Articles 25 and 29 Data Act: the clauses every SaaS contract has needed since 12 September 2025, and why switching charges fall to zero on 12 January 2027

Key takeaways

• Covered is every „Datenverarbeitungsdienst“ – data processing service – within the meaning of Article 2(8): „eine digitale Dienstleistung, die einem Kunden bereitgestellt wird und einen flächendeckenden und auf Abruf verfügbaren Netzzugang zu einem gemeinsam genutzten Pool konfigurierbarer, skalierbarer und elastischer Rechenressourcen … ermöglicht“ – a digital service enabling ubiquitous, on-demand network access to a shared pool of configurable, scalable and elastic computing resources. That is the definition of cloud services including software as a service.
• Chapter VI, which contains Articles 23 to 31, has no exemption for micro, small or medium-sized enterprises. The size exemption in Article 7(1) applies only to the Chapter II obligations on connected products.
• Article 25(2)(a): transfer „unverzüglich und in keinem Fall zu einem späteren Zeitpunkt als nach Ablauf der verbindlichen Übergangsfrist von höchstens 30 Kalendertagen ab Ablauf der in Buchstabe d genannten maximalen Kündigungsfrist“ – without undue delay and in any event within a mandatory transitional period of at most 30 calendar days after the maximum notice period.
• Article 25(2)(d): „eine maximale Kündigungsfrist für die Einleitung des Wechsels, die zwei Monate nicht überschreiten darf“ – a maximum notice period of two months. Point (g): „eine Mindestfrist für den Datenabruf von mindestens 30 Kalendertagen“ – a minimum retrieval period of at least 30 calendar days after the transitional period.
• Article 29(2) and (3): until 12 January 2027 only „ermäßigte Wechselentgelte“ – reduced switching charges – are allowed, which may not exceed „die Kosten, die dem Anbieter von Datenverarbeitungsdiensten im unmittelbaren Zusammenhang mit dem betreffenden Wechsel entstehen“, the costs directly linked to the switching concerned. After that, zero.
• Article 31(1) exempts services „bei denen die meisten zentralen Funktionen auf die spezifischen Bedürfnisse eines einzelnen Kunden zugeschnitten wurden“ – custom-built for a single customer – from some obligations, and paragraph 2 exempts test and evaluation versions „für einen begrenzten Zeitraum“; both must be disclosed to the customer before the contract under paragraph 3.
• Article 40 leaves penalties to the Member States; the Regulation itself names no fine range. This article therefore names none.

A regulation with no size threshold for cloud providers

Regulation (EU) 2023/2854 on harmonised rules on fair access to and use of data, the Data Act, entered into force on 11 January 2024 and applies under Article 50 second paragraph „ab dem 12. September 2025“ – from 12 September 2025. Its Chapter VI, switching between data processing services, is addressed to every provider of a data processing service, regardless of size, of whether it is established in the Union and of whether its customers are consumers or businesses. It binds a software-as-a-service provider with thirty employees in the same way as a hyperscaler.

This article reproduces Article 2(8), Article 23, Article 25, Article 29, Article 31 and Article 50 of the Regulation in the German language version of the Official Journal (OJ L, 2023/2854, 22.12.2023) as made available by the Publications Office of the European Union, with English renderings alongside. The German text is quoted because it is the version the German authorities and courts apply.

Article 2(8): what a data processing service is

Article 2(8) defines the data processing service as „eine digitale Dienstleistung, die einem Kunden bereitgestellt wird und einen flächendeckenden und auf Abruf verfügbaren Netzzugang zu einem gemeinsam genutzten Pool konfigurierbarer, skalierbarer und elastischer Rechenressourcen zentralisierter, verteilter oder hochgradig verteilter Art ermöglicht, die mit minimalem Verwaltungsaufwand oder minimaler Interaktion des Diensteanbieters rasch bereitgestellt und freigegeben werden können“ – a digital service provided to a customer that enables ubiquitous and on-demand network access to a shared pool of configurable, scalable and elastic computing resources of a centralised, distributed or highly distributed nature that can be rapidly provisioned and released with minimal management effort or service provider interaction. The definition follows the standard description of cloud computing and covers infrastructure, platform and software as a service alike. Anyone who provides an application as a subscription over the network and holds customer data there provides a data processing service.

