Smlouvy o cloudu, hostingu a kolokaci podle nizozemského práva

Téměř každá mezinárodní společnost působící v Nizozemsku kupuje výpočetní kapacitu od někoho jiného. Smlouva, která se na to vztahuje, je obvykle šablona dodavatele, podepsaná pod časovým tlakem, s připevněnou dohodou o úrovni služeb a doložkou o ukončení smlouvy, kterou nikdo nečetl. Tento článek popisuje, jak nizozemské právo s těmito smlouvami zachází, kde jsou standardní podmínky pro zákazníka nejslabší a co nyní vyžaduje zákon EU o ochraně osobních údajů při změně dodavatele.

Tři vrstvy plus hosting a kolokace

„Cloud“ není jeden produkt. To, co zákazník kontroluje, se mění na každé úrovni, a stejně tak se mění i to, co musí smlouva chránit.

Čím níže se nacházíte v žebříčku, tím větší je vaše provozní riziko, a čím výše, tím více jste uzavřeni v rámci svého portfolia. Kolokace je výjimkou: kupujete si podlahovou plochu, energii a fyzické zabezpečení, takže rozhodujícími podmínkami jsou hustota výkonu a redundance, výpovědní lhůta, eskalace poplatků za energii, vzdálené ruce a vaše právo odstranit vaše rozvaděče. U prostého hostingu je spor téměř vždy o rozsahu: byl dodavatel zodpovědný za opravy, monitorování a zálohy, nebo pouze za udržování napájení stroje?

Jak nizozemské právo charakterizuje smlouvu

Nizozemské právo nezná typ smlouvy nazývaný „cloud“. Soudy charakterizují smlouvu podle toho, na čem se strany dohodly a jak plnily své povinnosti, a poté použijí pravidla odpovídajícího typu nebo typů.

• Opdracht (čl. 7:400 BW): výchozí nastavení pro SaaS, PaaS, spravovaný hosting a servisní prvek IaaS.
• Hurá (čl. 7:201 BW): nájemní smlouva vyžaduje použití pouzdro, hmatatelný objekt (čl. 3:2 BW). Software a data nikoli, takže čistý SaaS není pronájem. Kolokační prostor a vyhrazený hardware pravděpodobně ano, a proto kolokační smlouvy často nesou charakteristiky pronájmu, ať už je dodavatel nazývá jakkoli.
• Koupit (čl. 7:1 BW): v De Beeldbrigade (HR 27. dubna 2012, ECLI:NL:HR:2012:BV1301) Hoge Raad rozhodl, že pořízení standardního softwaru pro neomezené užívání za jednorázovou platbu spadá pod ustanovení o prodeji. To se nepřenáší na předplatné, ale je důležité pro trvalé licence v hybridní dohodě.
• Smlouva o příjmu (čl. 6:215 BW): většina skutečných smluv je smíšená a pravidla každého typu platí kumulativně, pokud nejsou neslučitelná.

Proč je charakterizace důležitá

Ukončení smlouvy. Podle čl. 7:408 BW může klient v zásadě kdykoli vypovědět smlouvu o odstoupení od smlouvy a čl. 7:411 BW upravuje, co je v takovém případě dodavateli dlužno. Mezi podniky jsou tato pravidla do značné míry otevřena opačné dohodě (viz čl. 7:413 BW) a šablony je nahrazují pevnými podmínkami, automatickým obnovením a dlouhou výpovědní lhůtou. Pokud smlouva na dobu neurčitou neobsahuje žádnou výpovědní klauzuli, nizozemská judikatura ji obecně považuje za vypověditelnou, ale přiměřenost a spravedlnost mohou vyžadovat výpověď, kompenzaci nebo závažný důvod.

Povinnost péče. Pokud je smlouva opdracht, čl. 7:401 BW ukládá péči dobrého dodavatele: vymahatelnou normu, kterou nizozemské soudy používají k tomu, aby dodavatele nutily k provádění šetření, varování a řízení projektu, o čemž se smlouva nikdy nezmiňovala. V rámci charakterizace prodeje nebo pronájmu se místo toho jedná o shodu nebo vadu.

