Overstappen tussen cloudaanbieders: de Data Act ontmoet het soevereiniteitspakket

Het juridisch kader

Stand van zaken en de teksten

De overstapregels staan in hoofdstuk VI (artikelen 23 tot 31) van de Data Act, Verordening (EU) 2023/2854 van 13 december 2023. De Data Act trad in werking op 11 januari 2024 en is van toepassing sinds 12 september 2025 (artikel 50). Artikel 29 over overstapkosten heeft een eigen tijdpad: verlaagde kosten vanaf 11 januari 2024, en helemaal geen kosten meer vanaf 12 januari 2027.

Daarbovenop komt een voorstel: de Cloud and AI Development Act, COM(2026) 502 van 3 juni 2026, procedure 2026/0138(COD). Op 13 november 2026 wachtte het in het Parlement op een beslissing van de commissie. Het is nog niet van toepassing. We bespreken het uitgebreid in de Cloud and AI Development Act.

Wie valt eronder

De regels binden aanbieders van dataverwerkingsdiensten. Een dataverwerkingsdienst is een digitale dienst die de klant op verzoek netwerktoegang geeft tot een gedeelde pool van configureerbare, schaalbare en elastische rekenmiddelen (artikel 2, punt 8). Overweging 81 legt uit dat zulke diensten onder een of meer van drie leveringsmodellen vallen: Infrastructure as a Service (IaaS), Platform as a Service (PaaS) en Software as a Service (SaaS). De begunstigde is de klant: elke natuurlijke of rechtspersoon die met de aanbieder contracteert om de dienst te gebruiken (artikel 2, punt 30). Zowel bedrijven als overheden zijn klant.

Voorbeelden:

• Een logistiek bedrijf draait zijn magazijnsysteem bij een grote hyperscaler en wil naar een Europese aanbieder. De hyperscaler is de oorspronkelijke aanbieder, de Europese aanbieder de bestemmingsaanbieder.
• Een advocatenkantoor gebruikt een SaaS-pakket voor documentbeheer en wil zijn dossiers terug on-premises brengen. Ook dat is overstappen: de definitie omvat de overstap naar on-premises-ICT-infrastructuur (artikel 2, punt 34).
• Een retailer gebruikt twee clouds naast elkaar. Dan gelden de regels over parallel gebruik (artikel 34).

Niet volledig gevat. Diensten die op maat van één klant gebouwd zijn en niet op brede commerciële schaal worden aangeboden, ontsnappen aan een deel van de verplichtingen: functionele gelijkwaardigheid, de regels over kosten en delen van artikel 30. Niet-productieversies die voor een beperkte tijd voor tests en evaluatie worden aangeboden, vallen helemaal buiten het hoofdstuk (artikel 31). De aanbieder moet de klant vóór de ondertekening laten weten welke verplichtingen niet gelden (artikel 31, lid 3).

De verplichtingen, artikel per artikel

Geen belemmeringen (artikel 23). Aanbieders mogen geen precommerciële, commerciële, technische, contractuele en organisatorische belemmeringen opleggen, en moeten bestaande wegnemen, die klanten beletten om:

• het contract te beëindigen na de opzegtermijn en een geslaagde overstap;
• een contract te sluiten met een nieuwe aanbieder voor hetzelfde type dienst;
• hun exporteerbare data en digitale activa over te dragen, ook na een gratis aanbod;
• functionele gelijkwaardigheid te bereiken in de nieuwe omgeving; en
• waar technisch haalbaar, infrastructuurdiensten los te koppelen van andere diensten.

Die plichten rusten op de oorspronkelijke aanbieder (artikel 24).

Het schriftelijk contract (artikel 25). De overstaprechten van de klant moeten in een schriftelijk contract staan, dat vóór de ondertekening beschikbaar is in een vorm die de klant kan bewaren en weergeven. Het contract bevat ten minste:

• een recht om onverwijld over te stappen of de data over te dragen, en in elk geval binnen een overgangsperiode van 30 dagen na de opzegtermijn, waarin de aanbieder redelijke bijstand verleent, de dienst zorgvuldig blijft leveren, bekende continuïteitsrisico's meldt en de beveiliging hoog houdt (artikel 25, lid 2, a);
• ondersteuning van de exitstrategie van de klant, met alle relevante informatie (artikel 25, lid 2, b);
• de beëindiging van het contract zodra de overstap voltooid is, of aan het einde van de opzegtermijn als de klant voor wissen kiest (artikel 25, lid 2, c);
• een opzegtermijn van hoogstens twee maanden om de overstap te starten (artikel 25, lid 2, d);
• een uitputtende lijst van data en digitale activa die overgedragen kunnen worden, ten minste alle exporteerbare data (artikel 25, lid 2, e);
• een uitputtende lijst van interne data van de aanbieder die wegens het risico voor bedrijfsgeheimen uitgesloten zijn, zolang dat de overstap niet hindert (artikel 25, lid 2, f);
• een opvragingstermijn van ten minste 30 dagen na de overgangsperiode (artikel 25, lid 2, g);
• het volledig wissen van de exporteerbare data en digitale activa van de klant na die termijn, zodra de overstap geslaagd is (artikel 25, lid 2, h); en
• eventuele overstapkosten die artikel 29 toelaat (artikel 25, lid 2, i).

