Das Verlängerungsschreiben hat sich letzten September geändert: Seit dem 12. September 2025 verpflichtet Kapitel VI der Verordnung (EU) 2023/2854 Anbieter von Datenverarbeitungsdiensten — SaaS eingeschlossen, gemäss Art. 2(8) und Erwägungsgrund 81 —, den Exit in den schriftlichen Vertrag zu schreiben, Ihre Daten auf Verlangen in einem maschinenlesbaren Format zu exportieren und Wechselentgelte zu deckeln, bis sie am 12. Januar 2027 auf null fallen. Als Einkäufer gelesen, wird aus dem Lock-in ein Satz Klauselnummern für die nächste Verlängerungs-E-Mail.
Die Verlängerungsofferte landet, wie sie immer landet: ein PDF, eine neue Zahl, eine Unterschriftsfrist. Der Preis hat sich bewegt. Sie haben zwei realistische Optionen: unterschreiben oder gehen. Gehen heisst: ein Datenexport, den auf Ihrer Seite niemand gescoped, bepreist oder geprobt hat. Also unterschreiben Sie.
Seit dem 12. September 2025 ist der Vertrag hinter dieser Offerte reguliertes Terrain. Die Verordnung (EU) 2023/2854, der Data Act (amtlicher deutscher Kurztitel: Datenverordnung, auf den deutschen Kommissionsseiten «Datengesetz»), trat am 11. Januar 2024 in Kraft und gilt seit dem 12. September 2025 (Art. 50 im Text, bestätigt auf der Themenseite der Kommission). Ihr Kapitel VI trägt die Überschrift «Wechsel zwischen Datenverarbeitungsdiensten», und es schreibt Ihren Exit in die Pflichten des Anbieters, Klausel für Klausel. Ich glaube, die meisten Einkäufer wissen bis heute nicht, dass es diese Klauselnummern gibt. Lesen wir sie.
Ein Lesehinweis zur deutschen Fassung dieses Beitrags: Alle Zitate aus der Verordnung folgen der amtlichen deutschen Fassung auf EUR-Lex; die protokollierten Wortsuchen ("two months", "damages", "IaaS") liefen, wie jeweils vermerkt, gegen die englische Textfassung.
Ihr SaaS-Abonnement ist ein «Datenverarbeitungsdienst»
Kapitel VI knüpft an «Datenverarbeitungsdienste» an, und Art. 2(8) definiert den Begriff vollständig:
«‹Datenverarbeitungsdienst› eine digitale Dienstleistung, die einem Kunden bereitgestellt wird und einen flächendeckenden und auf Abruf verfügbaren Netzzugang zu einem gemeinsam genutzten Pool konfigurierbarer, skalierbarer und elastischer Rechenressourcen zentralisierter, verteilter oder hochgradig verteilter Art ermöglicht, die mit minimalem Verwaltungsaufwand oder minimaler Interaktion des Diensteanbieters rasch bereitgestellt und freigegeben werden können;»
Das liest sich wie eine Beschreibung von Cloud-Infrastruktur, und eine berechtigte Frage ist, ob Ihr Compliance-Tool, Ihr CRM oder Ihr Ticketing-System sie erfüllt. Die Frage nach dem Bereitstellungsmodell beantwortet die Verordnung selbst, in Erwägungsgrund 81: «Nach allgemeinem Verständnis von Anbietern und Nutzern und im Einklang mit weit verbreiteten Standards fallen Datenverarbeitungsdienste unter eines oder mehrere der folgenden drei Modelle für die Bereitstellung von Datenverarbeitungsdiensten, nämlich ‹Infrastructure-as-a-Service› (IaaS), ‹Platform-as-a-Service› (PaaS) und ‹Software-as-a-Service› (SaaS).» SaaS ist benannt. Der Erwägungsgrund klärt die Kategorie; ob ein bestimmtes Produkt die Definition des Art. 2(8) erfüllt, ist eine Frage der konkreten Dienstmerkmale, und wenn die Antwort für Ihre Verlängerung zählt, eine für die Rechtsberatung.
Art. 1(3)(f) erstreckt die Verordnung auf «Anbieter von Datenverarbeitungsdiensten, unabhängig vom Ort ihrer Niederlassung, die Kunden in der Union solche Dienste anbieten». Wo der Anbieter sitzt, spielt keine Rolle; wo der Kunde sitzt, schon. Halten Sie den Gedanken fest — für die ehrlichen Ränder weiter unten.
