Wolk-, hosting- en kolokaasjekontrakten ûnder Nederlânske wet

Hast elk ynternasjonaal bedriuw dat yn Nederlân operearret, keapet kompjûterkapasiteit fan in oar. It kontrakt dêr't it oer giet is meastal in leveransiersjabloan, ûndertekene ûnder tiidsdruk, mei in service level agreement deroan fêstbout en in útgongsklausule dy't nimmen lêst. Dit artikel leit út hoe't de Nederlânske wet mei dizze kontrakten omgiet, wêr't standertbetingsten it swakst binne foar de klant, en wat de EU Datawet no fereasket by it oerstappe.

De trije lagen, plus hosting en kolokaasje

"Cloud" is net ien produkt. Wat de klant kontrolearret feroaret by elke laach, en dat jildt ek foar wat it kontrakt beskermje moat.

Hoe fierder jo yn 'e stapel sitte, hoe mear operasjoneel risiko jo rinne, en hoe fierder omheech, hoe mear jo deryn fêst sitte. Kolokaasje is de útsûndering: jo keapje flierromte, stroom en fysike feiligens, dus de beslissende termen binne stroomtichtens en redundânsje, opzegtermijn, eskalaasje fan stroomkosten, meiwurkers op ôfstân en jo rjocht om jo racks te ferwiderjen. By gewoane hosting is it skeel hast altyd omfang: wie de leveransier ferantwurdlik foar patchen, monitoaring en reservekopyen, of allinich foar it oandriuwen fan 'e masine?

Hoe't it Nederlânske rjocht it kontrakt karakterisearret

Nederlânske wet hat gjin kontrakttype mei de namme "wolk". Gerjochten karakterisearje op basis fan wat de partijen ôfpraat hawwe en hoe't se prestearre hawwe, en tapasse dan de regels fan it type of de typen dy't passend binne.

• Opdracht (art. 7:400 BW): de standert foar SaaS, PaaS, managed hosting en it tsjinstelemint fan IaaS.
• Hiere (art. 7:201 BW): hierkontrakt fereasket gebrûk fan in saak, in tasber objekt (art. 3:2 BW). Software en gegevens binne dat net, dus suvere SaaS is gjin lease. Kolokaasjeromte en tawijde hardware binne dat wierskynlik wol, dêrom hawwe kolokaasje-oerienkomsten faak leasekarakteristiken, hoe't de leveransier se ek neamt.
• Keapje it (art. 7:1 BW): yn De Beeldbrigade (HR 27 april 2012, ECLI:NL:HR:2012:BV1301) hat de Hege Raad bepaald dat it oanskaffen fan standertsoftware foar ûnbeheind gebrûk tsjin in ienmalige betelling ûnder de ferkeapbepalingen falt. Dat jildt net foar in abonnemintstsjinst, mar it is wol fan belang foar ivige lisinsjes yn in hybride deal.
• Gemeentelike oerienkomst (art. 6:215 BW): de measte echte kontrakten binne mingd, en de regels fan elk type binne kumulatyf fan tapassing, útsein as se net te ferienigjen binne.

Wêrom karakterisaasje wichtich is

Beëiniging. Neffens art. 7:408 BW kin de kliïnt yn prinsipe in opdracht op elk momint beëinigje, en art. 7:411 BW regelet wat de leveransier dan ferskuldige is. Tusken bedriuwen binne dizze regels foar in grut part iepen foar tsjinstridige oerienkomst (sjoch art. 7:413 BW), en sjabloanen ferfange se troch fêste betingsten, automatyske ferlinging en lange opzegtermijn. Wêr't in oerienkomst foar ûnbepaalde tiid gjin beëinigingsbepaling hat, beskôget de Nederlânske jurisprudinsje it oer it algemien as beëinber, mar ridlikens en earlikens kinne opzegtermijn, kompensaasje of in serieuze grûn fereaskje.

Soarchplicht. As it kontrakt in opdracht is, leit art. 7:401 BW de soarchfâldigens fan in goede oannimmer op: in ôftwingbere standert dy't Nederlânske rjochtbanken brûkt hawwe om leveransiers te ferplichtsjen oan ûndersyks-, warskôgings- en projektbehearplichten dy't it kontrakt nea neamd hat. By in ferkeap- of hierkarakterisaasje is de rûte ynstee konformiteit of gebrek.

