Wat is een SaaS-contract

Een software as a service (SaaS)-contract is de overeenkomst waarmee een klant betaalt voor toegang tot software die op de systemen van de leverancier draait, zolang het abonnement loopt. Er wordt niets geïnstalleerd. Er gaat geen kopie over. Wat de klant koopt is een gebruiksrecht op een gehoste applicatie, plus afspraken over hoe goed die draait, wat er met de ingevoerde data gebeurt, en wat beide partijen mogen doen als de relatie eindigt.

Dit is algemene informatie over de opbouw van SaaS-contracten, geen juridisch advies over een specifiek contract. De juridische voorbeelden hieronder zijn Europese regels en Nederlands recht, telkens bij naam genoemd. In België en daarbuiten gelden andere nationale regels, ook al leest u dezelfde taal.

Sinds 12 september 2025 heeft dit soort dienst ook een Europese juridische naam. De Europese dataverordening (Data Act, Verordening (EU) 2023/2854) noemt het een dienst voor gegevensverwerking: een digitale dienst die de klant op afroep netwerktoegang geeft tot een gedeelde pool van configureerbare, schaalbare en elastische computermiddelen, die snel kan worden ingezet en weer vrijgegeven met minimale beheersinspanning [1]. SaaS valt daaronder, net als infrastructuur- en platformdiensten. Die definitie verklaart waarom deze contracten lezen zoals ze lezen. De klant bepaalt bijna niets over hoe de software draait. Het contract moet dus het werk doen dat het bezit van een kopie vroeger deed.

SaaS-overeenkomst, abonnementsovereenkomst, softwareabonnement, clouddienstenovereenkomst, onlinedienstenovereenkomst en raamovereenkomst duiden allemaal hetzelfde instrument aan. Geen van die titels is een aparte juridische categorie. De titel zegt niets over de inhoud.

Vier verwante documenten worden er vaak mee verward. Ze zijn niet hetzelfde:

• Een service level agreement (SLA) legt beschikbaarheid en support vast. Bij SaaS is dat bijna altijd een bijlage bij het abonnementscontract, geen losse overeenkomst.
• Een verwerkersovereenkomst (DPA) regelt hoe de leverancier persoonsgegevens verwerkt. Die staat naast het abonnementscontract, meestal als addendum. Artikel 28 van de Algemene verordening gegevensbescherming (AVG) schrijft voor dat die afspraak er is en wat erin moet staan [2].
• Een eindgebruikerslicentie (EULA) hoort bij software die op het apparaat van de gebruiker wordt geïnstalleerd. Zuivere SaaS heeft er geen nodig.
• Een bestelformulier, ook wel orderformulier of order schedule, bevat de commerciële specifics: welk product, hoeveel gebruikers, welke prijs, welke looptijd. Het bestelformulier is kort, de algemene voorwaarden waarnaar het verwijst zijn lang. Samen vormen ze het contract.

De structuur verschilt meer dan het vocabulaire. Een onderhandelde enterprise-deal is meestal een raamovereenkomst plus bestelformulieren, zodat een latere aankoop één pagina toevoegt in plaats van een nieuw contract. Een selfservice-aankoop is meestal klikakkoord plus een bevestiging uit de checkout. Dat tweede soort is net zo bindend. Let daarbij op artikel 6:233 onder b en artikel 6:234 van het Burgerlijk Wetboek: algemene voorwaarden moeten voor of bij het sluiten van de overeenkomst ter beschikking zijn gesteld, digitaal mag, en gebeurt dat niet, dan is een beding vernietigbaar [5]. Het is ook precies het soort aankoop waarvan organisaties geen kopie bewaren.

