EU Data Act ein Jahr später: Pflichten für SaaS-Anbieter

Seit dem 12. September 2025 gilt der EU Data Act für SaaS-, PaaS- und IaaS-Anbieter weitgehend verbindlich – wir nähern uns also dem ersten Jahrestag der Anwendbarkeit. Wer als Software-Anbieter mit Vertragsbeziehungen zu Geschäftskunden arbeitet, sollte spätestens jetzt geprüft haben, ob Kündigungsfristen, Datenexport und Vertragsklauseln den neuen Vorgaben entsprechen. Das Gesetz betrifft dabei nicht nur die großen Cloud-Hyperscaler, sondern grundsätzlich jeden Anbieter eines "Datenverarbeitungsdienstes" – ein Begriff, der deutlich weiter gefasst ist, als viele zunächst annehmen, und der ausdrücklich auch kleinere SaaS-Anbieter mit klassischer Fachsoftware einschließt.

Die Zeitleiste im Überblick

Was der Data Act von SaaS-Anbietern konkret verlangt

Art. 23 des Data Act verpflichtet Anbieter dazu, sämtliche Hindernisse für einen Anbieterwechsel abzubauen und keine neuen aufzustellen. Art. 25 legt fest, welche Klauseln zwingend in Verträge über Datenverarbeitungsdienste aufgenommen werden müssen – diese Klauseln sind nicht verhandelbar. Dazu gehören insbesondere eine maximale Kündigungsfrist für die Einleitung des Wechsels, eine klar definierte Übergangsphase sowie Transparenzpflichten zu Ablauf, Datenumfang und Kosten des Wechsels. Gebühren dürfen zudem nicht so gestaltet sein, dass sie einen Anbieterwechsel faktisch verhindern oder unangemessen verteuern – ein ausdrückliches Lock-in-Verbot.

Der Wechselprozess im Detail

Für den eigentlichen Anbieterwechsel gibt der Data Act einen recht konkreten zeitlichen Rahmen vor:

Offene Rechtsfragen – ehrlich betrachtet

So konkret die Fristen klingen, so unklar sind einige praktische Detailfragen noch. Zwei Punkte werden in der Fachliteratur derzeit kontrovers diskutiert:

• Reseller-Einordnung: Ob Wiederverkäufer von Cloud-Diensten, die lediglich Standardbedingungen eines Hyperscalers durchreichen, selbst als "Anbieter" im Sinne des Data Act gelten, ist umstritten. Ein Argument dagegen: Reseller können bestimmte technische Anforderungen wie Interoperabilität oft gar nicht selbst umsetzen.
• Rechtsfolgen bei Verstößen: Die genaue Rechtsnatur von Art. 25 Abs. 2 – also was passiert, wenn ein Vertrag den zwingenden Klauseln widerspricht – ist noch nicht abschließend geklärt. Eine vollständige Nichtigkeit des gesamten Vertrags gilt als unwahrscheinlich, eine teilweise Unwirksamkeit einzelner Klauseln als naheliegender.

Was das für Fakturia und seine Kunden praktisch bedeutet

Als Anbieter einer Abrechnungsplattform mit Kundendaten, Vertrags- und Artikeldaten fällt auch Fakturia grundsätzlich in den Anwendungsbereich des Data Act. Die bereits bestehende, umfangreiche REST-API mit Zugriff auf Kunden, Verträge und Artikel deckt den Grundgedanken der Datenportabilität strukturell bereits weitgehend ab – Kundendaten liegen nicht in einem geschlossenen System, sondern sind programmatisch abrufbar. Das ersetzt keine individuelle rechtliche Prüfung der eigenen Vertragsklauseln, ist aber ein sinnvoller Ausgangspunkt für Unternehmen, die selbst als SaaS-Anbieter auftreten und ihre eigenen Kundenverträge auf Data-Act-Konformität prüfen möchten.

Checkliste für SaaS-Anbieter

• 01Bestehende Kündigungsfristen prüfen – maximal zwei Monate für die Einleitung eines Anbieterwechsels sind zulässig.
• 02Vertragsklauseln nach Art. 25 ergänzen – Übergangsphase, Exit-Kosten und Transparenzpflichten müssen explizit geregelt sein.
• 03Datenexportformate dokumentieren – strukturierte, maschinenlesbare Formate statt reiner Rohdaten-Dumps.
• 04Wechselgebühren-Zeitplan im Blick behalten – schrittweise Absenkung bis zum vollständigen Verbot ab September 2027.
• 05Reseller-Konstellationen gesondert prüfen – die eigene Einordnung als "Anbieter" ist bei mehrstufigen Vertriebswegen nicht immer eindeutig.

Fazit

Ein Jahr nach Inkrafttreten der Kernpflichten ist der Data Act für viele SaaS-Anbieter noch nicht vollständig im eigenen Vertragswerk angekommen – dabei rücken mit September 2026 und September 2027 bereits die nächsten Fristen näher. Wer jetzt die eigenen Kündigungsfristen, Exportprozesse und Vertragsklauseln prüft, vermeidet nicht nur rechtliche Risiken, sondern positioniert sich auch gegenüber Kunden als transparenter, wechselfreundlicher Anbieter – ein Vertrauenssignal, das angesichts der wachsenden Sensibilität für Anbieterabhängigkeit zunehmend zählt.

Häufige Fragen zum EU Data Act für SaaS-Anbieter

Dieser Beitrag dient der allgemeinen Information und ersetzt keine individuelle Rechtsberatung. Für eine verbindliche Einschätzung zur eigenen Vertragsgestaltung empfiehlt sich die Rücksprache mit einer auf IT- und Datenrecht spezialisierten Kanzlei.