Exoneratiebedingen in IT-contracten: hoe ver reikt de beperking van aansprakelijkheid bij kernverplichtingen?

Waarom exoneratiebedingen in IT-contracten zo belangrijk zijn

Voor startups en scale-ups is IT zelden bijzaak. SaaS-tools, ERP-omgevingen, cloudinfrastructuur, dataopslag en managed services zijn vaak direct verbonden met de dagelijkse bedrijfsvoering. Als zulke systemen te laat worden opgeleverd, niet goed functioneren of uitvallen, blijft de schade meestal niet beperkt tot een technisch incident. Dan ontstaat al snel omzetverlies, vertraging in processen, extra kosten voor noodmaatregelen en soms zelfs stilstand van de business.

Zonder contractuele beperking van aansprakelijkheid is het uitgangspunt in het Nederlandse verbintenissenrecht stevig. Wie tekortschiet in de nakoming van een overeenkomst, kan in beginsel aansprakelijk zijn voor alle schade die redelijkerwijs aan die tekortkoming kan worden toegerekend. Daaronder valt niet alleen directe vermogensschade, maar ook gederfde winst. Voor IT-leveranciers kan dat leiden tot forse financiële exposure, zeker wanneer hun dienstverlening diep in de operatie van de klant zit.

Dat verklaart waarom aansprakelijkheidsbeperkingen in IT-contracten marktgebruik zijn. Een exoneratiebeding is in de kern een afspraak waarmee partijen aansprakelijkheid voor schade beperken of uitsluiten. In de praktijk is dat geen randvoorwaarde, maar een wezenlijk onderdeel van de commerciële en juridische risicoverdeling.

Bij Startup-Recht zien we regelmatig dat founders en legal teams vooral kijken naar prijs, scope en implementatieplanning, terwijl het aansprakelijkheidsregime pas laat in de onderhandeling aandacht krijgt. Dat is risicovol. Juist in techcontracten vertelt de exoneratie vaak meer over de echte deal dan de commerciële samenvatting op de voorkant.

Wat een exoneratiebeding meestal regelt

Een klassiek IT-contract maakt onderscheid tussen directe schade en indirecte schade, vaak ook gevolgschade genoemd. Leveranciers proberen aansprakelijkheid voor directe schade meestal te maximeren, bijvoorbeeld tot de contractwaarde of, bij doorlopende dienstverlening, tot de vergoeding over een jaar. Voor indirecte schade wordt vaak een volledige uitsluiting opgenomen.

Dat klinkt overzichtelijk, maar juridisch zit daar meteen een belangrijk aandachtspunt. Begrippen als directe schade en indirecte schade zijn namelijk niet in de wet uitgewerkt. Als partijen die termen gebruiken zonder ze goed te definiëren, ontstaat interpretatieruimte. Dat is vooral relevant omdat in de juridische literatuur en rechtspraak verdedigd wordt dat directe schade, als die term niet nader is ingevuld, ruim kan worden uitgelegd. Dan kan daar ook schade onder vallen die een leverancier juist buiten de deur dacht te houden, waaronder gederfde winst.

Voor startups en scale-ups is dit meer dan semantiek. Een cap op directe schade is pas echt te beoordelen als je weet wat onder directe schade valt. Een uitsluiting van gevolgschade klinkt leveranciersvriendelijk, maar zegt minder dan veel teams denken als de rest van de clausule onduidelijk is. Andersom geldt ook dat een opdrachtgever soms meent een redelijke bescherming te hebben bedongen, terwijl belangrijke schadeposten in werkelijkheid buiten bereik blijven.

Naast caps en uitsluitingen zie je vaak aanvullende uitzonderingen. Veel exoneratiebedingen bepalen dat de beperking niet geldt, of minder ver strekt, bij opzet of grove schuld aan de zijde van de leverancier. Ook schade door overlijden of letsel en schade door inbreuk op intellectuele eigendomsrechten worden vaak apart behandeld. Dat laat zien dat een exoneratiebeding geen absoluut schild is, maar een genuanceerde regeling die per schadecategorie en per situatie anders kan uitpakken.

