Cloud-Wechsel nach dem EU Data Act: Vertragsfristen, Egress-Gebühren bis zum 12. Januar 2027 und ein Exit-Plan

Data Act und Cloud-Wechsel: die Regeln und ihre Stichtage

Die EU-Datenverordnung (Data Act), Verordnung (EU) 2023/2854, verpflichtet Anbieter von Cloud- und anderen Datenverarbeitungsdiensten, ihren Kunden auf der Grundlage eines schriftlichen Vertrags den Wechsel zu einem anderen Anbieter oder zu einer IKT-Infrastruktur in eigenen Räumlichkeiten zu ermöglichen. Seit dem 12. September 2025 muss der Vertrag eine Kündigungsfrist von höchstens zwei Monaten vorsehen, einen Übergangszeitraum von höchstens 30 Kalendertagen für den Umzug und mindestens 30 Kalendertage für den Abruf der Daten, gefolgt von der vollständigen Löschung. Bis zum 12. Januar 2027 dürfen Anbieter ermäßigte Wechselentgelte erheben, Datenextraktionsentgelte (Egress-Gebühren) eingeschlossen, begrenzt auf ihre Kosten im unmittelbaren Zusammenhang mit dem Wechsel; ab dem 12. Januar 2027 dürfen sie keine mehr erheben.

Stand 6. Oktober 2026 gelten diese Regeln in der 2023 veröffentlichten Fassung. Der Digital-Omnibus-Vorschlag vom 19. November 2025 würde Teile von Kapitel VI ändern, doch das Legislative Observatory des Europäischen Parlaments führt ihn mit dem Status „Awaiting committee decision“, und eine angenommene Änderung haben wir nicht gefunden.

Verordnung (EU) 2023/2854, Text von 2023, Artikel 25 bis 32 und 50 (Geltungsbeginn 12. September 2025); der Beginn am 11. Januar 2024 folgt dem Wortlaut von Artikel 29 Absatz 2.

Welche Dienste, Daten und Verträge die Wechselregeln erfassen

Ein „Datenverarbeitungsdienst“ ist nach Artikel 2 Nummer 8 eine digitale Dienstleistung, die „einen flächendeckenden und auf Abruf verfügbaren Netzzugang zu einem gemeinsam genutzten Pool konfigurierbarer, skalierbarer und elastischer Rechenressourcen“ ermöglicht, und Erwägungsgrund 81 ordnet solche Dienste den Bereitstellungsmodellen IaaS, PaaS und SaaS zu. Der „Wechsel“ umfasst nach Artikel 2 Nummer 34 auch den Umzug auf eine „IKT-Infrastruktur in eigenen Räumlichkeiten“. Artikel 23 verpflichtet die Anbieter, Hindernisse für den Wechsel, für die Übertragung von Daten und digitalen Vermögenswerten und für die Funktionsäquivalenz zu beseitigen.

Übertragen werden exportierbare Daten, also die Eingabe- und Ausgabedaten einschließlich Metadaten, die durch Ihre Nutzung des Dienstes generiert werden, mit Ausnahme von geistigem Eigentum und Geschäftsgeheimnissen des Anbieters oder Dritter (Artikel 2 Nummer 38), sowie digitale Vermögenswerte wie Anwendungen, für die Sie ein Nutzungsrecht haben, „unabhängig von der vertraglichen Beziehung“ mit dem Datenverarbeitungsdienst (Artikel 2 Nummer 32). Software, die Sie nur über den Vertrag mit dem Anbieter nutzen, etwa Betriebssystemlizenzen, die mit gehosteten VMs bereitgestellt werden, braucht deshalb eine eigene Zeile im Exit-Plan.

Nach Artikel 31 Absatz 1 gelten Artikel 23 Buchstabe d, Artikel 29 und Artikel 30 Absätze 1 und 3 nicht für Dienste, bei denen die meisten zentralen Funktionen auf einen einzelnen Kunden zugeschnitten wurden oder alle Komponenten für diesen Kunden entwickelt wurden und die nicht im größeren kommerziellen Maßstab über den Dienstleistungskatalog angeboten werden. Artikel 31 Absatz 2 nimmt zeitlich begrenzte Testversionen, die nicht für den Produktivbetrieb bestimmt sind, vom gesamten Kapitel aus, und nach Artikel 31 Absatz 3 muss der Anbieter vor Vertragsschluss mitteilen, welche Verpflichtungen nicht gelten. Artikel 50 enthält für Kapitel VI keine Regel zum Datum des Vertragsschlusses, und der Omnibus-Vorschlag verweist auf die Notwendigkeit, bestehende Verträge an die Verordnung anzupassen. Ob ein Dienst unter Artikel 31 fällt und ob ein bestehender Vertrag geändert werden muss, ist eine rechtliche Bewertung, die Ihre Rechtsabteilung vornimmt.

