Moln-, hosting- och colocation-avtal enligt nederländsk lag

Nästan alla internationella företag som är verksamma i Nederländerna köper datorkapacitet från någon annan. Avtalet som styr detta är vanligtvis en leverantörsmall, undertecknad under tidspress, med ett servicenivåavtal påsatt och en utträdesklausul som ingen läser. Den här artikeln beskriver hur nederländsk lag behandlar dessa avtal, var standardvillkor är svagast för kunden och vad EU:s datalag nu kräver vid byte.

De tre lagren, plus hosting och colocation

”Molnet” är inte en enda produkt. Vad kunden kontrollerar förändras på varje lager, och det gör även vad kontraktet måste skydda.

Ju längre ner i stacken du befinner dig, desto mer är din operativa risk, och ju längre upp, desto mer låst är du. Samlokalisering är undantaget: du köper golvyta, ström och fysisk säkerhet, så de avgörande villkoren är effekttäthet och redundans, uppsägningstid, eskalering av strömavgifter, fjärrarbetare och din rätt att ta bort dina rack. Med vanlig hosting är tvisten nästan alltid omfattningen: var leverantören ansvarig för patchning, övervakning och säkerhetskopiering, eller bara för att hålla maskinen strömförsörjd?

Hur nederländsk lag karaktäriserar avtalet

Nederländsk lag har ingen avtalstyp som kallas ”molnavtal”. Domstolar karakteriserar avtalet utifrån vad parterna kom överens om och hur de presterade, och tillämpar sedan reglerna för den eller de typer som passar.

• Opdracht (art. 7:400 BW): standardinställningen för SaaS, PaaS, managed hosting och servicedelen av IaaS.
• Hyra (art. 7:201 BW): hyresavtalet kräver användning av en fall, ett konkret objekt (art. 3:2 BW). Programvara och data är inte det, så ren SaaS är inte leasing. Samlokaliseringsutrymme och dedikerad hårdvara är det rimligen, vilket är anledningen till att samlokaliseringsavtal ofta har leasingkaraktäristik oavsett vad leverantören kallar dem.
• Koop (artikel 7:1 BW): i Bildbrigaden (HR 27 april 2012, ECLI:NL:HR:2012:BV1301) fastslog Hoge Raad att förvärv av standardprogramvara för obegränsad användning mot en engångsbetalning faller under försäljningsbestämmelserna. Detta gäller inte för en prenumerationstjänst, men det gäller för permanenta licenser i ett hybridavtal.
• Gemensamma möten (art. 6:215 BW): de flesta avtal i fast egendom är blandade, och reglerna för varje typ gäller kumulativt om de inte är oförenliga.

Varför karaktärisering är viktig

Uppsägning. Enligt artikel 7:408 BW kan klienten i princip säga upp en opdracht när som helst, och artikel 7:411 BW reglerar vad leverantören sedan är skyldig. Mellan företag är dessa regler i stor utsträckning öppna för motstridiga avtal (se artikel 7:413 BW), och mallar ersätter dem med fasta villkor, automatisk förnyelse och lång uppsägningstid. Om ett avtal med obestämd tid inte har någon uppsägningsklausul behandlar nederländsk rättspraxis det i allmänhet som uppsägningsbart, men rimlighet och rättvisa kan kräva uppsägning, ersättning eller en tungtvägd grund.

Omsorgsplikt. Om avtalet är en opdracht (opdracht), föreskriver artikel 7:401 BW en god entreprenörs omsorg: en verkställbar standard som nederländska domstolar har använt för att ålägga leverantörer skyldigheter att utreda, varna och leda projektet, vilket avtalet aldrig nämnde. Vid en köp- eller leasingkarakteristik är vägen istället avtalsenlighet eller fel.

Servicenivåavtalet

Tillgänglighet och hur den mäts

• Vad som mäts: hela tjänsten, eller en komponent? En plattform som svarar på en hälsokontroll medan inloggningen är nere räknas som "tillgänglig" enligt många SLA:er.
• Under vilken period: 99.9 procent mätt årligen tillåter ett längre avbrott; mätt månadsvis begränsar det en enskild incident betydligt mer.
• Av vem, varifrån: Leverantörsövervakning inom sitt eget nätverk rapporterar bättre siffror än en sondering från ditt kontor.
• Vad som är undantaget: underhåll, nätverksfel hos tredje part, force majeure och "kundorsakade" incidenter räknas rutinmässigt bort, och undantagen tid lämnar normalt också nämnaren, vilket blåser upp siffran.