Daar komt nog iets bij. Een exoneratie staat meestal niet op zichzelf. Het aansprakelijkheidsrisico wordt ook beïnvloed door andere contractuele knoppen, zoals de vraag of termijnen fataal zijn of slechts streefdata, of sprake is van een inspanningsverplichting of resultaatsverplichting, hoe de overmachtsregeling is ingericht, welke service levels gelden en of een leverancier eerst de kans krijgt om gebreken te herstellen. Ook acceptatieregelingen spelen daarin mee. Wie alleen naar het exoneratieartikel kijkt, ziet dus vaak maar een deel van het juridisch plaatje.

Waarom ook opdrachtgevers belang kunnen hebben bij een beperking van aansprakelijkheid

Het klinkt misschien tegenintuïtief, maar een opdrachtgever heeft niet per definitie belang bij onbeperkte aansprakelijkheid van zijn IT-leverancier. Als een leverancier tegenover al zijn klanten volledig open eind risico loopt, kan dat de bedrijfsvoering van die leverancier onder druk zetten. Hoge claims bij andere klanten kunnen investeringen in support, innovatie of continuïteit raken. In het uiterste geval kan een zware schadeclaim zelfs de continuïteit van de leverancier zelf bedreigen.

Voor een startup of scale-up is dat geen theoretisch punt. Wie afhankelijk is van één softwarepartner, hostingpartij of managed service provider, heeft er ook belang bij dat die partij financieel overeind blijft. Dat betekent niet dat elke ruime exoneratie redelijk is. Wel betekent het dat de discussie niet zwart-wit is. Een werkbare aansprakelijkheidsregeling draait om balans: voldoende bescherming voor de klant, zonder een risicoverdeling die voor de leverancier onverzekerbaar of commercieel onhaalbaar wordt.

Dat zie je ook terug in de praktijk van verzekeringen. IT-leveranciers kunnen zich in veel gevallen verzekeren tegen beroepsaansprakelijkheid. Regelmatig wordt daarom in contracten aangesloten bij het verzekerde bedrag, of wordt van de leverancier verlangd dat hij adequaat verzekerd is. Tegelijk is verzekerbaarheid op zichzelf geen reden waarom leveranciers hun aansprakelijkheid zomaar verruimen. Ook het ontbreken van een verzekering maakt een beroep op een exoneratie niet automatisch onmogelijk.

Geldt een exoneratie ook als de leverancier een kernverplichting schendt?

Dit is de vraag die in veel onderhandelingen vroeg of laat op tafel komt. Een startup wil vaak voorkomen dat een leverancier zich kan verschuilen achter een aansprakelijkheidsbeperking als juist het hart van de dienstverlening faalt. Denk aan back-ups, beveiliging, hosting, beschikbaarheid van een bedrijfskritische applicatie of het goed functioneren van een afgesproken integratie.

Het idee daarachter is begrijpelijk. Als een leverancier tekortschiet op wat voor de klant essentieel is, voelt het ongemakkelijk dat de schade vervolgens toch contractueel wordt afgekapt. Toch volgt daar niet automatisch uit dat een exoneratiebeding geen stand houdt.

De Hoge Raad heeft bevestigd dat het enkele feit dat een tekortkoming de kern van de prestatie raakt, op zichzelf onvoldoende is om een beroep op een exoneratiebeding onaanvaardbaar te achten. Met andere woorden: ook bij kernverplichtingen kan een exoneratie in beginsel geldig en afdwingbaar zijn. Dat is een belangrijk uitgangspunt voor de contractpraktijk tussen professionele partijen.

Voor startups en scale-ups is dat een reality check. Het is dus niet genoeg om tijdens de onderhandelingen te zeggen dat iets een kernverplichting is. Als je wilt dat daarvoor een afwijkend aansprakelijkheidsregime geldt, moet je dat expliciet en concreet in het contract verwerken. Anders blijft de algemene exoneratie meestal gewoon van toepassing, ook op onderdelen die operationeel van levensbelang zijn.

