DaaS-Contracten: juridische aspecten en aandachtspunten

Wat is Data as a Service (DaaS)?

Data as a Service (DaaS) is een cloudgebaseerd servicemodel waarbij data wordt aangeboden als een dienst via internet. In tegenstelling tot traditionele datamanagementmodellen, waarbij organisaties zelf hun data-infrastructuur moeten opbouwen en onderhouden, biedt DaaS gebruikers directe toegang tot hoogwaardige, gestructureerde data via API’s (Application Programming Interfaces) of andere toegangsmechanismen, zonder dat zij zelf de onderliggende infrastructuur hoeven te beheren.

Bij DaaS verzamelt, verwerkt, beheert en distribueert de dienstverlener data uit verschillende bronnen, waarna deze data beschikbaar wordt gesteld aan klanten op basis van abonnementsmodellen of pay-per-use structuren. Dit stelt organisaties in staat om sneller datagedreven beslissingen te nemen, zonder de investeringen die nodig zijn voor het ontwikkelen van eigen dataverzamelings- en verwerkingsinfrastructuur.

Het belang van DaaS in de huidige economie

In onze huidige data-economie wordt data steeds meer erkend als een waardevol bedrijfsactief. De hoeveelheid beschikbare data groeit exponentieel, evenals de behoefte om inzichten uit deze data te halen. DaaS speelt hierop in door:

Toegang te bieden tot grote hoeveelheden relevante data die anders niet bereikbaar zou zijn voor kleinere organisaties
De kosten voor dataverzameling, -opslag en -verwerking te verlagen
De time-to-market voor datagedreven producten en diensten te versnellen
Schaalbaarheid te bieden in databehoeften zonder grote kapitaalinvesteringen

Dankzij deze voordelen groeit de DaaS-markt snel, wat leidt tot een toenemende behoefte aan gedegen juridische ondersteuning bij het opstellen en evalueren van DaaS-contracten.

De Europese datawetgeving: Data Act en Data Governance Act

De Europese Unie heeft een ambitieuze datastrategie gelanceerd om een echte interne markt voor data te creëren. Centraal in deze strategie staan twee belangrijke verordeningen: de Data Governance Act (DGA) en de Data Act (DA). Samen vormen deze het nieuwe juridische kader voor de data-economie.

De Data Governance Act (DGA)

De Data Governance Act is sinds 24 september 2023 van toepassing. De DGA biedt een kader om vertrouwen te vergroten in vrijwillige gegevensdeling ten behoeve van bedrijven en burgers. Deze verordening richt zich op:

Hergebruik van overheidsinformatie – De DGA vergemakkelijkt het hergebruik van beschermde data die in handen is van overheidsinstanties.
Data-intermediairs – De verordening introduceert een nieuw reguleringsregime voor gegevensintermediairs, die als neutrale tussenpersonen fungeren bij datadeling.
Data-altruïsme – De DGA stimuleert het vrijwillig delen van data voor het algemeen belang door een juridisch kader te bieden voor “erkende organisaties voor data-altruïsme”.
Internationaal databeheer – De verordening bevat waarborgen voor de overdracht van niet-persoonsgebonden data naar landen buiten de EU.

De Data Act

De Data Act wordt van toepassing vanaf 12 september 2025. Waar de DGA zich richt op het faciliteren van vrijwillige datadeling, gaat de Data Act verder en:

Creëert nieuwe datagebruiksrechten – De Data Act legt verplichtingen op aan fabrikanten van verbonden producten en dienstverleners om gebruikers toegang te geven tot gegenereerde data.
Reguleert voorwaarden – De verordening bepaalt onder welke voorwaarden data gedeeld moet worden en verbiedt oneerlijke contractuele praktijken.
Vereenvoudigt cloudmigratie – De Data Act bevat specifieke bepalingen om overstappen tussen cloud-aanbieders te vergemakkelijken en vendor lock-in tegen te gaan.
Standaardiseert datadeling – De verordening zet in op interoperabiliteit en standaardisatie voor efficiënte datadeling.

