SaaS-contract: wie heeft de rechten op uw data en hoe regelt u licentie, aansprakelijkheid en privacy?

Gepubliceerd op 5 oktober 2025 · Laatst bijgewerkt op 14 oktober 2026

Bij een SaaS-contract bent u juridisch geen eigenaar van uw data, want op data bestaat naar Nederlands recht geen eigendomsrecht; wat u met uw gegevens mag en wat de leverancier ermee mag, volgt uit het contract, de AVG en sinds 12 september 2025 de Europese Data Act. De belangrijkste uitzondering op uw contractvrijheid is dat de Data Act u als klant van een clouddienst een dwingend recht geeft om over te stappen en uw data mee te nemen.

Hieronder leest u hoe u de rechten op uw data, de licentie, de beschikbaarheid, de aansprakelijkheid en de privacy in een SaaS-overeenkomst regelt, en wat er gebeurt als de leverancier failliet gaat.

Wie heeft de rechten op uw data?

Niemand is eigenaar in de zin van het BW, omdat eigendom alleen kan bestaan op zaken: stoffelijke objecten (artikel 3:2 en 5:1 BW). Uw positie hangt daarom af van wat het contract regelt, aangevuld met de wet.

• Contract: leg vast dat alle data die u invoert of laat genereren u toekomen, en dat de leverancier ze alleen mag gebruiken om de dienst te leveren.
• Databankenrecht: een verzameling gegevens waarin substantieel is geïnvesteerd kan worden beschermd door de Databankenwet; het recht komt toe aan wie de investering deed.
• AVG: bevat de data persoonsgegevens, dan bepaalt de AVG wat ermee mag, ongeacht wat het contract zegt.

Let in het bijzonder op afgeleide gegevens, zoals gebruiksstatistieken, logbestanden en geaggregeerde data. Veel voorwaarden geven de leverancier het recht die voor eigen doeleinden te gebruiken, bijvoorbeeld om zijn product of AI-modellen te verbeteren. Wilt u dat niet, sluit het dan uitdrukkelijk uit.

Welke rechten geeft de Data Act bij overstappen?

De Data Act (Verordening (EU) 2023/2854) geldt sinds 12 september 2025 en bevat dwingende regels voor overstappen tussen clouddiensten, waaronder SaaS. U kunt met een opzegtermijn van maximaal twee maanden overstappen, en de overstap moet daarna in beginsel binnen 30 dagen zijn afgerond.

• De leverancier moet het contract zo inrichten dat u uw data en digitale bestanden kunt exporteren en meenemen.
• Is de overstap binnen 30 dagen technisch niet haalbaar, dan mag de leverancier die termijn onder voorwaarden verlengen.
• Overstapkosten mogen tot 12 januari 2027 alleen de werkelijke kosten dekken; daarna zijn ze verboden.
• Voor diensten die grotendeels op maat voor één klant zijn gebouwd en voor testversies gelden uitzonderingen.

Het recht van de Data Act op toegang tot gegevens die een apparaat genereert, geldt voor verbonden producten zoals machines en voertuigen, niet voor elke SaaS-dienst. Voor uw gewone bedrijfsdata blijft het contract dus bepalend: regel exportformaten, termijnen en kosten zelf.

Wat moet er in een SaaS-overeenkomst staan?

Een goede SaaS-overeenkomst beschrijft de dienst, het gebruiksrecht, de serviceniveaus, de prijs en de exit. Vaak zijn deze onderdelen verdeeld over algemene voorwaarden, een SLA en een verwerkersovereenkomst.

• Dienstomschrijving: welke functies, modules en limieten (gebruikers, opslag, transacties) inbegrepen zijn.
• Wijzigingen: of de leverancier functies eenzijdig mag wijzigen of schrappen, en met welke aankondigingstermijn.
• Prijs: wat de prijs omvat, wanneer de leverancier tarieven mag verhogen en of u dan mag opzeggen.
• Looptijd en verlenging: bij stilzwijgende verlenging tussen bedrijven geldt de opzegtermijn uit het contract; noteer die datum.
• Exit: hoe lang u na het einde nog bij uw data kunt, in welk formaat u ze krijgt en wanneer de leverancier ze verwijdert.

