Cloud-Exit-Strategie: Was der Data Act Ihnen gibt — und was Sie selbst bauen müssen

Eine Cloud-Exit-Strategie ist der geplante und erprobte Weg, Daten und Anwendungen von einem Cloud-Anbieter zu einem anderen oder in die eigene Infrastruktur zu überführen. Seit dem 12. September 2025 unterstützt die europäische Datenverordnung diesen Weg mit einklagbaren Pflichten: Anbieter müssen Wechselhindernisse beseitigen, Verträge mit Kündigungsfristen von höchstens zwei Monaten und einem Übergangszeitraum von 30 Tagen ausstatten und ab dem 12. Januar 2027 auf Wechselentgelte vollständig verzichten. Was die Verordnung nicht leistet, ist die technische Wechselfähigkeit: Funktionsäquivalenz schuldet nur, wer Infrastrukturdienste anbietet. Bei Plattform- und Softwarediensten beschränkt sich die Pflicht auf offene Schnittstellen — die Architektur muss der Kunde selbst darauf auslegen.

Das Wichtigste in Kürze

  • Eine Cloud-Exit-Strategie ist der geplante und erprobte Weg aus einem Cloud-Dienst heraus — zu einem anderen Anbieter oder zurück in die eigene Infrastruktur.
  • Die europäische Datenverordnung (Verordnung (EU) 2023/2854, „Data Act“) gilt seit dem 12. September 2025 und macht den Anbieterwechsel zu einem durchsetzbaren Recht.
  • Artikel 25 begrenzt die Kündigungsfrist auf höchstens zwei Monate und den Übergangszeitraum auf 30 Kalendertage — bei technischer Undurchführbarkeit auf bis zu sieben Monate. Danach bleiben die Daten mindestens 30 Kalendertage abrufbar.
  • Ab dem 12. Januar 2027 dürfen Anbieter nach Artikel 29 keine Wechselentgelte mehr erheben. Bis zum 11. Januar 2027 sind ermäßigte, auf die tatsächlichen Kosten gedeckelte Entgelte zulässig.
  • Artikel 30 unterscheidet nach Diensttyp: Funktionsäquivalenz schulden nur Anbieter von Infrastrukturdiensten. Bei Plattform- und Softwarediensten reicht eine unentgeltliche offene Schnittstelle.
  • Artikel 31 nimmt maßgeschneiderte Dienste und nicht produktionsbereite Testversionen von den Wechselpflichten aus.
  • Artikel 32 verpflichtet Anbieter, staatlichen Zugriff aus Drittländern auf nicht personenbezogene Daten zu verhindern, soweit er dem Unionsrecht widerspricht. Für personenbezogene Daten gilt weiterhin die Datenschutz-Grundverordnung.
  • In Deutschland ist seit dem 30. Mai 2026 die Bundesnetzagentur zuständig (§ 2 DADG). Verstöße gegen die Wechselpflichten kosten nach § 15 DADG bis zu 100.000 oder 50.000 Euro — nicht die oft zitierten fünf Millionen.

Artikel als PDF speichernPer E-Mail weitergeben

Was Vendor Lock-in ist — und was eine Cloud-Exit-Strategie ist

Vendor Lock-in ist die Abhängigkeit von einem Anbieter, die einen Wechsel unverhältnismäßig teuer, langsam oder technisch unmöglich macht. Er entsteht selten durch eine Entscheidung. Er entsteht durch viele kleine, jede für sich vernünftig: ein verwalteter Dienst statt einer selbst betriebenen Datenbank, ein proprietäres Ereignisformat, eine Identitätsverwaltung, die alles andere trägt, ein Data Warehouse, dessen Abfragesprache nur dort funktioniert.

Eine Cloud-Exit-Strategie ist der geplante und erprobte Weg aus einem Cloud-Dienst heraus — zu einem anderen Anbieter oder zurück in die eigene Infrastruktur. Drei Wörter davon tragen die Definition. Geplant, weil ein Exit, den niemand vorbereitet hat, im Ernstfall Monate dauert. Erprobt, weil ein Plan, den niemand getestet hat, keine Aussage über die Machbarkeit erlaubt. Und heraus, weil es nicht um Migration im Allgemeinen geht, sondern um die Rückgewinnung einer Wahlmöglichkeit.

Der Unterschied zwischen beiden Begriffen ist die Blickrichtung. Lock-in beschreibt einen Zustand, den man feststellt. Der Exit beschreibt eine Fähigkeit, die man aufbaut. Und seit gut einem Jahr beschreibt er zusätzlich ein Recht, das man hat.

