Sky-, hosting- og samlokaliseringsavtaler i henhold til nederlandsk lov

Nesten alle internasjonale selskaper som opererer i Nederland kjøper datakapasitet fra noen andre. Kontrakten som regulerer dette er vanligvis en leverandørmal, signert under tidspress, med en servicenivåavtale boltet på og en utgangsklausul som ingen leser. Denne artikkelen beskriver hvordan nederlandsk lov behandler disse kontraktene, hvor standardvilkårene er svakest for kunden, og hva EUs datalov nå krever ved bytte.

De tre lagene, pluss hosting og samlokalisering

«Skyen» er ikke ett produkt. Det kunden kontrollerer endres på hvert lag, og det samme gjelder det som kontrakten må beskytte.

Jo lenger ned i stabelen du sitter, desto mer driftsrisiko har du, og jo lenger oppe, desto mer låst er du. Samlokalisering er unntaket: du kjøper gulvplass, strøm og fysisk sikkerhet, så de avgjørende vilkårene er effekttetthet og redundans, oppsigelsestid, eskalering av strømkostnader, fjernhjelp og din rett til å fjerne rackene dine. Med vanlig hosting er tvisten nesten alltid omfang: var leverandøren ansvarlig for oppdatering, overvåking og sikkerhetskopiering, eller bare for å holde maskinen strømførende?

Hvordan nederlandsk lov karakteriserer kontrakten

Nederlandsk lov har ingen kontraktstype som kalles «sky». Domstolene karakteriserer kontrakten etter hva partene ble enige om og hvordan de presterte, og anvender deretter reglene for den eller de typene som passer.

• Oppdrag (art. 7:400 BW): standard for SaaS, PaaS, administrert hosting og tjenesteelementet i IaaS.
• Leie (art. 7:201 BW): leieavtalen krever bruk av en saken, et håndgripelig objekt (art. 3:2 BW). Programvare og data er ikke det, så ren SaaS er ikke leasing. Samlokaliseringsplass og dedikert maskinvare er det sannsynligvis, og det er derfor samlokaliseringsavtaler ofte har leasingegenskaper uansett hva leverandøren kaller dem.
• kjøpe (art. 7:1 BW): i Bildebrigaden (HR 27. april 2012, ECLI:NL:HR:2012:BV1301) slo Hoge Raad fast at anskaffelse av standardprogramvare for ubegrenset bruk mot en engangsbetaling faller inn under salgsbestemmelsene. Dette gjelder ikke for en abonnementstjeneste, men det har betydning for evigvarende lisenser i en hybridavtale.
• Fellesskapssammenkomst (art. 6:215 BW): De fleste reelle kontrakter er blandede, og reglene for hver type gjelder kumulativt med mindre de er uforenlige.

Hvorfor karakterisering er viktig

Oppsigelse. I henhold til art. 7:408 i BW kan klienten i prinsippet si opp en opdracht når som helst, og art. 7:411 i BW regulerer hva leverandøren deretter har krav på. Mellom virksomheter er disse reglene i stor grad åpne for motstridende avtaler (se art. 7:413 i BW), og maler erstatter dem med faste vilkår, automatisk fornyelse og lang oppsigelsestid. Der en ubestemt avtale ikke har noen oppsigelsesklausul, behandler nederlandsk rettspraksis den vanligvis som oppsigelig, men rimelighet og rettferdighet kan kreve varsel, kompensasjon eller en tungtveiende grunn.

Aktsomhetsplikt. Hvis kontrakten er en opdracht, pålegger art. 7:401 BW aktsomheten til en god entreprenør: en håndhevbar standard nederlandske domstoler har brukt for å pålegge leverandører plikter til undersøkelse, varsling og prosjektledelse som kontrakten aldri har nevnt. Ved salg eller leasing er ruten i stedet samsvar eller mangel.

Servicenivåavtalen

Tilgjengelighet, og hvordan den måles

• Hva som måles: hele tjenesten, eller én komponent? En plattform som svarer på en helsesjekk mens innloggingen er nede, teller som «tilgjengelig» under mange tjenestenivåavtaler.
• Over hvilken periode: 99.9 prosent målt årlig tillater ett langt driftsavbrudd; målt månedlig begrenser det én enkelt hendelse mye sterkere.
• Av hvem, hvorfra: Leverandørovervåking i eget nettverk rapporterer bedre tall enn en undersøkelse fra kontoret ditt.
• Hva er ekskludert: Vedlikehold, nettverkssvikt hos tredjeparter, force majeure og «kundeforårsakede» hendelser blir rutinemessig skilt ut, og ekskludert tid forlater vanligvis også nevneren, noe som blåser opp tallet.