Het grootste misverstand is het verschil tussen een SaaS-abonnement en een klassieke softwarelicentie. De verslaggevingsregels trekken die grens scherp. Het IFRS Interpretations Committee (IFRIC) besliste in maart 2019 dat een contract dat de klant uitsluitend recht geeft op toegang tot de applicatie van de leverancier gedurende de looptijd, geen lease bevat. De klant heeft geen zeggenschap over hoe en waarvoor de software wordt gebruikt: de leverancier beslist over updates, configuratie en de infrastructuur waarop het draait [3]. Zonder die zeggenschap ontstaat geen immaterieel actief en blijft de vergoeding een dienst. Voor ondernemingen die onder Titel 9 Boek 2 BW en de Richtlijnen voor de jaarverslaggeving rapporteren, luidt de uitkomst in de praktijk hetzelfde: u koopt een dienst, geen ding.

	SaaS-abonnement	Klassieke softwarelicentie
Wat de klant krijgt	Recht op toegang tot een gehoste applicatie	Een gelicentieerde kopie, vaak eeuwigdurend
Waar het draait	Op hardware van de leverancier of een derde	Op servers of apparaten van de klant
Als de betaling stopt	De toegang stopt, en het gebruik dus ook	De kopie blijft meestal werken
Upgrades	Door de leverancier voor iedereen doorgevoerd	Door de klant gekocht, gepland en geïnstalleerd
Geldstroom	Terugkerende abonnementsvergoeding	Licentiebedrag plus jaarlijks onderhoud
Grootste compliancezorg	Datalocatie, beveiliging en exit	Licentietellingen en auditrisico
Verslaggeving	Dienst, geen immaterieel actief [3]	Actief of licentie, afhankelijk van de zeggenschap [3]

Geeft het document voor u een eeuwigdurend recht om software te installeren en te draaien, dan leest u een licentie. De anatomie is dan anders. Contracko behandelt dat instrument apart in wat is een softwarelicentieovereenkomst en softwarelicenties beheren.

Doel en veelvoorkomend gebruik

Het contract bestaat om een belofte van doorlopende beschikbaarheid afdwingbaar te maken. Een licentie wordt één keer geleverd. Een abonnement wordt elke dag opnieuw geleverd, jarenlang. Het contract moet dus zeggen wat "werkend" betekent, wie het risico draagt als het stilvalt, en waar de klant recht op heeft als dat te vaak gebeurt.

Het beslecht ook twee vragen die in een gehost model geen vanzelfsprekend antwoord hebben. Van wie is de data zodra die op de infrastructuur van de leverancier staat? En hoe krijgt de klant die data terug, in welk formaat en binnen welke termijn, als de relatie eindigt?

De situaties zijn herkenbaar. Een bedrijf koopt een salaris-, servicedesk-, analytics- of contractbeheerplatform voor één afdeling. Een leverancier verkoopt datzelfde platform aan duizenden klanten op standaardvoorwaarden. Een gereguleerde koper voegt een beveiligingsbijlage en een verwerkersovereenkomst toe. Een reseller of managed service provider verkoopt toegang door aan een eindklant, wat een andere constructie is en onder een resellerovereenkomst valt.

De constructie houdt op te kloppen wanneer de workload op eigen infrastructuur moet draaien, wanneer de data een bepaalde omgeving niet mag verlaten, of wanneer de klant zekerheid nodig heeft dat de software over tien jaar nog draait, ongeacht hoe het de leverancier commercieel vergaat. Geen van die drie overleeft een gehost abonnement.

Partijen in een SaaS-contract

De leverancier, ook aanbieder of provider genoemd, draait en onderhoudt de applicatie, houdt de intellectuele eigendom in het platform, levert support en draagt de verplichtingen rond beveiliging en beschikbaarheid. Hij bepaalt ook de roadmap. Daarom zijn wijzigingen aan de dienst zelden iets waar de klant over gaat.

De klant, ook afnemer of abonnee genoemd, betaalt, beheert de gebruikersaccounts, bepaalt welke data het systeem in gaat en is verantwoordelijk voor het gebruik door de eigen mensen. Verplichtingen rond aanvaardbaar gebruik lopen normaal door van de klant naar zijn eigen gebruikers.