Dohoda o úrovni služeb

Dostupnost a jak se měří

• Co se měří: Celá služba, nebo jen jedna komponenta? Platforma, která provádí kontrolu stavu i při nečinnosti, se v mnoha SLA počítá jako „dostupná“.
• Za jaké období: 99.9 procenta měřených ročně umožňuje jeden delší výpadek; měřeno měsíčně mnohem lépe omezuje jeden incident.
• Kým, odkud: Monitorování dodavatelů v rámci jejich vlastní sítě hlásí lepší čísla než sonda z vaší kanceláře.
• Co je vyloučeno: Údržba, selhání sítě třetích stran, vyšší moc a incidenty „způsobené zákazníkem“ jsou běžně vyloučeny a vyloučený čas obvykle také opouští jmenovatel, čímž se dané číslo nafukuje.

Dostupnost neznamená výkon. Služba může být plně dostupná a zároveň nepoužitelně pomalá. Zavažte se k rychlosti samostatně: cíle odezvy, dávková okna, čas obnovení a cíle bodů obnovení a doby odezvy podpory podle třídy priorit. Zálohování vyžaduje vlastní závazek, včetně testovaného obnovení. Opravte také okna údržby: načasování, oznámení, frekvenci a trvání. Pro mezinárodní provoz je nutné „mimo pracovní dobu“ uvést časové pásmo.

Servisní kredity a past exkluzivity

• Jsou to výhradní léky? Dodavatelské podmínky to obvykle uvádějí, což z každého selhání dělá mírnou slevu a vylučuje škody. Minimálně vyloučte trvalá, úmyslná nebo hrubě nedbalá porušení a jakékoli porušení, které je zároveň narušením bezpečnosti nebo dat.
• Musíte si je nárokovat? Mnoho systémů vyžaduje uplatnění nároku v krátké lhůtě, jinak dobropis propadá. Trvejte na automatickém dobropisu na faktuře.
• Je tu cesta ven? Úvěrový režim bez práva na ukončení je slabý. Dodavatel, který může donekonečna neplnit své cíle, vracet malé procento měsíčního poplatku a držet vás u dodavatele, si koupil cestu k neplnění svých povinností. Opakované nebo závažné neplnění lze spojovat s ukončením pracovního poměru z důvodu bez sankcí a s plnou pomocí při odchodu.

Povinnost péče a povinnost spolupráce

Nizozemská judikatura v oblasti IT je neobvykle rozvinutá, pokud jde o povinnost péče dodavatele. Profesionální dodavatel musí prozkoumat prostředí a požadavky zákazníka, varovat před riziky, nevhodnými volbami a překročením nákladů a neustále varovat, pokud je rada ignorována. Označování této povinnosti za vynaložení maximálního úsilí neneutralizuje očekávání, která si dodavatel vytvořil před podpisem smlouvy.

Zrcadlová povinnost je skutečná a podceňovaná: zákazník musí spolupracovat tím, že poskytne přesné informace, rozhodne se o včasném termínu, provede testování, když je o to požádán, a poskytne přístup k nim a kompetentní lidi. Zákazník, který selže, se může ocitnout v prodlení věřitele (článek 6:58 BW), což blokuje prodlení dodavatele, maří nárok na náhradu škody a může znemožnit ukončení smlouvy.

Jde o bezpečnost. V případu Gemeente Hof van Twente v. Switch IT Solutions (Gerechtshof Arnhem-Leeuwarden, 25. února 2025, ECLI:NL:GHARL:2025:1046) soud zamítl žalobu zákazníka po útoku ransomware, protože zranitelnosti souvisely s administrací, kterou si zákazník ponechal: změna firewallu, kterou provedl sám, a slabé heslo k účtu, který spravoval. Kontrola ovlivňuje odpovědnost, proto je třeba zaznamenat, která strana vlastní kterou kontrolu.

Bezpečnost, certifikace a audit

Nepřijímejte „vhodná technická a organizační opatření“ jako celou povinnost. Specifikujte pojmenovanou normu a rozsah, například certifikaci ISO/IEC 27001 nebo zprávu SOC 2 Type II, přičemž certifikát skutečně pokrývá službu, kterou kupujete; časové harmonogramy pro aktualizace podle závažnosti; frekvenci penetračních testů; oznámení o incidentech s definovaným spouštěčem, termínem a obsahem; a postup auditu. Velcí dodavatelé odmítají audity na místě; funkčním kompromisem je certifikace plus právo na audit s oznámením po incidentu.