Complementariteit van DGA en Data Act

Deze verordeningen vullen elkaar aan binnen het Europese databeleid:

De DGA creëert processen en structuren om vrijwillige datadeling te faciliteren
De Data Act bepaalt wie waarde kan creëren uit data en onder welke voorwaarden
Samen bevorderen ze de oprichting van “Europese dataruimtes” in verschillende sectoren
Beide verordeningen zijn van toepassing naast de AVG/GDPR, die bij persoonsgegevens voorrang heeft

Voor DaaS-aanbieders en -gebruikers betekent dit een nieuw juridisch landschap waarin datadeling wordt aangemoedigd, maar wel onder striktere voorwaarden gebeurt.

Impact van de Europese datawetgeving op DaaS-contracten

De Europese datawetgeving, met name de Data Governance Act en de Data Act, heeft verstrekkende gevolgen voor DaaS-contracten. Deze contracten moeten op diverse punten worden aangepast om compliant te zijn met de nieuwe regels:

1. Nieuwe rollen en partijen

De wetgeving introduceert nieuwe begrippen en rollen die in DaaS-contracten moeten worden geadresseerd:

Data-intermediairs (onder de DGA) – Organisaties die optreden als neutrale tussenpersonen bij datadeling
Datahouders (onder de Data Act) – Partijen die technische controle hebben over data
Dataontvangers – Derde partijen die op verzoek van gebruikers toegang krijgen tot data
Erkende organisaties voor data-altruïsme – Organisaties die data verzamelen voor doeleinden van algemeen belang

DaaS-contracten moeten deze rollen duidelijk definiëren en de rechten en plichten van elke partij vastleggen.

2. Nieuwe contractuele bepalingen

Om te voldoen aan beide verordeningen moeten DaaS-contracten nieuwe bepalingen bevatten over:

Vrijwillige datadeling (DGA) – Voorwaarden voor het delen van data voor algemeen belang
Verplichte datadeling (Data Act) – Bepalingen voor het delen van data op verzoek van gebruikers
Hergebruik van overheidsinformatie (DGA) – Regels voor het gebruik van beschermde overheidsinformatie
Toegangsrechten voor gebruikers (Data Act) – Mechanismen waarmee gebruikers hun data kunnen opvragen
Interoperabiliteitsvereisten (beide) – Technische en contractuele voorwaarden voor interoperabele datadeling

3. Dataportabiliteit en overstappen

De Data Act bevat specifieke bepalingen over dataportabiliteit en het overstappen tussen dienstverleners die rechtstreeks impact hebben op DaaS-contracten:

Migratierechten – Gebruikers hebben het recht om hun data mee te nemen naar andere providers
Verbod op technische barrières – Contracten mogen geen bepalingen bevatten die overstappen technisch belemmeren
Verbod op commerciële barrières – Contracten mogen geen onevenredige kosten in rekening brengen voor overstappen
Transitie-ondersteuning – Verplichtingen voor de provider om de overstap te faciliteren

4. Bescherming tegen oneerlijke voorwaarden

De Data Act bevat lijsten van verboden en verdachte contractuele bepalingen die niet meer mogen worden opgenomen in DaaS-contracten:

Verboden bepalingen (“zwarte lijst”) – Clausules die in alle gevallen onrechtmatig zijn
Verdachte bepalingen (“grijze lijst”) – Clausules die vermoed worden onrechtmatig te zijn tenzij rechtvaardiging bestaat
Evenwichtige voorwaarden – Verplichting om “eerlijke, redelijke en niet-discriminerende” voorwaarden te hanteren
Transparantie-eisen – Verplichting om duidelijke en begrijpelijke informatie te verstrekken over datagebruik

5. Internationale gegevensoverdracht

Beide verordeningen bevatten bepalingen over internationale gegevensoverdracht die in DaaS-contracten moeten worden geadresseerd:

Overdracht naar derde landen – Voorwaarden waaronder data naar niet-EU landen mag worden overgedragen
Toegang door buitenlandse autoriteiten – Beschermingsmaatregelen tegen ongeoorloofde toegang door buitenlandse overheden
Adequaatheidsbesluiten – Verwijzingen naar EU-besluiten over adequate gegevensbescherming in derde landen
Modelcontractbepalingen – Gebruik van door de Europese Commissie goedgekeurde contractbepalingen

DaaS-providers die op de Europese markt actief zijn, moeten al deze elementen integreren in hun contractuele documentatie om compliant te zijn met deze baanbrekende wetgeving.

