Dataforordningen læses som en forordning om forbundne produkter og industridata, og det meste af dens tekst er det også. Men ét kapitel i den handler om enhver virksomhed, der hoster software for kunder, og det kapitel har fundet anvendelse siden den 12. september 2025 uden overgang, uden størrelsestærskel og uden registrering. En virksomhed, der sælger SaaS, er en udbyder af en databehandlingstjeneste efter artikel 2, nr. 8, som dækker infrastruktur, platforme og applikationer leveret over nettet fra delte, skalerbare ressourcer, og kapitel VI får den til at fjerne enhver hindring for, at en kunde forlader den. Denne artikel læser kapitel VI for en SaaS-virksomhed, vilkår for vilkår, dernæst gebyrerne og de tekniske pligter, og dernæst kapitel II for en virksomhed, hvis produkt er et forbundet produkt eller en relateret tjeneste; forordningens 96 rækker, der binder en dataindehaver, en bruger, en tredjepart, en udbyder af databehandlingstjenester, en fabrikant eller en leverandør af intelligente kontrakter, er et datasæt på seks sprog, hver række med sin artikel.

Hvem I er efter den, og hvorfor størrelsen ikke hjælper

Kapitel VI nævner to parter: udbyderen af databehandlingstjenester og dens kunde. Udbyderen er enhver virksomhed, der tilbyder en tjeneste, som giver netværksadgang efter behov til en delt pulje af computerressourcer, og forordningen nævner de tre leveringsmodeller ved navn i sine betragtninger: infrastruktur, platform og software. En SaaS-virksomhed er en udbyder af en databehandlingstjeneste, og det er den cloud, den kører på, også, hver over for sine egne kunder. Kapitel II, kapitlet om forbundne produkter, har undtagelsen i artikel 7, stk. 1, for mikrovirksomheder og små virksomheder; kapitel VI har ingen, kun undtagelsen i artikel 31 for tjenester, der er skræddersyet til én kunde og ikke udbydes i stor skala, og for ikke-produktionsversioner til test, og selv dér forpligter artikel 31, stk. 3, udbyderen til at fortælle den kommende kunde, hvilke pligter der ikke gælder. En virksomhed, der hoster ét produkt for mange kunder, bærer kapitel VI fuldt ud, uanset antallet af ansatte.

De ni kontraktvilkår i artikel 25, stk. 2

Artikel 25, stk. 1, vil have kundens skifterettigheder og udbyderens pligter i en skriftlig kontrakt, tilgængelig før underskrift i en form, kunden kan gemme og gengive. Artikel 25, stk. 2, opregner, hvad den skal indeholde, og listen er tjeklisten. Ét: et vilkår, der lader kunden skifte til en anden udbyder eller flytte alt til egen infrastruktur inden for en overgangsperiode på højst 30 kalenderdage, hvor udbyderen bistår, holder tjenesten kørende, nævner de kendte risici for kontinuiteten og holder dataene sikre. To: en pligt til at støtte kundens exitstrategi med alle relevante oplysninger. Tre: et vilkår om, hvornår kontrakten anses for opsagt, ved gennemført skift eller ved udløbet af opsigelsesfristen, hvor kunden kun ønsker sletning. Fire: en maksimal opsigelsesfrist for at indlede skiftet på højst to måneder. Fem: en udtømmende specifikation af de kategorier af data og digitale aktiver, der kan flyttes, som minimum alle eksporterbare data. Seks: en udtømmende specifikation af de data, der er specifikke for udbyderens interne funktion og er undtaget, hvor forretningshemmeligheder er i fare, uden at hindre skiftet. Syv: en hentningsperiode på mindst 30 kalenderdage efter overgangsperioden. Otte: en garanti for fuld sletning af kundens eksporterbare data og aktiver efter hentningsperioden, når skiftet er lykkedes. Ni: skiftegebyrerne inden for artikel 29. Artikel 25, stk. 3, tilføjer kundens meddelelse om, hvad den vil gøre ved opsigelsesfristens udløb, artikel 25, stk. 4, udbyderens pligt til inden for 14 arbejdsdage at sige, at overgangsperioden er teknisk umulig, og tilbyde et alternativ på højst syv måneder, og artikel 25, stk. 5, kundens ret til at forlænge overgangsperioden én gang.