Article 7(1): why the SME exemption does not help here

The Data Act does contain a size exemption, and it is regularly cited in the wrong place. Article 7(1) exempts data „die bei der Nutzung von vernetzten Produkten generiert werden, die von einem Kleinstunternehmen oder einem Kleinunternehmen hergestellt oder konzipiert werden“ – generated by connected products manufactured or designed by a micro or small enterprise. The sentence begins „Die Pflichten nach diesem Kapitel“ – the obligations of this Chapter – and that Chapter is Chapter II, data sharing for connected products. Chapter VI, where Articles 23 to 31 sit, has no corresponding provision. The only exemptions from the switching obligations are in Article 31, and they attach to the type of service, not to the size of the provider.

Article 23: the duty to remove obstacles

Article 23 first sentence obliges providers of data processing services to take „die in den Artikeln 25, 26, 27, 29 und 30 vorgesehenen Maßnahmen“ – the measures provided for in Articles 25, 26, 27, 29 and 30 – „um es Kunden zu ermöglichen, zu einem Datenverarbeitungsdienst, der die gleiche Dienstart abdeckt, die von einem anderen Anbieter von Datenverarbeitungsdiensten erbracht wird, oder zu IKT-Infrastruktur in eigenen Räumlichkeiten zu wechseln oder gegebenenfalls mehrere Anbieter von Datenverarbeitungsdiensten gleichzeitig in Anspruch zu nehmen“ – to enable customers to switch to a service of the same type from another provider, to on-premises ICT infrastructure, or to use several providers at once. The second sentence lists what the provider must not in particular impede: terminating the contract after the maximum notice period and successful switching, concluding new contracts with another provider, and transferring „exportierbare Daten des Kunden und digitale Vermögenswerte zu einem anderen Anbieter von Datenverarbeitungsdiensten oder zu einer IKT-Infrastruktur in eigenen Räumlichkeiten …, auch nach Inanspruchnahme eines unentgeltlichen Angebots“ – the customer's exportable data and digital assets to another provider or to on-premises infrastructure, including after use of a free-tier offering.

Article 25: the minimum content of the contract

Article 25(1) requires that rights and obligations on switching are „eindeutig in einem schriftlichen Vertrag festgelegt“ – clearly set out in a written contract – and that the provider makes the contract available to the customer before signature „so …, dass er den Vertrag speichern und reproduzieren kann“, in a way that allows it to be stored and reproduced. Paragraph 2 sets what the contract contains „mindestens“. The points that decide the drafting read:

• Point (a): „Klauseln, die es dem Kunden ermöglichen, auf Verlangen zu einem Datenverarbeitungsdienst zu wechseln, der von einem anderen Anbieter von Datenverarbeitungsdiensten angeboten wird, oder alle exportierbaren Daten und digitalen Vermögenswerte unverzüglich und in keinem Fall zu einem späteren Zeitpunkt als nach Ablauf der verbindlichen Übergangsfrist von höchstens 30 Kalendertagen ab Ablauf der in Buchstabe d genannten maximalen Kündigungsfrist auf eine IKT-Infrastruktur in eigenen Räumlichkeiten zu übertragen“ – clauses allowing the customer, upon request, to switch to another provider or to port all exportable data and digital assets to on-premises infrastructure without undue delay and in any event within a mandatory transitional period of at most 30 calendar days after the maximum notice period – during which the provider „angemessene Unterstützung leistet“ (provides reasonable assistance), maintains „die Kontinuität des Geschäftsbetriebs“ (business continuity) and „für ein hohes Maß an Sicherheit sorgt“ (ensures a high level of security).
• Point (b): „die Verpflichtung des Anbieters von Datenverarbeitungsdiensten, die für die vertraglich vereinbarten Dienste relevante Ausstiegsstrategie des Kunden zu unterstützen, unter anderem durch Bereitstellung aller einschlägigen Informationen“ – the obligation to support the customer's exit strategy, including by providing all relevant information.
• Point (c): a clause that the contract is deemed terminated „nachdem der Wechsel erfolgreich vollzogen ist“ – after successful completion of switching – or after the maximum notice period „wenn der Kunde nicht wechseln, sondern seine exportierbaren Daten und digitalen Vermögenswerte nach Beendigung des Dienstes löschen möchte“ – where the customer does not wish to switch but to erase its data on termination.
• Point (d): „eine maximale Kündigungsfrist für die Einleitung des Wechsels, die zwei Monate nicht überschreiten darf“ – a maximum notice period for initiating switching not exceeding two months.
• Point (e): „eine erschöpfende Auflistung aller Kategorien von Daten und digitalen Vermögenswerten, die während des Wechselvollzugs übertragen werden können, einschließlich mindestens aller exportierbaren Daten“ – an exhaustive specification of all categories of data and digital assets that can be ported, including at least all exportable data.
• Point (f): an exhaustive list of the data categories „für die interne Funktionsweise des Datenverarbeitungsdienstes des Anbieters spezifisch sind“ – specific to the internal functioning of the provider's service – and exempted where there is a risk of breach of trade secrets, „vorausgesetzt solche Ausnahmen behindern oder verzögern den Wechsel nach Artikel 23 Buchstabe c nicht“ – provided such exemptions do not impede or delay the porting process.
• Point (g): „eine Mindestfrist für den Datenabruf von mindestens 30 Kalendertagen“ – a minimum period for data retrieval of at least 30 calendar days – starting after the transitional period.
• Point (h): a clause that „garantiert, dass alle exportierbaren Daten und digitalen Vermögenswerte, die direkt vom Kunden generiert werden oder sich direkt auf den Kunden beziehen, nach Ablauf des unter Buchstabe g genannten Abrufzeitraums … vollständig gelöscht werden, sofern der Wechsel erfolgreich vollzogen ist“ – guaranteeing full erasure of all exportable data and digital assets generated directly by or relating directly to the customer after the retrieval period, provided switching has been completed successfully.
• Point (i): „Wechselentgelte, die von Anbietern von Datenverarbeitungsdiensten gemäß Artikel 29 erhoben werden können“ – the switching charges that may be imposed under Article 29.

