Zmluvy o cloude, hostingu a kolokácii podľa holandského práva

Takmer každá medzinárodná spoločnosť pôsobiaca v Holandsku kupuje výpočtovú kapacitu od niekoho iného. Zmluva, ktorá ju upravuje, je zvyčajne šablóna dodávateľa, podpísaná pod časovým tlakom, s pripevnenou dohodou o úrovni služieb a klauzulou o ukončení zmluvy, ktorú nikto nečítal. Tento článok uvádza, ako holandské právo zaobchádza s týmito zmluvami, kde sú štandardné podmienky pre zákazníka najslabšie a čo teraz vyžaduje zákon EÚ o údajoch pri zmene dodávateľa.

Tri vrstvy plus hosting a kolokácia

„Cloud“ nie je jeden produkt. To, čo zákazník kontroluje, sa mení na každej vrstve, rovnako ako to, čo musí zmluva chrániť.

Čím nižšie v hierarchii sa nachádzate, tým väčšie je vaše prevádzkové riziko a čím vyššie, tým viac ste uzavretí. Kolokácia je výnimkou: kupujete si podlahovú plochu, energiu a fyzické zabezpečenie, takže rozhodujúcimi podmienkami sú hustota energie a redundancia, výpovedná lehota, eskalácia poplatkov za energiu, vzdialené ruky a vaše právo odstrániť vaše stojany. Pri jednoduchom hostingu je spor takmer vždy o rozsahu: bol dodávateľ zodpovedný za opravy, monitorovanie a zálohy, alebo len za udržiavanie napájania stroja?

Ako holandské právo charakterizuje zmluvu

Holandské právo nemá typ zmluvy nazývaný „cloud“. Súdy charakterizujú zmluvu podľa toho, na čom sa strany dohodli a ako plnili svoje povinnosti, a potom uplatňujú pravidlá typu alebo typov, ktoré im vyhovujú.

• Pridelenie (článok 7:400 BW): predvolená hodnota pre SaaS, PaaS, spravovaný hosting a servisný prvok IaaS.
• Prenájom (článok 7:201 BW): nájomná zmluva vyžaduje použitie prípad, hmotný predmet (článok 3:2 BW). Softvér a dáta nie sú, takže čistá SaaS nie je prenájom. Kolokačný priestor a vyhradený hardvér pravdepodobne áno, a preto majú kolokačné zmluvy často charakteristiky prenájmu bez ohľadu na to, ako ich dodávateľ nazýva.
• kúpiť (článok 7:1 BW): v De Beeldbrigade (HR 27. apríla 2012, ECLI:NL:HR:2012:BV1301) Hoge Raad rozhodol, že získanie štandardného softvéru na neobmedzené používanie za jednorazovú platbu spadá pod ustanovenia o predaji. To sa neprenáša na predplatné služby, ale je to dôležité pre trvalé licencie v hybridnej dohode.
• Zjednotený príjem (článok 6:215 BW): väčšina skutočných zmlúv je zmiešaných a pravidlá každého typu sa uplatňujú kumulatívne, pokiaľ nie sú nezlučiteľné.

Prečo je charakterizácia dôležitá

Výpoveď. Podľa článku 7:408 BW môže klient v zásade kedykoľvek vypovedať zmluvu a článok 7:411 BW upravuje, čo sa potom dodávateľovi dlhuje. Medzi podnikmi sú tieto pravidlá do značnej miery otvorené opačnej dohode (pozri článok 7:413 BW) a šablóny ich nahrádzajú pevne stanovenými podmienkami, automatickým obnovením a dlhou výpovednou lehotou. Ak zmluva na dobu neurčitú nemá klauzulu o výpovedi, holandská judikatúra ju vo všeobecnosti považuje za vypovednú, ale primeranosť a spravodlivosť si môžu vyžadovať výpoveď, kompenzáciu alebo vážny dôvod.

Povinnosť starostlivosti. Ak je zmluva opdracht, článok 7:401 BW ukladá starostlivosť dobrého dodávateľa: vymáhateľnú normu, ktorú holandské súdy používajú na to, aby uložili dodávateľom povinnosti vyšetrovania, varovania a riadenia projektu, o ktorých sa zmluva nikdy nezmieňuje. Pri charakterizácii predaja alebo lízingu je cestou namiesto toho súlad alebo vada.