Warum das seit dem 12. September 2025 kein reines Architekturthema mehr ist

Bis vor Kurzem war die Wechselfähigkeit eine Frage guter Planung. Wer sie versäumte, hatte ein Problem mit sich selbst. Verhandelt wurde sie im Vertrag, und wer wenig Einkaufsmacht hatte, verhandelte wenig.

Das hat sich geändert. Die Verordnung (EU) 2023/2854 — die europäische Datenverordnung, meist „Data Act“ genannt — gilt seit dem 12. September 2025. Ihr Kapitel VI trägt die Überschrift „Wechsel zwischen Datenverarbeitungsdiensten“ und richtet sich an die Anbieter. Sie schuldet den Kunden nicht Wohlwollen, sondern Verhalten.

Der Einstieg in dieses Kapitel ist Artikel 23 mit der Überschrift „Beseitigung von Hindernissen für einen wirksamen Wechsel“. Die Vorschrift verpflichtet Anbieter, ihren Kunden den Wechsel zu einem Dienst derselben Art zu ermöglichen — oder mehrere Anbieter parallel zu nutzen. Und sie benennt die Hindernisse, die zu beseitigen sind:

  • die Kündigung des Vertrags nach der zulässigen Ankündigungsfrist,
  • der Abschluss neuer Verträge mit anderen Anbietern,
  • der Export der Daten zu einem anderen Anbieter oder in die eigene Infrastruktur,
  • die Funktionsäquivalenz beim Wechsel,
  • die Trennung einzelner Dienste voneinander, soweit technisch machbar.

Die Verordnung beschreibt die Hindernisse selbst als vorkommerziell, gewerblich, technisch, vertraglich und organisatorisch. Das ist die entscheidende Aufzählung, weil sie klarstellt: Auch ein Hindernis, das niemand in einen Vertrag geschrieben hat, ist eines. Wer den Export nur über ein Format anbietet, das kein anderer lesen kann, hindert — auch ohne Klausel.

Was im Vertrag stehen muss

Artikel 25 trägt die Überschrift „Vertragsklauseln für den Wechsel“ und ist der Artikel, den man beim nächsten Vertrag danebenlegt. Er schreibt vor, was ein Vertrag über einen Datenverarbeitungsdienst zu regeln hat. Die Bundesnetzagentur beschreibt die Fristen auf ihrer Fachseite zum Anbieterwechsel.

Die Kündigungsfrist beträgt höchstens zwei Monate. Das ist die Zeit, die der Anbieter zur technischen Vorbereitung des Wechsels hat. Ein Vertrag, der eine längere Ankündigung verlangt, hält der Vorschrift nicht stand.

Der Übergangszeitraum beträgt höchstens 30 Kalendertage. In dieser Zeit läuft der Wechsel. Lässt er sich darin technisch nicht durchführen, muss der Anbieter das innerhalb von 14 Arbeitstagen mitteilen; der Zeitraum kann dann auf bis zu sieben Monate verlängert werden.

Der Abrufzeitraum beträgt danach mindestens 30 Kalendertage. In dieser Frist bleiben die Daten beim bisherigen Anbieter abrufbar. Erst danach wird gelöscht.

Dazu kommen inhaltliche Pflichten. Der Vertrag muss festlegen, wann er als beendet gilt, er muss die Ausstiegsstrategie des Kunden unterstützen, und er muss die übertragbaren Datenkategorien erschöpfend auflisten — samt derjenigen, die nicht übertragbar sind.

Die erschöpfende Auflistung ist die unterschätzte Pflicht. Sie zwingt den Anbieter, vor Vertragsschluss zu sagen, was am Ende mitkommt. Wer diese Liste liest, weiß, wo sein Lock-in sitzt — vor der Unterschrift statt nach der Kündigung.

Zwei Vorschriften, die den Rahmen abstecken

Artikel 24 trägt die Überschrift „Tragweite der technischen Verpflichtungen“ und zieht eine Grenze, die in Ausschreibungen regelmäßig übersehen wird: Die Verantwortung der Anbieter gilt nur für die Dienste, Verträge oder Geschäftsgepflogenheiten, die vom ursprünglichen Anbieter selbst angeboten wurden.

Übersetzt: Der Anbieter schuldet den Wechsel für das, was er selbst liefert. Was ein Partner, ein Wiederverkäufer oder ein aufgesetzter Dienst eines Dritten beisteuert, fällt nicht darunter. Wer über einen Systemintegrator bezieht, sollte deshalb wissen, wer im Sinne der Verordnung sein Anbieter ist — die Antwort steht nicht immer auf der Rechnung.