Paragraph 3 additionally requires clauses allowing the customer, after the maximum notice period, to notify the provider of its decision to switch to another provider, to switch to on-premises infrastructure, or to erase its exportable data and digital assets. Paragraph 4 permits a longer transitional period where the mandatory maximum is „technisch nicht durchführbar“ – technically unfeasible; the extension must be justified and may not exceed seven months.

The three periods produce a timeline that has to be in every contract: at most two months' notice to initiate switching, then at most 30 calendar days' transitional period for the transfer, then at least 30 calendar days' retrieval period, then erasure. A contract providing a three-month notice period or a transfer „by arrangement“ does not contain the minimum content of Article 25(2).

Article 29: switching charges, reduced until 12 January 2027, then zero

Article 29(1): „Ab dem 12. Januar 2027 dürfen Anbieter von Datenverarbeitungsdiensten für den Vollzug des Anbieterwechsels keine Wechselentgelte mehr erheben.“ – from 12 January 2027 providers may no longer impose any switching charges. Paragraph 2: „Vom 11. Januar 2024 bis zum 12. Januar 2027 dürfen Anbieter von Datenverarbeitungsdiensten bei den Kunden für den Vollzug des Wechsels ermäßigte Wechselentgelte erheben.“ – from 11 January 2024 to 12 January 2027 reduced switching charges may be imposed. Paragraph 3: „Die in Absatz 2 genannten ermäßigten Wechselentgelte dürfen die Kosten, die dem Anbieter von Datenverarbeitungsdiensten im unmittelbaren Zusammenhang mit dem betreffenden Wechsel entstehen, nicht übersteigen.“ – those reduced charges may not exceed the costs directly linked to the switching concerned.

Already today, therefore, no switching charge is permitted that exceeds the direct costs of the switch, and from 12 January 2027 none is permitted at all. Paragraph 4 further requires the provider to inform the prospective customer „vor dem Abschluss eines Vertrags … eindeutig über die möglicherweise erhobenen Standarddienstentgelte und die bei vorzeitiger Kündigung möglicherweise auferlegten Sanktionen sowie über die ermäßigten Wechselentgelte“ – clearly, before conclusion of the contract, about standard service fees, early termination penalties and the reduced switching charges – and paragraph 6 that this information is published „auf einem gesonderten Abschnitt ihrer Website oder auf eine andere leicht zugängliche Weise“ – in a dedicated section of the website or in another easily accessible manner. Price lists and contract templates that provide for an exit fee after 12 January 2027 need changing by that date.

Article 31: what is exempted, and what the customer must be told

Article 31(1) exempts certain obligations for services „bei denen die meisten zentralen Funktionen auf die spezifischen Bedürfnisse eines einzelnen Kunden zugeschnitten wurden, oder wenn alle Komponenten für die Zwecke eines einzelnen Kunden entwickelt wurden und wenn diese Datenverarbeitungsdienste nicht im größeren kommerziellen Maßstab über den Dienstleistungskatalog der Anbieter von Datenverarbeitungsdiensten angeboten werden“ – the majority of whose main features were custom-built for a single customer, or all of whose components were developed for a single customer, and which are not offered at broad commercial scale via the provider's service catalogue. Exempted there, however, are only „die in Artikel 23 Buchstabe d, Artikel 29 und Artikel 30 Absätze 1 und 3 festgelegten Verpflichtungen“ – functional equivalence, switching charges and parts of the technical aspects. Article 25 applies to custom-built services too.