Dohoda o úrovni služieb

Dostupnosť a ako sa meria

• Čo sa meria: celá služba alebo jeden komponent? Platforma, ktorá odpovedá na kontrolu stavu, aj keď je prihlásenie nedostupné, sa podľa mnohých SLA považuje za „dostupnú“.
• Za aké obdobie: 99.9 percenta meraných ročne umožňuje jeden dlhý výpadok; merané mesačne oveľa prísnejšie obmedzuje jeden incident.
• Kým, odkiaľ: Monitorovanie dodávateľov v rámci ich vlastnej siete hlási lepšie čísla ako sonda z vašej kancelárie.
• Čo je vylúčené: Údržba, zlyhanie siete tretej strany, vyššia moc a incidenty „zavinené zákazníkom“ sa bežne vylučujú a vylúčený čas zvyčajne tiež opúšťa menovateľ, čím sa číslo nafukuje.

Dostupnosť nie je výkon. Služba môže byť plne dostupná a zároveň nepoužiteľne pomalá. Zaviažte sa k rýchlosti samostatne: ciele odozvy, dávkové okná, čas obnovy a ciele bodov obnovy a časy odozvy podpory podľa triedy priorít. Zálohovanie si vyžaduje samostatný záväzok vrátane testovanej obnovy. Opravte aj okná údržby: načasovanie, oznámenia, frekvenciu a trvanie. Pre medzinárodnú prevádzku je potrebné zadať časové pásmo „mimo úradných hodín“.

Servisné kredity a pasca exkluzivity

• Sú jediným liekom? Podmienky dodávateľa to zvyčajne hovoria, čo z každého zlyhania robí miernu zľavu a vylučuje škody. Minimálne vylúčte pretrvávajúce, úmyselné alebo hrubo nedbanlivé porušenia a akékoľvek porušenie, ktoré je zároveň porušením bezpečnosti alebo údajov.
• Musíte si ich nárokovať? Mnohé režimy vyžadujú uplatnenie reklamácie v krátkom časovom horizonte, inak dobropis prepadne. Trvajte na automatickom dobropise na faktúre.
• Existuje východisko? Úverový režim bez práva na ukončenie je slabý. Dodávateľ, ktorý môže donekonečna neplniť svoje ciele, vrátiť vám malé percento mesačného poplatku a držať vás u seba, si kúpil cestu z neplnenia. Opakované alebo závažné neplnenie si pracovných povinností spojte s ukončením pracovného pomeru z dôvodu bez sankcií a s plnou pomocou pri odchode.

Povinnosť starostlivosti a povinnosť spolupráce

Holandská judikatúra v oblasti IT je v oblasti povinnosti starostlivosti dodávateľa nezvyčajne rozvinutá. Profesionálny dodávateľ musí preskúmať prostredie a požiadavky zákazníka, upozorniť ho na riziká, nevhodné rozhodnutia a prekročenie nákladov a priebežne varovať, keď sa rada ignoruje. Označovanie tejto povinnosti za povinnosť vynaloženú na dosiahnutie najlepšieho úsilia neneutralizuje očakávania, ktoré si dodávateľ vytvoril pred podpisom.

Povinnosť zrkadla je reálna a podceňovaná: zákazník musí spolupracovať poskytovaním presných informácií, rozhodovaním o čase, testovaním na požiadanie a poskytovaním prístupu a kompetentných ľudí. Zákazník, ktorý zlyhal, sa môže dostať do omeškania veriteľa (článok 6:58 BW), čo blokuje omeškanie dodávateľa, oslabuje nárok na náhradu škody a môže zmariť ukončenie zmluvy.

Tento bod sa rozširuje aj na bezpečnosť. V prípade Gemeente Hof van Twente proti Switch IT Solutions (Gerechtshof Arnhem-Leeuwarden, 25. februára 2025, ECLI:NL:GHARL:2025:1046) súd zamietol nárok zákazníka po útoku ransomvéru, pretože zraniteľnosti sa týkali administrácie, ktorú si zákazník ponechal: zmena firewallu, ktorú vykonal sám, a slabé heslo k účtu, ktorý spravoval. Kontrola riadi zodpovednosť, preto je potrebné zaznamenať, ktorá strana vlastní každú kontrolu.