Geautoriseerde gebruikers zijn de personen die daadwerkelijk inloggen. Zij zijn geen partij. Het contract maakt de klant meestal aansprakelijk voor hun handelen en nalaten, dus de definitie van een geautoriseerde gebruiker is een commerciële bepaling, geen formaliteit.

Groepsmaatschappijen zijn de gelieerde entiteiten die het abonnement mogen gebruiken. Of ze gedekt zijn, telt bij verlenging, bij reorganisaties en bij exit. Staat er niets, ga er dan niet van uit dat een zustermaatschappij mee mag doen.

Subverwerkers zijn de leveranciers achter de leverancier: hosting, analytics, supporttooling en steeds vaker aanbieders van AI-modellen. Zij tekenen niets met de klant, maar de compliance van de klant reikt wel tot hen. Artikel 28 lid 2 en lid 4 AVG vereist toestemming voor het inschakelen van een subverwerker en legt dezelfde verplichtingen aan hem op [2]. Het contract of de verwerkersovereenkomst moet hen benoemen, of ten minste een lijst en een kennisgevingstermijn bij wijziging bevatten.

Belangrijke bepalingen en clausules

Omvang van het abonnement en gebruikers

De gebruiksrechtbepaling zegt waar de klant toegang toe krijgt, wie die toegang mag gebruiken en binnen welke grenzen. Kijk eerst naar de eenheid. Seats, benoemde gebruikers, gelijktijdige gebruikers, transactievolume, API-aanroepen en opslag gedragen zich allemaal anders als het bedrijf groeit. Een contract per seat met een lage drempel en een duur tarief voor overschrijding is een andere verplichting dan dezelfde prijs op een verbruikseenheid.

Beperkingen verbieden meestal doorverkoop, benchmarking, reverse engineering en gebruik door anderen dan geautoriseerde gebruikers. Wilt u de dienst koppelen aan uw eigen systemen, controleer dan of de applicatieprogrammeerinterface (API) binnen het gebruiksrecht valt en niet apart wordt verkocht.

Vergoedingen, verlengingsprijzen en overschrijding

Het bestelformulier draagt de prijs. De algemene voorwaarden dragen de mechaniek: wanneer er gefactureerd wordt, welke betaaltermijn geldt, of vooraf betaald moet worden, en wat de leverancier mag doen bij een te late betaling. Opschorting bij wanbetaling komt vaak voor en verdient aandacht, want het opschorten van een systeem waarin mensen dagelijks werken is een continuïteitsincident.

Over de betaaltermijn gaat artikel 6:119a BW. Tussen ondernemingen geldt in beginsel maximaal 60 dagen, en een langere termijn is alleen geldig als die niet kennelijk onbillijk is jegens de schuldeiser. Is de afnemer een grote onderneming en de leverancier een midden- of kleinbedrijf, dan is een termijn boven 30 dagen nietig en geldt 30 dagen van rechtswege [5].

Twee dingen bepalen wat dit op termijn kost. Het eerste is de verlengingsverhoging: mag de leverancier de prijs bij verlenging verhogen, en met hoeveel. Een maximum op die verhoging is in de meeste SaaS-contracten de waardevolste commerciële bepaling. Het tweede is hoe extra gebruikers of extra verbruik tussentijds worden geprijsd, en of afschalen voor de verlenging überhaupt mogelijk is. Staat de eenzijdige wijziging in algemene voorwaarden, dan kan die bij een onderhandelingszwakke wederpartij worden getoetst aan artikel 6:233 onder a BW [5]. Reken daar niet op. Laat het maximum in het contract zetten.

De dataverordening heeft één kostenpost al beslecht. Tot 12 januari 2027 mag een aanbieder alleen verlaagde overstapkosten rekenen, beperkt tot de kosten die rechtstreeks met de overstap samenhangen. Vanaf 12 januari 2027 mag hij helemaal geen overstapkosten meer rekenen [1].

