Steeds meer bedrijfsdata staat niet meer op eigen servers maar in SaaS-applicaties: het CRM, de boekhouding, het HR-systeem, de projectadministratie. Dat heeft grote voordelen, en één vraag die zelden wordt gesteld. Wie maakt eigenlijk de back-up van die data? Wat mag u daarin van de leverancier verwachten? En wat staat er over in de voorwaarden die u hebt getekend?
Het antwoord op die laatste vraag verrast de meeste contracteigenaren. De aanname dat de leverancier het wel regelt, is er een die wij in vrijwel elke portefeuille tegenkomen.
Wat de voorwaarden zeggen over back-ups
De NLdigital Voorwaarden 2025 liggen onder een groot deel van de Nederlandse ICT-contracten en hebben een apart artikel over back-ups. Het begint zo: "Alleen als de dienstverlening expliciet schriftelijk het maken van back-ups van data van klant omvat, zal leverancier [...] een back-up maken van de data van klant."
De leverancier maakt dus alleen back-ups als dat expliciet en schriftelijk is afgesproken, in de overeenkomst of in de dienstbeschrijving die eronder ligt. Is dat niet het geval, dan bestaat er geen verplichting, ook niet als het in de praktijk toch gebeurt.
Het artikel werkt dat verder uit, en elke volgende bepaling perkt iets in. Is een back-up wel afgesproken maar zonder frequentie, dan geldt eens per week. Is er geen bewaartermijn afgesproken, dan geldt "de bij leverancier gebruikelijke termijn", een termijn die u meestal niet kent. Bij verlies van gegevens is de leverancier alleen gehouden tot het terugzetten van "de laatst voorhanden zijnde back-up". En als er geen datasegmentatie is overeengekomen, zegt het artikel letterlijk dat het "kan zijn dat het terugplaatsen van een klantspecifieke back-up niet mogelijk is."
Dat laatste betekent in de praktijk dat de leverancier wel een back-up van zijn platform kan hebben, maar niet van uw data afzonderlijk. Uw gegevens daaruit lostrekken is een aparte dienst, die alleen bestaat als hij is afgesproken en waarvoor de leverancier zijn gebruikelijke tarieven mag rekenen.
Waarom die bepaling bestaat
Het is verleidelijk dit als onredelijk te lezen, maar dat is het niet. Een SaaS-leverancier met duizend klanten op één platform kan niet zonder meer garanderen dat hij de gegevens van één klant afzonderlijk kan terugzetten naar een moment van gisteren. Dat vraagt om een architectuur die daarop is ingericht, en die kost geld. De voorwaarden leggen die keuze bij de klant: wie het nodig heeft, spreekt het af en betaalt ervoor.
Veel leveranciers regelen het bovendien wél in hun dienstbeschrijving, en sommige bieden herstel per klant als betaalde optie aan. Salesforce biedt bijvoorbeeld naast de standaard wekelijkse export een aparte, betaalde dienst voor back-up en herstel aan onder de naam Salesforce Backup. Het punt is niet dat leveranciers het slecht regelen. Het punt is dat u moet weten wat er in uw geval is afgesproken, want de standaard is: niets.
Het tweede lid legt de plicht bij u
Artikel 27.2 gaat een stap verder. "Als leverancier een technische mogelijkheid biedt waarmee klant zelf back-ups kan maken van zijn data, dan zal klant zelf zorgen voor het voldoende frequent maken van back-ups van zijn data."
Vrijwel elke SaaS-applicatie heeft zo'n mogelijkheid: een exportfunctie, een API of een archiveeroptie. Zodra die bestaat, ligt de verantwoordelijkheid contractueel bij u, en kan de leverancier daarnaar verwijzen op het moment dat het misgaat. Dat is geen Nederlandse eigenaardigheid. Microsoft schrijft in zijn eigen servicevoorwaarden dat het klanten aanraadt regelmatig een back-up te maken van de content die zij bij Microsoft opslaan. De grootste SaaS-leverancier ter wereld zegt daarmee in andere woorden hetzelfde als artikel 27.2.