Wanneer kan een rechter een exoneratiebeding toch terzijde schuiven?

Dat exoneraties in beginsel toelaatbaar zijn, betekent niet dat ze onaantastbaar zijn. Het Nederlandse recht kent wel degelijk correctiemechanismen. Een beroep op een exoneratiebeding kan onder omstandigheden naar maatstaven van redelijkheid en billijkheid onaanvaardbaar zijn. In de rechtspraak wordt daarbij teruggegrepen op een aantal bekende gezichtspunten, zoals de zwaarte van de fout, de aard en ernst van de betrokken belangen, de inhoud van de overeenkomst, de positie van partijen, de manier waarop het beding tot stand is gekomen en de vraag in hoeverre de wederpartij zich bewust was van de strekking van het beding.

Belangrijk is wel dat rechters hier terughoudend mee omgaan. Die terughoudendheid geldt juist sterk in verhoudingen tussen professionele partijen. Het uitgangspunt blijft contractsvrijheid. Alleen bijzondere omstandigheden kunnen maken dat een exoneratie buiten toepassing blijft.

Een sprekend voorbeeld uit recente rechtspraak betrof een IT-dienstverlener die verantwoordelijk was voor het maken van back-ups, terwijl een nieuwe server niet in het back-upsysteem bleek te zijn opgenomen. Na een crash ging cruciale bedrijfsdata verloren en viel de bedrijfsvoering grotendeels stil. De rechter liet het exoneratiebeding in dat geval buiten toepassing. Daarbij woog mee dat de leverancier tekort was geschoten op een kernverplichting, dat de klant door rapportages in de veronderstelling was gelaten dat alles op orde was en dat de beperking van aansprakelijkheid niet in verhouding stond tot de ontstane schade.

Die uitspraak laat zien dat de combinatie van omstandigheden beslissend kan zijn. Niet alleen het feit dat het om een kernverplichting gaat, maar ook de aard van de fouten, de gewekte verwachtingen en de verdere context kunnen doorslaggevend zijn. Tegelijk moet die uitspraak niet te snel als nieuwe hoofdregel worden gelezen. In andere recente IT-zaken bleef een beroep op exoneratie juist wel in stand, ook waar het ging om essentiële contractuele verplichtingen.

Wat zegt de recente lijn in de rechtspraak?

De rode draad is duidelijk: exoneratiebedingen worden in IT-geschillen tussen professionele partijen maar zelden door de rechter opzijgezet. Dat geldt ook wanneer de tekortkoming raakt aan wat partijen als de kern van de dienstverlening beschouwen.

Voor de praktijk is vooral van belang dat recente rechtspraak geen brede verschuiving laat zien richting het ongeldig verklaren van exoneraties bij kernverplichtingen. Integendeel, de dominante lijn blijft dat zulke bedingen in stand blijven, tenzij er sprake is van een uitzonderlijk samenstel van omstandigheden. Een recente uitspraak waarin de exoneratie buiten werking werd gesteld, lijkt daarom eerder een uitzondering dan het nieuwe uitgangspunt.

Dat is relevant voor elke startup die erop vertrouwt dat een rechter een harde aansprakelijkheidsclausule later wel zal corrigeren. Die strategie is onzeker. Procederen over de redelijkheid van een exoneratie is kostbaar, tijdrovend en feitelijk sterk afhankelijk van de omstandigheden. Beter is het om het contract vooraf zo te structureren dat de uitkomst niet volledig afhangt van een latere rechterlijke correctie.

Wat dit concreet betekent voor startups en scale-ups

Benoem kernverplichtingen niet alleen, koppel er ook gevolgen aan

Veel contracten noemen kritieke diensten in de scope of in een SLA, maar verbinden daar geen aparte aansprakelijkheidsregeling aan. Dat is meestal te mager. Als back-upbeheer, incident response, beschikbaarheid of databehoud echt cruciaal is voor de onderneming, dan moet het contract ook duidelijk maken wat er gebeurt als het daar misgaat. Anders valt zo’n verplichting alsnog onder de algemene cap en uitsluitingen.