Serviceniveaus en creditnota's

De SLA beantwoordt drie vragen: welke beschikbaarheid wordt beloofd, hoe wordt uitval gemeten, en wat krijgt de klant als de belofte niet wordt gehaald. Gepubliceerde voorbeelden laten de vorm zien. Google belooft in de Google Workspace Service Level Agreement een maandelijkse beschikbaarheid van ten minste 99,9 procent per kalendermaand, met servicecredits van 3, 7 of 15 dagen gratis dienst, afhankelijk van hoever de maand onder die norm bleef [4].

Twee details tellen zwaarder dan het percentage. Het eerste is wat als uitval meetelt, want gepland onderhoud en storingen in het netwerk van de klant zijn meestal uitgesloten. Het tweede is dat credits bijna altijd het enige rechtsmiddel zijn en dat ze geclaimd moeten worden. Onder diezelfde SLA moet de klant Google binnen dertig dagen na het ontstaan van het recht op een credit informeren, anders vervalt het [4]. Een credit die niemand opvraagt is geen compensatie.

Support is een aparte belofte. Reactietijden per prioriteit, supporttijden en escalatiepaden staan normaal in een eigen bijlage. Contracko's clausule-uitleg over het service level agreement behandelt het opstellen, en wat is een SLA behandelt het instrument in zijn geheel.

Eigendom van data, privacy en beveiliging

Een goed geschreven SaaS-contract zegt met zoveel woorden dat de klant eigenaar blijft van zijn data en dat de rechten van de leverancier beperkt zijn tot het leveren van de dienst. Staat dat er niet, laat het toevoegen.

Drie vragen bepalen of dat eigendom in de praktijk iets betekent:

1. Wat mag de leverancier doen met geaggregeerde of geanonimiseerde data uit uw gebruik, en mag hij AI-modellen trainen op uw inhoud? Zwijgt het contract, vraag dan om een expliciete bepaling.
2. Waar wordt de data opgeslagen en verwerkt, en welke subverwerkers raken eraan?
3. Welke beveiligingstoezeggingen zijn contractueel in plaats van marketing? Een onafhankelijk auditrapport of certificering, meldtermijnen bij een inbreuk, versleuteling en toegangsbeheer horen in de beveiligingsbijlage, waar wijzigen instemming vereist.

De privacywetgeving levert bepalingen die u niet mag overslaan. Artikel 28 lid 3 AVG eist een schriftelijke verwerkersovereenkomst die onder meer het onderwerp, de duur, de aard en het doel van de verwerking en de soorten persoonsgegevens vastlegt, en die de verwerker verplicht uitsluitend op gedocumenteerde instructie te handelen, geheimhouding op te leggen, passende beveiliging te treffen, de verwerkingsverantwoordelijke bij te staan, de gegevens na afloop te wissen of terug te geven en audits mogelijk te maken [2]. De Autoriteit Persoonsgegevens houdt hier toezicht op in Nederland, met de Uitvoeringswet AVG als nationale aanvulling.

Beveiliging is sinds 15 augustus 2026 ook publiekrechtelijk geregeld. De Cyberbeveiligingswet, de Nederlandse uitvoering van de NIS2-richtlijn (Richtlijn (EU) 2022/2555), legt een registratieplicht, een zorgplicht en een meldplicht op aan organisaties in de aangewezen essentiële en belangrijke sectoren, waaronder digitale infrastructuur en aanbieders van clouddiensten. Een incident moet zo snel mogelijk en in elk geval binnen 24 uur worden gemeld bij het Computer Security Incident Response Team en de toezichthouder [7]. Valt u eronder, dan reikt dat door naar uw leveranciers. Is uw organisatie een financiële entiteit, dan schrijft artikel 30 van de Digital Operational Resilience Act (DORA, Verordening (EU) 2022/2554), van toepassing sinds 17 januari 2025, letterlijk voor wat er in het ICT-contract moet staan: een beschrijving van alle functies en diensten, onderaanneming, de locaties waar wordt geleverd en data wordt verwerkt en opgeslagen, kennisgeving vooraf bij wijziging daarvan, serviceniveaus, opzeggingsrechten en exitstrategieën [6]. Die lijst is ook buiten de financiële sector een bruikbare meetlat.

