Cloud-, hosting- og colocation-kontrakter i henhold til hollandsk lov

Næsten alle internationale virksomheder, der opererer i Holland, køber computerkapacitet fra en anden. Den kontrakt, der regulerer dette, er normalt en leverandørskabelon, underskrevet under tidspres, med en serviceaftale påsat og en udtrædelsesklausul, som ingen læser. Denne artikel beskriver, hvordan hollandsk lov behandler disse kontrakter, hvor standardvilkår er svagest for kunden, og hvad EU's datalovgivning nu kræver ved skift.

De tre lag, plus hosting og colocation

"Cloud" er ikke ét produkt. Det, kunden kontrollerer, ændrer sig på hvert lag, og det samme gælder det, som kontrakten skal beskytte.

Jo længere nede i stakken du sidder, desto mere driftsrisiko løber du, og jo længere oppe, desto mere låst er du. Colocation er outsideren: du køber gulvplads, strøm og fysisk sikkerhed, så de afgørende vilkår er effekttæthed og redundans, opsigelsesvarsling, eskalering af strømafgifter, fjernbetjening og din ret til at fjerne dine racks. Med almindelig hosting er tvisten næsten altid omfanget: var leverandøren ansvarlig for patching, overvågning og backup, eller kun for at holde maskinen strømforsynet?

Hvordan hollandsk lov karakteriserer kontrakten

Hollandsk lov har ingen kontrakttype kaldet "cloud". Domstolene karakteriserer kontrakten ud fra, hvad parterne aftalte, og hvordan de opfyldte den, og anvender derefter reglerne for den eller de typer, der passer.

• Opdrag (art. 7:400 BW): standarden for SaaS, PaaS, managed hosting og serviceelementet i IaaS.
• Leje (art. 7:201 BW): lejemålet kræver brug af en tilfælde, en håndgribelig genstand (art. 3:2 BW). Software og data er ikke, så ren SaaS er ikke leasing. Colocation-plads og dedikeret hardware er sandsynligvis det, hvilket er grunden til, at colocation-aftaler ofte har leasingkarakteristika, uanset hvad leverandøren kalder dem.
• købe (art. 7:1 BW): i De Beeldbrigade (HR 27. april 2012, ECLI:NL:HR:2012:BV1301) fastslog Hoge Raad, at erhvervelse af standardsoftware til ubegrænset brug mod en engangsbetaling falder ind under salgsbestemmelserne. Dette gælder ikke for en abonnementstjeneste, men det har betydning for tidsubegrænsede licenser i en hybridaftale.
• Fællesskabsovertagelse (art. 6:215 BW): De fleste reelle kontrakter er blandede, og reglerne for hver type gælder kumulativt, medmindre de er uforenelige.

Hvorfor karakterisering er vigtig

Opsigelse. I henhold til art. 7:408 i BW kan klienten i princippet opsige en opgave når som helst, og art. 7:411 i BW regulerer, hvad leverandøren derefter har ret til. Mellem virksomheder er disse regler i vid udstrækning åbne for modstridende aftaler (se art. 7:413 i BW), og skabeloner erstatter dem med faste løbetider, automatisk fornyelse og langt varsel. Hvor en ubestemt aftale ikke har en opsigelsesklausul, behandler hollandsk retspraksis den generelt som opsigelig, men rimelighed og retfærdighed kan kræve varsel, kompensation eller en tungtvejende grund.

Omsorgspligt. Hvis kontrakten er en opdracht, pålægger art. 7:401 i BW en god entreprenør den omhyggelighed, der gælder: en håndhævbar standard, som hollandske domstole har brugt til at pålægge leverandører pligt til undersøgelse, advarsel og projektledelse, som kontrakten aldrig har nævnt. Ved salg eller leasing er vejen i stedet overensstemmelse eller mangel.

Serviceniveauaftalen

Tilgængelighed, og hvordan den måles

• Hvad der måles: Hele tjenesten eller én komponent? En platform, der besvarer et sundhedstjek, mens login er nede, tæller som "tilgængelig" under mange SLA'er.
• Over hvilken periode: 99.9 procent målt årligt tillader ét langt udfald; målt månedligt begrænser det en enkelt hændelse langt mere.
• Af hvem, hvorfra: Leverandørovervågning i sit eget netværk rapporterer bedre tal end en undersøgelse fra dit kontor.
• Hvad er undtaget: Vedligeholdelse, netværksfejl hos tredjepart, force majeure og "kundeforårsagede" hændelser fraskrives rutinemæssigt, og fratrukket tid forlader normalt også nævneren, hvilket oppuster tallet.

