Het Data Act-switchrecht is de afdwingbare bevoegdheid die Verordening (EU) 2023/2854 (de Data Act) aan cloudafnemers toekent om van clouddienstverlener te wisselen zonder buitensporige technische of contractuele belemmeringen. Voor organisaties die momenteel op Microsoft 365 draaien, markeert 12 september 2025 het moment waarop deze rechten volledig afdwingbaar worden. De migratie naar een soevereine omgeving zoals Nextcloud Hub is niet langer uitsluitend een technische keuze, maar ook een juridische verplichting voor aanbieders om te faciliteren.
Wat de Data Act artikelen 23–30 concreet vereisen van Microsoft
De switchverplichtingen in de Data Act zijn neergelegd in artikelen 23 tot en met 30 en richten zich direct tot clouddienstaanbieders, waaronder Microsoft. Artikel 25 verbiedt contractuele clausules die overstap onredelijk bemoeilijken, artikel 26 verplicht tot volledige data-export in een gangbaar machineleesbaar formaat, en artikel 29 legt de verplichting op om overstapkosten gefaseerd naar nul terug te brengen.
Voor Microsoft 365-afnemers betekent dit concreet: alle e-maildata inclusief mapstructuur en metadata, SharePoint-documentbibliotheken inclusief versiegeschiedenissen, Teams-gesprekslogboeken, kalender- en contactgegevens moeten beschikbaar worden gesteld voor export. De termijn hiervoor is maximaal 30 werkdagen na een formeel verzoek. Microsoft biedt hiervoor al gedeeltelijk tooling via de Microsoft 365 Admin Center en het Export-framework, maar de volledigheid van metadata-export is een punt van aandacht dat organisaties contractueel moeten vastleggen.
Contractuele belemmeringen die na 12 september 2025 onrechtmatig zijn
Na de toepasselijkheidsdatum zijn een aantal veelvoorkomende clausules in Microsoft 365-enterprise-overeenkomsten strijdig met de Data Act.
| Clausuletype | Waarom strijdig met de Data Act | Relevante bepaling |
|---|---|---|
| Exportbeperkingen op metadata | Artikel 26 verplicht export van álle gegevens inclusief metadata; beperking is niet toegestaan | Artikel 26 lid 1 |
| Exittarieven boven de werkelijke kosten | Artikel 29 schrijft gefaseerde afbouw naar nultarief voor | Artikel 29 lid 2 |
| Verplichting tot gebruik van propriëtaire migratietooling | Artikel 23 vereist open, interoperabele exportmechanismen | Artikel 23 lid 3 |
| Contractuele minimumperiode als exitdrempel | Artikel 25 verbiedt clausules die overstap onredelijk vertragen | Artikel 25 lid 1 sub b |
Juridische teams moeten bestaande Microsoft-contracten doorlichten op bovenstaande patronen. De Autoriteit Consument & Markt (ACM) is in Nederland aangewezen als nationale handhavingsautoriteit voor de Data Act. De ACM heeft publiekelijk bevestigd dat zij actief toezicht zal houden en handhavingsmaatregelen kan treffen bij vertragingstactieken of het kunstmatig opwerpen van exittarieven.
“De ACM zal actief toezien op naleving van de switchverplichtingen in de Data Act. Aanbieders die dataportering vertragen of belemmeringen opwerpen, riskeren handhavingsmaatregelen.” ACM, publieke toelichting Data Act-toezicht
Organisaties die met Microsoft in een dispuut belanden over data-export kunnen een formele klacht indienen bij de ACM. CISPE (Cloud Infrastructure Services Providers in Europe), de branchevereniging voor Europese cloudaanbieders, benadrukt dat de switchbepalingen van de Data Act precies dit doel dienen.
“Switching costs and lock-in are the single biggest obstacle to a competitive cloud market in Europe. The Data Act’s porting provisions are the legal lever that has been missing.” Francisco Mingorance, Secretary General CISPE
Functionele equivalentie bij migratie naar Nextcloud Hub
Artikel 30 lid 1 van de Data Act introduceert de eis van functionele equivalentie na overstap: de nieuwe omgeving moet de kernfunctionaliteiten van de vorige dienst kunnen waarmaken. Dit roept de praktische vraag op hoe Nextcloud Hub zich verhoudt tot Microsoft 365.