Odvětvová pravidla mohou přidávat povinný obsah. Finanční subjekty podléhají nařízení DORA (nařízení (EU) 2022/2554), které stanoví podmínky pro smlouvy s třetími stranami v oblasti informačních a komunikačních technologií (IKT). Nizozemský zákon Cyberbeveiligingswet , kterým se provádí NIS2, vstoupil v platnost 15. srpna 2026 a vztahuje se na sektory digitální infrastruktury a spravovaných služeb, jakož i na mnoho zákazníků. Oba režimy se přímo týkají smlouvy: pro finanční subjekty v rámci DORA a pro základní a důležité subjekty v rámci Cyberbeveiligingswet ukládají požadavky na provozní odolnost, oznamování incidentů a strategii ukončení. Hned na začátku si stanovte, který z těchto dvou režimů zaujme dodavatele a který vás.

Ochrana osobních údajů

V případě zpracování osobních údajů potřebujete dohodu o zpracování podle GDPR, která bude zahrnovat pokyny, důvěrnost, zabezpečení, dílčí zpracovatele, práva subjektu údajů, oznámení o porušení a vrácení nebo smazání údajů na konci. Opakujícími se body vyjednávání jsou režim dílčích zpracovatelů, zda jste předem informováni a zda máte právo vznést námitku, a mezinárodní přenosy. Rámec ochrany osobních údajů mezi EU a USA přežil svou první námitku před Tribunálem, který dne 3. září 2025 zamítl žalobu ve věci T-553/23 (Latombe v. Komise) s tím, že Soud pro přezkum ochrany osobních údajů nabízí dostatečné záruky nezávislosti a že soudní přezkum po hromadném shromažďování údajů splňuje standard v podstatě rovnocenné ochrany. Odvolání bylo podáno dne 31. října 2025 pod názvem C-703/25 P a stále probíhá; rozhodnutí o odpovídající ochraně zůstává mezitím plně v platnosti.

Umístění dat a jejich suverenita

Umístění je spíše obchodní a regulační otázkou než otázkou ochrany osobních údajů. Písemně se zeptejte: kde jsou data uložena a odkud jsou zpracovávána nebo k nim přistupováno, s přihlédnutím k tomu, že podpůrný personál mimo EU má přístup i v případě, že je úložiště lokální; kde se nacházejí zálohy, kopie pro zotavení po havárii a protokoly; které subjekty by mohly být nuceny předat data na základě zahraniční objednávky; můžete opravit region a co se stane, když jej dodavatel změní? Zákon o ochraně osobních údajů pomáhá: poskytovatelé musí zveřejnit a ve svých smlouvách zohlednit jurisdikci, které nasazená infrastruktura podléhá, ​​a opatření přijatá proti nezákonnému přístupu mezinárodních vlád k neosobním údajům uchovávaným v EU.

Východ

Výstupní klauzule sjednaná na začátku má větší hodnotu než kterákoli jiná klauzule ve smlouvě. Na začátku máte pákový efekt a dodavatel chce dohodu; na konci nemáte žádný a každý den zpoždění vás stojí peníze.

• Formát. Strukturovaný, běžně používaný a strojově čitelný, s dokumentovaným schématem, včetně metadat, konfigurace, auditních protokolů a příloh. Nedokumentovaný výpis není použitelným výpisem.
• Rozsah. Všechno, nejen nahrané záznamy: odvozená data, historické verze a cokoli, co vyžadují vaše retenční povinnosti.
• Přechodné období. Definované období, během kterého služba pokračuje za stávajících podmínek během migrace, s možností prodloužení za stanovenou cenu.
• Pomoc. Povinnost pomáhat, s jasně stanovenými rolemi, dohodnutou denní sazbou a spoluprací s vaším novým dodavatelem.
• Vymazání. Certifikované smazání po uplynutí definovaného časového okna pro obnovení, včetně záloh, s uvedenou dobou platnosti.
• Spoušť. Povinnosti ukončení smlouvy se vztahují na jakékoli ukončení smlouvy, a to i ze strany dodavatele z důvodu vaší nezaplacení. Dodavatelé tento případ často vylučují a je to ten, který budete pravděpodobně nejčastěji potřebovat.

Závazek, přenositelnost a zákon EU o ochraně osobních údajů

Nařízení (EU) 2023/2854, zákon o ochraně osobních údajů, vstoupilo v platnost 11. ledna 2024 a platí od 12. září 2025. Kapitola VI zavádí režim změny poskytovatelů „služeb zpracování údajů“, který je definován dostatečně široce, aby zahrnoval IaaS, PaaS a SaaS.