Tilgængelighed er ikke ydeevne. En tjeneste kan være fuldt tilgængelig og ubrugelig langsom. Forpligt dig til hastighed separat: responsmål, batchvinduer, gendannelsestidspunkt og gendannelsespunktsmål samt supportresponstider pr. prioritetsklasse. Backup kræver sin egen forpligtelse, inklusive en testet gendannelse. Ret også vedligeholdelsesvinduer: timing, varsel, hyppighed og varighed. For en international operation skal "uden for kontortid" have en tidszone.

Servicekreditter og eksklusivitetsfælden

• Er de det eneste middel? Leverandørbetingelser siger normalt det, hvilket forvandler enhver fejl til en beskeden rabat og udelukker skader. Undgå som minimum vedvarende, forsætlige eller groft uagtsomme brud samt ethvert brud, der også er et sikkerheds- eller databrud.
• Skal du gøre krav på dem? Mange ordninger kræver en reklamation inden for et kort tidsrum, ellers bortfalder kreditten. Insistér på automatisk kreditering af fakturaen.
• Er der en vej ud? En kreditordning uden opsigelsesret er svag. En leverandør, der kan mislykkes med at nå sine mål på ubestemt tid, refundere en lille procentdel af det månedlige gebyr og holde dig fastlåst, har købt sig fri for at levere. Knyt gentagne eller alvorlige manglende resultater til opsigelse med begrundelse, uden sanktioner og med fuld bistand til opsigelse.

Omsorgspligt og samarbejdspligt

Hollandsk IT-retspraksis er usædvanligt udviklet med hensyn til leverandørens omsorgspligt. En professionel leverandør skal undersøge kundens miljø og krav, advare om risici, uegnede valg og omkostningsoverskridelser og blive ved med at advare, når rådet ignoreres. At kalde forpligtelsen for en af ​​de bedste bestræbelser neutraliserer ikke de forventninger, som leverandøren skabte før underskrivelsen.

Spejlforpligtelsen er reel og undervurderet: kunden skal samarbejde ved at give nøjagtige oplysninger, fastsætte tidsfrister, teste når der bliver spurgt om det, og sørge for adgang til kompetente personer. En kunde, der misligholder aftalen, kan komme i kreditors misligholdelse (art. 6:58 BW), hvilket blokerer leverandørens misligholdelse, undergraver et erstatningskrav og kan forhindre ophævelse.

Pointen omfatter også sikkerhed. I sagen Gemeente Hof van Twente mod Switch IT Solutions (Gerechtshof Arnhem-Leeuwarden, 25. februar 2025, ECLI:NL:GHARL:2025:1046) afviste retten kundens krav efter et ransomware-angreb, fordi sårbarhederne kunne spores tilbage til den administration, som kunden havde beholdt: en ændring af firewallen, som den selv foretog, og en svag adgangskode på en konto, den administrerede. Kontrol driver ansvar, så registrer hvilken side, der ejer hver kontrol.

Sikkerhed, certificering og revision

Accepter ikke "passende tekniske og organisatoriske foranstaltninger" som hele forpligtelsen. Angiv en navngiven standard og et omfang, såsom ISO/IEC 27001-certificering eller en SOC 2 Type II-rapport, hvor certifikatet rent faktisk dækker den service, du køber; tidsfrister tilpasset alvorlighedsgrad; hyppighed af penetrationstest; hændelsesmeddelelse med en defineret udløser, deadline og indhold; og en revisionsrute. Store leverandører afviser revisioner på stedet; et brugbart kompromis er certificering plus en ret til revision med varsel efter en hændelse.

Sektorregler kan tilføje obligatorisk indhold. Finansielle enheder er underlagt DORA (forordning (EU) 2022/2554), som foreskriver vilkår for IKT-tredjepartskontrakter. Den hollandske Cyberbeveiligingswet , der implementerer NIS2, trådte i kraft den 15. august 2026 og omfatter sektorerne for digital infrastruktur og managed service samt mange kunder. Begge ordninger har direkte indflydelse på kontrakten: for finansielle enheder under DORA og for væsentlige og vigtige enheder under Cyberbeveiligingswet stiller de krav til operationel robusthed, til hændelsesmeddelelse og til exitstrategi. Fastlæg fra starten, hvilken af ​​de to der rammer leverandøren, og hvilken der rammer dig.