De tsjinstnivo-oerienkomst

Beskikberens, en hoe't it metten wurdt

• Wat wurdt metten: de hiele tsjinst, of ien komponint? In platfoarm dat in sûnenskontrôle beantwurdet wylst it oanmelden net wurket, telt ûnder in protte SLA's as "beskikber".
• Oer hokker perioade: 99.9 prosint jierliks ​​mjitten lit ien lange ûnderbrekking ta; moanliks mjitten beheint it ien ynsidint folle strakker.
• Troch wa, fan wêr: leveransiersmonitoring binnen it eigen netwurk rapportearret bettere sifers as in sonde fan jo kantoar.
• Wat is útsletten: ûnderhâld, netwurkfalen fan tredden, oermacht en "troch de klant feroarsake" ynsidinten wurde routinematich útsnien, en útsletten tiid ferlit normaal ek de noemer, wêrtroch it sifer opblaasd wurdt.

Beskikberens is gjin prestaasjes. In tsjinst kin folslein beskikber wêze en ûnbrûkber stadich. Set jo apart yn foar snelheid: antwurddoelen, batchfinsters, hersteltiid en herstelpuntdoelen, en stipe-antwurdtiden per prioriteitsklasse. Reservekopy hat syn eigen ynset nedich, ynklusyf in test herstel. Reparearje ek ûnderhâldsfinsters: timing, notice, frekwinsje en doer. Foar in ynternasjonale operaasje hat "bûten kantoaroeren" in tiidsône nedich.

Tsjinstkredyten, en de eksklusiviteitsfal

• Binne se it eksklusive middel? Leveransiersbetingsten sizze dat meastal, wat elke mislearring feroaret yn in beskieden koarting en skeafergoeding útslút. Soargje teminsten foar oanhâldende, opsetlike of grof negligente ynbreuken, en elke ynbreuk dy't ek in feiligens- of gegevensynbreuk is.
• Moatte jo se opeaskje? In protte regelingen fereaskje in claim binnen in koart finster, oars ferfalt it kredyt. Stean oan op automatyske kredyt op 'e faktuer.
• Is der in útwei? In kredytregime sûnder rjocht om te beëinigjen is swak. In leveransier dy't syn doelen foar ûnbepaalde tiid misse kin, in lyts persintaazje fan 'e moanlikse fergoeding werombetelje kin en jo fêsthâlde kin, hat himsels út 'e prestaasjes kocht. Bind werhelle of serieuze tekoartkommingen oan ûntslach om reden, sûnder boete en mei folsleine ûntslachhelp.

Soarchplicht en plicht ta gearwurking

Nederlânske IT-rjochtspraak is ungewoan ûntwikkele oangeande de soarchplicht fan 'e leveransier. In profesjonele leveransier moat de omjouwing en easken fan 'e klant ûndersykje, warskôgje foar risiko's, ûngeskikte keuzes en kostenoerschrijdingen, en bliuwe warskôgje as it advys negearre wurdt. It neamen fan 'e ferplichting as ien fan 'e bêste ynspanningen neutralisearret net de ferwachtingen dy't de leveransier foar ûndertekening makke hat.

De spegelferplichting is echt en ûnderskat: de klant moat meiwurkje troch krekte ynformaasje te jaan, tiid te bepalen, te testen as frege, en tagong ta betûfte minsken te jaan. In klant dy't yn gebreke bliuwt, kin yn gebreke fan 'e skuldeasker telâne komme (art. 6:58 BW), wat it gebrek fan 'e leveransier blokkearret, in skeaclaim ûndermynt en ûntslach kin ferslaan.

It punt giet oer feiligens. Yn Gemeente Hof van Twente tsjin Switch IT Solutions (Gerechtshof Arnhem-Leeuwarden, 25 febrewaris 2025, ECLI:NL:GHARL:2025:1046) wegere de rjochtbank de claim fan 'e klant nei in ransomware-oanfal, om't de kwetsberheden werom te fieren wiene nei de administraasje dy't de klant bewarre hie: in firewallwiziging dy't it sels makke hie, en in swak wachtwurd op in akkount dat it behearde. Kontrôle driuwt ferantwurdlikens, dus registrearje hokker kant elke kontrôle hat.

