---
title: "Overstappen tussen cloudaanbieders: de Data Act ontmoet het…"
description: "Wat hoofdstuk VI van de Data Act vraagt van cloudaanbieders en andere aanbieders van dataverwerkingsdiensten als een klant wil vertrekken, welke bepalingen het…"
url: https://pitch.law/nl/academy/switching-cloud-providers-data-act
---

[pitch](https://pitch.law/nl) [Academy](https://pitch.law/nl/academy) [Data](https://pitch.law/nl/academy/topics/information-technology)

# Overstappen tussen cloudaanbieders: de Data Act ontmoet het soevereiniteitspakket

Wat hoofdstuk VI van de Data Act vraagt van cloudaanbieders en andere aanbieders van dataverwerkingsdiensten als een klant wil vertrekken, welke bepalingen het contract moet bevatten, hoe overstapkosten op 12 januari 2027 verdwijnen, en hoe de voorgestelde Cloud and AI Development Act daar voor overheidsklanten een soevereiniteitslaag aan toevoegt.

- - Door [Bart Lieben](https://pitch.law/nl/team/bart-lieben), Advocaat
  - 13 november 2026

- Bijgewerkt

  13-11-2026

## Het juridisch kader

### Stand van zaken en de teksten

De overstapregels staan in hoofdstuk VI (artikelen 23 tot 31) van de Data Act, [Verordening (EU) 2023/2854](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32023R2854) van 13 december 2023. De Data Act trad in werking op 11 januari 2024 en is van toepassing sinds 12 september 2025 ([artikel 50](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32023R2854#art_50)). Artikel 29 over overstapkosten heeft een eigen tijdpad: verlaagde kosten vanaf 11 januari 2024, en helemaal geen kosten meer vanaf 12 januari 2027.

Daarbovenop komt een voorstel: de Cloud and AI Development Act, [COM(2026) 502](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:52026PC0502) van 3 juni 2026, procedure [2026/0138(COD)](https://oeil.secure.europarl.europa.eu/oeil/en/procedure-file?reference=2026/0138%28COD%29). Op 13 november 2026 wachtte het in het Parlement op een beslissing van de commissie. Het is nog niet van toepassing. We bespreken het uitgebreid in [de Cloud and AI Development Act](https://pitch.law/nl/academy/cloud-and-ai-development-act).

### Wie valt eronder

De regels binden **aanbieders van dataverwerkingsdiensten**. Een dataverwerkingsdienst is een digitale dienst die de klant op verzoek netwerktoegang geeft tot een gedeelde pool van configureerbare, schaalbare en elastische rekenmiddelen ([artikel 2, punt 8](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32023R2854#art_2)). Overweging 81 legt uit dat zulke diensten onder een of meer van drie leveringsmodellen vallen: Infrastructure as a Service (IaaS), Platform as a Service (PaaS) en Software as a Service (SaaS). De begunstigde is de **klant**: elke natuurlijke of rechtspersoon die met de aanbieder contracteert om de dienst te gebruiken (artikel 2, punt 30). Zowel bedrijven als overheden zijn klant.

Voorbeelden:

- Een logistiek bedrijf draait zijn magazijnsysteem bij een grote hyperscaler en wil naar een Europese aanbieder. De hyperscaler is de oorspronkelijke aanbieder, de Europese aanbieder de bestemmingsaanbieder.
- Een advocatenkantoor gebruikt een SaaS-pakket voor documentbeheer en wil zijn dossiers terug on-premises brengen. Ook dat is overstappen: de definitie omvat de overstap naar on-premises-ICT-infrastructuur (artikel 2, punt 34).
- Een retailer gebruikt twee clouds naast elkaar. Dan gelden de regels over parallel gebruik ([artikel 34](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32023R2854#art_34)).

**Niet volledig gevat.** Diensten die op maat van één klant gebouwd zijn en niet op brede commerciële schaal worden aangeboden, ontsnappen aan een deel van de verplichtingen: functionele gelijkwaardigheid, de regels over kosten en delen van artikel 30. Niet-productieversies die voor een beperkte tijd voor tests en evaluatie worden aangeboden, vallen helemaal buiten het hoofdstuk ([artikel 31](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32023R2854#art_31)). De aanbieder moet de klant vóór de ondertekening laten weten welke verplichtingen niet gelden (artikel 31, lid 3).

