Art. 25 und 29 Data Act: welche Klauseln seit dem 12. September 2025 in jeden SaaS-Vertrag gehören und warum Wechselentgelte am 12. Januar 2027 auf null fallen

Wichtige Erkenntnisse

• Erfasst ist jeder „Datenverarbeitungsdienst“ im Sinne des Art. 2 Nr. 8: „eine digitale Dienstleistung, die einem Kunden bereitgestellt wird und einen flächendeckenden und auf Abruf verfügbaren Netzzugang zu einem gemeinsam genutzten Pool konfigurierbarer, skalierbarer und elastischer Rechenressourcen … ermöglicht“. Das ist die Definition von Cloud-Diensten einschließlich Software as a Service.
• Kapitel VI, zu dem Art. 23 bis 31 gehören, kennt keine Ausnahme für Kleinst-, Klein- oder mittlere Unternehmen. Die Größenausnahme des Art. 7 Abs. 1 gilt nur für die Pflichten des Kapitels II zu vernetzten Produkten.
• Art. 25 Abs. 2 Buchstabe a: Übertragung „unverzüglich und in keinem Fall zu einem späteren Zeitpunkt als nach Ablauf der verbindlichen Übergangsfrist von höchstens 30 Kalendertagen ab Ablauf der in Buchstabe d genannten maximalen Kündigungsfrist“.
• Art. 25 Abs. 2 Buchstabe d: „eine maximale Kündigungsfrist für die Einleitung des Wechsels, die zwei Monate nicht überschreiten darf“. Buchstabe g: „eine Mindestfrist für den Datenabruf von mindestens 30 Kalendertagen“ nach Ende der Übergangsfrist.
• Art. 29 Abs. 2 und 3: Bis zum 12. Januar 2027 sind nur „ermäßigte Wechselentgelte“ zulässig, die „die Kosten, die dem Anbieter von Datenverarbeitungsdiensten im unmittelbaren Zusammenhang mit dem betreffenden Wechsel entstehen, nicht übersteigen“ dürfen. Danach null.
• Art. 31 Abs. 1 nimmt Dienste aus, „bei denen die meisten zentralen Funktionen auf die spezifischen Bedürfnisse eines einzelnen Kunden zugeschnitten wurden“, und Abs. 2 Test- und Bewertungsversionen „für einen begrenzten Zeitraum“; beides ist dem Kunden nach Abs. 3 vor Vertragsschluss mitzuteilen.
• Art. 40 überlässt die Sanktionen den Mitgliedstaaten; die Verordnung selbst nennt keinen Bußgeldrahmen. Dieser Beitrag nennt deshalb keinen.

Eine Verordnung ohne Größenschwelle für Cloud-Anbieter

Die Verordnung (EU) 2023/2854 über harmonisierte Vorschriften für einen fairen Datenzugang und eine faire Datennutzung, der Data Act, ist am 11. Januar 2024 in Kraft getreten und gilt nach Art. 50 Unterabs. 2 „ab dem 12. September 2025“. Ihr Kapitel VI, „Wechsel zwischen Datenverarbeitungsdiensten“, richtet sich an jeden Anbieter eines Datenverarbeitungsdienstes, unabhängig von seiner Größe, seinem Sitz in der Union und der Frage, ob seine Kunden Verbraucher oder Unternehmen sind. Für einen Anbieter von Software as a Service mit dreißig Beschäftigten gilt es genauso wie für einen Hyperscaler.

Dieser Beitrag gibt Art. 2 Nr. 8, Art. 23, Art. 25, Art. 29, Art. 31 und Art. 50 der Verordnung in der deutschen Sprachfassung des Amtsblatts (ABl. L, 2023/2854, 22.12.2023) wieder, wie sie das Amt für Veröffentlichungen der Europäischen Union bereitstellt.