• Překážky musí zmizet (čl. 23): obchodní, technické, smluvní a organizační překážky ukončení smlouvy, přechodu ke konkurenci a přenosu údajů.
• Povinné podmínky (čl. 25): maximální výpovědní lhůta dva měsíce pro zahájení změny poskytovatele; povinné maximální přechodné období 30 kalendářních dnů, které může zákazník jednou prodloužit, a pokud je změna technicky neproveditelná, poskytovatel až na sedm měsíců s odůvodněnou výpovědní lhůtou; poté lhůta pro vyhledání údajů v délce nejméně 30 kalendářních dnů, po níž následuje výmaz.
• Poplatky (čl. 29): od 11. ledna 2024 do 12. ledna 2027 mohou poskytovatelé účtovat pouze snížené poplatky za změnu poskytovatele, které nepřesahují náklady přímo spojené s procesem změny poskytovatele. Od 12. ledna 2027 jsou poplatky za změnu účtu zcela zakázány., čímž se ukončí poplatky za výstup při jeho ukončení.
• Technické závazky (čl. 30): poskytovatelé na úrovni infrastruktury musí přijmout veškerá přiměřená opatření k zajištění funkční ekvivalence po změně poskytovatele; ostatní musí bezplatně zpřístupnit otevřená rozhraní. Žádný poskytovatel nesmí vyvíjet nové technologie ani zveřejňovat obchodní tajemství.
• Informace, dobrá víra a výjimky (články 26, 27, 31): postupy změny poskytovatele musí být zveřejněny; všechny strany, včetně poskytovatele v cílové lokalitě, musí spolupracovat v dobré víře; jsou vyčleněny zakázkové a časově omezené testovací služby.

Tři upozornění. Zákon o datech stanoví spodní hranici, nikoli plán migrace: pokud stavíte na proprietárních platformových službách, které jinde nemají ekvivalent, neumožní přenositelnost vašich dat. Načasování je důležité: smlouva uzavřená 12. září 2025 nebo později musí okamžitě splňovat požadavky kapitoly VI, zatímco smlouva uzavřená před tímto datem musí být uvedena do souladu do 12. září 2027. Aby tomu pomohla, Komise na konci roku 2025 zveřejnila modulární standardní smluvní doložky, které mohou poskytovatelé začlenit do svých podmínek, aby splnili povinnosti podle kapitoly VI. Návrh Komise na digitální omnibus ze dne 19. listopadu 2025 již kapitolu VI nijak podstatně neovlivňuje, jelikož překrývání mezi nimi bylo z velké části absorbováno do uvedené kapitoly. A čistá kolokace a housing nespadají do definice služby zpracování dat, a tedy i do režimu, za předpokladu, že s podlahovou plochou není poskytována žádná škálovatelná nebo elastická cloudová funkcionalita.

Kontinuita a insolvence dodavatele

Pokud váš dodavatel selže, správce rozhodne podle čl. 37 Fw, zda bude plnit nesplněné smlouvy; pokud ne, váš nárok je nezajištěný. Úschova zdrojového kódu byla vytvořena pro on-premise software a pro SaaS má jen malý význam: kód bez dat, prostředí a provozních znalostí službu neobnoví. SaaS potřebuje dohodu o kontinuitě, která zahrnuje běžící instanci, data a právo na zachování provozu. Smlouva by měla minimálně stanovit, že data jsou vaše, nevztahuje se na ně žádné právo na uchování a musí být uvolněna při definovaných událostech.

Odpovědnost, zproštění odpovědnosti a cena

Standardní podmínky dodavatelů na nizozemském trhu dominují NLdigital Voorwaarden, jejichž aktuální vydání je z roku 2025. Omezuje odpovědnost za přímou ztrátu na cenu dohodnutou pro smlouvu, nebo v případě trvající smlouvy déle než jeden rok na roční poplatky a v každém případě ji omezuje na 500 000 EUR, se samostatným stropem 1 750 000 EUR pro smrt, újmu na zdraví a škodu na majetku. Nepřímé a následné ztráty, ušlý zisk, ušlé úspory, snížení dobré pověsti, přerušení provozu a nároky ze strany vlastních zákazníků zákazníka jsou zcela vyloučeny. Omezení odpadá pouze v případě, že ztráta vyplývá z úmyslu nebo vědomé nedbalosti ze strany vedení dodavatele. Nárok musí být oznámen co nejdříve po vzniku ztráty a zaniká po dvaceti čtyřech měsících, pokud nebylo zahájeno řízení. Zjistěte, které vydání váš dodavatel začlenil a zda jej změnil: dřívější vydání zůstávají v oběhu a mnoho dodavatelů používá svá vlastní pravidla.