Feiligens, sertifikaasje en kontrôle

Akseptearje "passende technyske en organisatoaryske maatregels" net as de hiele ferplichting. Spesifisearje in neamde standert en omfang, lykas ISO/IEC 27001-sertifikaasje of in SOC 2 Type II-rapport, wêrby't it sertifikaat eins de tsjinst beslacht dy't jo keapje; patchtiidskalen op basis fan earnst; frekwinsje fan penetraasjetests; ynsidintmelding mei in definieare trigger, deadline en ynhâld; en in kontrôlerûte. Grutte leveransiers wegerje kontrôles op lokaasje; in wurkber kompromis is sertifikaasje plus in rjocht op kontrôle mei opzegtermijn nei in ynsidint.

Sektorale regels kinne ferplichte ynhâld tafoegje. Finansjele entiteiten binne ûnderwurpen oan DORA (Feroardering (EU) 2022/2554), dy't betingsten foarskriuwt foar ICT-kontrakten mei tredden. De Nederlânske Cyberbeveiligingswet , dy't NIS2 ymplementearret, is op 15 augustus 2026 yn wurking treden en berikt de digitale ynfrastruktuer- en behearde tsjinstsektor, lykas in protte klanten. Beide regimes hawwe direkt ynfloed op it kontrakt: foar finansjele entiteiten ûnder DORA, en foar essensjele en wichtige entiteiten ûnder de Cyberbeveiligingswet, stelle se easken oangeande operasjonele fearkrêft, oangeande ynsidintmelding en oangeande de útgongsstrategy. Stel fan it begjin ôf fêst hokker fan 'e twa de leveransier fangt en hokker jo fangt.

Dat beskerming

Wêr't persoanlike gegevens ferwurke wurde, hawwe jo in ferwurkingsoerienkomst nedich ûnder de AVG, dy't ynstruksjes, fertroulikens, feiligens, subferwurkers, rjochten fan betrokkenen, melding fan ynbreuken, en weromjefte of wiskjen oan 'e ein omfettet. De weromkommende ûnderhannelingspunten binne it subferwurkersregime, oft jo foarôfgeande kennisgeving krije en in rjocht op beswier, en ynternasjonale oerdrachten. It EU-US Data Privacy Framework oerlibbe syn earste útdaging foar it Gerjochtshôf, dat de aksje yn saak T-553/23 (Latombe tsjin Kommisje) op 3 septimber 2025 ôfwiisde, mei it oardiel dat it Data Protection Review Court foldwaande garânsjes foar ûnôfhinklikens biedt en dat rjochterlike toetsing nei it gefal fan bulkkolleksje foldocht oan 'e standert fan yn essinsje lykweardige beskerming. In berop waard yntsjinne op 31 oktober 2025 as saak C-703/25 P en is oanhingich; it adekwaatheidsbeslút bliuwt yn 'e tuskentiid folslein fan krêft.

Gegevenslokaasje en soevereiniteit

Lokaasje is in kommersjele en regeljouwingsfraach foardat it in fraach is oer gegevensbeskerming. Freegje skriftlik: wêr wurde gegevens opslein, en wêrwei wurde se ferwurke of tagonklik makke, tink derom dat stipepersoniel bûten de EU tagong foarmje, sels as opslach lokaal is; wêr steane reservekopyen, herstelkopieën en logs; hokker entiteiten twongen wurde kinne om gegevens oer te jaan ûnder in bûtenlânske opdracht; kinne jo de regio reparearje, en wat bart der as de leveransier it feroaret. De Wet Gegevensgegevens helpt: oanbieders moatte de jurisdiksje publisearje en yn har kontrakten werjaan wêr't de ynset ynfrastruktuer ûnderwurpen is en de maatregels dy't nommen binne tsjin ûnrjochtmjittige ynternasjonale oerheidstagong ta net-persoanlike gegevens dy't yn 'e EU bewarre wurde.

De útgong

In útgongsklausule dy't oan it begjin ûnderhannele is, is mear wurdich as elke oare klausule yn it kontrakt. Oan it begjin hawwe jo ynfloed en de leveransier wol de deal; oan 'e ein hawwe jo gjin ynfloed, en elke dei fan fertraging kostet jo jild.

