EU Data Act: cloud-switchingvoorwaarden voor Cypriotische SaaS

Bepaal of de dienst onder de Data Act-definitie valt

Hoofdstuk VI richt zich op aanbieders van gegevensverwerkingsdiensten die klanten op verzoek via een netwerk toegang geven tot configureerbare computermiddelen. Volgens de Commissie kunnen infrastructuur-, platform- en softwarediensten daaronder vallen. Een gewone website of een individueel adviesproject is daardoor niet automatisch een dergelijke dienst. Breng de cloudarchitectuur, schaalbaarheid, mate van klantcontrole, dienstcategorie en opslag van klantgegevens in kaart. Bij Cypriotische SaaS is de relevante vraag of de klant een gehoste toepassing met eigen gegevens gebruikt en kan verhuizen naar een dienst van hetzelfde type of naar eigen infrastructuur. Een marketingterm als ‘platform’ beslist het toepassingsgebied niet; leg de technische en juridische beoordeling vast.

Artikel 23 verplicht aanbieders precommerciële, commerciële, technische, contractuele en organisatorische overstapobstakels weg te nemen. Het gaat om verhuizen naar een andere aanbieder van hetzelfde diensttype, overdracht naar lokale ICT-infrastructuur en, waar relevant, parallel gebruik van aanbieders. Ook beëindiging na de toegestane procedure valt hieronder. Een opzeggingsknop is onvoldoende als bijlagen niet uit het systeem komen of de export onbetaalbaar wordt gemaakt. Omgekeerd eist de wet niet dat een concurrent elke unieke functie van de oorspronkelijke software kan nabouwen. Beschrijf nauwkeurig welke handelingen de bronaanbieder beheerst, welke gegevens de klant aanlevert en welke omzetting de bestemmingsaanbieder uitvoert.

Deze gids gaat over de exitvoorwaarden van de dienstverlener. Een verzoek om productgegevens van een verbonden apparaat volgens de artikelen 3 tot en met 5 en een AVG-verzoek tot gegevensoverdraagbaarheid zijn andere processen. Eén product kan meerdere rechten tegelijk raken, maar verzoeker, gegevenscategorie en verantwoordelijkheid verschillen. Geef daarom elk proces een eigen eigenaar en formulieren. Stuur een cloudklant niet naar een formulier voor sensorgegevens en behandel een AVG-verzoek niet als contractopzegging. Artikel 24 beperkt bepaalde verplichtingen tot de eigen diensten, contracten en praktijken van de bronaanbieder. Beloof geen controle over het systeem van een derde en documenteer de grenzen van de aangeboden hulp.

Lees ook: gids voor gegevens van verbonden apparaten.

Grondslag en toelichting: Verordening (EU) 2023/2854, Data Act, artikelen 23–31; Europese Commissie: toelichting Data Act en cloud-switching; Europese Commissie: Digital Package FAQ en voorgestelde cloudwijzigingen

Omschrijf elke categorie exporteerbare gegevens en digitale activa

Artikel 25 lid 2 onder e verlangt een uitputtende specificatie in het contract van categorieën gegevens en digitale activa die kunnen worden overgedragen, met ten minste alle exporteerbare gegevens. Begin bij het echte tenantmodel en niet bij de algemene zin dat ‘klantgegevens kunnen worden gedownload’. Denk aan hoofdrecords, bijlagen, metadata, exporteerbare configuratie, door gebruikers gemaakte workflows en toepassingsresultaten. Een ERP-klant heeft mogelijk facturen, relaties, grootboekindelingen en documentkoppelingen nodig. In projectsoftware zijn taken, opmerkingen, eigenaren en datums belangrijk. Benoem kolommen en stabiele identificaties, zodat de klant relaties tussen bestanden kan herstellen. Test ook of een export met echte gegevens overeenkomt met deze contractuele lijst.

Artikel 25 lid 2 onder f laat omschreven categorieën interne werkingsgegevens buiten de export wanneer een werkelijk risico voor bedrijfsgeheimen bestaat. Die uitsluiting mag de overstap niet hinderen of vertragen. Bestempel daarom niet alle metadata of instellingen zonder analyse als eigendom van de aanbieder. Maak per veld onderscheid tussen invoer door klanten, door gebruik ontstane gegevens, interne werking, gelicentieerde inhoud van derden en het concrete geheimhoudingsbelang. De klant heeft niet vanzelf aanspraak op broncode, maar kan wel veldbetekenissen en koppelingen nodig hebben om bedrijfsgegevens te reconstrueren. Laat jurist en technicus samen een proefimport doen. Een uitzondering is niet bruikbaar als de resterende export feitelijk onleesbaar wordt.

