EU Data Act und rechtliche Anforderungen an Cloud-Verträge

Was ist der EU Data Act? Das Wichtigste in Kürze:

1. Der EU Data Act wurde im Juni 2023 verabschiedet und ist ein zentraler Bestandteil der europäischen Datenstrategie.
2. Besonders betroffen sind Anbieter und Nutzer von Cloud-Diensten, da der Data Act klare Vorgaben zur Nutzung und dem Zugang zu Daten festlegt.
3. Es werden Regelungen zur Interoperabilität, Datenportabilität und Vertragsgestaltung eingeführt.
4. Unternehmen müssen ihre bestehenden Cloud-Verträge überprüfen und ggf. anpassen, um rechtliche Risiken zu vermeiden.
5. Ziel des Data Acts ist es, den fairen Zugang zu Daten innerhalb der EU zu fördern und einen Ausgleich zwischen Anbietern, Kunden und Nutzern zu schaffen.
6. Der Data Act wirft auch komplexe juristische Fragen auf, wie z.B. zulässige Vertragsklauseln und Haftungsregelungen.
7. Unternehmen müssen sich mit den Rechten ihrer Kunden bei der Beendigung oder dem Wechsel eines Cloud-Dienstes auseinandersetzen.
8. Es ist wichtig, frühzeitig praktische Schritte zu ergreifen, um die neuen rechtlichen Anforderungen zu erfüllen.

Worum geht es beim EU Data Act?

Der EU Data Act ist ein zentraler Pfeiler der europäischen Datenstrategie. Ziel des Europäischen Data Acts ist es, den Zugang zu Daten zu stärken und eine faire Datenwirtschaft zu fördern. Er gilt seit dem 12. September 2025. Der Data Act betrifft dabei vernetzte Produkte und mit den vernetzten Produkten verbundene digitale Dienste, wie Cloud-Dienste.

Der Data Act gibt den Nutzern das Recht auf die Daten zuzugreifen, die von vernetzten Produkten erzeugt werden. Auch haben Nutzer das Recht, dass diese Daten an Dritte weitergegeben werden. Darüber müssen sie auch informiert werden. „Datensilos“ der Hersteller sollen so nutzbar gemacht werden. Neue Produkte, die ab September 2026 auf den Markt kommen haben sogar die Pflicht zum „Datenzugang durch Design“ (Data Access by Design). Neben dem Zugang und der Weitergabe von Daten soll eine faire Datenwirtschaft gefördert werden, indem Datenverträge einer Fairnesskontrolle unterzogen werden.

Laden Sie sich hier unseren One-Pager zum Thema „Checkliste Data Act und Cloud-Verträge“ herunter!

Was bedeutet die Fairnesskontrolle nach dem Data Act?

Die Fairnesskontrolle von Verträgen nach dem EU Data Act beabsichtigt, missbräuchliche Vertragsklauseln in Datenverträgen zwischen Unternehmen (B2B) zu verhindern. Sie schützt vor allem kleinere und mittlere Unternehmen vor unfairen Bedingungen, die ihre Fähigkeit, Daten zu nutzen oder zu teilen, erheblich einschränken könnten.

Eine Klausel wird als unfair angesehen, wenn sie einseitig von einem Unternehmen auferlegt wird und das andere Unternehmen erheblich benachteiligt. Der Data Act enthält eine nicht abschließende Liste von Klauseln, die unter bestimmten Umständen als unfair gelten. Dazu gehören insbesondere:

• Einseitige Haftungsbeschränkungen: Klauseln, die die Haftung für vorsätzliche oder grob fahrlässige Handlungen einseitig ausschließen oder beschränken.
• Ausschluss von Rechtsbehelfen: Klauseln, die das Recht auf Rechtsbehelfe bei Nichterfüllung vertraglicher Pflichten einseitig ausschließen.
• Einseitige Datenkontrolle: Klauseln, die es einem Unternehmen ermöglichen, die Vertragsgemäßheit der Daten oder die Auslegung der Klauseln einseitig zu bestimmen.
• Änderungs- und Kündigungsrechte: Die Möglichkeit, den Preis oder eine andere wesentliche Bedingung in Bezug auf Datenformat oder Qualität ohne triftigen Grund zu ändern, ohne dass die andere Partei ein Kündigungsrecht hat.
• Nutzungsbeschränkungen: Klauseln, die die Partei, der die Klausel auferlegt wurde, daran hindern, die bereitgestellten Daten selbst zu nutzen oder eine Kopie davon zu erhalten.

Die Fairnesskontrolle gilt für B2B-Datenverträge und nicht für Verträge mit Verbrauchern (B2C). Unfaire Klauseln entfalten keine Bindungswirkung für die benachteiligte Partei. Der Rest des Vertrags bleibt jedoch in der Regel gültig, sofern die unwirksame Klausel abtrennbar ist.