Tilgjengelighet er ikke ytelse. En tjeneste kan være fullt tilgjengelig og ubrukelig treg. Forplikt deg til hastighet separat: responsmål, batchvinduer, gjenopprettingstid og gjenopprettingspunktmål, og støtteresponstider per prioritetsklasse. Sikkerhetskopiering trenger sin egen forpliktelse, inkludert en testet gjenoppretting. Fiks også vedlikeholdsvinduer: tidspunkt, varsel, frekvens og varighet. For en internasjonal operasjon trenger «utenfor kontortid» en tidssone.

Servicekreditter og eksklusivitetsfellen

• Er de det eneste middelet? Leverandørvilkår sier vanligvis det, noe som gjør enhver feil til en beskjeden rabatt og stenger ute skader. Som et minimum skal vedvarende, forsettlige eller grovt uaktsomme brudd, og ethvert brudd som også er et sikkerhets- eller datainnbrudd, utelukkes.
• Må du kreve dem? Mange ordninger krever et krav innen kort tid, ellers bortfaller kreditten. Insister på automatisk kreditering av fakturaen.
• Er det en vei ut? Et kredittregime uten oppsigelsesrett er svakt. En leverandør som kan bomme på målene sine i det uendelige, refundere en liten prosentandel av månedsavgiften og holde deg fastlåst, har kjøpt seg ut av å prestere. Knyt gjentatt eller alvorlig unnlatelse til oppsigelse med saklig grunn, uten straff og med full bistand til å slutte.

Aktsomhetsplikt og samarbeidsplikt

Nederlandsk IT-rettspraksis er uvanlig utviklet når det gjelder leverandørens aktsomhetsplikt. En profesjonell leverandør må undersøke kundens miljø og krav, advare om risikoer, uegnede valg og kostnadsoverskridelser, og fortsette å advare når rådene ignoreres. Å kalle forpliktelsen en av de beste innsatsene nøytraliserer ikke forventningene leverandøren skapte før signering.

Speilplikten er reell og undervurdert: kunden må samarbeide ved å gi nøyaktig informasjon, bestemme seg for tid, teste når man blir bedt om det, og sørge for tilgang til kompetente personer. En kunde som misligholder avtalen, kan havne i kreditors mislighold (art. 6:58 BW), noe som blokkerer leverandørens mislighold, undergraver et erstatningskrav og kan motvirke heving.

Poenget strekker seg til sikkerhet. I Gemeente Hof van Twente mot Switch IT Solutions (Gerechtshof Arnhem-Leeuwarden, 25. februar 2025, ECLI:NL:GHARL:2025:1046) avviste retten kundens krav etter et ransomware-angrep, fordi sårbarhetene kunne spores tilbake til administrasjonen kunden hadde beholdt: en brannmurendring den selv gjorde, og et svakt passord på en konto den administrerte. Kontroll driver ansvar, så registrer hvilken side som eier hver kontroll.

Sikkerhet, sertifisering og revisjon

Ikke godta «passende tekniske og organisatoriske tiltak» som hele forpliktelsen. Spesifiser en navngitt standard og omfang, for eksempel ISO/IEC 27001-sertifisering eller en SOC 2 Type II-rapport, med sertifikatet som faktisk dekker tjenesten du kjøper; oppdatering av tidsfrister etter alvorlighetsgrad; hyppighet av penetrasjonstesting; hendelsesvarsling med en definert utløser, frist og innhold; og en revisjonsrute. Store leverandører nekter revisjoner på stedet; et gjennomførbart kompromiss er sertifisering pluss en rett til revisjon med varsel etter en hendelse.

Sektorregler kan legge til obligatorisk innhold. Finansielle enheter er underlagt DORA (forordning (EU) 2022/2554), som foreskriver vilkår for IKT-tredjepartskontrakter. Den nederlandske Cyberbeveiligingswet , som implementerer NIS2, trådte i kraft 15. august 2026 og omfatter sektorene for digital infrastruktur og administrerte tjenester, samt mange kunder. Begge regimene påvirker direkte kontrakten: for finansielle enheter under DORA, og for essensielle og viktige enheter under Cyberbeveiligingswet, stiller de krav til operasjonell robusthet, hendelsesvarsling og exitstrategi. Fastslå fra starten av hvilken av de to som rammer leverandøren og hvilken som rammer deg.