Vier definierte Begriffe, die das Kapitel immer wieder verwendet, festgenagelt, bevor wir es zitieren:
- Wechsel (Art. 2(34), englisch "switching"): der Prozess des Übergangs von einem Datenverarbeitungsdienst zu einem anderen der gleichen Dienstart oder zu einer IKT-Infrastruktur in eigenen Räumlichkeiten, «auch durch Extraktion, Umwandlung und Hochladen der Daten».
- Exportierbare Daten (Art. 2(38)): «die Eingabe- und Ausgabedaten einschließlich Metadaten, die unmittelbar oder mittelbar durch die Nutzung des Datenverarbeitungsdienstes durch den Kunden oder gemeinsam generiert werden», unter Ausschluss der Vermögenswerte oder Daten, die durch Rechte des geistigen Eigentums geschützt sind oder ein Geschäftsgeheimnis des Anbieters oder Dritter darstellen. Dieser Ausschluss bekommt weiter unten einen eigenen Abschnitt.
- Digitale Vermögenswerte (Art. 2(32)): Elemente in digitaler Form, einschliesslich Anwendungen, für die der Kunde ein Nutzungsrecht hat, unabhängig von der vertraglichen Beziehung zu dem Dienst, den er verlassen will.
- Wechselentgelte (Art. 2(36)): «andere Entgelte als Standarddienstentgelte oder Sanktionen bei vorzeitiger Kündigung», erhoben für die Wechselhandlungen, die die Verordnung vorschreibt, «einschließlich Datenextraktionsentgelten» (im englischen Text: "data egress charges").
Was Sie bei der Verlängerung verlangen können, nach Klauselnummern
Art. 23 setzt den Ton: Anbieter «dürfen … keine vorkommerziellen, gewerblichen, technischen, vertraglichen und organisatorischen Hindernisse aufzwingen und müssen solche Hindernisse beseitigen», wenn sie Kunden daran hindern, zu einem anderen Anbieter der gleichen Dienstart zu wechseln, zu einer IKT-Infrastruktur in eigenen Räumlichkeiten zu portieren oder mehrere Anbieter gleichzeitig zu nutzen. Buchstabe (c) erfasst die Übertragung exportierbarer Daten und digitaler Vermögenswerte «auch nach Inanspruchnahme eines unentgeltlichen Angebots».
Dann der Vertrag selbst. Art. 25(1) verlangt, dass die Rechte und Pflichten rund um den Wechsel «eindeutig in einem schriftlichen Vertrag festgelegt» werden; der Anbieter stellt dem Kunden diesen Vertrag «vor der Vertragsunterzeichnung so bereit, dass er den Vertrag speichern und reproduzieren kann». Bevor Sie irgendetwas unterschreiben, können Sie also verlangen, die Wechselklauseln als Dokument zu sehen. Und Art. 25(2) listet auf, was dieser Vertrag mindestens enthalten muss:
- Ein Fristdeckel. «eine maximale Kündigungsfrist für die Einleitung des Wechsels, die zwei Monate nicht überschreiten darf» (25(2)(d)). Eine Volltextsuche im englischen Verordnungstext findet kein weiteres Vorkommen von "two months": dieser Deckel ist der einzige.
- Eine Übergangsfrist. Der Wechsel erfolgt «unverzüglich und in keinem Fall zu einem späteren Zeitpunkt als nach Ablauf der verbindlichen Übergangsfrist von höchstens 30 Kalendertagen» im Anschluss an diese Kündigungsfrist (25(2)(a)). Es gibt ein Ventil: Ist die 30-Tage-Frist technisch nicht durchführbar, erlaubt Art. 25(4) dem Anbieter, dies innerhalb von 14 Arbeitstagen mitzuteilen, die Undurchführbarkeit zu begründen und einen alternativen Übergangszeitraum von bis zu sieben Monaten anzugeben, bei über die gesamte Zeit sichergestellter Dienstkontinuität. Die ehrliche Lesart lautet «30 Tage im Regelfall, bis zu sieben Monate mit schriftlicher Begründung», niemals «30 Tage, Punkt».
- Ein Dateninventar. «eine erschöpfende Auflistung aller Kategorien von Daten und digitalen Vermögenswerten, die während des Wechselvollzugs übertragen werden können, einschließlich mindestens aller exportierbaren Daten» (25(2)(e)). Das ist die Klausel, die Ihnen schriftlich und im Voraus sagt, was ein Exit tatsächlich liefert.