De klant kan meedelen dat hij overstapt naar een andere aanbieder, naar on-premises gaat, of zijn data laat wissen (artikel 25, lid 3). Is 30 dagen technisch onhaalbaar, dan meldt de aanbieder dat binnen 14 werkdagen na het verzoek, motiveert hij het en stelt hij een andere termijn van hoogstens zeven maanden voor, met behoud van de dienstverlening (artikel 25, lid 4). De klant mag de overgangsperiode één keer verlengen (artikel 25, lid 5).

"Exporteerbare data" zijn de input- en outputdata, met metadata, die rechtstreeks of onrechtstreeks door het gebruik van de dienst door de klant gegenereerd of mee gegenereerd worden. Activa die door intellectuele-eigendomsrechten of bedrijfsgeheimen van de aanbieder of van derden beschermd zijn, vallen erbuiten (artikel 2, punt 38).

Informatie en goede trouw (artikelen 26 en 27). De aanbieder informeert de klant over overstapprocedures, methoden, formaten en bekende beperkingen, en houdt een onlineregister bij van datastructuren, formaten, normen en open interoperabiliteitsspecificaties. Alle partijen, ook de bestemmingsaanbieder, werken te goeder trouw samen.

Transparantie over internationale toegang (artikel 28). Aanbieders publiceren aan welke jurisdictie hun infrastructuur onderworpen is, en welke maatregelen ze nemen tegen internationale toegang door overheden tot niet-persoonsgebonden data die met Unie- of nationaal recht zou botsen. Het contract vermeldt die webpagina's. Artikel 32 voegt daar de plicht aan toe om passende technische, organisatorische en juridische maatregelen tegen zulke toegang te nemen.

Overstapkosten (artikel 29). Van 11 januari 2024 tot 12 januari 2027 mogen aanbieders verlaagde overstapkosten aanrekenen, niet hoger dan de kosten die rechtstreeks met de overstap verband houden. Vanaf 12 januari 2027 mogen ze helemaal geen overstapkosten meer vragen. Overstapkosten omvatten gegevensextractiekosten, maar niet de gewone dienstvergoedingen of boetes voor vroegtijdige beëindiging (artikel 2, punt 36). Vóór de ondertekening informeren aanbieders klanten over gewone vergoedingen, boetes voor vroegtijdige beëindiging en verlaagde overstapkosten, en wijzen ze op diensten waarbij overstappen zeer complex of duur is.

Technische aspecten (artikel 30). Infrastructuuraanbieders nemen alle redelijke maatregelen om de klant te helpen functionele gelijkwaardigheid te bereiken bij de bestemming. Andere aanbieders stellen kosteloos open interfaces ter beschikking. Ze worden ook compatibel met gemeenschappelijke specificaties of geharmoniseerde normen binnen 12 maanden na de publicatie ervan in het Unieregister. Tot dan exporteren ze op verzoek alle exporteerbare data in een gestructureerd, gangbaar en machineleesbaar formaat. Aanbieders hoeven geen nieuwe technologie te ontwikkelen en geen activa vrij te geven die door intellectuele eigendom of bedrijfsgeheimen beschermd zijn (artikel 30, lid 6).

Parallel gebruik (artikel 34). Bij gebruik van meerdere clouds gelden de belangrijkste overstapplichten naar analogie. Aanbieders mogen gegevensextractiekosten doorrekenen, maar niet meer dan de werkelijke kosten.

Waar het soevereiniteitsvoorstel bijkomt

Volgens de voorgestelde Cloud and AI Development Act zouden overheden alleen clouddiensten mogen aankopen die op een Uniebetrouwbaarheidsniveau erkend zijn (artikel 30 van het voorstel). Vraagt de risicobeoordeling van een overheid een andere dienst, dan zou ze binnen een overgangsperiode van hoogstens 12 maanden moeten migreren (artikel 29, lid 6, van het voorstel). Overheden zouden ook een strategie met meerdere leveranciers of meerdere clouds moeten overwegen (artikel 29, lid 9). Volgens de toelichting bij het voorstel maakt de Data Act deze regels mogelijk: het recht om te vertrekken maakt een soevereiniteitseis werkbaar. Voor aanbieders die aan de overheid verkopen, kan het verlies van een erkenning een gangbare aanleiding voor een exit worden.

