Cloud-Anbieter wechseln: Data-Act-Checkliste für KMU

Cloud-Dienste sind in vielen österreichischen Unternehmen längst Teil der Grundversorgung: E-Mail, Buchhaltung, CRM, Warenwirtschaft, Website, Datensicherung und Projektorganisation laufen häufig als Software aus der Cloud. Bequem wird das so lange empfunden, bis ein Preis steigt, eine wichtige Funktion fehlt oder der Anbieter nicht mehr zur eigenen IT-Strategie passt. Dann zeigt sich, ob ein Wechsel tatsächlich möglich ist oder ob Datenformate, Schnittstellen und Vertragsklauseln den Betrieb festhalten.

Der EU Data Act setzt genau an solchen Wechselhürden an. Die Verordnung ist seit 12. September 2025 weitgehend anwendbar. Für Anbieter von Datenverarbeitungsdiensten enthält sie Vorgaben zu Verträgen, Datenexporten, technischen Schnittstellen und zur Unterstützung beim Wechsel. Ein weiterer Stichtag rückt näher: Ab 12. Jänner 2027 dürfen für den Vollzug des Anbieterwechsels grundsätzlich keine Wechselentgelte mehr verrechnet werden. Für KMU bedeutet das allerdings nicht, dass jede Migration automatisch kostenlos oder ohne Aufwand abläuft. Es bedeutet vor allem: Jetzt ist ein guter Zeitpunkt, die eigene Abhängigkeit zu prüfen und einen belastbaren Ausstiegsplan aufzubauen.

Was der Data Act beim Cloud-Wechsel regelt

Kapitel VI des Data Act betrifft Datenverarbeitungsdienste. Dazu zählen nicht nur klassische Infrastrukturangebote mit Servern und Speicherplatz. Je nach Ausgestaltung können auch Plattformdienste und standardisierte Software-as-a-Service-Angebote erfasst sein. Die Abgrenzung im Einzelfall kann komplex sein. Besonders stark individualisierte Einzellösungen und zeitlich begrenzte Testangebote behandelt die Verordnung teilweise anders. Dieser Beitrag ersetzt daher keine rechtliche Prüfung eines konkreten Vertrags.

Für die betriebliche Planung sind fünf Grundgedanken wichtig:

Wechselhindernisse sollen abgebaut werden. Anbieter müssen Kunden dabei unterstützen, zu einem anderen Dienst oder in eine eigene IT-Umgebung zu wechseln.
Verträge müssen den Wechsel beschreiben. Dazu gehören Fristen, übertragbare Datenkategorien, ausgeschlossene Daten, Abrufzeiträume und mögliche Entgelte.
Exportierbare Daten sollen übertragbar sein. Wo keine einschlägigen gemeinsamen Spezifikationen oder Normen bestehen, sieht die Verordnung strukturierte, gängige und maschinenlesbare Formate vor.
Schnittstellen und Informationen werden wichtiger. Anbieter müssen verfügbare Wechselverfahren, Formate, Einschränkungen und technische Grenzen erläutern.
Wechselentgelte laufen aus. Bis 12. Jänner 2027 sind unter bestimmten Voraussetzungen noch reduzierte Entgelte möglich; danach dürfen für den eigentlichen Wechselprozess grundsätzlich keine solchen Entgelte mehr verlangt werden.

Davon zu unterscheiden sind reguläre Servicegebühren, vertraglich vorgesehene Folgen einer vorzeitigen Beendigung und freiwillig beauftragte Zusatzleistungen. Auch interne Arbeitszeit, Beratung, neue Lizenzen, Anpassungen oder parallele Betriebsphasen verschwinden durch den Data Act nicht. Wer nur auf das Wort „kostenlos“ schaut, unterschätzt daher das Projekt.

