Pogodbe o oblaku, gostovanju in kolokaciji po nizozemskem pravu

Skoraj vsako mednarodno podjetje, ki posluje na Nizozemskem, kupi računalniške zmogljivosti od nekoga drugega. Pogodba, ki to ureja, je običajno predloga dobavitelja, podpisana pod časovnim pritiskom, s priloženim sporazumom o ravni storitev in izstopno klavzulo, ki je nihče ni prebral. Ta članek opisuje, kako nizozemska zakonodaja obravnava te pogodbe, kje so standardni pogoji za stranko najšibkejši in kaj zdaj zahteva zakon EU o varstvu podatkov pri menjavi dobavitelja.

Tri plasti, plus gostovanje in kolokacija

»Oblak« ni en sam izdelek. Kar stranka nadzoruje, se spreminja na vsaki plasti, prav tako pa tudi to, kaj mora pogodba zaščititi.

Nižje kot ste na lestvici, večje je vaše operativno tveganje, višje kot ste, bolj ste zaprti vase. Kolokacija je izjema: kupite prostor, napajanje in fizično varnost, zato so odločilni pogoji gostota moči in redundanca, odpovedni rok, stopnjevanje stroškov energije, oddaljeni operaterji in vaša pravica do odstranitve vaših omar. Pri preprostem gostovanju je spor skoraj vedno obseg: ali je bil dobavitelj odgovoren za nameščanje popravkov, spremljanje in varnostne kopije ali le za vzdrževanje napajanja naprave?

Kako nizozemsko pravo opredeljuje pogodbo

Nizozemsko pravo ne pozna vrste pogodbe, imenovane »oblak«. Sodišča opredelijo, kaj so se stranke dogovorile in kako so izpolnile svoje obveznosti, nato pa uporabijo pravila ustrezne vrste ali vrst.

• Opdracht (člen 7:400 BW): privzeta vrednost za SaaS, PaaS, upravljano gostovanje in storitveni element IaaS.
• Najemnina (člen 7:201 BW): najemna pogodba zahteva uporabo primer, oprijemljiv predmet (člen 3:2 BW). Programska oprema in podatki nista, zato čisti SaaS ni najem. Kolokacijski prostor in namenska strojna oprema verjetno sta, zato imajo kolokacijske pogodbe pogosto značilnosti najema, ne glede na to, kako jih dobavitelj imenuje.
• Nakup (člen 7:1 BW): v De Beeldbrigade (HR, 27. april 2012, ECLI:NL:HR:2012:BV1301) je Hoge Raad razsodil, da pridobitev standardne programske opreme za neomejeno uporabo proti enkratnemu plačilu spada pod določbe o prodaji. To se ne prenese na naročniško storitev, je pa pomembno za trajne licence v hibridnem poslu.
• Splošna udeležba (člen 6:215 BW): večina resničnih pogodb je mešanih in pravila vsake vrste se uporabljajo kumulativno, razen če so nezdružljiva.

Zakaj je karakterizacija pomembna

Prekinitev. V skladu s členom 7:408 BW lahko stranka načeloma kadar koli prekine pogodbo, člen 7:411 BW pa ureja, kaj se nato dolguje dobavitelju. Med podjetji so ta pravila v veliki meri odprta za nasprotni dogovor (glej člen 7:413 BW), predloge pa jih nadomeščajo s fiksnimi pogoji, samodejnim podaljšanjem in dolgim ​​odpovednim rokom. Kadar pogodba za nedoločen čas nima klavzule o prekinitvi, jo nizozemska sodna praksa na splošno obravnava kot prekinljivo, vendar lahko razumnost in pravičnost zahtevata odpoved, odškodnino ali tehten razlog.

Dolžnost skrbnosti. Če je pogodba opdracht, člen 7:401 BW nalaga skrbnost dobrega izvajalca: izvršljiv standard, ki so ga nizozemska sodišča uporabljala za to, da so dobavitelje zavezala k dolžnostim preiskave, opozarjanja in vodenja projektov, ki jih pogodba nikoli ni omenila. Pri karakterizaciji prodaje ali najema je pot namesto tega skladnost ali napaka.