De Commissie legt uit dat exporteerbare gegevens invoer, uitvoer en metadata uit klantgebruik kunnen omvatten, met de wettelijke grenzen voor intellectuele eigendom en bedrijfsgeheimen. Artikel 26 verlangt een actueel online register van gegevensstructuren, formaten en toepasselijke normen of open interoperabiliteitsspecificaties. Koppel een registerversie aan elke schemawijziging. Een export die vandaag wordt gemaakt, moet passen bij documentatie die vandaag beschikbaar is; een verouderde PDF is geen betrouwbare handleiding. Importeer een proefexport in een neutrale omgeving en zoek ontbrekende relaties, onverklaarde codes, tijdzoneproblemen en onvolledige bijlagen. Bewaar de bevindingen bij de productdocumentatie, zodat verkoop geen ruimere uitvoerbaarheid belooft dan techniek kan leveren.

Grondslag en toelichting: Verordening (EU) 2023/2854, Data Act, artikelen 23–31; Europese Commissie: toelichting Data Act en cloud-switching

Leg opzegging, overgang en ophalen vast op één tijdlijn

Artikel 25 vereist een schriftelijk contract dat de klant vóór ondertekening kan bewaren en reproduceren. Het moet toelaten dat de klant de overstap begint met een opzegtermijn van maximaal twee maanden. Daarna volgt in beginsel een verplichte maximale overgangsperiode van 30 kalenderdagen. Gedurende de overgang blijft de dienstenovereenkomst gelden, verleent de aanbieder redelijke hulp en bewaart hij de continuïteit. Schrijf hoe het verzoek binnenkomt, wanneer de termijn start en wie de migratie coördineert. Een onbeperkte fase voor ‘technische goedkeuring’ voordat de klok begint, maakt het recht illusoir. Maak onderscheid tussen de datum van opzegging, het feitelijke omschakelen en het moment waarop de klant zijn gegevens met succes heeft opgehaald.

Wanneer de gewone dertig dagen technisch niet haalbaar zijn, biedt artikel 25 lid 4 een afgebakende route. De aanbieder meldt dit binnen veertien werkdagen na het overstapverzoek, motiveert de technische onhaalbaarheid en noemt een alternatieve overgangsperiode van hoogstens zeven maanden. De dienstverlening moet doorlopen. De klant kan daarnaast volgens lid 5 de overgang eenmaal verlengen. Deze mechanismen geven de leverancier geen algemeen recht om grote klanten willekeurig vast te houden. Documenteer gegevensvolume, afhankelijkheden, testresultaten, voorgestelde planning en communicatie. Laat zien waarom juist deze migratie meer tijd vereist. Een slecht voorbereide interne organisatie of een commerciële retentiestrategie vormt op zichzelf geen technische onderbouwing.

Na de overeengekomen overgang moet het contract een ophaalperiode van ten minste dertig kalenderdagen bieden. Na die periode, of op een later overeengekomen tijdstip, volgt volgens de contractregel het wissen van de betrokken exporteerbare gegevens en digitale activa nadat de overstap is geslaagd. Beschrijf hoe de klant inlogt tijdens het ophalen, welke uitvoer beschikbaar blijft, wat met back-ups gebeurt en hoe het wissen wordt bevestigd. Een clausule die de tenant direct bij het stoppen van facturatie verwijdert, kan tegen deze volgorde ingaan. Onbeperkt stilzwijgend bewaren schept eveneens risico, vooral voor persoonsgegevens. Loop een kalender met voorbeelddata door om hiaten en tegenstrijdigheden vooraf te ontdekken.

Lees ook: gids voor AVG-inzageverzoeken.

Grondslag en toelichting: Verordening (EU) 2023/2854, Data Act, artikelen 23–31; Europese Commissie: toelichting Data Act en cloud-switching

Zorg dat export en interfaces vóór het vertrek werken

Artikel 30 behandelt infrastructuurdiensten op punten anders dan andere gegevensverwerkingsdiensten. Bij SaaS en PaaS gaat het onder meer om kosteloos beschikbare open interfaces voor klanten en relevante bestemmingsaanbieders, met voldoende informatie voor softwarecommunicatie, overdraagbaarheid en interoperabiliteit. Bij infrastructuur is het bevorderen van functionele gelijkwaardigheid van gemeenschappelijke kenmerken belangrijk. Een Cypriotische SaaS-onderneming moet niet beloven dat een onbekende bestemming identieke unieke functies biedt. Zij moet wel haar eigen export en interfaces bruikbaar maken binnen de wettelijke plichten. Zet in de technische bijlage uiteen wat de bron levert, wat de bestemming zelf moet mappen en welke beperkingen daadwerkelijk uit het product voortkomen.

