Juridisch medewerker
Isabella Mahieu
AVG, IT-recht, International Media Law
22 januari 2026
Leestijd: +/- 8 minuten |
- Joanne van Eenennaam
- IT-recht
- Jules Bousema
- Cloud
- Software
EU Data act verordening & Exit - en continuïteitsregelingen in IT contracten
Sinds 12 september 2025 is de Verordening (EU) 2023/2854 (“Data act verordening”) van toepassing in de gehele EU. Het doel van de Data act verordening is om een interne markt voor data binnen de Europese Unie te scheppen o.a. door belemmeringen voor het delen van gegevens weg te nemen.
De Data Act verordening en aanverwante wet - en regelgeving doen géén afbreuk aan wet- en regelgeving over de bescherming van persoonsgegevens, de persoonlijke levenssfeer en de vertrouwelijkheid van communicatie of de integriteit van eindapparatuur.
Toepasselijkheid en reikwijdte Data act
De nieuwe wettelijke verplichtingen omtrent overstappen uit de Data act zijn van toepassing op IT-leveranciers die aanbieders van dataverwerkingsdiensten zijn. De Data act definieert ingevolge artikel 2 onder 8 Data act een "dataverwerkingsdienst" als:
"een digitale aan een klant aangeboden dienst die alomtegenwoordige en on-demand netwerktoegang mogelijk maakt tot een gedeelde pool van configureerbare, schaalbare en elastische computercapaciteit van gecentraliseerde, gedistribueerde of sterk gedistribueerde aard, die snel ter beschikking kan worden gesteld en worden vrijgegeven met minimale beheersinspanningen of tussenkomst van een dienstverlener."
Dataverwerkingsdienst
Denk hierbij aan clouddiensten in de volgende leveringsmodellen:
- Infrastructure-as-a-Service (IaaS)
- IT-voorzieningen zoals servers, opslag en netwerk (bijvoorbeeld AWS EC2, Microsoft Azure Virtual Machines)
- Platform-as-a-Service (PaaS)
- Ontwikkelplatforms waarbij de leverancier de technische laag beheert (bijvoorbeeld Google App Engine, Heroku)
- Software-as-a-Service (SaaS)
- Kant-en-klare software die via internet wordt aangeboden (bijvoorbeeld Salesforce, Microsoft 365, Slack)
- Database-as-a-Service (DBaaS)
- Gehoste databaseoplossingen (bijvoorbeeld Amazon RDS, MongoDB Atlas)
- Storage-as-a-Service (STaaS)
- Cloud-opslagdiensten (bijvoorbeeld Dropbox Business, Google Drive for Business)
Het kenmerk van al deze diensten is dat ze worden geleverd via een gedeelde, schaalbare infrastructuur waarbij resources on-demand beschikbaar zijn.
Wat valt waarschijnlijk wel onder de Data act?
De Data act is primair gericht op standaard clouddiensten die via een dienstencatalogus aan meerdere klanten worden aangeboden. De dienst wordt geleverd via een gedeelde, schaalbare computercapaciteit waarbij resources on-demand beschikbaar zijn.
Concrete voorbeelden:
- CRM-systemen, zoals Salesforce of HubSpot
- HR-software, zoals BambooHR of Workday
- Planning tools, zoals Asana of Monday.com
- Boekhoudsoftware, zoals Exact Online of Yuki
- Communicatieplatforms, zoals Slack of Microsoft Teams
Deze vallen waarschijnlijk onder de Data act omdat ze:
- Via internet worden aangeboden (cloud-gebaseerd)
- Multi-tenant zijn (infrastructuur gedeeld met andere klanten)
- Schaalbaar en elastisch zijn (computercapaciteit on-demand)
- Standaard uit de catalogus komen (one-to-many model)
Wat valt waarschijnlijk niet onder de Data act?
De volgende IT-diensten vallen waarschijnlijk buiten de reikwijdte van de Data act:
- On-premises software.
- Software die volledig op de eigen servers van de klant draait, zonder cloudcomponent. Denk aan zelfgeschreven applicaties op eigen servers, commerciële software geïnstalleerd on-premises (SAP, Oracle), of virtualisatie op eigen infrastructuur.
- Private cloud-infrastructuur.
- Cloud-infrastructuur exclusief gereserveerd voor één klant, zonder resource-sharing met andere. Bijvoorbeeld dedicated AWS hosts, Azure private subscriptions of Virtual Datacenters exclusief voor één klant.
- Maatwerk software Software waarvan de meerderheid van de hoofdfuncties specifiek voor één klant is ontwikkeld en niet op brede commerciële schaal via een dienstencatalogus wordt aangeboden (artikel 31 Data act). Denk aan volledig custom-gebouwde ERP-systemen of bespoke workflow automation
Let op: Kleine aanpassingen of custom fields (zoals bij Salesforce) maken een standaard product nog niet tot maatwerk.