Sporazum o ravni storitev

Razpoložljivost in kako se meri

• Kaj se meri: celotna storitev ali ena komponenta? Platforma, ki odgovarja na preverjanje stanja, medtem ko je prijava nedostopna, se v skladu s številnimi sporazumi o ravni storitev (SLA) šteje kot »na voljo«.
• V kakšnem obdobju: 99.9 odstotka, merjeno letno, dovoljuje en daljši izpad; merjeno mesečno pa veliko bolj natančno omejuje en sam incident.
• Od koga, od kod: Spremljanje dobaviteljev znotraj lastnega omrežja poroča o boljših številkah kot sonda iz vaše pisarne.
• Kaj je izključeno: vzdrževanje, okvara omrežja tretjih oseb, višja sila in incidenti, ki jih »povzročijo stranke«, se rutinsko izločijo, izključeni čas pa običajno prav tako zapusti imenovalec, kar poveča številko.

Razpoložljivost ni zmogljivost. Storitev je lahko popolnoma razpoložljiva in hkrati neuporabno počasna. Zavežite se k hitrosti ločeno: cilji odziva, paketna okna, čas obnovitve in cilji točk obnovitve ter odzivni časi podpore za vsak razred prioritete. Varnostno kopiranje potrebuje svojo lastno zavezo, vključno s preizkušeno obnovitvijo. Določite tudi okna vzdrževanja: čas, obvestila, pogostost in trajanje. Za mednarodno delovanje potrebuje »zunaj uradnih ur« časovni pas.

Storitvene dobropise in past ekskluzivnosti

• Ali so oni edino zdravilo? Pogoji dobaviteljev običajno tako določajo, kar vsako napako spremeni v skromen popust in izključi škodo. Vsaj izključite vztrajne, namerne ali hudo malomarne kršitve ter vsako kršitev, ki je hkrati tudi kršitev varnosti ali podatkov.
• Jih morate zahtevati? Številne ureditve zahtevajo vložitev zahtevka v kratkem roku, sicer dobropis zapade. Vztrajajte pri samodejnem dobropisu na računu.
• Ali obstaja izhod? Kreditni režim brez pravice do prekinitve je šibek. Dobavitelj, ki lahko v nedogled ne doseže svojih ciljev, vrne majhen odstotek mesečne naročnine in vas obdrži pri delu, si je kupil pot naprej. Ponavljajoče se ali resne neizpolnjevanje obveznosti povežite z razlogom za odpoved pogodbe, brez kazni in s polno pomočjo pri odhodu.

Dolžnost skrbnosti in dolžnost sodelovanja

Nizozemska sodna praksa na področju IT je nenavadno razvita glede dolžnosti skrbnosti dobavitelja. Profesionalni dobavitelj mora raziskati okolje in zahteve stranke, opozoriti na tveganja, neprimerne odločitve in prekoračitve stroškov ter opozarjati, kadar se nasvet prezre. Če to obveznost označimo za eno od najboljših prizadevanj, to ne nevtralizira pričakovanj, ki jih je dobavitelj ustvaril pred podpisom.

Obveznost ogledala je resnična in podcenjena: stranka mora sodelovati z zagotavljanjem točnih informacij, pravočasnim odločanjem, preverjanjem, ko je to zahtevano, ter zagotavljanjem dostopa in usposobljenih ljudi. Stranka, ki ne izpolni obveznosti, se lahko znajde v upnikovi zamudi (člen 6:58 BW), kar blokira dobaviteljevo zamudo, spodkopava odškodninski zahtevek in lahko onemogoči odpoved pogodbe.

To se nanaša tudi na varnost. V zadevi Gemeente Hof van Twente proti Switch IT Solutions (Gerechtshof Arnhem-Leeuwarden, 25. februar 2025, ECLI:NL:GHARL:2025:1046) je sodišče zavrnilo zahtevek stranke po napadu z izsiljevalsko programsko opremo, ker so ranljivosti izhajale iz administracije, ki jo je stranka obdržala: sprememba požarnega zidu, ki jo je naredila sama, in šibko geslo za račun, ki ga je upravljala. Nadzor nalaga odgovornost, zato zabeležite, katera stran je lastnica posameznega nadzora.

