EU-Data Act: Update für Hosting- und SaaS-AGB erforderlich

Am 12.09.2025 ist der EU-Data Act in allen EU-Mitgliedstaaten wirksam geworden. Dieser verpflichtet u. a. Anbieter von Hosting- und SaaS-Diensten, ihre AGB um bestimmte Regelungen zum Anbieterwechsel zu erweitern. Wir haben unsere AGB für Hosting und SaaS entsprechend aktualisiert und stellen zusätzlich hilfreiche Muster für die Praxis bereit.

IT-Recht Kanzlei bietet aktualisierte AGB für Hosting und SaaS an

Im Rahmen unserer Schutzpakete bieten wir u. a. auch Rechtstexte für Hosting und für SaaS an. Die darin enthaltenen AGB haben wir um Regelungen zum Anbieterwechsel erweitert. Die erweiterten AGB stellen wir ab sofort in unserem Mandantenportal bereit.

Konkret sind folgende Schutzpakete von den Änderungen betroffen:

• Hosting
• Hosting – B2B
• Webshop-Vermietung mit Hosting
• Software-as-a-Service
• Software-as-a-Service – B2B

Neben den AGB-Erweiterungen stellen wir im Rahmen der vorgenannten Schutzpakete ab sofort auch einige Muster für die Praxis in unserem Mandantenportal bereit:

• Wechsel- und Ausstiegsplan
• Wechsel- und Ausstiegsplan (Wechseltool)
• Online-Register für Anbieterwechsel

Die Änderungen sind aufgrund neuer gesetzlicher Regelungen im EU-Data Act erforderlich geworden. Den rechtlichen Hintergrund und die Auswirkungen auf die Praxis erläutern wir in den nachfolgenden FAQ.

Was regelt der Data Act?

Der EU Data Act (Europäisches Datengesetz) schafft einen Rechtsrahmen für die europäische Datenwirtschaft. Sein Hauptziel ist es, den Austausch und die Nutzung von Daten zu verbessern, die insbesondere von vernetzten Produkten (Internet der Dinge, IoT) und digitalen Diensten generiert werden, um Innovation zu fördern und fairen Wettbewerb zu gewährleisten.

Die zentralen Regelungsbereiche sind:

1. Zugang zu Gerätedaten für Nutzer

Nutzer (sowohl Verbraucher als auch Unternehmen) vernetzter Produkte erhalten das Recht, auf die von ihren Geräten generierten Daten zuzugreifen und darüber zu entscheiden, was mit diesen Daten geschieht.

Sie können vom Dateninhaber (oft der Hersteller) verlangen, die Daten unentgeltlich in einem umfassenden, strukturierten und maschinenlesbaren Format bereitzustellen.

2. Weitergabe von Daten an Dritte (B2B)

Nutzer können den Dateninhaber anweisen, diese Daten unter bestimmten Bedingungen auch direkt an Dritte (z. B. Reparaturdienstleister, andere Unternehmen) weiterzugeben.

Der Dateninhaber darf hierfür eine angemessene Vergütung verlangen, aber keine unfairen Vertragsbedingungen auferlegen.

3. Zugang des öffentlichen Sektors zu Daten (B2G)

Öffentliche Stellen dürfen unter bestimmten Bedingungen Daten von Unternehmen anfordern, wenn eine außergewöhnliche Notwendigkeit (z. B. ein öffentlicher Notstand wie eine Pandemie) oder die Erfüllung einer gesetzlichen Aufgabe vorliegt und die Daten nicht anderweitig beschafft werden können.

4. Erleichterung des Anbieterwechsels bei Cloud-Diensten ("Cloud Switching")

Der Data Act soll es Nutzern von Datenverarbeitungsdiensten (z. B. Cloud-Anbietern) erleichtern, zwischen verschiedenen Anbietern zu wechseln, unter anderem durch technische und vertragliche Anforderungen an die Anbieter und die stufenweise Abschaffung von Wechselentgelten.

5. Schutz vor unfairen Vertragsklauseln

Das Gesetz verbietet die Verwendung missbräuchlicher Klauseln, die ein Unternehmen mit deutlich stärkerer Marktposition einem anderen (oft einem KMU) im Rahmen von Verträgen über den Datenzugang auferlegt.

In welchem Verhältnis steht der Data Act zur DSGVO?

