Data Act: Fristen, Pflichten und Cloud-Wechsel 2027

Data Act 2027: was gilt und was noch kommt

Der Data Act regelt seit dem 12. September 2025, wer die Daten vernetzter Geräte und digitaler Dienste nutzen darf und wie der Wechsel zu einem anderen Cloud-Anbieter abläuft. Die meisten Pflichten gelten damit bereits. Zwei Stichtage stehen aber noch bevor, und für Unternehmen und Behörden, die Cloud-Dienste einkaufen, ist der 12. Januar 2027 der wichtigere von beiden.

Hinter dem englischen Namen steht ein Gesetz über Daten. Die Europäische Kommission spricht auf Deutsch vom Datengesetz, die Bundesnetzagentur von der Europäischen Datenverordnung, amtlich ist es die Verordnung (EU) 2023/2854 über harmonisierte Vorschriften für einen fairen Datenzugang und eine faire Datennutzung.

Der EU Data Act ist eine Verordnung, die ohne Umsetzungsgesetz in allen Mitgliedstaaten gilt. Sie gibt den Nutzern vernetzter Produkte ein Recht auf die Daten, die bei der Nutzung entstehen, verpflichtet Anbieter von Cloud- und anderen Datenverarbeitungsdiensten, den Wechsel zu einem anderen Anbieter zu ermöglichen, und erlaubt öffentlichen Stellen in eng begrenzten Ausnahmefällen den Zugriff auf Unternehmensdaten.

Die DSGVO schützt personenbezogene Daten, das Datengesetz regelt dagegen den Zugang zu Daten auch ohne Personenbezug, etwa zu Maschinen- und Betriebsdaten. Für Unternehmen und Verwaltungen wird es damit zu einem Baustein der digitalen Souveränität, also der Fähigkeit, über eigene Daten und Systeme selbst zu bestimmen.

Welche Fristen gelten beim Data Act?

Die Verordnung ist am 11. Januar 2024 in Kraft getreten und gilt seit dem 12. September 2025. Einige Pflichten setzen später ein oder betreffen nur neue Produkte und Verträge. Die Europäische Kommission führt die Stufen in ihrer Erläuterung der Verordnung auf, die wichtigsten sind diese:

• 12. September 2025: Datenzugang, Cloud-Wechsel, öffentliche Stellen
• nach dem 12. September 2026: Datenzugang schon im Produktdesign
• 12. Januar 2027: keine Wechselentgelte mehr
• 12. September 2027: Klauselkontrolle für bestimmte Altverträge

Die Designpflicht aus Artikel 3 betrifft nur vernetzte Produkte, die nach dem 12. September 2026 in Verkehr gebracht werden. Bestandsgeräte müssen nicht umgebaut werden, das Recht der Nutzer, ihre Daten zu verlangen, gilt für sie trotzdem.

Die Klauselkontrolle für Altverträge greift nicht pauschal. Sie erfasst nur Verträge, die bis zum 12. September 2025 geschlossen wurden und entweder unbefristet laufen oder frühestens zehn Jahre nach dem 11. Januar 2024 enden. Bei älteren Datennutzungsverträgen mit festem Enddatum lohnt deshalb ein Blick auf die Laufzeit, bevor Aufwand in eine Neuverhandlung fließt.

Data Act und Data Governance Act: zwei Gesetze, zwei Aufgaben

Der Data Governance Act gilt bereits seit September 2023 und wird oft mit dem Data Act verwechselt. Er regelt nicht, wer welche Daten bekommt, sondern den Rahmen für das freiwillige Teilen: Datenvermittlungsdienste, die Weiterverwendung geschützter Daten öffentlicher Stellen und den sogenannten Datenaltruismus.

In einem Satz: Der Data Governance Act baut die Infrastruktur für das Teilen von Daten, das Datengesetz legt fest, wer einen Anspruch auf welche Daten hat und zu welchen Bedingungen.

Für wen gilt der Data Act in Deutschland?

Die Data-Act-Verordnung unterscheidet nicht nach Branchen, sondern nach Rollen. Betroffen ist, wer vernetzte Produkte herstellt oder verkauft, wer sie nutzt, wer Daten als Dateninhaber verwaltet und wer Cloud-Dienste anbietet oder einkauft. Ein und dasselbe Unternehmen kann mehrere dieser Rollen zugleich einnehmen, und Behörden kommen als Cloud-Kunden und in eng begrenzten Fällen als Empfänger von Daten hinzu.