Varnost, certificiranje in revizija

Ne sprejmite »ustreznih tehničnih in organizacijskih ukrepov« kot celotne obveznosti. Navedite imenovan standard in obseg, kot je certifikat ISO/IEC 27001 ali poročilo SOC 2 Type II, pri čemer certifikat dejansko pokriva storitev, ki jo kupite; časovne okvire za nameščanje popravkov glede na resnost; pogostost testiranja vdora; obveščanje o incidentih z določenim sprožilcem, rokom in vsebino; ​​ter pot revizije. Veliki dobavitelji zavračajo revizije na kraju samem; izvedljiv kompromis je certificiranje in pravica do revizije z obvestilom po incidentu.

Sektorska pravila lahko dodajo obvezno vsebino. Za finančne subjekte velja DORA (Uredba (EU) 2022/2554), ki predpisuje pogoje za pogodbe s tretjimi osebami na področju IKT. Nizozemski Cyberbeveiligingswet , ki izvaja NIS2, je začel veljati 15. avgusta 2026 in se nanaša na sektorja digitalne infrastrukture in upravljanih storitev ter številne stranke. Obe ureditvi neposredno vplivata na pogodbo: za finančne subjekte v okviru DORA in za bistvene in pomembne subjekte v okviru Cyberbeveiligingswet nalagata zahteve glede operativne odpornosti, obveščanja o incidentih in strategije izhoda. Že na začetku ugotovite, katera od obeh ujame dobavitelja in katera vas.

Varstvo podatkov

Kadar se obdelujejo osebni podatki, potrebujete sporazum o obdelavi v skladu z GDPR, ki zajema navodila, zaupnost, varnost, podobdelovalce, pravice posameznikov, na katere se nanašajo osebni podatki, obveščanje o kršitvah in vračilo ali izbris na koncu. Ponavljajoče se pogajalske točke so režim podobdelovalcev, ali prejmete predhodno obvestilo in pravico do ugovora, ter mednarodni prenosi. Okvir EU-ZDA za varstvo podatkov je preživel svoj prvi izziv pred Splošnim sodiščem, ki je 3. septembra 2025 zavrnilo tožbo v zadevi T-553/23 (Latombe proti Komisiji) in razsodilo, da Sodišče za pregled varstva podatkov ponuja zadostna jamstva za neodvisnost in da sodni pregled po množičnem zbiranju podatkov izpolnjuje standard v bistvu enakovredne zaščite. Pritožba je bila vložena 31. oktobra 2025 kot zadeva C-703/25 P in je v teku; sklep o ustreznosti medtem ostaja v celoti v veljavi.

Lokacija podatkov in suverenost

Lokacija je komercialno in regulativno vprašanje, preden gre za vprašanje varstva podatkov. Pisno vprašajte: kje so podatki shranjeni in od kod se obdelujejo ali do njih dostopa, pri čemer ne pozabite, da podporno osebje zunaj EU omogoča dostop, tudi če je shranjevanje lokalno; kje se nahajajo varnostne kopije, kopije za obnovo po nesreči in dnevniki; kateri subjekti bi lahko bili prisiljeni izročiti podatke na podlagi tujega naročila; ali lahko določite regijo in kaj se zgodi, če jo dobavitelj spremeni. Zakon o podatkih pomaga: ponudniki morajo objaviti in v svojih pogodbah upoštevati jurisdikcijo, ki ji je podvržena nameščena infrastruktura, in ukrepe, sprejete proti nezakonitemu dostopu mednarodnih vlad do neosebnih podatkov, ki se hranijo v EU.

Izhod

Izstopna klavzula, dogovorjena na začetku, je vredna več kot katera koli druga klavzula v pogodbi. Na začetku imate vzvod in dobavitelj si želi skleniti posel; na koncu ga nimate in vsak dan zamude vas stane.