Databeskyttelse

Der personopplysninger behandles, trenger du en behandlingsavtale i henhold til GDPR, som dekker instruksjoner, konfidensialitet, sikkerhet, underdatabehandlere, rettigheter for den registrerte, varsling om brudd og retur eller sletting ved avslutningen. De tilbakevendende forhandlingspunktene er underdatabehandlerordningen, om du får forhåndsvarsel og rett til å protestere, og internasjonale overføringer. EU-US Data Privacy Framework overlevde sin første utfordring for Førstedomstolen, som avviste søksmålet i sak T-553/23 (Latombe mot Kommisjonen) 3. september 2025, med den begrunnelse at Data Protection Review Court gir tilstrekkelige garantier for uavhengighet, og at domstolskontroll etter masseinnsamling oppfyller standarden for i hovedsak tilsvarende beskyttelse. En anke ble inngitt 31. oktober 2025 som sak C-703/25 P og er under behandling; tilstrekkelighetsvedtaket er fortsatt fullt ut gjeldende i mellomtiden.

Datalokasjon og suverenitet

Plassering er et kommersielt og regulatorisk spørsmål før det er et spørsmål om databeskyttelse. Spør skriftlig: hvor data lagres, og hvorfra de behandles eller åpnes, husk at støttepersonell utenfor EU utgjør tilgang selv der lagringen er lokal; hvor sikkerhetskopier, katastrofegjenopprettingskopier og logger befinner seg; hvilke enheter som kan bli tvunget til å utlevere data under en utenlandsk ordre; kan du fikse regionen, og hva skjer hvis leverandøren endrer den. Dataloven hjelper: leverandører må publisere, og gjenspeile i sine kontrakter, jurisdiksjonen som den distribuerte infrastrukturen er underlagt og tiltakene som er iverksatt mot ulovlig internasjonal myndighetstilgang til ikke-personopplysninger som oppbevares i EU.

Utgangen

En utgangsklausul som er forhandlet frem i starten er verdt mer enn noen annen klausul i kontrakten. I starten har du innflytelse, og leverandøren vil ha avtalen; til slutt har du ingen, og hver dag med forsinkelse koster deg penger.

• Format. Strukturert, vanlig brukt og maskinlesbar, med et dokumentert skjema, inkludert metadata, konfigurasjon, revisjonslogger og vedlegg. En udokumentert dump er ikke en brukbar retur.
• Omfang. Alt, ikke bare postene du lastet inn: avledede data, historiske versjoner og hva enn oppbevaringsforpliktelsene dine krever.
• Overgangsperiode. En definert periode der tjenesten fortsetter på eksisterende vilkår mens du migrerer, med mulighet for forlengelse til en fastsatt pris.
• Assistanse. En plikt til å bistå, med navngitte roller, en dagspris avtalt nå, og samarbeid med din nye leverandør.
• Sletting. Sertifisert sletting etter et definert hentevindu, inkludert sikkerhetskopier, med angitt utløpstidspunkt.
• Avtrekker. Utgangsforpliktelser gjelder ved enhver oppsigelse, inkludert fra leverandørens side for din manglende betaling. Leverandører utelukker ofte dette tilfellet, og det er det tilfellet du mest sannsynlig vil trenge.

Innlåsing, portabilitet og EUs datalov

Forordning (EU) 2023/2854, dataloven, trådte i kraft 11. januar 2024 og gjelder fra 12. september 2025. Kapittel VI oppretter et bytteregime for leverandører av «databehandlingstjenester», definert bredt nok til å omfatte IaaS, PaaS og SaaS.

