EU Data Act für Webagenturen: Wird der Website-Umzug jetzt kostenlos?
Ein Kunde kündigt seiner Webagentur. Er möchte mit Domain, Inhalten, Datenbank und Website zu einem anderen Anbieter. Die Antwort lautet: Natürlich — gegen 2.500 Euro „Transferpauschale“. Das Theme sei Eigentum der Agentur, ein Datenbankexport nicht vorgesehen und der Zugang zum Hosting könne aus Sicherheitsgründen nicht herausgegeben werden.
Bislang war das vor allem ein hässlicher Vertragsstreit. Seit dem 12. September 2025 kann zusätzlich der EU Data Act ins Spiel kommen.
Nicht, weil jede Website plötzlich eine europäische Datenmaschine wäre. Und auch nicht, weil der Data Act eine neue DSGVO ist. Der relevante Teil ist viel konkreter: Die Verordnung soll Kunden den Wechsel zwischen Cloud- und Datenverarbeitungsdiensten erleichtern. Genau dort leben heute Hosting-Pakete, Website-Baukästen, gehostete CMS-Plattformen und viele Wartungsangebote von Agenturen.
Die entscheidende, bisher kaum beantwortete Frage lautet: Was bedeutet der EU Data Act für Webagenturen, Website-Anbieter und einen echten Website-Umzug?
Stand dieses Beitrags ist der 3. August 2026. Er gibt einen technischen und geschäftlichen Überblick, keine individuelle Rechtsberatung.
Der Data Act in 90 Sekunden
Die Verordnung (EU) 2023/2854 gilt im Wesentlichen seit dem 12. September 2025 unmittelbar in der EU. Ihr bekanntester Teil betrifft Daten aus vernetzten Produkten: Autos, Smartwatches, Maschinen oder Haushaltsgeräte sollen die Daten, die bei ihrer Nutzung entstehen, nicht exklusiv beim Hersteller einsperren.
Das ist aber nur ein Teil. Der Data Act regelt unter anderem:
- Zugang zu und Weitergabe von Daten aus vernetzten Produkten und verbundenen Diensten,
- faire Bedingungen, wenn Unternehmen gesetzlich Daten bereitstellen müssen,
- missbräuchliche B2B-Vertragsklauseln über Datenzugang und Datennutzung,
- Datenzugang öffentlicher Stellen in außergewöhnlichen Situationen,
- den Wechsel und die parallele Nutzung von Datenverarbeitungsdiensten,
- Schutzmaßnahmen gegen rechtswidrigen staatlichen Zugriff aus Drittstaaten auf nicht personenbezogene Daten,
- Interoperabilität von Datenräumen und Datenverarbeitungsdiensten.
Die EU-Kommission erklärt diese Kapitel getrennt. Das ist wichtig, denn im Internet werden sie gerne zu einem großen Brei aus „Nutzer haben jetzt ein Recht auf ihre Daten“ verrührt. Für die Webbranche ist meistens nicht das Smart-Home-Kapitel entscheidend, sondern Kapitel VI über Cloud-Switching.
Eine Website ist nicht automatisch vom Data Act erfasst
Eine gewöhnliche Unternehmenswebsite ist kein vernetztes Produkt, nur weil sie mit dem Internet verbunden ist. Auch das Erstellen eines individuellen Designs oder das Programmieren eines Frontends ist nicht automatisch ein Datenverarbeitungsdienst.
Die Verordnung definiert einen Datenverarbeitungsdienst vereinfacht als digitalen Dienst, der einem Kunden einen allgegenwärtigen, bedarfsgesteuerten Netzwerkzugang zu einem gemeinsam genutzten Pool konfigurierbarer, skalierbarer und elastischer Rechenressourcen ermöglicht. Die Definition orientiert sich an IaaS, PaaS und SaaS: Infrastruktur, Plattformen und Software aus der Cloud.
Deshalb entscheidet nicht, ob auf der Rechnung „Webagentur“ steht. Entscheidend ist, was tatsächlich angeboten wird und wer Vertragspartner des Kunden ist.