Warum österreichische KMU nicht bis 2027 warten sollten

Ein Cloud-Wechsel ist selten ein einzelner Datenexport. In einem typischen Betrieb greifen mehrere Systeme ineinander: Das Kontaktformular erzeugt einen Lead im CRM, das CRM übergibt Kundendaten an die Fakturierung, die Buchhaltung erhält Belege, das Newsletter-System verarbeitet Einwilligungen und ein Dashboard fasst Kennzahlen zusammen. Selbst wenn jedes System einen Exportknopf besitzt, ist noch nicht geklärt, ob Beziehungen, Anhänge, Historien, Rechte, Automationen und Protokolle beim Zielsystem wieder funktionieren.

Hinzu kommen österreichische Anforderungen aus Steuerrecht, Aufbewahrung, Datenschutz und Branchenpraxis. Ein Hotel benötigt andere Datenketten als eine Installationsfirma. Eine Ordination muss Vertraulichkeit und Verfügbarkeit anders gewichten als ein kleiner Webshop. Die sinnvollste Vorbereitung besteht deshalb nicht in einer pauschalen „Cloud raus“-Strategie, sondern in einer priorisierten Bestandsaufnahme.

Der Stichtag 2027 ist ein praktischer Anlass, bestehende Verträge neu zu lesen. Die technische Vorbereitung sollte aber unabhängig davon erfolgen. Ein dokumentierter Exit-Plan hilft auch bei einer Dienststörung, einer Übernahme, einem Sicherheitsvorfall oder einem unerwarteten Strategiewechsel des Anbieters.

Schritt 1: Alle Cloud-Dienste in einem Register erfassen

Beginnen Sie nicht mit dem teuersten Vertrag, sondern mit einer vollständigen Liste. Oft werden kleine Dienste über Firmenkreditkarten bezahlt und bleiben außerhalb der zentralen IT-Dokumentation. Erfassen Sie für jeden Dienst mindestens:

Anbieter, Produkt, verantwortliche Person und interner Zweck
Vertragsbeginn, Laufzeit, Kündigungsfrist und Kostenstelle
Arten der gespeicherten Daten und ungefähres Datenvolumen
betroffene Personen, etwa Kunden, Beschäftigte oder Lieferanten
verbundene Systeme, Schnittstellen, Erweiterungen und Automationen
Administratorzugänge, Mehrfaktor-Authentifizierung und Rollen
Exportformate, Sicherungen und letzter erfolgreich getesteter Export
betriebliche Auswirkung, falls der Dienst einen Tag ausfällt

Für kleine Unternehmen reicht zunächst eine gepflegte Tabelle. Entscheidend ist nicht das Werkzeug, sondern ein benannter Eigentümer und ein regelmäßiger Prüftermin. Das Register lässt sich mit einem sauber geplanten Digitalisierungsprojekt verbinden, damit neue Dienste künftig nicht wieder unsichtbar wachsen.

Schritt 2: Exportierbare Daten konkret benennen

Die Frage „Kann man unsere Daten exportieren?“ ist zu ungenau. Für ein CRM muss beispielsweise getrennt geprüft werden, ob Kontakte, Unternehmen, Aktivitäten, Notizen, E-Mails, Dateien, benutzerdefinierte Felder, Einwilligungen und Änderungsprotokolle enthalten sind. Bei einer Website zählen neben Texten und Bildern auch Weiterleitungen, Formulare, strukturierte Daten, Nutzerkonten und Mediendateien. Bei einem Projekttool können Kommentare, Abhängigkeiten, Zeiterfassungen und Dateiversionen geschäftskritisch sein.

Erstellen Sie deshalb pro kritischem Dienst eine Datenlandkarte mit drei Spalten:

Muss übertragen werden: Daten, ohne die der Geschäftsbetrieb oder gesetzliche Nachweise nicht funktionieren.
Sollte übertragen werden: Historien und Komfortdaten, die wertvoll, aber notfalls rekonstruierbar sind.
Darf nicht unkontrolliert mitwandern: Altbestände, Testdaten oder personenbezogene Daten ohne weiteren Zweck.

Damit wird aus einem abstrakten Recht auf Wechsel ein prüfbarer Leistungsumfang. Gleichzeitig verhindert die Aufteilung, dass unnötige Daten in das neue System kopiert werden.