Gebruik bij de proef geen leeg demonstratieaccount maar een representatieve tenant. Neem grote bijlagen, aangepaste velden, verschillende rollen, lange historische perioden en meerdere tijdzones op. Controleer tekencodering, stabiele sleutels, paginering, snelheidslimieten en controlesommen. Een gegevenswoordenboek en foutmeldingen moeten de bestemming helpen de klantrecords te reconstrueren zonder te gissen. CSV kan voldoende zijn voor een eenvoudig model, maar een enkele tabel is onvoldoende wanneer een relationele toepassing noodzakelijke verbanden en metadata verliest. Meet hoe lang de volledige export duurt ten opzichte van de wettelijke overgang en test ook hervatting na een onderbroken overdracht. Bewaar resultaten per productversie.

Beveiliging moet een veilige overstap mogelijk maken, niet blokkeren. Gebruik beperkte toegangsrechten, versleuteling tijdens overdracht, integriteitscontrole en een gecontroleerde overhandiging aan de klant of de gemachtigde bestemming. Log wie welke gegevens heeft opgevraagd. Vraag geen wachtwoord per gewone e-mail en laat support niet zonder herhaalbare procedure directe queries op de productiedatabase uitvoeren. De bestemming kan eigen conversiewerk hebben; houd verplichte redelijke hulp van de bron gescheiden van optionele consultancy. Een regelmatige exitrepetitie kan kapotte API's of ontbrekende velden vinden voordat een belangrijke klant opzegt. Leg de uitkomst ook voor aan het juridische en commerciële team.

Lees ook: gids voor respons op een datalek.

Grondslag en toelichting: Verordening (EU) 2023/2854, Data Act, artikelen 23–31; Europese Commissie: toelichting Data Act en cloud-switching

Toets overstapkosten aan de wettelijke datum in 2027

Artikel 29 schaft overstapkosten stapsgewijs af. Tot 12 januari 2027 mogen in de overgangsfase slechts verlaagde bedragen worden gevraagd die aan rechtstreeks gemaakte kosten van de overstap en uitgaande gegevens zijn gekoppeld. Vanaf 12 januari 2027 vervallen kosten voor het overstapproces. Neem een oude onbeperkte tarieflijst per gigabyte daarom niet klakkeloos over in een exitclausule voor 2027. Inventariseer vergoedingen voor export, API-gebruik, overdracht, hulp en beëindiging afzonderlijk. Classificeer de werkelijke handeling volgens de wet en wijzig niet slechts het etiket ‘overstapvergoeding’. De financiële afdeling moet de kostenbasis van elk voorlopig verminderd bedrag kunnen uitleggen en het tarief op de omslagdatum aanpassen.

De Data Act onderscheidt overstapkosten van gewone dienstprijzen en, onder voorwaarden, evenredige gevolgen van voortijdige beëindiging van een contract voor bepaalde tijd. Een apart besteld migratieproject kan eveneens verschillen van de verplichte stappen om de overstap mogelijk te maken. Licht de onderdelen vóór ondertekening afzonderlijk en begrijpelijk toe. Wanneer de klant een betaald adviespakket móét kopen om de vereiste export te krijgen, maakt het woord ‘optioneel’ op de factuur het werk niet vrijwillig. Laat product en finance dezelfde casus berekenen met de prijslijst van 2026 en na 12 januari 2027. Onduidelijke verzamelposten moeten worden opgesplitst of verwijderd; ook de openbare informatie moet overeenkomen.

Doorlopend parallel gebruik van twee clouddiensten is niet per definitie hetzelfde als een eenmalige overstap. De overwegingen van de verordening bespreken de mogelijkheid van kostengebaseerde uitgaande-datakosten bij voortdurende multicloudactiviteiten. Zeg daarom niet in marketing dat na januari 2027 alle netwerkverkeer altijd gratis is. Koppel elke prijs aan de concrete juridische categorie, dienst en feitelijke handeling. Controleer de tekst van artikel 29 opnieuw voordat een nieuwe prijslijst verschijnt. Het Digital Omnibus-pakket van de Commissie bevat voorgestelde verduidelijkingen, maar is in oktober 2026 nog geen geldende wijziging. Noteer een verantwoordelijke en herzieningsdatum voor de tariefregels.

