Wem gehören eigentlich deine Geschäftsdaten?

Wem gehören deine Geschäftsdaten? Meistens niemandem, jedenfalls nicht so, wie du denkst

Frag eine Inhaberin, wem die Kundendaten und Umsatzdaten in Kasse, CRM, Shop und Werbekonten gehören, und die Antwort kommt sofort: mir, natürlich. Das Recht ist weniger großzügig. In Österreich gibt es, wie in Deutschland, Irland und Großbritannien, kein allgemeines Eigentum an Daten. Niemand hat für eine Zeile in einer Datenbank einen Eigentumstitel wie für einen Lieferwagen. Stattdessen gibt es ein Flickwerk aus engeren Rechten, die jeweils etwas Bestimmtes schützen: die Investition in eine Datenbank, die Geheimhaltung wertvoller Informationen, die Privatsphäre der Menschen in den Daten und vor allem das, was im Vertrag mit deinem Softwareanbieter steht.

Das klingt nach Hörsaal, bis du das Werkzeug wechseln willst. Dann arbeitet jede Schicht dieses Flickwerks entweder für dich oder gegen dich. Dieser Artikel geht die Schichten in der Reihenfolge durch, in der sie in der Praxis zählen, zeigt, was der EU Data Act beim Anbieterwechsel geändert hat, klärt, wer ein Werbekonto wirklich kontrolliert, und endet mit einer Checkliste für diese Woche.

Vorab ein kurzer Hinweis: Das hier ist ein praktischer Überblick, keine Rechtsberatung. Wo ein Vertrag oder ein Wechsel um echtes Geld geht, lass ihn von einer Anwältin oder einem Anwalt prüfen.

Fünf Schichten entscheiden, was du mit deinen Daten tun kannst

Es hilft, die Schichten nebeneinander zu sehen, denn meist werden sie zu einem Wort zusammengezogen, Eigentum, und dann wundert man sich, dass das Wort nicht weiterhilft.

Schicht	Was sie schützt	Wer sie meist hält	Was sie dir am Tag des Wechsels bringt
Datenbankherstellerrecht	Die Investition in Beschaffung, Überprüfung oder Darstellung einer Datenbank	Wer diese Investition getragen hat	Schützt vor Übernahme wesentlicher Teile, oft aber nicht Daten, die du selbst erzeugst
Geschäftsgeheimnisse	Informationen, die geheim sind und deshalb Wert haben	Wer sie kontrolliert und angemessen schützt	Hilft gegen Missbrauch, aber nur, wenn du sie wirklich geheim gehalten hast
Datenschutz	Die Privatsphäre der Menschen in den Daten	Du als Verantwortlicher, der Anbieter als Auftragsverarbeiter	Der Anbieter muss personenbezogene Daten nach deiner Wahl zurückgeben oder löschen
Vertrag	Was vereinbart wurde	Wer ihn geschrieben hat, meist der Anbieter	Entscheidet über Export, Format, Kosten, abgeleitete Daten und Löschung
Plattformbedingungen	Konten bei Google, Meta, Shopify und Co.	Wer das Konto eröffnet hat und besitzt	Entscheidet, ob Konto und Historie bei dir bleiben

Der Rest des Artikels nimmt sich die Schichten einzeln vor.

Das Datenbankherstellerrecht schützt die Investition, nicht die Daten

Am nächsten an ein Eigentumsrecht an einer Datensammlung kommt das Recht des Datenbankherstellers. In Österreich steht es in §§ 76c ff. UrhG. Eine Datenbank genießt diesen Schutz, wenn für die Beschaffung, Überprüfung oder Darstellung ihres Inhalts eine nach Art oder Umfang wesentliche Investition erforderlich war.¹ Die Regel stammt aus der EU Datenbankrichtlinie von 1996, die dem Hersteller einer solchen Datenbank das Recht gibt, die Entnahme oder Weiterverwendung der Gesamtheit oder eines wesentlichen Teils des Inhalts zu untersagen.²