Der Data Act ergänzt die DSGVO (Datenschutz-Grundverordnung) in Bereichen, in denen es um nicht-personenbezogene Daten geht, oder stärkt die Rechte in Bezug auf personenbezogene Daten, ohne das Datenschutzniveau der DSGVO abzusenken. Die DSGVO bleibt für die Verarbeitung personenbezogener Daten weiterhin uneingeschränkt anwendbar.

Seit wann gilt der Data Act?

Der Data Act ist am 11.01.2024 in Kraft getreten und wird nach Ablauf einer Übergangsfrist seit dem 12.09.2025 EU-weit verbindlich angewendet.

Inwieweit ist der Data Act für Anbieter von Hosting- und SaaS-Diensten relevant?

Diensteanbieter, insbesondere Anbieter von Datenverarbeitungsdiensten wie Cloud-Anbieter, müssen nach Artikel 25 Data Act spezielle Pflichten in Bezug auf die vertragliche Gestaltung des Anbieterwechsels (Switching) beachten.

Das übergeordnete Ziel ist es, den sogenannten "Vendor Lock-in" zu verhindern, also die dauerhafte Abhängigkeit eines Kunden von einem bestimmten Anbieter. Der Wechsel zu einem anderen Dienstleister soll für den Kunden unkompliziert und risikoarm gestaltet werden.

Welche Pflichten zum Anbieterwechsel regelt der Data Act?

Die wichtigsten Pflichten für Diensteanbieter nach Art. 25 Data Act sind:

1. Vertragliche Regelungen zum Anbieterwechsel

Der Vertrag zwischen dem Dienstanbieter und dem Kunden muss explizite Klauseln enthalten, die das Recht des Kunden auf einen Wechsel zu einem anderen Anbieter oder die Übertragung seiner Daten in eine eigene Infrastruktur festschreiben.

2. Klare und sichere Übertragung

Der Anbieter ist verpflichtet, den Wechsel zu ermöglichen und den Kunden dabei zu unterstützen. Insbesondere muss er für ein hohes Maß an Sicherheit während der Datenübertragung sorgen.

3. Löschung von Daten

Nach einem erfolgreichen Wechsel oder nach der Beendigung des Dienstes muss der Anbieter die exportierbaren Daten und digitalen Vermögenswerte des Kunden löschen. Die Daten müssen aber für eine bestimmte Übergangszeit noch verfügbar bleiben.

4. Keine übermäßige Vergütung

Artikel 25 steht in engem Zusammenhang mit Artikel 29 des Data Act. Ab dem 12.01.2027 ist es Anbietern von Datenverarbeitungsdiensten verboten, ihren Kunden Wechselentgelte zu berechnen. Bis dahin dürfen nur noch ermäßigte Entgelte verlangt werden, die die direkt mit dem Wechsel verbundenen Kosten abdecken.

5. Bereitstellung von Schnittstellen

Um den Wechsel zu erleichtern, müssen Anbieter offene Schnittstellen (APIs) bereitstellen, die einen einfachen Datenexport ermöglichen.

6. Unterstützung der Interoperabilität

Der Anbieter muss sicherstellen, dass die exportierten Daten in einem gängigen und maschinenlesbaren Format vorliegen und mit den Diensten anderer Anbieter vergleichbare Ergebnisse liefern.

Welche vertraglichen Regelungen zum Anbieterwechsel verlangt der Data Act?

Zu den zentralen vertraglichen Regelungen, die der Data Act vorschreibt, gehören:

1. Verpflichtende Vertragsklauseln zum Anbieterwechsel

Der Vertrag muss dem Kunden das Recht einräumen, nach Kündigung oder auf Verlangen den Wechsel zu einem anderen Anbieter oder zur eigenen IKT-Infrastruktur ("On-Premise"-Lösung) zu verlangen.

a. Recht auf Wechsel oder Löschung

Der Vertrag muss Klauseln enthalten, die dem Kunden nach Beendigung einer maximalen Kündigungsfrist (i.d.R. zwei Monate) das Recht geben, den Wechsel zu einem anderen Anbieter zu verlangen oder alle exportierbaren Daten und digitalen Vermögenswerte auf eine eigene Infrastruktur zu portieren. Alternativ kann der Kunde die Löschung seiner Daten verlangen.

b. Übergangszeitraum und Fristen

Die Durchführung des Wechsels (Portierung) muss ohne unnötige Verzögerung und innerhalb eines maximalen Übergangszeitraums erfolgen, der in der Regel 30 Tage ab dem Ende der Kündigungsfrist nicht überschreiten darf (Art. 25 Abs. 2 lit. a). In technisch komplexen Ausnahmefällen ist eine Verlängerung auf bis zu sieben Monate möglich.