• Format. Strukturiran, pogosto uporabljen in strojno berljiv, z dokumentirano shemo, vključno z metapodatki, konfiguracijo, dnevniki nadzora in prilogami. Nedokumentiran izpis ni uporaben rezultat.
• Obseg. Vse, ne le zapisi, ki ste jih naložili: izpeljani podatki, zgodovinske različice in vse, kar zahtevajo vaše obveznosti hrambe.
• Prehodno obdobje. Določeno obdobje, v katerem se storitev nadaljuje pod obstoječimi pogoji med selitvijo, ki ga je mogoče podaljšati po določeni ceni.
• Pomoč. Dolžnost pomoči, z imenovanimi vlogami, dogovorjeno dnevno postavko in sodelovanjem z vašim novim dobaviteljem.
• Izbris. Potrjeno brisanje po določenem časovnem oknu za pridobitev, vključno z varnostnimi kopijami, z navedenim časom poteka veljavnosti.
• Sprožilec. Obveznosti izstopa veljajo za vsako odpoved pogodbe, vključno s prekinitvijo s strani dobavitelja zaradi vašega neplačila. Dobavitelji pogosto izključijo ta primer in to je tisti, ki ga boste najverjetneje potrebovali.

Vezanost, prenosljivost in zakon EU o varstvu podatkov

Uredba (EU) 2023/2854, Zakon o varstvu podatkov, je začela veljati 11. januarja 2024 in se uporablja od 12. septembra 2025. Poglavje VI vzpostavlja režim menjave ponudnikov „storitev obdelave podatkov“, ki je opredeljen dovolj široko, da zajema IaaS, PaaS in SaaS.

• Ovire morajo izginiti (člen 23): poslovne, tehnične, pogodbene in organizacijske ovire za prekinitev, prehod h konkurentu in prenos podatkov.
• Obvezni pogoji (člen 25): najdaljši odpovedni rok za začetek menjave ponudnika je dva meseca; obvezno prehodno obdobje je najdaljše možno trajanje 30 koledarskih dni, ki ga lahko stranka enkrat podaljša, če menjava tehnično ni izvedljiva, pa ponudnik podaljša do sedem mesecev z obrazloženim odpovednim rokom; nato obdobje pridobivanja podatkov najmanj 30 koledarskih dni, ki mu sledi izbris.
• Stroški (člen 29): od 11. januarja 2024 do 12. januarja 2027 lahko ponudniki zaračunajo le znižane stroške zamenjave, ki ne presegajo stroškov, neposredno povezanih s postopkom zamenjave. Od 12. januarja 2027 so stroški zamenjave plačilnega sistema popolnoma prepovedani., s čimer se odpravijo izstopne pristojbine.
• Tehnične obveznosti (člen 30): ponudniki na ravni infrastrukture morajo sprejeti vse razumne ukrepe, da omogočijo funkcionalno enakovrednost po zamenjavi; drugi morajo brezplačno dati na voljo odprte vmesnike. Noben ponudnik ne sme razvijati nove tehnologije ali razkrivati ​​poslovnih skrivnosti.
• Informacije, dobra vera in izjeme (členi 26, 27, 31): postopki zamenjave morajo biti razkriti; vse stranke, vključno s ponudnikom namembnih storitev, morajo sodelovati v dobri veri; določene so prilagojene in časovno omejene testne storitve.