Viele Unternehmen unterschätzen das: In einer repräsentativen Befragung von 605 Unternehmen im Frühjahr 2025 gab gut die Hälfte (52 Prozent) an, sich für nicht betroffen zu halten (Bitkom, Data Act: Kaum ein Unternehmen ist vorbereitet, 2025). Schon ein einziger gebuchter Cloud-Dienst macht ein Unternehmen aber zum Kunden im Sinne des Wechselkapitels. Diese Rollen kennt die Verordnung:

• Hersteller vernetzter Produkte wie Maschinen, Fahrzeuge oder Medizintechnik
• Anbieter verbundener Dienste wie Apps oder Wartungsportale
• Nutzer dieser Produkte, ob Unternehmen, Behörde oder Privatperson
• Anbieter von Cloud-, Edge- und SaaS-Diensten
• Kunden dieser Dienste, also jedes Unternehmen, das Cloud-Dienste bucht

Was der Data Act deutschen Herstellern abverlangt

Für Hersteller ist der Kern das Zugangsrecht der Nutzer. Die Daten, die eine Anlage oder ein Gerät im Betrieb erzeugt, müssen den Nutzern auf Verlangen kostenlos und in einem gängigen maschinenlesbaren Format bereitgestellt werden. Auf Wunsch gehen sie auch an einen Dritten, etwa einen unabhängigen Servicebetrieb, der dafür eine angemessene Gegenleistung zahlen kann. Schon vor Vertragsschluss müssen Käufer erfahren, welche Daten anfallen und wie sie darauf zugreifen.

Hersteller, die Maschinendaten erfassen, sollten deshalb früh festlegen, auf welchem Weg Kunden an diese Daten kommen. Bei vielen Kunden und regelmäßigen Anfragen ist eine dokumentierte Schnittstelle meist günstiger als die Bereitstellung von Hand, weil sie Anfragen automatisch bedient.

Geschäftsgeheimnisse bleiben dabei geschützt, denn der Dateninhaber darf Schutzmaßnahmen vereinbaren und die Herausgabe in Ausnahmefällen verweigern, wenn ein schwerer wirtschaftlicher Schaden wahrscheinlich ist. Die Verweigerung muss er begründen.

Ausnahmen für kleine und mittlere Unternehmen

Kleinst- und Kleinunternehmen sind von den Zugangspflichten für Produktdaten ausgenommen, solange kein größeres Partner- oder verbundenes Unternehmen hinter ihnen steht und sie nicht als Unterauftragnehmer ein Produkt für einen anderen Hersteller entwickeln. Für mittlere Unternehmen gilt die Ausnahme ein Jahr lang, nachdem sie in diese Größenklasse hineingewachsen sind, und für neue Produkte im ersten Jahr nach dem Inverkehrbringen.

Gerade Start-ups mit eigener Hardware sollten das Wachstum im Blick behalten, denn die Ausnahme endet mit der Größenklasse. Erhält ein kleines oder mittleres Unternehmen Daten als Dritter, etwa als Servicebetrieb, darf der Dateninhaber ihm höchstens die Kosten der Bereitstellung berechnen. Für Cloud-Anbieter sieht die Verordnung keine Größenausnahme vor.

Was öffentliche Stellen erwartet

Behörden dürfen Daten von Unternehmen nur bei einer außergewöhnlichen Notwendigkeit verlangen. Die Kommission beschreibt sie als unvorhersehbare und zeitlich begrenzte Situation, typisch ist ein öffentlicher Notstand wie eine Naturkatastrophe. In engen Grenzen zählt auch eine andere Aufgabe im öffentlichen Interesse dazu, für die dann nur nicht personenbezogene Daten verlangt werden dürfen. Für den Notstand stellt die Bundesnetzagentur ein Muster für das Datenverlangen bereit.

Für öffentliche Einrichtungen wiegt im Alltag die zweite Rolle schwerer, die als Kundin von Cloud- und Fachverfahrensdiensten. Die Wechselrechte gelten für sie genauso wie für Unternehmen. Bisher hing der Anbieterwechsel für sie vor allem an den Vertragsbedingungen, etwa den EVB-IT, jetzt sichert ihn zusätzlich das Gesetz.