### De verplichtingen, artikel per artikel

**Geen belemmeringen ([artikel 23](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32023R2854#art_23)).** Aanbieders mogen geen precommerciële, commerciële, technische, contractuele en organisatorische belemmeringen opleggen, en moeten bestaande wegnemen, die klanten beletten om:

- het contract te beëindigen na de opzegtermijn en een geslaagde overstap;
- een contract te sluiten met een nieuwe aanbieder voor hetzelfde type dienst;
- hun exporteerbare data en digitale activa over te dragen, ook na een gratis aanbod;
- functionele gelijkwaardigheid te bereiken in de nieuwe omgeving; en
- waar technisch haalbaar, infrastructuurdiensten los te koppelen van andere diensten.

Die plichten rusten op de oorspronkelijke aanbieder (artikel 24).

**Het schriftelijk contract ([artikel 25](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32023R2854#art_25)).** De overstaprechten van de klant moeten in een schriftelijk contract staan, dat vóór de ondertekening beschikbaar is in een vorm die de klant kan bewaren en weergeven. Het contract bevat ten minste:

- een recht om **onverwijld** over te stappen of de data over te dragen, en in elk geval binnen een **overgangsperiode van 30 dagen** na de opzegtermijn, waarin de aanbieder redelijke bijstand verleent, de dienst zorgvuldig blijft leveren, bekende continuïteitsrisico's meldt en de beveiliging hoog houdt (artikel 25, lid 2, a);
- ondersteuning van de **exitstrategie** van de klant, met alle relevante informatie (artikel 25, lid 2, b);
- de beëindiging van het contract zodra de overstap voltooid is, of aan het einde van de opzegtermijn als de klant voor wissen kiest (artikel 25, lid 2, c);
- een **opzegtermijn van hoogstens twee maanden** om de overstap te starten (artikel 25, lid 2, d);
- een **uitputtende lijst van data en digitale activa** die overgedragen kunnen worden, ten minste alle exporteerbare data (artikel 25, lid 2, e);
- een uitputtende lijst van interne data van de aanbieder die wegens het risico voor bedrijfsgeheimen uitgesloten zijn, zolang dat de overstap niet hindert (artikel 25, lid 2, f);
- een **opvragingstermijn van ten minste 30 dagen** na de overgangsperiode (artikel 25, lid 2, g);
- het **volledig wissen** van de exporteerbare data en digitale activa van de klant na die termijn, zodra de overstap geslaagd is (artikel 25, lid 2, h); en
- eventuele overstapkosten die artikel 29 toelaat (artikel 25, lid 2, i).

De klant kan meedelen dat hij overstapt naar een andere aanbieder, naar on-premises gaat, of zijn data laat wissen (artikel 25, lid 3). Is 30 dagen technisch onhaalbaar, dan meldt de aanbieder dat binnen **14 werkdagen** na het verzoek, motiveert hij het en stelt hij een andere termijn van hoogstens **zeven maanden** voor, met behoud van de dienstverlening (artikel 25, lid 4). De klant mag de overgangsperiode één keer verlengen (artikel 25, lid 5).

"Exporteerbare data" zijn de input- en outputdata, met metadata, die rechtstreeks of onrechtstreeks door het gebruik van de dienst door de klant gegenereerd of mee gegenereerd worden. Activa die door intellectuele-eigendomsrechten of bedrijfsgeheimen van de aanbieder of van derden beschermd zijn, vallen erbuiten (artikel 2, punt 38).

**Informatie en goede trouw ([artikelen 26 en 27](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32023R2854#art_26)).** De aanbieder informeert de klant over overstapprocedures, methoden, formaten en bekende beperkingen, en houdt een onlineregister bij van datastructuren, formaten, normen en open interoperabiliteitsspecificaties. Alle partijen, ook de bestemmingsaanbieder, werken te goeder trouw samen.

**Transparantie over internationale toegang ([artikel 28](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32023R2854#art_28)).** Aanbieders publiceren aan welke jurisdictie hun infrastructuur onderworpen is, en welke maatregelen ze nemen tegen internationale toegang door overheden tot niet-persoonsgebonden data die met Unie- of nationaal recht zou botsen. Het contract vermeldt die webpagina's. [Artikel 32](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32023R2854#art_32) voegt daar de plicht aan toe om passende technische, organisatorische en juridische maatregelen tegen zulke toegang te nemen.

**Overstapkosten ([artikel 29](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32023R2854#art_29)).** Van 11 januari 2024 tot 12 januari 2027 mogen aanbieders verlaagde overstapkosten aanrekenen, niet hoger dan de kosten die rechtstreeks met de overstap verband houden. Vanaf 12 januari 2027 mogen ze helemaal geen overstapkosten meer vragen. Overstapkosten omvatten gegevensextractiekosten, maar niet de gewone dienstvergoedingen of boetes voor vroegtijdige beëindiging (artikel 2, punt 36). Vóór de ondertekening informeren aanbieders klanten over gewone vergoedingen, boetes voor vroegtijdige beëindiging en verlaagde overstapkosten, en wijzen ze op diensten waarbij overstappen zeer complex of duur is.