• Hindringer må bort (art. 23): kommersielle, tekniske, kontraktsmessige og organisatoriske hindringer for å si opp, flytte til en konkurrent og portere data.
• Obligatoriske vilkår (art. 25): en maksimal oppsigelsesfrist på to måneder for å starte bytte; en obligatorisk maksimal overgangsperiode på 30 kalenderdager, som kan forlenges én gang av kunden og, der bytte er teknisk umulig, av leverandøren inntil syv måneder med begrunnet varsel; deretter en datainnhentingsperiode på minst 30 kalenderdager, etterfulgt av sletting.
• Priser (art. 29): fra 11. januar 2024 til 12. januar 2027 kan tilbydere kun ilegge reduserte byttegebyrer, som ikke overstiger kostnadene som er direkte knyttet til bytteprosessen. Fra 12. januar 2027 er byttegebyrer fullstendig forbudt, og avvikler utgangsgebyrer ved utgang.
• Tekniske forpliktelser (art. 30): Leverandører på infrastrukturnivå må ta alle rimelige tiltak for å muliggjøre funksjonell likeverdighet etter bytte; andre må gjøre åpne grensesnitt tilgjengelige gratis. Ingen tilbyder må utvikle ny teknologi eller avsløre forretningshemmeligheter.
• Informasjon, god tro og unntak (art. 26, 27, 31): bytteprosedyrer må opplyses om; alle parter, inkludert destinasjonsleverandøren, må samarbeide i god tro; skreddersydde og tidsbegrensede testtjenester tilbys.

Tre forholdsregler. Dataloven setter en nedre grense, ikke en migreringsplan: den vil ikke gjøre dataene dine portable hvis du bygde på proprietære plattformtjenester uten tilsvarende andre steder. Timing er viktig, og ikke slik de fleste leverandører hevder: Kapittel VI har gjeldt for kontrakter for databehandlingstjenester siden 12. september 2025, enten de ble inngått før eller etter den datoen, så avtaler som allerede var i kraft måtte bringes i samsvar innen den tid. Overgangsperioden som slutter 12. september 2027 i art. 50, gjelder kapittel IV, om urimelige kontraktsvilkår om datatilgang og -bruk, og ikke bytteordningen. Separat har Kommisjonen konsultert om et utkast til anbefaling som inneholder ikke-bindende modellkontraktsvilkår om datatilgang og -bruk og ikke-bindende standardkontraktsklausuler for skytjenester-kontrakter, som leverandører kan innlemme når den er vedtatt. Sjekk statusen før du stoler på den. Den digitale omnibuspakken av 19. november 2025 foreslår riktignok endringer i kapittel VI, blant annet proporsjonale gebyrer for tidlig oppsigelse i tidsbegrensede kontrakter og en snever «grandfathering» (bestefaring av visse kontrakter inngått før 12. september 2025), men den er fortsatt under lovgivningsprosessen, og den vedtatte teksten gjelder fortsatt inntil den endres. Og ren samlokalisering og boliger faller utenfor definisjonen av en databehandlingstjeneste, og dermed utenfor regimet, forutsatt at ingen skalerbar eller elastisk skyfunksjonalitet leveres med gulvplassen.

Kontinuitet og leverandørinsolvens

Hvis leverandøren din misligholder, avgjør bobestyreren i henhold til art. 37 Fw om utestående kontrakter skal oppfylles. Hvis ikke, er kravet ditt usikret. Kildekodedeponering ble bygget for lokal programvare og gjør lite for SaaS: kode uten dataene, miljøet og den operative kunnskapen gjenoppretter ikke en tjeneste. SaaS trenger en kontinuitetsordning som dekker den kjørende instansen, dataene og retten til å fortsette driften. Som et minimum bør kontrakten angi at dataene er dine, ikke er underlagt noen oppbevaringsrett, og må frigis ved definerte hendelser.

Ansvar, fritak og pris

Standardvilkårene for leverandører i det nederlandske markedet domineres av NLdigital Voorwaarden, hvorav 2025-utgaven, utgitt i oktober 2025, er den nyeste. Denne utgaven begrenser ansvaret for direkte tap til den avtalte prisen for kontrakten, eller, for en løpende kontrakt som varer lenger enn ett år, til ett års honorarer, og setter et tak på 500 000 euro uansett, med et separat tak på 1 750 000 euro for død, personskade og fysisk skade på eiendom. Indirekte tap og følgetap, tapt fortjeneste, tapte besparelser, redusert goodwill, driftsavbrudd og krav fra kundens egne kunder er utelukket fullstendig. Grensene faller bare bort der tapet skyldes forsett eller bevisst hensynsløshet fra leverandørens ledelses side. Et krav må varsles så snart som mulig etter at tapet oppstår og bortfaller tjuefire måneder senere, med mindre det er reist sak. Hver ny utgave reviderer disse grensene, så fastslå hvilken utgave leverandøren din har innlemmet og om den har endret den: tidligere utgaver er fortsatt i omløp, og mange leverandører bruker sine egne vilkår.