Meist nicht selbst Anbieter eines Datenverarbeitungsdienstes
Eine Agentur gestaltet und entwickelt einmalig eine Website. Der Kunde schließt den Hostingvertrag direkt mit einem Hoster und besitzt selbst den Account. Die Agentur erhält nur einen technischen Zugang, um die Website zu veröffentlichen.
In dieser Konstellation ist die Agentur wegen der Entwicklungsleistung normalerweise nicht automatisch Cloud-Anbieter. Der Hoster stellt den Datenverarbeitungsdienst bereit; der Kunde nutzt ihn. Für den Werk- oder Dienstvertrag mit der Agentur bleiben natürlich andere Regeln und die vereinbarten Herausgabe- und Nutzungsrechte wichtig.
Potenziell selbst betroffen
Anders sieht es aus, wenn die Agentur im eigenen Namen ein laufendes Hosting-Paket verkauft, Kunden eine gehostete CMS- oder Shop-Plattform bereitstellt oder einen eigenen Website-Baukasten als SaaS betreibt. Dann kann sie selbst Anbieter eines Datenverarbeitungsdienstes sein — auch wenn darunter technisch ein größerer Hoster arbeitet.
Typische Prüffälle sind:
- Managed Hosting, das die Agentur als eigene Leistung und auf eigene Rechnung verkauft,
- White-Label- oder Reseller-Hosting,
- Multi-Tenant-Website-Baukästen,
- gehostete CMS-, Shop-, Mitglieder- oder Buchungssysteme,
- Analytics-, Formular-, Newsletter- oder Medienplattformen als SaaS,
- Plattformen, auf denen Kunden Websites konfigurieren, betreiben und ihre Daten verwalten.
Die Bundesnetzagentur ordnet ausdrücklich IaaS, PaaS und SaaS ein und betont, dass der Begriff eine große Bandbreite digitaler Dienste umfasst. Im Grenzfall braucht es eine Prüfung der konkreten technischen Architektur, Leistung und Vertragskette. „Wir sind nur eine Agentur“ ist keine rechtliche Kategorie.
Das Reseller-Problem: Wer die Rechnung schreibt, erbt womöglich die Pflichten
Viele kleine Agenturen kaufen bei einem großen Hoster Speicherplatz oder Managed Server ein und verkaufen daraus ein bequemes Komplettpaket: Website, Wartung und Hosting für einen monatlichen Betrag. Für Kunden ist die Agentur der einzige Ansprechpartner. Genau das ist der Vorteil des Modells.
Beim Anbieterwechsel wird es zum Risiko.
Wenn die Agentur gegenüber dem Kunden selbst als Anbieter auftritt, kann sie sich nicht blind darauf verlassen, dass ihr Rechenzentrum „schon irgendeinen Export“ anbietet. Sie muss ihre eigene Leistungskette so aufbauen, dass sie ihre Verpflichtungen gegenüber dem Kunden erfüllen kann. Der Upstream-Vertrag braucht also passende Zugriffs-, Export-, Kündigungs- und Unterstützungsrechte.
Ein praktisches Beispiel: Der Kunde verlangt einen strukturierten Export seines CMS. Die Agentur kann nur ein proprietäres Backup herunterladen, das ausschließlich im System ihres White-Label-Anbieters wiederhergestellt werden kann. Dann ist nicht der Kunde das Problem. Die Agentur hat ein Produkt verkauft, dessen Exit sie nie geprüft hat.
Wer Hosting bündelt, sollte auch den Ausgang bündeln können.
Was der Anbieterwechsel praktisch verlangt
Kapitel VI ist kein freundlicher Hinweis, man möge beim Offboarding hilfsbereit sein. Es enthält konkrete technische, vertragliche und organisatorische Vorgaben. Nach der aktuellen Darstellung der Bundesnetzagentur gelten sie seit dem 12. September 2025 für neue und bestehende Verträge über erfasste Datenverarbeitungsdienste.