**Technische aspecten ([artikel 30](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32023R2854#art_30)).** Infrastructuuraanbieders nemen alle redelijke maatregelen om de klant te helpen functionele gelijkwaardigheid te bereiken bij de bestemming. Andere aanbieders stellen kosteloos open interfaces ter beschikking. Ze worden ook compatibel met gemeenschappelijke specificaties of geharmoniseerde normen binnen 12 maanden na de publicatie ervan in het Unieregister. Tot dan exporteren ze op verzoek alle exporteerbare data in een gestructureerd, gangbaar en machineleesbaar formaat. Aanbieders hoeven geen nieuwe technologie te ontwikkelen en geen activa vrij te geven die door intellectuele eigendom of bedrijfsgeheimen beschermd zijn (artikel 30, lid 6).

**Parallel gebruik ([artikel 34](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32023R2854#art_34)).** Bij gebruik van meerdere clouds gelden de belangrijkste overstapplichten naar analogie. Aanbieders mogen gegevensextractiekosten doorrekenen, maar niet meer dan de werkelijke kosten.

### Waar het soevereiniteitsvoorstel bijkomt

Volgens de voorgestelde Cloud and AI Development Act zouden overheden alleen clouddiensten mogen aankopen die op een Uniebetrouwbaarheidsniveau erkend zijn (artikel 30 van het voorstel). Vraagt de risicobeoordeling van een overheid een andere dienst, dan zou ze binnen een overgangsperiode van **hoogstens 12 maanden** moeten migreren (artikel 29, lid 6, van het voorstel). Overheden zouden ook een strategie met meerdere leveranciers of meerdere clouds moeten overwegen (artikel 29, lid 9). Volgens de toelichting bij het voorstel maakt de Data Act deze regels mogelijk: het recht om te vertrekken maakt een soevereiniteitseis werkbaar. Voor aanbieders die aan de overheid verkopen, kan het verlies van een erkenning een gangbare aanleiding voor een exit worden.

## In de praktijk

**Voor aanbieders.** Leg je standaardvoorwaarden regel per regel naast artikel 25. De vaakste gebreken: geen vermelde maximale opzegtermijn, geen uitputtende lijst van exporteerbare data, opvragingstermijnen korter dan 30 dagen, en minimumduurclausules die beëindiging na een overstap verhinderen. Publiceer de informatie van artikel 28 en verwijs ernaar in het contract. Plan het einde van overstapkosten in de vorm van gegevensextractiekosten op 12 januari 2027, en zorg dat boetes voor vroegtijdige beëindiging echte boetes zijn en geen verdoken overstapkosten.

**Voor klanten.** Vraag vóór de ondertekening het exithoofdstuk. Ga na of de lijst van exporteerbare data je metadata en configuraties omvat, en of de aanbieder uitsluitingen wegens bedrijfsgeheimen inroept die de overstap uithollen. Plan je exit: dataformaten, wie wat doet en hoeveel tijd je nodig hebt. Gebruik je recht om de overgangsperiode één keer te verlengen als de migratie complex is.

Een uitgewerkt voorbeeld: een middelgrote fabrikant zegt op 1 maart op om zijn ERP-platform naar een andere aanbieder te verhuizen. De opzegtermijn loopt uiterlijk af op 1 mei. Daarna heeft de aanbieder 30 dagen om de overgang af te ronden, tenzij hij binnen 14 werkdagen uitlegde waarom dat onhaalbaar is en tot zeven maanden voorstelde. Na de overgang heeft de fabrikant minstens 30 dagen om resterende data op te vragen. Daarna wist de aanbieder ze. Gebeurt de overstap na 12 januari 2027, dan mag de aanbieder er niets voor aanrekenen.

### Checklist voor het contract

1. Maximale opzegtermijn vermeld, twee maanden of minder.
2. Overgangsperiode van 30 dagen, met plichten inzake bijstand, continuïteit en beveiliging.
3. Uitputtende lijst van exporteerbare data en van eventuele uitsluitingen wegens bedrijfsgeheimen.
4. Opvragingstermijn van minstens 30 dagen, daarna volledig wissen, schriftelijk bevestigd.
5. Kosten: geen na 12 januari 2027; daarvoor tegen kostprijs en vooraf meegedeeld.
6. Verwijzing naar de pagina's van de aanbieder over jurisdictie en bescherming tegen toegang (artikel 28).
7. Voor overheidsklanten: een clausule over wat gebeurt als een soevereiniteitserkenning wegvalt, als het voorstel wordt aangenomen.