Artikel 27 verpflichtet zum Handeln nach Treu und Glauben und nimmt eine Partei in die Pflicht, an die man beim Exit selten denkt: den aufnehmenden Anbieter. Alle Beteiligten sollen zusammenarbeiten, damit der Wechsel wirksam vollzogen wird und der Dienst weiterläuft.

Das ist eine weiche Norm, und sie ist trotzdem nützlich. Sie gibt dem Wechselnden ein Argument gegenüber beiden Seiten — auch gegenüber dem neuen Anbieter, dessen Interesse an einer sauberen Übernahme mit dem Vertragsabschluss nicht endet.

Was der Anbieter sagen muss, bevor Sie unterschreiben

Artikel 26 trägt die Überschrift „Informationspflicht der Anbieter von Datenverarbeitungsdiensten“ und verlagert einen Teil der Arbeit dorthin, wo er hingehört: vor den Vertragsschluss.

Der Anbieter muss über die verfügbaren Wechsel- und Übertragungsverfahren informieren — einschließlich der Methoden und Formate sowie der bekannten Einschränkungen und technischen Beschränkungen. Und er muss auf ein aktuelles Online-Register verweisen, das Datenstrukturen, Datenformate und einschlägige Normen für die exportierbaren Daten ausweist.

Der Halbsatz zu den bekannten Einschränkungen ist der wertvollste Teil dieser Vorschrift. Er verpflichtet den Anbieter, von sich aus zu benennen, wo sein Dienst beim Wechsel klemmt. Wer diese Information vor der Unterschrift verlangt und liest, führt eine Diskussion über Lock-in, solange er noch Verhandlungsmacht hat — und nicht drei Jahre später, wenn sie weg ist.

In der Praxis lohnt es sich, diese Auskunft schriftlich zu erbitten und zu archivieren. Sie ist zugleich Entscheidungsgrundlage und Dokumentation.

Was er kosten darf — und der 12. Januar 2027

Artikel 29 trägt die Überschrift „Schrittweise Abschaffung von Wechselentgelten“ und enthält das Datum, das diesen Artikel trägt.

Ab dem 12. Januar 2027 dürfen nach Darstellung der Bundesnetzagentur überhaupt keine Wechselentgelte mehr erhoben werden.

Bis dahin gilt die Übergangsregelung: Vom 11. Januar 2024 bis zum 11. Januar 2027 dürfen Anbieter ermäßigte Wechselentgelte verlangen — und zwar nur für Kosten, die in unmittelbarem Zusammenhang mit dem Wechsel stehen.

Zwei Dinge folgen daraus für die Praxis.

Erstens: Wer heute wechselt, zahlt höchstens die Kosten, die dem Anbieter unmittelbar durch den Wechsel entstehen — nicht die Gebühr, die in einer alten Preisliste steht.

Zweitens, und das ist die eigentliche Frage: Ein Vertrag, der über den 12. Januar 2027 hinausläuft, wechselt an diesem Tag in ein anderes Regime. Wer den Ausstieg ohnehin erwägt, hat einen datierten Grund, ihn nicht vor diesem Tag zu vollziehen.

Was technisch geschuldet ist — und warum das vom Diensttyp abhängt

Artikel 30 trägt die Überschrift „Technische Aspekte des Wechsels“ und unterscheidet, was viele Ratgeber zusammenwerfen. Die Bundesnetzagentur stellt beide Fälle nebeneinander.

Für Infrastrukturdienste (IaaS) gilt die weitreichende Pflicht: Anbieter müssen alle ihnen vernünftigerweise zur Verfügung stehenden Maßnahmen ergreifen, damit nach dem Wechsel zu einem Dienst derselben Art Funktionsäquivalenz erreicht wird — und dafür angemessene Informationen, technische Dokumentation, technische Unterstützung und Kapazitäten bereitstellen.

Für Plattform- und Softwaredienste (PaaS und SaaS) gilt weniger: Anbieter müssen Kunden und aufnehmenden Anbietern unentgeltlich eine offene Schnittstelle für die betriebenen Dienste bereitstellen, samt der notwendigen Dokumentation. Funktionsäquivalenz wird hier nicht geschuldet.

Dieser Unterschied entscheidet über die Wechselkosten, und er steht selten in den Ratgebern. Wer eine virtuelle Maschine betreibt, kann erwarten, dass sie anderswo vergleichbar läuft. Wer einen verwalteten Plattformdienst nutzt — eine serverlose Funktionsumgebung, ein anbietereigenes Nachrichtensystem, ein Data Warehouse mit eigener Abfragesprache — bekommt eine Schnittstelle und die Auskunft, was exportierbar ist. Den funktionalen Ersatz muss er selbst bauen.