Der Haken für ein normales Unternehmen steckt im Wort Beschaffung. Im Fall British Horseracing Board vom 9. November 2004 hat der Europäische Gerichtshof entschieden, dass die geschützte Investition das Aufsuchen und Sammeln vorhandener Elemente ist, nicht die Mittel, die für das Erzeugen der Elemente selbst eingesetzt werden.³ Deine Kasse sucht keine vorhandenen Verkäufe zusammen. Sie erzeugt sie. Ein schlichtes Protokoll deiner eigenen Umsätze kann deshalb gut außerhalb des Schutzes liegen, eine sorgfältig recherchierte und geprüfte Liste von Geschäftskontakten dagegen innerhalb. In beiden Fällen schützt das Recht die Datenbank vor Übernahme durch Dritte. Es verpflichtet deinen Anbieter für sich allein nicht, dir irgendetwas zurückzugeben.

Geschäftsgeheimnisse schützen nur, was du wirklich geheim gehalten hast

Deine Kundenliste, deine Margen pro Produkt und deine besten Zielgruppen können Geschäftsgeheimnisse sein. Nach § 26b UWG ist eine Information ein Geschäftsgeheimnis, wenn sie geheim ist, wenn sie gerade deshalb kommerziellen Wert hat und wenn sie Gegenstand von den Umständen entsprechenden angemessenen Geheimhaltungsmaßnahmen durch die Person ist, die rechtmäßig über sie verfügt.⁴

Die angemessenen Geheimhaltungsmaßnahmen sind der praktische Teil. Wenn fünf frühere Agenturen noch Adminzugang zu deinem Analytics haben und dein kompletter Kundenexport in einem Ordner liegt, den jeder mit dem Link öffnen kann, wird es schwer, angemessene Maßnahmen zu belegen. Zugangshygiene ist also nicht nur Informationssicherheit. Sie ist Teil dessen, was deine Daten rechtlich schützbar macht.

Der Datenschutz regelt Verantwortung, nicht Eigentum

Die DSGVO beantwortet die Eigentumsfrage nicht, setzt aber zwei Regeln, die beim Wechsel zählen.

Erstens: Verarbeitet ein Anbieter personenbezogene Daten in deinem Auftrag, ist er Auftragsverarbeiter, und der Vertrag muss festlegen, dass er nach Abschluss der Leistungen alle personenbezogenen Daten nach deiner Wahl entweder löscht oder zurückgibt.⁵ Die Wahl liegt bei dir, nicht beim Anbieter. Lies die Klausel und achte darauf, dass in der Praxis die Rückgabe vor der Löschung kommt.

Zweitens: Das Recht auf Datenübertragbarkeit gehört deinen Kundinnen und Kunden, nicht dir. Es gibt einer Person das Recht, die von ihr bereitgestellten Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten, wenn die Verarbeitung auf Einwilligung oder Vertrag beruht und automatisiert erfolgt.⁶ Das ist ein guter Maßstab dafür, wie ein fairer Export aussieht, aber ein Unternehmen kann es nicht gegen den eigenen Anbieter geltend machen.

Bei den Werbeplattformen gibt es noch eine Wendung. Google führt die meisten Google Ads Programme unter seinen Bedingungen für Verantwortliche, Customer Match Uploads, Enhanced Conversions, Google Analytics und Tag Manager dagegen unter seinen Bedingungen für Auftragsverarbeitung.⁷ Einfach gesagt: Die Kundenliste, die du hochlädst, bleibt in deiner Verantwortung. Vieles von dem, was Google aus den Klicks auf der eigenen Plattform lernt, kontrolliert Google selbst. Deine Berichte kannst du exportieren. Googles Blick auf deine Zielgruppe nimmst du nicht mit.

Im Vertrag wird über das Eigentum wirklich entschieden

Weil die Gesetze so wenig direkt schützen, macht der Vertrag mit jedem Anbieter den Großteil der Arbeit. Das Muster, auf das du achten solltest: Eine Klausel sagt, du behältst deine Daten, und daneben steht eine, nach der der Anbieter die Plattform, die Datenbankstruktur und alle abgeleiteten oder aggregierten Daten besitzt. Zusammen gelesen bekommst du die Zeilen und er behält die Form. Und die Form (welche Bestellung zu welchem Kunden gehört, in welchem Segment jemand steckt) ist genau das, was du brauchst, um woanders neu aufzubauen.