## Veelgestelde vragen

### Laat de Data Act ons toe een cloudcontract van bepaalde duur vroeger te verlaten?

De Data Act regelt het overstapproces en ruimt de belemmeringen ervoor op. Hij onderscheidt overstapkosten van boetes voor vroegtijdige beëindiging, en aanbieders moeten zulke boetes vóór de ondertekening meedelen (artikel 29, lid 4). Of een boete verschuldigd is, hangt af van je contract en van de vraag of ze billijk is volgens de algemene regels.

### Vallen SaaS-producten eronder, of alleen infrastructuur?

Elke dataverwerkingsdienst in de zin van artikel 2, punt 8, valt eronder. De technische regels verschillen: artikel 30, lid 1, is er voor infrastructuurdiensten, de rest van artikel 30 voor andere diensten.

### Mag de aanbieder weigeren zijn eigen software of modellen af te geven?

Ja. Activa die door intellectuele eigendom of bedrijfsgeheimen van de aanbieder beschermd zijn, zijn geen exporteerbare data, en artikel 30, lid 6, bepaalt dat aanbieders ze niet moeten vrijgeven. De aanbieder moet de uitgesloten datacategorieën wel in het contract opsommen.

### Geldt de migratietermijn van 12 maanden al voor overheden?

Nee. Die staat in de voorgestelde Cloud and AI Development Act, die op 13 november 2026 nog niet was aangenomen.

## Hoe dit samenhangt

Overstapbepalingen horen in elk cloud- en SaaS-contract. Lees meer in [SaaS-overeenkomsten](https://pitch.law/nl/academy/saas-agreements) en in ons overzicht van [de Europese Data Act](https://pitch.law/nl/academy/eu-data-act). Ons team [commerciële contracten en transacties](https://pitch.law/nl/solutions/commercial-contracts-transactions) toetst en onderhandelt deze bepalingen. We toetsen contracten aan artikel 25 met de [clausulebibliotheek en risicoanalyse](https://pitch.law/nl/technologies/clause-library-risk-review), stellen exitbijlagen op met [Document Studio](https://pitch.law/nl/technologies/contract-studio), ons eigen systeem voor documentanalyse en -opmaak, en volgen opzeg- en opvragingstermijnen op in het [register van rechten en verplichtingen](https://pitch.law/nl/technologies/contract-obligations).

**Geciteerde bepalingen:** Verordening (EU) 2023/2854, artikelen 2 (punten 8, 30, 34, 36 en 38), 23 tot 32, 34 en 50; voorstel COM(2026) 502, artikelen 29 en 30.

**Belangrijke data:**

- 11 januari 2024: Data Act in werking; verlaagde overstapkosten toegelaten vanaf die datum
- 12 september 2025: Data Act van toepassing
- 12 januari 2027: geen overstapkosten meer

**Verder lezen:** [de Cloud and AI Development Act](https://pitch.law/nl/academy/cloud-and-ai-development-act), [de Europese Data Act](https://pitch.law/nl/academy/eu-data-act), [SaaS-overeenkomsten](https://pitch.law/nl/academy/saas-agreements) en [Interoperabel Europa](https://pitch.law/nl/academy/interoperable-europe-act).

## In het kort

- Welke diensten en contracten onder de overstapregels vallen
- De verplichte contractbepalingen, clausule per clausule
- Opzeg-, overgangs- en opvragingstermijnen in dagen
- Overstapkosten tot en na 12 januari 2027
- Wat de voorgestelde soevereiniteitsregels daaraan toevoegen
- Een checklist voor aanbieders en klanten

## Hier helpen we mee

- [Oplossingen](https://pitch.law/nl/solutions/commercial-contracts-transactions)
  ### [Commerciële contracten en transacties](https://pitch.law/nl/solutions/commercial-contracts-transactions)
  [Leverings-, distributie-, dienstverlenings-, SaaS- en aankoopcontracten en de deals eromheen, geschreven en nagelezen met oog voor IP, data en fiscaliteit.](https://pitch.law/nl/solutions/commercial-contracts-transactions)