De EU-datawegeving en DaaS in de praktijk: kerncomponenten voor DaaS-contracten

Met de inwerkingtreding van de Data Governance Act (DGA) en de aanstaande toepassing van de Data Act (DA) moeten DaaS-contracten worden herzien. Hieronder volgen de belangrijkste aandachtspunten voor elk kerncomponent van DaaS-contracten in het licht van de nieuwe wetgeving:

1. Dataspecificatie en dienstomschrijving

De basis van een DaaS-contract is een duidelijke omschrijving van de data die ter beschikking wordt gesteld. Deze moet nu worden uitgebreid met:

Duidelijke categorisering of het om “beschermde data” in de zin van de DGA gaat
Specificatie of het data betreft afkomstig van “verbonden producten” onder de Data Act
Onderscheid tussen “ruwe data” en “verrijkte data” conform de definities in de Data Act
Informatie over herkomst van de data en de juridische basis voor het verzamelen
Transparante beschrijving van hoe de DaaS-dienstverlener als “data-intermediair” optreedt

2. Datakwaliteit en service levels

De serviceniveauovereenkomsten (SLA’s) voor DaaS-diensten moeten worden aangepast:

Opname van objectieve kwaliteitscriteria conform de “eerlijke, redelijke en niet-discriminerende voorwaarden”
Specificatie van de responstijden voor het beschikbaar stellen van data aan gebruikers en geautoriseerde derden
Garanties over dataportabiliteit en ondersteunde formaten voor dataoverdracht
Beschikbaarheidsgaranties die rekening houden met gebruikersrechten onder de Data Act
Rapportage over naleving van de verplichtingen onder de DGA en Data Act

Op het gebied van beveiliging en privacy moeten DaaS-contracten voorzien in:

Expliciete verwijzing naar de relatie tussen de DGA/DA en de AVG/GDPR
Beschrijving van de technische en organisatorische maatregelen om data te beschermen
Duidelijkheid over rollen (verwerkingsverantwoordelijke/verwerker) bij persoonsgegevens
Procedures voor datalekken en andere veiligheidsincidenten
Waarborgen tegen ongeoorloofde toegang door autoriteiten buiten de EU

4. Gebruikersrechten en derdengebruik

De nieuwe wetgeving versterkt de positie van gebruikers aanzienlijk, wat moet worden gereflecteerd in DaaS-contracten:

Expliciete erkenning van het recht van gebruikers om toegang te krijgen tot hun data
Procedures voor het verzoeken om datatoegang of dataoverdracht
Voorwaarden waaronder de DaaS-provider data beschikbaar stelt aan derden
Beperkingen op het gebruik van data voor concurrerende producten
Bepalingen over “data-altruïsme” en vrijwillige datadeling voor het algemeen belang

5. Aansprakelijkheid en risicoallocatie

De aansprakelijkheidsbepalingen moeten worden herzien in het licht van de nieuwe verplichtingen:

Duidelijke verantwoordelijkheidsverdeling tussen datahouder, gebruiker en derde partijen
Evenwichtige aansprakelijkheidsbeperkingen die rekening houden met de “verboden lijst” van de Data Act
Vrijwaringsbepalingen voor claims van derden
Specifieke aansprakelijkheid voor onjuiste of onvolledige dataverstrekking
Verzekeringsvereisten die de nieuwe risico’s onder de EU-datawegeving dekken

6. Exit-strategie en dataportabiliteit

De exit-bepalingen moeten in lijn worden gebracht met de sterke nadruk op portabiliteit in de wetgeving:

Duidelijke procedures voor datamigratie bij beëindiging van de dienst
Formaten en mechanismen voor dataportabiliteit
Kosteloze toegang tot data na beëindiging
Transitieperiode en ondersteuning bij migratie
Verwijderingsprocedures voor data na beëindiging

7. Contractuele voorwaarden en verboden praktijken

Tenslotte moet het gehele contract worden gecontroleerd op verboden of verdachte clausules:

Verwijdering van bepalingen die op de “zwarte lijst” van de Data Act staan
Herziening en rechtvaardiging van bepalingen op de “grijze lijst”
Vermijding van exclusiviteitsbepalingen die niet zijn gerechtvaardigd
Eerlijke en transparante prijsstelling
Duidelijke geschillenbeslechtingsmechanismen

4. Intellectuele eigendom en gebruiksrechten onder de Data Act

Het juridische karakter van data en de bijbehorende intellectuele eigendomsrechten zijn complex en vragen om zorgvuldige contractuele bepalingen, zeker in het licht van de EU Data Act:

Eigendomsrechten op de ruwe data en hoe deze zich verhouden tot gebruikersrechten onder de Data Act
Licentiestructuur voor het gebruik van de data, rekening houdend met verplichte toegangsrechten
Rechten op afgeleide werken en analyses, waarbij de Data Act een onderscheid maakt tussen “ruwe data” en “verrijkte data”
Rechten op combinaties met eigen data
Databankrechten (sui generis rechten) en hun beperking onder de Data Act
Bescherming van bedrijfsgeheimen, waarbij de Data Act wel uitzonderingen toestaat voor handelsgeheimen
Niet-concurrentiebedingen en exclusiviteitsbepalingen, rekening houdend met de “grijze lijst” en “verboden lijst” van de Data Act
Aansprakelijkheid voor IP-inbreuken door derden

Let op dat in veel jurisdicties data op zichzelf niet auteursrechtelijk beschermd is, maar de selectie, structurering en presentatie ervan wel. De Data Act brengt hier een belangrijke nuance in aan door bepaalde rechten expliciet aan gebruikers toe te kennen, ongeacht de intellectuele eigendomsrechten die op de data rusten.

5. Compliance en regelgeving

DaaS-diensten moeten voldoen aan diverse wet- en regelgeving, afhankelijk van de aard van de data en de sector waarin deze wordt gebruikt:

Sectorspecifieke regelgeving (financiële dienstverlening, gezondheidszorg)
Privacywetgeving (AVG/GDPR, e-Privacy, nationale wetgeving)
Exportbeperkingen voor bepaalde datatypen
Nationale veiligheidsoverwegingen
Compliancerapportage en certificeringen
Audit- en inspectierechten
Wijzigingen in wetgeving tijdens de contractsduur

Het contract moet duidelijk vastleggen welke partij verantwoordelijk is voor welke complianceaspecten, inclusief ondersteuning bij audits door toezichthouders.

6. Aansprakelijkheid en risicoallocatie

Aansprakelijkheidsvraagstukken bij DaaS zijn bijzonder complex, gezien de potentiële schade die kan ontstaan door onjuiste of onvolledige data:

Aansprakelijkheidslimieten en -uitsluitingen
Indirecte schade en gevolgschade
Specifieke schade door onjuiste data of analyses
Vrijwaringen voor claims van derden
Proportionaliteit tussen contractwaarde en risico’s
Verzekeringsvereisten
Overmacht-bepalingen bij dataverlies

De standaard aansprakelijkheidsbeperkingen in cloudcontracten zijn vaak niet toereikend voor de specifieke risico’s van DaaS-diensten en vereisen maatwerk.

7. Exit-strategie en dataportabiliteit onder de Data Act

Een robuuste exit-strategie is cruciaal bij DaaS-contracten om vendor lock-in te voorkomen, en de EU Data Act bevat specifieke bepalingen die hierop gericht zijn:

Opzegtermijnen en -voorwaarden, waarbij de Data Act bepaalde maximumtermijnen introduceert
Dataretentie na beëindiging
Export van data in bruikbare en interoperabele formaten, wat onder de Data Act een expliciete verplichting is
Ondersteuning bij migratie naar andere providers, inclusief verplichte overgangsperiodes volgens de Data Act
Verwijdering van data na beëindiging, met inachtneming van bewaartermijnen voor audits en compliance
Transitie-ondersteuning en het verbod op technische, commerciële of contractuele barrières die overstappen belemmeren
Continuïteitsgaranties voor kritieke processen

De Data Act bevat specifieke bepalingen om dataportabiliteit te versterken en barrières voor het overstappen tussen dienstverleners te verminderen of te verbieden. Dit omvat onder meer het verbod op het in rekening brengen van kosten voor het overstappen en het verplicht aanbieden van functionele gelijkwaardigheid tijdens de overstap. De exit-strategie moet daarom expliciet rekening houden met deze nieuwe verplichtingen.