Cloud-Wechsel ab 12. Januar 2027: Wechselentgelte fallen weg

Kapitel VI des EU Data Act verpflichtet Anbieter von Cloud-, Edge- und SaaS-Diensten, ihren Kunden den Wechsel zu einem anderen Anbieter oder in die eigene Infrastruktur zu ermöglichen. Seit September 2025 gelten dafür feste Fristen und Informationspflichten. Am 12. Januar 2027 kommt der Teil hinzu, der sich direkt in der Rechnung zeigt: Ab dann darf ein Anbieter für den Wechsel kein Entgelt mehr verlangen.

Für viele Unternehmen ist das kein Randthema. Mehr als die Hälfte (54 Prozent) der Unternehmen in Deutschland ab zehn Beschäftigten nutzt kostenpflichtige Cloud-Dienste, bei den Großunternehmen sind es 86 Prozent (Destatis, Pressemitteilung Nr. 416, 2025).

Was Anbieter beim Data Act Cloud Switching leisten müssen

Der Vertrag muss den Wechsel planbar machen. Die Ankündigungsfrist des Kunden darf höchstens zwei Monate betragen, danach muss der Anbieter den Wechsel innerhalb von 30 Kalendertagen ermöglichen. Ist das technisch nicht machbar, muss er es begründen und darf höchstens sieben Monate brauchen. Zum Abrufen der Daten bleiben dem Kunden mindestens weitere 30 Tage.

Der Anbieter muss außerdem vollständig auflisten, welche Daten und digitalen Vermögenswerte sich exportieren lassen. Das gilt für einen Wechsel zu einem anderen Anbieter ebenso wie für die Rückkehr in die eigene IT-Infrastruktur. Ausnehmen darf er nur Daten, die allein der internen Funktionsweise des Dienstes dienen, und auch das nur, wenn sonst seine Geschäftsgeheimnisse gefährdet wären und der Wechsel dadurch nicht behindert wird.

Was das Ende der Wechselentgelte bedeutet

Bis zum 12. Januar 2027 dürfen Anbieter noch ermäßigte Wechselentgelte verlangen, die ihre unmittelbaren Kosten des Wechsels nicht übersteigen. Danach fallen sie ganz weg, nach Angaben der Kommission einschließlich der Gebühren für den Datenausgang, im Fachjargon Egress. Ausgenommen sind maßgeschneiderte Dienste, die überwiegend für einen einzelnen Kunden gebaut sind oder nicht breit über den Katalog angeboten werden, sowie befristete Testversionen.

Laut Cloud Report 2026 des Bitkom nennen 59 Prozent der befragten Unternehmen Lock-in-Effekte, etwa schwierige Datenexporte, als größtes Hindernis, wenn sie Cloud-Anbieter wechseln wollen. Rund ein Drittel hat das schon mindestens einmal getan, ein Fünftel plant es fest.

Wie die großen Cloud-Anbieter reagiert haben

AWS, Google Cloud und Microsoft Azure haben ihre Gebühren für den Datentransfer angepasst, aber keiner der drei verzichtet automatisch darauf. AWS schreibt die Kosten für den Datentransfer beim Auszug auf Antrag gut. Google überträgt Daten für die parallele Nutzung mehrerer Clouds nach einer Anmeldung kostenlos, Microsoft rechnet sie in diesem Fall zum Selbstkostenpreis ab, ebenfalls auf Antrag.

Cloud-Anbieter wechseln: was vor dem Stichtag zu prüfen ist

Der Stichtag ändert die Rechnung, nicht automatisch den Vertrag. Wer Cloud-Anbieter wechseln will oder sich die Option offenhalten möchte, prüft deshalb jetzt die laufenden Verträge auf diese Punkte:

☞ Ankündigungsfrist für den Wechsel höchstens zwei Monate
☞ vollständige Liste der exportierbaren Daten und Formate
☞ keine Wechsel- und Egress-Entgelte ab dem 12. Januar 2027
☞ Einstufung des Dienstes als Katalogdienst oder maßgeschneidert
☞ eigene Datensicherung unabhängig vom Anbieter

Der letzte Punkt geht über das Gesetz hinaus. Die Verordnung sichert das Recht auf die Daten, nicht deren Verfügbarkeit, wenn ein Anbieter ausfällt oder ein Konto gesperrt wird. Ein eigenes SaaS-Backup schließt diese Lücke.

Rechtlich ist der Wechsel damit einfacher geworden, technisch bleibt er ein Projekt. Daten müssen exportiert, in neue Formate übertragen und im Zielsystem geprüft werden, und genau dort können Ausfälle und Datenverluste entstehen. Eine geplante Datenmigration mit Testläufen und klarer Abnahme ist deshalb die Voraussetzung dafür, dass das neue Recht im Betrieb auch etwas nützt.

