Door Wouter Dammers | Contractenrecht | 3 november 2026 | 8 min. leestijd
Wie de algemene voorwaarden van een willekeurige Nederlandse IT-leverancier, SaaS-provider of hostingdienstverlener erop openslaat, stuit in het aansprakelijkheidsartikel vrijwel altijd op dezelfde slotzin: “De in dit artikel opgenomen uitsluitingen en beperkingen van aansprakelijkheid komen uitsluitend te vervallen indien en voor zover de schade het gevolg is van opzet of bewuste roekeloosheid van de bedrijfsleiding van Leverancier.” Jarenlang vormde deze zogeheten carve-out (bekend uit de FENIT-, ICT~Office- en NLdigital-voorwaarden) een juridisch schild voor de IT-sector om de aansprakelijkheidsbeperkingen en uitsluitingen te rechtvaardigen. Maar door de Europese Dataverordening (EU Data Act, Verordening (EU) 2023/2854) is dat schild wat roestig. Wie zijn standaardvoorwaarden niet tijdig aanpast, loopt het risico dat zijn aansprakelijkheidsbeperking bij datagerelateerde geschillen van rechtswege nietig blijkt te zijn. In deze blog leg ik uit waarom, en welke oplossing voor de hand ligt.
Waarom de uitzondering voor opzet of bewuste roekeloosheid van de bedrijfsleiding in aansprakelijkheidsartikelen?
Naar Nederlands verbintenissenrecht genieten professionele partijen in B2B-verhoudingen een grote mate van contractsvrijheid. Op basis van vaste rechtspraak van de Hoge Raad (waaronder Saladin/HBU en Telfort/Scaramea) mag een schuldenaar zijn aansprakelijkheid niet uitsluiten voor opzet of bewuste roekeloosheid van zijn eigen bedrijfsleiding. Die klassieke formulering biedt een IT-leverancier naar Nederlands recht twee enorme voordelen:
De extreem hoge drempel van ‘bewuste roekeloosheid’
De klant die door het exoneratiebeding heen wil breken, moet bewijzen dat de bedrijfsleiding zich daadwerkelijk subjectief bewust was van het aanmerkelijke gevaar van een handeling en dat risico welbewust op de koop toe heeft genomen. Onbewuste roekeloosheid of een ernstige inschattingsfout volstaat niet.
Uitsluiting voor fouten van ondergeschikten
Op grond van de Matatag/De Schelde-jurisprudentie van de Hoge Raad is het naar Nederlands recht toegestaan om aansprakelijkheid voor fouten, en zelfs grove schuld van ondergeschikten of hulppersonen (zoals een systeembeheerder, supportmedewerker of developer die niet tot de bedrijfsleiding behoort) wél contractueel uit te sluiten. Hoe sterk dit schild in de Nederlandse rechtszaal werkt, bleek nog uit het arrest van het Gerechtshof Amsterdam in Hallo/Blok.
In die zaak vergat een engineer van een IT-beheerder na een migratie een nieuwe productieserver in de automatische back-up-routine op te nemen, en merkte dit ook bij latere steekproeven niet op. Toen de server crashte en de klant ruim een half miljoen euro schade vorderde, oordeelde het hof dat deze menselijke fout weliswaar nalatig was, maar géén opzet of bewuste roekeloosheid van de bedrijfsleiding opleverde. Het exoneratiebeding uit de branchevoorwaarden hield in hoger beroep volledig stand.
De Data Act grijpt in op deze contractsvrijheid
Tot zover het vertrouwde Nederlandse recht. Sinds de recente inwerkingtreding van de EU Data Act is de B2B-contractsvrijheid binnen de digitale economie namelijk beperkt. Artikel 13 van de Data Act introduceert een dwingendrechtelijke eerlijkheidstoets (fairness test) voor eenzijdig opgelegde contractuele bedingen tussen ondernemingen. Deze toets geldt voor alle bepalingen over de toegang tot en het gebruik van data, én voor bedingen over de aansprakelijkheid en rechtsmiddelen bij schending of beëindiging van datagerelateerde verplichtingen.