Art. 2 Nr. 8: was ein Datenverarbeitungsdienst ist

Art. 2 Nr. 8 definiert den Datenverarbeitungsdienst als „eine digitale Dienstleistung, die einem Kunden bereitgestellt wird und einen flächendeckenden und auf Abruf verfügbaren Netzzugang zu einem gemeinsam genutzten Pool konfigurierbarer, skalierbarer und elastischer Rechenressourcen zentralisierter, verteilter oder hochgradig verteilter Art ermöglicht, die mit minimalem Verwaltungsaufwand oder minimaler Interaktion des Diensteanbieters rasch bereitgestellt und freigegeben werden können“. Die Definition folgt der gängigen Beschreibung von Cloud Computing und erfasst Infrastruktur, Plattform und Software als Dienst gleichermaßen. Wer eine Anwendung als Abonnement über das Netz bereitstellt und die Daten seiner Kunden dort hält, bietet einen Datenverarbeitungsdienst an.

Art. 7 Abs. 1: warum die KMU-Ausnahme hier nicht hilft

Der Data Act enthält eine Größenausnahme, und sie wird regelmäßig an der falschen Stelle zitiert. Art. 7 Abs. 1 nimmt Daten aus, „die bei der Nutzung von vernetzten Produkten generiert werden, die von einem Kleinstunternehmen oder einem Kleinunternehmen hergestellt oder konzipiert werden“. Der Satz beginnt mit „Die Pflichten nach diesem Kapitel“, und dieses Kapitel ist Kapitel II, die Datenweitergabe bei vernetzten Produkten. Kapitel VI, in dem die Art. 23 bis 31 stehen, kennt keine entsprechende Vorschrift. Die einzigen Ausnahmen von den Wechselpflichten stehen in Art. 31, und sie knüpfen an die Art des Dienstes an, nicht an die Größe des Anbieters.

Art. 23: die Pflicht, Hindernisse zu beseitigen

Art. 23 Satz 1 verpflichtet Anbieter von Datenverarbeitungsdiensten, „die in den Artikeln 25, 26, 27, 29 und 30 vorgesehenen Maßnahmen“ zu treffen, „um es Kunden zu ermöglichen, zu einem Datenverarbeitungsdienst, der die gleiche Dienstart abdeckt, die von einem anderen Anbieter von Datenverarbeitungsdiensten erbracht wird, oder zu IKT-Infrastruktur in eigenen Räumlichkeiten zu wechseln oder gegebenenfalls mehrere Anbieter von Datenverarbeitungsdiensten gleichzeitig in Anspruch zu nehmen“. Satz 2 zählt auf, was der Anbieter dem Kunden insbesondere nicht erschweren darf: den Vertrag nach der maximalen Kündigungsfrist und erfolgreichem Wechsel zu kündigen, neue Verträge mit einem anderen Anbieter zu schließen und „exportierbare Daten des Kunden und digitale Vermögenswerte zu einem anderen Anbieter von Datenverarbeitungsdiensten oder zu einer IKT-Infrastruktur in eigenen Räumlichkeiten zu übertragen, auch nach Inanspruchnahme eines unentgeltlichen Angebots“.

Art. 25: der Mindestinhalt des Vertrags

Art. 25 Abs. 1 verlangt, dass Rechte und Pflichten beim Wechsel „eindeutig in einem schriftlichen Vertrag festgelegt“ werden, und dass der Anbieter dem Kunden „diesen Vertrag vor der Vertragsunterzeichnung so bereit[stellt], dass er den Vertrag speichern und reproduzieren kann“. Abs. 2 legt fest, was der Vertrag „mindestens“ enthält. Die für die Vertragsgestaltung entscheidenden Buchstaben lauten:

• Buchstabe a: „Klauseln, die es dem Kunden ermöglichen, auf Verlangen zu einem Datenverarbeitungsdienst zu wechseln, der von einem anderen Anbieter von Datenverarbeitungsdiensten angeboten wird, oder alle exportierbaren Daten und digitalen Vermögenswerte unverzüglich und in keinem Fall zu einem späteren Zeitpunkt als nach Ablauf der verbindlichen Übergangsfrist von höchstens 30 Kalendertagen ab Ablauf der in Buchstabe d genannten maximalen Kündigungsfrist auf eine IKT-Infrastruktur in eigenen Räumlichkeiten zu übertragen“, wobei der Anbieter in dieser Frist „angemessene Unterstützung leistet“, „die Kontinuität des Geschäftsbetriebs“ wahrt und „für ein hohes Maß an Sicherheit sorgt“.
• Buchstabe b: „die Verpflichtung des Anbieters von Datenverarbeitungsdiensten, die für die vertraglich vereinbarten Dienste relevante Ausstiegsstrategie des Kunden zu unterstützen, unter anderem durch Bereitstellung aller einschlägigen Informationen“.
• Buchstabe c: eine Klausel, wonach der Vertrag als beendet gilt, „nachdem der Wechsel erfolgreich vollzogen ist“ oder nach Ablauf der maximalen Kündigungsfrist, „wenn der Kunde nicht wechseln, sondern seine exportierbaren Daten und digitalen Vermögenswerte nach Beendigung des Dienstes löschen möchte“.
• Buchstabe d: „eine maximale Kündigungsfrist für die Einleitung des Wechsels, die zwei Monate nicht überschreiten darf“.
• Buchstabe e: „eine erschöpfende Auflistung aller Kategorien von Daten und digitalen Vermögenswerten, die während des Wechselvollzugs übertragen werden können, einschließlich mindestens aller exportierbaren Daten“.
• Buchstabe f: eine erschöpfende Liste der Datenkategorien, die „für die interne Funktionsweise des Datenverarbeitungsdienstes des Anbieters spezifisch sind“ und wegen der Gefahr einer Verletzung von Geschäftsgeheimnissen ausgenommen werden, „vorausgesetzt solche Ausnahmen behindern oder verzögern den Wechsel nach Artikel 23 Buchstabe c nicht“.
• Buchstabe g: „eine Mindestfrist für den Datenabruf von mindestens 30 Kalendertagen“, die nach Ablauf der Übergangsfrist beginnt.
• Buchstabe h: eine Klausel, die „garantiert, dass alle exportierbaren Daten und digitalen Vermögenswerte, die direkt vom Kunden generiert werden oder sich direkt auf den Kunden beziehen, nach Ablauf des unter Buchstabe g genannten Abrufzeitraums … vollständig gelöscht werden, sofern der Wechsel erfolgreich vollzogen ist“.
• Buchstabe i: „Wechselentgelte, die von Anbietern von Datenverarbeitungsdiensten gemäß Artikel 29 erhoben werden können“.

Abs. 3 verlangt zusätzlich Klauseln, wonach der Kunde den Anbieter nach Ablauf der maximalen Kündigungsfrist über seine Entscheidung unterrichten kann, zu einem anderen Anbieter zu wechseln, zu einer eigenen IKT-Infrastruktur zu wechseln oder seine exportierbaren Daten und digitalen Vermögenswerte zu löschen. Abs. 4 lässt eine längere Übergangsfrist zu, wenn die verbindliche Höchstfrist „technisch nicht durchführbar“ ist; die Verlängerung ist zu begründen und darf sieben Monate nicht überschreiten.

Aus den drei Fristen ergibt sich ein Zeitstrahl, der in jedem Vertrag stehen muss: höchstens zwei Monate Kündigungsfrist für die Einleitung des Wechsels, danach höchstens 30 Kalendertage Übergangsfrist für die Übertragung, danach mindestens 30 Kalendertage Abrufzeitraum, danach Löschung. Ein Vertrag, der eine Kündigungsfrist von drei Monaten oder eine Übertragung „nach Absprache“ vorsieht, enthält nicht den Mindestinhalt des Art. 25 Abs. 2.