Definieer schadeposten zorgvuldig

Een onderscheid tussen directe en indirecte schade werkt alleen als dat onderscheid bruikbaar is. Onduidelijke termen geven ruimte voor discussie op het moment dat de schade al is ontstaan. Voor groeibedrijven is dat onwenselijk, omdat juist dan snelheid en duidelijkheid nodig zijn. Laat daarom niet alleen de hoogte van de cap beoordelen, maar ook de definities die bepalen welke schade wel en niet verhaalbaar is.

Kijk verder dan het exoneratieartikel

In de praktijk worden aansprakelijkheidsrisico’s vaak al eerder in het contract verdeeld. Is een deadline fataal of indicatief? Gaat het om een resultaatsverplichting of slechts een inspanningsverplichting? Hoe werkt herstel? Wanneer treedt verzuim in? Wat zegt de acceptatieregeling? Hoeveel ruimte krijgt een leverancier binnen de SLA voordat er sprake is van een tekortkoming? Deze bepalingen kunnen minstens zo belangrijk zijn als de exoneratie zelf.

Laat kritieke processen niet alleen op papier bestaan

De besproken rechtspraak over back-ups onderstreept hoe gevoelig dit ligt. Voor techbedrijven die leunen op data en continuïteit is het niet genoeg dat een leverancier contractueel belooft back-ups te maken. De vraag is ook hoe controleerbaar die belofte is. Rapportage, verificatie en herstelprocedures verdienen daarom serieuze aandacht. Contractuele bescherming is sterker als de operationele werkelijkheid daarbij aansluit.

Wees extra alert bij privacy en verwerkersrelaties

In IT-contracten speelt vaak ook de AVG mee, bijvoorbeeld in de relatie tussen verwerkingsverantwoordelijke en verwerker. Juist daar bestaat nog juridische onzekerheid over de ruimte om aansprakelijkheid contractueel te beperken. Voorzichtigheid is dus op zijn plaats. Wie persoonsgegevens verwerkt of laat verwerken, doet er verstandig aan om aansprakelijkheidsclausules niet los te zien van de privacyafspraken in de rest van het contract.

Een exoneratie neemt niet alle prikkels tot nakoming weg

Soms wordt gedacht dat een leverancier met een ruime exoneratie nauwelijks nog risico loopt. Dat beeld klopt niet helemaal. Ook als aansprakelijkheid voor schade contractueel is beperkt, behoudt de afnemer andere rechten. Denk aan nakoming, eventueel met drukmiddelen, en aan ontbinding en ongedaanmaking. Een exoneratie haalt dus niet iedere juridische prikkel weg om correct te presteren.

Dat is een belangrijk nuancepunt voor startups. Een contract hoeft niet alles via schadevergoeding op te lossen. Soms is het operationeel waardevoller om sterke afspraken te maken over herstel, escalatie, service levels, auditmogelijkheden en exit, dan om alleen te focussen op een theoretisch hoog aansprakelijkheidsmaximum.

Conclusie: contractsvrijheid is het vertrekpunt, niet het eindpunt

Exoneratiebedingen zijn in IT-contracten tussen professionele partijen geen uitzondering, maar de norm. Dat is goed te verklaren, omdat de potentiële schade bij falende IT groot kan zijn en leveranciers hun risico beheersbaar willen houden. De rechtspraak laat zien dat zulke bedingen meestal standhouden, ook wanneer het misgaat op een kernverplichting.

Voor startups en scale-ups volgt daar een duidelijke les uit. Vertrouw er niet op dat een rechter een ongunstige exoneratie later wel corrigeert. Wie bedrijfskritische IT inkoopt, moet vooraf scherp onderhandelen over de vraag welke verplichtingen echt essentieel zijn, welke schade verhaalbaar moet blijven en hoe de rest van het contract dat risico ondersteunt. Een exoneratiebeding is dan geen juridisch detail, maar een kernonderdeel van je risicostrategie.

‍