Vendor lock-in in de cloud: welke rechten geeft de Data Act u als klant?

Uw organisatie draait op de cloud. De kans is groot dat u uw bedrijfskritische data, applicaties en workflows hebt toevertrouwd aan een externe leverancier — AWS, Azure, Google Cloud, of een van de talloze SaaS-aanbieders waar u dagelijks mee werkt. Dat gaat prima, totdat u wilt overstappen. Of moet overstappen. Want dan blijkt ineens dat uw data vastzit in een format dat niemand anders kan lezen, dat de migratie maanden duurt, of dat de factuur voor de exit hoger uitvalt dan verwacht. Welkom in de wereld van vendor lock-in.

De Europese wetgever heeft dit probleem onder ogen gezien. Sinds 12 september 2025 is de Data Act (Verordening (EU) 2023/2854) volledig van toepassing. Hoofdstuk 6 van deze verordening geeft u als cloudklant concrete, afdwingbare rechten om over te stappen naar een andere leverancier — of terug te gaan naar uw eigen infrastructuur. In deze blog leg ik uit wat er is veranderd, welke rechten u hebt en waar u op moet letten.

Wat is vendor lock-in precies?

Lock-in ontstaat wanneer uw organisatie feitelijk afhankelijk is geworden van één leverancier, simpelweg omdat de kosten van overstappen — in tijd, geld en complexiteit — te hoog zijn. In de praktijk herkennen organisaties dat op verschillende manieren. De leverancier werkt niet mee aan een exit, brengt buitensporige kosten in rekening of levert uw data aan in een format waar u niets mee kunt.

Het verraderlijke is dat dit probleem zich meestal pas manifesteert op het moment dat u daadwerkelijk weg wilt. Precies het moment waarop uw onderhandelingspositie het zwakst is. Een moeizame overstap kan bovendien de continuïteit van uw bedrijfsvoering direct in gevaar brengen.

De Data Act: hoe de EU vendor lock-in aanpakt

Hoofdstuk VI van de Data Act doorbreekt het lock-in-mechanisme door aanbieders van dataverwerkingsdiensten — denk aan IaaS, PaaS en SaaS — te verplichten concrete exitafspraken op te nemen in hun overeenkomsten. Let op: deze verplichtingen gelden niet alleen voor nieuwe contracten. De Data Act is van toepassing op alle bestaande overeenkomsten, ongeacht een eventueel eerder overeengekomen minimale contractduur.

De Data Act is een Europese verordening met rechtstreekse werking. U hoeft niet te wachten op nationale wetgeving. De regels gelden direct, ook ten opzichte van leveranciers van buiten de EU die diensten leveren aan klanten binnen de Unie.

Uw rechten als cloudklant op grond van de Data Act

Het recht op gegevensexport

Uw leverancier moet volledig specificeren welke categorieën gegevens en digitale activa kunnen worden overgedragen tijdens een overstap. De data moeten in een gestructureerd, gangbaar en machineleesbaar format beschikbaar worden gesteld. Daarnaast is de leverancier verplicht een openbaar register bij te houden met informatie over alle gegevensstructuren, dataformaten en relevante standaarden (art. 25 lid 2 sub e en art. 26 Data Act).

Het recht op beperkte overstapkosten

De Data Act hanteert een gefaseerd model voor overstapkosten. Tot 12 januari 2027 mag de leverancier uitsluitend gereduceerde overstapkosten in rekening brengen: alleen de kosten die rechtstreeks verband houden met het overstapproces zelf, zonder winstmarge (art. 29 lid 2 en 3 Data Act). Vanaf 12 januari 2027 vervallen overstapkosten volledig. De leverancier mag dan niets meer in rekening brengen voor de overstap als zodanig.

Belangrijk: het onderscheid tussen overstapkosten en beëindigingsvergoedingen. De Data Act verbiedt per 2027 specifiek de overstapkosten (switching charges), zoals kosten voor data-extractie en technische migratiebijstand. Daarnaast kan een leverancier echter onder voorwaarden nog wel een vroegtijdige beëindigingsvergoeding (early termination penalty) bedingen voor het voortijdig opzeggen van het contract (art. 29 lid 4 Data Act). Die vergoeding moet proportioneel zijn en mag geen commercieel obstakel vormen om over te stappen. Het loont dus om bij het aangaan van een contract scherp te letten op beide kostenposten.

Het recht op een snelle overstap

Na afloop van de opzegtermijn — die maximaal twee maanden mag bedragen (art. 25 lid 2 sub d Data Act) — start een overgangsperiode van maximaal 30 kalenderdagen. Alleen wanneer dit technisch onhaalbaar is, mag de leverancier deze termijn verlengen tot maximaal zeven maanden. Daarvoor moet hij u binnen 14 werkdagen na ontvangst van uw overstapverzoek informeren én de technische onhaalbaarheid deugdelijk onderbouwen (art. 25 lid 4 Data Act). Als klant hebt u daarnaast het recht de overgangsperiode eenmaal te verlengen voor een termijn die u zelf passend acht (art. 25 lid 5 Data Act).

