Wechsel des Cloud-Anbieters in der EU: Was bekannt ist und was geprüft werden sollte

Der Datenverordnungsakt der Europäischen Union enthält Maßnahmen, die es Nutzern erleichtern sollen, den Cloud-Anbieter zu wechseln oder mehrere Dienste zu nutzen. Die Europäische Kommission erklärt, dass die Vorschriften seit dem 12. September 2025 in der EU gelten und einen Wechsel zwischen Cloud-Anbietern vorsehen. Das ist ein wichtiger Ausgangspunkt, aber keine Garantie für eine automatische Migration, einen kostenfreien Wechsel oder einen Wechsel ohne Unterbrechungen. Das sind eigenständige praktische Fragen, die sich nicht allein aus dem Bestehen der Vorschriften beantworten lassen.

Die für diesen Leitfaden zusammengestellten Unterlagen belegen weder eine neue Ankündigung noch einen weiteren Termin für das Inkrafttreten oder eine unabhängige Bewertung der praktischen Umsetzung dieser Pflichten. Das Thema wird daher als vorsichtige Erläuterung eines bereits geltenden Rahmens behandelt, nicht als gerade bekannt gegebene Neuigkeit. Die Unterscheidung ist wichtig: Eine Vorschrift kann Rechte und Pflichten festlegen; ihre Umsetzung hängt aber auch von den betroffenen Diensten, den Verträgen und den verfügbaren Verfahren ab. Der formelle Rechtsrahmen ist nicht dasselbe wie die praktische Erfahrung bei einer bestimmten Migration.

Das Thema ist auch nicht mit einer allgemeinen Erklärung dazu zu verwechseln, was Cloud Computing bedeutet. Hier geht es um eine engere Frage: Welche rechtlichen und technischen Mittel können dabei helfen, Daten und Anwendungen von einem Anbieter zu einem anderen zu übertragen, und was muss im jeweiligen Einzelfall noch geprüft werden? Das Bestehen einer europäischen Vorschrift beweist für sich genommen weder, dass eine Arbeitslast vollständig portierbar ist, noch, dass ein Wechsel unkompliziert sein wird. Es muss weiterhin geklärt werden, was der betreffende Dienst tatsächlich ermöglicht und was eine Übertragung erfordert.

Die Kommission beschreibt den Datenverordnungsakt als Regelwerk für Wechsel und Portabilität zwischen Datenverarbeitungsdiensten; Interoperabilität ist dabei ein zentrales Element. In einer Veröffentlichung zu einer Interoperabilitätsstudie erklärt sie, dass Artikel 35 offene und harmonisierte Standards und Spezifikationen betrifft. Nach dieser Darstellung sollen sie dafür sorgen, dass Dienste derselben Art zusammenarbeiten können und Daten sowie Anwendungen übertragen werden können, ohne die Sicherheit zu beeinträchtigen. Das erklärte Ziel betrifft die Interoperabilität vergleichbarer Dienste und ist keine allgemeine Zusicherung, dass jedes Produkt durch ein beliebiges anderes ersetzt werden kann.

Die von der Kommission am 23. Februar 2026 veröffentlichte Studie verfolgt einen konkreten Zweck: Sie soll zum Aufbau eines Unionsrepositoriums beitragen und eine erste Reihe offener Spezifikationen und harmonisierter Standards vorbereiten, die den Anforderungen des Datenverordnungsakts entsprechen. Die Kommission erklärt außerdem, dass sie gemeinsame Spezifikationen durch Durchführungsrechtsakte annehmen kann, wenn Standards nicht ausreichen, und europäische Normungsorganisationen mit der Entwicklung von Standards zur Behebung von Lücken beauftragen kann. Diese Möglichkeiten sollen die Entwicklung des Rahmens unterstützen; sie belegen nicht, dass bereits alle technischen Fragen geklärt sind.

Interoperabilität ist somit Teil laufender technischer und regulatorischer Arbeiten und keine bereits verwirklichte Zusage universeller Kompatibilität. Das ausgewertete Material nennt weder die konkreten Spezifikationen, die bereits angenommen wurden, noch die jeweils davon erfassten Dienste oder einen detaillierten Zeitplan, den jeder Anbieter einhalten muss. Der bestätigte Rechtsrahmen ist vom Stand der einzelnen technischen Mechanismen zu unterscheiden. Ein übergeordnetes Ziel bedeutet nicht, dass alle Dienste bereits dasselbe Wechselverfahren umgesetzt haben.

Die angeführten offiziellen Informationen bestätigen das Ziel, Wechsel und Portabilität zu erleichtern. Sie reichen jedoch nicht aus, um einen Kostenbetrag, einen einheitlichen Migrationszeitraum oder ein für alle Dienste geltendes Verfahren festzulegen. Ebenso wenig lässt sich daraus ableiten, dass sämtliche Daten, Anwendungen, Konfigurationen oder Softwareabhängigkeiten ohne Änderungen übertragen werden können. Diese Einzelheiten können je nach Diensttyp und verwendeter Architektur variieren. Ein Migrationsplan muss sich daher auf den konkreten Dienst stützen und nicht auf Annahmen, die aus dem allgemeinen Begriff „Cloud“ abgeleitet werden.