Der Kunde hat das Recht, die Übergangsfrist einmalig einseitig zu verlängern (Art. 25 Abs. 5).

c. Unterstützungspflicht des Anbieters

Der Anbieter muss sich verpflichten, dem Kunden und von ihm bevollmächtigten Dritten im Rahmen des Wechselprozesses angemessene Unterstützung zu leisten und die Geschäftskontinuität aufrechtzuerhalten (Art. 25 Abs. 2 lit. a Unterpunkte i und ii).

d. Datenabruf und Löschung

Der Vertrag muss dem Kunden nach Ablauf des Übergangszeitraums eine Abrufperiode von mindestens 30 Kalendertagen zur Verfügung stellen, in der die Daten noch abgerufen werden können.

Es muss eine Klausel enthalten sein, die die vollständige Löschung aller exportierbaren Daten nach Ablauf dieser Abrufperiode garantiert, sofern der Kunde nichts anderes verlangt (Art. 25 Abs. 2 lit. g und h).

e. Transparenz über übertragbare Daten

Der Vertrag muss die Kategorien der Daten und digitalen Vermögenswerte, die im Rahmen des Wechsels übertragen werden können, klar auflisten, einschließlich aller exportierbaren Daten (Art. 25 Abs. 2 lit. e).

2. Verbot und Begrenzung von Wechselentgelten

Der Data Act regelt die Abschaffung von Wechselentgelten ("Exit-Gebühren") schrittweise (Art. 29):

Bis 11. Januar 2027 dürfen nur ermäßigte Entgelte verlangt werden, die die dem Anbieter tatsächlich entstandenen, unmittelbaren Kosten des Wechsels nicht übersteigen.

Ab dem 12. Januar 2027 dürfen grundsätzlich keine Wechselentgelte mehr für die Unterstützung des Wechsels erhoben werden.

3. Verbot unfairer Vertragsklauseln

Der Data Act zielt darauf ab, alle vorkommerziellen, gewerblichen, technischen, vertraglichen und organisatorischen Hindernisse für den Kunden beim Wechsel zu beseitigen. Vertragsklauseln, die unangemessene Kündigungsfristen oder komplizierte Wechselmodalitäten vorsehen, um den Wechsel zu erschweren, sind unzulässig und werden als unangemessen betrachtet (Art. 23 S. 2 und Art. 27).

Welche Konsequenzen ergeben sich hieraus für Cloud-Anbieter?

Cloud-Anbieter, darunter auch Anbieter von Hosting- oder SaaS-Leistungen, müssen ihre Verträge bzw. ihre AGB um entsprechende Regelungen für den Anbieterwechsel erweitern, welche die Vorgaben des Data Act berücksichtigen.

Bietet die EU eine Hilfestellung für entsprechende Vertragsklauseln?

Die Europäische Kommission hat auf Grundlage von Art. 41 Data Act u. a. freiwillige Standardvertragsklauseln (SCCs) für Cloud-Computing-Verträge entwickelt und veröffentlicht. Diese sollen praktische Orientierung bieten und einen harmonisierten Vertragsrahmen im digitalen Binnenmarkt fördern.

Die SCCs bestehen aus modularen Bausteinen, die in Cloud-Computing-Verträge eingebunden werden können. Neben den Kernklauseln enthalten die SCCs auch sogenannte „Info Points“ und Anwendungshinweise mit Praxisbeispielen.

Gibt es sonstige Hilfestellungen für die Praxis?

Der Bitkom e.V. stellt hier einen Praxisleitfaden zur Umsetzung des Data Act bereit. Dieser enthält hilfreiche Umsetzungshinweise für die Praxis.

Welche Rechtsfolgen drohen bei Verstößen gegen den Data Act?

Verstöße gegen den Data Act können hohe Bußgelder nach sich ziehen. Daneben sind auch zivilrechtliche und wettbewerbsrechtliche Rechtsfolgen denkbar. So können Vertragsklauseln, die gegen den Data Act verstoßen unwirksam sein und ggf. auch wettbewerbsrechtlich abgemahnt werden.

Fragen zum Beitrag? Diskutieren Sie hierzu gerne mit uns in der Unternehmergruppe der IT-Recht Kanzlei auf Facebook.