Een exit-strategie, ook voor je nieuwe cloud

Module 8: Back-ups, exit en beheer · Leestijd: 11 minuten

Leerdoel: Na deze les kun je een exit-strategie opstellen en testen, zodat je ook je nieuwe aanbieder later zonder schade kunt verlaten, en weet je welke rechten de AVG en de Europese Data Act je daarbij geven.

Kernbegrippen: exit-strategie, exit-test, exportformaat, open standaard, opzegtermijn, overgangsperiode, gegevens terugleveren en verwijderen, art. 28 lid 3 sub g AVG, EU Data Act (Verordening (EU) 2023/2854), overstaprecht, overstapkosten, domeinnaam in eigen beheer

Waarom nu al nadenken over vertrekken?

Je bent net overgestapt, of nog bezig. Waarom zou je nu al nadenken over de volgende overstap? Omdat je de les uit deze cursus anders over vijf jaar opnieuw leert. Bij je oude dienst liep je tegen muren aan (les 2.3): bestanden in een eigen formaat, chats die niet mee konden, inloggen via een account dat je wilde opheffen. Een exit-strategie zorgt dat je die muren bij je nieuwe dienst niet opnieuw bouwt.

Er zijn ook redenen die je niet zelf kiest: de aanbieder wordt overgenomen (bijvoorbeeld door een bedrijf buiten de EU, zodat de vragen uit les 2.1 ineens anders uitvallen), verhoogt zijn prijzen sterk, stopt met een dienst, of gaat failliet. Wie dan een plan heeft, kan rustig kiezen. Wie geen plan heeft, moet onder tijdsdruk migreren.

De drie lagen van een exit-strategie

Laag één, technisch: kun je je gegevens eruit krijgen, in een bruikbaar formaat?

Per onderdeel leg je vast hoe je het exporteert en in welk formaat. Bij een dienst die open standaarden gebruikt (les 2.2), is dat overzichtelijk:

Laag twee, contractueel: wat staat er over vertrek in je afspraken?

Lees bij het afsluiten, niet bij het opzeggen: de opzegtermijn, of je tijdens die termijn nog volledig bij je gegevens kunt, hoe lang je gegevens na het einde nog op te halen zijn, en wanneer en hoe ze worden verwijderd. Wil je een bevestiging van verwijdering krijgen?

Laag drie, organisatorisch: wie weet hoe het moet?

Een plan dat alleen in het hoofd van één collega zit, is geen plan. Zet de exit-strategie in een document bij je administratie, met de beheerders en de inloggegevens van het beheeraccount (in de wachtwoordmanager, les 7.4).

Wat de AVG regelt

Gebruik je de dienst voor persoonsgegevens van anderen (klanten, leden, medewerkers), dan is de aanbieder je verwerker en sluit je een verwerkersovereenkomst (les 9.2). Artikel 28 lid 3 sub g van de AVG zegt dat in die overeenkomst moet staan dat de verwerker na afloop van de dienst, naar keuze van jou, alle persoonsgegevens wist of aan je teruggeeft, en bestaande kopieën verwijdert, tenzij een wet opslag verplicht. Dat is je wettelijke basis om bij vertrek je gegevens terug te krijgen en ze daarna te laten verwijderen. Vraag die verwijdering ook echt, en vraag om een bevestiging.

Dit is uitleg, geen juridisch advies. Twijfel je over je eigen situatie, vraag het dan aan een jurist of je functionaris gegevensbescherming.

Wat de EU Data Act regelt

Sinds 12 september 2025 geldt de EU Data Act (Verordening (EU) 2023/2854). Hoofdstuk VI (artikel 23 tot en met 31) gaat over overstappen tussen clouddiensten en geldt voor aanbieders van zogenaamde gegevensverwerkingsdiensten, waaronder de gangbare online diensten voor opslag, mail en samenwerken. De hoofdpunten:

• De aanbieder moet overstappen mogelijk maken en drempels wegnemen (art. 23), en de afspraken over overstappen staan in een schriftelijk contract (art. 25).
• De opzegtermijn om een overstap te starten is ten hoogste twee maanden (art. 25 lid 2 sub d).
• Daarna volgt een overgangsperiode van ten hoogste 30 kalenderdagen waarin de aanbieder helpt en de dienst blijft werken (art. 25 lid 2 sub a). Is dat technisch niet haalbaar, dan moet de aanbieder dat binnen 14 werkdagen melden en mag hij een langere periode van ten hoogste zeven maanden voorstellen (art. 25 lid 4). Je mag de overgangsperiode één keer verlengen (art. 25 lid 5).
• Na de overgangsperiode heb je minstens 30 kalenderdagen om je gegevens op te halen (art. 25 lid 2 sub g), en daarna moet de aanbieder alles volledig wissen (sub h).
• De aanbieder moet vooraf beschrijven welke gegevens je kunt meenemen en in welke formaten (art. 25 lid 2 sub e en art. 26).
• Overstapkosten: tot 12 januari 2027 mag een aanbieder alleen verlaagde kosten rekenen die niet hoger zijn dan zijn eigen kosten; vanaf 12 januari 2027 mag hij helemaal geen overstapkosten meer rekenen (art. 29). Gewone abonnementskosten en een boete voor voortijdig opzeggen vallen daar niet onder.