Bezpečnosť, certifikácia a audit

Neprijímajte „vhodné technické a organizačné opatrenia“ ako celú povinnosť. Uveďte pomenovanú normu a rozsah, ako napríklad certifikáciu ISO/IEC 27001 alebo správu SOC 2 Type II, pričom certifikát skutočne pokrýva službu, ktorú si kupujete; časové harmonogramy opravy podľa závažnosti; frekvenciu penetračného testovania; oznamovanie incidentov s definovaným spúšťačom, termínom a obsahom; a postup auditu. Veľkí dodávatelia odmietajú audity na mieste; uskutočniteľným kompromisom je certifikácia plus právo na audit s oznámením po incidente.

Sektorové pravidlá môžu pridať povinný obsah. Finančné subjekty podliehajú nariadeniu DORA (nariadenie (EÚ) 2022/2554), ktoré predpisuje podmienky pre zmluvy s tretími stranami v oblasti IKT. Holandský zákon Cyberbeveiligingswet , ktorým sa implementuje NIS2, nadobudol účinnosť 15. augusta 2026 a vzťahuje sa na sektory digitálnej infraštruktúry a spravovaných služieb, ako aj na mnohých zákazníkov. Oba režimy sa priamo týkajú zmluvy: pre finančné subjekty v rámci DORA a pre základné a dôležité subjekty v rámci Cyberbeveiligingswet ukladajú požiadavky na prevádzkovú odolnosť, oznamovanie incidentov a stratégiu ukončenia. Na začiatku si stanovte, ktorý z týchto dvoch režimov zaujme dodávateľa a ktorý vás.

Ochrana osobných údajov

V prípade spracovania osobných údajov potrebujete zmluvu o spracovaní podľa GDPR, ktorá sa bude vzťahovať na pokyny, dôvernosť, bezpečnosť, subdodávateľov, práva dotknutých osôb, oznámenie o porušení a vrátenie alebo vymazanie údajov na konci. Opakujúcimi sa bodmi rokovaní sú režim subdodávateľov, či dostanete predchádzajúce oznámenie a právo namietať, a medzinárodné prenosy. Rámec ochrany osobných údajov medzi EÚ a USA prežil svoju prvú námietku pred Všeobecným súdom, ktorý 3. septembra 2025 zamietol žalobu vo veci T-553/23 (Latombe/Komisia) s tým, že preskúmavací súd pre ochranu údajov ponúka dostatočné záruky nezávislosti a že súdne preskúmanie po hromadnom zbere údajov spĺňa štandard v podstate rovnocennej ochrany. Odvolanie bolo podané 31. októbra 2025 pod názvom C-703/25 P a stále prebieha; rozhodnutie o primeranosti zostáva medzitým v plnej platnosti.

Umiestnenie údajov a ich suverenita

Umiestnenie je skôr komerčná a regulačná otázka, než otázka ochrany údajov. Písomne ​​sa opýtajte: kde sú údaje uložené a odkiaľ sa spracovávajú alebo k nim pristupuje, pričom nezabudnite, že podporný personál mimo EÚ má prístup, aj keď je úložisko lokálne; kde sa nachádzajú zálohy, kópie na obnovu po havárii a protokoly; ktoré subjekty by mohli byť nútené odovzdať údaje na základe zahraničnej objednávky; môžete opraviť región a čo sa stane, ak ho dodávateľ zmení? Zákon o údajoch pomáha: poskytovatelia musia zverejniť a vo svojich zmluvách zohľadniť jurisdikciu, ktorej nasadená infraštruktúra podlieha, a opatrenia prijaté proti nezákonnému medzinárodnému vládnemu prístupu k neosobným údajom uchovávaným v EÚ.

Východ

Klauzula o ukončení zmluvy dohodnutá na začiatku má väčšiu hodnotu ako ktorákoľvek iná klauzula v zmluve. Na začiatku máte pákový efekt a dodávateľ chce dohodu; na konci nemáte žiadny a každý deň omeškania vás stojí peniaze.

