Der Beitrag zeigt, welche Lock-in-Effekte in Cloud-Verträgen das Cloud-Switching erschweren, wie Unternehmen diese Risiken frühzeitig reduzieren können und welche Prüfpunkte von Datenschutz, Legal und Compliance gemeinsam zu bewerten sind. Ab dem 12. Januar 2027 dürfen für den Wechsel zwischen Cloud-Anbietern keine Wechselentgelte mehr erhoben werden.
Wie entstehen Lock-in-Effekte beim Cloud-Switching?
Ein Lock-in-Effekt liegt vor, wenn Kosten und Risiken eines Wechsels den erwarteten Nutzen übersteigen. Der Kunde bleibt dann nicht aus Überzeugung, sondern aus Kalkulation. Für die rechtliche Bewertung ist entscheidend, dass dieser Effekt selten aus einer einzelnen Klausel folgt. Er entsteht aus mehreren Schichten, die sich gegenseitig verstärken und im Vertragsdokument nur teilweise sichtbar werden.
In der Praxis lassen sich vier Ebenen unterscheiden:
- Wirtschaftlich: Rabatte gegen mehrjährige Abnahmeverpflichtungen, Entgelte für den Datenausgang, Parallelbetrieb während der Migration, erneute Audit- und Zertifizierungsaufwände
- Technisch: anbieterspezifische Managed Services, eigene Identitäts- und Rechtemodelle, proprietäre Datenformate, Automatisierungsvorlagen, die nur in einer Umgebung lauffähig sind
- Organisatorisch: fehlende Architekturdokumentation, Know-how, das bei wenigen Personen oder einem Implementierungspartner konzentriert ist, keine erprobten Migrationsverfahren
- Compliancebezogen: Nachweise, Genehmigungen und Risikobewertungen, die für die Zielumgebung vollständig neu zu erstellen sind
Bemerkenswert ist das Gewicht der ersten Ebene. Ein Rabattmodell, das über fünf Jahre an ein Verbrauchsvolumen gekoppelt ist, bindet regelmäßig stärker als eine formale Laufzeitregelung, weil der Wechsel nicht verboten, sondern unattraktiv gemacht wird. Genau in diesem Bereich greift der Data Act, allerdings nicht flächendeckend.
Sinnvoll ist daher, die Wechselkosten überhaupt erst zu beziffern: Aufwand für Datenexport und Datenprüfung, Neuaufbau von Automatisierung und Schnittstellen, befristeter Doppelbetrieb, Einarbeitung, erneute Nachweisführung. Wer diese Größenordnung nicht kennt, verhandelt ohne Maßstab. Hinzu kommt, dass Lock-in-Effekte beim Cloud-Switching asymmetrisch wirkt. Bei geschäftskritischen Anwendungen mit engen Verfügbarkeitszusagen ist die Bindung deutlich stärker als bei ergänzenden Diensten, die sich ohne Prozessunterbrechung austauschen lassen.
Was löst der Data Act beim Cloud-Switching, was bleibt offen?
Kapitel VI des Data Acts verpflichtet Anbieter von Datenverarbeitungsdiensten seit dem 12. September 2025, Wechselhürden abzubauen, Wechselvereinbarungen mit definierten Mindestinhalten zu treffen und über Verfahren sowie Beschränkungen zu informieren. Einen strukturierten Überblick über diese Regelungen und die erfassten Servicemodelle bietet der Beitrag Cloud-Switching unter dem Data Act. Für die Lock-in-Frage ist die Anschlussfrage interessanter: Welche Bindungswirkung entfällt dadurch wirklich?
Auf der Preisebene ist der Eingriff deutlich. Bis zum 12. Januar 2027 sind nur kostendeckende, reduzierte Wechselentgelte zulässig, danach entfallen sie nach Art. 29 Data Act vollständig. Die Abgrenzung verdient jedoch Aufmerksamkeit: Entgelte für den Datentransfer im laufenden Regelbetrieb bleiben unberührt. Wer diese Trennlinie im Vertrag nicht sauber zieht, verlagert die Bindung lediglich von der Wechselgebühr in die Nutzungspreise. Aus Anbietersicht entsteht Umsetzungsaufwand vor allem dort, wo Wechselunterstützung bisher als kostenpflichtige Projektleistung kalkuliert wurde.
Auf der technischen Ebene bleibt der Befund differenzierter. Art. 30 Data Act verlangt funktionale Gleichwertigkeit in der Zielumgebung nur für Infrastrukturdienste. Für Plattform- und Anwendungsdienste bestehen im Kern Pflichten zu offenen Schnittstellen und zur Kompatibilität mit verfügbaren Standards, was noch keine Nachbildbarkeit eines Dienstes garantiert. Hinzu kommen Ausnahmen, etwa für weitgehend maßgeschneiderte Dienste und Testumgebungen nach Art. 31 Data Act. Je individueller ein Dienst, desto weniger trägt die Regulierung zur Wechselfähigkeit bei.
