EU veröffentlicht Musterklauseln für Cloud-Verträge: Was sie ändern und was nicht

Bei der konkreten Neuerung geht es weder um den Start eines neuen Cloud-Dienstes noch um eine Migrationsfunktion eines Anbieters. Am 19. November 2025 veröffentlichte die Europäische Kommission eine Empfehlung mit unverbindlichen Mustervertragsbedingungen zum Datenzugang und zur Datennutzung sowie Standardvertragsklauseln für Cloud-Computing-Verträge. Die Initiative soll den Parteien — insbesondere KMU — dabei helfen, Bestimmungen des Datengesetzes praktisch umzusetzen. Die Veröffentlichung der Kommission beschreibt die Dokumente und ihren Zweck.

Die wichtigste Einschränkung betrifft ihren Status: Die Kommission erklärt, dass die Verwendung freiwillig ist und die Parteien die Klauseln ändern können. Daher wäre es falsch, die Veröffentlichung als neue verpflichtende Bedingung darzustellen, die alle Cloud-Kunden akzeptieren müssen, oder als Reform, die automatisch jeden bestehenden Vertrag ändert. Die Nachricht besteht darin, dass Referenzmodelle verfügbar sind — nicht darin, dass alle Unternehmen ihre Vereinbarungen ersetzen müssen oder die Abhängigkeit von einem Anbieter bereits beseitigt wäre.

Die Seite der Kommission wurde im November 2025 veröffentlicht; hier wird dieses Datum als das von der Quelle genannte Datum angegeben und nicht als Inkrafttreten einer Verpflichtung. Die Klauseln stehen in Verbindung mit einem umfassenderen Rechtsrahmen, dürfen aber nicht mit der Verordnung selbst verwechselt werden. Diese Unterscheidung ist für jede Organisation wichtig, die einen Vertragsentwurf erhält oder eine Migration prüft: Das Modell kann bei Verhandlungen helfen, doch seine Veröffentlichung belegt weder die Übernahme durch einen Anbieter noch, dass ein Ausstieg technisch und wirtschaftlich einfach ist.

Das EU-Datengesetz — auch als Data Act bekannt — ist der Rechtsrahmen, mit dem die Kommission diese Vertragsinstrumente verknüpft. Die offizielle Seite der Verordnung auf EUR-Lex fasst die Regeln für den fairen Zugang zu Daten und deren Nutzung zusammen. Die Kommission stellt die Modelle als Hilfsmittel für die Umsetzung der Bestimmungen des Gesetzes dar. Rechtsvorschrift und Klauseln erfüllen unterschiedliche Aufgaben: Die eine legt rechtliche Regeln fest; die anderen bieten unverbindliche Vertragsformulierungen, die die Parteien in Betracht ziehen können.

Die Veröffentlichung der Kommission nennt zwei Dokumentbereiche. Zum einen betreffen Musterbedingungen bestimmte Datenweitergabebeziehungen, die unter die Kapitel II und III des Datengesetzes fallen. Zum anderen gibt es Standardvertragsklauseln für Cloud-Computing-Verträge. Es empfiehlt sich, dies nicht unter der Vorstellung eines „verpflichtenden europäischen Cloud-Vertrags“ zusammenzufassen: Das Material umfasst Modelle mit unterschiedlichen Zielen, und laut Kommission ist ihre Verwendung freiwillig.

Die Kommission erklärt, dass die Modelle in erster Linie für Geschäftsbeziehungen zwischen Unternehmen entwickelt wurden. Sie können jedoch auch in Beziehungen zwischen Unternehmen und Verbrauchern verwendet werden, wenn die einschlägigen Verbraucherschutzvorschriften aufgenommen werden. Das ist keine rechtliche Bewertung eines konkreten Vertrags. Ob die Klauseln passen, hängt vom Dienst, den Parteien, dem anwendbaren Recht und dem ausgehandelten Wortlaut ab. Bei einer konkreten Entscheidung sollten Unternehmen die Klauseln rechtlich und technisch prüfen lassen und nicht annehmen, ein allgemeines Modell löse die besonderen Verpflichtungen ihrer Tätigkeit.

Ein Wechsel des Cloud-Anbieters umfasst in der Regel mehr als das Kopieren von Dateien. Dazu können auch Datenformate, Anwendungsabhängigkeiten, Konfigurationen, Zugangsdaten, Integrationen, Übertragungskosten und Zeiträume gehören, in denen Dienste parallel betrieben werden. Dass es ein Vertragsmodell für Cloud-Computing gibt, belegt daher nicht, dass eine konkrete Migration schnell, kostengünstig oder vollständig sein wird. Das hängt sowohl vom Vertrag als auch von den Systemeigenschaften und ihrer Entwicklung ab.