- Ein Abruffenster. «eine Mindestfrist für den Datenabruf von mindestens 30 Kalendertagen» nach Ablauf der Übergangsfrist (25(2)(g)).
Ausserhalb des Vertrags verpflichtet Art. 26(b) den Anbieter, Ihnen «einen Verweis auf ein aktuelles Online-Register … mit Einzelheiten zu allen Datenstrukturen und Datenformaten sowie zu den einschlägigen Normen und offenen Interoperabilitätsspezifikationen» bereitzustellen, in denen die exportierbaren Daten verfügbar sind. Die URL dieses Registers können Sie heute verlangen, mitten in der Laufzeit, ohne irgendeine Wechselabsicht anzukündigen.
Auf der technischen Seite verlangt Art. 30(2), dass Anbieter «allen ihren Kunden und den betreffenden übernehmenden Anbietern von Datenverarbeitungsdiensten unentgeltlich offene Schnittstellen» bereitstellen, «um den Wechsel zu ermöglichen». Und Art. 30(5) trägt die Exportpflicht: Wo für die Dienstart keine gemeinsamen Spezifikationen oder harmonisierten Interoperabilitätsnormen im zentralen Normenregister der Union veröffentlicht wurden, «exportiert der Anbieter der Datenverarbeitungsdienste auf Verlangen des Kunden alle exportierbaren Daten in einem strukturierten, gängigen und maschinenlesbaren Format». Behalten Sie beide Qualifikationen im Blick: Die Pflicht ist der Fallback, wo keine veröffentlichten Normen für die Dienstart existieren, und sie greift auf Ihr Verlangen. Sie müssen fragen.
Was der Wechsel Sie kosten darf — bis Januar 2027, danach nichts
Das Entgeltregime hat einen Countdown, der im Text steht. Art. 29(2): «Vom 11. Januar 2024 bis zum 12. Januar 2027 dürfen Anbieter von Datenverarbeitungsdiensten bei den Kunden für den Vollzug des Wechsels ermäßigte Wechselentgelte erheben.» Art. 29(3) deckelt sie: Die ermässigten Entgelte «dürfen die Kosten, die dem Anbieter von Datenverarbeitungsdiensten im unmittelbaren Zusammenhang mit dem betreffenden Wechsel entstehen, nicht übersteigen». Und Art. 29(1): «Ab dem 12. Januar 2027 dürfen Anbieter von Datenverarbeitungsdiensten für den Vollzug des Anbieterwechsels keine Wechselentgelte mehr erheben.»
Lesen Sie 29(1) zusammen mit der Definition in Art. 2(36), denn die Null ist enger, als sie klingt. Wechselentgelte sind per Definition «andere Entgelte als Standarddienstentgelte oder Sanktionen bei vorzeitiger Kündigung». Was im Januar 2027 stirbt, ist der wechselspezifische Rechnungsposten, Datenextraktionsentgelte ("data egress charges") eingeschlossen. Sanktionen bei vorzeitiger Kündigung und gewöhnliche Dienstentgelte bleiben davon unberührt; trägt Ihr Vertrag eine Strafe für vorzeitige Kündigung, überlebt diese Strafe das Datum. Was der Anbieter Ihnen an dieser Front schuldet, ist Offenlegung: Art. 29(4) verlangt, dass er den potenziellen Kunden vor Vertragsschluss «eindeutig über die möglicherweise erhobenen Standarddienstentgelte und die bei vorzeitiger Kündigung möglicherweise auferlegten Sanktionen sowie über die ermäßigten Wechselentgelte» unterrichtet, und Art. 29(6) verlangt, diese Informationen öffentlich verfügbar zu machen.
Ein Datum lohnt die Entwirrung, denn Art. 50 trägt zwei: Der 12. September 2026 ist der aufgeschobene Geltungsbeginn für die Pflichten zu vernetzten Produkten nach Art. 3(1). Mit Kapitel VI hat er nichts zu tun. Das Wechselregime gilt seit dem 12. September 2025.
Der eigene Erklärtext der Kommission sagt, das Datengesetz werde den Wechsel «frei, schnell und flüssig machen». Der Verordnungstext ist enger und datiert, und genau das macht ihn bei der Verlängerung brauchbar: Ein offeriertes Wechselentgelt ist jetzt eine Zahl, die Sie gegen den Deckel der unmittelbar zusammenhängenden Kosten aus 29(3) verhören können, und eine Zahl mit aufgedrucktem Ablaufdatum.