Wat er gebeurt als het misgaat
Stel dat een migratie fout loopt, een medewerker een set records verwijdert of de leverancier een incident heeft, en dat de laatst beschikbare back-up drie weken oud blijkt. Dan komt artikel 15 in beeld. De aansprakelijkheid voor directe schade is beperkt tot de prijs van de overeenkomst, met een plafond van vijfhonderdduizend euro. Artikel 15.4 sluit vervolgens uit wat u in zo'n situatie werkelijk raakt: "indirecte schade, gevolgschade, gederfde winst, gemiste besparingen, verminderde goodwill, schade door bedrijfsstagnatie."
Wie de drie bepalingen naast elkaar legt, ziet een risico dat weinig organisaties als het hunne herkennen. De data staat bij de leverancier, de back-upplicht ligt bij de klant zodra er een exportknop is, en de schade als het misgaat valt grotendeels buiten wat de leverancier hoeft te vergoeden. Geen van die bepalingen is op zichzelf onredelijk. Samen vragen ze om een bewuste keuze die de meeste organisaties nooit hebben gemaakt.
Ook aan het einde van het contract
Er is nog een moment waarop dit speelt. Artikel 36.2 geeft u na de overgangsperiode een opvragingstermijn van "ten minste 30 dagen" om uw data op te halen, en daarna verwijdert de leverancier volgens 36.3 uw gegevens zodanig dat ze "niet langer toegankelijk" zijn.
Dertig dagen is ruim voldoende als u weet dat het moment eraan komt en het exportformaat kent. Het is krap als een contract afloopt omdat iemand een opzegtermijn heeft gemist en niemand meer precies weet wie de beheerder was. In Lock-in: waarom 12 januari 2027 uw onderhandelingspositie verandert beschreven we hoe de Data Act de overstapkosten aan banden legt. Over die dertig dagen zegt die wet niets.
Wat u nu kunt nalopen
Neem de tien tot vijftien leveranciers waar uw belangrijkste data staat en loop per contract drie dingen na. Het kost een dag, en het levert een risicokaart op die in de meeste organisaties niet bestaat.
Controleer de back-upafspraak. Niet in de brochure maar in het contract en de dienstbeschrijving. Staat er een back-upplicht in, met welke frequentie en welke bewaartermijn, en is datasegmentatie afgesproken zodat uw data afzonderlijk kan worden teruggezet? Zo niet, dan geldt artikel 27.1 en is er geen verplichting.
Gebruik de exportmogelijkheid. Als de leverancier een exportfunctie biedt, ligt de plicht bij u. Wijs dan iemand aan die het doet, spreek een frequentie af en bewaar de export buiten het platform van de leverancier. In de meeste organisaties is dat nog niet geregeld.
Regel de exit vooraf. Leg vast in welk formaat u uw data terugkrijgt, hoeveel dagen u daarvoor hebt en of dat formaat bruikbaar is bij een andere leverancier. Een export in een formaat dat alleen de leverancier zelf kan lezen, helpt u bij een overstap niet.
Voor de eerstvolgende verlenging is de lijst overzichtelijk: een back-upplicht met frequentie en bewaartermijn, datasegmentatie, een hersteltermijn waarop u de leverancier kunt aanspreken, een benoemd exportformaat en een opvragingstermijn van negentig dagen in plaats van dertig. Geen van die punten is ongebruikelijk, en de meeste leveranciers gaan erin mee als u erom vraagt. Ze ontbreken vooral omdat er zelden om gevraagd wordt.
VendorManager.nl loopt de contracten van uw kernleveranciers na op precies deze punten en legt de uitkomst vast in uw leveranciersregister, zodat u weet waar de aanname nog het enige is wat er ligt.