele Dienste relevante Metadaten müssen in einem strukturierten, gängigen, maschinenlesbaren Format herauskommen.
• Funktionale Äquivalenz: Für Infrastruktur-Dienste liegt die Latte noch höher; für SaaS heißt die praktische Pflicht offene Schnittstellen und ehrliche Dokumentation dessen, was Portabilität für den Dienst bedeutet.
• Schutz vor Drittstaaten-Zugriff: Anbieter müssen rechtswidrigem behördlichem Zugriff aus Drittländern auf nicht-personenbezogene Daten entgegentreten — ein vertraglicher und architektonischer Punkt, den DACH-Kunden zunehmend abklopfen.

“

Der Data Act verwandelt „Wie kommen wir hier wieder raus?“ von einer unangenehmen Renewal-Frage in ein Recht, das der Kunde bereits besitzt. Anbieter, die es gut beantworten, konvertieren Compliance in einen Vertrauensvorsprung.

Warum das im DACH-Markt härter landet

Deutsche und österreichische Enterprise-Käufer waren Vendor-Lock-in-Skeptiker, lange bevor Brüssel das Thema legislierte; der Data Act gibt ihren Einkaufsabteilungen Gesetzestext für Instinkte, die sie immer hatten. Dazu kommt die Finanzsektor-Schicht: Banken und Versicherer, die SaaS kaufen, müssen Data-Act-Wechselrechte mit DORA-Exit-Strategien zusammenbringen — zwei Rahmenwerke, die sich reimen und die ein gut vorbereiteter Anbieter mit einer Architektur beantworten kann. Ein Anbieter, der mit dokumentiertem Exit-Prozess, Export-Tooling und sauberer Sub-Prozessor-Transparenz auftritt, ist gleichzeitig Data-Act-ready, DORA-freundlich und kulturell fließend.

Es gibt auch eine offensive Lesart für Herausforderer: Wechselrechte senken den Burggraben etablierter Plattformen. Die Kosten, Ihren Wettbewerber zu verlassen, sind soeben per Verordnung gefallen — Markteinsteiger, die wirklich einfache Onboarding-aus-Export-Pipelines bauen, bekommen strukturellen Rückenwind.

Eine Anbieter-Checkliste

1. 01Standardverträge nachziehen: Fristen, Übergangszeitraum, Datenkategorien und — ab Januar 2027 — keine Wechselentgelte für Standardfälle.
2. 02Export als Produktfeature bauen, nicht als Support-Ticket: Formate, Vollständigkeit, Dokumentation.
3. 03Metadaten kartieren: entscheiden, dokumentieren und verteidigen, was über die rohen Kundendaten hinaus exportierbar ist.
4. 04Den Data-Act-Exit-Prozess mit DORA-tauglicher Exit-Unterstützung für regulierte Kunden verzahnen — ein Prozess, zwei Compliance-Antworten.
5. 05Die Drittstaaten-Zugriffs-Antwort vorbereiten: wo Daten liegen, wer Zugriff erzwingen kann und was Sie dagegen täten.

Durchsetzung und die Frage der Zähne

Richtlinien-Skepsis — „schöner Text, wer setzt ihn durch?“ — unterschätzt die Kanäle dieser Verordnung. Formale Durchsetzung läuft über je Mitgliedstaat benannte Behörden mit angehängten Sanktionsregimen; die schnelleren Zähne sind aber privat: Kunden können sich in der Verhandlung unmittelbar auf die zwingenden Wechselvorschriften berufen, und ob eine Klausel, die ihnen widerspricht, vor Gericht Bestand hätte, ist nach nationalem Vertragsrecht zumindest zweifelhaft — was jeder Kunden-Rechtsabteilung zum Renewal einen Hebel reicht. Praktisch wird der Data Act so durchgesetzt werden wie einst die Auftragsverarbeitungs-Klauseln der DSGVO — über tausende Beschaffungsverhandlungen, in denen das Kunden-Template still zum Marktstandard wird. Anbieter können diesen Trend Klausel für Klausel bekämpfen — oder als Erste konforme Bedingungen liefern und die Gewissheit verkaufen.

Eine Planungsnuance für Anbieter regulierter Branchen: Die Wechselregeln des Data Act und die Exit-Erwartungen von DORA überlappen, verschmelzen aber nicht — DORA spricht zu den Pflichten des Finanzinstituts, der Data Act zu denen des Anbieters. Die anbieterseitige Fähigkeit einmal zu bauen, mit Dokumentation, die beide Publika verstehen, ist der effiziente Weg durch das Paar. Im Blick behalten: Mit dem Digital Omnibus (COM(2025) 837) hat die Kommission im November 2025 Erleichterungen bei den Wechselregeln vorgeschlagen — vor allem für kleinere Anbieter und für weitgehend kundenspezifisch angepasste Dienste mit Verträgen aus der Zeit bis zum 12. September 2025. Beschlossen ist das noch nicht.

Fazit

Der Data Act schreibt die SaaS-Wettbewerbsdynamik in Europa leise um: Retention muss nun durch Produkt verdient werden, nicht durch Exit-Reibung. Für Anbieter mit DACH-Ambitionen ist das weniger Last als Vorsprechen — die Käufer hier haben schon immer Anbieter belohnt, die das Gehen leicht und das Bleiben lohnend machen. Aegiron Capital Group unterstützt SaaS-Firmen dabei, Verträge und Architektur DACH-beschaffungstauglich zu machen; die Rechtsberatung übernimmt die Kanzlei, die Sie beauftragen.