Wo es keine gemeinsamen Spezifikationen gibt, greift die Auffangregel: Export aller Daten in einem strukturierten, gängigen und maschinenlesbaren Format. Für die Kompatibilität mit gemeinsamen Spezifikationen sieht die Vorschrift eine Frist von mindestens zwölf Monaten nach deren Veröffentlichung vor — diese Frist ist in § 15 Absatz 2 Nummer 23 DADG eigens bußgeldbewehrt.

Und sie zieht eine Grenze: Anbieter müssen keine neuen Technologien entwickeln und keine Geschäftsgeheimnisse offenlegen. Wer erwartet, dass ein Anbieter die Interna seines Dienstes preisgibt, damit der Wechsel leichter fällt, erwartet mehr, als die Verordnung verlangt.

Wo das Wechselrecht nicht greift

Artikel 31 ist die Vorschrift, die im Einzelfall alles kippt. Die Wechselpflichten gelten nicht für Datenverarbeitungsdienste, die individuell auf die Bedürfnisse eines einzelnen Kunden zugeschnitten oder für ihn entwickelt wurden — vorausgesetzt, sie werden nicht in größerem kommerziellem Maßstab angeboten. Ebenfalls ausgenommen sind nicht produktionsbereite Versionen zu Test- und Bewertungszwecken, und zwar für einen begrenzten Zeitraum.

Wo diese Ausnahmen greifen, muss der Anbieter den Kunden vor Vertragsschluss darüber informieren, welche Pflichten nicht gelten. Diese Unterrichtungspflicht ist bußgeldbewehrt (§ 15 Absatz 2 Nummer 25 DADG).

Für die Praxis heißt das: Gerade die individuell gebaute Lösung, die als besonders passgenau verkauft wurde, kann außerhalb des Wechselrechts liegen. Wer eine solche Konstellation hat, sollte die vorvertragliche Information verlangen und lesen — sie ist der Beleg dafür, wo man steht.

Drittstaaten-Zugriff — und seine Grenze

Dies ist der Abschnitt, um den es geht, wenn von Souveränität die Rede ist. Kapitel VII der Datenverordnung enthält nach Darstellung der Bundesnetzagentur Regelungen, die in der Europäischen Union gespeicherte nicht personenbezogene Daten vor unrechtmäßigem Zugriff durch Behörden aus Drittländern schützen sollen. Die Voraussetzungen regelt Artikel 32.

Anbieter müssen vor einer Herausgabe prüfen, ob der Zugriff einer Behörde oder eines Gerichts aus einem Drittland überhaupt zulässig ist. Zugriff auf in der EU gespeicherte Daten darf nicht gewährt werden, wenn er europäisches Recht verletzen oder Grundrechte, die nationale Sicherheit oder Verteidigungsinteressen der Union oder ihrer Mitgliedstaaten beeinträchtigen würde.

Zwei Einschränkungen gehören dazu, und sie werden regelmäßig überlesen.

Erstens: Es geht um nicht personenbezogene Daten. Für personenbezogene Daten gilt weiterhin die Datenschutz-Grundverordnung mit ihrem eigenen Regime für Drittlandsübermittlungen. Wer Artikel 32 als allgemeine Antwort auf den US-amerikanischen CLOUD Act darstellt, verkürzt.

Zweitens: Der Widerspruch zum Unionsrecht ist die Bedingung. Ein Zugriff, der auf einer internationalen Vereinbarung beruht — etwa einem Rechtshilfeabkommen — wird von der Vorschrift nicht in derselben Weise erfasst. Die Bundesnetzagentur unterstützt Anbieter dabei, die nach Artikel 32 erforderlichen Stellungnahmen der zuständigen nationalen Behörden einzuholen.

Welche vertraglichen Fragen daneben entstehen, wenn Leistungen aus dem EU-Ausland kommen, behandelt unser Beitrag zur Rechtssicherheit im EU-Nearshoring.

Dieser Abschnitt ist eine Darstellung der Rechtslage, keine Rechtsberatung. Wie sich Artikel 32 im Einzelfall zu ausländischen Zugriffsbefugnissen verhält, ist eine juristische Frage, die dieser Artikel nicht entscheidet und die in fachkundige Hände gehört.

Wer das durchsetzt — und was Verstöße wirklich kosten

Ein Recht ohne Vollzug ist eine Absichtserklärung. In Deutschland ist der Vollzug geregelt.