Nextcloud Hub dekt de volgende functionaliteitsgebieden zonder aanvullend maatwerk: bestandsopslag en -synchronisatie, documentbewerking via Collabora Online of ONLYOFFICE, gedeelde agenda’s en contactbeheer, e-mailbeheer via de ingebouwde mail-app, videovergaderen via Talk, en taakoverzichten. Voor gereguleerde organisaties biedt Nextcloud het cruciale voordeel dat het volledig on-premise of in een Zwitserse jurisdictie kan worden gehost, waarmee zowel GDPR- als NIS-2-verplichtingen beter zijn te borgen.
Er zijn echter functionaliteiten waarbij aanvullende keuzes nodig zijn:
- Power Automate-workflows: vereist vervanging door open automatiseringstools zoals n8n of Apache Airflow.
- Teams-telefonie (PSTN-integratie): vereist een eigen SIP-trunk of vervanging door een VoIP-oplossing.
- Power BI-rapportages: vereist vervanging door Metabase, Grafana of vergelijkbare open-source BI-tooling.
- Dynamics 365-integraties: vereisen CRM-migratie naar een platform als SuiteCRM of ERP-afhankelijke keuzes.
De eis van functionele equivalentie uit artikel 30 geldt op het niveau van de kerndienst, niet op het niveau van elk geïntegreerd platform. Organisaties met een zwaar gecustomiseerde Microsoft 365-omgeving moeten dit onderscheid helder vastleggen in hun exitplan, zodat de functionele scope van de vergelijking juridisch verdedigbaar is.
Gartner schatte in 2023 dat organisaties gemiddeld 2,5 tot 3,5 jaar nodig hebben om volledige cloudmigraties te voltooien, inclusief datakwaliteitsvalidatie en functie-pariteit. Een gefaseerde migratiestrategie, waarbij Nextcloud Hub parallel aan Microsoft 365 wordt uitgerold, vermindert het risico op functionaliteitsverlies tijdens de overgangsperiode.
De Digital Omnibus-uitzondering: wanneer vervalt het switchrecht?
De Digital Omnibus 2025, een pakket Europese aanpassingen aan bestaande digitale wetgeving, introduceert een belangrijke uitzondering op de switchverplichtingen van de Data Act: aantoonbaar op maat ontwikkelde PaaS- of SaaS-diensten kunnen buiten de scope van artikelen 23 tot en met 26 vallen.
Voor de meeste Microsoft 365-afnemers is deze uitzondering niet van toepassing. Standaard Microsoft 365-abonnementen (E1, E3, E5) zijn generieke producten zonder uitzonderingsgrond. De uitzondering is potentieel relevant wanneer een organisatie Azure-diensten heeft laten inrichten als een volledig gedocumenteerde maatwerkomgeving, waarbij Microsoft aantoonbaar als ontwikkelpartner heeft gefungeerd en de dienst niet als standaardproduct beschikbaar is.
De Europese Commissie heeft aangegeven dat de uitzondering beperkt moet worden geïnterpreteerd om te voorkomen dat aanbieders lock-in kunstmatig kunnen bestendigen via schijnmaatwerk. CISPE ondersteunt deze beperkte interpretatie actief in zijn lobbystandpunten.
Wat inkoopafdelingen moeten opnemen in nieuwe cloudcontracten
Organisaties die nu nieuwe cloudcontracten sluiten of bestaande contracten verlengen, kunnen de switchrechten proactief borgen. De sleutelelementen die in aanbestedingsdocumenten en verwerkersovereenkomsten thuishoren, zijn de volgende.
Ten eerste: een expliciete verwijzing naar artikelen 23 tot en met 26 van de Data Act, met de bepaling dat de aanbieder een gedocumenteerd en jaarlijks geactualiseerd exitplan overlegt. Ten tweede: specificatie van exportformaten per gegevenscategorie, inclusief metadata, en de maximale levertijd van 30 werkdagen. Ten derde: een nultariefgarantie voor dataoverdracht na de overgangsperiode die artikel 29 voorschrijft. Ten vierde: een bepaling dat de aanbieder geen nieuwe propriëtaire afhankelijkheden introduceert zonder schriftelijke instemming van de afnemer. Ten vijfde: verwijzing naar de ACM als bevoegde handhavingsautoriteit en de mogelijkheid voor de afnemer om handhaving te initiëren zonder dat dit als contractbreuk wordt aangemerkt.