„Die Anbieter von Datenverarbeitungsdiensten verlieren die Option, Vertragswechsel technisch wie ökonomisch zu verhindern. Der Markt wird auf das Auftreten neuer, europäischer Angebote vorbereitet – indes, kann der Markt alles lösen?“
Prof. Dr. Michael Denga, LLM „Datensouveränität und Data Cloud.“, MMR 2026, 91, 97, Abschnitt V
Welche Datenschutzpflichten begleiten das Cloud-Switching?
Ein Anbieterwechsel ist datenschutzrechtlich nahezu immer ein Wechsel des Auftragsverarbeiters. Erforderlich sind daher eine Prüfung der hinreichenden Garantien nach Art. 28 Abs. 1 DSGVO, ein Vertrag mit den Inhalten des Art. 28 Abs. 3 DSGVO und eine Bewertung der Subunternehmerketten. Verändert sich der Verarbeitungsort, etwa durch neue Regionen oder Supportstrukturen außerhalb der EU, ist zusätzlich Kapitel V DSGVO zu betrachten. Der Datenschutzbeauftragte sollte nach Art. 38 Abs. 1 DSGVO bereits in der Auswahlphase einbezogen werden, nicht erst zur Freigabe der Migration.
Besondere Aufmerksamkeit verdient die Übergangsphase. Während der Migration liegen Datenbestände häufig zeitgleich in zwei Umgebungen, Dienstleister erhalten weitreichende Zugriffsrechte, und Testläufe erfolgen mitunter mit Produktivdaten. Aus Art. 32 DSGVO folgt daher, Verschlüsselung im Transit, Zugriffs- und Protokollierungskonzepte sowie Rollenklarheit vorab festzulegen. Ebenso wichtig ist der dokumentierte Abschluss: Löschung oder Rückgabe der Daten beim bisherigen Anbieter einschließlich Sicherungskopien sollten nachweisbar sein, nicht lediglich zugesichert.
Der Wechsel ist zudem ein Änderungsvorgang in der Datenschutzdokumentation. Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO ist anzupassen, bestehende Datenschutz-Folgenabschätzungen sind nach Art. 35 DSGVO zu überprüfen, wenn sich Risiken durch neue Architektur, Verschlüsselungskonzepte oder Zugriffswege verändern. Ändern sich Kategorien von Empfängern, kann eine Aktualisierung der Informationen nach Art. 13 und 14 DSGVO in Betracht kommen. Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verlangt, dass all diese Schritte belegbar sind.
Für die Vorbereitung genügen fünf Leitfragen:
- Welche Cloud-Verträge laufen aus oder verlängern sich vor dem 12. Januar 2027?
- Sind Wechselentgelte, Entgelte für den Datenausgang und Nutzungspreise im Vertrag getrennt ausgewiesen?
- Umfasst der Exportumfang neben Nutzdaten auch Konfigurationen, Metadaten und Protokolldaten?
- Liegen für die Zielumgebung Auftragsverarbeitungsvertrag, Subunternehmerübersicht und eine Bewertung etwaiger Drittlandtransfers vor?
- Sind Sicherheitsmaßnahmen für die Migrationsphase und der Löschnachweis beim Altanbieter verbindlich geregelt?
Bleiben Lock-in-Effekte beim Cloud-Switching trotz Data Act bestehen?
Die neuen Pflichten verschieben den Lock-in von einer Preisfrage zu einer Architektur- und Dokumentationsfrage. Wo Wechselkosten bisher überwiegend aus Entgelten und Fristen bestanden, entstehen sie künftig vor allem aus fehlender Portabilität, unklaren Datenkatalogen und unvollständigen Nachweisen. Das verändert die Verhandlungsposition bei Vertragsverlängerungen, weil ein Exit kalkulierbarer wird, sobald Umfang und Ablauf vorab beschrieben sind.
In regulierten Sektoren treffen die Vorgaben des Data Acts auf bereits bestehende Auslagerungsanforderungen, etwa auf Exit-Strategien und Informationsregister im Finanzsektor. Dort empfiehlt sich, die Wechselvereinbarung mit den vorhandenen Auslagerungs- und Notfallunterlagen zusammenzuführen, statt zwei getrennte Dokumentationsstränge zu pflegen. Das reduziert Widersprüche, die bei Prüfungen regelmäßig auffallen.
Praktisch bedeutet das, Lock-in-Effekte beim Cloud-Switching als laufende Governance-Aufgabe zu behandeln. Sinnvoll ist, den Exit-Pfad bei Vertragsschluss und bei jeder Verlängerung zu dokumentieren, Verarbeitungsverzeichnis und Risikobewertungen entsprechend zu pflegen und die Zuständigkeiten zwischen Datenschutz, Recht und IT festzulegen. Ob sich daraus mittelfristig mehr Wechselvorgänge ergeben, bleibt abzuwarten. Das Auslaufen der Übergangsfrist im Januar 2027 ist jedenfalls ein geeigneter Anlass, bestehende Verträge und Exit-Konzepte systematisch zu sichten.