Das Datenverordnung-Anwendungs-und-Durchsetzungs-Gesetz (DADG) bestimmt in § 2 die Bundesnetzagentur zur zuständigen Behörde nach Artikel 37 Absatz 1 der Datenverordnung. § 3 weist der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit die Aufsicht zu, soweit personenbezogene Daten betroffen sind. Die Behörde hat ihre Zuständigkeit am 30. Mai 2026 öffentlich gemacht und nennt darin ausdrücklich die Überwachung der Wechselregeln für Cloud-Anbieter.

Und hier lohnt der Blick in den Normtext, weil die kursierende Zahl in die Irre führt.

Die oft zitierten fünf Millionen Euro stehen in § 15 Absatz 4 DADG — aber nur für einen einzigen Tatbestand: § 15 Absatz 2 Nummer 9, also dafür, einen Nutzer aufzufordern oder durch geschäftliche Anreize dazu zu veranlassen, entgegen Artikel 5 Absatz 3 der Datenverordnung Daten bereitzustellen. Für juristische Personen mit einem weltweiten Gesamtumsatz von mehr als 250 Millionen Euro kann dieselbe Ordnungswidrigkeit nach § 15 Absatz 5 stattdessen mit bis zu zwei Prozent des Gesamtumsatzes geahndet werden.

Mit den Wechselpflichten hat das nichts zu tun. Wer gegen Kapitel VI verstößt, liegt eine bis zwei Stufen darunter:

Verstoß Fundstelle Bußgeld bis zu
Wechselhindernis aufzwingen (Art. 23) § 15 Abs. 2 Nr. 19 100.000 €
Schnittstelle fehlt (Art. 30 Abs. 2) § 15 Abs. 2 Nr. 22 100.000 €
Kompatibilitätsfrist versäumt (Art. 30 Abs. 3) § 15 Abs. 2 Nr. 23 100.000 €
Kunden nicht über Ausnahmen unterrichtet (Art. 31 Abs. 3) § 15 Abs. 2 Nr. 25 100.000 €
Vertrag nicht bereitgestellt (Art. 25 Abs. 1) § 15 Abs. 2 Nr. 20 50.000 €
Vorvertragliche Information fehlt (Art. 26) § 15 Abs. 2 Nr. 21 50.000 €
Daten nicht exportiert (Art. 30 Abs. 5) § 15 Abs. 2 Nr. 24 50.000 €

Die Zuordnung ergibt sich aus § 15 Absatz 4 DADG: Der 500.000-Euro-Rahmen gilt für Absatz 1 Nummer 2 und Absatz 2 Nummern 1, 2, 6, 7, 12 und 13, der 100.000-Euro-Rahmen für Absatz 1 Nummer 1, Absatz 2 Nummern 8, 10, 11, 14, 16 bis 19, 22, 23 und 25 sowie Absatz 3; alle übrigen Fälle des Absatzes 2 liegen bei 50.000 Euro.

Das ist die ehrliche Einordnung. Die Wechselpflichten sind bußgeldbewehrt, aber in einer Größenordnung, die einen Hyperscaler nicht beeindruckt. Die eigentliche Durchsetzungskraft liegt nicht im Bußgeld, sondern darin, dass es eine Adresse gibt: Nach § 15 Absatz 7 DADG ist die Bundesnetzagentur zugleich Verwaltungsbehörde im Bußgeldverfahren.

Was der Data Act nicht leistet

Ein Wechselrecht schafft keine Wechselfähigkeit. Das ist der Satz, um den dieser Artikel gebaut ist, und er verdient einen eigenen Abschnitt.

Die Verordnung räumt Hindernisse aus dem Weg, die zwischen Anbieter und Kunde stehen: Fristen, Entgelte, verweigerte Auskunft, fehlende Schnittstellen. Sie räumt keine Hindernisse aus dem Weg, die innerhalb der eigenen Systeme liegen. Und dort sitzen die teuersten.

Vier davon, die in keiner Norm stehen:

Die Datenmenge. Ein Export in strukturiertem, maschinenlesbarem Format ist geschuldet. Ob mehrere hundert Terabyte in 30 Kalendertagen tatsächlich übertragen werden können, ist eine Frage der Leitung, nicht des Rechts.

Die Anwendungslogik. Wer Geschäftslogik in anbietereigene Dienste gelegt hat — in Funktionen, Ereignisregeln, verwaltete Abfragesprachen —, bekommt seine Daten. Die Logik bekommt er nicht.

Die Identitäten. Zugriffsrechte, Rollen und Verzeichnisdienste sind selten Teil der exportierbaren Datenkategorien und oft die Stelle, an der ein Umzug tatsächlich hängen bleibt.