Paragraph 2 fully exempts services „die nicht als Vollversion, sondern zu Test- und Bewertungszwecken und für einen begrenzten Zeitraum bereitgestellt werden“ – provided not as a full version but for testing and evaluation purposes for a limited period. Paragraph 3 requires in both cases that the provider informs the prospective customer „vor dem Abschluss eines Vertrags … über die Verpflichtungen aus diesem Kapitel, die nicht gelten“ – before the contract, of the obligations of this Chapter that do not apply. Anyone relying on Article 31 has to say so before signing.

What a SaaS provider now has to hold

Four items follow from the wording. First, a contract template containing points (a) to (i) of Article 25(2) and the clauses of paragraph 3, made available to the customer in storable form before signature. Second, a pricing rule that caps switching charges at direct costs until 12 January 2027 and removes them afterwards, together with the publication under Article 29(6). Third, the exhaustive lists under points (e) and (f): which data are exportable and which are exempted for trade-secret reasons. Fourth, if Article 31 is relied on, the pre-contractual notice under paragraph 3.

In CIVAC the reconciliation of contract templates against Article 25(2) can be run as a task with evidence, 12 January 2027 set as the deadline for the pricing rule, and the data-category lists filed as versioned documents. It changes nothing about the duty itself. Whether a contract contains the minimum content is decided by its text; the platform records when it was checked and amended.

Where this article ends

CIVAC is not a law firm and does not provide legal services within the meaning of the German Legal Services Act (Rechtsdienstleistungsgesetz). This article reproduces Article 2(8), Article 7(1), Article 23, Article 25, Article 29, Article 31 and Article 50 of Regulation (EU) 2023/2854 verbatim. Whether a particular service is a data processing service within the meaning of Article 2(8), whether it falls under Article 31, which data categories are to be listed as exportable and whether a specific clause meets Article 25 is not decided by this text but by the provider vis-à-vis its customers and the authority competent under Article 37.

Frequently asked questions

Does Chapter VI of the Data Act apply to a SaaS provider with 25 employees?

Yes. Chapter VI of Regulation (EU) 2023/2854 contains no size exemption. The SME exemption in Article 7(1) expressly concerns „die Pflichten nach diesem Kapitel“ – the obligations of that Chapter, namely Chapter II on connected products. For data processing services only the service-related exemptions of Article 31 apply.

What is the longest notice period a SaaS contract may provide?

For initiating switching, under Article 25(2)(d), „eine maximale Kündigungsfrist …, die zwei Monate nicht überschreiten darf“ – at most two months. It is followed under point (a) by a transitional period of at most 30 calendar days and under point (g) by a retrieval period of at least 30 calendar days.

May exit fees still be charged until 12 January 2027?

Only „ermäßigte Wechselentgelte“ under Article 29(2), which under paragraph 3 may not exceed „die Kosten, die dem Anbieter … im unmittelbaren Zusammenhang mit dem betreffenden Wechsel entstehen“ – the costs directly linked to the switch. From 12 January 2027 paragraph 1 applies: no switching charges at all.

Does the Data Act apply to contracts concluded before 12 September 2025?

Article 50 distinguishes by Chapter. For Chapter IV, unfair contractual terms, it provides: „Kapitel IV gilt für Verträge, die nach dem 12. September 2025 geschlossen wurden. Kapitel IV gilt ab dem 12. September 2027 für Verträge, die am oder vor dem 12. September 2025 geschlossen wurden, sofern a) sie unbefristet sind oder b) ihre Geltungsdauer frühestens 10 Jahre nach dem 11. Januar 2024 endet.“ – Chapter IV applies to contracts concluded after 12 September 2025, and from 12 September 2027 to contracts concluded on or before that date if they are of indefinite duration or run for at least 10 years from 11 January 2024. For Chapter VI Article 50 names no transitional rule; it applies from the general date of application, 12 September 2025. How an existing contract is to be adapted is a question of the individual case.

What fine applies to infringements?

The Regulation names none. Article 40(1) obliges the Member States to lay down „Vorschriften über Sanktionen“ – rules on penalties – that are „wirksam, verhältnismäßig und abschreckend“, effective, proportionate and dissuasive. Which penalties apply in Germany follows from the national implementing law, which this article does not reproduce.