Due diligence bij een tech-overname: waar moet u op letten?

Gepubliceerd op 9 januari 2026 · Laatst bijgewerkt op 30 oktober 2026

Bij de overname van een techbedrijf koopt u vooral software, intellectueel eigendom, data en mensen. Het due diligence-onderzoek moet daarom vooral vaststellen of de doelonderneming de code echt bezit, welke open-sourceverplichtingen eraan kleven en of klantcontracten de overname overleven; daarnaast toetst u AVG en cyberbeveiliging, sleutelpersoneel en een eventuele meldplicht bij de ACM of het Bureau Toetsing Investeringen.

De uitkomsten bepalen de prijs, de garanties en vrijwaringen in de koopovereenkomst en de voorwaarden voor closing. Meer over het algemene traject leest u op onze pagina over een bedrijf overnemen in Nederland.

Waarom is due diligence bij een tech-overname anders?

De waarde zit in immateriële activa die niet in een register staan en die door een fout in een contract bij een ander kunnen liggen. Daarom kijkt u naast de cijfers ook naar broncode, licenties, datastromen en arbeidsvoorwaarden.

Ook de structuur maakt uit. Bij een aandelentransactie blijven contracten, werknemers en aansprakelijkheden bij de vennootschap. Bij een activatransactie gaan contracten alleen met medewerking van de wederpartij over (artikel 6:159 BW), en gaan werknemers bij een overgang van onderneming van rechtswege mee (artikel 7:662 en volgende BW).

Hoe controleert u wie eigenaar is van de software?

Software die een werknemer in dienst maakt, is volgens de Auteurswet in beginsel van de werkgever (artikel 7 en 45h Auteurswet). Code van freelancers, bureaus of oprichters vóór de oprichting van de vennootschap blijft van de maker, tenzij de rechten bij ondertekende schriftelijke akte zijn overgedragen (artikel 2 lid 3 Auteurswet).

Een betaalde factuur is dus geen overdracht. Vraag de ontwikkelovereenkomsten op en controleer of daarin een overdracht staat die de maker heeft ondertekend.

• Arbeidsovereenkomsten: staat er een IE-bepaling in, ook voor werk buiten werktijd dat met het bedrijf samenhangt?
• Freelance- en ontwikkelcontracten: is er een schriftelijke overdracht van alle rechten?
• Oprichters, stagiairs en adviseurs: is hun bijdrage aan de vennootschap overgedragen?

Octrooien, merken en bedrijfsgeheimen

Een uitvinding van een werknemer komt toe aan de werkgever als de aard van de dienstbetrekking meebrengt dat de werknemer zulke uitvindingen doet (artikel 12 Rijksoctrooiwet 1995). Controleer bij octrooien en merken of ze op naam van de doelonderneming staan, de juiste landen dekken en of de vernieuwingstaksen zijn betaald.

Veel software is niet geoctrooieerd maar beschermd als bedrijfsgeheim. Die bescherming bestaat volgens de Wet bescherming bedrijfsgeheimen alleen als de onderneming redelijke maatregelen heeft genomen om de informatie geheim te houden, zoals geheimhoudingsafspraken en beperkte toegang tot de broncode.

Welke risico’s brengt open source mee?

Permissieve licenties, zoals MIT en Apache 2.0, laten commercieel gebruik toe met vooral een plicht tot naamsvermelding. Copyleftlicenties, zoals de GPL, verplichten u een afgeleid werk onder dezelfde licentie met broncode beschikbaar te stellen zodra u het verspreidt.

Bij software die alleen als online dienst draait, is er onder de GPL meestal geen verspreiding. De AGPL stelt gebruik via een netwerk wel gelijk. Laat de codebase daarom scannen op alle componenten en licenties, en beoordeel per component hoe het in het product wordt gebruikt.

Hoe toetst u AVG en cyberbeveiliging?

Bij een aandelentransactie blijven eerdere AVG-overtredingen voor rekening van de vennootschap, en daarmee indirect van u. De Autoriteit Persoonsgegevens kan boetes opleggen tot € 20 miljoen of 4% van de wereldwijde jaaromzet als dat hoger is (artikel 83 lid 5 AVG).

• Is er een actueel register van verwerkingen (artikel 30 AVG)?
• Zijn er verwerkersovereenkomsten met cloud- en andere leveranciers (artikel 28 AVG)?
• Zijn DPIA’s uitgevoerd voor risicovolle verwerkingen (artikel 35 AVG)?
• Is er een datalekregister en zijn lekken binnen 72 uur gemeld (artikel 33 AVG)?
• Is er een rechtmatige grondslag voor doorgifte van data buiten de EU?

Actueel (15 augustus 2026): de Cyberbeveiligingswet, de Nederlandse uitvoering van de NIS2-richtlijn, is op 15 augustus 2026 in werking getreden, samen met de Wet weerbaarheid kritieke entiteiten (NCTV). De maatregelen voor de zorgplicht staan in het Cyberbeveiligingsbesluit; de meldplicht is uitgewerkt in ministeriële regelingen. Valt de doelonderneming onder de wet, bijvoorbeeld als aanbieder van cloud- of datacenterdiensten, controleer dan of zij aan beide plichten voldoet.