- Klassieke IT-outsourcing
- Eén-op-één dienstverlening waarbij een IT-bedrijf infrastructuur voor één klant beheert. Bijvoorbeeld Managed Services Providers die 24/7 servers, netwerk en databases beheren.
- IT-diensten die geen dataverwerkingsdiensten zijn Faciliterende diensten, zoals systems integration, IT-consultancy, IT-support, netwerkbeheer, training of datacenter-beheer zijn geen dataverwerkingsdiensten in de zin van de Data act.
Vendor lock in
In de Data act stelt de Europese wetgever zich onder meer tot doel om ‘vendor lock in’ te beteugelen.
Leveranciersafhankelijkheid (‘vendor lock-in’) ontstaat wanneer bedrijven of organisaties zo sterk gebonden zijn aan één IT-leverancier dat overstappen onbetaalbaar of technisch onmogelijk is. Dit gebeurt door intellectueel eigendom op software of een gebrek aan interoperabiliteit met andere systemen. Hierdoor verliest een organisatie de regie: men is gedwongen updates te accepteren en loopt grote risico's bij prijsverhogingen, stopgezette ondersteuning of een faillissement van de leverancier.
In de praktijk wordt dit probleem ondervangen door exit- en/of continuïteitsregelingen in IT contracten. Een exit- en/of continuïteitsregeling omvat afspraken over het overdragen van data, de uitvoering van werkzaamheden en medewerking voor de overstap naar een nieuwe locatie of leverancier.
Wat betekent de EU Data act verordening voor exit- en continuïteitsregelingen in IT contracten? In dit artikel lichten wij een en ander toe.
Uitfasering overstapkosten
Vanaf 12 september 2025 is “Hoofdstuk VI (overstappen naar een andere dataverwerkingsdienst)” van de Data Act verordening van toepassing op aanbieders van verwerkingsdiensten.
De Data act verplicht dataverwerkingsdiensten voortaan om duidelijk vastgelegd in een schriftelijk contract bepalingen op te nemen op grond waarvan de afnemer, op verzoek, kan overstappen naar een dataverwerkingsdienst die wordt aangeboden door een andere aanbieder of op grond waarvan de klant alle “exporteerbare data” en “digitale activa” kan overdragen naar een on-premise ICT-infrastructuur. Onverwijld en in geen geval ná een verplichte overgangsperiode van maximaal 30 dagen, die aanvangt na de maximale opzegtermijn van niet meer dan 2 maanden voor het initiëren van een overstapproces door de opdrachtgever.
Via geleidelijke uitfasering verbiedt de Data act verordening voortaan om overstapkosten in rekening te brengen:
- Vanaf 12 januari 2027 brengen aanbieders van dataverwerkingsdiensten geen overstapkosten meer in rekening voor het overstapproces.
- Vanaf 11 januari 2024 tot 12 januari 2027 kunnen aanbieders van dataverwerkingsdiensten klanten verlaagde overstapkosten in rekening brengen.
- De verlaagde overstapkosten vanaf 11 januari 2024 tot 12 januari 2027 mogen niet hoger zijn dan de door de aanbieder van dataverwerkingsdiensten gemaakte kosten die rechtstreeks verband houden met het betrokken overstapproces.
Ook geldt voor alle partijen bij het overstapproces een “goede trouw verplichting”, bijvoorbeeld om informatie te verstrekken en redelijkerwijs benodigde medewerking te bieden om een doeltreffende overstap te realiseren.
Een en ander betekent niet dat de IT leverancier per se gehouden is om gratis werkzaamheden te verrichten, bijvoorbeeld voor de tijd en mankracht die migratiewerkzaamheden meebrengen. De opdrachtnemer heeft recht op een redelijk loon en de opdrachtgever is verplicht de opdrachtnemer de onkosten verbonden aan de uitvoering van de opdracht te vergoeden voor zover deze niet in het loon zijn inbegrepen, ingevolge artikel 7:405 lid 2 en artikel 7:406 BW.
Echter, de kosten die de IT leverancier in rekening wil brengen voor migratiewerkzaamheden en overige aan een overstap gerelateerde werkzaamheden zullen wel zorgvuldig verantwoord moeten worden, bijvoorbeeld door te verwijzen naar een vast service tarief. Een aparte ‘overstap’ – fee opleggen mag in ieder geval niet meer.
Exit-/continuïteitregeling; recht op datamigratie
Wat gebeurt er met data aan het einde van een IT contract, of bijvoorbeeld bij overname of faillissement van een IT leverancier?