Schritt 3: Vertrag und Anbieterinformationen prüfen

Der Data Act verlangt bei erfassten Diensten klare vertragliche Angaben zum Wechsel. Nach dem Verordnungstext gehört dazu unter anderem eine maximale Kündigungsfrist für die Einleitung des Wechsels von zwei Monaten. Für den Übergang ist grundsätzlich ein Zeitraum von höchstens 30 Kalendertagen vorgesehen. Ist das technisch nicht machbar, kann ein alternativer Zeitraum notwendig sein; der Anbieter muss die technische Undurchführbarkeit innerhalb der vorgesehenen Frist begründen. Außerdem sieht die Verordnung nach dem Übergang einen Abrufzeitraum von mindestens 30 Kalendertagen vor.

Prüfen Sie Verträge und öffentlich bereitgestellte Anbieterinformationen daher auf folgende Punkte:

Wie wird ein Wechsel gestartet und wer darf ihn beauftragen?
Welche Daten und digitalen Vermögenswerte sind exportierbar?
Welche Kategorien sind ausgeschlossen und warum?
Welche Formate, Schnittstellen und Übertragungswege stehen bereit?
Welche Kündigungs-, Übergangs- und Abruffristen gelten?
Wann werden Daten beim bisherigen Anbieter gelöscht?
Welche Standardgebühren, Beendigungsfolgen oder Wechselentgelte werden genannt?
Welche Unterstützung ist enthalten und welche Zusatzleistung kostet extra?

Unklare oder widersprüchliche Klauseln sollten Unternehmen nicht selbst „weginterpretieren“. Dokumentieren Sie die Frage und holen Sie bei einem wirtschaftlich bedeutenden Vertrag fachkundige Unterstützung ein.

Schritt 4: Einen echten Testexport durchführen

Ein sichtbarer Exportbutton ist kein Beweis für Portabilität. Führen Sie bei kritischen Diensten einen Test durch und speichern Sie das Ergebnis in einer geschützten Testumgebung. Prüfen Sie anschließend:

Lässt sich das Archiv ohne proprietäre Spezialsoftware öffnen?
Sind Umlaute, Datumswerte, Dezimaltrennzeichen und Zeitzonen korrekt?
Bleiben eindeutige IDs und Beziehungen zwischen Datensätzen erhalten?
Sind Dateien vollständig und eindeutig zuordenbar?
Werden Rollen, Freigaben und Einwilligungsnachweise mitgeliefert?
Ist das Format dokumentiert und maschinenlesbar?
Wie lange dauert der Export bei realistischem Datenvolumen?

Ein Stichprobentest mit zehn Datensätzen genügt nicht, wenn später Millionen von Einträgen oder große Mediendateien übertragen werden müssen. Für das Volumen sollte zumindest ein belastbarer Hochrechnungs- oder Lasttest vorliegen.

Schritt 5: Abhängigkeiten und Identitäten entkoppeln

Viele Wechsel scheitern nicht am Datenformat, sondern an versteckten Abhängigkeiten. Besonders kritisch sind Single Sign-on, API-Schlüssel, Webhooks, DNS-Einstellungen, E-Mail-Versand, Zahlungsanbieter, mobile Apps und automatisierte Berichte. Markieren Sie jede Verbindung im Register und legen Sie fest, wer sie beim Wechsel anpasst.

Administratorkonten sollten nicht ausschließlich an eine persönliche E-Mail-Adresse beim alten Anbieter gebunden sein. Verwenden Sie kontrollierte Funktionsadressen, Mehrfaktor-Authentifizierung und mindestens zwei handlungsfähige Verantwortliche. Prüfen Sie außerdem, ob Domains, Zertifikate und zentrale Identitätsdienste unabhängig vom zu wechselnden Cloud-Angebot verwaltet werden. Für neue Identitätsprozesse lohnt ein Blick auf die Vorbereitung auf die EU Digital Identity Wallet, sofern Kunden oder Geschäftspartner künftig digitale Nachweise verwenden sollen.