Vraag ook recente penetratietests op en controleer of gevonden kwetsbaarheden zijn opgelost. Een ISO 27001-certificaat zegt alleen iets over de systemen binnen de scope van dat certificaat.

Wat doen change of control-bepalingen met de omzet?

Een change of control-bepaling geeft een klant of leverancier het recht het contract op te zeggen of opnieuw te onderhandelen als de zeggenschap over de onderneming wijzigt. Zonder zo’n bepaling loopt een contract bij een aandelentransactie gewoon door.

Een voorbeeld ter illustratie: een doelonderneming haalt een groot deel van haar omzet bij één klant, en dat contract bevat een opzegrecht bij overname. Vraag dan vóór signing of closing toestemming aan die klant, of maak die toestemming een voorwaarde voor closing.

• Screen de belangrijkste klant- en leverancierscontracten op change of control en exclusiviteit.
• Controleer of kritieke softwarelicenties en cloudcontracten overdraagbaar zijn.
• Breng de afhankelijkheid van externe API’s en hun voorwaarden in kaart.
• Beoordeel klantconcentratie en klantverloop, zeker bij een abonnementsmodel.

Sleutelpersoneel, ondernemingsraad en cultuur

Breng in kaart wie onmisbaar is voor het product en welke afspraken met hen gelden. Een concurrentiebeding is alleen geldig als het schriftelijk is overeengekomen met een meerderjarige werknemer. In een tijdelijk contract is daarnaast een schriftelijke motivering van zwaarwegende bedrijfsbelangen nodig (artikel 7:653 BW).

• Bonus- en optieregelingen: worden ze door de overname versneld uitgekeerd of vervallen ze?
• Retentieafspraken: met welke sleutelfiguren wilt u vóór closing een blijfregeling maken?
• Ondernemingsraad: een overdracht van zeggenschap valt onder het adviesrecht van artikel 25 Wet op de ondernemingsraden.
• Vakbonden en SER: bij een onderneming met 50 of meer werknemers gelden de SER-Fusiegedragsregels 2015.

Een kleine organisatie met korte lijnen kan bij integratie in een grote koper sleutelfiguren verliezen. Neem dat mee in het integratieplan en in de retentieafspraken.

Moet de overname vooraf worden gemeld?

Een concentratie moet vooraf bij de ACM worden gemeld als de gezamenlijke wereldwijde omzet van de betrokken ondernemingen meer dan € 150 miljoen is en ten minste twee van hen elk ten minste € 30 miljoen in Nederland omzetten (artikel 29 Mededingingswet, drempels zoals die in 2026 gelden). Boven de Europese drempels meldt u bij de Europese Commissie.

Gaat het om een onderneming die actief is met sensitieve technologie, zoals bepaalde dual-usetechnologie, dan moet de verwerving van zeggenschap sinds 1 juni 2023 vooraf worden gemeld bij het Bureau Toetsing Investeringen (Wet veiligheidstoets investeringen, fusies en overnames). Tot de toets is afgerond, mag de transactie niet worden voltooid. Een techbedrijf zonder omzet van betekenis kan dus wel onder de BTI-toets vallen, ook als de ACM-drempels niet worden gehaald.

Van bevinding naar koopovereenkomst

Bekende risico’s verwerkt u in de prijs, een specifieke vrijwaring of een voorwaarde voor closing. Onbekende risico’s dekt u met garanties, bijvoorbeeld over eigendom van IE, open-sourcegebruik, AVG-naleving en het ontbreken van beveiligingsincidenten.

Formuleer garanties en vrijwaringen nauwkeurig, want tussen professionele partijen weegt de tekst zwaar. De Hoge Raad liet op 19 januari 2007 een oordeel in stand waarin de taalkundige betekenis van een vrijwaringsbepaling in een overnamecontract (“as of April 1, 1998”) doorslaggevend was (HR 19 januari 2007, ECLI:NL:HR:2007:AZ3178, Meyer/PontMeyer). De partij die een andere bedoeling stelde, moest die bewijzen en had haar bewijsaanbod onvoldoende gespecificeerd.

Let ook op de beperkingen die verkopers bedingen, zoals een maximum aansprakelijkheid, een drempel per claim en korte termijnen om claims in te dienen. Als verkoper beperkt u garantieclaims juist door een volledige dataroom en een vastgelegde disclosure: wat u aantoonbaar heeft gemeld, kan de koper later moeilijk als onbekend aanmerken.

Hoe wij helpen bij een tech-overname

• Wij voeren een juridisch due diligence-onderzoek uit naar IE, contracten, AVG en personeel.
• Wij stellen de koopovereenkomst op of beoordelen die, met garanties en vrijwaringen die passen bij de bevindingen.
• Wij beoordelen of melding bij de ACM of het Bureau Toetsing Investeringen nodig is.
• Wij begeleiden het adviestraject met de ondernemingsraad.
• Wij onderhandelen en procederen bij garantieclaims na closing, als onderdeel van onze dienstverlening ondernemingsrecht.

In het kort

• Code van werknemers is in beginsel van de werkgever; code van freelancers alleen na een ondertekende akte van overdracht.
• Copyleft kan verplichten tot vrijgave van broncode bij verspreiding; de AGPL ook bij gebruik via een netwerk.
• Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet; toets zorgplicht en meldplicht.
• Ook zonder ACM-melding kan een BTI-melding verplicht zijn bij sensitieve technologie.