Der Data Act wird als Verordnung über vernetzte Produkte und Industriedaten gelesen, und das meiste seines Textes ist das auch. Aber ein Kapitel davon betrifft jedes Unternehmen, das Software für Kunden hostet, und dieses Kapitel gilt seit dem 12. September 2025 ohne Übergang, ohne Größenschwelle und ohne Registrierung. Ein Unternehmen, das SaaS verkauft, ist ein Anbieter eines Datenverarbeitungsdienstes nach Artikel 2 Nummer 8, der Infrastruktur, Plattformen und Anwendungen erfasst, die über das Netz aus gemeinsam genutzten, skalierbaren Ressourcen bereitgestellt werden, und Kapitel VI lässt es jedes Hindernis für einen Kunden beseitigen, der geht. Dieser Artikel liest Kapitel VI für ein SaaS-Unternehmen, Klausel für Klausel, dann die Entgelte und die technischen Pflichten und dann Kapitel II für ein Unternehmen, dessen Produkt ein vernetztes Produkt oder ein verbundener Dienst ist; die 96 Zeilen der Verordnung, die einen Dateninhaber, einen Nutzer, einen Dritten, einen Anbieter von Datenverarbeitungsdiensten, einen Hersteller oder einen Anbieter intelligenter Verträge binden, sind ein Datensatz in sechs Sprachen, jede Zeile mit ihrem Artikel.
Wer Sie darunter sind, und warum die Größe nicht hilft
Kapitel VI nennt zwei Parteien: den Anbieter von Datenverarbeitungsdiensten und seinen Kunden. Der Anbieter ist jedes Unternehmen, das einen Dienst anbietet, der bedarfsgesteuerten Netzzugang zu einem gemeinsamen Pool von Rechenressourcen gibt, und die Verordnung nennt die drei Bereitstellungsmodelle in ihren Erwägungsgründen beim Namen: Infrastruktur, Plattform und Software. Ein SaaS-Unternehmen ist ein Anbieter eines Datenverarbeitungsdienstes, und die Cloud, auf der es läuft, ist es auch, jeder gegenüber seinen eigenen Kunden. Kapitel II, das Kapitel über vernetzte Produkte, hat die Ausnahme von Artikel 7 Absatz 1 für Kleinstunternehmen und kleine Unternehmen; Kapitel VI hat keine, nur die Ausnahme von Artikel 31 für Dienste, die für einen einzelnen Kunden maßgeschneidert und nicht in großem Umfang angeboten werden, und für Nichtproduktionsversionen zum Testen, und selbst dort verpflichtet Artikel 31 Absatz 3 den Anbieter, dem künftigen Kunden zu sagen, welche Pflichten nicht gelten. Ein Unternehmen, das ein Produkt für viele Kunden hostet, trägt Kapitel VI vollständig, unabhängig von seiner Mitarbeiterzahl.
Die neun Vertragsklauseln von Artikel 25 Absatz 2
Artikel 25 Absatz 1 will die Wechselrechte des Kunden und die Pflichten des Anbieters in einem schriftlichen Vertrag, verfügbar vor der Unterzeichnung in einer Form, die der Kunde speichern und wiedergeben kann. Artikel 25 Absatz 2 listet auf, was er enthalten muss, und die Liste ist die Checkliste. Eins: eine Klausel, die dem Kunden erlaubt, zu einem anderen Anbieter zu wechseln oder alles auf eigene Infrastruktur zu übertragen, innerhalb eines Übergangszeitraums von höchstens 30 Kalendertagen, in dem der Anbieter unterstützt, den Dienst weiterbetreibt, die bekannten Risiken für die Kontinuität nennt und die Daten sicher hält. Zwei: eine Pflicht, die Ausstiegsstrategie des Kunden mit allen relevanten Informationen zu unterstützen. Drei: eine Klausel dazu, wann der Vertrag als beendet gilt, bei erfolgreichem Wechsel oder am Ende der Kündigungsfrist, wenn der Kunde nur die Löschung will. Vier: eine Kündigungsfrist für den Beginn des Wechsels von höchstens zwei Monaten. Fünf: eine erschöpfende Aufstellung der Kategorien von Daten und digitalen Vermögenswerten, die übertragen werden können, mindestens alle exportierbaren Daten. Sechs: eine erschöpfende Aufstellung der Daten, die das interne Funktionieren des Anbieters betreffen und ausgenommen sind, wo Geschäftsgeheimnisse gefährdet sind, ohne den Wechsel zu behindern. Sieben: ein Abrufzeitraum von mindestens 30 Kalendertagen nach dem Übergangszeitraum. Acht: eine Garantie der vollständigen Löschung der exportierbaren Daten und Vermögenswerte des Kunden nach dem Abrufzeitraum, sobald der Wechsel gelungen ist. Neun: die Wechselentgelte, im Rahmen von Artikel 29. Artikel 25 Absatz 3 fügt die Mitteilung des Kunden hinzu, was er am Ende der Kündigungsfrist tun wird, Artikel 25 Absatz 4 die Pflicht des Anbieters, innerhalb von 14 Arbeitstagen zu sagen, dass der Übergangszeitraum technisch nicht machbar ist, und eine Alternative von höchstens sieben Monaten anzubieten, und Artikel 25 Absatz 5 das Recht des Kunden, den Übergangszeitraum einmal zu verlängern.