Wie sich Portabilität schon bei der Auswahl von Software absichern lässt, etwa über offene Formate und eine API-First-Architektur, beschreibt der Leitfaden zu Datensouveränität und Datenportabilität. Für Behörden kommt die Vertragsseite hinzu: Der Anbieterwechsel nach EVB-IT regelt, welche Mitwirkung der bisherige Dienstleister schuldet.

© standret

Data-Act-Durchführungsgesetz: wer in Deutschland kontrolliert

Weil das Datengesetz EU-weit unmittelbar gilt, braucht es kein Umsetzungsgesetz, Aufsicht und Bußgelder regelt aber jeder Mitgliedstaat selbst. In Deutschland übernimmt das ein eigenes Gesetz, das Data-Act-Durchführungsgesetz. Es bestimmt die Bundesnetzagentur als zentrale Behörde. Seit Ende Mai 2026 gibt es damit eine Stelle, die Beschwerden annimmt, Streitigkeiten ordnet und Verstöße verfolgt.

Wann das Data-Act-Durchführungsgesetz kam

Der Bundestag hat das Data-Act-Durchführungsgesetz am 26. März 2026 beschlossen, verkündet wurde es am 29. Mai 2026 im Bundesgesetzblatt (BGBl. 2026 I Nr. 157). Sein Kern ist das Datenverordnung-Anwendungs-und-Durchsetzungs-Gesetz, kurz DADG, und seit dem 30. Mai 2026 ist die Bundesnetzagentur zuständig.

Zwischen Anwendungsbeginn und Zuständigkeit lagen gut acht Monate ohne Aufsicht. Pflichten galten in dieser Zeit trotzdem, nur gab es keine Behörde, die sie durchsetzte. Beim DADG hat der Gesetzgeber nach Einschätzung des Bitkom auf weitreichende nationale Sonderregeln verzichtet.

Was die Bundesnetzagentur übernimmt

Nach dem Data-Act-Durchführungsgesetz überwacht die Bundesnetzagentur die Einhaltung der Verordnung, ausdrücklich auch beim Cloud-Wechsel, und betreibt ein Beschwerdeportal. Datenschutzfragen, die sich dabei stellen, bewertet nach einer Auswertung auf beck-aktuell die Datenschutzaufsicht des Bundes (BfDI), an deren Einschätzung die Bundesnetzagentur gebunden ist.

Den Nutzen sieht die Behörde vor allem bei kleineren Unternehmen. „Insbesondere Start-ups und der Mittelstand können vom besseren Zugang zu Daten profitieren“, sagte Klaus Müller, Präsident der Bundesnetzagentur, zum Beginn der Zuständigkeit (Bundesnetzagentur, Bundesnetzagentur wird zuständige Behörde für den Data Act in Deutschland, 2026).

Streitbeilegung ohne Gericht

Auf Grundlage des Data-Act-Durchführungsgesetzes lässt die Bundesnetzagentur außerdem Streitbeilegungsstellen zu. An sie können sich Nutzer, Dateninhaber und Datenempfänger wenden, wenn sie sich über Zugang, Format oder Gegenleistung nicht einigen. Das Verfahren ersetzt den Rechtsweg nicht, kann einen Streit aber ohne Gericht beilegen.

Welche Bußgelder drohen bei Verstößen?

Die Verordnung verlangt wirksame, verhältnismäßige und abschreckende Sanktionen und überlässt die Höhe den Mitgliedstaaten. Nach einer Auswertung des Data-Act-Durchführungsgesetzes auf beck-aktuell sind Bußgelder bis fünf Millionen Euro oder zwei Prozent des weltweiten Vorjahresumsatzes möglich, dazu Zwangsgelder bis 500.000 Euro. Zahlen zu Beschwerden oder Verfahren hat die Bundesnetzagentur bisher nicht veröffentlicht.

Wie weit Unternehmen mit der Umsetzung sind

Die letzte repräsentative Messung stammt aus dem Frühjahr 2025, also aus der Zeit vor dem Anwendungsbeginn. Damals hatte 1 Prozent der befragten Unternehmen die Vorgaben vollständig umgesetzt und weitere 4 Prozent teilweise, 30 Prozent hatten noch nicht angefangen. Neuere repräsentative Zahlen zum Umsetzungsstand liegen bisher nicht vor.