Neben der Kontrolle der Klauseln enthält der EU Data Act auch Vorschriften zur Preisgestaltung:

• Angemessene Vergütung: Die Gegenleistung für die Datenbereitstellung muss angemessen sein.
• Sonderregeln für KMUs: Wenn die Daten an ein kleines oder mittleres Unternehmen (KMU) bereitgestellt werden, darf die Vergütung die unmittelbaren Bereitstellungskosten nicht übersteigen.

Was bedeutet der EU Data Act für Cloud-Dienste?

Ein wesentlicher Abschnitt im Data Act, nämlich Kapitel VI, widmet sich der Regulierung von Datenverarbeitungsdiensten, insbesondere Cloud-Diensten. Der Gesetzgeber möchte Lock-in-Effekte systematisch beenden.

Dieses Phänomen beschreibt die Abhängigkeit von einem einzigen Anbieter, die durch fehlende Informationen, restriktive Verträge, hohe Wechselkosten und technische Hürden entsteht. Der Data Act erkennt diese Hindernisse als eine erhebliche Bedrohung für die freie Wahl der Nutzer und den Wettbewerb. Die neuen Bestimmungen sollen sicherstellen, dass Kunden, von kleinen Start-ups, mittelständischen Unternehmen bis hin zu größeren Konzernen, in der Lage sind, reibungslos und ohne übermäßige Hürden den Cloud-Dienstleister zu wechseln (sog. Cloud-Switching).

Der EU Data Act betrifft vernetzte Produkte und mit den vernetzten Produkten verbundene digitale Dienste, wie Cloud-Dienste. Aber auch – was viele nicht wissen – auch Cloud-Produkte an sich, ohne dass diese mit vernetzten Produkten verbunden sind. Das Gesetz macht es für Kunden einfacher, von einem Cloud-Dienstleister zu einem anderen zu wechseln. Es schreibt vor, dass Anbieter technische und vertragliche Vorkehrungen treffen müssen, um die Datenportabilität zu gewährleisten. Auch werden Wechselgebühren schrittweise abgeschafft. Man nennt dies herkömmlicherweise „Cloud Switching“.

Ihre Anwälte für den EU Data Act

Welche Cloud-Produkte sind vom Data Act betroffen?

Die Vorschriften zum „Cloud-Switching“ im Data Act betreffen eine breite Palette von Cloud-Diensten. Das Gesetz gilt für alle Anbieter von Cloud-Diensten, unabhängig von ihrer Größe, also auch für kleine und mittlere Unternehmen (KMU). Erfasst sind die gängigen Cloud-Dienste:

Infrastructure-as-a-Service (IaaS): Infrastructure-as-a-Service (IaaS) ist ein Cloud-Computing-Modell, bei dem Unternehmen grundlegende IT-Infrastruktur wie Rechenleistung, Speicher und Netzwerke als Dienstleistung von einem Anbieter beziehen. Anstatt eigene Server, Hardware oder Rechenzentren zu kaufen und zu betreiben, mieten Nutzer die benötigten Ressourcen flexibel über das Internet. Diese Infrastruktur ist skalierbar und wird in der Regel nutzungsabhängig abgerechnet, ähnlich wie bei Strom oder Wasser.

Der Anbieter kümmert sich um den Betrieb, die Wartung und die physische Sicherheit der Hardware, während die Kunden die volle Kontrolle über Betriebssysteme, Anwendungen und Daten behalten. Dadurch können Unternehmen Kosten für Anschaffung und Verwaltung von Hardware reduzieren und ihre IT-Infrastruktur schnell an wechselnde Anforderungen anpassen. Typische Anwendungsfälle sind Test- und Entwicklungsumgebungen, Datenanalyse oder die Erweiterung bestehender Rechenkapazitäten. Bekannte IaaS-Anbieter sind Amazon Web Services (AWS), Microsoft Azure und Google Cloud Platform.

Platform-as-a-Service (PaaS): Platform-as-a-Service (PaaS) ist ein Cloud-Computing-Modell, das eine vollständige Entwicklungs- und Laufzeitumgebung über das Internet bereitstellt. Es ermöglicht Unternehmen und Entwicklern, Anwendungen zu erstellen, zu testen, bereitzustellen und zu betreiben, ohne sich um die zugrunde liegende Infrastruktur kümmern zu müssen. Im Gegensatz zu Infrastructure-as-a-Service (IaaS) stellt PaaS nicht nur Server, Speicher und Netzwerke bereit, sondern auch Middleware, Datenbanken, Entwicklungs-Frameworks und Tools.

