Zu europäischer SaaS wechseln: Schritt für Schritt für Technik- und Compliance-Teams
A European SaaS migration project rarely starts with a strategy memo. It starts with a flagged clause: a data processing agreement (DPA) review turns up a sub-processor based in the United States, a vendor’s price update changes the cost calculus overnight, or an internal audit surfaces a cross-border data transfer that legal cannot defend. These triggers are operational, and they usually arrive with a deadline attached: a contract renewal, an audit remediation date, or a board question that needs an answer.
Kurz gesagt: Der Wechsel deiner Unternehmenssoftware von einem Anbieter außerhalb der EU bzw. des EWR zu einem europäischen Anbieter gelingt am besten in sechs Schritten: (1) Anlass klären, (2) Systeme, Datenflüsse und Verträge erfassen, (3) europäische Alternativen prüfen, (4) Export, Datenaufbereitung und Import planen, (5) Vertragsende und Datenlöschung organisieren und (6) Teams schulen und den laufenden Betrieb beobachten. Zwei Dinge bestimmen meist das Tempo: wie vollständig du die Daten aus dem alten System herausbekommst und wie der alte Vertrag endet. Seit dem 12. September 2025 begrenzt der EU Data Act bei vielen SaaS-Verträgen die Ankündigungsfrist für den Wechsel auf zwei Monate. Ein europäischer Anbieter kann bestimmte Risiken durch Zugriffe aus dem Ausland verringern. Deine eigene Prüfung ersetzt er nicht.
| Schritt | Was du tust | Was am Ende vorliegen sollte |
|---|---|---|
| 1. Anlass klären | Festlegen, warum du wechselst | Eine schriftliche Begründung und ein klarer Umfang |
| 2. Bestandsaufnahme | Systeme, Datenflüsse, Unterauftragsverarbeiter und Verträge erfassen | Eine Übersicht mit Verantwortlichen und Kündigungsterminen |
| 3. Alternativen prüfen | Europäische Alternativen anhand deiner Kriterien vergleichen | Eine engere Auswahl mit schriftlichen Antworten der Anbieter |
| 4. Datenumzug planen | Export, Zuordnung und Import festlegen und testen | Ein geprüfter Testimport und ein Rückkehrplan |
| 5. Vertrag beenden | In der richtigen Reihenfolge kündigen und löschen lassen | Eine Löschbestätigung und aktualisierte Compliance-Unterlagen |
| 6. Schulen und beobachten | Teams mit dem neuen Tool vertraut machen und Probleme verfolgen | Eine abgeschlossene Beobachtungsphase, in der offene Probleme behoben wurden |
Unterscheide zwischen einem Wechsel als Reaktion und einem strategisch geplanten Wechsel. Reaktive Projekte entstehen unter Compliance-Druck: etwa durch Unsicherheit bei EU-US-Datenübermittlungen, seit das Schrems-II-Urteil 2020 den Privacy Shield für ungültig erklärte, durch Risiken aus dem US CLOUD Act oder durch einen konkreten Hinweis des Datenschutzbeauftragten. Strategische Projekte haben längerfristige Ziele: weniger Abhängigkeit vom Anbieter, besser planbare Kosten oder mehr digitale Souveränität. Beide Ansätze sind berechtigt, führen aber zu unterschiedlichen Projektumfängen. Werden sie vermischt, entstehen später leicht Missverständnisse.
Anders als bei einem gewöhnlichen Softwarewechsel ändern sich hier viele Abhängigkeiten zugleich: Auftragsverarbeitungsverträge, Unterauftragsverarbeiter, API-Anbindungen, Single Sign-on (SSO), vertragliche Fristen und Arbeitsabläufe. Wenn du das Projekt nur als Austausch eines Anbieters behandelst, unterschätzt du leicht den Zeitbedarf und die Risiken.
What Does “European SaaS Migration” Actually Mean?
In diesem Ratgeber bedeutet der Wechsel zu europäischer SaaS: Du verlagerst geschäftskritische Anwendungen von einem SaaS-Anbieter außerhalb der EU bzw. des EWR oder von einem Anbieter, der außereuropäischen gesetzlichen Zugriffsregelungen unterliegt, zu einem Anbieter, der in der EU bzw. im EWR ansässig ist und von dort betrieben wird.