Diese Klauseln lohnen sich vor der Unterschrift, mit typischen guten und schlechten Fassungen.

Klausel	Gute Fassung	Schlechte Fassung
Deine Daten	Du behältst alle Rechte an Daten, die du eingibst oder erzeugst	Du bekommst eine Lizenz an deinen Daten, die Struktur gehört dem Anbieter
Export	Vollständig, selbst bedienbar, jederzeit	Nur auf schriftliche Anfrage, nur am Ende oder gegen eine noch festzulegende Gebühr
Format	Offen und dokumentiert, etwa CSV oder JSON mit Schema	Ein proprietäres Format oder ein PDF
Beziehungen	Verknüpfungen zwischen Kunden, Bestellungen und Historie bleiben erhalten	Flache Tabellen ohne gemeinsame Schlüssel
Abgeleitete Daten	Segmente und Scores kommen mit den Rohdaten heraus	Alle abgeleiteten und aggregierten Daten gehören dem Anbieter
Zeitplan beim Ausstieg	Ein Abrufzeitraum, der erst nach fertigem Export beginnt	Automatische Löschung eine feste Zahl von Tagen nach der Kündigung
Kosten des Ausstiegs	Kostenlos oder eine kleine, bezifferte Gebühr	Offen, wird später festgelegt

Keine dieser Klauseln ist exotisch. Zusammen zeigen sie, ob ein Anbieter erwartet, dass du bleibst, weil das Produkt gut ist, oder weil der Ausstieg schwer ist.

Der EU Data Act macht den Anbieterwechsel zum Recht

Der EU Data Act, die Verordnung (EU) 2023/2854, gilt seit dem 12. September 2025.⁸ Für unsere Frage ist Kapitel VI über den Wechsel zwischen Datenverarbeitungsdiensten der nützlichste Teil, und laut den Erwägungsgründen fallen darunter Infrastructure, Platform und Software as a Service. Er gilt für Anbieter unabhängig von ihrem Sitz, sobald sie Kunden in der Union bedienen.

Der Vertrag muss die Wechselrechte jetzt schriftlich festlegen, darunter eine Kündigungsfrist für den Start des Wechsels von höchstens zwei Monaten, einen Übergangszeitraum von höchstens 30 Kalendertagen, in dem der Anbieter angemessen unterstützen muss, eine abschließende Liste der übertragbaren Daten und digitalen Vermögenswerte und einen Abrufzeitraum von mindestens 30 Kalendertagen nach dem Übergang. Seit dem 12. Jänner 2027 dürfen Anbieter überhaupt keine Wechselentgelte mehr verlangen, davor nur die Kosten, die direkt mit dem Wechsel zusammenhängen.⁸ Zwei Grenzen zählen: Die strengsten Teile gelten nicht, wenn die meisten Hauptfunktionen für einen einzelnen Kunden maßgeschneidert wurden und nicht breit kommerziell angeboten werden, und für zeitlich begrenzte Testversionen gilt das Kapitel gar nicht. Im November 2025 hat die Kommission außerdem gezielte Ausnahmen von einigen Wechselregeln für kleine und mittlere Anbieter vorgeschlagen, als Teil ihres digitalen Omnibus.⁹ Bei Redaktionsschluss war das ein Vorschlag, prüf also den geltenden Text, bevor du dich auf ein Detail verlässt.

Außerdem macht der Data Act missbräuchliche Datenklauseln, die ein Unternehmen einem anderen einseitig auferlegt, unverbindlich. Das gilt für Verträge, die nach dem 12. September 2025 geschlossen wurden, und ab dem 12. September 2027 auch für ältere Verträge, die unbefristet sind oder noch mindestens zehn Jahre laufen.⁸ Getrennt davon bekommen Nutzer vernetzter Produkte Rechte an den Daten, die diese Produkte erzeugen, mit einer Gestaltungspflicht für Produkte, die nach dem 12. September 2026 in Verkehr gebracht werden, und einer Ausnahme für Kleinstunternehmen und kleine Unternehmen als Hersteller.⁸

Für ein österreichisches Unternehmen ist das echter Schutz, weil der Data Act unmittelbar gilt. Er ersetzt nicht das Lesen des Vertrags, aber er setzt ein Minimum, das der Vertrag erfüllen muss.