Het recht op continuïteit

Tijdens de volledige overgangsperiode blijft de bestaande overeenkomst van kracht. De leverancier moet zijn diensten blijven leveren, met de nodige zorgvuldigheid handelen om uw bedrijfscontinuïteit te waarborgen, en u informeren over bekende risico’s voor de continuïteit (art. 25 lid 2 sub a Data Act).

Het recht op interoperabiliteit

De Data Act legt per type dienst verschillende verplichtingen op. SaaS- en PaaS-leveranciers moeten kosteloos open interfaces beschikbaar stellen om dataportabiliteit en interoperabiliteit te faciliteren, conform gepubliceerde standaarden en specificaties (art. 30 lid 1 Data Act). IaaS-leveranciers moeten alle redelijke maatregelen nemen om functionele gelijkwaardigheid bij de nieuwe leverancier te faciliteren, waaronder het verstrekken van capaciteit, documentatie en technische ondersteuning (art. 30 lid 2 Data Act).

Het recht op data-ophaal en volledige wissing

Na afloop van de overgangsperiode hebt u minimaal 30 kalenderdagen om uw data op te halen (art. 25 lid 2 sub g Data Act). Pas daarna — en nadat de overstap succesvol is voltooid — is de leverancier verplicht al uw exporteerbare gegevens en digitale activa volledig te wissen (art. 25 lid 2 sub h Data Act).

Het recht op samenwerking te goeder trouw

Alle betrokken partijen — de huidige leverancier, de opvolgend leverancier en uzelf — dienen te goeder trouw samen te werken om het overstapproces doeltreffend te laten verlopen. De leverancier moet u en door u gemachtigde derden redelijke bijstand verlenen gedurende het gehele proces (art. 25 lid 2 sub a Data Act).

Niet alleen de Data Act: het Nederlandse recht als vangnet

Wat als uw dienst niet kwalificeert als dataverwerkingsdienst in de zin van de Data Act, of als uw leverancier zich op het standpunt stelt dat de verordening niet van toepassing is? Dan staat u alsnog niet met lege handen.

Op grond van het Nederlandse verbintenissenrecht zijn partijen verplicht zich jegens elkaar te gedragen overeenkomstig de eisen van redelijkheid en billijkheid (art. 6:2 BW). Een overeenkomst heeft bovendien niet alleen de door partijen overeengekomen rechtsgevolgen, maar ook die welke uit de wet, gewoonte of redelijkheid en billijkheid voortvloeien (art. 6:248 lid 1 BW). Wanneer een leverancier weigert mee te werken aan een overstap, kan de rechter de overeenkomst aanvullen met een exit-verplichting.

De Nederlandse rechtspraak bevestigt dit. In een kort geding in 2022 oordeelde de voorzieningenrechter dat het ontbreken van een exit-clausule een leemte vormt die door uitleg moet worden aangevuld. De leverancier kon zich niet verschuilen achter zijn algemene voorwaarden om medewerking aan migratie te weigeren — zeker niet nadat hij eerder bereidheid tot medewerking had getoond. Het belang van de klant bij continuïteit van de bedrijfsvoering woog zwaar.

Daarnaast rust op de leverancier als opdrachtnemer een zorgplicht op grond van artikel 7:401 BW: hij moet handelen zoals van een goed opdrachtnemer verwacht mag worden. In de IT-context betekent dit dat de leverancier moet voldoen aan de mate van zorgvuldigheid en deskundigheid die van een redelijk handelend en bekwaam IT-dienstverlener verwacht mag worden. Dit kan meebrengen dat hij u niet mag achterlaten zonder de gegevens die nodig zijn voor uw bedrijfscontinuïteit.

Waarom u nu moet handelen

De Data Act is al van kracht. Toch is achteroverleunen geen optie. De verordening stelt minimumeisen — bij complexere dienstverlening, maatwerk of gevoelige data kan het noodzakelijk zijn om aanvullende afspraken te maken. Denk aan concrete afspraken over dataformaten, migratieplannen, testscenario’s en verantwoordelijkheden.

Vergeet ook niet dat het onderscheid tussen verboden overstapkosten en toegestane beëindigingsvergoedingen in de praktijk tot discussie kan leiden. Hoe scherper u dit vooraf contractueel regelt, hoe sterker u staat bij een daadwerkelijke exit.

Uw onderhandelingspositie is nu — aan het begin van een relatie, of terwijl de samenwerking goed loopt — vele malen sterker dan op het moment dat u daadwerkelijk wilt vertrekken. Wacht daar niet mee.