Er zijn uitzonderingen, bijvoorbeeld voor diensten die grotendeels op maat voor één klant zijn gebouwd, en voor testversies (art. 31). De Data Act maakt overstappen dus makkelijker, maar hij exporteert je gegevens niet voor je. Een exportformaat dat niemand anders kan lezen, blijft een probleem; daarom tellen open standaarden nog steeds.

Je domeinnaam: de belangrijkste sleutel

Eén ding maakt elke exit veel makkelijker: je eigen domeinnaam, in je eigen beheer. Als je mailadres info@example.com is en de domeinnaam op naam van je organisatie staat, kun je de mail naar elke aanbieder verhuizen door de MX-records te wijzigen (les 4.3). Is je adres bakkerijdekorrel@gmail.com of zit de domeinnaam vast in het account van je aanbieder, dan ben je bij vertrek je adres kwijt of afhankelijk van zijn medewerking.

Controleer dus:

• staat de domeinnaam op naam van de organisatie (houder), niet van een ex-medewerker of webbouwer;
• weet je bij welke registrar hij staat en hoe je de verhuiscode opvraagt;
• gebruikt je cloud een adres op je eigen domein, zoals cloud.example.com, zodat apps en links niet afhangen van een adres van de aanbieder.

De exit-test

Een exit-strategie test je net als een back-up: door het echt te doen, op kleine schaal. Bij De Korrel doet Ruud het één keer per jaar, op een rustige middag:

1. Hij exporteert één map met documenten, de gedeelde agenda "Bezorging" (ICS) en het adresboek "Leveranciers" (vCard).
2. Hij opent die bestanden in een andere omgeving: een ander agendaprogramma, een ander adresboek, een andere office.
3. Hij controleert: komen de afspraken met de juiste tijden en herhalingen door? Staan de telefoonnummers bij de juiste namen? Openen de documenten met de juiste opmaak?
4. Hij noteert wat niet werkte, en past de strategie aan.

In opdracht A8.2 laat je een programma dat automatisch controleren.

In de praktijk: zo ziet het eruit bij een aanbieder

Een WebOké Nextcloud werkt met open standaarden: je bestanden haal je met de desktop-app of WebDAV op, agenda's exporteer je als ICS en contacten als vCard, en documenten staan als docx, xlsx, pptx of odt in je bestanden. De handleiding beschrijft ook hoe je van een andere Nextcloud-aanbieder overstapt met de desktop-app en ICS- en vCard-bestanden; dezelfde weg werkt de andere kant op. Mail staat in een mailpakket dat je met IMAP naar elke andere aanbieder kunt kopiëren. Domeinnamen kun je met een verhuiscode naar een andere registrar verhuizen.

Bij andere Europese aanbieders werkt het vergelijkbaar, als ze dezelfde open standaarden gebruiken. Vraag het na vóór je tekent.

Samenvatting

• Plan je vertrek bij de start: technisch (exportformaten), contractueel (opzegging, teruglevering, verwijdering) en organisatorisch (wie weet hoe).
• Art. 28 lid 3 sub g AVG: na afloop gegevens teruggeven of wissen, naar jouw keuze.
• De Data Act: opzegtermijn ten hoogste twee maanden, overgangsperiode ten hoogste 30 dagen (uitzonderlijk zeven maanden), minstens 30 dagen om gegevens op te halen, en vanaf 12 januari 2027 geen overstapkosten.
• Je eigen domeinnaam in eigen beheer is de belangrijkste sleutel voor elke exit.
• Test je exit één keer per jaar op kleine schaal.

Quiz

Opdracht

Opdracht A8.2: Exit-test met automatische controle. Exporteer uit je nieuwe dienst één agenda (ICS), één adresboek (vCard) en een paar documenten, en upload ze als zip of als losse bestanden. Het programma controleert of de bestanden geldig en in een open of gangbaar formaat zijn, en vergelijkt de tellingen met wat jij opgeeft.

Opdracht E8.2: Je exit-strategie op één pagina. Vul per onderdeel in hoe je exporteert en in welk formaat, zoek in je contract of algemene voorwaarden de opzegtermijn en de afspraken over teruglevering en verwijdering op, en controleer bij wie je domeinnaam op naam staat.

Verder lezen

De stappen in deze artikelen gelden voor de diensten van WebOké; bij andere aanbieders werkt het vergelijkbaar.

• Nextcloud handleiding 13.7: Van Nextcloud Free naar een betaald pakket, of van een andere Nextcloud-aanbieder
• Nextcloud handleiding 14.5: Je Nextcloud op een eigen domein (cloud.jouwbedrijf.nl)
• WebOké handleiding 5.12: Een domein weg verhuizen: verhuiscode (EPP) en transferslot
• WebOké handleiding 11.7: Privacy: je gegevens downloaden of laten verwijderen
• Verordening (EU) 2023/2854 (Data Act), hoofdstuk VI, artikel 23 tot en met 31: https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32023R2854
• AVG (Verordening (EU) 2016/679), artikel 28: https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32016R0679