Bovendien keert artikel 13 lid 7 Data Act de bewijslast om: de leverancier die de voorwaarden hanteert, moet bewijzen dat het beding niet eenzijdig (“take-it-or-leave-it”) is opgelegd. Typische “tekenen bij het kruisje”-praktijken (of beter: “aanvinken bij “Yes, hereby I agree with the terms and conditions”) kan daarmee dus in het nadeel van de leverancier worden uitgelegd.
Het echte gevaar voor dit standaardartikel schuilt in de zwarte lijst van artikel 13 lid 4 sub a Data Act. Daarin is bepaald dat een eenzijdig opgelegd beding van rechtswege als oneerlijk wordt beschouwd indien het tot doel of gevolg heeft om:”de aansprakelijkheid van de partij die het beding eenzijdig heeft opgelegd voor opzet of grove nalatigheid uit te sluiten of te beperken.”. Gevolg daarvan, op grond van lid 1 van dit artikel, is dat het beding nietig (niet-bindend) is.
Leg je deze dwingende Europese bepaling naast de standaard Nederlandse carve-out, dan ontstaan er direct twee botsingen: De eerste botsing op “bewuste roekeloosheid” versus “grove nalatigheid”. De tweede botsing op “de bedrijfsleiding” versus “de partij”.
Botsing 1: ‘Bewuste roekeloosheid’ versus ‘Grove nalatigheid’ (Gross negligence)
De Europese wetgever hanteert het autonome Unierechtelijke begrip grove nalatigheid (gross negligence). Anders dan bewuste roekeloosheid naar Nederlands recht, omvat grove nalatigheid ook ernstige, onverschoonbare schendingen van de professionele zorgplicht waarbij géén subjectieve bewustheid van de dreigende schade hoeft te worden bewezen. Een contractuele carve-out die alleen spreekt over “opzet of bewuste roekeloosheid”, beperkt dus ook de aansprakelijkheid voor onbewuste grove nalatigheid. Voor zover de claim ziet op datagerelateerde verplichtingen onder de Data Act, is die beperking in strijd met artikel 13 lid 4 sub a Data Act.
Botsing 2: ‘Bedrijfsleiding’ versus ‘De partij’
Artikel 13 lid 4 sub a Data Act verbiedt het uitsluiten of beperken van aansprakelijkheid voor opzet of grove nalatigheid van “de partij die het beding eenzijdig heeft opgelegd”. De verordening maakt geen uitzondering voor het wegcontracteren van grove nalatigheid van werknemers of ingeschakelde hulppersonen. Een clausule die grove nalatigheid op de werkvloer wegfiltert door alleen te kijken naar de statutaire directie of bedrijfsleiding, loopt nu onder de Data Act-toets dus het risico op nietigheid.
De oplossing voor de contractspraktijk: schrijf een ‘tweesporen’-carve-out
Moet je nu voor al uw IT-diensten de handdoek in de ring gooien en de sterke Nederlandse bescherming van bewuste roekeloosheid van de bedrijfsleiding schrappen? Nee.
Artikel 13 Data Act geldt namelijk niet voor elke willekeurige bug of vertraagde oplevering van maatwerksoftware, maar specifiek voor datagerelateerde verplichtingen (zoals datatoegang, datadeling en cloud switching).
Bovendien geldt het regime van artikel 13 Data Act voor alle nieuwe contracten die sinds 12 september 2025 zijn gesloten, én gaat het per 12 september 2027 ook gelden voor bestaande langlopende contracten en contracten voor onbepaalde tijd. Contracten die dus voor 12 september 2025 zijn gesloten óf niet langlopend of voor onbepaalde tijd zijn, vallen dus ook buiten de reikwijdte van dit artikel.
De meest strategische oplossing voor IT-leveranciers en cloudproviders is daarom een tweesporen-formulering in het aansprakelijkheidsartikel:
Spoor 1 (Hoofdregel volgens het Nederlands recht):
Handhaaf als hoofdregel voor de gehele overeenkomst dat de aansprakelijkheidsbeperkingen vervallen bij opzet of bewuste roekeloosheid van de statutaire directie of bedrijfsleiding. Zo behoud je bij reguliere IT-geschillen de maximale bescherming van de Nederlandse rechtspraak.