Grondslag en toelichting: Verordening (EU) 2023/2854, Data Act, artikelen 23–31; Europese Commissie: toelichting Data Act en cloud-switching; Europese Commissie: Digital Package FAQ en voorgestelde cloudwijzigingen

Onderbouw uitzonderingen en lastige migraties nauwkeurig

Artikel 31 kent een toegespitste behandeling voor sommige diensten waarvan de hoofdfuncties op maat voor één klant zijn gebouwd of waarvan onderdelen speciaal voor die klant zijn ontwikkeld. Dit is geen algemene vrijstelling voor standaard-SaaS met configureerbare workflows. Controleer de exacte voorwaarden en de wettelijke plicht om potentiële klanten over niet-toepasselijke verplichtingen te informeren. Een platform met een openbare catalogus wordt niet ineens volledig maatwerk omdat een grote klant extra implementatie heeft gekocht. Leg architectuur, verkoopmodel, herbruikbare componenten en de precieze juridische reden voor de uitzondering vast. Onderdelen van een gemengd aanbod kunnen anders moeten worden beoordeeld; een commerciële slogan volstaat niet als onderbouwing.

Bij een technisch moeilijke verhuizing gebruikt u de procedure van artikel 25 in plaats van een onbeperkte uitzondering in algemene voorwaarden. Bereken volume, afhankelijkheden, versleuteling, wijzigingsvensters en vereiste controles. Als de gewone overgang echt onmogelijk is, krijgt de klant binnen veertien werkdagen de gemotiveerde kennisgeving en een alternatief schema binnen de wettelijke bovengrens. Houd de dienst ondertussen beschikbaar. De klant heeft daarnaast zijn eigen mogelijkheid om de overgang eenmaal te verlengen. Bewaar correspondentie, resultaten van migratietests en tijdsplanning. Een langere termijn moet volgen uit aantoonbare technische omstandigheden en niet uit de wens om een rekening zo lang mogelijk te behouden.

Andere regels blijven afzonderlijk gelden. Bevat de tenant persoonsgegevens, dan zijn de afspraken tussen verwerkingsverantwoordelijke en verwerker, teruggave en verwijdering onder de AVG relevant. Is de klant een financiële onderneming, dan kan DORA aanvullende eisen stellen aan het ICT-contract en de operationele weerbaarheid. Een goede Data Act-exitclausule vervangt die regimes niet en die regimes wissen de cloud-switchingbasis niet uit. Maak een contractmatrix voor artikel 25, privacy, beveiliging en gereguleerde klanten. Los tegenstrijdigheden vóór ondertekening op, zoals een instructie tot onmiddellijk wissen naast een wettelijke ophaalperiode. Wijs iemand aan die wijzigingen in de regimes samen beoordeelt.

Grondslag en toelichting: Verordening (EU) 2023/2854, Data Act, artikelen 23–31; Europese Commissie: toelichting Data Act en cloud-switching; Europese Commissie: Digital Package FAQ en voorgestelde cloudwijzigingen

Test drie concrete exitscenario’s met de voorwaarden

Een Cypriotisch praktijkmanagementsysteem exporteert contacten en afspraken, maar geen bijlagen of aangepaste velden. De voorwaarden beloven ‘alle klantgegevens’ en onmiddellijk wissen bij opzegging. Een praktijk wil verhuizen en mist daardoor belangrijke dossiers. De aanbieder maakt een veldinventaris, bouwt de ontbrekende export en het schemaregister en test een import in een neutrale omgeving. Daarna brengt hij ophaal- en wisclausules in de juiste volgorde. Een eenmalige handmatige database-uitdraai kan de huidige klant helpen, maar bewijst geen betrouwbaar proces voor volgende klanten. Productwerking en contracttekst moeten hetzelfde werkelijke aanbod beschrijven.

Een tweede aanbieder rekent in 2027 een hoog bedrag per uitgaande gigabyte. Finance toetst artikel 29 en ziet dat de vergoeding voor het verplichte overstapproces vanaf 12 januari 2027 vervalt. Het team scheidt gewone abonnementskosten, een eventuele rechtmatige consequentie van vroegtijdige beëindiging en daadwerkelijk afzonderlijke optionele werkzaamheden. Het verwijdert de overstapvergoeding en corrigeert de precontractuele prijsinformatie. Dezelfde verplichte export vervolgens factureren als ‘administratieve gegevensoverdracht’ lost het probleem niet op. Een klant moet aan de hand van een voorbeeldfactuur kunnen zien welke handeling wordt betaald en waarom die buiten of binnen de wettelijke grens valt.