Der große Vorteil liegt in der Zeit- und Kostenersparnis: Entwickler können sich auf den Code und die Geschäftslogik konzentrieren, während Skalierung, Wartung, Updates und Sicherheit vom PaaS-Anbieter übernommen werden. Typische Anwendungsfälle sind Webanwendungen, mobile Apps oder APIs. Bekannte Beispiele für PaaS sind Google App Engine, Heroku oder Microsoft Azure App Service. Damit unterstützt PaaS schnelle Innovation, fördert agile Arbeitsweisen und reduziert die Komplexität im gesamten Software-Lebenszyklus.

Software-as-a-Service (SaaS): Software-as-a-Service (SaaS) ist ein Cloud-Computing-Modell, bei dem Softwareanwendungen vollständig über das Internet bereitgestellt und betrieben werden. Anstatt Programme lokal auf einem Rechner oder Server zu installieren, greifen Nutzer über einen Webbrowser oder eine App auf die Anwendungen zu. Die gesamte Infrastruktur, Wartung, Updates, Sicherheit und Skalierung werden vom Anbieter übernommen. Der große Vorteil von SaaS liegt in seiner Benutzerfreundlichkeit und Flexibilität: Unternehmen und Privatpersonen können sofort starten, ohne hohe Investitionskosten für Hardware oder komplexe Installationen. Zudem ist die Software jederzeit und von überall zugänglich, solange eine Internetverbindung besteht. Typische Anwendungsfelder sind E-Mail, Collaboration-Tools, CRM-Systeme oder Office-Software. Bekannte Beispiele sind Microsoft 365, Google Workspace, Salesforce oder Dropbox. SaaS eignet sich besonders für Organisationen, die ihre IT-Kosten reduzieren, schnelle Skalierbarkeit nutzen und regelmäßige automatische Updates ohne eigenen Aufwand erhalten möchten.

Storage-as-a-Service und Database-as-a-Service: Storage-as-a-Service (StaaS) bietet Unternehmen und Privatnutzern die Möglichkeit, Speicherplatz flexibel über die Cloud zu beziehen. Anstatt teure Hardware zu kaufen und selbst zu warten, können Daten sicher extern gespeichert werden. Die Anbieter übernehmen Skalierung, Redundanz, Datensicherung und Verfügbarkeit. Nutzer zahlen meist nur für die tatsächlich genutzte Kapazität. Beispiele sind Amazon S3, Google Cloud Storage oder Dropbox Business. Vorteile sind Kosteneffizienz, hohe Flexibilität und weltweiter Zugriff. Herausforderungen können Datenschutzfragen oder Abhängigkeit vom Anbieter sein.

Database-as-a-Service (DBaaS) geht einen Schritt weiter und stellt komplette Datenbanklösungen über die Cloud bereit. Nutzer müssen sich weder um Installation noch um Wartung, Backups oder Updates kümmern. DBaaS unterstützt relationale (z. B. MySQL, PostgreSQL) und NoSQL-Datenbanken (z. B. MongoDB). Typische Plattformen sind Amazon RDS, Microsoft Azure SQL Database oder Google Cloud SQL. Unternehmen profitieren von hoher Skalierbarkeit, automatischer Performance-Optimierung und pay-as-you-go-Modellen. Risiken liegen auch hier in Datenhoheit und Anbieterabhängigkeit. Zusammengefasst ermöglichen StaaS und DBaaS eine effiziente, flexible und sichere Verwaltung wachsender Datenmengen, sodass sich Organisationen auf ihre Kernaufgaben statt auf IT-Infrastruktur konzentrieren können.

Welche Pflichten ergeben sich aus dem Data Act für Cloud-Anbieter?

1. Vertragliche Pflichten

Cloud-Anbieter müssen ihre Verträge nach dem EU Data Act an die neuen Anforderungen anpassen. Dies gilt sowohl für Neuverträge als auch für bestehende Verträge. Die Verträge müssen unter anderem Folgendes klar regeln:

• Exit-Strategie, die auch Vertragslaufzeiten durchbrechen kann: Die Option eines Wechsels und ein klarer Plan für den Wechsel.
• Datenexport: Die Unterstützung des Kunden beim Wechsel.
• Zusammenarbeitspflicht: Alle Beteiligten (Anbieter, Kunde, neuer Anbieter) sind verpflichtet, im Geiste von Treu und Glauben zusammenzuarbeiten, um den Wechselprozess fair und transparent zu gestalten.
• Schrittweise Abschaffung von Gebühren: Bis zum 11. Januar 2027 dürfen für die Unterstützung beim Wechsel nur noch reduzierte Gebühren verlangt werden. Ab dem 12. Januar 2027 sind Wechselgebühren komplett untersagt.