Specifieke uitdagingen bij DaaS-contracten onder de Data Act

Datakwaliteit en aansprakelijkheid

Een fundamentele uitdaging bij DaaS-contracten is het vaststellen van aansprakelijkheid voor datakwaliteit. Anders dan bij software, waar bugs en defecten relatief duidelijk gedefinieerd kunnen worden, is ‘kwaliteit’ bij data een multidimensionaal concept dat nauwkeurigheid, volledigheid, actualiteit, relevantie en bruikbaarheid omvat.

Het contract moet daarom:

Objectieve kwaliteitscriteria definiëren
Testmethoden en acceptatieprocedures vastleggen
Remedies specificeren bij kwaliteitsproblemen
Beperkingen van aansprakelijkheid in verhouding tot de risico’s stellen, rekening houdend met de vereisten van de Data Act voor “eerlijke, redelijke en niet-discriminerende voorwaarden”

Eigendomsrechten en gebruikersrechten onder de Data Act

De vraag naar eigendom van data is juridisch complex en wordt verder gecompliceerd door de Data Act, die gebruikers (ongeacht eigendom) expliciete rechten toekent. Hoewel feitelijke informatie niet auteursrechtelijk beschermd is, kunnen op verzamelingen van data wel databankrechten rusten. DaaS-contracten moeten duidelijkheid verschaffen over:

De juridische basis voor het aanbieden van de data
De nieuwe rechten van gebruikers onder de Data Act
Rechten op verrijking en transformatie van de data, met onderscheid tussen “ruwe data” en “verrijkte data” zoals gedefinieerd in de Data Act
Territoriale beperkingen en jurisdictionele bepalingen
Eigendomsrechten op metadata en gebruiksgegevens
Voorwaarden en beperkingen voor het delen van data met derden, rekening houdend met de nieuwe regels van de Data Act

Privacyuitdagingen bij geanonimiseerde datasets

Veel DaaS-providers bieden geanonimiseerde of geaggregeerde datasets aan om privacywetgeving te omzeilen. Recente onderzoeken tonen echter aan dat her-identificatie in veel gevallen mogelijk is door datasets te combineren. Het contract moet daarom:

Waarborgen bevatten over de kwaliteit van anonimisatie
De toegestane combinaties met andere datasets specificeren
Verbod op her-identificatiepogingen bevatten
Maatregelen bij onbedoelde her-identificatie vastleggen
Aansprakelijkheid bij privacyschendingen regelen
Verduidelijking van de relatie tussen de Data Act en de AVG/GDPR, waarbij de AVG/GDPR voorrang heeft bij persoonsgegevens

Multi-jurisdictionele compliance en de Data Act

DaaS-diensten opereren vaak wereldwijd, wat betekent dat meerdere jurisdicties en rechtsstelsels van toepassing kunnen zijn. De Data Act voegt hier een extra dimensie aan toe door specifieke regels te introduceren voor gegevensoverdracht buiten de EU. Het contract moet:

Toepasselijk recht en forumkeuze duidelijk vastleggen
Compliancevereisten per jurisdictie specificeren
Mechanismen bevatten voor het omgaan met conflicterende wetgeving
Aanpassingsmogelijkheden bij veranderende regelgeving bieden
Voldoen aan de Data Act-bepalingen die bescherming bieden tegen onrechtmatige toegang door overheden buiten de EU

Eerlijke voorwaarden en verboden praktijken

De Data Act introduceert nieuwe normen voor eerlijke contractuele voorwaarden en bevat lijsten van verboden praktijken. DaaS-contracten moeten daarom:

Geen gebruik maken van voorwaarden die op de “verboden lijst” staan
Voorwaarden die op de “grijze lijst” staan zorgvuldig evalueren en rechtvaardigen
Transparante en evenwichtige voorwaarden bieden, vooral voor kleinere afnemers
Expliciete rechtvaardiging bevatten voor exclusiviteits- of non-concurrentiebedingen
Duidelijke mechanismen voor geschillenbeslechting opnemen