Schritt 6: Kosten realistisch rechnen

Ab 12. Jänner 2027 entfallen nach Artikel 29 die Wechselentgelte des Anbieters für den Wechselprozess. Das ist relevant, aber nur ein Teil der Gesamtkosten. Eine belastbare Rechnung trennt mindestens fünf Blöcke:

Gebühren des bisherigen und des neuen Anbieters
interne Arbeitszeit für Bereinigung, Mapping, Tests und Schulung
Beratung, Entwicklung oder Anpassung von Schnittstellen
Parallelbetrieb und doppelte Lizenzen während der Übergangsphase
Risikopuffer für Nacharbeiten, Ausfälle und Datenwiederherstellung

Zusätzlich sollte feststehen, welche optionalen Hilfen ausdrücklich beauftragt werden. Der Data Act beseitigt nicht automatisch die Kosten für individuell gewünschte Zusatzunterstützung. Holen Sie daher vor Projektbeginn eine schriftliche Leistungsabgrenzung ein.

Schritt 7: Migration mit Abnahmekriterien planen

Definieren Sie nicht nur einen Termin, sondern messbare Erfolgskriterien. Ein CRM-Wechsel ist etwa erst abgenommen, wenn definierte Datensätze vollständig übertragen wurden, Dubletten unter einem Grenzwert liegen, alle Pflichtfelder stimmen, Einwilligungsnachweise auffindbar sind und die wichtigsten Automationen funktionieren.

Für einen Betrieb mit 20 Beschäftigten könnte die Reihenfolge so aussehen:

Eine Woche lang Dienste, Daten und Integrationen inventarisieren.
Export und Import mit einer bereinigten Kopie testen.
Fünf typische Arbeitsabläufe als Abnahmetests dokumentieren.
Eine kleine Nutzergruppe im neuen System arbeiten lassen.
Änderungen während des Parallelbetriebs synchronisieren.
Am Umschalttag Schreibzugriffe kontrolliert umstellen.
Nach der Abnahme Altzugriffe sperren und Löschfristen überwachen.

Bei geschäftskritischen Diensten braucht jeder Schritt eine Rückfalloption. Dazu gehören eine aktuelle Sicherung, definierte Verantwortliche und eine Entscheidungsschwelle, ab wann auf den alten Stand zurückgewechselt wird.

Praxisbeispiel: Ein oberösterreichischer Servicebetrieb wechselt sein CRM

Ein fiktiver technischer Servicebetrieb aus Oberösterreich verwaltet 8.000 Kontakte, Wartungsverträge, E-Mail-Verläufe und Einsatznotizen in einem SaaS-CRM. Der Vertrag nennt einen CSV-Export, aber Anhänge und Aktivitäten werden separat geliefert. Zudem übergibt ein Webformular neue Anfragen per Schnittstelle, während die Fakturierung Kundennummern aus dem CRM übernimmt.

Der Betrieb beginnt nicht mit der Kündigung. Zuerst werden Datenkategorien, Schnittstellen und fünf Kernprozesse dokumentiert. Ein Testexport zeigt, dass österreichische Postleitzahlen mit führender Null korrekt bleiben, benutzerdefinierte Felder aber neu zugeordnet werden müssen. Danach wird ein vollständiger Probelauf mit Kopien der Anhänge durchgeführt. Erst als Suchfunktion, Rechte, Einwilligungsnachweise und Fakturierung im Zielsystem geprüft sind, wird der Wechsel beauftragt.

Das Beispiel zeigt den entscheidenden Unterschied: Der Data Act verbessert Rahmenbedingungen, aber die betriebliche Qualität entsteht durch Inventar, Tests und klare Abnahme.