Der Vertrag muss den Exit erklären
Die Rechte des Kunden und Pflichten des Anbieters beim Wechsel müssen in einem schriftlichen Vertrag klar geregelt und vor Vertragsschluss speicherbar bereitgestellt werden. Artikel 25 verlangt unter anderem:
- eine Ankündigungsfrist für den Start des Wechsels von höchstens zwei Monaten,
- grundsätzlich höchstens 30 Kalendertage für die technische Übergangsphase,
- angemessene Unterstützung während des Wechsels,
- Aufrechterhaltung von Sicherheit und Geschäftskontinuität,
- eine vollständige Beschreibung der portierbaren Daten und digitalen Assets,
- eine vollständige Beschreibung der ausgenommenen internen Datenkategorien,
- mindestens 30 Kalendertage Abrufmöglichkeit nach Ende der Übergangsphase,
- anschließende Löschung, sofern keine andere Rechtsgrundlage für die Speicherung besteht,
- transparente Angaben zu zulässigen Wechselentgelten.
Ist ein Wechsel technisch nicht in 30 Tagen machbar, muss der Anbieter das innerhalb von 14 Arbeitstagen nach dem Wechselverlangen begründen. Die alternative Übergangsphase darf grundsätzlich höchstens sieben Monate dauern. Der Kunde darf die Übergangsphase außerdem einmal für einen Zeitraum verlängern, den er für seine Zwecke für angemessener hält.
Für einen simplen WordPress-Export wird niemand ernsthaft sieben Monate technische Unmöglichkeit erklären können. Für eine komplexe Plattform mit vielen Integrationen kann die Lage anders aussehen. Die Frist ist kein Freifahrtschein, sondern eine begründungsbedürftige Ausnahme.
SaaS und PaaS brauchen offene Schnittstellen
Bei PaaS- und SaaS-Diensten muss der abgebende Anbieter Kunden und dem neuen Anbieter unentgeltlich offene Schnittstellen samt notwendiger Dokumentation zur Verfügung stellen. Solange noch keine einschlägigen gemeinsamen Spezifikationen oder harmonisierten Normen veröffentlicht sind, müssen beim Wechsel zwischen Diensten derselben Art exportierbare Daten auf Verlangen in einem strukturierten, gängigen und maschinenlesbaren Format ausgegeben werden.
Ein PDF mit ausgedruckten Blogbeiträgen ist kein ernsthafter CMS-Export. Ein Screenshot der Kundendatenbank auch nicht. Praktisch geht es eher um Formate wie JSON, CSV, XML, SQL-Dumps, Medienarchive und dokumentierte APIs — abhängig vom Dienst und den Daten.
Die Verordnung verlangt allerdings nicht, dass der alte Anbieter die komplette Anwendung beim neuen Anbieter neu entwickelt. Insbesondere die Pflicht zur „Funktionsäquivalenz“ trifft nach dem aktuellen System vor allem IaaS-Anbieter. SaaS-Portabilität bedeutet nicht, dass jedes proprietäre Feature beim Wettbewerber magisch identisch wieder auftaucht.
Welche Teile einer Website müssen herausgegeben werden?
Hier wird der Data Act schnell mit Urheberrecht und Vertragsrecht verwechselt.
„Exportierbare Daten“ sind nach Artikel 2 Nummer 38 insbesondere Ein- und Ausgabedaten einschließlich Metadaten, die durch die Nutzung des Dienstes direkt oder indirekt erzeugt oder miterzeugt wurden. Bei einer Website können darunter — je nach System — fallen:
- Texte, Produkte, Beiträge und strukturierte Inhaltsdaten,
- hochgeladene Bilder, Dokumente und andere Medien,
- Kunden-, Bestell-, Formular- oder Mitgliederdaten,
- Kategorien, Schlagwörter und Beziehungen zwischen Inhalten,
- Einstellungen und Konfigurationen,
- nutzungsbezogene Metadaten und gegebenenfalls Analysedaten,
- Datenbankinhalte und maschinenlesbare Exporte.
Davon zu unterscheiden sind digitale Assets. Eine Anwendung oder ein anderes digitales Element ist für den Wechsel relevant, wenn der Kunde daran ein Nutzungsrecht hat, das unabhängig vom bisherigen Dienstvertrag besteht.
Genau deshalb lautet die Antwort auf „Muss die Agentur den Quellcode herausgeben?“: nicht automatisch.