Tri opozorila. Zakon o podatkih določa spodnjo mejo, ne načrta migracije: vaših podatkov ne bo omogočil prenosljivosti, če ste gradili na lastniških platformskih storitvah, ki nimajo enakovrednega programa drugje. Časovna usklajenost je pomembna, in to ne na način, kot trdi večina ponudnikov: Poglavje VI se uporablja za pogodbe o storitvah obdelave podatkov od 12. septembra 2025, ne glede na to, ali so bile sklenjene pred tem datumom ali po njem, zato je bilo treba do takrat uskladiti že veljavne pogodbe. Prehodno obdobje, ki se konča 12. septembra 2027 v členu 50, se nanaša na Poglavje IV o nepoštenih pogodbenih pogojih o dostopu do podatkov in njihovi uporabi, ne pa na režim zamenjave. Komisija se je ločeno posvetovala o osnutku priporočila, ki vsebuje nezavezujoče vzorčne pogodbene pogoje o dostopu do podatkov in njihovi uporabi ter nezavezujoče standardne pogodbene klavzule za pogodbe o računalništvu v oblaku, ki jih lahko ponudniki vključijo, ko bo sprejeto; preden se nanj zanesete, preverite njegov status. Digitalni omnibus paket z dne 19. novembra 2025 sicer predlaga spremembe poglavja VI, med drugim sorazmerne kazni za predčasno odpoved pogodb za določen čas in ozko ohranitev prejšnjih pravic nekaterih pogodb, sklenjenih pred 12. septembrom 2025, vendar je še vedno v zakonodajnem postopku in sprejeto besedilo se uporablja do njegove spremembe. Čista kolokacija in nastanitev pa ne spadata v opredelitev storitve obdelave podatkov in zato ne spadata v ureditev, če s prostorom ni zagotovljena nobena prilagodljiva ali elastična funkcionalnost v oblaku.

Kontinuiteta in insolventnost dobavitelja

Če vaš dobavitelj ne izpolni svojih obveznosti, se skrbnik v skladu s 37. členom Okvirnega zakona odloči, ali bo izpolnil odprte pogodbe; če ne, je vaša terjatev nezavarovana. Depozit izvorne kode je bil zgrajen za programsko opremo na lokaciji in za SaaS ne naredi veliko: koda brez podatkov, okolja in operativnega znanja ne obnovi storitve. SaaS potrebuje dogovor o kontinuiteti, ki zajema delujočo instanco, podatke in pravico do nadaljnjega delovanja. Pogodba mora vsaj določati, da so podatki vaši, da zanje ne velja nobena pravica do hrambe in da jih je treba sprostiti ob določenih dogodkih.

Odgovornost, oprostitev in cena

Standardne pogoje dobaviteljev na nizozemskem trgu prednjačijo NLdigital Voorwaarden, katerega najnovejša je izdaja iz leta 2025, objavljena oktobra 2025. Ta izdaja omejuje odgovornost za neposredno izgubo na ceno, dogovorjeno za pogodbo, ali, za pogodbe, ki trajajo dlje kot eno leto, na enoletne honorarje, in jo v vsakem primeru zgornja meja znaša 500,000 EUR, z ločeno zgornjo mejo 1,750,000 EUR za smrt, telesne poškodbe in materialno škodo na premoženju. Posredna in posledična izguba, izgubljeni dobiček, izgubljeni prihranki, zmanjšano dobro ime, prekinitev poslovanja in zahtevki strank so v celoti izključeni. Omejitve odpadejo le, če je izguba posledica naklepa ali zavestne malomarnosti vodstva dobavitelja. Zahtevek je treba prijaviti čim prej po nastanku izgube in zapade štiriindvajset mesecev pozneje, razen če so bili sproženi postopki. Vsaka nova izdaja revidira te zgornje meje, zato ugotovite, katero izdajo je vaš dobavitelj vključil in ali jo je spremenil: prejšnje izdaje so še vedno v obtoku in mnogi dobavitelji uporabljajo svoje izraze.

Nizozemska sodišča uveljavljajo klavzule o oprostitvi odgovornosti med podjetji. Prvi krog je člen 6:248 BW: sklicevanje na klavzulo ne uspe, kadar bi bilo to nesprejemljivo po standardih razumnosti in pravičnosti. Sodišča uporabljajo test zadržano, pri čemer tehtajo resnost napake, oškodovane interese, položaje strank in način oblikovanja cene tveganja. Namera ali ravnanje, ki je enakovredno nameri, običajno ovrže klavzulo. Kadar so določila splošni pogoji (člen 6:231 BW), člen 6:233 BW dovoljuje razveljavitev nerazumno obremenjujoče določila. Praktično: dogovorite se o zgornji meji, ki je do neke mere povezana s škodo, ki bi jo povzročila napaka, izgubo podatkov, zaupnost, varnost in odškodnino za intelektualno lastnino uvrstite zunaj tega ter opredelite „posledično izgubo“.