Das Wissen. Wer den Aufbau gebaut hat, ist häufig nicht mehr im Haus. Ein Exit ohne Menschen, die den Bestand kennen, ist ein Projekt mit unbekannter Laufzeit.

Deshalb ist die ehrliche Fassung dieses Artikels nicht „der Data Act löst das Problem“, sondern: Er nimmt Ihnen die Ausreden des Anbieters. Die eigenen nimmt er Ihnen nicht ab.

Die Architekturfrage

Wenn das Recht die Hindernisse zwischen den Parteien abräumt, bleibt die Frage, die vorher unter ihnen verborgen lag: Ist unser System so gebaut, dass wir gehen könnten?

Diese Frage lässt sich nicht juristisch beantworten und nicht mit einer Checkliste. Sie beantwortet sich in drei Feldern.

Erstens, die Wahl der Dienste. Nach Artikel 30 ist die geschuldete Unterstützung bei Infrastrukturdiensten weitreichender als bei Plattform- und Softwarediensten. Wer verwaltete Dienste nutzt, kauft Geschwindigkeit und zahlt mit Wechselaufwand. Das ist keine Warnung, sondern eine Rechnung, die man vor der Entscheidung aufmachen kann — und einer der Gründe, warum eine Multi-Cloud-Strategie den Lock-in verschiebt statt ihn aufzulösen.

Zweitens, die Trennung. Artikel 23 nennt die Trennbarkeit einzelner Dienste als eines der Hindernisse, die zu beseitigen sind — soweit technisch machbar. Was auf der eigenen Seite nicht getrennt ist, lässt sich auch vom Anbieter nicht trennen.

Drittens, der Test. Ein Exit-Plan, der nie ausprobiert wurde, ist eine Vermutung. Wer den Weg in die Cloud dokumentiert hat, hat den halben Rückweg schon beschrieben — welche Fragen dabei zuerst zu klären sind, steht in unserem Beitrag zur Cloud-Migration.

Und dahinter steht die Frage, die im Souveränitätsdiskurs regelmäßig fehlt: Wer macht das? Ein Exit-Projekt braucht Menschen, die die alte Umgebung kennen und die neue bauen können. Beides gleichzeitig, unter Zeitdruck, neben dem laufenden Betrieb. Souveränität, die an dieser Stelle scheitert, ist keine Frage der Haltung gewesen, sondern der Kapazität.

Wie man einen Exit erprobt, ohne ihn zu vollziehen

Der Satz „wir haben eine Exit-Strategie“ hat zwei Bedeutungen. Die eine heißt: Es gibt ein Dokument. Die andere heißt: Wir wissen, wie lange es dauert und was dabei kaputtgeht. Zwischen beiden liegt ein Test.

Ein Testexport ist kein Umzug. Er nimmt eine einzelne, nicht kritische Anwendung und führt sie einmal vollständig durch den Weg, den ein echter Exit nehmen würde — Export, Übertragung, Wiederinbetriebnahme, Prüfung. Danach wird das Ergebnis verworfen. Was bleibt, sind Zahlen, die vorher niemand hatte.

Vier Dinge misst ein solcher Test, die kein Vertrag hergibt.

Wie lange der Export tatsächlich dauert. Nicht, wie lange er dauern dürfte, sondern wie lange er bei der eigenen Datenmenge über die eigene Leitung braucht. Der Übergangszeitraum beträgt 30 Kalendertage — ob das reicht, ist eine Frage der Messung, nicht der Vermutung.

Was im Export fehlt. Der Unterschied zwischen der Liste der übertragbaren Datenkategorien und dem, was am Ende funktionsfähig ankommt, ist die eigentliche Größe. Berechtigungen, Verknüpfungen, Verlaufsdaten und Konfiguration stehen selten vollständig auf der Liste.

Wer die Fragen beantworten kann. Ein Test zeigt binnen Tagen, ob das Wissen über einen Systemaufbau noch im Haus ist. Diese Antwort ist unangenehm und deshalb wertvoll — sie kommt sonst erst im Ernstfall.

Was der Wiederaufbau kostet. Nicht in Lizenzen, sondern in Personentagen. Das ist die Zahl, die eine Exit-Entscheidung trägt oder verhindert, und sie lässt sich nicht schätzen, ohne sie einmal gemessen zu haben.

Ein guter Zeitpunkt für den ersten Test ist vor der nächsten Vertragsverlängerung, nicht danach. Wer weiß, was ein Exit kostet, verhandelt anders — und zwar unabhängig davon, ob er ihn je vollzieht. Das ist der stille Nutzen einer erprobten Exit-Fähigkeit: Sie wirkt, bevor man sie braucht.

