Datenexport-, Exit- und Löschregelung

INFO

Version 1.0 | Gültig seit: 01.08.2026

1. Datenhaltung und Verantwortlichkeit

1.1 Primäre Datenhaltung

Die MBCOM ConnectCLOUD fungiert primär als Integrations- und Automatisierungsschicht. Die für die langfristige Aufbewahrung relevanten Daten werden direkt in die vom Kunden genutzten Zielsysteme (insbesondere E-Mail-Systeme, ERP-Systeme und Dokumenten-Management-Systeme (DMS)) übertragen.

1.2 Kundenverantwortung

Die Einrichtung rechts- und revisionssicherer Einstellungen (insbesondere gemäß GoBD), die Durchführung regelmäßiger Backups sowie die Einhaltung gesetzlicher Aufbewahrungspflichten für diese Zielsysteme liegen ausschließlich im Verantwortungsbereich des Kunden. Sofern der Kunde hierfür Unterstützung durch MBCOM wünscht, ist dies Gegenstand gesonderter Service- oder Supportverträge.

2. Exportierbare Daten und digitale Vermögenswerte

2.1 Exportierbare Daten

Gemäß Art. 28 Abs. 3 lit. g DSGVO sowie den Bestimmungen des EU Data Act (Art. 23 ff.) stehen während der Vertragslaufzeit und im Rahmen des Exits folgende Daten und digitalen Vermögenswerte (nachfolgend „exportierbare Daten“) zur Verfügung:

• Rohdaten: E-Mails und E-Mail-Anhänge im Originalformat (z. B. .eml, .msg).
• Strukturierte Daten: Metadaten, Transaktionsinformationen und Indexdaten im JSON- oder XML-Format.
• Volltextdaten: Extrahierte Textinhalte für die Indizierung.
• Konfigurationsdaten: Kundenspezifische Workflow-Definitionen und Mapping-Tabellen in maschinenlesbarem Format (JSON).
• Audit-Logs: Protokolle über Datenzugriffe und Systemereignisse (CSV/JSON).

2.2 Datenstrukturen, Formate und Schnittstellen

Das nach Art. 25 Abs. 2 lit. f Data Act geführte Online-Register umfasst folgende aktuell unterstützte Standards und Spezifikationen:

• CSV: UTF-8-kodierte, tabellarische Exporte nach RFC 4180, soweit die jeweilige Datenstruktur tabellarisch abbildbar ist;
• JSON: UTF-8-kodierte strukturierte Exporte nach RFC 8259; die zum Export gehörende Feld- und Schemaspezifikation wird mit dem Export bereitgestellt;
• XML: XML 1.0 für strukturierte Daten, einschließlich einer verfügbaren Schema- oder Feldbeschreibung;
• Originaldateien: Beibehaltung des ursprünglichen Dateiformats und MIME-Typs bei E-Mails und Anhängen;
• Übertragung: verschlüsselter Download über das Portal oder Übertragung über eine S3-kompatible Schnittstelle mit den im Wechselprozess bereitgestellten Zugangsdaten und technischen Parametern.

Änderungen der unterstützten Strukturen, Formate, Standards und Schnittstellen werden in dieser veröffentlichten Regelung aktualisiert, ohne bereits eingeleitete Wechselprozesse nachteilig zu verändern.

2.3 Portalexporte

Der Kunde kann zudem über das Portal jederzeit strukturierte Exporte (z. B. CSV, Excel) für Reporting-Zwecke generieren.

3. Unterstützung beim Anbieterwechsel (EU Data Act)

3.1 Unterstützung beim Wechsel

Gemäß Kapitel VI des EU Data Act (Verordnung (EU) 2023/2854) unterstützt MBCOM den Kunden beim Wechsel zu einem anderen Anbieter von Datenverarbeitungsdiensten:

• Datenaustausch: Bereitstellung sämtlicher exportierbarer Daten in einem gängigen, maschinenlesbaren und interoperablen Format.
• Technische Entkopplung: Unterstützung bei der technischen Entkopplung, um die Kontinuität der Geschäftsprozesse beim Zielanbieter zu ermöglichen.
• Übergangszeitraum: Gewährleistung der vollständigen Funktionskontinuität während eines Übergangszeitraums von höchstens 30 Kalendertagen nach Ablauf der Wechselankündigungsfrist.
• Unterstützung: Angemessene Unterstützung der Exit-Strategie des Kunden sowie Bereitstellung der hierfür relevanten Informationen und Dokumentationen.
• Sicherheitsinformationen: MBCOM informiert den Kunden über bekannte Risiken für die Datensicherheit während des Übertragungsprozesses, sofern diese im Einflussbereich von MBCOM liegen.