Nizozemské soudy vymáhají doložky o zproštění odpovědnosti mezi podniky. Prvním kolem je čl. 6:248 BW: spoléhání se na doložku selhává, pokud by to bylo nepřijatelné z hlediska standardů přiměřenosti a spravedlnosti. Soudy používají tento test s zdrženlivostí a zvažují závažnost pochybení, poškozené zájmy, postavení stran a způsob ocenění rizika. Úmysl nebo jednání s ním rovnocenné obvykle doložku vyvrátí. Pokud jsou podmínky obecnými podmínkami (čl. 6:231 BW), čl. 6:233 BW umožňuje zrušení nepřiměřeně závazné podmínky. V praxi: vyjednat strop, který bude do jisté míry souviset se škodou, kterou by selhání způsobilo, vyjmout ztrátu dat, důvěrnost, bezpečnost a odškodnění za duševní vlastnictví a definovat „následnou ztrátu“.

Pokud jde o cenu, zafixujte mechanismus: omezte roční indexaci podle určeného indexu, omezte její navyšování na jednou ročně s výpovědní lhůtou a zajistěte si právo ukončit smlouvu bez sankce nad určitou prahovou hodnotu. Díky cenám založeným na spotřebě se zavazujte pouze k objemům, které budete využívat, a kontrolujte náklady na škálování, podpůrné úrovně a odchozí platby.

Rozhodné právo, spory a dodavatelé mimo EU

Zvolte nizozemské právo a nizozemský soud, kde je to možné. Vymáhání nizozemského rozsudku v rámci EU je jednoduché; vymáhání rozsudku mimo EU často nikoli. Arbitráž může být lepším řešením proti protistraně ze země mimo EU a v nizozemských IT sporech nabízí nadace SGOA arbitráž a mediaci specifickou pro daný sektor.

Uzavírání smluv mimo EU s sebou nese tři skutečnosti. Omezení odpovědnosti může být snadno uplatnitelné a obtížně napadnutelné na vzdáleném fóru. Závazná pravidla EU, včetně režimu změny dodavatele podle zákona o ochraně osobních údajů a GDPR, se mohou vztahovat na místo, kde je služba poskytována, ale jejich uplatňování a vymáhání jsou různé věci. A zahraniční mateřská společnost může čelit příkazům k zveřejnění, které jsou v rozporu s vašimi povinnostmi zde. V případě podstatného vystavení se uzavřete smlouvu s dodavatelem v EU a trvejte na evropském fóru.

Kontrolní seznam pro vyjednávání

• Definujte službu podle vrstev a zaznamenejte, která strana řídí každou komponentu a každý bezpečnostní prvek.
• Zajistěte měřitelnost dostupnosti: rozsah komponent, období, bod měření a výjimky; samostatně potvrďte cíle výkonu a obnovy.
• Odmítnout servisní kredity jako výhradní opravný prostředek a v případě přetrvávajícího nebo závažného selhání připojit právo na ukončení smlouvy.
• Specifikujte zabezpečení podle standardu a rozsahu, včetně důkazů, lhůt pro oznámení a postupu auditu.
• Podepište smlouvu o zpracování a opravte data, místa zpracování a podpory.
• Nejprve vyjednejte klauzuli o ukončení: formát, rozsah, přechodné období, placenou asistenci, certifikované smazání a spouštěče včetně ukončení v případě nezaplacení.
• Zkontrolujte smlouvu podle požadavků zákona o datech (Data Act) na změnu dodavatele, naplánujte ji na 12. ledna 2027 a vyřešte kontinuitu: vlastnictví dat, žádné právo na uchování dat, úschova.
• Otestujte limit odpovědnosti oproti ztrátě, kterou by způsobilo skutečné selhání, a vynechte z něj data, bezpečnost, důvěrnost a duševní vlastnictví.
• Stanovení stropu indexace a vědomá volba práva, fóra a smluvní strany.