SaaS-overeenkomsten

Het juridisch kader

Een software-as-a-service-overeenkomst (SaaS) is een abonnement op software die op andermans infrastructuur draait. Het is geen softwarelicentie in de klassieke zin. De leverancier heeft beschikbaarheid, beveiliging en data in handen, en het contract is hoe jij als klant daar grip op houdt. Het Belgische recht kent geen specifieke SaaS-wet. Op het contract zijn Boek 5 van het Burgerlijk Wetboek over verbintenissen en de algemene regels van het Wetboek van economisch recht van toepassing, samen met de Europese regels hieronder.

Onrechtmatige bedingen tussen ondernemingen. Standaard SaaS-voorwaarden zijn meestal niet onderhandelbaar, en precies daar spelen de B2B-regels over onrechtmatige bedingen in Boek VI van het Wetboek van economisch recht (van kracht sinds 1 december 2020). Een beding dat een kennelijk onevenwicht veroorzaakt, is nietig. Het Wetboek bevat lijsten van verboden en vermoedelijk onrechtmatige bedingen, zoals eenzijdige wijziging van het contract zonder geldige reden. Aansprakelijkheidsbeperkingen zijn niet als zodanig onrechtmatig, maar een plafond waardoor de klant zonder reëel verhaal blijft zitten, kan dat wel zijn.

Persoonsgegevens. Verwerkt de leverancier persoonsgegevens voor jou, dan vraagt artikel 28 AVG een verwerkersovereenkomst met voorgeschreven inhoud, en heeft de leverancier jouw toestemming nodig voor subverwerkers. Hosting of support buiten de EER brengt de doorgifteregels van hoofdstuk V AVG in beeld.

De Dataverordening. Verordening (EU) 2023/2854 is van toepassing sinds 12 september 2025. De regels over het overstappen tussen gegevensverwerkingsdiensten (waaronder de meeste SaaS) geven de klant het recht om van leverancier te veranderen of naar eigen infrastructuur te verhuizen. De leverancier mag niet meer dan twee maanden opzegtermijn vragen om het overstappen te starten. Hij moet een overgangsperiode van maximaal 30 dagen ondersteunen (in specifieke gevallen verlengbaar) en daarna toelaten dat je de data ophaalt. Overstapkosten mogen tot 11 januari 2027 alleen de werkelijk gemaakte kosten dekken en zijn vanaf 12 januari 2027 verboden. Het contract moet die rechten omschrijven, dus oudere modellen hebben misschien een update nodig.

AI. Bevat de dienst AI-functies, dan moeten de rollen van aanbieder en gebruiksverantwoordelijke onder de AI-verordening (Verordening (EU) 2024/1689) in het contract terugkomen. Zie AI-clausules in leverancierscontracten.

In de praktijk

Wat het contract moet regelen

Reikwijdte van het abonnement: welke modules, hoeveel gebruikers of welk volume, aanvaardbaar gebruik, en hoe overschrijding en afbouw werken. Serviceniveaus: de beschikbaarheidsverbintenis, hoe die wordt gemeten, servicecredits en supportniveaus. Alleen credits als remedie is een schrale troost bij een ernstige storing. Overweeg voor bedrijfskritieke diensten dus een recht om te beëindigen na herhaalde of langdurige storingen.

Data: jij blijft eigenaar van je data, en de leverancier krijgt een beperkt recht om ze te verwerken om de dienst te leveren. Pas op voor bedingen die de leverancier toelaten je data voor eigen analyses te gebruiken of om modellen te trainen. Onderhandel daar uitdrukkelijk over.

Aansprakelijkheid en IP: verwacht een plafond, meestal gekoppeld aan de betaalde vergoedingen, en check de uitzonderingen. De leverancier moet je vrijwaren tegen claims dat de dienst IP van derden schendt. Bevat de dienst open-sourcecomponenten, dan kunnen hun licentievoorwaarden eigen verplichtingen meebrengen.

Uitstap: gegarandeerde export van je data in een bruikbaar formaat, een overgangsperiode, en teruggave of verwijdering daarna. Met continuïteitsmaatregelen zoals escrow of een afbouwperiode ben je beschermd als de leverancier uitvalt.

Een voorbeeld

Een Leuvense kliniekgroep neemt voor drie jaar een abonnement op een planningsplatform. De standaardvoorwaarden laten de leverancier de dienst "naar eigen goeddunken" wijzigen, beperken de aansprakelijkheid tot drie maanden vergoeding, zelfs bij datalekken, en zeggen niets over de export van afspraakgegevens. Vóór de ondertekening kun je twee dingen doen: vragen dat datalekken en vertrouwelijkheid buiten het plafond vallen, en een uitstapclausule toevoegen die aansluit bij de overstapregels van de Dataverordening. Ook het beding van eenzijdige wijziging is onder de regels over onrechtmatige bedingen te betwisten. Een verwerkersovereenkomst onder artikel 28 AVG is hoe dan ook nodig, want het platform verwerkt gezondheidsgegevens.

Veelgestelde vragen

Wie is eigenaar van de data die we in een SaaS-platform steken?

Jij. De leverancier mag alleen de rechten hebben die hij nodig heeft om de dienst te laten draaien. Wees voorzichtig met bedingen die bredere rechten geven, zeker om modellen te trainen.

Wat is de meest over het hoofd geziene SaaS-bepaling?

De uitstap. Inschrijven is makkelijk, vertrekken is moeilijk als het contract geen data-export en overgangsperiode garandeert. De Dataverordening zet nu een minimum, maar het contract moet het nog altijd uitschrijven.

Mag de leverancier de dienst of de prijs tijdens de looptijd wijzigen?

Alleen voor zover het contract het toelaat, en een eenzijdig recht om essentiële voorwaarden te wijzigen kun je tussen ondernemingen als onrechtmatig aanvechten. Zoek naar een opzegtermijn en een recht om te beëindigen bij een nadelige wijziging.

Volstaan servicecredits als enige remedie?

Niet voor bedrijfskritieke diensten. Credits compenseren kleine onderbrekingen. Een recht om te beëindigen en enige aansprakelijkheid bij ernstige of herhaalde storingen zijn het onderhandelen waard.

Hoe dit samenhangt

SaaS-overeenkomsten horen bij ons werk rond commerciële contracten en transacties. We stellen ze op met onze Document Studio en checken de voorwaarden van een leverancier met onze contractreview. Voor het raamwerkmodel, zie Master Services Agreements en SOW's.