Databeskyttelse

Når personoplysninger behandles, skal du have en databehandleraftale i henhold til GDPR, der dækker instruktioner, fortrolighed, sikkerhed, underdatabehandlere, registreredes rettigheder, underretning om brud og returnering eller sletning ved afslutningen. De tilbagevendende forhandlingspunkter er underdatabehandlerordningen, om du får forudgående varsel og ret til at gøre indsigelse samt internationale overførsler. EU-US Data Privacy Framework overlevede sin første indsigelse ved Retten, som afviste søgsmålet i sag T-553/23 (Latombe mod Kommissionen) den 3. september 2025, idet den fastslog, at Data Protection Review Court giver tilstrækkelige garantier for uafhængighed, og at domstolsprøvelse efter masseindsamling opfylder standarden for i det væsentlige tilsvarende beskyttelse. Der blev indgivet en appel den 31. oktober 2025 som sag C-703/25 P og er under behandling; afgørelsen om tilstrækkeligheden af ​​databeskyttelsen forbliver fuldt ud i kraft i mellemtiden.

Dataplacering og suverænitet

Placering er et kommercielt og lovgivningsmæssigt spørgsmål, før det er et databeskyttelsesspørgsmål. Spørg skriftligt: ​​hvor data opbevares, og hvorfra behandles eller tilgås de, idet man husker, at supportpersonale uden for EU udgør adgang, selv når lagringen er lokal; hvor sikkerhedskopier, katastrofegendannelseskopier og logfiler findes; hvilke enheder kan blive tvunget til at udlevere data i henhold til en udenlandsk ordre; kan man rette regionen, og hvad sker der, hvis leverandøren ændrer den. Dataloven hjælper: Udbydere skal offentliggøre og afspejle i deres kontrakter den jurisdiktion, som den implementerede infrastruktur er underlagt, og de foranstaltninger, der træffes mod ulovlig international regeringsadgang til ikke-personlige data, der opbevares i EU.

Udgangen

En udtrædelsesklausul, der forhandles i starten, er mere værd end nogen anden klausul i kontrakten. I starten har du indflydelse, og leverandøren ønsker aftalen; i slutningen har du ingen, og hver dags forsinkelse koster dig penge.

• Format. Struktureret, almindeligt anvendt og maskinlæsbar, med et dokumenteret skema, inklusive metadata, konfiguration, revisionslogfiler og vedhæftede filer. En udokumenteret dump er ikke en brugbar returfil.
• Omfang. Alt, ikke kun de poster, du har indlæst: afledte data, historiske versioner og hvad dine opbevaringsforpligtelser kræver.
• Overgangsperiode. En defineret periode, hvor tjenesten fortsætter på eksisterende vilkår, mens du migrerer, med mulighed for forlængelse til en fastsat pris.
• Hjælp. En pligt til at assistere, med navngivne roller, en dagspris der er aftalt nu, og samarbejde med din nye leverandør.
• Sletning. Certificeret sletning efter et defineret hentningsvindue, inklusive sikkerhedskopier, med angivet udløbstidspunkt.
• Udløser. Udtrædelsesforpligtelser gælder ved enhver opsigelse, herunder fra leverandørens side på grund af din manglende betaling. Leverandører udelukker ofte dette tilfælde, og det er det tilfælde, du sandsynligvis har størst brug for.

Fastlåsning, portabilitet og EU's datalovgivning

Forordning (EU) 2023/2854, dataloven, trådte i kraft den 11. januar 2024 og gælder fra den 12. september 2025. Kapitel VI opretter en leverandørskifteordning for udbydere af "databehandlingstjenester", der er defineret bredt nok til at omfatte IaaS, PaaS og SaaS.