Meer over de opbouw van zo’n contract leest u bij de IT-dienstverleningsovereenkomst en bij opzeggen van een overeenkomst.

Wat houdt de licentie in?

U krijgt een gebruiksrecht; het auteursrecht op de software blijft bij de leverancier. Hoe ver dat gebruiksrecht gaat, bepaalt de licentie.

Controleer of groepsmaatschappijen, externe medewerkers en klanten de software mogen gebruiken. Bij een overname via aandelen blijft de contractpartij dezelfde, tenzij een change-of-controlbeding de leverancier het recht geeft op te zeggen. Bij een overname van activa moet het contract worden overgedragen, en daarvoor is medewerking van de leverancier nodig (contractsoverneming, artikel 6:159 BW). Meer over licenties leest u in ons artikel over de licentieovereenkomst.

Hoe regelt u beschikbaarheid in een SLA?

Leg een meetbare beschikbaarheid vast, plus reactie- en hersteltijden en de gevolgen als die niet worden gehaald. Zonder SLA moet u bij storingen aantonen dat de leverancier tekortschiet, wat lastig is.

Reken het percentage om naar tijd. Een beschikbaarheid van 99% per maand staat toe dat de dienst ruim zeven uur per maand uitvalt; bij 99,9% is dat ongeveer drie kwartier. Controleer ook of gepland onderhoud buiten de berekening valt en of de vergoeding bij uitval alleen bestaat uit servicecredits, of dat u daarnaast schadevergoeding kunt vorderen.

Hoe ver mag de leverancier zijn aansprakelijkheid beperken?

Tussen bedrijven is een beperking van aansprakelijkheid in beginsel geldig. Een beroep erop is niet toegestaan bij opzet of bewuste roekeloosheid van de leverancier of zijn leidinggevenden, en kan ook anders onaanvaardbaar zijn naar maatstaven van redelijkheid en billijkheid (artikel 6:248 lid 2 BW).

Staat de beperking in algemene voorwaarden, dan kan zij vernietigbaar zijn als zij onredelijk bezwarend is (artikel 6:233 sub a BW). Grote ondernemingen die hun jaarrekening openbaar maken en ondernemingen met 50 of meer werknemers kunnen zich niet op deze vernietigingsgrond beroepen (artikel 6:235 lid 1 BW). Gangbare beperkingen zijn een maximum gelijk aan de vergoeding over twaalf maanden en uitsluiting van gevolgschade; onderhandel over een hoger maximum voor datalekken en dataverlies, en over uitzonderingen voor schending van geheimhouding.

Wat regelt de AVG bij SaaS?

Verwerkt de leverancier persoonsgegevens voor u, dan bent u meestal verwerkingsverantwoordelijke en de leverancier verwerker. U moet dan een verwerkersovereenkomst sluiten die voldoet aan artikel 28 AVG.

• De verwerkersovereenkomst regelt onder meer de instructies, beveiliging, geheimhouding, inschakeling van subverwerkers, audits en verwijdering na afloop.
• Een datalek meldt u binnen 72 uur bij de Autoriteit Persoonsgegevens, tenzij het geen risico oplevert (artikel 33 AVG); spreek af dat de leverancier u direct informeert.
• Doorgifte buiten de EU mag alleen met een passende grondslag, zoals een adequaatheidsbesluit of standaardcontractbepalingen.
• Bij overtreding kan de toezichthouder een boete opleggen tot € 20 miljoen of 4% van de wereldwijde jaaromzet (artikel 83 AVG), en kunnen betrokkenen schadevergoeding vorderen (artikel 82 AVG).

Gebruikt de leverancier uw gegevens ook voor eigen doelen, dan is hij voor dat deel zelf verwerkingsverantwoordelijke en heeft hij een eigen grondslag nodig. Lees ook welke AVG-verplichtingen mkb-bedrijven vaak vergeten. Valt de leverancier onder de Cyberbeveiligingswet, die sinds 15 augustus 2026 geldt, dan heeft hij daarnaast eigen beveiligings- en meldplichten.