Ehrliche Ränder: was die Verordnung Ihnen nicht gibt
Territorium. Art. 1(3)(f) hängt an «Kunden in der Union». Ist Ihre vertragsschliessende Einheit in der Union niedergelassen, erreicht das Kapitel Ihren Anbieter, wo immer er sitzt. Ein Nur-Schweizer Kunde eines Nur-Schweizer Anbieters steht ausserhalb dieses Satzes, ohne durchsetzbares Recht. Was bleibt, ist der normsetzende Effekt: Ein Anbieter mit EU-Kunden baut die Wechselklauseln, das Register und den Export ohnehin, und ein separater, schlechterer Vertrag für Nicht-EU-Kunden ist ein eigener Pflegeaufwand. Dieser Mechanismus ist beobachtbar, und er ist schwächer als Gesetz.
Der Geschäftsgeheimnis-Vorbehalt. Das ist der Absatz, mit dem ich als Einkäufer die meiste Zeit verbringen würde. Exportierbare Daten schliessen per Definition «die Vermögenswerte oder Daten eines Anbieters von Datenverarbeitungsdiensten oder Dritter, die durch Rechte des geistigen Eigentums geschützt sind oder ein Geschäftsgeheimnis darstellen», aus (Art. 2(38)). Art. 25(2)(f) erlaubt dem Vertrag, Datenkategorien auszunehmen, die «für die interne Funktionsweise des Datenverarbeitungsdienstes des Anbieters spezifisch sind», wo die Gefahr einer Verletzung von Geschäftsgeheimnissen besteht — «vorausgesetzt solche Ausnahmen behindern oder verzögern den Wechsel … nicht» —, und Art. 30(6) bestätigt, dass Anbieter nicht verpflichtet sind, «digitale Vermögenswerte, die durch Rechte des geistigen Eigentums geschützt sind oder ein Geschäftsgeheimnis darstellen», offenzulegen. Für den Einkäufer eines GRC-Tools heisst das: Ihre Evidenzhistorie (Eingabe- und Ausgabedaten, Metadaten eingeschlossen) sitzt innerhalb der exportierbaren Daten und sollte mitreisen. Die proprietäre Kontrollbibliothek des Anbieters, seine Mappings und Vorlagen sind genau das, was Art. 2(38) zurücklässt. Die Frage, die es bei der Verlängerung zu scopen gilt, ist also, an welchem von beiden Ihre Audit-Historie hängt. Ist Ihre Evidenz als Referenzen in die proprietäre Kontrollstruktur des Anbieters hinein gespeichert, händigt Ihnen der Export womöglich die Referenzen aus — ohne die Struktur, auf die sie zeigen.
Massgeschneiderte Dienste. Art. 31(1) schaltet «die in Artikel 23 Buchstabe d, Artikel 29 und Artikel 30 Absätze 1 und 3 festgelegten Verpflichtungen» ab für Dienste, «bei denen die meisten zentralen Funktionen auf die spezifischen Bedürfnisse eines einzelnen Kunden zugeschnitten wurden» und die «nicht im größeren kommerziellen Maßstab über den Dienstleistungskatalog» angeboten werden. Art. 29 steht auf dieser Liste: Ein tatsächlich massgeschneiderter Dienst entkommt dem Entgeltregime, die Null von 2027 eingeschlossen. Art. 25, 26 und 30(2) und (5) stehen nicht darauf; auch ein massgeschneiderter Dienst schuldet Ihnen also die schriftlichen Wechselklauseln, das Register und den Export. Und Art. 31(3) verpflichtet den Anbieter, Ihnen vor Vertragsschluss mitzuteilen, welche Pflichten des Kapitels nicht gelten.
Funktionsäquivalenz gibt es für Infrastruktur. Art. 30(1) legt die Pflicht, Funktionsäquivalenz zu ermöglichen, nur Anbietern von Diensten auf, die «auf Infrastrukturelemente wie Server, Netze und die für den Betrieb der Infrastruktur erforderlichen virtuellen Ressourcen beschränkt sind», aber «keinen Zugang zu den Betriebsdiensten, zur Software und zu den Anwendungen gewähren». Das Akronym "IaaS" kommt im englischen Text in keinem der Artikel vor (seine zwei Vorkommen stehen in den Erwägungsgründen 81 und 86), und der letzte Satz von Erwägungsgrund 86 trägt das Etikett: «Anbieter von Datenverarbeitungsdiensten sind nach der vorliegenden Verordnung nur zur Erleichterung der Funktionsäquivalenz verpflichtet, wenn sie Dienste des Bereitstellungsmodells IaaS anbieten.» Als SaaS-Einkäufer sind Ihre Rechte die Schnittstellen und der Export; eine funktionierende Replik des Dienstes auf der Zielseite steht nirgends im Text.