Kündigungsfrist, Übergangszeitraum, Datenabruf und Löschung

Artikel 25 legt den Mindestinhalt des schriftlichen Vertrags fest, den der Anbieter dem Kunden vor der Vertragsunterzeichnung so bereitstellen muss, dass er ihn speichern und reproduzieren kann.

Verordnung (EU) 2023/2854, Artikel 25 Absätze 1 bis 5, Text von 2023.

Der Vertrag gilt als beendet, sobald der Wechsel erfolgreich vollzogen ist, oder, wenn Sie die Löschung wählen, mit Ablauf der Kündigungsfrist (Artikel 25 Absatz 2 Buchstabe c). Er muss die Kategorien von Daten und digitalen Vermögenswerten, die übertragen werden können, erschöpfend auflisten, mindestens alle exportierbaren Daten, sowie etwaige anbieterinterne Daten, die wegen Geschäftsgeheimnissen ausgenommen sind (Artikel 25 Absatz 2 Buchstaben e und f).

Weil die 30 Tage mit dem Ende der Kündigungsfrist beginnen, müssen Zielplattform, Netzwerkpfad und Migrationsmethode bis dahin bereitstehen. Wer den Wechsel zu einem anderen Anbieter mitteilt, muss dabei bereits „die erforderlichen Angaben zu diesem Anbieter“ machen (Artikel 25 Absatz 3). Nach unserer eigenen Beispielrechnung brauchen 50 TB über eine Leitung mit 1 Gbit/s bei voller Leitungsrate etwa 4,6 Tage, noch ohne Protokoll-Overhead, Prüfung und die Nachsynchronisierung geänderter Daten.

Unser technisches Assessment liefert ein Review der Systeme, die Zielkonfiguration und einen Schritt-für-Schritt-Migrationsplan, und der Preis steht vor Beginn fest. Nennen Sie uns die Datenmenge, die umziehen muss, und die Fristen, die Ihr Vertrag festlegt.

Wechselentgelte und Egress-Gebühren bis zum 12. Januar 2027 und danach

Artikel 2 Nummer 36 definiert Wechselentgelte als „andere Entgelte als Standarddienstentgelte oder Sanktionen bei vorzeitiger Kündigung“, die ein Anbieter für die Handlungen erhebt, die die Verordnung für den Wechsel vorschreibt, „einschließlich Datenextraktionsentgelten“, also den Datenübertragungsentgelten für die Extraktion der Daten über das Netz (Artikel 2 Nummer 35). Artikel 29 Absätze 2 und 3 erlauben ermäßigte Wechselentgelte vom 11. Januar 2024, dem Tag des Inkrafttretens der Verordnung, bis zum 12. Januar 2027, wenn sie die Kosten nicht übersteigen, die dem Anbieter im unmittelbaren Zusammenhang mit dem Wechsel entstehen. Ab dem 12. Januar 2027 dürfen Anbieter „für den Vollzug des Anbieterwechsels keine Wechselentgelte mehr erheben“ (Artikel 29 Absatz 1).

Standarddienstentgelte und Sanktionen bei vorzeitiger Kündigung sind keine Wechselentgelte, und nach Artikel 29 Absatz 4 muss der Anbieter beide vor Vertragsschluss angeben, zusammen mit etwaigen ermäßigten Wechselentgelten. Für die parallele Nutzung, bei der Daten fortlaufend statt einmalig zwischen Anbietern fließen, heißt es in Erwägungsgrund 99, Anbieter von Datenverarbeitungsdiensten „sollten daher für die Datenextraktion zu Zwecken der parallelen Nutzung nach drei Jahren nach dem Tag des Inkrafttretens der vorliegenden Verordnung weiterhin Datenextraktionsentgelte erheben können, die die anfallenden Kosten nicht übersteigen“. Läuft ein Wechsel über den 12. Januar 2027 hinweg, fragen Sie den Anbieter schriftlich, welche Entgelte für welchen Teil des Vorgangs gelten.

Funktionsäquivalenz, offene Schnittstellen und Exportformate

Für Dienste, die auf Infrastrukturelemente wie Server, Netze und virtuelle Ressourcen beschränkt sind und keinen Zugang zu den darauf laufenden Betriebsdiensten und Anwendungen gewähren, verlangt Artikel 30 Absatz 1 vom ursprünglichen Anbieter, alle ihm zur Verfügung stehenden angemessenen Maßnahmen zu ergreifen, damit der Kunde am Ziel Funktionsäquivalenz erreicht, und dafür „Kapazitäten, angemessene Informationen, Dokumentationsmaterial, technische Unterstützung und gegebenenfalls die erforderlichen Instrumente“ bereitzustellen. Funktionsäquivalenz (Artikel 2 Nummer 37) bedeutet ein Mindestmaß an Funktionalität, wiederhergestellt auf der Grundlage Ihrer exportierbaren Daten und digitalen Vermögenswerte, wenn der übernehmende Dienst „als Reaktion auf dieselbe Eingabe für gemeinsame Funktionen, die dem Kunden im Rahmen des Vertrags bereitgestellt werden, ein materiell vergleichbares Ergebnis erbringt“.