Hosting in der EU und Betrieb durch ein EU-Unternehmen sind zwei verschiedene Dinge. EU-Hosting beschreibt nur den Standort der Infrastruktur, etwa ein Rechenzentrum in Frankfurt oder Amsterdam. EU-Betrieb bedeutet, dass das Unternehmen hinter dem Dienst in der EU bzw. im EWR ansässig ist. Eigentumsverhältnisse und die geltenden gesetzlichen Zugriffsmöglichkeiten musst du trotzdem separat prüfen.
Der Grund dafür ist der US CLOUD Act. Nach 18 U.S.C. § 2713 kann ein US-Anbieter zur Herausgabe von Daten verpflichtet werden, die sich in seinem Besitz, seiner Verwahrung oder unter seiner Kontrolle befinden – unabhängig vom Speicherort. Auch ein US-Anbieter mit einem Rechenzentrum in Frankfurt kann deshalb US-amerikanischen Herausgabeanordnungen unterliegen. Die nötigen Informationen findest du im DPA und in der Liste der Unterauftragsverarbeiter, nicht auf der Marketingseite.
Not every transatlantic data flow is unlawful, though. Since July 2023, the EU–US Data Privacy Framework allows personal data to be transferred to US companies certified under it. The General Court of the EU dismissed a challenge to the framework on 3 September 2025, and an appeal to the Court of Justice was filed on 31 October 2025.
The framework is valid today, but its two predecessors, Safe Harbor and the Privacy Shield, were both struck down. For a risk-conscious organization, that is a reasonable driver for migration: not because US transfers are banned, but because the legal basis could change.
Ein Wechsel muss auch nicht bedeuten, die gesamte Plattform auszutauschen. Du kannst schrittweise vorgehen und zuerst Datenkategorien mit hohem Risiko umziehen, während weniger riskante Tools bleiben. Das ist berechtigt und oft leichter zu begründen als ein pauschaler Austausch. Welcher Umfang passt, hängt vom Anlass ab – und den klärst du im ersten Schritt.
Der Wechsel zu europäischer SaaS umfasst sechs Phasen: vom Klären des Anlasses bis zur Beobachtung nach dem Start.
Schritt 1: Kläre den Anlass
Bevor du den Bestand erfasst oder Anbieter auswählst, halte fest, warum du wechseln möchtest.
Regulatorische Anlässe sind etwa ein DSGVO-Risiko durch einen bestimmten Datenfluss oder Unsicherheit über die Rechtsgrundlage einer US-Übermittlung. Je nach vorgesehenem Zweck, Risikoeinstufung und Rolle deiner Organisation können auch Pflichten aus dem AI Act that depend on intended purpose, risk classification and your organizational role. Commercial and operational drivers include rising license costs, feature stagnation, or the wish to depend less on a single vendor’s roadmap.
Der Anlass bestimmt den Umfang. Ein Wechsel aus Compliance-Gründen ist meist enger gefasst und dringlicher: Er betrifft das konkrete System oder den Datenfluss, der das Risiko verursacht hat, und richtet sich oft nach einem Audittermin. Bei einem Wechsel aus Kosten- oder Strategiegründen kannst du breiter und in Etappen vorgehen, weil keine externe Frist einen schnellen Umstieg erzwingt.
Dokumentiere deine Begründung. Wenn du schriftlich festhältst, welches Risiko du angehst und warum du einen bestimmten Anbieter oder Umfang gewählt hast, hilft dir das bei späteren Beschaffungsentscheidungen. Außerdem kannst du gegenüber Auditoren oder Datenschutzbehörden belegen, dass du sorgfältig geprüft hast.
Schritt 2: Erfasse Systeme, Datenflüsse und Verträge
Skipping the inventory is the most common way to end up with surprises in the middle of the project. Shadow IT is the main cause: tools adopted by individual teams without formal procurement or IT sign-off can hold data or dependencies that never made it into the migration scope. A marketing team’s analytics tool or a sales team’s personal CRM add-on often surfaces only when an integration breaks.