Dieser Abschnitt beruht auf Projekterfahrung, nicht auf einer Norm. Die genannten Fristen stammen aus Artikel 25 der Verordnung.

Vier Fragen zur Vorbereitung

Erstens: Was steht in unseren Verträgen — und halten sie Artikel 25 stand? Kündigungsfrist über zwei Monate, kein definierter Übergangszeitraum, keine erschöpfende Liste der übertragbaren Datenkategorien: Jede dieser drei Lücken ist ein Ansatzpunkt. Bei laufenden Verträgen lohnt der Blick jetzt, nicht bei der Kündigung.

Zweitens: Welche unserer Dienste sind IaaS, welche PaaS oder SaaS? Die Antwort entscheidet nach Artikel 30, wie viel technische Unterstützung geschuldet ist. Eine Bestandsaufnahme entlang dieser Grenze zeigt in einem Vormittag, wo der teure Teil eines Exits läge.

Drittens: Läuft ein Vertrag über den 12. Januar 2027 hinaus? Ab diesem Tag fallen die Wechselentgelte weg. Wer einen Ausstieg ohnehin erwägt, hat einen datierten Grund für das Timing.

Viertens: Haben wir den Weg jemals ausprobiert? Ein Testexport einer einzelnen, nicht kritischen Anwendung beantwortet mehr Fragen als jede Vertragsprüfung — und er beantwortet sie, bevor jemand die Antwort dringend braucht.

Was offen ist

Die Durchsetzungspraxis. Die Bundesnetzagentur ist zuständig. Wie sie die Wechselregeln in der Praxis überwacht, welche Beschwerden eingehen und wie sie entschieden werden, lässt sich noch nicht sagen. Öffentlich zugängliche Entscheidungen zu Kapitel VI liegen uns nicht vor.

Die Interoperabilitätsspezifikationen. Artikel 30 knüpft an gemeinsame Spezifikationen an, mit einer Frist von mindestens zwölf Monaten nach deren Veröffentlichung. Welche Spezifikationen dort für welche Dienstarten stehen, haben wir nicht geprüft — das ist eine eigene Recherche.

Der Verordnungstext selbst. EUR-Lex war für unseren automatisierten Abruf nicht erreichbar; jeder Versuch endete mit einer leeren Antwort. Die Inhalte der Artikel 23 bis 32 sind deshalb über die Fachseiten der Bundesnetzagentur belegt — eine amtliche deutsche Quelle, aber nicht das Amtsblatt. Die Paragrafen des DADG liegen dagegen im Wortlaut vor.

Ihr nächster Schritt

Die vier Fragen aus dem vorigen Abschnitt lassen sich in einem Vormittag beantworten. Der Testexport dauert länger — und sagt Ihnen, was Ihre Verträge nicht sagen können. Wir gehen Vertragslage, Dienstlandschaft und Exit-Pfad mit Ihnen durch, bevor der Ernstfall die Reihenfolge bestimmt, und verankern das Ergebnis in Cloud-Governance und Compliance — mit Senior-Steuerung in Deutschland.

Gespräch vereinbaren

Häufige Fragen

Was ist eine Cloud-Exit-Strategie?

Der geplante und erprobte Weg, Daten und Anwendungen von einem Cloud-Anbieter zu einem anderen oder in die eigene Infrastruktur zu überführen. Entscheidend sind die Wörter „geplant“ und „erprobt“: Ein Plan, den niemand getestet hat, erlaubt keine Aussage über die Machbarkeit.

Was ist Vendor Lock-in?

Die Abhängigkeit von einem Anbieter, die einen Wechsel unverhältnismäßig teuer, langsam oder technisch unmöglich macht. Er entsteht meist nicht durch eine Entscheidung, sondern durch viele kleine.

Was ist der Data Act?

Die Verordnung (EU) 2023/2854 über harmonisierte Vorschriften für einen fairen Datenzugang und eine faire Datennutzung, auch europäische Datenverordnung genannt. Sie gilt seit dem 12. September 2025.

Wie lange darf die Kündigungsfrist sein?

Höchstens zwei Monate. Die Bundesnetzagentur beschreibt diese Frist als die Zeit, die der Anbieter zur technischen Vorbereitung des Wechsels hat.

Wie lange dauert der Übergangszeitraum?

Höchstens 30 Kalendertage. Lässt sich der Wechsel darin technisch nicht durchführen, muss der Anbieter das innerhalb von 14 Arbeitstagen mitteilen; der Übergangszeitraum kann dann auf bis zu sieben Monate verlängert werden. Anschließend bleiben die Daten mindestens 30 Kalendertage abrufbar.