Der Begriff „Cloud“ umfasst Dienste mit unterschiedlichen Funktionen. Eine sofort nutzbare Anwendung, eine Plattform zur Bereitstellung von Software und eine Recheninfrastruktur bieten nicht unbedingt dieselben Möglichkeiten zum Export oder Ersatz. Die Beschreibung der Kommission bezieht sich auf Datenverarbeitungsdienste und die Interoperabilität zwischen Diensten derselben Art. Sie sollte nicht als Beleg dafür verstanden werden, dass Produkte unterschiedlicher Kategorien austauschbar sind. Ein Wechsel zwischen vergleichbaren Diensten kann andere Fragen aufwerfen als eine Übertragung zwischen Diensten, die für verschiedene Aufgaben konzipiert wurden.

Anhand der zusammengestellten Quellen konnten auch Einzelheiten zu gesetzlichen Ausnahmen, möglichen Gebühren in den einzelnen Phasen oder den Folgen einer bestimmten Vertragsklausel nicht überprüft werden. Es wäre nicht verantwortungsvoll, aus diesen Lücken eine allgemeine Aussage darüber abzuleiten, was ein Anbieter berechnen oder ablehnen darf. Für eine Entscheidung müssen der einschlägige Gesetzestext, der geltende Vertrag und die technische Dokumentation des konkreten Dienstes herangezogen werden. Ohne diese Prüfungen würde eine allgemeine Aussage über eine einzelne Migration über die verfügbaren Informationen hinausgehen.

Für ein Unternehmen oder eine einzelne Person besteht die erste praktische Prüfung darin, festzustellen, was übertragen werden soll und in welcher Form ein Export möglich ist. Eine Kopie von Dateien umfasst nicht zwangsläufig Datenbanken, Berechtigungen, Protokolle, Sicherungskopien, Konfigurationen oder die Beziehungen zwischen Komponenten. Datenportabilität und die Möglichkeit, eine Anwendung in einer anderen Umgebung auszuführen, hängen zusammen, sind aber nicht dasselbe. Es ist sinnvoll, getrennt zu prüfen, was sich extrahieren lässt und ob die Zielumgebung es wie vorgesehen nutzen kann.

Vor dem Beginn des Vorgangs empfiehlt es sich, den Anbieter schriftlich um konkrete Informationen zu bitten. Eine erste Prüfliste kann die folgenden Punkte enthalten. Sie soll Fragen zum jeweiligen Dienst strukturieren und bedeutet nicht, dass bei allen Anbietern dieselben Antworten oder Verfahren gelten:

• Welche Daten und Komponenten lassen sich mit welchen Werkzeugen und in welchen Formaten exportieren?
• Welche Kosten, Fristen, Volumenbeschränkungen und Zugangsbedingungen legt der Vertrag fest?
• Welche technischen Abhängigkeiten oder proprietären Funktionen könnten Änderungen am Zieldienst erforderlich machen?
• Wie werden Datenintegrität, Sicherheit und Kontinuität während der Übertragung überprüft?
• Welche Schritte ermöglichen die Beendigung des bisherigen Dienstes und den Umgang mit dort verbleibenden Kopien, vorbehaltlich der geltenden Pflichten?

Die Kommission stellt Interoperabilität als einen Weg dar, Dienste derselben Art zusammenarbeiten zu lassen und Software sowie Daten portabler zu machen, ohne die Sicherheit zu verringern. Diese Formulierung beschreibt das regulatorische Ziel. Sie enthält für sich genommen weder Testergebnisse zu bestimmten Anbietern noch Kennzahlen zu erfolgreichen Migrationen oder unabhängige Belege für den Umsetzungsstand des Marktes. Bei der Einschätzung, was ein bestimmter Nutzer erwarten kann, ist der Unterschied zwischen einem Ziel und Nachweisen seiner Umsetzung wichtig.

Die europäische Studie ist in den verfügbaren Recherchen eine institutionelle Quelle zur Entwicklung von Standards und Spezifikationen. Daneben gibt es unabhängige juristische Analysen des Wechselrahmens und Kommentare von Anbietern zu Cloud-Diensten. Hier werden jedoch keine überprüfbaren Daten zu konkreten Implementierungen vorgelegt, anhand derer sich feststellen ließe, wie alle Migrationen in der Praxis ablaufen. Diese Einschränkung ist bedeutsam: Die Absicht des Gesetzes darf nicht mit einer für jeden Anbieter dokumentierten Nutzererfahrung verwechselt werden. Allgemeine Kommentare ersetzen keine dienstspezifischen Angaben zu den Schritten, die ein Kunde tatsächlich ausführen müsste.

Die belastbare Schlussfolgerung ist begrenzt. Die EU verfügt über einen Rahmen, der den Wechsel zwischen Anbietern von Datenverarbeitungsdiensten umfasst, und die Kommission sieht Interoperabilität als zentrales Element. Was ein konkreter Nutzer tun kann – und mit welchen Kosten, in welchem Zeitrahmen oder mit welchen Risiken –, lässt sich nur anhand des Dienstes, des Vertrags und der einschlägigen technischen Spezifikationen beurteilen. Bis solche Nachweise vorliegen, ist es genauer, von regulatorischen Rechten und Zielen zu sprechen, als einen einfachen oder reibungslosen Ausstieg zu versprechen.