2. Technische und organisatorische Pflichten

Anbieter müssen die notwendigen technischen Maßnahmen ergreifen, um einen reibungslosen Wechsel zu gewährleisten. Dazu gehören insbesondere:

• Interoperabilität: Bereitstellung von standardisierten Schnittstellen, die den Datenexport erleichtern.
• Formate: Die zu exportierenden Daten müssen in einem strukturierten, gängigen und maschinenlesbaren Format zur Verfügung gestellt werden.
• Sicherheitsmaßnahmen: Schutz der Daten vor unzulässigen Zugriffen, insbesondere aus Drittländern, die nicht dem EU-Recht unterliegen.

3. Transparenzpflichten

Der Data Act gibt eine Reihe von Informationspflichten vor. Anbieter müssen Kunden bereits vor Vertragsabschluss umfassend alle wesentlichen Informationen geben, die einen Wechsel ermöglichen, wie beispielsweise die Datenexportmöglichkeiten und die anfallenden Kosten.

Ab wann gelten die Regelungen aus dem Data Act?

Die Regelungen des Data Act sind in einem gestuften System in Kraft getreten und anwendbar geworden. Die wichtigsten Fristen sind:

• Inkrafttreten der Verordnung: Der Data Act ist bereits am Januar 2024 in Kraft getreten. Ab diesem Datum begann die Übergangsfrist, wobei die meisten Vorschriften, einschließlich der allgemeinen Datenbereitstellungspflichten für Hersteller und Dateninhaber ab dem 12. September 2025 direkt anwendbar sind.
• Produkt-Designpflichten: Hersteller müssen neue vernetzte Produkte und Dienstleistungen ab dem September 2026 so konzipieren, dass ein Datenzugang „by design“ ermöglicht wird.
• Fairnesskontrolle für Verträge (B2B): Für neue Verträge, die nach dem 12. September 2025 abgeschlossen werden, gelten die Regelungen zur Fairnesskontrolle von Anfang an. Für Altverträge, die vor diesem Datum geschlossen wurden, gilt die Fairnesskontrolle erst ab dem 12. September 2027, sofern es sich um unbefristete Verträge handelt oder deren Vertragsende für den 11.1.2034 oder später vorgesehen ist.

• Cloud-Switching: Die allgemeinen Regelungen zum erleichterten Wechsel zwischen Cloud-Anbietern sind ab dem 12. September 2025 anwendbar. Die Pflicht zur schrittweisen Abschaffung der Wechselentgelte beginnt ab diesem Datum. Ab dem 12. Januar 2027 sind Wechselentgelte dann vollständig verboten.

Mit welchen Strafen ist im EU Data Act zu rechnen?

Die Durchsetzung der Vorschriften liegt bei den nationalen zuständigen Behörden. Diese sind befugt, die Einhaltung der Verordnung zu überwachen und bei Verstößen Strafen zu verhängen. Die Verordnung sieht vor, dass die Strafen bei Verstößen gegen den EU Data Act wirksam, verhältnismäßig und abschreckend sein müssen.

Verstöße gegen die Pflichten des Data Act können erhebliche Strafen nach sich ziehen, die sich an der Höhe der Bußgelder der DSGVO orientieren.

• Höhe der Bußgelder: Die maximalen Bußgelder können bis zu 20 Millionen Euro betragen oder bis zu 4 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres (je nachdem, welcher Betrag höher ist).
• Kriterien zur Bemessung: Die genaue Höhe der Strafe wird von der zuständigen Aufsichtsbehörde im Einzelfall festgelegt. Dabei werden Faktoren wie die Art, Schwere und Dauer des Verstoßes, die ergriffenen Abhilfemaßnahmen sowie frühere Verstöße des Unternehmens berücksichtigt.

EU Data Act – wir unterstützen Sie

Wir als erfahrene Anwälte im IT-Recht und Datenschutzrecht beraten Sie gerne präventiv (Compliance) oder auch in streitigen Fragen (bei Konflikten oder Sanktionen).

Compliance-Beratung

Beispiele einer Compliance-Beratung sind:

• Überprüfung der bestehenden oder neuen Datenverträge auf Fairness nach dem Data Act („Fairnesskontrolle“).
• Überprüfung der bestehenden oder neuen Cloud-Verträge auf Konformität mit dem Data Act („Cloud-Switching“).
• Wir erstellen interne Richtlinien oder bieten Schulungen für Ihr Unternehmen an.

Beratung in streitigen Fragen

Beispiele einer Beratung in streitigen Fragen sind:

• Konflikte mit Geschäftspartner bei Daten- und/oder Cloud-Verträgen
• Verteidigung bei behördlichen Verfahren (Aufsichtsbehörden nach dem Data Act)