Jeres SaaS skal kunne forlades: Data Act set fra udbyderen

En udvikler set bagfra følger en uskarp dataeksport på skærmen, ved et skrivebord med en ekstern disk ved siden af tastaturet

Data Act, på dansk dataforordningen, omtales mest som noget, der hjælper kunder med at skifte cloudleverandør. For et softwarehus med et SaaS-produkt er rollen vendt om, for her er det jer, der er udbyderen. Kapitel VI om skift har gældt siden 12. september 2025 for udbydere af databehandlingstjenester, herunder SaaS, uanset hvor de er etableret, når kunderne er i EU. Ordet databehandlingstjenester betyder her cloudtjenester. Kravene rækker ud over vilkårene. Kunden skal kunne få sine data ud og flytte, og det skal produktet kunne bære. Her er kravene oversat til produktopgaver.

Digital Omnibus er en sag i EU, der foreslår lempelser af skiftereglerne, bl.a. for visse skræddersyede tjenester og små og mellemstore virksomheder. Forslaget er ikke vedtaget, så denne artikel beskriver reglerne, som de gælder nu. Kontrollér status, når I planlægger.

Reglerne i korte træk

Ifølge Digitaliseringsstyrelsens vejledning gælder dette for udbydere, her i forenklet form:

Aftalen skal bl.a. indeholde skift, eksporterbare data, opsigelse og overgangsperiode og være tilgængelig, før den indgås.
SaaS og PaaS skal stille åbne grænseflader til rådighed uden beregning, og data skal på anmodning kunne eksporteres i et struktureret, maskinlæsbart format.
Opsigelsesvarslet er højst 2 måneder.
Overgangsperioden er højst 30 kalenderdage. Er det teknisk umuligt, underretter udbyderen kunden inden for 14 arbejdsdage med en begrundelse, og perioden kan højst være 7 måneder. Kunden kan forlænge én gang.
Skiftegebyrer er forbudt fra 12. januar 2027. Vilkårene og gebyrerne er emnet i standardvilkår og skiftegebyrer.
Digitaliseringsstyrelsen fører tilsyn.

Hvordan reglerne konkret rammer jeres aftaler, er et spørgsmål til advokat. Det følgende handler om det tekniske.

Dataeksport som funktion i produktet

Mange SaaS-produkter kan i dag eksportere nogle rapporter og et regneark. Kravet går på kundens data i struktureret, maskinlæsbar form. Prøv det på tre spørgsmål:

Kan I udtrække alle data for én kunde uden en udvikler med databaseadgang?
Er sammenhængene med, altså hvilken ordre der hører til hvilken kunde, og hvilke filer der hører til hvilken sag?
Har I skrevet ned, hvilke felter og formater eksporten indeholder?

Er svaret nej, er det en opgave til køreplanen. Hvor let den er, afhænger af, hvordan kundernes data er adskilt, se multi-tenant eller én installation pr. kunde. Data, der er omfattet af immaterielle rettigheder eller forretningshemmeligheder, er ifølge vejledningen ikke eksporterbare. Det kan være relevant, hvis produktet indeholder jeres egne modeller eller beregninger, og grænsen bør I have en advokat til at se på.

Åbne grænseflader

API står for en programmeringsgrænseflade, og gennem den kan en anden leverandørs system hente data ud af produktet. Reglerne kræver åbne grænseflader uden beregning for SaaS. Har I et API, så gennemgå, om data faktisk kan hentes ud gennem det, og om det er dokumenteret, så en anden leverandør kan bruge det. Har I intet, kan arbejdet lægges sammen med de krav, store kunder allerede stiller, se kravene om SSO, logning og roller. Tag også stilling til, om begrænsninger og prismodeller på jeres API harmonerer med kravet om, at det er uden beregning.

Varsel og overgangsperiode som driftsopgave

Reglerne betyder, at et skift er en proces med frister. Beskriv den som en driftsprocedure:

Hvem hos jer modtager en opsigelse, og hvordan bliver den registreret?
Hvad sker der i overgangsperioden? Produktet skal køre videre, mens data flyttes.
Hvordan slettes data, når overgangen er slut, og hvordan bekræftes det?
Hvem vurderer, om noget er teknisk umuligt, så I kan nå at give begrundet besked inden for fristen?

Lav en prøve med en intern testkunde. Det tager ofte længere tid end forventet at trække én kunde ud, og det er nyttigt at vide, før en rigtig kunde spørger. Prøven viser også, om jeres backup og sletning hænger sammen, når en kunde skal ud.

Undtagelser, I skal kende

Ifølge reglerne er der undtagelser. Skræddersyede tjenester udviklet til én kunde er undtaget fra kravet om funktionel ækvivalens og fra gebyrnedtrapningen, og testtjenester er også undtaget. Undtagelser skal oplyses, før aftalen indgås. Sælger I reelt en standardtjeneste med lidt opsætning, skal I være varsomme med at kalde den skræddersyet, og vurderingen hører til hos advokaten.

Er jeres produkt software til et fysisk produkt, gælder der særlige regler om brugerens adgang til data, ud over dem, der er nævnt her. Vurder det særskilt.

Punkter til køreplanen

En rimelig plan for de fleste softwarehuse er:

Kortlæg, hvad I allerede kan: eksport, API og sletning.
Byg eksport for én kunde ad gangen med dokumenteret format.
Dokumentér grænsefladerne.
Skriv proceduren for opsigelse, overgang og sletning, og prøv den.
Bring vilkårene i orden sammen med advokaten.

Læg punkterne på den tekniske køreplan med en ejer. Kravet om dataudlevering dukker også op hos kunder i den finansielle sektor, se når kunden er en bank. Når I selv skal væk fra en leverandør, er det et andet emne; denne artikel handler om jeres rolle som den, kunden forlader.

Det skal I lade være med

At tro, at et regneark med rapporter er en dataeksport · eksporten skal rumme kundens data i maskinlæsbar form.
At kalde en standardtjeneste skræddersyet for at undgå reglerne · undtagelsen er snæver og skal oplyses før aftalen.
At vente på lempelserne i Digital Omnibus · de er kun foreslået.
At bygge eksporten uden at prøve den · den viser først sine huller, når en kunde skal ud.

Det skal I kræve af den eksterne

☐ En kortlægning af eksport, grænseflader og sletning i dag.
☐ Konkrete punkter på køreplanen med ejer.
☐ En skrevet procedure for opsigelse og overgang.
☐ En prøve med en testkunde, før reglerne testes af en rigtig kunde.
☐ Tydelige markeringer af det, advokaten skal vurdere.

Kilder

Senest gennemgået: november 2026.

Næste skridt

Læs også: Kan I genskabe produktet? · Regler for softwarevirksomheder

→ Kontakt · Tlf. 70 13 63 23 · Ekstern CTO hos Nielco IT

Skrevet af John Nielsen, indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Om John Nielsen · LinkedIn

Mangler I en CTO?

Fortæl kort, hvad der fylder: produktet, teamet, leverandøren eller en kunde, der stiller krav. Rådgivningen er uvildig og uden bindinger til leverandører, så svaret tager udgangspunkt i jeres situation.