Der Data Act überträgt keine Urheberrechte und verschenkt keine Geschäftsgeheimnisse. Geschützte Assets, interne Daten des Anbieters und sicherheitskritische Informationen können ausgenommen sein. Hat der Kunde den individuellen Website-Code gekauft oder ein unabhängiges Nutzungsrecht erhalten, sieht die Lage anders aus als bei einem nur für die Laufzeit lizenzierten proprietären Baukasten.
Auch Domaininhaberschaft, Schrift- und Plugin-Lizenzen, Design-Quelldateien, Repositories und Zugangsdaten lösen sich nicht durch das Wort „Portabilität“ von selbst. Gute Website-Verträge regeln deshalb vor Projektbeginn:
- Wem gehört die Domain und wer ist als Inhaber eingetragen?
- Wer besitzt Hosting-, DNS- und Repository-Accounts?
- Welche Nutzungsrechte erhält der Kunde am individuellen Code und Design?
- Welche Komponenten sind nur lizenziert und unter welchen Bedingungen?
- In welchem Format werden Inhalte, Datenbank und Medien herausgegeben?
- Welche Dokumentation und Zugangsdaten gehören zur Übergabe?
Der Data Act schafft eine Untergrenze gegen Lock-in. Ein sauberer Vertrag bleibt besser als ein späterer Streit darüber, wo genau diese Untergrenze liegt.
Wird der Website-Umzug ab 2027 wirklich kostenlos?
Die kurze Antwort: Nein. Aber eine bestimmte Art von Exit-Maut soll verschwinden.
Bis einschließlich 11. Januar 2027 dürfen Anbieter reduzierte Wechselentgelte verlangen. Diese dürfen die Kosten nicht übersteigen, die unmittelbar mit dem Wechsel zusammenhängen. Ab dem 12. Januar 2027 dürfen Anbieter für die vom Data Act verlangten Wechselhandlungen keine Wechselentgelte mehr erheben. Dazu zählen auch Daten-Egress-Gebühren, also Entgelte für das Heraustransportieren der Daten aus der Infrastruktur.
Das bedeutet nicht, dass alles rund um einen Wechsel kostenlos wird. Weiter berechnet werden können insbesondere:
- reguläre Leistungsentgelte bis zum Ende des Vertrags,
- verhältnismäßige Entschädigungen bei vorzeitiger Beendigung eines festen Vertrags,
- zusätzliche Unterstützung, die über die gesetzlichen Wechselpflichten hinausgeht, wenn der Kunde sie beauftragt und dem Preis vorher zustimmt,
- Leistungen des neuen Anbieters für Import, Einrichtung, Anpassung oder Tests,
- ein Redesign oder eine Neuentwicklung, wenn Systeme funktional nicht gleich sind.
Außerdem gibt es für bestimmte individuell zugeschnittene Datenverarbeitungsdienste, die nicht breit über einen Leistungskatalog angeboten werden, ein besonderes Regime nach Artikel 31. Es nimmt sie von einzelnen Pflichten aus, aber nicht pauschal aus dem gesamten Kapitel. Selbst bei solchen Diensten bleiben nach der Erläuterung der Bundesnetzagentur unter anderem offene Schnittstellen und ein strukturierter, gängiger, maschinenlesbarer Export relevant. Der Anbieter muss vor Vertragsschluss offenlegen, welche Pflichten wegen der Ausnahme nicht gelten.
„Ab 2027 ist jeder Website-Umzug gratis“ wäre also eine griffige Überschrift und eine miserable Rechtsauskunft.
Eine neue Informationsseite auf der Website des Anbieters
Der Data Act enthält tatsächlich eine Pflicht, die unmittelbar die Website des Anbieters betrifft — aber nicht so, wie viele vermuten.
Nach Artikel 28 müssen Anbieter von Datenverarbeitungsdiensten auf ihrer Website aktuell veröffentlichen:
- welcher Rechtsordnung die für den jeweiligen Dienst eingesetzte ICT-Infrastruktur unterliegt und
- eine allgemeine Beschreibung der technischen, organisatorischen und vertraglichen Maßnahmen, mit denen sie rechtswidrigen staatlichen Zugriff aus Drittstaaten auf in der EU gehaltene nicht personenbezogene Daten verhindern.
Der Vertrag muss auf diese Website verweisen. Das ist keine weitere Datenschutzerklärung und kein Ersatz für Informationen nach der DSGVO. Es geht gerade um den Schutz nicht personenbezogener Daten vor kollidierenden staatlichen Zugriffs- und Übermittlungsverlangen.