Onze aanpak bij DaaS-Contracten

Als gespecialiseerd advocatenkantoor bieden wij uitgebreide ondersteuning bij alle aspecten van DaaS-contracten:

Due diligence en vooronderzoek

Voordat een DaaS-contract wordt aangegaan, voeren wij een grondig vooronderzoek uit naar:

De juridische status en herkomst van de aangeboden datasets
De kwaliteit en betrouwbaarheid van de data
Potentiële privacy- en compliancerisico’s
De reputatie en financiële stabiliteit van de provider
Vergelijking met marktstandaarden en best practices

Contractbeoordeling en -onderhandeling

Onze specialisten analyseren, beoordelen en onderhandelen DaaS-contracten met oog voor:

Volledige en duidelijke specificatie van de dienstverlening
Evenwichtige aansprakelijkheidsregelingen
Adequate beveiligings- en privacymaatregelen
Marktconforme prijsstructuren en SLA’s
Flexibiliteit voor toekomstige behoeften

Compliance en risicobeheersing

Wij begeleiden de implementatie van DaaS-diensten met advies over:

Naleving van relevante wet- en regelgeving
Privacyimpactanalyses (DPIA’s) voor DaaS-implementaties
Inbedding in bestaande governance-structuren
Training en bewustwording van medewerkers
Doorlopende monitoring van compliancerisico’s

Geschillenbeslechting en escalatiemanagement

Bij problemen bieden wij strategisch advies en ondersteuning bij:

Interpretatie van contractuele bepalingen
Schadebeperking bij datakwaliteitsproblemen
Onderhandeling over herstelmaatregelen
Formele geschillenbeslechting
Ondersteuning bij exittrajecten

Conclusie: DaaS-contracten in het tijdperk van de Europese datawetgeving

De Europese datawetgeving, bestaande uit de Data Governance Act en de Data Act, markeert een nieuw tijdperk voor datacontracten in het algemeen en DaaS-contracten in het bijzonder. Deze wetgeving brengt fundamentele veranderingen met zich mee in de wijze waarop data wordt gedeeld, gebruikt en beheerd binnen de EU.

Voor DaaS-providers betekent dit dat zij hun diensten en contractuele modellen moeten herzien om te voldoen aan:

Nieuwe verplichtingen – Waaronder transparantie, dataportabiliteit en eerlijke voorwaarden
Nieuwe gebruikersrechten – Zoals het recht op toegang tot data en het delen met derden
Nieuwe rollen en verantwoordelijkheden – Waaronder specifieke regels voor data-intermediairs
Nieuwe beperkingen – Zoals verboden contractuele praktijken en barrières op dataportabiliteit

Voor DaaS-gebruikers biedt de nieuwe wetgeving kansen en bescherming:

Sterkere onderhandelingspositie – Dankzij de wettelijke bescherming tegen oneerlijke voorwaarden
Betere controle over data – Via de nieuwe toegangs- en portabiliteitsrechten
Meer transparantie – Over datagebruik, -oorsprong en -kwaliteit
Betere bescherming – Tegen lock-in en onevenredige afhankelijkheid van providers

Het succesvol navigeren van dit nieuwe juridische landschap vereist een gedegen begrip van zowel de technische als de juridische aspecten van DaaS. Door vroegtijdig juridisch advies in te winnen kunnen zowel providers als gebruikers de mogelijkheden van DaaS volledig benutten terwijl ze de risico’s beperken en compliant blijven met de wet.

Ons advocatenkantoor combineert diepgaande kennis van de Europese datawetgeving met praktische ervaring in datagerichte contracten. Wij begeleiden zowel DaaS-providers als -gebruikers bij het herzien van bestaande contracten en het opstellen van nieuwe overeenkomsten die volledig voldoen aan de DGA en de Data Act.

Neem contact met ons op voor een vrijblijvende kennismaking waarin we de specifieke uitdagingen en kansen voor uw organisatie in het licht van de nieuwe wetgeving kunnen bespreken.

Vragen over Daas of het datarecht? Contacteer onze gespecialiseerde advocaten in IT recht.