• Formát. Štruktúrovaný, bežne používaný a strojovo čitateľný, so zdokumentovanou schémou vrátane metadát, konfigurácie, protokolov auditu a príloh. Nedokumentovaný výpis nie je použiteľný návrat.
• Rozsah. Všetko, nielen nahrané záznamy: odvodené údaje, historické verzie a čokoľvek, čo vyžadujú vaše povinnosti uchovávania údajov.
• Prechodné obdobie. Definované obdobie, počas ktorého služba pokračuje za existujúcich podmienok počas migrácie, ktoré je možné predĺžiť za stanovenú cenu.
• Pomoc. Povinnosť pomáhať, s definovanými úlohami, dohodnutou dennou sadzbou a spoluprácou s vaším novým dodávateľom.
• Vymazanie. Certifikované vymazanie po uplynutí definovaného okna na obnovenie vrátane záloh s uvedením času expirácie.
• Spúšťač. Povinnosti ukončenia zmluvy sa vzťahujú na akékoľvek ukončenie zmluvy, a to aj zo strany dodávateľa z dôvodu nezaplatenia z vašej strany. Dodávatelia tento prípad často vylučujú a je to ten, ktorý budete s najväčšou pravdepodobnosťou potrebovať.

Závislosť, prenosnosť a zákon EÚ o údajoch

Nariadenie (EÚ) 2023/2854, zákon o údajoch, nadobudlo účinnosť 11. januára 2024 a uplatňuje sa od 12. septembra 2025. Kapitola VI vytvára režim zmeny poskytovateľov „služieb spracovania údajov“, ktorý je dostatočne široko definovaný na to, aby zahŕňal IaaS, PaaS a SaaS.

• Prekážky musia zmiznúť (článok 23): obchodné, technické, zmluvné a organizačné prekážky ukončenia, prechodu ku konkurencii a prenosu údajov.
• Povinné podmienky (článok 25): maximálna výpovedná lehota dva mesiace na začatie zmeny poskytovateľa; povinné maximálne prechodné obdobie 30 kalendárnych dní, ktoré môže zákazník raz predĺžiť a ak je zmena technicky neuskutočniteľná, poskytovateľ môže toto obdobie predĺžiť až na sedem mesiacov na základe odôvodnenej výpovednej lehoty; potom lehota na vyhľadanie údajov v trvaní najmenej 30 kalendárnych dní, po ktorej nasleduje vymazanie.
• Poplatky (článok 29): od 11. januára 2024 do 12. januára 2027 môžu poskytovatelia účtovať iba znížené poplatky za zmenu poskytovateľa, ktoré nepresahujú náklady priamo spojené s procesom zmeny poskytovateľa. Od 12. januára 2027 sú poplatky za zmenu účtu úplne zakázané., čím sa zrušia poplatky za výstup pri odchode.
• Technické povinnosti (článok 30): poskytovatelia na úrovni infraštruktúry musia prijať všetky primerané opatrenia na zabezpečenie funkčnej ekvivalencie po zmene poskytovateľa; ostatní musia bezplatne sprístupniť otvorené rozhrania. Žiadny poskytovateľ nesmie vyvíjať nové technológie ani zverejňovať obchodné tajomstvá.
• Informácie, dobrá viera a výnimky (články 26, 27, 31): postupy zmeny poskytovateľa musia byť zverejnené; všetky strany vrátane cieľového poskytovateľa musia spolupracovať v dobrej viere; sú vyčlenené testovacie služby na mieru a časovo obmedzené.

