No-Code

Seit September 2025 begrenzt der Data Act die Fristen, die im Vertrag stehen müssen: Die Kündigungsfrist für die Einleitung des Wechsels darf zwei Monate nicht überschreiten (Artikel 25 Absatz 2), danach gilt eine verbindliche Übergangsfrist von höchstens 30 Kalendertagen, und anschließend hält der Anbieter die Daten mindestens 30 weitere Kalendertage zum Abruf bereit. Wer wechseln will, rechnet deshalb mit rund drei Monaten – nicht mit einem Wochenende.

Es holt die Daten zurück, nicht die Anwendung. Zur Funktionsäquivalenz – dazu, dass der neue Dienst dieselben Funktionen erbringt – verpflichtet der Data Act ausdrücklich nur Anbieter von Infrastrukturdiensten. Ein Baukasten ist Software als Dienstleistung und schuldet nach Artikel 30 Absatz 2 lediglich unentgeltliche offene Schnittstellen für die Übertragung. Aufgebaute Seiten, Regeln und Gestaltung entstehen beim neuen Dienst neu. Ab Januar 2027 entfallen zusätzlich die Wechselentgelte.

Einen Auftragsverarbeitungsvertrag nach Artikel 28 Absatz 3 DSGVO. Bei einem Baukasten liegen die Formulareinträge auf den Systemen des Anbieters; verantwortlich im Sinne der Verordnung bleibt der Betreiber der Website, und er muss Weisungsbindung, Löschung und Unterauftragnehmer schriftlich regeln. Die allgemeinen Nutzungsbedingungen genügen nur, wenn sie die dort aufgezählten Punkte tatsächlich enthalten. Sitzt der Anbieter außerhalb der EU, kommt eine Übermittlungsgrundlage nach Artikel 44 ff. DSGVO hinzu.

Die Inhalte und die Domain ja, die Anwendung nein. Was im Baukasten entsteht, ist eine Konfiguration innerhalb der Software des Anbieters; es gibt keinen Quellstand, an dem Nutzungsrechte nach § 31 ff. UrhG eingeräumt werden könnten. Übergeben werden können deshalb nur Zugänge, Texte, Bilder und exportierbare Daten. Wer die Umsetzung selbst in der Hand halten muss, etwa weil ein Verkauf des Unternehmens ansteht, braucht einen eigenen Quellstand und damit einen anderen Weg.

Sie fällt mit dem Konto aus, unter dem sie läuft. Verbindungen in No-Code-Werkzeugen werden meist mit der persönlichen Anmeldung des Erstellers eingerichtet; wird dieses Konto gesperrt, endet der Zugriff auf Postfach, Tabelle oder Datenbank. Die OWASP-Risikoliste für Anwendungen aus den Fachabteilungen führt den Fall als Kontoübernahme durch Stellvertretung: Im Protokoll erscheint jede Aktion als die des Erstellers. Die Gegenmaßnahme ist ein Funktionskonto, dessen Zugangsdaten hinterlegt sind.