Andere Anbieter müssen ihren Kunden und den übernehmenden Anbietern unentgeltlich offene Schnittstellen bereitstellen (Artikel 30 Absatz 2). Solange für eine Dienstart keine gemeinsamen Spezifikationen oder harmonisierten Normen in der zentralen Datenbank der Union veröffentlicht sind, muss der Anbieter nach Artikel 30 Absatz 5 auf Verlangen alle exportierbaren Daten „in einem strukturierten, gängigen und maschinenlesbaren Format“ exportieren. Kein Anbieter muss neue Technologien entwickeln oder Vermögenswerte offenlegen, die durch Rechte des geistigen Eigentums geschützt sind oder ein Geschäftsgeheimnis darstellen (Artikel 30 Absatz 6).

Bei einer VMware-basierten IaaS sind die zu übertragenden Daten vor allem VM-Festplatten, ihre Konfiguration und die zugehörigen Netzwerk- und Firewall-Einstellungen; Methoden, Ausfallzeit und Re-IP behandelt unser Leitfaden zur Migration von VMs auf eine gehostete VMware-Plattform. Nach Artikel 26 beschreibt der Anbieter außerdem seine Wechselmethoden, Formate und bekannten Einschränkungen und führt ein Online-Register der Datenstrukturen, Datenformate und Normen.

Gerichtsbarkeit und staatlicher Zugang: Artikel 28 und 32

Nach Artikel 28 müssen Anbieter veröffentlichen, welcher Gerichtsbarkeit die IKT-Infrastruktur hinter jedem Dienst unterliegt, und allgemein beschreiben, mit welchen Maßnahmen sie einen internationalen staatlichen Zugang zu in der Union gespeicherten nicht-personenbezogenen Daten verhindern, der im Widerspruch zum Unionsrecht oder zum nationalen Recht stünde. Artikel 32 ergänzt Schutzvorkehrungen gegen einen solchen Zugang und verpflichtet den Anbieter, den Kunden über das Verlangen einer Behörde eines Drittlands zu informieren, bevor er es erfüllt, es sei denn, das Verlangen dient Strafverfolgungszwecken, und zwar so lange, wie dies erforderlich ist. Vergleichen Sie diese Angaben, wenn Sie ein Ziel wählen; die US-Seite behandelt unser Artikel zu CLOUD Act und EU-Datenresidenz.

Der Digital-Omnibus-Vorschlag und die Cloud-Vertragsklauseln der Kommission

Am 19. November 2025 schlug die Kommission den Digital-Omnibus vor, COM(2025) 837, der neben anderen Rechtsakten die Datenverordnung ändern soll. Nach seiner Begründung sollen die Änderungen am Ziel festhalten, die Abhängigkeit von einzelnen Anbietern (Vendor-Lock-in) zu beseitigen, insbesondere die Wechsel- und Datenextraktionsentgelte, und zugleich den Verwaltungsaufwand für Anbieter erheblich angepasster Dienste sowie für KMU und kleine Unternehmen mittlerer Kapitalisierung (SMC) verringern. Nach Erwägungsgrund 17 des Vorschlags würden maßgeschneiderte Dienste außer IaaS, die auf der Grundlage von Verträgen erbracht werden, die am oder vor dem 12. September 2025 geschlossen wurden, nicht mehr unter Kapitel VI fallen, mit Ausnahme der Pflicht, Wechsel- und Datenextraktionsentgelte zu senken und schließlich abzuschaffen. Erwägungsgrund 18 ergänzt eine eigene Regelung für Anbieter, die KMU oder SMC sind und andere Dienste als IaaS erbringen, bei Verträgen mit demselben Stichtag, und stellt klar, dass befristete Verträge verhältnismäßige Sanktionen bei vorzeitiger Kündigung enthalten dürfen, solange diese kein Hindernis für den Wechsel darstellen.

Beide erleichterten Regelungen schließen nach der Beschreibung in den Erwägungsgründen IaaS aus und behalten die Abschaffung der Wechselentgelte bei. Stand 6. Oktober 2026 führt das Legislative Observatory des Europäischen Parlaments das Verfahren 2025/0360(COD) mit dem Status „Awaiting committee decision“; die endgültige Zustimmung des Rates vom 29. Juni 2026 betraf die separate Digital-Omnibus-Verordnung zur KI. Bis eine Änderungsverordnung wirksam wird, gilt der Text von 2023, und der angenommene Text kann vom Vorschlag abweichen.