• Formaat. Strukturearre, faak brûkt en masine-lêsber, mei in dokumintearre skema, ynklusyf metadata, konfiguraasje, auditlogs en taheaksels. In net-dokumintearre dump is gjin brûkbere weromjefte.
• Omfang. Alles, net allinnich de records dy't jo ynladen hawwe: ôflaatte gegevens, histoaryske ferzjes, en wat jo bewaringsferplichtingen ek fereaskje.
• Oergongsperioade. In definieare perioade wêryn't de tsjinst trochgiet ûnder besteande betingsten wylst jo migrearje, útwreidber tsjin in oanjûne priis.
• Assistinsje. In plicht om te helpen, mei neamde rollen, in deitarif dat no ôfpraat is, en gearwurking mei jo nije leveransier.
• Wiskjen. Sertifisearre wiskjen nei in definieare ophelfinster, ynklusyf reservekopyen, mei oanjûne ferfaltiid.
• Trekker. Útgongsferplichtingen binne fan tapassing op elke beëiniging, ynklusyf troch de leveransier foar jo net-betelling. Leveransiers slute dat gefal faak út, en it is it gefal dat jo it wierskynlikst nedich hawwe.

Lock-in, portabiliteit en de EU Datawet

Ferordening (EU) 2023/2854, de Wet Gegevensgegevens, is yn wurking treden op 11 jannewaris 2024 en is fan tapassing fan 12 septimber 2025 ôf. Haadstik VI makket in oerskeakelregime foar oanbieders fan "gegevensferwurkingstsjinsten", breed genôch definiearre om IaaS, PaaS en SaaS te omfetsjen.

• Obstakels moatte fuort (art. 23): kommersjele, technyske, kontraktuele en organisatoaryske barriêres foar it beëinigjen, oerstappen nei in konkurrint en it portearjen fan gegevens.
• Ferplichte betingsten (art. 25): in maksimale opzegtermijn fan twa moannen om te begjinnen mei oerstappen; in ferplichte maksimale oergongsperioade fan 30 kalinderdagen, dy't ien kear ferlingd wurde kin troch de klant en, as oerstappen technysk net mooglik is, troch de oanbieder oant sân moannen mei redenearre opzegtermijn; dan in perioade foar it opheljen fan gegevens fan teminsten 30 kalinderdagen, folge troch wiskjen.
• Fertsjintwurdigers (art. 29): fan 11 jannewaris 2024 oant 12 jannewaris 2027 meie oanbieders allinich ferlege oerstapkosten oplein, dy't net mear binne as de kosten dy't direkt ferbûn binne mei it oerstapproses. Fan 12 jannewaris 2027 ôf binne oerskeakelkosten hielendal ferbean, en beëiniget útgongskosten by útgong.
• Technyske ferplichtingen (art. 30): oanbieders op ynfrastruktuernivo moatte alle ridlike maatregels nimme om funksjonele lykweardigens nei it oerskeakeljen mooglik te meitsjen; oaren moatte iepen ynterfaces fergees beskikber stelle. Gjin oanbieder mei nije technology ûntwikkelje of bedriuwsgeheimen iepenbierje.
• Ynformaasje, goede trou en útsûnderings (art. 26, 27, 31): oerskeakelprosedueres moatte iepenbier makke wurde; alle partijen, ynklusyf de bestimmingsprovider, moatte te goeder trou gearwurkje; maatwurk en tiidbeheinde testtsjinsten wurde útsnien.