Oplysninger, gebyrer og den dag, gebyrerne ophører

Artikel 26 lader udbyderen give kunden skifte- og flytteprocedurerne, metoderne, formaterne og de kendte begrænsninger og en henvisning til et onlineregister, den selv hoster, med datastrukturerne, formaterne, standarderne og de åbne specifikationer, som de eksporterbare data er tilgængelige i; artikel 30, stk. 4, lader det register holde ajour. Artikel 28 sætter to ting på webstedet: den jurisdiktion, som infrastrukturen bag hver tjeneste er underlagt, og en generel beskrivelse af de tekniske, organisatoriske og kontraktlige foranstaltninger mod myndighedsadgang fra lande uden for Unionen, som ville stride mod EU-retten eller en medlemsstats ret, med webstedet nævnt i hver kontrakt. Artikel 27 beder alle parter, destinationsudbyderen inklusive, om at samarbejde i god tro. Artikel 29 er pengene: fra den 11. januar 2024 til den 12. januar 2027 kan en udbyder opkræve nedsatte skiftegebyrer, ikke mere end de omkostninger, der er direkte knyttet til skiftet, og fra den 12. januar 2027 ingen; før kontrakten får den kommende kunde oplyst standardgebyrerne, bøderne for tidlig opsigelse og de nedsatte skiftegebyrer, og hvor et skift er meget komplekst eller umuligt uden betydelige indgreb, også det, i et særligt afsnit på webstedet.

De tekniske pligter, efter tjenestens art

Artikel 30 deler udbyderne i to. Infrastrukturtjenester, de skalerbare beregnings-, lagrings- og netværksressourcer, som kunden kører sin egen software på, skylder efter artikel 30, stk. 1, alle rimelige foranstaltninger, så kunden opnår funktionel ækvivalens på destinationstjenesten, med kapaciteter, dokumentation, support og værktøjer. Enhver anden tjeneste, SaaS inklusive, skylder efter artikel 30, stk. 2, åbne grænseflader, der er tilgængelige for alle kunder og destinationsudbydere uden gebyr, med tilstrækkelige oplysninger til at skrive software, der taler med tjenesten, af hensyn til portabilitet og interoperabilitet, og efter artikel 30, stk. 3, kompatibilitet med de fælles specifikationer eller harmoniserede standarder for interoperabilitet senest 12 måneder efter, at deres referencer er offentliggjort i Unionens centrale register; så længe sådanne referencer ikke findes, lader artikel 30, stk. 5, udbyderen efter anmodning eksportere alle eksporterbare data i et struktureret, almindeligt anvendt og maskinlæsbart format. Artikel 34 anvender de samme regler, hvor en kunde bruger to tjenester parallelt, med udgående datagebyrer begrænset til de udgående omkostninger. Artikel 33 og 36 tilføjer væsentlige krav for deltagere, der udbyder data i dataområder, og for leverandørerne af intelligente kontrakter, der eksekverer datadelingsaftaler, de sidste med en overensstemmelsesvurdering og en EU-overensstemmelseserklæring.

Dataindehaverens side, og hvad I skal gøre med det

En virksomhed, hvis produkt er et forbundet produkt, eller en relateret tjeneste, der får et sådant produkt til at gøre det, det gør, er også dataindehaver efter kapitel II. Artikel 3, stk. 1, vil have produktet og tjenesten designet, så deres data, med de metadata der skal til for at læse dem, som standard er tilgængelige for brugeren, let, sikkert, uden gebyr, i et struktureret og maskinlæsbart format og direkte, hvor det er muligt, for produkter og tjenester bragt i omsætning efter den 12. september 2026; artikel 4, stk. 1, gør de umiddelbart tilgængelige data tilgængelige for brugeren på anmodning, artikel 5, stk. 1, stiller dem til rådighed for en tredjepart, som brugeren udpeger, og artikel 6, stk. 2, opregner otte ting, den tredjepart ikke må gøre med dem, fra profilering til at bygge et konkurrerende produkt. Kapitel III tilføjer fair, rimelige og ikkediskriminerende vilkår efter artikel 8 og en rimelig kompensation efter artikel 9, overalt hvor dataene skal stilles til rådighed efter EU-retten. Hvad I skal gøre med det: sæt de ni vilkår ind i kontraktskabelonen, offentliggør procedurerne, registret og angivelsen efter artikel 28, pris skiftet til kostpris med den 12. januar 2027 i planen, åbn grænsefladerne, og design, hvis I bygger forbundne produkter, den næste version, så den udleverer sine data til brugeren. Rækkerne står ved siden af de DORA-kontraktvilkår, en finansiel kunde alligevel vil bede om, de GDPR-forpligtelser, der gælder for personoplysninger i det eksporterede datasæt, og Cyber Resilience Act, som når det samme forbundne produkt fra sikkerhedssiden; StandardOS holder hver række i kataloget som en position med ejer og dokumentation, sådan som den holder de andre rammer.