Aansprakelijkheid, garanties en vrijwaringen

Garanties van de leverancier zijn in SaaS meestal smal: de dienst functioneert in hoofdzaak volgens de documentatie, gevolgd door een brede uitsluiting van overige garanties.

Het aansprakelijkheidsplafond is het getal dat telt. Plafonds worden vaak gelegd op de vergoedingen over een recente periode, waardoor een goedkoop abonnement een laag plafond heeft, ongeacht de schade die een storing of een datalek kan aanrichten. Kijk vooral naar wat buiten het plafond valt: geheimhouding, beveiligingsincidenten, vrijwaringen en openstaande facturen zijn de plek waar de echte verdeling zit.

Een exoneratiebeding is in Nederland niet onaantastbaar. Staat het in algemene voorwaarden, dan kan het onredelijk bezwarend zijn in de zin van artikel 6:233 onder a BW. Ook een individueel onderhandeld beding kan buiten toepassing blijven wanneer een beroep erop naar maatstaven van redelijkheid en billijkheid onaanvaardbaar is, artikel 6:248 lid 2 BW, wat in de rechtspraak vooral speelt bij opzet of bewuste roekeloosheid [5]. Dat is een uitzondering, geen plan.

De vrijwaring die er voor de klant toe doet, is die voor intellectuele eigendom: claims dat de dienst inbreuk maakt op rechten van derden. Kijk wat de leverancier dan mag doen. Gebruikelijk zijn aanpassen, vervangen of beëindigen met terugbetaling van het onbenutte deel.

Looptijd, beëindiging en exit

De looptijdbepaling veroorzaakt het meeste agendawerk. Lees vier dingen samen: de lengte van de eerste termijn, of verlenging automatisch is, hoeveel opzegtermijn geldt, en hoe die opzegging moet worden gedaan.

Exit bepaalt hoeveel het einde pijn doet. De dataverordening heeft hier het meeste veranderd. Artikel 25 verplicht de aanbieder om in het schriftelijke contract op te nemen dat de klant kan overstappen naar een andere aanbieder of kan overgaan naar eigen infrastructuur, met een opzegtermijn voor het starten van de overstap van maximaal twee maanden en een overgangsperiode van maximaal 30 kalenderdagen, die alleen kan worden verlengd tot maximaal zeven maanden als de overstap technisch onhaalbaar is binnen 30 dagen. Na de overgangsperiode geldt een ophaalperiode van minimaal 30 dagen, waarna de aanbieder alle exporteerbare data volledig wist [1].

Artikel 30 gaat over de techniek. Aanbieders van andere diensten dan infrastructuur, en dus van SaaS, moeten open interfaces kosteloos beschikbaar stellen en, zolang er geen gemeenschappelijke specificaties zijn, op verzoek alle exporteerbare data exporteren in een gestructureerd, gangbaar en machineleesbaar formaat [1]. Artikel 31 kent twee uitzonderingen: diensten waarvan de meeste hoofdfuncties op maat voor één klant zijn gebouwd en niet op grote schaal uit de catalogus worden aangeboden, en niet-productieversies voor testen en evalueren. De aanbieder moet vooraf zeggen welke verplichtingen niet gelden [1].

Dat alles neemt de eigen vragen niet weg. Hoe lang blijft de data na beëindiging beschikbaar, in welk formaat komt die eruit, wat kost migratieondersteuning boven op de gratis export, en hoe wordt verwijdering bevestigd? Zet het in het contract, want de wettelijke bodem is een bodem en geen migratieplan.