• Forhindringer skal væk (art. 23): kommercielle, tekniske, kontraktlige og organisatoriske hindringer for opsigelse, flytning til en konkurrent og dataportering.
• Obligatoriske vilkår (art. 25): en maksimal opsigelsesperiode på to måneder for at påbegynde skift; en obligatorisk maksimal overgangsperiode på 30 kalenderdage, der kan forlænges én gang af kunden og, hvor skift er teknisk umuligt, af udbyderen op til syv måneder med begrundet varsel; derefter en datahentningsperiode på mindst 30 kalenderdage, efterfulgt af sletning.
• Afgifter (art. 29): Fra 11. januar 2024 til 12. januar 2027 må udbydere kun opkræve reducerede skiftegebyrer, der ikke overstiger de omkostninger, der er direkte forbundet med skifteprocessen. Fra den 12. januar 2027 er ombytningsgebyrer helt forbudt, afskaffelse af udgangsgebyrer.
• Tekniske forpligtelser (art. 30): Udbydere på infrastrukturniveau skal træffe alle rimelige foranstaltninger for at muliggøre funktionel ækvivalens efter skift; andre skal stille åbne grænseflader til rådighed gratis. Ingen udbyder må udvikle ny teknologi eller afsløre forretningshemmeligheder.
• Information, god tro og undtagelser (artikel 26, 27, 31): Skifteprocedurer skal offentliggøres; alle parter, inklusive destinationsudbyderen, skal samarbejde i god tro; der tilbydes skræddersyede og tidsbegrænsede testtjenester.

Tre advarsler. Databeskyttelsesloven fastsætter en bundgrænse, ikke en migrationsplan: den vil ikke gøre dine data bærbare, hvis du har bygget på proprietære platformtjenester uden tilsvarende andre steder. Timing er vigtig, og ikke på den måde, de fleste leverandører hævder: Kapitel VI har fundet anvendelse på kontrakter om databehandlingstjenester siden den 12. september 2025, uanset om de blev indgået før eller efter denne dato, så allerede gældende aftaler skulle bringes i overensstemmelse på det tidspunkt. Overgangsperioden, der slutter den 12. september 2027 i artikel 50, vedrører kapitel IV om urimelige kontraktvilkår om dataadgang og -brug og ikke skifteordningen. Separat har Kommissionen hørt om et udkast til henstilling, der indeholder ikke-bindende modelkontraktvilkår om dataadgang og -brug og ikke-bindende standardkontraktbestemmelser for cloud computing-kontrakter, som udbydere kan inkorporere, når den er vedtaget; tjek dens status, før du stoler på den. Den digitale omnibuspakke af 19. november 2025 foreslår ændringer af kapitel VI, herunder forholdsmæssige bøder for tidlig opsigelse i tidsbegrænsede kontrakter og en snæver "grandfathering" for visse kontrakter indgået før 12. september 2025, men den er stadig under lovgivningsprocessen, og den vedtagne tekst gælder fortsat, indtil den ændres. Og ren colocation og boliger falder uden for definitionen af ​​en databehandlingstjeneste og dermed uden for ordningen, forudsat at der ikke leveres skalerbar eller elastisk cloudfunktionalitet med gulvpladsen.

Kontinuitet og leverandørinsolvens

Hvis din leverandør fejler, afgør bobestyreren i henhold til artikel 37 Fw, om udestående kontrakter skal opfyldes; hvis ikke, er dit krav usikret. Kildekode-escrow blev bygget til on-premise software og gør ikke meget for SaaS: kode uden dataene, miljøet og den operationelle viden genopretter ikke en tjeneste. SaaS har brug for en kontinuitetsordning, der dækker den kørende instans, dataene og retten til at fortsætte driften. Som minimum bør kontrakten angive, at dataene er dine, ikke er underlagt nogen opbevaringsret og skal frigives ved definerede begivenheder.

Ansvar, fritagelse og pris

Leverandørstandardbetingelser på det hollandske marked domineres af NLdigital Voorwaarden, hvoraf 2025-udgaven, udgivet i oktober 2025, er den seneste. Denne udgave begrænser ansvaret for direkte tab til den aftalte pris for kontrakten, eller, for en løbende kontrakt, der løber længere end et år, til et års gebyrer, og sætter under alle omstændigheder et loft på 500,000 EUR, med et separat loft på 1,750,000 EUR for død, personskade og fysisk skade på ejendom. Indirekte tab og følgetab, tabt fortjeneste, tabt opsparing, formindsket goodwill, driftsafbrydelse og krav fra kundens egne kunder er fuldstændig udelukket. Grænserne bortfalder kun, hvor tabet skyldes forsæt eller bevidst hensynsløshed fra leverandørens ledelses side. Et krav skal anmeldes hurtigst muligt efter tabet opstår og bortfalder 24 måneder senere, medmindre der er anlagt sag. Hver ny udgave reviderer disse lofter, så det er fastslået, hvilken udgave din leverandør har indarbejdet, og om den har ændret den: tidligere udgaver er stadig i omløb, og mange leverandører bruger deres egne betingelser.

