Software-as-a-Service (SaaS) : Gilt der Data Act auch für komplexe SaaS-Lösungen?

Mit dem Data Act, der grundsätzlich seit dem 12. September 2025 anzuwenden ist, will der europäische Gesetzgeber unter anderem den Wechsel zwischen Anbietern von Datenverarbeitungsdiensten erleichtern. Kunden sollen Daten und digitale Vermögenswerte einfacher zu einem anderen Anbieter oder auf eine eigene IT-Infrastruktur übertragen können. Dadurch sollen Wechselhürden sinken und langfristige Abhängigkeiten von einzelnen Anbietern vermieden werden.

Während die Zielsetzung des Gesetzes klar ist, ist unklar, inwieweit Software-as-a-Service-Lösungen (SaaS) in den Anwendungsbereich des Data Act fallen. Der Gesetzgeber geht in Erwägungsgrund 81 davon aus, dass SaaS-Lösungen grundsätzlich vom Anwendungsbereich des Data Act erfasst werden. Allerdings ist „SaaS“ nicht gleich „SaaS“:

„Von der Stange“ oder individuell angepasst?

Einerseits kann es sich bei SaaS-Lösungen um standardisierte „Plug and Play“-Lösungen handeln, die keinerlei Konfiguration oder Integration benötigen, um genutzt zu werden. Andererseits gibt es SaaS-Lösungen, die gerade nicht „von der Stange“ bezogen werden, sondern vielmehr umfangreiche individuelle Konfigurationen und langwierige Integrationsprojekte erfordern, um die Anbindung an bestehende Unternehmenssysteme zu ermöglichen. Diesen technisch komplexen Integrationsphasen gehen in der Praxis zudem häufig langwierige und komplexe Vertragsverhandlungen voraus.

Damit stellt sich eine grundlegende Frage: Handelt es sich bei allen SaaS-Lösungen um Datenverarbeitungsdienste im Sinne des Data Act oder muss zwischen den vorgenannten Varianten unterschieden werden? Die Beantwortung dieser Frage hat erhebliche rechtliche und kommerzielle Auswirkungen und darf daher nicht leichtfertig beantwortet werden.

Welche Auffassungen gibt es?

Ein zentraler Streitpunkt betrifft die konkrete Auslegung des Begriffs „Datenverarbeitungsdienst“. Nach Erwägungsgrund 80 sollten Kunden sich selbst, „ohne Interaktion mit dem Anbieter von Datenverarbeitungsdiensten“ Rechenkapazitäten wie Serverzeit oder Netzwerkspeicherplatz zuweisen können.

Eine Auffassung geht aus diesem Grund davon aus, dass Dienste, die umfangreiche Integrations- oder Anpassungsleistungen erfordern, ganz oder teilweise außerhalb des Anwendungsbereichs des Data Act liegen.

Nach einer anderen Auffassung ist bei komplexen SaaS-Lösungen entscheidend, ob dieses Kriterium nach Abschluss der aufwendigen Integration erfüllt ist. Danach kommt es nicht darauf an, wie aufwendig die Konfigurierung oder Integration der Lösung ist. Entscheidend ist vielmehr, ob der Kunde die bereitgestellten Ressourcen anschließend eigenständig, flexibel und quasi ohne Interaktion zwischen Kunde und Anbieter nutzen kann.

Welche Überlegungen sprechen für die zweite Auffassung?

Für die zweite Sichtweise werden folgende Erwägungen ins Feld geführt: Umfangreiche Integrationsleistungen im Unternehmensumfeld sind häufig unvermeidbar. Eine Einordnung allein anhand des erstmaligen Integrationsaufwands werde dem Zweck des Data Acts nur begrenzt gerecht. Nach aufwendigen Integrationsprojekten entstehen häufig starke Abhängigkeiten von einem Anbieter. Die Regelungen zu Cloud Switching und Wechselunterstützung sollen solche Lock-in-Effekte adressieren. Ferner enthalte Artikel 31 Absatz 1 im Data Act bereits besondere Regelungen für maßgeschneiderte Dienste. Würde jede umfangreiche Individualisierung bereits gegen die Einordnung als Datenverarbeitungsdienst sprechen, würde diese Vorschrift einen erheblichen Teil ihres praktischen Anwendungsbereichs verlieren.

Was ist zu erwarten?

Die Diskussion über die Reichweite der Cloud-Switching-Regeln hat inzwischen auch die politische Ebene erreicht – im Rahmen des Digital-Omnibus-Verfahrens. Hier schlägt die Kommission unter anderem Erleichterungen für „maßgeschneiderte“ Datenverarbeitungsdienste vor: Diese will man von den Regelungen des Kapitels VI des Data Acts befreien, soweit es sich um Verträge handelt, die vor dem 12. September 2025 geschlossen worden sind. Im Umkehrschluss hieße das allerdings auch: Verträge, die nach diesem Datum in Bezug auf solche „maßgeschneiderten“ Lösungen geschlossen wurden, unterliegen dem Anwendungsbereich des Data Acts.

Verschiedene Ausschüsse des Europäischen Parlaments sprechen sich dafür aus, auch diese Erleichterung zu streichen. Sie befürchten Umgehungsversuche sowie eine langfristige Fragmentierung des Marktes. Nach ihrer Auffassung enthält der geltende Art. 31 des Data Acts bereits ausreichende Erleichterungen für Individualentwicklungen.

Die Debatte im Rahmen des Digital-Omnibus-Verfahrens zeigt also, dass die Frage nach der Anwendbarkeit des Data Acts auf SaaS-Lösungen aktuell noch nicht abschließend beantwortbar ist. Die Verhandlungen zum Digital-Omnibus, die den Data Act betreffen, werden zumindest noch bis zum Jahresende andauern. Solange hier keine Klarheit herrscht, sollte – insbesondere im Hinblick auf die weitreichenden technischen, vertraglichen und kommerziellen Auswirkungen für Anbieter – von Durchsetzungsmaßnahmen in diesen strittigen Bereichen abgesehen werden.

Christopher Götz ist Partner im Münchener Büro von Simmons & Simmons und berät im IT-, Datenschutz- und Technologierecht. Seine Schwerpunkte liegen auf komplexen IT-Outsourcing- und Cloud-Projekten, internationalen Datentransfers, IT-Sicherheit sowie der rechtlichen Begleitung von Daten- und KI-Projekten. Darüber hinaus unterstützt er Unternehmen bei der Umsetzung von DSGVO, EU AI Act und EU Data Act.