Für kleine Hosting- und SaaS-Anbieter ist das ein leicht übersehbarer Punkt. Wer nur die AGB um einen Exit-Absatz ergänzt, aber Artikel 28 ignoriert, ist nicht fertig.
Kleine Agentur, große Ausnahme? Derzeit nein
Die Bundesnetzagentur schreibt zum aktuellen Kapitel VI ausdrücklich, dass die Vorgaben für alle Anbieter von Datenverarbeitungsdiensten gelten — unabhängig von der Unternehmensgröße. Eine pauschale Aussage wie „Unter zehn Mitarbeitern gilt der Data Act nicht“ ist für Cloud-Switching derzeit falsch.
Allerdings läuft ein EU-Gesetzgebungsverfahren, das die Lage verändern könnte. Der von der Kommission vorgeschlagene Digital Omnibus sieht gezielte Erleichterungen bei den Cloud-Switching-Regeln für kleine und mittlere Anbieter sowie bestimmte stark angepasste Dienste vor. Das Verfahren ist am 3. August 2026 noch nicht abgeschlossen.
Das ist für kleine SaaS- und Hosting-Anbieter relevant, aber kein Grund, die geltenden Regeln zu ignorieren. Ein Kommissionsvorschlag ist keine Ausnahmegenehmigung. Verträge, Exporte und Exit-Prozesse sollten auf Basis des heute geltenden Rechts geprüft und bei einer späteren Änderung angepasst werden.
Was Anbieter jetzt konkret prüfen sollten
Wer Hosting, Website-SaaS oder einen Baukasten anbietet, braucht keinen hundertseitigen Panikordner. Er braucht einen belastbaren Exit. Diese zehn Punkte sind ein sinnvoller Start:
- Leistungen inventarisieren: Welche Angebote sind reine Entwicklung, welche Hosting, IaaS, PaaS oder SaaS? Wer ist jeweils Vertragspartner?
- Vertragskette prüfen: Reichen die Rechte gegenüber Rechenzentrum, White-Label-Anbieter und Unterauftragnehmer aus, um Kundenexporte und Fristen einzuhalten?
- Datenkatalog erstellen: Welche Kundendaten und digitalen Assets sind exportierbar, welche internen Kategorien werden aus welchem konkreten Grund ausgenommen?
- Formate testen: Sind Exporte strukturiert, gängig, maschinenlesbar und beim Zielsystem tatsächlich nutzbar?
- Schnittstellen dokumentieren: Gibt es eine offene, dokumentierte API für PaaS- oder SaaS-Wechsel?
- Exit-Vertrag ergänzen: Fristen, Unterstützung, Kontinuität, Sicherheit, Datenabruf, Löschung, Datenkategorien und Kosten gehören klar in den Vertrag.
- Preise korrigieren: Wechselentgelte müssen bis Januar 2027 auf unmittelbar entstehende Kosten begrenzt und danach für die gesetzlichen Schritte entfernt werden.
- Artikel-28-Seite veröffentlichen: Rechtsordnung der Infrastruktur und Maßnahmen gegen rechtswidrigen Drittstaatenzugriff aktuell beschreiben und im Vertrag verlinken.
- Probewechsel durchführen: Ein Export, der nie importiert wurde, ist Hoffnung, kein Prozess. Mit Testkunden oder Staging-Systemen einmal vollständig durchspielen.
- Ausnahmen dokumentieren: Wer sich auf das besondere Regime für individuelle Dienste beruft, sollte die Voraussetzungen sauber prüfen und Kunden vor Vertragsschluss konkret informieren.
Die EU-Kommission stellt dafür freiwillige Standardvertragsklauseln für Cloud-Verträge bereit. Sie decken unter anderem Wechsel und Exit, Kündigung, Sicherheit und Geschäftskontinuität ab. Sie sind kein fertiger Universalvertrag, aber ein wesentlich besserer Ausgangspunkt als selbst erfundene zwei Sätze in den AGB.
Bei echten Abgrenzungsfragen gibt es außerdem einen offiziellen Data Act Legal Helpdesk der EU-Kommission.