3.2 Pflichtangaben nach Art. 25 Abs. 2 Data Act

• Wechselankündigungsfrist: Der Kunde kann den Wechselprozess jederzeit in Textform einleiten. Es gilt die kürzere der im Angebot oder in Abschnitt 12 des SaaS-Rahmenvertrags vereinbarten ordentlichen Kündigungsfrist und einer Frist von zwei Monaten; die Frist überschreitet in keinem Fall zwei Monate.
• Wahlrecht: Der Kunde teilt MBCOM spätestens bis zum Ende der Wechselankündigungsfrist mit, ob er zu einem anderen Anbieter, auf eine eigene lokale IKT-Infrastruktur wechseln oder die exportierbaren Daten und digitalen Vermögenswerte löschen lassen möchte. Bei einem Anbieterwechsel übermittelt er die notwendigen Angaben zum Zielanbieter.
• Wechselprozess: MBCOM stellt innerhalb von 5 Werktagen nach Zugang der Wechselankündigung einen Zeitplan und die technischen Spezifikationen bereit und informiert den Kunden nach Abschluss des Wechsels bzw. der Löschung in Textform.
• Entgelte: Informationen zu den Entgelten finden sich in Abschnitt 6 dieser Regelung.

3.3 Verlängerung des Übergangszeitraums

Ist der Übergangszeitraum von 30 Kalendertagen technisch nicht realisierbar, kann MBCOM ihn einmalig verlängern. MBCOM informiert den Kunden hierüber innerhalb von 14 Werktagen nach Zugang der Wechselankündigung, begründet die technische Undurchführbarkeit und nennt einen alternativen Übergangszeitraum, der insgesamt sieben Monate nicht überschreitet. Der Kunde kann den Übergangszeitraum seinerseits einmal um einen Zeitraum verlängern, den er für seine Zwecke für angemessener hält. Die Funktionskontinuität wird während des jeweils geltenden Übergangszeitraums gewährleistet.

3.4 Nicht exportierbare Daten und digitale Vermögenswerte

Nicht exportierbar sind ausschließlich die folgenden, durch Rechte des geistigen Eigentums oder Geschäftsgeheimnisse von MBCOM oder Dritten geschützten Kategorien, soweit ihre Offenlegung nicht zur Portierung der exportierbaren Daten erforderlich ist:

• Quellcode, Objektcode, Modellgewichte und interne Systemarchitektur der Plattform;
• mandantenübergreifende Betriebs-, Kapazitäts- und Nutzungsanalysen, die keine Kundendaten darstellen;
• interne Sicherheitsregeln, Erkennungssignaturen, Schwachstelleninformationen und forensische Arbeitsunterlagen;
• interne Entwicklungs-, Test-, Debugging- und Monitoringdaten, die nicht vom Kunden erzeugt oder eingegeben wurden und nicht zur Nutzung seiner exportierten Daten benötigt werden;
• Lizenzmaterialien und vertrauliche Dokumentationen Dritter, an denen dem Kunden kein Nutzungsrecht zusteht.

Diese Ausschlüsse dürfen den Wechsel nicht behindern oder verzögern. Andere Kategorien nicht exportierbarer Daten oder digitaler Vermögenswerte bestehen nicht.

4. Exit-Prozess und Fristen

4.1 Exit-Phasen

Nach Ablauf der Wechselankündigungsfrist beginnt der operative Exit-Prozess:

• Bereitstellung (Transition): MBCOM erbringt die vertraglichen Dienste während des geltenden Übergangszeitraums weiter und ermöglicht die Portierung.
• Abruffrist (Retrieval): Ab dem Ende des Übergangszeitraums kann der Kunde die final bereitgestellten Daten für mindestens 30 Kalendertage abrufen.
• Vertragsende: Der Vertrag endet mit erfolgreichem Abschluss des Wechsels zu einem anderen Anbieter oder auf eine eigene lokale IKT-Infrastruktur. Wählt der Kunde ausschließlich die Löschung, endet der Vertrag mit Ablauf der Wechselankündigungsfrist. MBCOM bestätigt dem Kunden das jeweilige Vertragsende in Textform.

4.2 S3-Bucket-Übertrag

S3-Bucket-Übertrag: Ein direkter Übertrag der Daten in ein vom Kunden bereitgestelltes S3-kompatibles Bucket ist technisch möglich und wird im Rahmen der gesetzlichen Pflichten einmalig kostenlos zur Verfügung gestellt.