Erfasse für jedes betroffene System folgende Punkte:
- Verarbeitete Datenkategorien: personenbezogene Daten, besondere Datenkategorien nach der DSGVO und Daten mit branchenspezifischen Vorgaben; bewerte sie zusammen mit dem Verarbeitungskontext und dem Risiko
- Beteiligte Unterauftragsverarbeiter: Dritte, die für den Anbieter personenbezogene Daten verarbeiten und im DPA oder in der aktuellen Liste der Unterauftragsverarbeiter stehen
- Abhängigkeiten durch Anbindungen: APIs, SSO-Verbindungen, Webhooks und Automatisierungen, die auf der bisherigen Plattform aufbauen
- Vertragsende und Kündigungsfristen: die Fristen für eine Kündigung ohne Vertragsstrafe oder automatische Verlängerung
Für den Anfang reicht eine einfache Tabelle:
| System | Fachlich verantwortlich | Datenkategorien | Unterauftragsverarbeiter | Anbindungen | Vertragsende und Kündigungsfrist |
|---|---|---|---|---|---|
| Zum Beispiel CRM | Vertriebsleitung | Kundenkontakte, Verlauf der Verkaufschancen | Laut DPA | SSO, E-Mail, Abrechnung | Zum Beispiel 31. Dezember; Frist laut Vertrag |
Unterscheide außerdem zwischen Systemen mit maßgeblichen Datenbeständen und Tools für die tägliche Zusammenarbeit. Ein CRM oder ERP, das die verbindlichen Kunden- oder Finanzdaten enthält, bringt beim Umzug mehr Risiken mit: Datenintegrität und lückenlose Historie sind hier besonders wichtig. Bei Chat- oder Meetingtools hängt das Risiko von der Sensibilität der Daten, Aufbewahrungspflichten, Anbindungen und der nötigen Genauigkeit historischer Aufzeichnungen ab.
Contract terms often decide the earliest possible exit date, more than technical readiness does. A contract may demand, say, 90 days’ written notice. For services covered by the EU Data Act, however, the notice period for switching can be at most two months (see Step 5). Check the clause against both.
Schritt 3: Prüfe europäische Alternativen
“European” does not automatically mean GDPR-safe. A vendor headquartered in the EU can still route data through non-EU sub-processors, keep backups outside the EEA, or belong to a parent company incorporated elsewhere. Even vendors who call themselves “fully GDPR-compliant” are describing a marketing position. Compliance is a property of how data is processed under a specific configuration and contract. Treat EU origin as the starting point for verification, and check the actual sub-processor list, data center locations and ownership structure.
Vergleiche die Kandidaten anhand dieser Kriterien:
| Kriterium | Warum es wichtig ist | Wie du es prüfst |
|---|---|---|
| Benötigte Funktionen | Fehlende Funktionen verhindern häufig, dass Teams das neue Tool annehmen | Teste unverzichtbare Arbeitsabläufe in einer Testversion |
| Speicherort der Daten | Vertragliche Zusagen zählen; bloße Annahmen nicht | DPA, einschließlich der Backupstandorte |
| Unterauftragsverarbeiter und Eigentümer | Nicht-europäische Unterauftragsverarbeiter oder Muttergesellschaften können dieselben Risiken wieder ins Spiel bringen | Liste der Unterauftragsverarbeiter, Unternehmensstruktur |
| Support und Reaktion auf Vorfälle | Der Rechtsraum dieser Teams beeinflusst den Zugriff auf deine Daten | Vertrag und Anbieterdokumentation |
| Zertifizierungen | Geltungsbereich und Aktualität unterscheiden sich stark | Gleiche die Angaben mit der Anbieterdokumentation ab |
| Preise | Vergleiche mit dem bisherigen Anbieter und rechne die Kosten des Parallelbetriebs ein | Angebot und Preisliste |
| Export- und Umzugswerkzeuge | Eingebaute Werkzeuge erleichtern Schritt 4 | Dokumentation und Testexport |
Ein paar direkte Fragen im Anbietergespräch bringen oft mehr ans Licht als die Marketingseite. Stelle sie schriftlich und bitte um schriftliche Antworten:
- Wo genau werden unsere Daten gespeichert, einschließlich Backups?