Wem gehört das Werbekonto

Diese Frage sorgt für den meisten Ärger, denn im Werbekonto stecken Jahre an Conversion Historie, Zielgruppen und Lerneffekten, mit denen ein neues Konto nicht startet.

Googles Richtlinie für Drittanbieter ist recht klar. Eine Agentur muss für jeden Werbetreibenden ein eigenes Google Ads Konto anlegen, und du hast das Recht, mindestens Klicks, Impressionen und Kosten deiner Anzeigen zu kennen.¹⁰ Agenturen müssen ihren Kunden die Kundennummern ihrer Google Ads Konten nennen und Kosten so berichten, wie Google sie berechnet hat, ohne die eigenen Gebühren, oder ihnen direkten Zugang zu diesen Daten geben.¹¹ Was die Richtlinie nicht regelt, ist die Kontrolle über das Konto. Die hängt davon ab, wer es angelegt hat und wer Adminrechte hält. Sorg also dafür, dass das Konto in einer Verwaltungsstruktur liegt, die du kontrollierst, und dass dein eigener Login Adminrechte hat.

Meta arbeitet mit Business Portfolios. Metas eigene Dokumentation unterscheidet zwischen einem Unternehmen, dem ein Werbekonto gehört, und einem mit Agenturzugang, hält fest, dass die meisten Marketingfirmen die Werbekonten ihrer Kunden nicht beanspruchen müssen, und sagt, dass ein Unternehmen ein eigenes Werbekonto nach bestätigter Inhaberschaft nicht entfernen kann.¹² Die praktische Folge: Legt eine Agentur das Werbekonto in ihrem eigenen Portfolio an, bittest du am Tag der Trennung um einen Gefallen. Leg es in deinem an und gib der Agentur Partnerzugang.

Shopify folgt demselben Muster. Ein Shop, den ein Partner als Client Transfer Store baut, liegt in der Organisation des Partners, bis die Inhaberschaft übertragen wird. Danach gehört er dem Händler und verlässt die Organisation des Partners. Eine Collaboration gibt einem Partner dagegen Zugang zu einem Shop, der dem Händler schon gehört.¹³ Den Shop vom ersten Tag an selbst zu besitzen und die Entwicklerin einzuladen, ist der sauberere Weg.

Beispiel: Was ein schlechter Ausstieg einen Grazer Wohnshop kostet

Murufer Wohnen (murufer.example) ist ein erfundener Laden in Graz mit Kasse, Onlineshop und Newsletter Tool, alles von einem Anbieter. Die Inhaberin will wechseln. Der Vertrag spricht dem Anbieter die Datenbankstruktur und alle aggregierten Daten zu, der Export ist eine flache Datei ohne Kundenschlüssel, und die Kundensegmente bleiben zurück.

Grob lässt sich das bepreisen, indem du die Kosten des Neuaufbaus zu dem addierst, was du zu viel zahlst, solange du bleibst, weil der Ausstieg schwer ist (wie man künftige Monate sauberer gewichtet, zeigen die Grundlagen zur Diskontierung):

$L = C_{m} + (P_{p} - P_{f}) \times T$

Dabei ist $L$ der Preis der Abhängigkeit, $C_{m}$ der einmalige Aufwand für Migration und den Neuaufbau der Verknüpfungen, $P_{p}$ der gezahlte Monatspreis, $P_{f}$ ein fairer Marktpreis für dieselbe Leistung und $T$ die Zahl der Monate, die du länger bleibst, als du willst.