5. Löschung der Daten

5.1 Fristgerechte Löschung

Nach erfolgreichem Abschluss des Wechsels und Ablauf der in Abschnitt 4.1 genannten Abruffrist werden alle exportierbaren Daten und digitalen Vermögenswerte des Kunden in den Produktivsystemen (einschließlich produktiver Kopien, sofern keine gesetzlichen Aufbewahrungspflichten bestehen) unverzüglich unwiderruflich gelöscht. Wählt der Kunde ausschließlich die Löschung, erfolgt diese nach Ablauf der Wechselankündigungsfrist; auf dokumentierte Weisung des Kunden kann die produktive Löschung früher erfolgen.

5.2 Bestätigung der Löschung

Die Löschung erfolgt gemäß den Vorgaben in Abschnitt 11 des AVV. MBCOM bestätigt dem Kunden die datenschutzgerechte Löschung unaufgefordert in Textform mit Datumsangabe.

5.3 Backup-Zyklen

Backup-Daten werden durch reguläre Rotationszyklen spätestens 90 Tage nach der produktiven Löschung endgültig überschrieben. Sie sind ab der produktiven Löschung für den regulären Zugriff gesperrt, werden nicht für andere Zwecke verarbeitet und dürfen nur zur Wiederherstellung nach einem Sicherheits- oder Verfügbarkeitsvorfall verwendet werden; dabei wird der Löschstatus erneut angewandt.

6. Kosten (Wechselentgelte)

6.1 Wechselentgelte Stufe 1

Bis zum 11.01.2027 kann MBCOM für die Unterstützung beim Anbieterwechsel Entgelte verlangen. Diese sind auf die tatsächlich entstandenen, direkt zurechenbaren Kosten begrenzt. Der S3-Standardexport bleibt kostenfrei.

6.2 Wechselentgelte Stufe 2

Gemäß Art. 29 EU Data Act werden für den Anbieterwechsel ab dem 12.01.2027 keine Entgelte erhoben („Wechselentgelte-Verbot“). Dies gilt für alle Standardleistungen zur Ermöglichung des Wechsels.

6.3 Zusatzleistungen

Individuelle Zusatzleistungen, die über die gesetzlichen Pflichten des Data Act hinausgehen (z. B. Datenkonvertierung in proprietäre Formate des Zielanbieters), werden nach tatsächlichem Aufwand zu dem im angenommenen Angebot genannten Standard-Stundensatz berechnet. Ist dort kein einschlägiger Stundensatz genannt, werden solche Zusatzleistungen erst erbracht, nachdem Leistungsumfang und Stundensatz in Textform vereinbart wurden. MBCOM informiert den Kunden vorab über die Kostenpflichtigkeit.

7. Online-Informationen und Jurisdiktion

7.1 Spezifikationsregister

Das frei zugängliche und laufend aktualisierte Online-Register mit Einzelheiten zu den Datenstrukturen und Datenformaten, in denen exportierbare Daten bereitgestellt werden, sowie den einschlägigen Standards und offenen Interoperabilitätsspezifikationen ist in Abschnitt 2.2 dieser veröffentlichten Regelung enthalten. Dieser Link wird dem Kunden vor Vertragsschluss und mit der Bestätigung einer Wechselankündigung bereitgestellt.

7.2 Informationen zu internationalem Datenzugang

Die für ConnectCLOUD betriebene IKT-Infrastruktur befindet sich in Deutschland und unterliegt deutschem Recht sowie dem Recht der Europäischen Union. Zum Schutz in der Union gespeicherter nicht-personenbezogener Daten vor unrechtmäßigem internationalem staatlichem Zugriff oder unrechtmäßiger Übermittlung setzt MBCOM insbesondere Verschlüsselung bei Übertragung und Speicherung, rollenbasierte Zugriffsbeschränkungen, Protokollierung administrativer Zugriffe, vertragliche Zweck- und Vertraulichkeitsbindungen der Subunternehmer sowie eine rechtliche Prüfung behördlicher Herausgabeverlangen ein. Herausgabeverlangen wird nur entsprochen, soweit eine nach Unionsrecht wirksame Verpflichtung besteht. Diese nach Art. 28 Data Act erforderlichen Angaben werden in der vorliegenden veröffentlichten Regelung laufend aktualisiert.

7.3 Erfüllungsort

Erfüllungsort für die Datenbereitstellung ist der Sitz von MBCOM. Es gilt die im SaaS-Rahmenvertrag vereinbarte Gerichtsstandsklausel.