Belangrijke data en gebeurtenissen

SaaS-contracten mislukken vaker op data dan op tekst. De datums hieronder horen als veld op het contractdossier te staan, niet ergens in het document.

Datum of gebeurtenis	Waarom het telt
Ingangsdatum	Start het contract, en is vaak niet de dag dat de dienst begint
Startdatum van de dienst	De looptijd loopt soms hiervandaan en niet vanaf de handtekening
Einde van de eerste termijn	De periode waarop de prijs is gebaseerd
Uiterste opzegdatum	De echte deadline. Reken die terug vanaf het einde van de termijn
Datum van automatische verlenging	Wanneer de volgende termijn en de volgende factuur beginnen
Aankondigingsvenster prijsverhoging	De periode waarin de leverancier een verhoging mag melden
Factuur- en betaaldata	Te laat betalen kan opschorting van de dienst uitlokken
Meet- of verrekendatum verbruik	Wanneer seats of verbruik worden geteld en gefactureerd
Deadline voor SLA-credits	Credits vervallen meestal als ze niet op tijd worden geclaimd [4]
Vernieuwing beveiligingsrapport	Auditrapporten en certificeringen verlopen jaarlijks
Venster voor data-export en wissen	De periode tussen beëindiging en het definitief verdwijnen van data [1]

De datum die de schade aanricht is de uiterste opzegdatum, want die ligt maanden voor de verlenging en niets brengt hem vanzelf naar boven. Contracko's SaaS-contractcalculator rekent uit een einddatum en een opzegtermijn de uiterste opzegdatum uit.

Verwacht geen wettelijke redding. De Wet Van Dam beperkt stilzwijgende verlenging via artikel 6:236 onder j BW: na de eerste verlenging moet een consument altijd kunnen opzeggen met een opzegtermijn van ten hoogste één maand [5]. Die bepaling staat op de zwarte lijst voor consumentenovereenkomsten. Zij geldt niet voor zakelijke contracten. Een onderneming die een onderhandelde opzegtermijn van zes maanden mist, is aan die termijn gebonden. Bij een kleine wederpartij op algemene voorwaarden kan reflexwerking van artikel 6:233 onder a BW een opening bieden, maar dat is procederen achteraf, niet plannen vooraf.

Eén Europese regel helpt wel. De dataverordening staat sinds 12 september 2025 geen langere opzegtermijn dan twee maanden toe voor het in gang zetten van een overstap naar een andere dienst voor gegevensverwerking [1]. Dat maakt een opzegtermijn van zes maanden voor het overstappen zelf moeilijk houdbaar, maar het zegt niets over de commerciële verplichting om de resterende termijn te betalen. Het contract doet dat werk, of niemand doet het.

Risico's en veelgemaakte fouten

Het opzegvenster missen. De duurste fout in SaaS is stilte. Een verlenging gebeurt omdat niemand iets deed, en de klant zit een volle termijn vast tegen een prijs die niemand heeft beoordeeld.

Het bestelformulier voor het hele contract aanzien. Het bestelformulier is één pagina. De voorwaarden waarnaar het verwijst kunnen er dertig zijn, kunnen op een webpagina staan en kunnen eenzijdig wijzigbaar zijn. Bewaar waar het bestelformulier naar verwijst, en leg vast of de leverancier het mag aanpassen.

Geen dossier van de klikakkoorden. Afdelingen kopen SaaS met een kaart, gaan online akkoord en leggen niets vast. De organisatie is dan gebonden aan voorwaarden die zij niet kan tonen, en verlengt op datums die zij niet kent. Bij een geschil is de vraag of die voorwaarden ter beschikking zijn gesteld, artikel 6:233 onder b BW, en dan helpt het als u de versie met datum hebt bewaard [5].