Was Website-Kunden jetzt verlangen sollten
Der Data Act ist kein Grund, bis zur Kündigung zu warten. Kunden können schon bei der Auswahl einer Agentur oder Plattform sehr konkrete Fragen stellen:
- Läuft der Hostingvertrag auf meinen Namen oder auf den Namen der Agentur?
- Bin ich selbst Inhaber der Domain und habe ich Zugriff auf DNS und Hosting?
- Kann ich Inhalte, Medien, Datenbank und Einstellungen vollständig exportieren?
- In welchem Format erfolgt der Export und gibt es eine Dokumentation?
- Welche Teile der Website darf ich bei einem anderen Anbieter weiterverwenden?
- Welche Plugins, Fonts, Themes oder Bibliotheken sind nur lizenziert?
- Welche Kosten entstehen bei Kündigung, Export und Anbieterwechsel?
- Wie lange bleiben die Daten nach dem Wechsel abrufbar und wann werden sie gelöscht?
Eine Agentur, die diese Fragen als Misstrauensvotum behandelt, beantwortet sie bereits.
Gute Anbieter verlieren keine Kunden, weil sie einen sauberen Exit ermöglichen. Sie gewinnen Kunden, weil niemand sein digitales Geschäft einem Dienst anvertrauen möchte, der die Tür nach Vertragsabschluss von außen abschraubt.
In Deutschland gibt es jetzt eine Behörde und Bußgelder
Seit dem 30. Mai 2026 gilt das deutsche Datenverordnung-Anwendungs-und-Durchsetzungs-Gesetz (DADG). Die Bundesnetzagentur ist die zentrale Behörde für Anwendung und Durchsetzung des Data Act in Deutschland; bei personenbezogenen Daten bleiben die Datenschutzaufsichtsbehörden beteiligt.
Das DADG belegt verschiedene Verstöße gegen die Cloud-Switching-Regeln mit unterschiedlichen Bußgeldrahmen. Fehlende oder unvollständige Vertrags- und Wechselinformationen können mit bis zu 50.000 Euro geahndet werden. Für unzulässige Wechselhindernisse, fehlende offene Schnittstellen oder bestimmte Interoperabilitätsverstöße sieht § 15 DADG bis zu 100.000 Euro vor. Wer einer vollziehbaren Anordnung der Bundesnetzagentur zuwiderhandelt, riskiert bis zu 500.000 Euro.
Das ist nicht die DSGVO mit ihren bekannten Umsatzprozenten für jeden Fall. Es ist aber auch kein folgenloses Strategiepapier mehr. Kunden können sich bei der Bundesnetzagentur beschweren, die Behörde kann ermitteln und Verpflichtungen durchsetzen.
Mein Fazit: Portabilität ist jetzt Teil guter Webentwicklung
Der EU Data Act macht nicht jede Website zum regulierten IoT-Produkt. Er zwingt auch keine Agentur, ihr geistiges Eigentum zu verschenken oder eine fremde Plattform kostenlos nachzubauen.
Er trifft aber einen wunden Punkt der Webbranche: Geschäftsmodelle, bei denen Kunden ihre eigenen Inhalte und Daten nur so lange „besitzen“, wie sie jeden Monat weiterzahlen. Proprietäre Systeme sind nicht automatisch schlecht. Ein nicht vorhandener Ausgang ist es.
Für klassische Webagenturen ist die wichtigste Frage deshalb nicht „Gilt der Data Act für mich: ja oder nein?“, sondern: Welche Rolle habe ich bei jeder einzelnen Leistung? Wer nur entwickelt, steht anders da als jemand, der Hosting weiterverkauft. Wer ein eigenes SaaS betreibt, steht anders da als jemand, der einen Kundenaccount bei einem Hoster administriert.
Und für Kunden bleibt die beste Lösung erstaunlich analog: Domain auf den eigenen Namen, klare Nutzungsrechte, dokumentierte Zugänge, ein brauchbarer Datenexport und ein Vertrag, der das Ende genauso ernst nimmt wie den Projektstart.
Eine gute Website sollte Menschen nicht einsperren. Seit dem Data Act ist das nicht mehr nur eine Frage des Anstands.