Tillgänglighet är inte prestanda. En tjänst kan vara fullt tillgänglig och oanvändbart långsam. Åtgärda hastighet separat: svarsmål, batchfönster, återställningstid och återställningspunktsmål, samt supportsvarstider per prioritetsklass. Säkerhetskopiering kräver ett eget åtagande, inklusive en testad återställning. Åtgärda även underhållsfönster: tidpunkt, varsel, frekvens och varaktighet. För en internationell verksamhet behöver "utanför kontorstid" en tidszon.

Servicekrediter och exklusivitetsfällan

• Är de det enda botemedlet? Leverantörernas villkor säger vanligtvis så, vilket förvandlar varje fel till en blygsam rabatt och avskärmer skador. Undvik åtminstone ihållande, avsiktliga eller grovt oaktsamma intrång, och alla intrång som också är ett säkerhets- eller dataintrång.
• Måste du göra anspråk på dem? Många system kräver en reklamation inom en kort tidsram, annars förfaller krediten. Kräv automatisk kreditering på fakturan.
• Finns det en väg ut? En kreditordning utan uppsägningsrätt är svag. En leverantör som kan missa sina mål på obestämd tid, återbetala en liten procentandel av månadsavgiften och hålla dig bunden har köpt sig fri från att prestera. Knyt upprepade eller allvarliga underlåtenheter till uppsägning av skäl, utan påföljd och med fullständigt avgångshjälp.

Omsorgsplikt och samarbetsplikt

Holländsk IT-rättspraxis är ovanligt utvecklad när det gäller leverantörens omsorgsplikt. En professionell leverantör måste undersöka kundens miljö och krav, varna för risker, olämpliga val och kostnadsöverskridanden, och fortsätta varna när råden ignoreras. Att kalla skyldigheten för en av de bästa ansträngningarna neutraliserar inte förväntningar som leverantören skapade före undertecknandet.

Spegelskyldigheten är verklig och underskattad: kunden måste samarbeta genom att tillhandahålla korrekt information, bestämma tidpunkt, testa när den blir tillfrågad och ge tillgång till kompetent personal. En kund som misslyckas kan hamna i borgenärsdröjsmål (art. 6:58 BW), vilket blockerar leverantörens dröjsmål, undergräver ett skadeståndsanspråk och kan omintetgöra hävning.

Poängen sträcker sig till säkerhet. I Gemeente Hof van Twente mot Switch IT Solutions (Gerechtshof Arnhem-Leeuwarden, 25 februari 2025, ECLI:NL:GHARL:2025:1046) avslog domstolen kundens yrkande efter en ransomware-attack, på grund av sårbarheterna som kunde spåras till administrationen som kunden hade behållit: en brandväggsändring som den själv gjorde och ett svagt lösenord på ett konto den hanterade. Kontroll driver ansvar, så registrera vilken sida som äger varje kontroll.

Säkerhet, certifiering och revision

Acceptera inte ”lämpliga tekniska och organisatoriska åtgärder” som hela skyldigheten. Ange en namngiven standard och omfattning, såsom ISO/IEC 27001-certifiering eller en SOC 2 typ II-rapport, där certifikatet faktiskt täcker den tjänst du köper; korrigering av tidsramar efter allvarlighetsgrad; frekvens för penetrationstest; incidentanmälan med en definierad utlösare, deadline och innehåll; och en revisionsväg. Stora leverantörer vägrar revisioner på plats; en fungerande kompromiss är certifiering plus rätten till revision med förvarning efter en incident.

Sektorsregler kan lägga till obligatoriskt innehåll. Finansiella enheter omfattas av DORA (förordning (EU) 2022/2554), som föreskriver villkor för IKT-avtal med tredjeparter. Den nederländska Cyberbeveiligingswet , som implementerar NIS2, trädde i kraft den 15 augusti 2026 och omfattar sektorerna för digital infrastruktur och hanterade tjänster samt många kunder. Båda systemen påverkar direkt avtalet: för finansiella enheter enligt DORA, och för väsentliga och viktiga enheter enligt Cyberbeveiligingswet, ställer de krav på operativ motståndskraft, incidentanmälan och exitstrategi. Fastställ från början vilken av de två som drabbar leverantören och vilken som drabbar dig.