Een derde aanbieder host een grote tenant verspreid over regio's en kan niet veilig binnen de standaardovergang migreren. Binnen veertien werkdagen na het verzoek legt hij de concrete technische onhaalbaarheid uit en stelt hij een schema binnen de wettelijke grens voor. Hij houdt de dienst beschikbaar en levert interface, exportdocumentatie en redelijke hulp. De klant beslist zelf of hij zijn eenmalige verlengingsrecht wil gebruiken. Beide partijen registreren testen, omschakeling en daaropvolgende ophaalperiode. Dit is een onderbouwde uitzondering voor een specifiek geval, geen algemene bepaling waarmee de leverancier bij iedere opzegging naar eigen inzicht uitstelt.

Grondslag en toelichting: Verordening (EU) 2023/2854, Data Act, artikelen 23–31; Europese Commissie: toelichting Data Act en cloud-switching

Bewaar een dossier dat contract en product verbindt

Een bruikbaar dossier bevat de reikwijdtebeoordeling, actuele klantvoorwaarden, lijst van exporteerbare en uitgesloten categorieën met redenen, API- en downloadspecificaties, online schemaregister, opzeggings- en overgangsproces, ophaal- en wiscontroles, prijslijst en uitkomsten van proefmigraties. Elk onderdeel krijgt een eigenaar en versienummer. Een contractbelofte over uitvoer binnen dertig dagen is niet geloofwaardig wanneer engineering nooit een volledige tenant testte. Andersom herstelt een goede downloadknop geen contract met een te lange opzegtermijn. Beoordeel beide kanten samen. Een wijziging in het gegevensmodel moet opnieuw een exporttest en zo nodig aanpassing van het register uitlokken.

Wijs voor iedere overstap een coördinator aan en maak een tijdlijn van ontvangst van het verzoek tot definitieve verwijdering. Registreer klantinstructie, gekozen bestemming, identiteits- en beveiligingscontroles, gegevensomvang, bekende beperkingen, geleverde hulp, bewijs van overdracht en resterende ophaalperiode. Krijgt een derde toegang, beperk dan bevoegdheden en log het gebruik. Regelmatige interne oefeningen kunnen ongedocumenteerde velden of defecte uitvoer vinden wanneer functies veranderen. Vertel de klant in gewone taal wat wanneer gebeurt, zodat hij de omschakeling kan plannen en niet pas na beëindiging ontdekt dat cruciale bestanden ontbreken. Bewaar de communicatie bij de technische tests.

De geldende Data Act-tekst vormt de basis van deze beoordeling in oktober 2026. Het voorstel van de Commissie voor een Digital Omnibus kan later details aanpassen, maar rechtvaardigt nu niet dat contracten worden geschreven alsof de voorgestelde bepalingen al zijn aangenomen. Volg het wetgevingsproces en toets sjablonen opnieuw na een echte wijziging. Deze gids betreft wisselen van aanbieder, niet productgegevens van verbonden apparaten en geen garantie dat een andere cloud bijzondere softwarefuncties reproduceert. Een geteste en aantoonbare exitroute verkleint afhankelijkheid van één leverancier en geeft klanten een concrete, controleerbare kwaliteitsmaatstaf.

Lees ook: gids voor gegevens van verbonden apparaten.

Grondslag en toelichting: Verordening (EU) 2023/2854, Data Act, artikelen 23–31; Europese Commissie: toelichting Data Act en cloud-switching; Europese Commissie: Digital Package FAQ en voorgestelde cloudwijzigingen

Primaire bronnen en toepassingsgebied

Bronnen gecontroleerd: 8 oktober 2026. Deze gids betreft de Republiek Cyprus. Voorbeelden zijn hypothetisch en geen klantendossiers. Controleer de actuele officiële vereisten voordat u een aanvraag indient.

• Verordening (EU) 2023/2854, Data Act, artikelen 23–31
• Europese Commissie: toelichting Data Act en cloud-switching
• Europese Commissie: Digital Package FAQ en voorgestelde cloudwijzigingen

Praktische gidsen over dit onderwerp

• Aansprakelijkheidslimieten in Cypriotische B2B SaaS-contracten: praktische clausuletoets

  Praktische gids over aansprakelijkheidsplafonds, uitgesloten schade, AVG-claims, vrijwaringen, servicecredits en exitverplichtingen in Cypriotische SaaS-overeenkomsten.