Kar zadeva ceno, določite mehanizem: omejite letno indeksiranje glede na določen indeks, omejite povišanja na enkrat letno z odpovednim rokom in si zagotovite pravico do odpovedi brez kazni nad določenim pragom. Z oblikovanjem cen na podlagi porabe se zavežite le količinam, ki jih boste porabili, in nadzorujte stroške skaliranja, podpornih stopenj in izstopa.

Veljavna zakonodaja, spori in dobavitelji zunaj EU

Izberite nizozemsko pravo in nizozemski forum, kjer je to mogoče, ter pretehtajte praktične točke, ki odločajo o tem, ali je sodba vredna česa, kar smo navedli v našem članku o tem, kako se izogniti težavam s pristojnostjo in izvrševanjem . Izvrševanje nizozemske sodbe znotraj EU je preprosto; izvrševanje zunaj nje pogosto ni. Arbitraža je lahko boljši odgovor proti nasprotni stranki, ki ni iz EU, v nizozemskih IT sporih pa fundacija SGOA ponuja arbitražo in mediacijo, specifično za posamezen sektor.

Sklepanje pogodb zunaj EU prinaša tri realnosti. Omejitev odgovornosti je morda enostavno uveljavljati in težko izpodbijati na oddaljenem forumu. Obvezna pravila EU, vključno z režimom prenosa iz Zakona o podatkih in GDPR, se lahko uporabljajo glede na to, kje se storitev ponuja, vendar sta njihova uporaba in izvrševanje različni stvari. Tuji matični subjekt se lahko sooči z odredbami o razkritju, ki so v nasprotju z vašimi obveznostmi tukaj. Kadar je izpostavljenost pomembna, sklenite pogodbo z dobaviteljevim subjektom v EU in vztrajajte pri evropskem forumu.

Kontrolni seznam za pogajanja

• Storitev definirajte po plasteh in zabeležite, katera stran nadzoruje posamezno komponento in vsak varnostni kontrolnik.
• Omogočite merljivo razpoložljivost: obseg komponent, obdobje, merilna točka in izključitve; ločeno potrdite učinkovitost delovanja in obnovite cilje.
• Zavrnite dobropise za storitve kot izključno pravno sredstvo in v primeru vztrajne ali hude napake dodajte pravico do odpovedi.
• Določite varnost po standardih in obsegu, z dokazili, roki za obveščanje in potjo revizije.
• Podpišite pogodbo o obdelavi in ​​​​popravite podatke, lokacije obdelave in podpore.
• Najprej se dogovorite o izstopni klavzuli: obliki, obsegu, prehodnem obdobju, cenovno ugodni pomoči, potrjenem izbrisu in sprožilcih, vključno s prekinitvijo zaradi neplačila.
• Preverite pogodbo glede zahtev Zakona o podatkih glede prenosa, pripravite 12. januar 2027 in uredite kontinuiteto: lastništvo podatkov, brez pravice do hrambe, deponiranje.
• Preizkusite zgornjo mejo odgovornosti glede na izgubo, ki bi jo povzročila resnična napaka, in podatke, varnost, zaupnost in intelektualno lastnino postavite zunaj nje.
• Indeksiranje zgornje meje in zavestna izbira prava, foruma in pogodbenega subjekta.

Law & More pregleduje in se pogaja o pogodbah o oblaku, gostovanju in kolokaciji za stranke in dobavitelje: ravni storitev, varnostne in revizijske pravice, sporazumi o obdelavi podatkov, izstop in skladnost z zakonom o varstvu podatkov, omejitve odgovornosti ter izbira prava in foruma. Če je pogodba na mizi ali storitev ne deluje, naša IT-odvetniki vam bo povedal, kje je dejanska izpostavljenost, preden podpišete.