In de praktijk

Voor aanbieders. Leg je standaardvoorwaarden regel per regel naast artikel 25. De vaakste gebreken: geen vermelde maximale opzegtermijn, geen uitputtende lijst van exporteerbare data, opvragingstermijnen korter dan 30 dagen, en minimumduurclausules die beëindiging na een overstap verhinderen. Publiceer de informatie van artikel 28 en verwijs ernaar in het contract. Plan het einde van overstapkosten in de vorm van gegevensextractiekosten op 12 januari 2027, en zorg dat boetes voor vroegtijdige beëindiging echte boetes zijn en geen verdoken overstapkosten.

Voor klanten. Vraag vóór de ondertekening het exithoofdstuk. Ga na of de lijst van exporteerbare data je metadata en configuraties omvat, en of de aanbieder uitsluitingen wegens bedrijfsgeheimen inroept die de overstap uithollen. Plan je exit: dataformaten, wie wat doet en hoeveel tijd je nodig hebt. Gebruik je recht om de overgangsperiode één keer te verlengen als de migratie complex is.

Een uitgewerkt voorbeeld: een middelgrote fabrikant zegt op 1 maart op om zijn ERP-platform naar een andere aanbieder te verhuizen. De opzegtermijn loopt uiterlijk af op 1 mei. Daarna heeft de aanbieder 30 dagen om de overgang af te ronden, tenzij hij binnen 14 werkdagen uitlegde waarom dat onhaalbaar is en tot zeven maanden voorstelde. Na de overgang heeft de fabrikant minstens 30 dagen om resterende data op te vragen. Daarna wist de aanbieder ze. Gebeurt de overstap na 12 januari 2027, dan mag de aanbieder er niets voor aanrekenen.

Checklist voor het contract

1. Maximale opzegtermijn vermeld, twee maanden of minder.
2. Overgangsperiode van 30 dagen, met plichten inzake bijstand, continuïteit en beveiliging.
3. Uitputtende lijst van exporteerbare data en van eventuele uitsluitingen wegens bedrijfsgeheimen.
4. Opvragingstermijn van minstens 30 dagen, daarna volledig wissen, schriftelijk bevestigd.
5. Kosten: geen na 12 januari 2027; daarvoor tegen kostprijs en vooraf meegedeeld.
6. Verwijzing naar de pagina's van de aanbieder over jurisdictie en bescherming tegen toegang (artikel 28).
7. Voor overheidsklanten: een clausule over wat gebeurt als een soevereiniteitserkenning wegvalt, als het voorstel wordt aangenomen.

Veelgestelde vragen

Laat de Data Act ons toe een cloudcontract van bepaalde duur vroeger te verlaten?

De Data Act regelt het overstapproces en ruimt de belemmeringen ervoor op. Hij onderscheidt overstapkosten van boetes voor vroegtijdige beëindiging, en aanbieders moeten zulke boetes vóór de ondertekening meedelen (artikel 29, lid 4). Of een boete verschuldigd is, hangt af van je contract en van de vraag of ze billijk is volgens de algemene regels.

Vallen SaaS-producten eronder, of alleen infrastructuur?

Elke dataverwerkingsdienst in de zin van artikel 2, punt 8, valt eronder. De technische regels verschillen: artikel 30, lid 1, is er voor infrastructuurdiensten, de rest van artikel 30 voor andere diensten.

Mag de aanbieder weigeren zijn eigen software of modellen af te geven?

Ja. Activa die door intellectuele eigendom of bedrijfsgeheimen van de aanbieder beschermd zijn, zijn geen exporteerbare data, en artikel 30, lid 6, bepaalt dat aanbieders ze niet moeten vrijgeven. De aanbieder moet de uitgesloten datacategorieën wel in het contract opsommen.

Geldt de migratietermijn van 12 maanden al voor overheden?

Nee. Die staat in de voorgestelde Cloud and AI Development Act, die op 13 november 2026 nog niet was aangenomen.

Hoe dit samenhangt

Overstapbepalingen horen in elk cloud- en SaaS-contract. Lees meer in SaaS-overeenkomsten en in ons overzicht van de Europese Data Act. Ons team commerciële contracten en transacties toetst en onderhandelt deze bepalingen. We toetsen contracten aan artikel 25 met de clausulebibliotheek en risicoanalyse, stellen exitbijlagen op met Document Studio, ons eigen systeem voor documentanalyse en -opmaak, en volgen opzeg- en opvragingstermijnen op in het register van rechten en verplichtingen.

Geciteerde bepalingen: Verordening (EU) 2023/2854, artikelen 2 (punten 8, 30, 34, 36 en 38), 23 tot 32, 34 en 50; voorstel COM(2026) 502, artikelen 29 en 30.

Belangrijke data:

• 11 januari 2024: Data Act in werking; verlaagde overstapkosten toegelaten vanaf die datum
• 12 september 2025: Data Act van toepassing
• 12 januari 2027: geen overstapkosten meer

Verder lezen: de Cloud and AI Development Act, de Europese Data Act, SaaS-overeenkomsten en Interoperabel Europa.