Wat gebeurt er als de leverancier failliet gaat?

De curator beslist of de dienst wordt voortgezet. Omdat data geen zaak is, kunt u die niet als eigenaar opeisen; u bent afhankelijk van afspraken en van de medewerking van de curator.

Beperk dat risico vooraf. Maak zelf regelmatig een volledige export, spreek een escrowregeling af voor broncode en data bij bedrijfskritische software, en leg vast dat de hostingpartij u bij een faillissement rechtstreeks toegang kan geven.

Waar let u als afnemer op?

• Leg vast dat uw data en afgeleide data u toekomen en alleen voor de dienst worden gebruikt.
• Regel exportformaat, exittermijn en verwijdering, en controleer die tegen de Data Act.
• Controleer de aansprakelijkheidsbeperking en de uitzonderingen daarop.
• Sluit een verwerkersovereenkomst en controleer waar de data worden opgeslagen.

Waar let u als SaaS-leverancier op?

• Pas uw voorwaarden aan de overstapregels van de Data Act aan, inclusief het verbod op overstapkosten vanaf 12 januari 2027.
• Omschrijf welk gebruik van klantdata u voor eigen doelen wilt, en zorg daarvoor voor een grondslag.
• Zorg dat uw algemene voorwaarden tijdig ter hand worden gesteld, anders zijn bedingen vernietigbaar (artikel 6:233 sub b BW).
• Ga na of u onder de Cyberbeveiligingswet valt.

Wat kunnen wij voor u doen bij een SaaS-contract?

• Wij beoordelen de voorwaarden, SLA en verwerkersovereenkomst van een SaaS-leverancier voordat u tekent.
• Wij stellen SaaS-voorwaarden op voor leveranciers, in lijn met de Data Act en de AVG.
• Wij onderhandelen over aansprakelijkheid, exit en het gebruik van data.
• Wij begeleiden een overstap of een geschil bij uitval of dataverlies, als uw ICT-recht advocaat.
• Wij treden op richting de curator als uw leverancier failliet gaat.

Samengevat

• Op data bestaat geen eigendomsrecht; uw rechten volgen uit het contract, de Databankenwet en de AVG.
• De Data Act geeft sinds 12 september 2025 dwingende overstaprechten: opzegging met maximaal twee maanden en overstap binnen 30 dagen.
• Aansprakelijkheidsbeperkingen zijn tussen bedrijven geldig, maar niet bij opzet of bewuste roekeloosheid.
• Een verwerkersovereenkomst volgens artikel 28 AVG is verplicht bij verwerking van persoonsgegevens.
• Regel export en escrow vooraf voor het geval de leverancier failliet gaat.

Veelgestelde vragen

Mag een SaaS-leverancier mijn data gebruiken voor AI-training?

Alleen als het contract dat toestaat en, bij persoonsgegevens, als de leverancier daarvoor een eigen grondslag onder de AVG heeft. Sluit het uitdrukkelijk uit als u dat niet wilt.

Kan ik tussentijds overstappen naar een andere leverancier?

De Data Act geeft u het recht om met een opzegtermijn van maximaal twee maanden over te stappen. Of u de resterende contractprijs moet betalen, hangt af van het contract; ook een vergoeding bij vroegtijdige beëindiging is onder voorwaarden toegestaan.

Ben ik aansprakelijk voor een datalek bij mijn SaaS-leverancier?

Als verwerkingsverantwoordelijke moet u het lek melden en kunt u tegenover betrokkenen aansprakelijk zijn (artikel 82 AVG). U kunt de schade dan op de leverancier verhalen voor zover het contract dat toelaat.

Is een escrowregeling nodig?

Voor bedrijfskritische software is het een nuttige waarborg tegen faillissement van de leverancier. Bij standaardsoftware met goede exportmogelijkheden volstaat vaak een eigen, regelmatige back-up.