Ihre Daten, Ihre Rechte: Wie der EU Data Act SaaS-Anbietern das Monopol auf Kundendaten nimmt
Photo: Our World in Data, CC BY 4.0, via Wikimedia Commons
Jahrelang war es eine einseitige Abhängigkeit: Wer seine Geschäftsprozesse in SaaS-Plattformen ausgelagert hatte, dem gehörten zwar formal die Daten – aber der Weg dorthin verlief über Formate, Schnittstellen und Konditionen, die allein der Anbieter bestimmte. Der EU Data Act, dessen Kernpflichten seit September 2025 greifen, ändert an diesem Machtgefälle grundlegend.
Was der Data Act regelt – und was nicht
Die Verordnung (EU) 2023/2854 ist das vielleicht unterschätzteitste Gesetz der letzten Jahre. Während die DSGVO personenbezogene Daten schützt, richtet sich der Data Act an alle Daten – also auch an Maschinendaten, Nutzungsprotokolle und aggregierte Betriebsdaten. Vier Kernelemente sind für Unternehmen relevant:
- Datenausweis: Nutzer von vernetzten Produkten und verbundenen Diensten haben Anspruch auf Zugang zu den von ihnen erzeugten Daten – in verständlicher, maschinenlesbarer Form.
- Datenweitergabe: Diese Daten müssen auf Antrag an Dritte weitergegeben werden können, etwa an einen neuen Dienstleister.
- Switching: Der Anbieterwechsel muss erleichtert werden; vertragliche Kündigungsfristen über 30 Tage sind für den Wechsel grundsätzlich tabu.
- Unfaire Vertragsklauseln: Einseitig vom Anbieter gestellte Vertragsbedingungen, die den Datenzugang aushebeln, sind unzulässig.
Was das für SaaS-Kunden konkret bedeutet
Für den deutschen Mittelstand liegt der praktische Nutzen vor allem im Kampf gegen den Vendor-Lock-in. Wer künftig den Anbieter wechseln will, kann die Herausgabe seiner Daten verlangen – inklusive der Metadaten, die oft der eigentliche Schatz sind: Konfigurationen, Historien, Verknüpfungen.
Drei Punkte sollten Einkäufer jetzt verhandeln:
- Explizite Auszugsvereinbarung. Der Vertrag sollte definieren, in welchem Format (z. B. CSV, JSON, ggf. API-Export), in welchem Zeitrahmen und zu welchen Kosten Daten herausgegeben werden. Der Data Act erlaubt zwar angemessene Entgelte, diese müssen aber transparent und kostendeckend sein.
- Schnittstellenverantwortung. Wer ist verpflichtet, beim Migration in ein neues System mitzuwirken? Eine bloße Dateiausgabe reicht selten, um ein CRM oder ERP wirklich umzuziehen.
- Klartext bei KI-Trainingsdaten. Wenn der Anbieter Nutzungsdaten zum Training von Modellen verwendet, muss der Kunde dem widersprechen können. Für reine Datenweitergabe an Dritte gilt ein grundsätzliches Verbot ohne Einwilligung.
Der Zeitplan: Wann was gilt
Die Verordnung trat bereits im Januar 2024 in Kraft, die meisten Pflichten greifen aber gestaffelt:
- September 2025: Kernpflichten zu Datenausweis, -weitergabe und unfairen Vertragsklauseln.
- September 2026: Erleichterungen beim Anbieterwechsel für bestimmte Dienstklassen treten vollständig in Kraft.
- September 2027: Ende der Übergangsfristen für bestehende Verträge und Produkte.
Bestehende Verträge, die diesen Standards widersprechen, müssen bis dahin angepasst werden. Wer jetzt Renewals ansteht, sollte die Verhandlungen nicht auf die leichte Schulter nehmen.
Chancen über die Compliance hinaus
Wer den Data Act nur als Bürokratie versteht, verpasst die eigentliche Chance. Firmen, die Maschinen von Herstellern betreiben, erhalten erstmals einen rechtlichen Hebel, um die von ihren Anlagen erzeugten Daten selbst zu nutzen – etwa für eigene KI-Modelle zur vorausschauenden Wartung. Das ist das eigentliche Ziel der Verordnung: ein fairer Datenmarkt, in dem nicht mehr der Plattformbetreiber allein bestimmt, wer welchen Mehrwert aus Daten zieht.
Unser Rat: Inventarisieren Sie, welche Datenquellen in Ihrem Unternehmen existieren, wer vertraglich darauf zugreifen darf – und wo der Data Act Ihnen bisher verschlossene Türen öffnet.