Informationen, Entgelte und der Tag, an dem die Entgelte enden
Artikel 26 lässt den Anbieter dem Kunden die Wechsel- und Übertragungsverfahren, Methoden, Formate und bekannten Grenzen geben und einen Verweis auf ein von ihm gehostetes Online-Register mit den Datenstrukturen, Formaten, Normen und offenen Spezifikationen, in denen die exportierbaren Daten verfügbar sind; Artikel 30 Absatz 4 lässt dieses Register aktuell halten. Artikel 28 stellt zwei Dinge auf die Website: die Rechtsordnung, der die Infrastruktur hinter jedem Dienst unterliegt, und eine allgemeine Beschreibung der technischen, organisatorischen und vertraglichen Maßnahmen gegen einen behördlichen Zugriff von außerhalb der Union, der mit dem Unionsrecht oder dem Recht eines Mitgliedstaats in Konflikt stünde, wobei die Website in jedem Vertrag genannt wird. Artikel 27 verlangt von allen Beteiligten, den übernehmenden Anbieter eingeschlossen, die Zusammenarbeit nach Treu und Glauben. Artikel 29 ist das Geld: Vom 11. Januar 2024 bis zum 12. Januar 2027 darf ein Anbieter ermäßigte Wechselentgelte verlangen, nicht mehr als die unmittelbar mit dem Wechsel verbundenen Kosten, und ab dem 12. Januar 2027 gar keine; vor dem Vertrag erfährt der künftige Kunde die Standardentgelte, die Vertragsstrafen bei vorzeitiger Beendigung und die ermäßigten Wechselentgelte, und wo ein Wechsel hochkomplex oder ohne erheblichen Eingriff unmöglich ist, erfährt er auch das, in einem eigenen Bereich der Website.
Die technischen Pflichten, nach Art des Dienstes
Artikel 30 teilt die Anbieter in zwei Gruppen. Infrastrukturdienste, die skalierbaren Rechen-, Speicher- und Netzressourcen, auf denen der Kunde seine eigene Software betreibt, schulden nach Artikel 30 Absatz 1 alle zumutbaren Maßnahmen, damit der Kunde beim Zieldienst funktionale Gleichwertigkeit erreicht, mit Fähigkeiten, Dokumentation, Unterstützung und Werkzeugen. Jeder andere Dienst, SaaS eingeschlossen, schuldet nach Artikel 30 Absatz 2 offene Schnittstellen, die allen Kunden und Zielanbietern ohne Entgelt zur Verfügung stehen, mit genug Informationen, um Software zu schreiben, die für Übertragbarkeit und Interoperabilität mit dem Dienst spricht, und nach Artikel 30 Absatz 3 die Kompatibilität mit den gemeinsamen Spezifikationen oder harmonisierten Normen für Interoperabilität spätestens 12 Monate nach der Veröffentlichung ihrer Fundstellen im zentralen Verzeichnis der Union; solange solche Fundstellen nicht existieren, lässt Artikel 30 Absatz 5 den Anbieter auf Verlangen alle exportierbaren Daten in einem strukturierten, gängigen und maschinenlesbaren Format exportieren. Artikel 34 wendet dieselben Regeln an, wo ein Kunde zwei Dienste parallel nutzt, mit Entgelten für den Datenabfluss, die auf die Abflusskosten begrenzt sind. Die Artikel 33 und 36 fügen grundlegende Anforderungen für Teilnehmer hinzu, die Daten in Datenräumen anbieten, und für die Anbieter intelligenter Verträge, die Datenweitergabevereinbarungen ausführen, Letztere mit einer Konformitätsbewertung und einer EU-Konformitätserklärung.
Die Seite des Dateninhabers, und was damit zu tun ist
Ein Unternehmen, dessen Produkt ein vernetztes Produkt ist oder ein verbundener Dienst, der ein solches Produkt tun lässt, was es tut, ist zudem Dateninhaber nach Kapitel II. Artikel 3 Absatz 1 will Produkt und Dienst so gestaltet, dass ihre Daten, mit den zum Lesen nötigen Metadaten, dem Nutzer standardmäßig zugänglich sind, einfach, sicher, ohne Entgelt, in einem strukturierten und maschinenlesbaren Format und direkt, wo machbar, für Produkte und Dienste, die nach dem 12. September 2026 in Verkehr gebracht werden; Artikel 4 Absatz 1 macht die ohne Weiteres verfügbaren Daten dem Nutzer auf Verlangen zugänglich, Artikel 5 Absatz 1 stellt sie einem Dritten bereit, den der Nutzer benennt, und Artikel 6 Absatz 2 listet acht Dinge auf, die dieser Dritte damit nicht tun darf, vom Profiling bis zum Bau eines Konkurrenzprodukts. Kapitel III fügt faire, angemessene und diskriminierungsfreie Bedingungen nach Artikel 8 und eine angemessene Gegenleistung nach Artikel 9 hinzu, wo immer die Daten nach Unionsrecht bereitgestellt werden müssen. Was damit zu tun ist: die neun Klauseln in die Vertragsvorlage aufnehmen, die Verfahren, das Register und die Angabe nach Artikel 28 veröffentlichen, den Wechsel zu Kosten berechnen mit dem 12. Januar 2027 in der Planung, die Schnittstellen öffnen und, wenn Sie vernetzte Produkte bauen, die nächste Version so gestalten, dass sie ihre Daten dem Nutzer übergibt. Die Zeilen stehen neben den DORA-Vertragsklauseln, die ein Finanzkunde ohnehin verlangen wird, den DSGVO-Pflichten, die für personenbezogene Daten im exportierten Bestand gelten, und dem Cyber Resilience Act, der dasselbe vernetzte Produkt von der Sicherheitsseite erreicht; StandardOS hält jede Zeile des Katalogs als Position mit Verantwortlichem und Nachweis, so wie es die anderen Rahmenwerke hält.