Voor overheidsorganisaties die aanbestedingsplichtig zijn, is het verstandig deze eisen al in het programma van eisen op te nemen, zodat inschrijvers hun compliancy aantoonbaar kunnen maken. De Europese cloudmarkt wordt voor circa 72% gedomineerd door drie Amerikaanse aanbieders, zo blijkt uit cijfers van Synergy Research Group uit 2024, wat de onderhandelingspositie van individuele afnemers beperkt. Collectieve inkoopstrategieën via inkoopcoöperaties of raamcontracten kunnen de positie versterken. Meer dan 75% van de Europese overheidsinstanties gebruikt cloudinfrastructuur van niet-Europese hyperscalers, aldus ENISA in haar Cloud Cybersecurity Market Analysis van 2023. Dit cijfer illustreert waarom de Data Act-switchrechten voor de publieke sector van bijzondere betekenis zijn.
Stappenplan: het switchrecht formeel inroepen jegens Microsoft
Het formeel inroepen van het Data Act-switchrecht verloopt via een gestructureerde procedure die juridische, technische en contractuele stappen combineert.
Begin met een contractaudit waarbij alle bestaande Microsoft-overeenkomsten worden getoetst aan de verboden clausuletypes uit artikel 25. Stel vervolgens een formeel schriftelijk exportverzoek op, gericht aan de contractverantwoordelijke bij Microsoft, met expliciete verwijzing naar artikel 26 van de Data Act en een opgave van de gewenste gegevensscope inclusief metadata. Documenteer de datum van dit verzoek zorgvuldig: de 30-werkdagentermijn loopt vanaf dit moment. Parallel hieraan richt het IT-team de ontvangende Nextcloud Hub-omgeving in, inclusief importworkflows voor e-mail (via IMAP-migratie), bestanden (via WebDAV of directe bestandsimport) en kalenderdata (via CalDAV). Na afloop van de exportperiode voert het juridisch team een volledigheidscontrole uit op de geëxporteerde data. Als Microsoft de export vertraagt of onvolledig levert, is een klacht bij de ACM de aangewezen route. De ACM beschikt over bevoegdheden om naleving af te dwingen, inclusief het opleggen van boetes.
Een succesvolle migratie naar Nextcloud Hub elimineert tegelijkertijd de jurisdictionele risico’s van de Amerikaanse CLOUD Act en de Patriot Act, versterkt de GDPR-compliancy door volledige datasoevereiniteit te herstellen, en legt de basis voor quantum-veilige versleuteling op een platform waarvan de broncode volledig auditeerbaar is.
FAQ: Data Act switchrecht en Microsoft 365 migratie
Vanaf wanneer is het Data Act-switchrecht afdwingbaar jegens Microsoft 365?
De switchverplichtingen uit de Data Act (artikelen 23–26) zijn per 12 september 2025 van toepassing op bestaande en nieuwe cloudcontracten. Vanaf die datum kunnen organisaties formeel eisen dat Microsoft volledige data-export faciliteert zonder buitensporige overstapkosten.
Vallen zwaar gecustomiseerde Microsoft 365-omgevingen onder de Digital Omnibus-uitzondering?
De Digital Omnibus 2025-wijziging introduceert een uitzondering voor aantoonbaar op maat gemaakte PaaS/SaaS-diensten. Standaard Microsoft 365-licenties vallen hier niet onder. Specifieke Azure-maatwerkomgevingen kunnen mogelijk wel onder de uitzondering vallen, maar dit vereist juridische toetsing per contract.
Welke data moet Microsoft exporteren op basis van het switchrecht?
Artikel 26 van de Data Act verplicht tot export van alle gebruikersgegevens in een gangbaar, machineleesbaar formaat. Voor Microsoft 365 omvat dit e-mail inclusief metadata, SharePoint-documentbibliotheken, Teams-gespreksdata en kalenderdata. Functionele metadata zoals rechtenstructuren en tijdstempels vallen expliciet onder de exportplicht.
Hoe borgt een inkoopteam de switchrechten in een nieuwe cloudaanbesteding?
Neem in het programma van eisen expliciete verwijzingen op naar artikel 23–26 van de Data Act en vereis dat de aanbieder een gedocumenteerd exitplan overlegt vóór contractsluiting. Verwerkersovereenkomsten moeten exportformaten, termijnen van maximaal 30 werkdagen en een nultariefgarantie voor dataoverdracht bevatten.
Is Nextcloud Hub een functioneel equivalent van Microsoft 365 voor gereguleerde sectoren?
Nextcloud Hub dekt de kernfunctionaliteiten: bestandsopslag, documentbewerking via Collabora of ONLYOFFICE, e-mail, agenda en videovergaderen. Specifieke Microsoft-integraties zoals Power Automate of Dynamics 365 vereisen vervangende of maatwerk-oplossingen. Voor gereguleerde sectoren biedt Nextcloud het voordeel van on-premise hosting en volledige controle over versleuteling en toegang.