Dataskydd

När personuppgifter behandlas behöver du ett behandlingsavtal enligt GDPR, som omfattar instruktioner, sekretess, säkerhet, underbiträden, registrerades rättigheter, anmälan om intrång och återlämnande eller radering i slutet. De återkommande förhandlingspunkterna är ordningen för underbiträden, huruvida du får förhandsmeddelande och rätt att invända, samt internationella överföringar. EU:s och USA:s ramverk för dataskydd överlevde sin första överklagan vid tribunalen, som avvisade talan i mål T-553/23 (Latombe mot kommissionen) den 3 september 2025. Tribunalen fann att dataskyddsdomstolen erbjuder tillräckliga garantier för oberoende och att rättslig prövning efter bulkinsamling uppfyller standarden för i huvudsak likvärdigt skydd. Ett överklagande lämnades in den 31 oktober 2025 som mål C-703/25 P och är anhängigt; beslutet om adekvat skyddsnivå är fortfarande fullt i kraft under tiden.

Datalokalisering och suveränitet

Platsering är en kommersiell och regulatorisk fråga innan den är en dataskyddsfråga. Fråga skriftligen: var data lagras och varifrån de behandlas eller nås, med tanke på att supportpersonal utanför EU utgör åtkomst även när lagringen är lokal; var säkerhetskopior, katastrofåterställningskopior och loggar finns; vilka enheter som kan tvingas lämna över data enligt en utländsk order; kan man åtgärda regionen och vad händer om leverantören ändrar den. Datalagen hjälper: leverantörer måste offentliggöra, och i sina avtal återspegla, vilken jurisdiktion som den driftsatta infrastrukturen omfattas av och de åtgärder som vidtagits mot olaglig internationell statlig åtkomst till icke-personuppgifter som lagras i EU.

Utgången

En utträdesklausul som förhandlats fram i början är värd mer än någon annan klausul i kontraktet. I början har du intäktskraft och leverantören vill ha avtalet; i slutet har du ingen, och varje dag av försening kostar dig pengar.

• Format. Strukturerad, allmänt använd och maskinläsbar, med ett dokumenterat schema, inklusive metadata, konfiguration, granskningsloggar och bilagor. En odokumenterad dump är inte en användbar retur.
• Omfattning. Allt, inte bara de poster du laddade: härledda data, historiska versioner och vad dina lagringsskyldigheter än kräver.
• Övergångstid. En definierad period under vilken tjänsten fortsätter enligt befintliga villkor medan du migrerar, med möjlighet till förlängning till ett angivet pris.
• Bistånd. En skyldighet att bistå, med namngivna roller, en dagspris som nu överenskommits och samarbete med din nya leverantör.
• Radering. Certifierad radering efter ett definierat hämtningsfönster, inklusive säkerhetskopior, med angiven utgångstidpunkt.
• Utlösare. Utgångsskyldigheter gäller vid all uppsägning, inklusive från leverantörens sida på grund av din utebliven betalning. Leverantörer utesluter ofta det fallet, och det är det fallet du sannolikt kommer att behöva.

Inlåsning, portabilitet och EU:s datalag

Förordning (EU) 2023/2854, datalagen, trädde i kraft den 11 januari 2024 och gäller från och med den 12 september 2025. Kapitel VI skapar ett bytesregim för leverantörer av ”databehandlingstjänster”, definierat tillräckligt brett för att omfatta IaaS, PaaS och SaaS.