Am selben Tag veröffentlichte die Kommission den Entwurf einer Empfehlung mit Mustervertragsbedingungen für Datenzugang und Datennutzung und sechs unverbindlichen Standardvertragsklauseln (SCC) für Cloud-Computing-Verträge mit den Namen Switching & Exit, Termination, Security & Business continuity, Non-Dispersion, Non-Amendment und Liability. Die Seite zu diesem Entwurf, zuletzt aktualisiert am 3. März 2026, nennt deren Nutzung „freiwillig und offen für mögliche Änderungen durch die Nutzer“ und als nächsten Schritt die Übersetzung und Veröffentlichung in allen EU-Sprachen. Die Seite der Kommission zur Datenverordnung, zuletzt aktualisiert am 2. Juli 2026, verlinkt den Text weiterhin als Entwurf einer Empfehlung, und keine der beiden Seiten meldet eine förmliche Annahme.

Cloud-Exit-Strategie: was der Exit-Plan enthalten sollte

Nach Artikel 25 Absatz 2 Buchstabe b muss der Vertrag den Anbieter verpflichten, Ihre Ausstiegsstrategie zu unterstützen, „unter anderem durch Bereitstellung aller einschlägigen Informationen“.

1. Erfassen Sie jeden Cloud-Dienst und jeden Vertrag mit Dienstart, Abschlussdatum, den darin festgelegten Fristen und einer etwaigen Erklärung des Anbieters, dass Ausnahmen nach Artikel 31 gelten.
2. Erfassen Sie die Daten und digitalen Vermögenswerte je System: VM-Festplatten und Konfiguration, Datenbanken, Object Storage, Backups, Logs, DNS-Zonen, Zertifikate, Schlüssel, Identitäten und Zugriffsrichtlinien; markieren Sie Lizenzen, die Sie nur über den Vertrag mit dem Anbieter halten.
3. Fordern Sie die Informationen des Anbieters nach Artikel 26 und seine Angaben zu Entgelten und Sanktionen nach Artikel 29 schriftlich an.
4. Wählen Sie für jedes System ein Ziel (einen anderen Anbieter, Ihr eigenes Rechenzentrum oder eine hybride Lösung, bei der ein Teil der Systeme bei Ihnen bleibt); die Kriterien nennt unser Vergleich von IaaS, Private Cloud und Hybrid.
5. Bereiten Sie das Ziel vor, migrieren Sie vor der Kündigung ein repräsentatives System als Test, messen Sie die Übertragungsraten im Verhältnis zu den 30 Tagen und entscheiden Sie, ob Sie die einmalige Verlängerung brauchen.
6. Legen Sie die Umschaltungen in Wartungsfenster, jede mit einem Rollback-Plan, und benennen Sie die Dritten, die Sie für die Arbeit mit dem ursprünglichen Anbieter autorisieren.
7. Schützen Sie die Übertragung mit Transportverschlüsselung, kontrollierter Verwahrung der Schlüssel und temporären Zugangsdaten, die Sie danach widerrufen.
8. Prüfen Sie nach der letzten Umschaltung die Vollständigkeit, bevor der Abrufzeitraum endet, verlangen Sie eine schriftliche Bestätigung der Löschung und aktualisieren Sie die Dokumentation für Backup und Disaster Recovery.

Wir ziehen Systeme Schritt für Schritt in unsere EU-Cloud um, in vereinbarten Wartungsfenstern, mit Rollback-Plan, und stellen vor der Migration einen Testzugang zur Plattform bereit. Beschreiben Sie die Systeme Ihres Exit-Plans im Formular unten, mit Größen und Abhängigkeiten.

Allgemeine Information zum EU-Recht mit Stand Oktober 2026, keine Rechtsberatung im Einzelfall.

Was wir tun

Mit unserer EU-Cloud hosten wir garantierte Rechenleistung oder eine Private Cloud in Tier-3-Rechenzentren der EU, betrieben von Baltneta, einem europäischen Betreiber in Litauen, mit einem europäischen Vertrag und einer transparenten monatlichen Rechnung in Euro. Unser Engineering-Partner Vixen.UNO übernimmt Migration und Support und zieht Systeme in vereinbarten Wartungsfenstern mit Rollback-Plan um. Hybrid ist ein Standardszenario, bei dem ein Teil der Systeme bei Ihnen bleibt, mit Replikation zwischen den Standorten. Das erste Gespräch ist kostenlos, und der Preis des technischen Assessments steht vor Beginn fest. Auf unserer Seite Sicherheit & Compliance stehen die Dokumente, die wir unterschreiben, und die Subauftragsverarbeiter, die im Vertrag genannt sind.

FAQ