Trije warskôgings. De Wet Gegevensgegevens stelt in ûndergrûn fêst, gjin migraasjeplan: it sil jo gegevens net portabel meitsje as jo boud hawwe op proprietêre platfoarmtsjinsten sûnder lykweardich earne oars. Timing is wichtich, en net op 'e manier wêrop de measte leveransiers beweare: Haadstik VI is sûnt 12 septimber 2025 fan tapassing op kontrakten foar gegevensferwurkingstsjinsten, oft se no foar of nei dy datum sletten binne, dus oerienkomsten dy't al rûnen moasten doe yn oerienstimming brocht wurde. De oergongsperioade dy't einige op 12 septimber 2027 yn art. 50 giet oer haadstik IV, oer ûnearlike kontraktuele betingsten oer tagong ta en gebrûk fan gegevens, en net oer it oerskeakelregime. Apart hat de Kommisje rieplachte oer in ûntwerp-oanbefelling mei net-binende modelkontraktuele betingsten oer tagong ta en gebrûk fan gegevens en net-binende standertkontraktuele klausules foar cloud computing-kontrakten, dy't leveransiers kinne opnimme as it ienris oannaam is; kontrolearje de status foardat jo derop fertrouwe. It digitale omnibuspakket fan 19 novimber 2025 stelt wol feroarings foar oan haadstik VI, wêrûnder evenredige boetes foar betide beëiniging yn kontrakten mei in bepaalde termyn en in smelle útsluting fan bepaalde kontrakten dy't foar 12 septimber 2025 sletten binne, mar it is noch altyd yn it wetjouwingsproses en de ynfierde tekst bliuwt fan tapassing oant er wizige wurdt. En suvere kolokaasje en húsfesting falle bûten de definysje fan in gegevensferwurkingstsjinst, en dus bûten it rezjym, mits der gjin skalbere of elastyske wolkfunksjonaliteit by de flierromte levere wurdt.

Kontinuïteit en leveransiersinsolvinsje

As jo ​​leveransier yn gebreke bliuwt, beslút de trustee ûnder art. 37 Fw oft útsteande kontrakten útfierd wurde moatte; as dat net sa is, is jo claim net befeilige. Boarnekoade-escrow is boud foar on-premise software en docht net folle foar SaaS: koade sûnder de gegevens, de omjouwing en de operasjonele kennis herstelt in tsjinst net. SaaS hat in kontinuïteitsregeling nedich dy't it rinnende eksimplaar, de gegevens en it rjocht om te bliuwen operearjen omfettet. Op syn minst moat it kontrakt stelle dat de gegevens fan jo binne, net ûnderwurpen binne oan in behâldsrjocht, en frijjûn wurde moatte by definieare eveneminten.

Oanspraaklikens, ûntheffing en priis

Standertbetingsten foar leveransiers yn 'e Nederlânske merk wurde dominearre troch de NLdigital Voorwaarden, wêrfan de edysje fan 2025, publisearre yn oktober 2025, de meast resinte is. Dy edysje beheint de oanspraaklikens foar direkt ferlies ta de priis dy't foar it kontrakt ôfpraat is, of, foar in trochgeand kontrakt dat langer as in jier rint, ta de fergoedingen fan ien jier, en beheint it yn alle gefallen ta € 500,000, mei in apart plafond fan € 1,750,000 foar dea, persoanlik letsel en fysike skea oan eigendom. Yndirekte en gefolchlike skea, ferlern winst, ferlern besparrings, fermindere goodwill, bedriuwsûnderbrekking en oanspraken fan 'e eigen klanten fan' e klant binne folslein útsletten. De limiten falle allinich fuort as it ferlies it gefolch is fan opset of bewuste roekeloosheid fan 'e kant fan it management fan' e leveransier. In claim moat sa gau mooglik nei it ûntstean fan it ferlies meld wurde en ferrint fjouwerentweintich moannen letter, útsein as der prosedueres oanspand binne. Elke nije edysje herziet dizze plafonds, dus stel fêst hokker edysje jo leveransier hat opnommen en oft hy it feroare hat: eardere edysjes bliuwe yn omloop en in protte leveransiers brûke har eigen betingsten.

Nederlânske rjochtbanken hanthavenje wol ûntheffingsklausules tusken bedriuwen. De earste rûte is art. 6:248 BW: it fertrouwen op 'e klausule mislearret as dat net akseptabel wêze soe neffens noarmen fan ridlikens en earlikens. Rjochtbanken tapasse de test mei beheining, en weagje de earnst fan 'e skuld, de skea oanrjochte belangen, de posysjes fan 'e partijen en hoe't it risiko priisd waard. Opset of gedrach dat dêrmei lykweardich is, sil in klausule oer it algemien net goedkarre. As de betingsten algemiene betingsten binne (art. 6:231 BW), lit art. 6:233 BW de ûnredelik swiere betingst ta. Praktysk: ûnderhannelje oer in limyt dy't relatearre is oan 'e skea dy't in mislearring feroarsaakje soe, set gegevensferlies, fertroulikens, feiligens en IP-fergoedingen derbûten, en definiearje "gefolchskea".