Digital Omnibus: Data Act und Data Governance Act sollen verschmelzen

Mit dem Digital Omnibus will die EU-Kommission ihr Datenrecht vereinfachen. Der Vorschlag vom 19. November 2025 führt den Data Governance Act, die Verordnung über den freien Verkehr nicht personenbezogener Daten und die Open-Data-Richtlinie im Data Act zusammen und ändert einzelne Pflichten. Beschlossen ist davon nichts: Der Rat hat am 21. Oktober 2026 seine Verhandlungsposition festgelegt, das Europäische Parlament noch nicht.

Was der Rat ändern will

Das Verhandlungsmandat des Rates hält am Grundgerüst fest, lockert aber mehrere Pflichten. Die wichtigsten Punkte betreffen Geschäftsgeheimnisse, Behördenanfragen und den Cloud-Wechsel:

• Verweigerung, wenn Geschäftsgeheimnisse in Drittstaaten abfließen könnten
• Datenverlangen von Behörden nur noch bei öffentlichem Notstand
• weniger Wechselpflichten für maßgeschneiderte Dienste aus Altverträgen
• weniger Wechselpflichten aus Altverträgen für kleinere Cloud-Anbieter
• angemessene Vertragsstrafen bei vorzeitiger Kündigung

Das Verbot der Wechselentgelte bleibt auch in der Fassung des Rates bestehen. Wer auf den Digital Omnibus wartet, um dem 12. Januar 2027 auszuweichen, wartet deshalb vergeblich. Bis Parlament und Rat sich einigen, gilt die Verordnung in ihrer heutigen Fassung.

Was die Zusammenlegung mit dem Data Governance Act bedeutet

Für die meisten Unternehmen ändert die Überführung des Data Governance Act wenig am Alltag. Seine Regeln zu Datenvermittlungsdiensten und Datenaltruismus wandern als eigene Kapitel in das Datengesetz. In Deutschland beaufsichtigt die Bundesnetzagentur schon heute beide, den Data Governance Act ebenso wie die Datenverordnung.

Der Omnibus ist nicht das einzige Vorhaben, mit dem Brüssel derzeit das Digitalrecht umbaut. Für die Vergabe von Cloud- und Softwareleistungen wirkt zusätzlich das EU-Souveränitätspaket, das digitale Souveränität erstmals in eine abgestufte Klassifizierung übersetzt, die in Ausschreibungen einfließen kann.

Mustervertragsklauseln der Kommission

Die Kommission hat im November 2025 Entwürfe für Mustervertragsklauseln vorgelegt und im März 2026 aktualisiert: vier Sätze für den Datenzugang und sechs Standardklauseln für Cloud-Verträge, darunter Klauseln zu Wechsel und Ausstieg, Kündigung und Haftung. Sie sind freiwillig und bisher nur auf Englisch verfügbar, eignen sich aber gut als Prüfliste für laufende Verhandlungen.

Checkliste für 2027

Aus Fristen, Rollen und Aufsicht ergibt sich eine überschaubare Reihenfolge. Sie beginnt mit der Frage, in welcher Rolle ein Unternehmen oder eine Behörde betroffen ist, und endet bei Verträgen und Zuständigkeiten:

1. Rollen klären: Hersteller, Dateninhaber, Nutzer, Cloud-Kunde
2. Daten vernetzter Produkte nach Kategorien erfassen
3. Informationspflichten vor Vertragsschluss erfüllen
4. Cloud-Verträge auf Fristen und Entgelte prüfen
5. Unbefristete Altverträge und Laufzeiten über 2034 hinaus prüfen
6. Exit-Plan und eigene Datensicherung festlegen
7. Ansprechpartner für Datenanfragen benennen

Bei Diensten von US-Anbietern gehört zur Prüfung auch die Frage, ob US-Behörden über den CLOUD Act auf gespeicherte Daten zugreifen können, denn daran ändert die Verordnung nichts. Sie sichert den Weg aus einem Vertrag, nicht die Rechtsordnung, der ein Anbieter unterliegt.

Der Data Act ist kein Zukunftsthema mehr, sondern geltendes Recht mit Aufsicht, Beschwerdeweg und Bußgeldrahmen. Die kurze Data-Act-Zusammenfassung für das kommende Jahr: Nutzer haben ein Recht auf die Daten ihrer vernetzten Produkte, der Wechsel zwischen Cloud-Anbietern kostet ab dem 12. Januar 2027 keine Wechselentgelte mehr, und der Digital Omnibus ändert an beidem vorerst nichts.