Auch SaaS-Anbieter müssen ihre Exit-Fähigkeit prüfen

Österreichische Softwareanbieter stehen auf der anderen Seite desselben Prozesses. Wer einen standardisierten Cloud-Dienst anbietet, sollte nicht erst auf die erste Wechselanfrage warten. Sinnvoll sind:

ein vollständiger Katalog exportierbarer Daten und digitaler Vermögenswerte
dokumentierte Formate, Schnittstellen, Grenzen und typische Exportzeiten
ein klarer Ablauf für Identitätsprüfung, Beauftragung und Übergabe
Vertragsklauseln zu Kündigung, Übergang, Abruf und Löschung
eine transparente Trennung zwischen inkludierter Hilfe und Zusatzleistungen
Protokolle, mit denen Übergabe und Löschung nachvollziehbar bleiben

Damit wird Exit-Fähigkeit nicht nur zur Compliance-Aufgabe, sondern zu einem Qualitätsmerkmal im Vertrieb. Ein Anbieter, der Datenwege offen erklärt, reduziert das wahrgenommene Risiko einer langfristigen Entscheidung.

Datenschutz und Sicherheit bleiben Teil des Wechsels

Der Data Act ersetzt weder die DSGVO noch bestehende Sicherheits- und Aufbewahrungspflichten. Bei personenbezogenen Daten braucht die Migration eine geeignete Rechtsgrundlage, klare Verantwortlichkeiten und angemessene Schutzmaßnahmen. Testumgebungen dürfen nicht unkontrolliert mit Echtdaten befüllt werden. Exporte gehören verschlüsselt übertragen, Zugriffe protokolliert und temporäre Kopien nach Abschluss gelöscht.

Prüfen Sie zudem Auftragsverarbeitungsverträge, Unterauftragnehmer, Speicherorte und Löschkonzepte beim Zielanbieter. Ein schneller Wechsel ist kein Erfolg, wenn danach Berechtigungen zu weit gefasst oder Sicherungen unvollständig sind. Für öffentlich zugängliche Datenerfassung bietet die Checkliste zum datensparsamen Kontaktformular eine ergänzende Perspektive.

Der 90-Tage-Plan für KMU

Tag 1 bis 30: Transparenz schaffen

Erfassen Sie alle Cloud-Dienste, Verantwortlichen, Verträge und Datenarten. Markieren Sie die fünf Systeme mit dem größten Ausfall- oder Abhängigkeitsrisiko. Fordern Sie fehlende Dokumentation zu Exportformaten und Wechselverfahren an.

Tag 31 bis 60: Exporte und Verträge testen

Führen Sie für die priorisierten Systeme einen Testexport durch. Prüfen Sie Datenqualität, Vollständigkeit, Formate und Wiederverwendbarkeit. Lassen Sie wirtschaftlich oder rechtlich kritische Vertragsfragen gezielt bewerten.

Tag 61 bis 90: Exit-Plan verbindlich machen

Dokumentieren Sie Zielsystem, Verantwortliche, Abnahmekriterien, Rückfalloption und Kommunikationsweg. Planen Sie für mindestens einen kritischen Dienst einen vollständigen Probelauf. Legen Sie den nächsten Wiederholungstermin fest, denn Schnittstellen und Datenmengen verändern sich laufend.

Fazit: Wechselbarkeit ist betriebliche Vorsorge

Der Data Act stärkt die Position von Cloud-Kunden und macht Wechselbedingungen transparenter. Der Wegfall von Wechselentgelten ab 12. Jänner 2027 ist ein wichtiger Meilenstein. Er ersetzt aber weder Dateninventar noch Tests, Budget und Verantwortlichkeiten.

Österreichische KMU sollten die kommenden Monate nutzen, um ihre wichtigsten Cloud-Dienste in ein Register aufzunehmen, Exporte praktisch zu prüfen und für kritische Systeme einen realistischen Exit-Plan zu dokumentieren. Beginnen Sie mit einem Dienst, dessen Ausfall den Betrieb spürbar treffen würde. Ein bestandener Testexport liefert mehr Sicherheit als jede unverifizierte Vertragsannahme.

Quellen

Stand: 28. Juli 2026. Dieser Beitrag bietet eine allgemeine Orientierung und keine individuelle Rechtsberatung. Die Einordnung eines konkreten Dienstes oder Vertrags sollte bei Bedarf fachkundig geprüft werden.

Cloud-Anbieter wechseln: So bereiten KMU den Data-Act-Stichtag 2027 vor