• Hinder måste bort (artikel 23): kommersiella, tekniska, avtalsmässiga och organisatoriska hinder för uppsägning, övergång till en konkurrent och dataportering.
• Obligatoriska villkor (artikel 25): en maximal uppsägningstid på två månader för att påbörja bytet; en obligatorisk övergångsperiod på maximalt 30 kalenderdagar, som kan förlängas en gång av kunden och, om byte är tekniskt ogenomförbart, av leverantören upp till sju månader med motiverat varsel; därefter en datainhämtningstid på minst 30 kalenderdagar, följt av radering.
• Avgifter (artikel 29): från och med den 11 januari 2024 till och med den 12 januari 2027 får leverantörer endast ta ut reducerade bytesavgifter, vilka inte överstiger de kostnader som är direkt kopplade till bytesprocessen. Från och med den 12 januari 2027 är bytesavgifter helt förbjudna, och slutar med avgångsavgifter vid utfart.
• Tekniska skyldigheter (artikel 30): Leverantörer på infrastrukturnivå måste vidta alla rimliga åtgärder för att möjliggöra funktionell likvärdighet efter byte; andra måste göra öppna gränssnitt tillgängliga kostnadsfritt. Ingen leverantör får utveckla ny teknik eller avslöja affärshemligheter.
• Information, god tro och undantag (artiklarna 26, 27, 31): bytesförfaranden måste redovisas; alla parter, inklusive destinationsleverantören, måste samarbeta i god tro; skräddarsydda och tidsbegränsade testtjänster finns tillgängliga.

Tre varningar. Datalagen anger ett golv, inte en migreringsplan: den kommer inte att göra dina data portabla om du byggde på proprietära plattformstjänster utan motsvarighet någon annanstans. Tidpunkten spelar roll, och inte på det sätt som de flesta leverantörer hävdar: Kapitel VI har tillämpats på avtal för databehandlingstjänster sedan den 12 september 2025, oavsett om de ingicks före eller efter det datumet, så redan löpande avtal var tvungna att anpassas till den tidpunkten. Övergångsperioden som slutar den 12 september 2027 i artikel 50 gäller kapitel IV, om oskäliga avtalsvillkor om dataåtkomst och -användning, och inte bytesordningen. Separat har kommissionen samrått om ett utkast till rekommendation som innehåller icke-bindande modellavtalsvillkor om dataåtkomst och -användning och icke-bindande standardavtalsklausuler för molntjänstavtal, som leverantörer kan införliva när den har antagits; kontrollera dess status innan du förlitar dig på den. Det digitala omnibuspaketet av den 19 november 2025 föreslår visserligen ändringar i kapitel VI, bland annat proportionella straffavgifter vid förtida uppsägning av tidsbegränsade avtal och ett snävt undantag för vissa avtal som ingåtts före den 12 september 2025, men det är fortfarande under lagstiftningsprocessen och den antagna texten fortsätter att gälla tills den ändras. Och ren samlokalisering och bostäder faller utanför definitionen av en databehandlingstjänst, och därmed utanför ordningen, förutsatt att ingen skalbar eller elastisk molnfunktionalitet tillhandahålls med golvytan.

Kontinuitet och leverantörsinsolvens

Om din leverantör fallerar beslutar förvaltaren enligt artikel 37 Fw om huruvida utestående kontrakt ska fullgöras; om inte är ditt anspråk osäkert. Källkodsdeponering byggdes för lokal programvara och gör lite för SaaS: kod utan data, miljön och den operativa kunskapen återställer inte en tjänst. SaaS behöver ett kontinuitetsarrangemang som täcker den pågående instansen, data och rätten att fortsätta driften. Som ett minimum bör kontraktet ange att data är dina, inte omfattas av någon lagringsrätt och måste släppas vid definierade händelser.

Ansvar, ansvarsfrihet och pris

Leverantörsstandardvillkor på den nederländska marknaden domineras av NLdigital Voorwaarden, varav 2025 års upplaga, publicerad i oktober 2025, är den senaste. Den upplagan begränsar ansvaret för direkt förlust till det överenskomna priset för kontraktet, eller, för ett pågående kontrakt som löper längre än ett år, till ett års avgifter, och begränsar det under alla omständigheter till 500 000 euro, med ett separat tak på 1 750 000 euro för dödsfall, personskada och fysisk skada på egendom. Indirekta förluster och följdskador, utebliven vinst, förlorade besparingar, minskad goodwill, avbrott i verksamheten och krav från kundens egna kunder är helt undantagna. Gränserna bortfaller endast om förlusten beror på uppsåt eller medveten vårdslöshet från leverantörens lednings sida. Ett krav måste anmälas så snart som möjligt efter att förlusten uppstått och förfaller tjugofyra månader senare om inte förfaranden har inletts. Varje ny upplaga reviderar dessa tak, så fastställ vilken utgåva din leverantör har införlivat och om den har ändrat den: tidigare utgåvor finns fortfarande i omlopp och många leverantörer använder egna villkor.