Tri upozornenia. Zákon o údajoch stanovuje spodnú hranicu, nie plán migrácie: vaše údaje nebudú prenosné, ak ste stavali na proprietárnych platformových službách, ktoré inde nemajú ekvivalent. Načasovanie je dôležité, a nie tak, ako tvrdí väčšina dodávateľov: Kapitola VI sa uplatňuje na zmluvy o službách spracovania údajov od 12. septembra 2025, či už boli uzavreté pred týmto dátumom alebo po ňom, takže už existujúce zmluvy museli byť dovtedy zosúladené. Prechodné obdobie končiace 12. septembra 2027 v článku 50 sa týka kapitoly IV o nekalých zmluvných podmienkach týkajúcich sa prístupu k údajom a ich používania, a nie režimu zmeny poskytovateľa. Samostatne Komisia konzultovala návrh odporúčania obsahujúceho nezáväzné vzorové zmluvné podmienky týkajúce sa prístupu k údajom a ich používania a nezáväzné štandardné zmluvné doložky pre zmluvy o cloudových počítaniach, ktoré môžu poskytovatelia zahrnúť po jeho prijatí; predtým, ako sa naň spoľahnete, si overte jeho stav. Digitálny súhrnný balík z 19. novembra 2025 síce navrhuje zmeny v kapitole VI, medzi ktoré patria primerané sankcie za predčasné ukončenie zmlúv na dobu určitú a úzke zachovanie platnosti určitých zmlúv uzavretých pred 12. septembrom 2025, ale stále prechádza legislatívnym procesom a prijaté znenie sa naďalej uplatňuje, kým nebude zmenené a doplnené. Čistá kolokácia a housing nespadajú do definície služby spracovania údajov, a teda aj do režimu, za predpokladu, že spolu s podlahovou plochou nie je poskytovaná žiadna škálovateľná alebo elastická cloudová funkcionalita.

Kontinuita a platobná neschopnosť dodávateľa

Ak váš dodávateľ zlyhá, správca rozhodne podľa článku 37 Fw, či splní nesplnené zmluvy; ak nie, vaša pohľadávka je nezabezpečená. Úschova zdrojového kódu bola vytvorená pre on-premise softvér a pre SaaS robí len málo: kód bez údajov, prostredia a prevádzkových znalostí neobnoví službu. SaaS vyžaduje dohodu o kontinuite, ktorá by pokrývala bežiacu inštanciu, údaje a právo na ich zachovanie v prevádzke. Zmluva by mala minimálne uvádzať, že údaje sú vaše, nevzťahuje sa na ne žiadne právo na uchovávanie a musia byť uvoľnené pri definovaných udalostiach.

Zodpovednosť, zbavenie zodpovednosti a cena

Štandardným podmienkam dodávateľov na holandskom trhu dominujú NLdigital Voorwaarden, ktorých najnovšie je vydanie z roku 2025, publikované v októbri 2025. Toto vydanie obmedzuje zodpovednosť za priamu stratu na cenu dohodnutú pre zmluvu alebo v prípade trvajúcej zmluvy dlhšie ako jeden rok na ročné poplatky a v každom prípade ju obmedzuje na 500 000 EUR so samostatným stropom 1 750 000 EUR pre smrť, zranenie osôb a škodu na majetku. Nepriame a následné straty, ušlý zisk, ušlé úspory, zníženie goodwillu, prerušenie prevádzky a nároky zo strany vlastných zákazníkov zákazníka sú úplne vylúčené. Tieto limity padajú len vtedy, ak strata vyplýva z úmyslu alebo vedomej nedbanlivosti zo strany vedenia dodávateľa. Nárok musí byť oznámený čo najskôr po vzniku straty a premlčí sa po dvadsiatich štyroch mesiacoch, pokiaľ nebolo začaté konanie. Každé nové vydanie tieto limity reviduje, preto zistite, ktoré vydanie váš dodávateľ začlenil a či ho zmenil: staršie vydania zostávajú v obehu a mnohí dodávatelia používajú vlastné podmienky.

Holandské súdy presadzujú doložky o oslobodení od zodpovednosti medzi podnikmi. Prvým kolom je článok 6:248 BW: spoliehanie sa na doložku zlyháva, ak by to bolo neprijateľné z hľadiska štandardov primeranosti a spravodlivosti. Súdy uplatňujú tento test s zdržanlivosťou, pričom zvažujú závažnosť porušenia, poškodené záujmy, postavenie strán a spôsob, akým bolo riziko ocenené. Úmysel alebo konanie rovnocenné s ním vo všeobecnosti doložku vyvráti. Ak sú podmienky všeobecnými podmienkami (článok 6:231 BW), článok 6:233 BW umožňuje zrušenie neprimerane prísnej podmienky. V praxi: dohodnite hornú hranicu, ktorá bude mať určitý vzťah k ujme, ktorú by zlyhanie spôsobilo, vyňate z nej stratu údajov, dôvernosť, bezpečnosť a odškodnenie za duševné vlastníctvo a definujte „následnú stratu“.