Art. 29: Wechselentgelte, ermäßigt bis zum 12. Januar 2027, danach null

Art. 29 Abs. 1: „Ab dem 12. Januar 2027 dürfen Anbieter von Datenverarbeitungsdiensten für den Vollzug des Anbieterwechsels keine Wechselentgelte mehr erheben.“ Abs. 2: „Vom 11. Januar 2024 bis zum 12. Januar 2027 dürfen Anbieter von Datenverarbeitungsdiensten bei den Kunden für den Vollzug des Wechsels ermäßigte Wechselentgelte erheben.“ Abs. 3: „Die in Absatz 2 genannten ermäßigten Wechselentgelte dürfen die Kosten, die dem Anbieter von Datenverarbeitungsdiensten im unmittelbaren Zusammenhang mit dem betreffenden Wechsel entstehen, nicht übersteigen.“

Schon heute ist also kein Wechselentgelt zulässig, das über die unmittelbaren Kosten des Wechsels hinausgeht, und ab dem 12. Januar 2027 ist keines mehr zulässig. Abs. 4 verlangt darüber hinaus, dass der Anbieter den potenziellen Kunden „vor dem Abschluss eines Vertrags … eindeutig über die möglicherweise erhobenen Standarddienstentgelte und die bei vorzeitiger Kündigung möglicherweise auferlegten Sanktionen sowie über die ermäßigten Wechselentgelte“ unterrichtet, und Abs. 6, dass diese Informationen „auf einem gesonderten Abschnitt ihrer Website oder auf eine andere leicht zugängliche Weise“ veröffentlicht werden. Preislisten und Vertragsvorlagen, die ein Exit-Entgelt nach dem 12. Januar 2027 vorsehen, sind zu diesem Datum anzupassen.

Art. 31: was ausgenommen ist, und was dem Kunden zu sagen ist

Art. 31 Abs. 1 nimmt bestimmte Pflichten für Dienste aus, „bei denen die meisten zentralen Funktionen auf die spezifischen Bedürfnisse eines einzelnen Kunden zugeschnitten wurden, oder wenn alle Komponenten für die Zwecke eines einzelnen Kunden entwickelt wurden und wenn diese Datenverarbeitungsdienste nicht im größeren kommerziellen Maßstab über den Dienstleistungskatalog der Anbieter von Datenverarbeitungsdiensten angeboten werden“. Ausgenommen sind dort aber nur „die in Artikel 23 Buchstabe d, Artikel 29 und Artikel 30 Absätze 1 und 3 festgelegten Verpflichtungen“, also Funktionsäquivalenz, Wechselentgelte und Teile der technischen Aspekte. Art. 25 gilt auch für maßgeschneiderte Dienste.

Abs. 2 nimmt Dienste vollständig aus, „die nicht als Vollversion, sondern zu Test- und Bewertungszwecken und für einen begrenzten Zeitraum bereitgestellt werden“. Abs. 3 verlangt in beiden Fällen, dass der Anbieter den potenziellen Kunden „vor dem Abschluss eines Vertrags … über die Verpflichtungen aus diesem Kapitel, die nicht gelten“, unterrichtet. Wer sich auf Art. 31 beruft, muss das also vor Vertragsschluss sagen.

Was ein SaaS-Anbieter jetzt vorhalten muss

Aus dem Wortlaut ergeben sich vier Positionen. Erstens ein Vertragsmuster, das die Buchstaben a bis i des Art. 25 Abs. 2 und die Klauseln des Abs. 3 enthält und dem Kunden vor Unterzeichnung speicherbar bereitgestellt wird. Zweitens eine Preisregelung, die Wechselentgelte bis zum 12. Januar 2027 auf die unmittelbaren Kosten begrenzt und danach entfallen lässt, nebst der Veröffentlichung nach Art. 29 Abs. 6. Drittens die erschöpfenden Listen nach Buchstabe e und f: welche Daten exportierbar sind und welche wegen Geschäftsgeheimnissen ausgenommen werden. Viertens, falls Art. 31 in Anspruch genommen wird, der Hinweis vor Vertragsschluss nach Abs. 3.