Spoor 2 (Data Act-vangnet):
Voeg direct daarachter een gerichte vangnetbepaling toe:
“Voor zover een vordering betrekking heeft op verplichtingen die vallen onder het dwingendrechtelijke toepassingsbereik van artikel 13 van de EU Data Act (Verordening (EU) 2023/2854), laten de uitsluitingen en beperkingen in dit artikel tevens de aansprakelijkheid voor opzet of grove nalatigheid in de zin van artikel 13 lid 4 sub a van die verordening onverlet.“
Zo voorkom je dat een rechter een streep haalt door het exoneratiebeding wegens strijd met Europees recht, zonder dat je voor de overige dienstverlening onnodig veel aansprakelijkheidsruimte weggeeft.
Is jouw IT-exoneratie klaar voor de EU Data Act?
Laat een verouderde carve-out uw aansprakelijkheidsplafond niet onderuit halen. De IT- en contractrechtadvocaten van LAWFOX toetsen jouw algemene voorwaarden, SaaS-contracten en SLA’s gericht op de dwingende eisen van artikel 13 Data Act, mét behoud van de maximale bescherming onder het Nederlandse recht.
👉 Stuur jouw huidige voorwaarden op voor een snelle Data Act-scan of neem direct contact op met ons IT-rechtteam.
FAQ over uitzonderingen voor uitsluiting van aansprakelijkheid
1. Wat is het verschil tussen bewuste roekeloosheid naar Nederlands recht en grove nalatigheid onder de EU Data Act?
Naar Nederlands recht vereist bewuste roekeloosheid dat de schuldenaar (of diens bedrijfsleiding) zich subjectief bewust was van het aanmerkelijke gevaar van zijn handelen en de schade desondanks op de koop toe heeft genomen. Onder artikel 13 lid 4 sub a van de EU Data Act (Verordening (EU) 2023/2854) geldt het Europeesrechtelijke begrip grove nalatigheid (gross negligence). Dit begrip is ruimer en omvat ook ernstige, onverschoonbare schendingen van de professionele zorgplicht waarbij géén subjectieve bewustheid van het specifieke gevaar hoeft te worden bewezen.
2. Mag een IT-leverancier aansprakelijkheid voor fouten van eigen werknemers nog uitsluiten onder de Data Act?
Voor algemene IT-werkzaamheden die buiten de EU Data Act vallen, staat het Nederlandse recht toe dat een leverancier zich vrijtekent voor opzet of grove schuld van ondergeschikten (niet zijnde de bedrijfsleiding). Voor eenzijdig opgelegde contractbedingen die zien op datatoegang, datadeling of cloud switching verbiedt artikel 13 lid 4 sub a van de EU Data Act echter het uitsluiten of beperken van aansprakelijkheid van “de partij” voor opzet of grove nalatigheid, zonder uitzondering voor ondergeschikten.
3. Wanneer zijn onredelijke exoneratiebedingen onder artikel 13 van de EU Data Act nietig?
Het verbod op oneerlijke, eenzijdig opgelegde contractbedingen in B2B-relaties (artikel 13 EU Data Act) geldt sinds 12 september 2025 voor alle nieuw gesloten overeenkomsten. Vanaf 12 september 2027 werkt dit verbod ook met terugwerkende kracht voor bestaande overeenkomsten voor onbepaalde tijd en langlopende contracten die vóór 12 september 2025 zijn gesloten. Een beding dat in strijd is met artikel 13 lid 4 Data Act is van rechtswege niet-bindend (nietig).
4. Hoe formuleer je een Data Act-conforme carve-out in een Nederlands IT-contract?
De meest effectieve aanpak voor een IT-leverancier is een tweesporen-carve-out. Daarin bepaalt u als hoofdregel dat de aansprakelijkheidsbeperkingen uitsluitend vervallen bij opzet of bewuste roekeloosheid van de bedrijfsleiding, aangevuld met een vangnetbepaling dat voor vorderingen die onder het dwingendrechtelijke bereik van artikel 13 EU Data Act vallen tevens de aansprakelijkheid voor opzet of grove nalatigheid in de zin van artikel 13 lid 4 sub a Data Act onverlet blijft.