Ab wann ist der Cloud-Wechsel kostenlos?

Ab dem 12. Januar 2027. Nach Artikel 29 dürfen Anbieter ab diesem Tag keine Wechselentgelte mehr erheben. Im Übergangszeitraum vom 11. Januar 2024 bis zum 11. Januar 2027 sind ermäßigte Entgelte zulässig, begrenzt auf die Kosten, die dem Anbieter unmittelbar durch den Wechsel entstehen.

Schuldet mir der Anbieter, dass alles genauso funktioniert wie vorher?

Das hängt vom Diensttyp ab. Nach Artikel 30 gilt die Pflicht zur Funktionsäquivalenz für Anbieter von Infrastrukturdiensten (IaaS). Bei Plattform- und Softwarediensten (PaaS, SaaS) beschränkt sich die Pflicht auf eine unentgeltliche offene Schnittstelle samt Dokumentation.

Gilt das Wechselrecht für jeden Cloud-Dienst?

Nein. Artikel 31 nimmt Dienste aus, die individuell auf einen einzelnen Kunden zugeschnitten oder für ihn entwickelt wurden, sofern sie nicht in größerem kommerziellem Maßstab angeboten werden. Ebenfalls ausgenommen sind nicht produktionsbereite Testversionen für einen begrenzten Zeitraum.

Schützt der Data Act meine Daten vor dem US-amerikanischen CLOUD Act?

Nur eingeschränkt. Kapitel VII der Datenverordnung schützt nach Darstellung der Bundesnetzagentur in der EU gespeicherte nicht personenbezogene Daten vor unrechtmäßigem Zugriff durch Behörden aus Drittländern; die Voraussetzungen regelt Artikel 32. Für personenbezogene Daten gilt weiterhin die Datenschutz-Grundverordnung.

Wer ist in Deutschland für den Data Act zuständig?

Die Bundesnetzagentur. § 2 DADG bestimmt sie als zuständige Behörde nach Artikel 37 Absatz 1 der Datenverordnung. Für personenbezogene Daten ist nach § 3 DADG der oder die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit zuständig.

Welche Bußgelder drohen bei Verstößen gegen die Wechselpflichten?

Nicht die oft zitierten fünf Millionen Euro. Nach § 15 Absatz 4 DADG kosten Verstöße gegen die Wechselpflichten bis zu 100.000 Euro — etwa das Aufzwingen eines Wechselhindernisses nach Artikel 23 oder eine fehlende Schnittstelle nach Artikel 30 Absatz 2 — oder bis zu 50.000 Euro, etwa bei Verstößen gegen die Vertrags- und Informationspflichten der Artikel 25 und 26.

Wann greifen die fünf Millionen Euro?

Nur in einem Fall: § 15 Absatz 4 DADG nennt diesen Betrag für Verstöße gegen § 15 Absatz 2 Nummer 9 — also dafür, einen Nutzer aufzufordern oder durch geschäftliche Anreize dazu zu veranlassen, Daten entgegen Artikel 5 Absatz 3 der Datenverordnung bereitzustellen. Bei juristischen Personen mit mehr als 250 Millionen Euro Gesamtumsatz kann dieselbe Ordnungswidrigkeit nach § 15 Absatz 5 stattdessen mit bis zu zwei Prozent des weltweiten Gesamtumsatzes geahndet werden.

Was kann ich tun, wenn mein Anbieter die Wechselpflichten nicht erfüllt?

Sich an die Bundesnetzagentur wenden. Sie ist nach § 2 DADG zuständige Behörde für Anwendung und Durchsetzung der Datenverordnung und nach § 15 Absatz 7 DADG zugleich Verwaltungsbehörde im Bußgeldverfahren.

Löst der Data Act mein Lock-in-Problem?

Nein. Er beseitigt Hindernisse zwischen Anbieter und Kunde — Fristen, Entgelte, verweigerte Auskunft, fehlende Schnittstellen. Hindernisse innerhalb der eigenen Systeme bleiben: Datenmengen, Anwendungslogik in anbietereigenen Diensten, Identitäten und Berechtigungen, fehlendes Wissen über den eigenen Aufbau.

Was sollte ich zuerst tun?

Prüfen, ob ein Vertrag über den 12. Januar 2027 hinausläuft, und einen Testexport einer nicht kritischen Anwendung durchführen. Das Zweite beantwortet mehr Fragen als jede Vertragsprüfung.

Thematische Vertiefungen

Quellen