- Wer sind eure aktuellen Unterauftragsverarbeiter, und kann sich die Liste ohne Vorankündigung ändern?
- Wem gehört das Unternehmen, und welche gesetzlichen Zugriffsregelungen gelten dafür?
- Wie können wir den Dienst verlassen? Können wir unsere Daten in einem nutzbaren Format exportieren, und wie lange ist das nach Vertragsende möglich?
Du musst nicht jede Toolkategorie von Grund auf neu vergleichen. Diese Vergleiche findest du bereits auf EuroBoxx:
- Business-Intelligence-Plattformen
- CRM-Systeme
- Videokonferenzen
- KI-Meeting-Assistenten
- Password managers and AI writing tools
Weitere Kategorien findest du im EuroBoxx-Verzeichnis europäischer Softwarealternativen.
Schritt 4: Plane Export, Datenaufbereitung und Import
Prüfe vor der Terminplanung, welche Daten du aus dem bisherigen System exportieren kannst. Manche Plattformen liefern vollständige relationale Exporte, andere nur flache CSV-Dateien, in denen die Beziehungen zwischen Datensätzen fehlen. API-Limits des alten Systems können die Ausleitung großer Datenmengen zusätzlich bremsen – besonders bei zentralen Datenbeständen mit jahrelanger Historie. Diese beiden Grenzen bestimmen den Zeitbedarf oft stärker als die neue Plattform.
Transformation is frequently underestimated. When the new platform’s schema differs from the old one, with different custom fields, workflow logic or automation rules, data cannot simply be copied. It has to be mapped and often restructured. Automation rules need to be rebuilt when the target platform does not support the same triggers, actions or fields.
Ein stufenweises Vorgehen senkt das Risiko gegenüber einem abrupten Wechsel:
- Importiere die Daten zuerst in eine Test- oder Sandbox-Umgebung.
- Gleiche die Anzahl der Datensätze, Beziehungen, Anhänge und Berechtigungen mit dem Quellsystem ab.
- Teste Anbindungen und SSO mit der neuen Plattform.
- Vereinbare vor dem Wechsel im Produktivbetrieb einen Plan für die Rückkehr zum alten System.
- Lass beide Systeme für einen festgelegten Prüfzeitraum parallel laufen. So erkennst du Abweichungen, solange das alte System noch verfügbar ist.
Wie lange der Parallelbetrieb sinnvoll ist, hängt von der Datenmenge und dem Prüfaufwand ab. Eine feste Branchenregel gibt es nicht.
Schritt 5: Organisiere Vertragsende und Datenlöschung
Hier zählt die Reihenfolge mehr als das Tempo. Prüfe den Umzug vollständig, bevor du den alten Vertrag kündigst oder den bisherigen Anbieter um eine Löschung bittest: Stimmen die Datensatzanzahlen? Funktionieren die Anbindungen? Haben die Nutzer das Ergebnis abgenommen? Wenn du zu früh löschen lässt, kannst du bei später entdeckten Abweichungen nicht mehr auf das Quellsystem zurückgreifen.
Dein Wechselrecht nach dem EU Data Act
The EU Data Act (Regulation (EU) 2023/2854) has applied since 12 September 2025. For customers of “data processing services”, which includes many SaaS products, it sets rules for switching providers:
- Ankündigungsfrist: the contract can require at most two months’ notice to start a switch.
- Übergangszeit: Der Übergang zum neuen Anbieter darf höchstens 30 Tage dauern.
- Wechselentgelte: Bis zum 12. Januar 2027 dürfen Anbieter höchstens ihre direkten Kosten berechnen. Danach sind Wechselentgelte grundsätzlich nicht mehr zulässig.