Persoonsgegevens
Het is ingevolge artikel 28 lid 3 onder g AVG, alsmede ingevolge het recht van het datasubject ingevolge artikel 20 lid 1 jo. 28 lid 3 onder e AVG.wettelijk verplicht om bij de verwerking van persoonsgegevens een verwerkersovereenkomst te sluiten, waarin verplicht opgenomen dient te worden dat persoonsgegevens:
(“na afloop van de verwerkingsdiensten, naargelang de keuze van de verwerkingsverantwoordelijke, alle persoonsgegevens wist of deze aan hem terugbezorgt, en bestaande kopieën verwijdert, tenzij opslag van de persoonsgegevens Unierechtelijk of lidstaatrechtelijk is verplicht;”)
Data niet als persoonsgegevens gekwalificeerd
Voor data die niet als persoonsgegevens gekwalificeerd kunnen worden gold tot voor kort géén duidelijk recht om de ‘eigen’ data in een bepaald formaat terug te krijgen of te laten overdragen naar een nieuwe IT leverancier.
Het is niet per se wettelijk verplicht om een exit- en/of continuïteitsregeling in een IT-contract of in het interne beleid van een IT-leverancier te hebben. Sterker nog, niet ieder IT-contract bevat überhaupt een duidelijk afspraak over wat er na het einde van de overeenkomst gebeurt.
Zonder vrijwillige medewerking van de oorspronkelijke IT-leverancier aan migratiewerkzaamheden tegen redelijke kosten, of een wettelijke regeling voor datamigratie, is de opdrachtgever die wil overstappen afhankelijk van de afspraken die in het IT-contract staan. Ontbreekt een duidelijke afspraak dan kan een geschil uiteindelijk escaleren tot een gerechtelijke procedure.
Recente uitspraken
Hoe actueel deze problematiek is blijkt onder meer uit recente uitspraken bij rechtbanken:
Een gerechtelijke procedure is duur en tijdrovend, zelfs indien de rechter uiteindelijk de IT-leverancier verplicht om toegang te geven tot bepaalde gegevens of om mee te werken aan de overstap onder voorwaarden die de rechter oplegt. Een duidelijke exit-/continuïteitsclausule of beleid in een IT-contract verdient duidelijk de voorkeur.
Bevoegde toezichthouder
In Nederland is de Autoriteit Consument & Markt (ACM) sinds 21 november 2025 bevoegd om toezicht te houden op de Data Act.
De Autoriteit Consument & Markt (ACM) heeft de bevoegdheid om doeltreffende, evenredige en afschrikkende sancties op te leggen.
Voorstel Digitale Omnibus
Let op! Bovenstaand artikel is geschreven op basis van de huidige wettekst. Er ligt een voorstel in het kader van de versimpelingsagenda van Commissie von der Leyen II naar aanleiding van het Draghi rapport over Europees concurrentievermogen. Het voorstel bevat ook voorgestelde wijzigingen van de Data act verordening en aanverwante wet- en regelgeving.
Eerder schreven wij over de voorgestelde wijzigingen een artikel:
Voorstel digitale omnibus voorgestelde wijzigingen AVG
Het is mogelijk dat indien de wetswijzigingen voorgesteld in de digitale omnibus worden aangenomen het tijdpad en de regels omtrent vergoedingen voor het (her)gebruik van data minder streng zullen worden.
Ook is voorgesteld om de geïmpliceerde verplichting om vanaf 12 september 2025 bestaande en nieuwe IT-contracten aan te passen en voorwaarden te wijzigen om ze in lijn te brengen met Hoofdstuk III en IV van de Data act te vervangen door een andere aanpak die minder extreem ingrijpend is voor het beginsel van contractvrijheid, de vrije prijsbepaling en het concurrentievermogen in de Europese markt. Echter, het is niet op voorhand te voorspellen welke voorgestelde wetswijzigingen daadwerkelijk zullen plaatsvinden en wanneer de Data act gewijzigd zal worden.
Vragen?
Hebt u vragen over de Data act? Zou u een exit- /continuïteitsregeling in uw IT contract willen opnemen of updaten? Neem contact op met onze IT juristen zijn staan u graag te woord.
Virtuele Juridische Afdeling
Wilt u gebruikmaken van onze parate kennis en ons met enige regelmaat bellen? Neem een abonnement op de Virtuele Juridische Afdeling. Mail direct even dan ontvangt u vrijblijvend de voorwaarden.
Meer weten? Bel of mail gerust:
T. +31(0)70-3819281
E. info@wisemen.nl
Voor de laatste ontwikkelingen schrijft u zich nu in voor de
Archief
Juridisch medewerker
Femke Prinsen
Internationaal handelsrecht, Intellectuele Eigendom en IT-recht