Servicecredits voor compensatie aanzien. Het zijn kortingen op toekomstige dienstverlening, meestal gemaximeerd, meestal het enige rechtsmiddel en meestal vervallen als ze niet binnen het venster zijn geclaimd [4].

Exit niet plannen. Exportformaat, exportvenster, kosten van migratieondersteuning en bevestiging van verwijdering zijn goedkoop bij ondertekening en heel duur tijdens een conflict. De dataverordening legt een bodem, geen plan [1].

Rekenen op een terugvaloptie die er niet is. Zonder recht op een eigen kopie is er niets om op terug te vallen als de dienst ophoudt. Continuïteit moet u bouwen uit exportrechten, opzegtermijnen en soms escrow.

Stille wijzigingen negeren. Lijsten met subverwerkers, beveiligingsbijlagen, gebruiksvoorwaarden en bepalingen over modeltraining veranderen tussen verlengingen door. Wijst u niemand aan om de kennisgevingen te lezen, dan drijft het contract dat u tekende weg van het contract waaronder u werkt.

Verlengen zonder verbruiksdata. Het aantal seats groeit en krimpt zelden. De verlenging is het enige moment waarop dat getal echt onderhandelbaar is, en daar hoort werkelijk gebruik bij, niet de laatste factuur.

Checklist voor SaaS-contractbeheer

Vastleggen bij ondertekening

1. Bewaar het bestelformulier en de voorwaarden waarnaar het verwijst als één dossier, inclusief een gedateerde kopie van voorwaarden die op de website van de leverancier staan.
2. Leg de commerciële eenheid vast in een eigen veld: seats, benoemde gebruikers, verbruikseenheden, met de gecontracteerde hoeveelheid en het tarief bij overschrijding.
3. Leg de einddatum van de eerste termijn, de verlengingsduur en de opzegtermijn vast als drie aparte velden.
4. Bereken de uiterste opzegdatum en bewaar die datum. Bewaar niet alleen de einddatum met het plan om later te rekenen.
5. Leg vast of de leverancier bij verlenging mag verhogen, welk maximum geldt en welke aankondiging hij verschuldigd is.
6. Leg de beschikbaarheidsnorm, de creditpercentages en de claimdeadline vast.
7. Leg vast waar de data staat, wie de huidige subverwerkers zijn en of de leverancier uw inhoud voor modeltraining mag gebruiken.
8. Leg het exportvenster na beëindiging, het exportformaat en eventuele kosten voor migratieondersteuning vast.
9. Benoem een interne eigenaar en de vaste contactpersoon bij de leverancier, en leg vast wie een verhoging mag goedkeuren.
10. Hang de SLA, de beveiligingsbijlage, de verwerkersovereenkomst en alle getekende wijzigingen aan hetzelfde dossier.

In de agenda zetten

11. Een herinnering op de uiterste opzegdatum, en een eerdere die tijd laat om verbruiksdata te verzamelen en te beslissen.
12. Een herinnering voordat het aankondigingsvenster voor een prijsverhoging opengaat.
13. Een herinnering voor elke meet- of verrekendatum van verbruik.
14. Een herinnering om de beschikbaarheid van de maand tegen de SLA te leggen, vroeg genoeg om binnen het venster een credit te claimen [4].
15. Een jaarlijkse herinnering om het vernieuwde auditrapport of certificaat van de leverancier op te halen.
16. Een herinnering bij de start van elk exportvenster na beëindiging, toegewezen aan degene die de export uitvoert.

Periodiek beoordelen

17. Vergelijk elk kwartaal gelicentieerde seats of verbruik met werkelijk gebruik, en leg het verschil vast zodat de verlenging op bewijs wordt onderhandeld.
18. Controleer elk kwartaal de ontvangen wijzigingsberichten tegen de voorwaarden in het dossier, inclusief subverwerkers en beleidsupdates.
19. Bekijk twee keer per jaar de portefeuille op dubbele tools die verschillende afdelingen hebben gekocht.
20. Loop voor elke verlenging na wat er zou gebeuren als deze leverancier over negentig dagen weg is, en repareer wat dat blootlegt.