Nederlandske domstoler håndhever fritaksklausuler mellom virksomheter. Den første veien er art. 6:248 BW: påberopelse av klausulen mislykkes der det ville være uakseptabelt etter rimelighets- og rettferdighetsstandarder. Domstolene anvender testen med tilbakeholdenhet, og veier alvorlighetsgraden av skylden, de skadede interessene, partenes posisjoner og hvordan risikoen ble priset. Hensikt eller oppførsel som tilsvarer denne vil vanligvis oppheve en klausul. Der vilkårene er generelle betingelser (art. 6:231 BW), tillater art. 6:233 BW annullering av en urimelig byrdefull bestemmelse. Praktisk sett: forhandle om et tak som har en viss sammenheng med skaden en feil ville forårsake, plasser datatap, konfidensialitet, sikkerhet og IP-erstatning utenfor det, og definer «følgetap».

Når det gjelder pris, fiks mekanismen: sett et tak på årlig indeksering mot en navngitt indeks, begrens økninger til én gang i året med spesifisert varsel, og ta deg retten til å si opp uten gebyr over en viss terskel. Med forbruksbasert prising, forplikt deg kun til volumer du vil bruke, og kontroller kostnadene for skalering, støttenivåer og utgang.

Gjeldende lov, tvister og leverandører utenfor EU

Velg nederlandsk lov og et nederlandsk forum der du kan, og vei de praktiske punktene som avgjør om en dom er verdt noe, som vi beskriver i artikkelen vår om hvordan du unngår jurisdiksjons- og håndhevingsproblemer . Det er enkelt å fullbyrde en nederlandsk dom innenfor EU; det er ofte ikke det å fullbyrde en utenfor EU. Voldgift kan være det bedre svaret mot en motpart utenfor EU, og i nederlandske IT-tvister tilbyr SGOA-stiftelsen sektorspesifikk voldgift og mekling.

Det å inngå kontrakter utenfor EU medfører tre realiteter. En ansvarsbegrensning kan være enkel å påberope seg og vanskelig å utfordre i et fjerntliggende forum. Obligatoriske EU-regler, inkludert bytteordningen i henhold til personopplysningsloven og GDPR, kan gjelde avhengig av hvor tjenesten tilbys, men å anvende og håndheve dem er forskjellige ting. Og en utenlandsk forelder kan bli utsatt for utleveringspålegg som er i konflikt med dine forpliktelser her. Der eksponeringen er vesentlig, inngå kontrakt med leverandørens EU-enhet og insister på et europeisk forum.

Sjekkliste for forhandlinger

• Definer tjenesten etter lag, og registrer hvilken side som kontrollerer hver komponent og hver sikkerhetskontroll.
• Gjør tilgjengelighet målbar: komponentomfang, periode, målepunkt og ekskluderinger; forplikt ytelse og gjenopprett mål separat.
• Avvis tjenestekreditter som et eksklusivt rettsmiddel, og knytt en oppsigelsesrett til vedvarende eller alvorlig feil.
• Spesifiser sikkerhet etter standard og omfang, med bevis, varslingsfrister og en revisjonsrute.
• Signer en behandlingsavtale og fiks lokasjoner for data, behandling og support.
• Forhandle først om utgangsklausulen: format, omfang, overgangsperiode, priset bistand, sertifisert sletting og utløsere, inkludert oppsigelse ved manglende betaling.
• Sjekk kontrakten mot byttekravene i dataloven, skriv den inn til 12. januar 2027, og avklar kontinuitet: dataeierskap, ingen oppbevaringsrett, deponering.
• Test ansvarsgrensen mot tapet en reell feil ville forårsake, og plasser data, sikkerhet, konfidensialitet og IP utenfor den.
• Indeksering av tak, og velg lov, forum og kontraktsenhet bevisst.

Law & More gjennomgår og forhandler sky-, hosting- og samlokaliseringskontrakter for kunder og leverandører: tjenestenivåer, sikkerhets- og revisjonsrettigheter, behandlingsavtaler, samsvar med personopplysningsloven og personopplysningsloven, ansvarsgrenser og valg av lov og forum. Hvis en kontrakt er på bordet eller en tjeneste svikter, vil vår IT-advokater vil fortelle deg hvor den reelle eksponeringen ligger før du signerer.