Es gibt Einschränkungen. Für Dienste, die individuell für einen einzelnen Kunden entwickelt wurden, gelten weniger weitgehende Vorgaben. Vertragsstrafen bei vorzeitiger Kündigung befristeter Verträge können bestehen bleiben. Außerdem zählt nicht jedes SaaS-Produkt als Datenverarbeitungsdienst im Sinne des Gesetzes. Lies deinen Vertrag und hole rechtlichen Rat ein, bevor du dich im konkreten Fall auf diese Regeln verlässt.
Löschung und Dokumentation
Nach Ende der Leistung muss der Anbieter deine personenbezogenen Daten nach deiner Wahl löschen oder zurückgeben, sofern keine gesetzliche Aufbewahrungspflicht besteht (Art. 28 Abs. 3 Buchst. g DSGVO). Bitte um eine Bestätigung, aus der hervorgeht, was wann und aus welchen Systemen gelöscht wurde. Wenn der Vertrag das vorsieht, sollte sie auch angeben, ob Backups bereits gelöscht wurden oder erst im regulären Aufbewahrungszyklus gelöscht werden. Zusammen mit deinen übrigen Nachweisen dokumentiert die Bestätigung, was nach Vertragsende mit den Daten passiert ist.
Beim Anbieterwechsel musst du auch deine Unterlagen anpassen:
- Schließe mit dem neuen Anbieter einen DPA ab und prüfe dessen Unterauftragsverarbeiter.
- Aktualisiere dein Verzeichnis der Verarbeitungstätigkeiten.
- Aktualisiere eine vorhandene Datenschutz-Folgenabschätzung.
- Passe deine Datenschutzhinweise an, wenn sich die Empfänger personenbezogener Daten ändern.
Running two subscriptions during validation is a normal, budgetable cost of migration, not a sign of poor planning. Its length depends on how much data needs validating, how complex the integrations are, and how long the outgoing contract’s notice period keeps the subscription active regardless of readiness. Budget for the overlap in advance, and finance and procurement will have far fewer objections.
Schritt 6: Schule die Teams und beobachte den laufenden Betrieb
Technischer Abschluss und erfolgreicher Alltagseinsatz sind zwei unterschiedliche Meilensteine. Technisch ist das Projekt gelungen, wenn die Daten korrekt übertragen wurden und die Anbindungen funktionieren. Im Alltag ist es gelungen, wenn die Teams tatsächlich mit dem neuen Tool arbeiten und nicht auf Behelfslösungen oder Kopien des alten Systems zurückgreifen.
Lege nach dem Wechsel eine Beobachtungsphase fest. Verfolge in dieser Zeit fehlerhafte Anbindungen, falsch gesetzte Berechtigungen und fehlende oder fehlerhaft nachgebaute Automatisierungen. Die Phase sollte den normalen Arbeitsalltag abdecken. Sonderfälle, die bei den Umstiegstests nicht vorkamen, zeigen sich oft erst dann.
Training effort scales with how different the new platform’s workflow logic is, not with how European the vendor is. A tool with a similar interface and logic needs comparatively light onboarding. A tool with a different data model or permission structure needs structured training and a named internal contact, typically the project owner or IT lead, who triages and tracks issues until the monitoring window closes.
Wie lange dauert der Wechsel zu europäischer SaaS? Ein Beispiel
Es gibt keinen Zeitplan, der zu jedem Projekt passt. Das folgende Beispiel dient zur Veranschaulichung, nicht als Richtwert. Es zeigt, wie ein mittelgroßes Team ein CRM umziehen könnte. Je nach Datenmenge, Anbindungen und Unterschieden zwischen den Plattformen dauern die Phasen anders lange.
| Phase | Was passiert | Beispielhafte Dauer |
|---|---|---|
| Schritte 1–2 | Anlass klären und Bestand erfassen | 2 Wochen |
| Schritt 3 | Engere Auswahl, Anbieterfragen und Testversion | 4 Wochen |
| Schritt 4 | Export, Datenzuordnung, Testimport und Prüfungen | 4 Wochen |
| Schritte 4–5 | Parallelbetrieb und Prüfung | 4 Wochen |
| Schritt 5 | Ankündigungsfrist und Löschung | Bis zu 2 Monate Ankündigungsfrist nach dem Data Act, dazu bis zu 30 Tage Übergangszeit |
| Schritt 6 | Schulung und Beobachtungsphase | 2–4 Wochen |
What generalizes is the sequence and the hard limits: for in-scope services, the contract cannot hold you to more than two months’ notice and a 30-day transition. Everything else depends on your data and your integrations.