Holländska domstolar tillämpar klausuler om befrielse från ansvar mellan företag. Den första vägen är artikel 6:248 BW: åberopande av klausulen misslyckas där det skulle vara oacceptabelt enligt rimlighets- och rättvisestandarder. Domstolarna tillämpar testet med återhållsamhet och väger hur allvarligt felet är, de skadade intressena, parternas ståndpunkter och hur risken prissattes. Avsikt eller beteende som motsvarar avsikten kommer i allmänhet att ogiltigförklara en klausul. När villkoren är allmänna villkor (artikel 6:231 BW) tillåter artikel 6:233 BW ogiltigförklaring av ett orimligt betungande villkor. Praktiskt sett: förhandla fram ett tak som har någon relation till den skada ett fel skulle orsaka, lägg dataförlust, sekretess, säkerhet och immateriella rättigheter utanför det och definiera "följdskada".

När det gäller pris, fixa mekanismen: sätt ett tak för den årliga indexeringen mot ett namngivet index, begränsa ökningar till en gång per år med angivet varsel och ta dig rätten att säga upp utan påföljd över en viss tröskel. Med konsumtionsbaserad prissättning, bind dig endast till de volymer du kommer att använda och kontrollera kostnaden för skalning, supportnivåer och utgående kostnader.

Tillämplig lag, tvister och leverantörer utanför EU

Välj nederländsk lag och ett nederländskt forum där du kan, och väg de praktiska punkterna som avgör om en dom är värd något, vilket vi redogör för i vår artikel om hur man undviker jurisdiktion och verkställighetsproblem . Att verkställa en nederländsk dom inom EU är enkelt; att verkställa en utanför är det ofta inte. Skiljedom kan vara det bättre svaret mot en motpart utanför EU, och i nederländska IT-tvister erbjuder SGOA-stiftelsen sektorspecifik skiljedom och medling.

Att upphandla avtal utanför EU medför tre realiteter. En ansvarsbegränsning kan vara lätt att åberopa och svår att bestrida i ett avlägset forum. Obligatoriska EU-regler, inklusive bytesordningen enligt dataskyddslagen och GDPR, kan tillämpas beroende på var tjänsten erbjuds, men att tillämpa och verkställa dem är olika saker. Och en utländsk förälder kan ställas inför offentliggörandeorder som strider mot dina skyldigheter här. Om exponeringen är väsentlig, ingå avtal med leverantörens EU-enhet och insistera på ett europeiskt forum.

Checklista för förhandlingar

• Definiera tjänsten per lager och registrera vilken sida som styr varje komponent och varje säkerhetskontroll.
• Gör tillgängligheten mätbar: komponentens omfattning, period, mätpunkt och undantag; bekräfta prestanda och återställ mål separat.
• Avvisa servicekrediter som en exklusiv gottgörelse och bifoga en uppsägningsrätt vid ihållande eller allvarligt fel.
• Specificera säkerhet efter standard och omfattning, med bevis, anmälningsdatum och en revisionsväg.
• Skriv under ett behandlingsavtal och åtgärda platser för data, behandling och support.
• Förhandla först om utträdesklausulen: format, omfattning, övergångsperiod, prissatt bistånd, certifierad radering och utlösande faktorer inklusive uppsägning vid utebliven betalning.
• Kontrollera kontraktet mot datalagens krav på byte, skriv in det den 12 januari 2027 och avtala kontinuitet: dataägande, ingen lagringsrätt, depositionskonto.
• Testa ansvarstaket mot den förlust ett verkligt fel skulle orsaka, och placera data, säkerhet, sekretess och immateriella rättigheter utanför det.
• Indexering av tak, och välj lag, forum och upphandlande enhet medvetet.

Law & More granskar och förhandlar moln-, hosting- och colocation-avtal för kunder och leverantörer: servicenivåer, säkerhets- och revisionsrättigheter, behandlingsavtal, efterlevnad av utträde och dataskyddslagen, ansvarstak och val av lag och forum. Om ett avtal är aktuellt eller en tjänst slutar fungera, vår IT-jurister kommer att berätta var den verkliga exponeringen ligger innan du skriver under.