In CIVAC lässt sich der Abgleich der Vertragsvorlagen mit Art. 25 Abs. 2 als Aufgabe mit Nachweis führen, der 12. Januar 2027 als Termin für die Preisregelung setzen und die Datenkategorienlisten als Dokumente mit Versionsstand ablegen. Für die Pflicht selbst ändert das nichts. Ob ein Vertrag den Mindestinhalt enthält, entscheidet sein Text; die Plattform hält fest, wann er geprüft und angepasst wurde.

Wo dieser Beitrag endet

CIVAC ist keine Rechtsanwaltskanzlei und erbringt keine Rechtsdienstleistung im Sinne des Rechtsdienstleistungsgesetzes. Dieser Beitrag gibt Art. 2 Nr. 8, Art. 7 Abs. 1, Art. 23, Art. 25, Art. 29, Art. 31 und Art. 50 der Verordnung (EU) 2023/2854 im Wortlaut wieder. Ob ein bestimmter Dienst ein Datenverarbeitungsdienst im Sinne des Art. 2 Nr. 8 ist, ob er unter Art. 31 fällt, welche Datenkategorien als exportierbar zu listen sind und ob eine konkrete Klausel den Anforderungen des Art. 25 genügt, entscheidet nicht dieser Text, sondern der Anbieter gegenüber seinen Kunden und der nach Art. 37 zuständigen Behörde.

Häufige Fragen

Gilt Kapitel VI des Data Act auch für einen SaaS-Anbieter mit 25 Beschäftigten?

Ja. Kapitel VI der Verordnung (EU) 2023/2854 enthält keine Größenausnahme. Die KMU-Ausnahme des Art. 7 Abs. 1 betrifft ausdrücklich „die Pflichten nach diesem Kapitel“, also Kapitel II zu vernetzten Produkten. Für Datenverarbeitungsdienste gelten nur die dienstbezogenen Ausnahmen des Art. 31.

Welche Kündigungsfrist darf ein SaaS-Vertrag höchstens vorsehen?

Für die Einleitung des Wechsels nach Art. 25 Abs. 2 Buchstabe d „eine maximale Kündigungsfrist …, die zwei Monate nicht überschreiten darf“. Daran schließt nach Buchstabe a eine Übergangsfrist von höchstens 30 Kalendertagen und nach Buchstabe g ein Abrufzeitraum von mindestens 30 Kalendertagen an.

Dürfen bis zum 12. Januar 2027 noch Exit-Gebühren verlangt werden?

Nur „ermäßigte Wechselentgelte“ nach Art. 29 Abs. 2, die nach Abs. 3 „die Kosten, die dem Anbieter … im unmittelbaren Zusammenhang mit dem betreffenden Wechsel entstehen, nicht übersteigen“ dürfen. Ab dem 12. Januar 2027 gilt Abs. 1: keine Wechselentgelte mehr.

Gilt der Data Act für Verträge, die vor dem 12. September 2025 geschlossen wurden?

Art. 50 unterscheidet nach Kapiteln. Für Kapitel IV, die missbräuchlichen Vertragsklauseln, gilt: „Kapitel IV gilt für Verträge, die nach dem 12. September 2025 geschlossen wurden. Kapitel IV gilt ab dem 12. September 2027 für Verträge, die am oder vor dem 12. September 2025 geschlossen wurden, sofern a) sie unbefristet sind oder b) ihre Geltungsdauer frühestens 10 Jahre nach dem 11. Januar 2024 endet.“ Für Kapitel VI nennt Art. 50 keine Übergangsregel; es gilt mit dem allgemeinen Geltungsbeginn am 12. September 2025. Wie ein bestehender Vertrag anzupassen ist, ist eine Frage des Einzelfalls.

Welches Bußgeld droht bei Verstößen?

Die Verordnung nennt keines. Art. 40 Abs. 1 verpflichtet die Mitgliedstaaten, „Vorschriften über Sanktionen“ zu erlassen, die „wirksam, verhältnismäßig und abschreckend“ sind. Welche Sanktionen in Deutschland gelten, ergibt sich aus dem nationalen Durchführungsrecht, das dieser Beitrag nicht wiedergibt.