Ist ein vollständiger Wechsel zu europäischer SaaS immer sinnvoll?
Nicht unbedingt. Ein gemischter Ansatz lässt sich begründen, wenn eine dokumentierte Risikobewertung die Verarbeitung mit höheren Risiken priorisiert und bestätigt, dass jedes verbleibende Tool weiterhin rechtmäßig und angemessen geschützt genutzt wird. So zeigt die Organisation, dass sie bewusst Prioritäten gesetzt hat, statt eine pauschale Compliance-Aussage für sämtliche Systeme zu machen.
Das gilt auch für den Zeitpunkt. Ein unter Fristendruck in wenige Wochen gepresster Wechsel birgt mehr Betriebsrisiken als ein Projekt im normalen Budgetzyklus. Meist wird zuerst bei der Bestandsaufnahme gespart. Wenn du nur einen Teil der Arbeit schaffst, halte an Bestandsaufnahme und Prüfung fest und verkleinere lieber den Umfang.
Häufig gestellte Fragen
Garantiert ein europäischer SaaS-Anbieter automatisch DSGVO-Konformität?
Nein. Der Sitz des Anbieters allein garantiert weder DSGVO-Konformität noch beseitigt er Risiken durch Zugriffe aus dem Ausland. Datenflüsse, Unterauftragsverarbeiter, Sicherheit, Übermittlungsmechanismen und Verträge musst du weiterhin prüfen.
Habe ich in der EU ein gesetzliches Recht, den SaaS-Anbieter zu wechseln?
For many SaaS products, yes. Since 12 September 2025, the EU Data Act limits the notice period for switching to two months and the transition period to 30 days. Switching charges are capped at the provider’s direct costs until 12 January 2027 and generally no longer allowed after that. Individually built services and some fixed-term contracts are treated differently, so check your contract.
Wie lange dauert ein typischer Wechsel zu europäischer SaaS?
It depends on data volume, the number and complexity of integrations, how different the new platform’s data model and workflows are, and the contractual exit terms. The example above shows how the phases add up. For services covered by the Data Act, the contractual exit window is capped at two months’ notice and 30 days’ transition.
Ist das EU-US Data Privacy Framework noch gültig?
It was valid at the time of writing. The General Court dismissed a challenge to it in September 2025, and an appeal is pending at the Court of Justice. Earlier frameworks were struck down, so organizations that depend on US transfers should keep an eye on the case and have a fallback such as standard contractual clauses.
Ist ein Umzug ohne Ausfallzeit möglich?
Ein Parallelbetrieb während der Prüfung ist ein gängiger Weg, das Risiko von Ausfällen und Datenverlust zu verringern. Er bietet aber keine Garantie. Beim eigentlichen Umstieg bleibt ein Restrisiko, besonders bei zentralen Datenbeständen mit komplexen Anbindungen. Plane es ein, statt es auszublenden.
Quellen
- Verordnung (EU) 2023/2854 (Data Act), EUR-Lex
- Verordnung (EU) 2016/679 (DSGVO), EUR-Lex
- Durchführungsbeschluss (EU) 2023/1795 der Kommission zum EU-US Data Privacy Framework, EUR-Lex
- 18 U.S.C. § 2713, Legal Information Institute (Cornell)
- Alston & Bird: Anforderungen des EU Data Act an den Wechsel von Clouddiensten (September 2025)
- WilmerHale: Gerichtshof der EU prüft Rechtsmittel zum EU-US Data Privacy Framework (Dezember 2025)
Dieser Ratgeber enthält allgemeine Informationen und ist keine Rechtsberatung. Lass die konkreten Verträge und Datenflüsse durch deine Rechtsberatung oder deinen Datenschutzbeauftragten prüfen.