Angenommen, der Neuaufbau von Bestellhistorie und Segmenten von Hand kostet 7.000 €, und die Inhaberin zahlt 18 Monate lang 210 € im Monat über einem fairen Preis, weil der Wechsel immer wieder verschoben wurde:

$L = 7000 + 210 \times 18 = 10780$

Damit liegt $L$ bei 10.780 €, Kosten, die auf keiner Rechnung stehen. Die Zahlen sind erfunden, aber die Struktur zählt: Der zweite Term wächst, solange der Ausstieg zu schwer wirkt. Genau deshalb verdienen die Ausstiegsbedingungen Aufmerksamkeit, solange der Vertrag noch nicht unterschrieben ist. Bei einem Dienst im Anwendungsbereich des Data Act darf ein Teil der Migration nicht mehr als Wechselentgelt berechnet werden, deine eigene Aufbauarbeit zahlst du aber weiterhin selbst.

Was mit Daten, Code und Modellen passiert, wenn du mit mir arbeitest

Dieselben Fragen gelten für mich, also hier meine Position.

Deine Rohdaten bleiben deine, und die Bedingungen für Code und Modelle stehen in den Bedingungen für Analytics und Data Science. Kurz gesagt halten sie fest, dass alle Rohdaten Eigentum des Kunden bleiben, dass Modelle, Dashboards, Skripte und Code, die ich erstelle, mein geistiges Eigentum bleiben, sofern nichts anderes vereinbart ist, dass sich Lizenzen für einen Betrieb in deiner eigenen Umgebung vereinbaren lassen, und dass der Zugang zu bereitgestellten Dashboards mit dem Auftrag endet, wenn keine Übertragung vereinbart ist. Das solltest du vor dem Start wissen, nicht danach.

Individueller Code für einen Solidus oder Rails Shop ist etwas anderes. Individueller Code und individuelles Design, die vollständig bezahlt sind, gehören dir mit der Zahlung. Rails, Solidus und das Hosting darunter bleiben unter ihren eigenen Lizenzen, wie bei jedem anderen auch. Werbekonten, Analytics Properties und der Shop selbst werden von Anfang an auf deinen Namen angelegt, und ich werde eingeladen.

Eine Checkliste für diese Woche

Das meiste davon braucht einen Nachmittag, keine Kanzlei, und heuer ist ein guter Zeitpunkt dafür. Hier ist eine Liste wirklich die klarste Form.

Öffne Google Ads, Meta und deine Shopplattform und prüf, wer als Inhaber oder Admin eingetragen ist. Dein eigenes Unternehmen und dein eigener Login gehören nach oben, Agenturen und Entwickler als Partner oder Mitarbeitende.
Entzieh allen den Zugang, die nicht mehr mit dir arbeiten, und notier, wer Zugang hat und warum. Diese Liste ist Teil deiner angemessenen Geheimhaltungsmaßnahmen.
Such für deine zwei wichtigsten Werkzeuge die Klauseln zu Datenrechten, Export, Format, abgeleiteten Daten, Ausstiegszeitplan und Kosten. Fehlen sie, ist das deine Antwort.
Mach einen vollständigen Export und öffne ihn in einer Tabellenkalkulation. Prüf, ob du erkennst, zu welchem Kunden jede Bestellung gehört.
Plan einen regelmäßigen Export ein, monatlich reicht für die meisten kleinen Unternehmen, und leg ihn an einem Ort ab, den du kontrollierst.
Prüf in jedem Vertrag zur Auftragsverarbeitung die Klausel zu Rückgabe oder Löschung, und dass die Rückgabe zuerst kommt.
Prüf, ob deine Cloud und Softwareverträge inzwischen die Wechselregeln des Data Act enthalten (Frist, Übergang, Abrufzeitraum, keine Wechselentgelte), und verlang sie bei der Verlängerung, wenn nicht.

Keine Rechtsberatung, aber ein guter Anfang

Dieser Artikel ist ein allgemeiner Überblick über österreichisches und europäisches Recht, Stand Veröffentlichung im Mai 2027. Er ist keine Rechtsberatung, und im Streitfall hängt das Ergebnis von den Umständen und dem Vertrag ab. Was er dir geben soll, sind die richtigen Fragen vor der Unterschrift, solange der Anbieter deine Unterschrift noch will.