Pokiaľ ide o cenu, zafixujte mechanizmus: stanovte hornú hranicu ročnej indexácie podľa určeného indexu, obmedzte jej zvyšovanie na raz ročne na základe oznámenia a využite právo ukončiť zmluvu bez sankcií nad určitú prahovú hodnotu. Pri stanovovaní cien na základe spotreby sa zaviažte iba k objemom, ktoré budete používať, a kontrolujte náklady na škálovanie, úrovne podpory a odchod.

Rozhodné právo, spory a dodávatelia mimo EÚ

Vyberte si holandské právo a holandský fórum, kde je to možné, a zvážte praktické body, ktoré rozhodujú o tom, či má rozsudok nejakú hodnotu, ktoré sme uviedli v našom článku o tom, ako sa vyhnúť problémom s jurisdikciou a presadzovaním . Vymáhanie holandského rozsudku v rámci EÚ je jednoduché; presadzovanie mimo nej často nie je. Arbitráž môže byť lepším riešením proti protistrane mimo EÚ a v holandských IT sporoch nadácia SGOA ponúka odvetvovú arbitráž a mediáciu.

Uzatváranie zmlúv mimo EÚ prináša tri skutočnosti. Obmedzenie zodpovednosti sa môže ľahko uplatniť a ťažko napadnúť na vzdialenom fóre. Záväzné pravidlá EÚ vrátane režimu zmeny poskytovateľa podľa zákona o údajoch a GDPR sa môžu uplatňovať na základe miesta, kde sa služba ponúka, ale ich uplatňovanie a presadzovanie sú odlišné veci. A zahraničný materský podnik môže čeliť príkazom na zverejnenie informácií, ktoré sú v rozpore s vašimi povinnosťami v tejto krajine. Ak je vystavenie závažné, uzavrite zmluvu so subjektom dodávateľa v EÚ a trvajte na európskom fóre.

Kontrolný zoznam pre rokovania

• Definujte službu podľa vrstiev a zaznamenajte, ktorá strana riadi každý komponent a každý bezpečnostný ovládací prvok.
• Umožnite meranie dostupnosti: rozsah komponentov, obdobie, bod merania a vylúčenia; samostatne potvrďte výkon a cieľ obnovy.
• Zamietnuť servisné kredity ako výhradný opravný prostriedok a pripojiť právo na ukončenie zmluvy k pretrvávajúcemu alebo závažnému zlyhaniu.
• Špecifikujte zabezpečenie podľa štandardu a rozsahu, s dôkazmi, termínmi oznámení a postupom auditu.
• Podpíšte zmluvu o spracovaní a opravte údaje, miesta spracovania a podpory.
• Najprv dohodnite klauzulu o ukončení: formát, rozsah, prechodné obdobie, cenová pomoc, overené vymazanie a spúšťače vrátane ukončenia z dôvodu nezaplatenia.
• Skontrolujte zmluvu podľa požiadaviek zákona o údajoch na zmenu, naplánujte si jej dátum 12. januára 2027 a dohodnite si kontinuitu: vlastníctvo údajov, žiadne právo na uchovávanie údajov, úschova.
• Otestujte limit zodpovednosti oproti strate, ktorú by spôsobilo skutočné zlyhanie, a vyraďte z neho údaje, bezpečnosť, dôvernosť a duševné vlastníctvo.
• Indexácia stropu a zámerný výber práva, fóra a zmluvnej strany.

Law & More preveruje a vyjednáva zmluvy o cloude, hostingu a kolokácii pre zákazníkov a dodávateľov: úrovne služieb, bezpečnostné a audítorské práva, zmluvy o spracovaní, ukončenie zmluvy a súlad so zákonom o údajoch, limity zodpovednosti a voľba práva a súdu. Ak je zmluva prejednávaná alebo služba zlyháva, naša IT právnici vám povie, kde sa nachádza skutočná expozícia, ešte predtým, ako podpíšete.