Wat de priis oanbelanget, reparearje it meganisme: beheine de jierlikse yndeksearring tsjin in neamde yndeks, beheine ferhegingen ta ien kear yn 't jier mei oanjûne kennisgeving, en nim it rjocht om sûnder boete te beëinigjen boppe in drompel. Mei konsumpsje-basearre prizen, ferplichtsje jo allinich oan folumes dy't jo sille brûke, en kontrolearje de kosten fan skalearring, stipelagen en útgong.

Tapaste wetjouwing, skeel en leveransiers bûten de EU

Kies Nederlânske wet en in Nederlânsk forum wêr't jo kinne, en weagje de praktyske punten dy't beslute oft in útspraak wat wurdich is, dy't wy útlein hawwe yn ús artikel oer hoe't jo jurisdiksje- en hanthaveningsproblemen foarkomme kinne . It hanthavenjen fan in Nederlânsk útspraak binnen de EU is ienfâldich; it hanthavenjen fan ien bûten de EU is dat faak net. Arbitraasje kin it bettere antwurd wêze tsjin in net-EU-tsjinpartij, en yn Nederlânske IT-disputen biedt de SGOA-stifting sektorspesifike arbitraasje en bemiddeling oan.

Kontraktearjen bûten de EU bringt trije realiteiten mei. In beheining fan oanspraaklikens kin maklik yn te roppen wêze en lestich út te daagjen yn in fier forum. Ferplichte EU-regels, ynklusyf it oerskeakelregime fan 'e Datawet en de AVG, kinne fan tapassing wêze op basis fan wêr't de tsjinst oanbean wurdt, mar it tapassen en hanthavenjen dêrfan binne ferskillende dingen. En in bûtenlânske âlder kin te krijen hawwe mei iepenbieringsbefellings dy't yn striid binne mei jo ferplichtingen hjir. As bleatstelling materieel is, slute dan in kontrakt mei de EU-entiteit fan 'e leveransier en oanhâlde op in Europeesk forum.

Underhannelingschecklist

• Definiearje de tsjinst per laach, en registrearje hokker kant elke komponint en elke befeiligingskontrôle kontrolearret.
• Meitsje beskikberens mjitber: komponintberik, perioade, mjitpunt en útslutingen; prestaasjes fêstlizze en doelen apart weromsette.
• Tsjinstkredyten ôfwize as in eksklusive remedie, en in ûntslachrjocht keppele oan oanhâldende of swiere storing.
• Spesifisearje feiligens per standert en omfang, mei bewiis, notifikaasjedeadlines en in kontrôlerûte.
• Tekenje in ferwurkingsoerienkomst en reparearje gegevens-, ferwurkings- en stipelokaasjes.
• Underhannelje earst oer de útgongsklausule: formaat, omfang, oergongsperioade, priisde bystân, sertifisearre wiskjen, en triggers ynklusyf beëiniging foar net-betelling.
• Kontrolearje it kontrakt oan de hân fan de oerskeakelingseasken fan 'e Wet Gegevensgegevens, skriuw it yn 'e aginda foar 12 jannewaris 2027, en regelje de kontinuïteit: gegevenseigendom, gjin behâldrjocht, escrow.
• Test de oanspraaklikenslimyt tsjin it ferlies dat in echte storing feroarsaakje soe, en set gegevens, feiligens, fertroulikens en yntellektueel eigendom derbûten.
• Yndeksearring fan it plafond, en kies bewust wet, forum en kontraktearjende entiteit.

Law & More beoardielet en ûnderhannelet cloud-, hosting- en kolokaasjekontrakten foar klanten en leveransiers: tsjinstnivo's, feiligens- en kontrôlerjochten, ferwurkingsoerienkomsten, útgong en neilibjen fan 'e Wet op 'e Gegevensgegevens, oanspraaklikenslimyten en de kar fan wet en forum. As in kontrakt op tafel leit of in tsjinst mislearret, ús IT-juristen sil jo fertelle wêr't de echte bleatstelling sit foardat jo tekenje.