Hollandske domstole håndhæver fritagelsesklausuler mellem virksomheder. Den første vej er art. 6:248 BW: påberåbelse af klausulen mislykkes, hvor det ville være uacceptabelt ud fra rimeligheds- og retfærdighedsstandarder. Domstolene anvender testen med tilbageholdenhed og afvejer skyldens alvor, de skadede interesser, parternes positioner og hvordan risikoen blev prissat. Hensigt eller adfærd, der svarer til denne, vil generelt tilsidesætte en klausul. Hvor vilkårene er generelle betingelser (art. 6:231 BW), tillader art. 6:233 BW annullering af en urimeligt byrdefuld bestemmelse. Praktisk: forhandle et loft, der har en vis relation til den skade, en fejl ville forårsage, sæt datatab, fortrolighed, sikkerhed og IP-erstatning uden for det, og definere "følgetab".

Med hensyn til pris, fastsæt mekanismen: Sæt et loft over den årlige indeksregulering i forhold til et navngivet indeks, begræns stigninger til én gang om året med angivet varsel, og tag dig ret til at opsige uden gebyr over en bestemt tærskel. Med forbrugsbaseret prisfastsættelse skal du kun forpligte dig til de mængder, du vil bruge, og kontrollere omkostningerne ved skalering, supportniveauer og udgang.

Gældende lov, tvister og leverandører uden for EU

Vælg hollandsk lov og et hollandsk forum, hvor du kan, og afvej de praktiske punkter, der afgør, om en dom er noget værd, hvilket vi beskriver i vores artikel om, hvordan man undgår jurisdiktion og håndhævelsesproblemer . Det er ligetil at fuldbyrde en hollandsk dom inden for EU; det er ofte ikke at fuldbyrde en uden for EU. Voldgift kan være det bedre svar mod en modpart uden for EU, og i hollandske IT-tvister tilbyder SGOA-fonden sektorspecifik voldgift og mægling.

At indgå kontrakter uden for EU medfører tre realiteter. En ansvarsbegrænsning kan være let at påberåbe sig og vanskelig at anfægte i et fjerntliggende forum. Obligatoriske EU-regler, herunder databeskyttelseslovens ordning for skifte af udbyder og GDPR, kan gælde afhængigt af, hvor tjenesten tilbydes, men at anvende og håndhæve dem er forskellige ting. Og en udenlandsk forælder kan stå over for offentliggørelsesordrer, der er i konflikt med dine forpligtelser her. Hvor eksponeringen er væsentlig, skal du indgå kontrakt med leverandørens EU-enhed og insistere på et europæisk forum.

Forhandlingstjekliste

• Definer tjenesten efter lag, og registrer hvilken side der styrer hver komponent og hver sikkerhedskontrol.
• Gør tilgængelighed målbar: komponentomfang, periode, målepunkt og udelukkelser; commit ydeevne og gendan mål separat.
• Afvis servicekreditter som et eksklusivt retsmiddel, og knyt en opsigelsesret til vedvarende eller alvorlig fejl.
• Specificer sikkerhed efter standard og omfang, med dokumentation, anmeldelsesfrister og en revisionsrute.
• Underskriv en databehandleraftale, og ret placeringen af ​​data, behandling og support.
• Forhandle først om udtrædelsesklausulen: format, omfang, overgangsperiode, prissat assistance, certificeret sletning og udløsere, herunder opsigelse ved manglende betaling.
• Tjek kontrakten i forhold til datalovens krav til skifte, skriv den til den 12. januar 2027, og aftal kontinuitet: dataejerskab, ingen tilbageholdelsesret, deponering.
• Test ansvarsloftet mod det tab, et reelt nedbrud ville forårsage, og sæt data, sikkerhed, fortrolighed og IP uden for det.
• Indeksering af loft, og vælg bevidst lov, værneting og ordregivende enhed.

Law & More gennemgår og forhandler cloud-, hosting- og colocation-kontrakter for kunder og leverandører: serviceniveauer, sikkerheds- og revisionsrettigheder, databehandleraftaler, overholdelse af udtrædelses- og databeskyttelsesloven, ansvarslofter og valg af lov og værneting. Hvis en kontrakt er på bordet, eller en tjeneste fejler, er vores IT-advokater vil fortælle dig, hvor den reelle eksponering ligger, før du underskriver.