Het meeste daarvan is dossierwerk, en het loopt zolang het abonnement loopt. Contracko houdt abonnementscontracten, bestelformulieren en bijlagen op één dossier in een doorzoekbaar contractarchief, en gebruikt AI-extractie om datums, partijen, waarden en verplichtingen uit de documenten te halen in plaats van ze te laten overtypen. Aangepaste velden houden vast wat een SaaS-contract nodig heeft en een gewoon contract niet, zoals het aantal seats, de uiterste opzegdatum, het maximum op de verhoging en het exportvenster. Verloopherinneringen kunt u toewijzen aan de collega die moet handelen, ze kunnen zich herhalen en meeverlengen met het contract, en rapportage toont jaarlijkse contractwaarde, aankomende verlengingen en grootste leveranciers over de hele portefeuille in plaats van per overeenkomst. Er is een gratis proefperiode als u een lopend abonnementscontract wilt inladen en wilt zien wat eruit komt.

Gaat uw vraag over het besturen van een heel softwarelandschap in plaats van over één contract, dan behandelt SaaS-contractbeheer die werkwijze.

Bronnen

[1] Europese Unie, Verordening (EU) 2023/2854 (dataverordening, Data Act), van toepassing sinds 12 september 2025 (definitie van een dienst voor gegevensverwerking in artikel 2, en hoofdstuk VI over overstappen: contractuele eisen in artikel 25, overstapkosten in artikel 29, technische verplichtingen in artikel 30 en uitzonderingen in artikel 31). eur-lex.europa.eu/eli/reg/2023/2854/oj

[2] Europese Unie, Verordening (EU) 2016/679 (AVG), artikel 28 (verplichte inhoud van de verwerkersovereenkomst en de regels voor subverwerkers). eur-lex.europa.eu/eli/reg/2016/679/oj

[3] IFRS Interpretations Committee, agendabesluit maart 2019, Customer's Right to Receive Access to the Supplier's Software Hosted on the Cloud (IAS 38) (een recht op toegang tot de applicatie van de leverancier bevat geen lease en levert de klant geen zeggenschap over de software op). ifrs.org/content/dam/ifrs/supporting-implementation/agenda-decisions/2019/ias38-customers-right-to-receive-access-to-the-suppliers-software-hosted-on-the-cloud-mar-19.pdf

[4] Google, Google Workspace Service Level Agreement (een gepubliceerde beschikbaarheidsnorm, de creditniveaus en de termijn om een credit te claimen). workspace.google.com/terms/sla.html

[5] Burgerlijk Wetboek Boek 6 (algemene voorwaarden en de toets onredelijk bezwarend in de artikelen 6:231 tot en met 6:247, terhandstelling in de artikelen 6:233 en 6:234, stilzwijgende verlenging bij consumenten in artikel 6:236 onder j, betaaltermijnen in artikel 6:119a, en de beperkende werking van redelijkheid en billijkheid in artikel 6:248 lid 2). wetten.overheid.nl/BWBR0005289

[6] Europese Unie, Verordening (EU) 2022/2554 (DORA), artikel 30 (verplichte contractbepalingen voor ICT-diensten van financiële entiteiten, waaronder locaties, onderaanneming, serviceniveaus, opzegging en exitstrategie). eur-lex.europa.eu/eli/reg/2022/2554/oj

[7] Nationaal Cyber Security Centrum, Cyberbeveiligingswet (NIS2) (de Nederlandse uitvoering van Richtlijn (EU) 2022/2555, met de zorgplicht, meldplicht en registratieplicht en de sectoren die eronder vallen). ncsc.nl/cyberbeveiligingswet-nis2

De afbeeldingen in dit artikel zijn gegenereerd met behulp van AI.