## Onze eigen Legal Tech

- [Technologie](https://pitch.law/nl/technologies/contract-studio)
  ### [Document Studio](https://pitch.law/nl/technologies/contract-studio)
  [Onze Document Studio stelt juridische documenten op en analyseert ze, in een beveiligde on-premise omgeving. En ze houdt de documenten in je dossiers bij wanneer er nieuwe gegevens binnenkomen of een volgende procedurestap nadert.](https://pitch.law/nl/technologies/contract-studio)
- [Technologie](https://pitch.law/nl/technologies/clause-library-risk-review)
  ### [Contractreview](https://pitch.law/nl/technologies/clause-library-risk-review)
  [Stuur ons het contract van de wederpartij en we toetsen het clausule per clausule aan ons playbook, met een risicorangschikking die een advocaat heeft nagekeken.](https://pitch.law/nl/technologies/clause-library-risk-review)
- [Technologie](https://pitch.law/nl/technologies/contract-obligations)
  ### [Contractbeheer: rechten en verplichtingen](https://pitch.law/nl/technologies/contract-obligations)
  [Zodra een contract definitief is, halen we de plichten en rechten van elke partij eruit, met de clausule waar ze vandaan komen. Een persoon bevestigt ze en we volgen ze op met herinneringen.](https://pitch.law/nl/technologies/contract-obligations)

## Meer over Data

- ### [Kinderen online: het voorstel voor een EU KIDS Act en leeftijdsverificatie](https://pitch.law/nl/academy/children-online-kids-act-and-age-verification)
  [Wat de Digital Services Act vandaag al vraagt om minderjarigen te beschermen, wat het voorstel voor een EU KIDS Act van 17 september 2026 zou toevoegen voor sociale netwerken, videoplatformen, games, appwinkels en chatbots, en hoe het Europese kader voor leeftijdsverificatie daarin past.](https://pitch.law/nl/academy/children-online-kids-act-and-age-verification)
- ### [De Cloud and AI Development Act: soevereiniteitsregels voor de aankoop van cloud en AI](https://pitch.law/nl/academy/cloud-and-ai-development-act)
  [Wat het voorstel van de Commissie voor een verordening cloud- en AI-ontwikkeling zou vragen van cloudaanbieders die aan de overheid verkopen, van aanbestedende diensten en van inschrijvers op cloud- en AI-opdrachten, en hoe het zich verhoudt tot de Data Act en de aanbestedingsrichtlijn.](https://pitch.law/nl/academy/cloud-and-ai-development-act)
- ### [Verordening cyberweerbaarheid III: importeurs, distributeurs, open source en contracten](https://pitch.law/nl/academy/cyber-resilience-act-importers-distributors-open-source)
  [De plichten van importeurs, distributeurs en gemachtigde vertegenwoordigers onder de artikelen 18 tot en met 23 van Verordening (EU) 2024/2847, wanneer een wederverkoper fabrikant wordt, hoe vrije en opensourcesoftware en haar stewards worden behandeld, en welke bedingen daaruit volgen.](https://pitch.law/nl/academy/cyber-resilience-act-importers-distributors-open-source)
- ### [Verordening cyberweerbaarheid I: welke producten vallen eronder, en in welke klasse](https://pitch.law/nl/academy/cyber-resilience-act-products-and-classes)
  [Hoe je nagaat of hardware of software die je verkoopt onder Verordening (EU) 2024/2847 valt, of het een gewoon, belangrijk (klasse I of II) of kritiek product is en welke conformiteitsroute daaruit volgt, met de data tot 11 december 2027.](https://pitch.law/nl/academy/cyber-resilience-act-products-and-classes)
- ### [Verordening cyberweerbaarheid II: kwetsbaarheden aanpakken en melden sinds 11-09-2026](https://pitch.law/nl/academy/cyber-resilience-act-vulnerability-handling-and-reporting)
  [Wat fabrikanten sinds 11 september 2026 onder artikel 14 van Verordening (EU) 2024/2847 moeten melden, binnen 24 uur, 72 uur, 14 dagen en één maand, en welke plichten rond kwetsbaarheden uit bijlage I, deel II, volgen vanaf 11 december 2027.](https://pitch.law/nl/academy/cyber-resilience-act-vulnerability-handling-and-reporting)
- ### [Cyberincidenten over de grenzen heen: de verordening cybersolidariteit](https://pitch.law/nl/academy/cyber-solidarity-act)
  [Wat Verordening (EU) 2025/38 opzet, het Europees waarschuwingssysteem voor cyberbeveiliging, het noodmechanisme voor cyberbeveiliging met de EU-cyberbeveiligingsreserve en het evaluatiemechanisme voor incidenten, hoe een bedrijf dat door een zwaar incident wordt getroffen ervan kan profiteren, en wat het betekent voor aanbieders van beheerde beveiligingsdiensten.](https://pitch.law/nl/academy/cyber-solidarity-act)

## Even sparren?

Vertel waar je mee bezig bent. We zetten de juiste persoon erop en je hoort binnen één werkdag van ons. Het eerste gesprek is gratis.

[Plan een gesprek](https://pitch.law/nl/schedule)