Die Europäische Kommission veröffentlichte 2018 die Studie Switching of Cloud Services Providers, die beim Amt für Veröffentlichungen der EU verfügbar ist. Sie belegt, dass der Wechsel zwischen Cloud-Anbietern bereits vor Veröffentlichung der Modelle von 2025 Gegenstand europäischer Untersuchungen war. Für sich genommen belegt sie weder die heutigen Migrationskosten noch erlaubt sie, Organisationen von heute einen allgemeinen Betrag zuzuschreiben. Um die Auswirkungen zu beziffern, müssten vergleichbare Daten, Methoden, Stichproben und die jeweiligen Veröffentlichungsdaten geprüft werden — das lässt sich anhand der hier zusammengestellten Informationen nicht feststellen.

Eine unabhängige rechtliche Analyse von Garrigues beschreibt die Regeln des Datengesetzes zum Anbieterwechsel und ordnet die neuen Vorschriften ein. Dieser Kommentar kann bei der Auslegung des Rahmens helfen, ersetzt jedoch nicht den Gesetzestext und zeigt nicht, wie eine Klausel in einem konkreten Fall angewendet wird. Die vorsichtige Schlussfolgerung ist enger gefasst: Die Instrumente der Kommission können Vertragsgespräche erleichtern; für eine tatsächliche Übertragbarkeit müssen der Dienst und das Ausstiegsszenario geprüft werden.

Für eine nutzende Organisation kann die Veröffentlichung der Ausgangspunkt einer Vertragsprüfung sein, nicht eine Liste bereits erfüllter Garantien. Es empfiehlt sich, den aktuellen Vertrag mit den einschlägigen Modellen zu vergleichen und die Zuständigkeiten der einzelnen Parteien ausdrücklich festzuhalten. Dabei sollte es sowohl darum gehen, welche Daten abgerufen werden können, als auch um Format, Fristen und Bedingungen ihrer Bereitstellung durch den Anbieter sowie um den Umgang mit Kopien und abhängigen Diensten nach Vertragsende.

Eine praktische Prüfung kann mit folgenden Fragen beginnen:

• Umfang: Welche Dienste und Daten deckt der Vertrag ab, und umfasst dies Metadaten, Konfigurationen oder Informationen, die für die Wiederherstellung der Umgebung benötigt werden?
• Format und Unterstützung: Welche Exportformate werden angeboten, welche Übergangshilfe ist enthalten und welche Aufgaben bleiben dem Kunden überlassen?
• Kosten und Zeitplan: Welche Gebühren können beim Ausstieg anfallen, wie lange dauert die Übergangsphase und welche Fristen gelten für die Löschung von Daten?
• Abhängigkeiten: Welche Anwendungen, Schnittstellen, Identitätswerkzeuge oder betrieblichen Abläufe müssen geändert werden, damit die Alternative funktioniert?
• Schutz und Compliance: Wie wird der Ausstieg mit den für die Organisation geltenden Anforderungen an Sicherheit, Kontinuität, Datenschutz und Aufbewahrung abgestimmt?

Die Liste behauptet nicht, dass die Kommission für jede Antwort eine bestimmte Formulierung vorschreibt. Sie enthält Prüfpunkte, mit denen sich die Idee der Übertragbarkeit in überprüfbare Fragen übersetzen lässt. Ist der Ausstieg für die Geschäftskontinuität wichtig, kann eine Organisation Zuständigkeiten dokumentieren und eigene Abläufe testen. Dabei sollte sie einen eigenen Test nicht mit einer allgemeinen Garantie des Anbieters verwechseln.

Die verfügbaren Informationen erlauben die Aussage, dass die Kommission am 19. November 2025 unverbindliche Vertragsmodelle zur Unterstützung der Umsetzung des Datengesetzes veröffentlichte und ausdrücklich auf deren freiwilligen Charakter hinweist. Sie ermöglichen außerdem, diese Dokumente von der Verordnung zu unterscheiden und festzustellen, dass die Veröffentlichung keine kommerzielle Ankündigung eines Anbieters ist. Das sind durch die institutionelle Seite der Kommission belegte Tatsachen, keine Rückschlüsse auf eine breite Übernahme oder auf Migrationsergebnisse.

Die ausgewerteten Belege erlauben keine Aussage dazu, wie viele Anbieter die Modelle übernommen haben, wie viele Verträge geändert wurden oder wie viel ein Unternehmen durch den Wechsel eines Dienstes einsparen wird. Ebenso lässt sich nicht bestimmen, ob eine bestimmte Klausel für eine Branche oder einen konkreten Vertrag ausreicht. Das sind Grenzen der geprüften Dokumentation und kein Grund zu dem Schluss, dass die Instrumente nutzlos sind.

Für eine Aktualisierung anhand späterer Nachrichten sollte ein konkreter Beleg vorliegen: ein datiertes offizielles Dokument, eine klar erkennbare Änderung der Vorschriften oder eine Ankündigung eines Anbieters, die eine verfügbare Funktion und ihre Bedingungen beschreibt. Solange solche Belege fehlen, sollten die Modelle als das bezeichnet werden, was sie sind: eine freiwillige Verhandlungsgrundlage, keine Zusage universeller Interoperabilität und kein Beweis dafür, dass ein Cloud-Wechsel keine Planung mehr erfordert.