Durchsetzung. Jeder Mitgliedstaat benennt eine oder mehrere zuständige Behörden (Art. 37(1)), und Art. 38(1) gibt natürlichen und juristischen Personen «das Recht, einzeln oder gegebenenfalls gemeinsam» bei der jeweils zuständigen Behörde «Beschwerde einzulegen». Sanktionen festzulegen ist Sache der Mitgliedstaaten nach Art. 40(1); die Geldbussen in DSGVO-Höhe aus Art. 40(4) hängen an den Kapiteln II, III und V, und Kapitel VI ist nicht darunter. Eine Volltextsuche im englischen Verordnungstext findet null Treffer für "damages". Also kalibrieren: eine Verhandlungsposition mit einem Beschwerdeweg zur Aufsicht im Rücken, ohne privaten Schadensersatzanspruch im Text des Kapitels.
Drei Fragen vor der Unterschrift
Enthält der Vertrag auf dem Tisch die Klauseln aus Art. 25(2)? Die schriftlichen Wechselklauseln stehen Ihnen vor der Unterschrift zu (Art. 25(1)). Prüfen Sie die Kündigungsfrist gegen den Zwei-Monats-Deckel aus 25(2)(d), suchen Sie die 30-Kalendertage-Übergangsfrist aus 25(2)(a) und das Abruffenster aus 25(2)(g). Fehlen sie, ist die Frage, wo sie stehen, eine zumutbare Verlängerungs-E-Mail: Die Klauselnummern argumentieren für Sie.
Liegen Ihre Daten tatsächlich im Export? Verlangen Sie die erschöpfende Auflistung nach 25(2)(e) und die Register-URL nach Art. 26(b), und lesen Sie beide gegen die Geschäftsgeheimnis-Ausnahmen aus 25(2)(f). Der tragende Check für ein Compliance-Tool: Landet Ihre Evidenzhistorie in den exportierbaren Daten, oder existiert sie nur als Referenzen in proprietäre Anbieterinhalte, die Art. 2(38) ausschliesst? Dann üben Sie Art. 30(5) einmal aus, an einem ruhigen Termin, als Probe: Die Exportpflicht läuft auf Ihr Verlangen, und das erste Verlangen sollte nicht mitten in einer Kündigung passieren. Liegt der Export erst einmal vor Ihnen, lautet die nächste Frage, welche Form er hat: ein gepflegtes Kontrollset mit Framework-Mappings oder Silos pro Framework? Über diesen Trade-off habe ich in Ein Kontrollset: NIS2 Art. 21(2), die CC-Serie von SOC 2 und CRA Anhang I, nebeneinander gelesen geschrieben.
Was kostet der Wechsel, auf dem Papier? Wird ein Wechselentgelt offeriert, mappen Sie es auf Art. 29(3): Aus welchen Kosten besteht es, und wie stehen diese «im unmittelbaren Zusammenhang mit dem betreffenden Wechsel»? Fragen Sie, was am 12. Januar 2027 mit diesem Rechnungsposten passiert, und denken Sie an die Grenze: Sanktionen bei vorzeitiger Kündigung stehen ausserhalb der Definition des Art. 2(36) und überleben das Datum. Und beschreibt der Anbieter den Dienst als massgeschneidert, verlangen Sie die Auskunft nach Art. 31(3), welche Kapitelpflichten nicht gelten; steht Art. 29 darauf, läuft der Countdown für Sie nicht.
Das Verlängerungsschreiben, neu gelesen
Zurück zum Verlängerungsschreiben. Die Offerte hat sich nicht geändert; geändert hat sich letzten September, dass der ungescopte Exit — das, was die Unterschrift unausweichlich wirken liess — jetzt Vertragsinhalt mit Klauselnummern ist. Bevor Sie antworten, ziehen Sie den laufenden Vertrag und suchen Sie die Klauseln aus Art. 25. Stehen sie drin, haben Sie einen gescopten, terminierten, bepreisten Exit, gegen den Sie die Verlängerung abwägen können. Fehlen sie, ist das Ihre erste Rückfrage — und Sie dürfen sie mit Nummer stellen.
devguard hält Ihre Evidenz und Ihr Kontrollset in exportierbarer, framework-gemappter Form: devguard.ch.