Je softwareleverancier stopt: wat gebeurt er met je gegevens?

Een leverancier van administratiesoftware, een planningstool of een klantportaal verdwijnt zelden van de ene op de andere dag. Meestal gaat er iets anders aan vooraf: de leverancier wordt overgenomen door een groter bedrijf, het product wordt stopgezet omdat het niet meer winstgevend is, of de prijzen gaan na een overname in korte tijd flink omhoog.

Bij een faillissement is de situatie het scherpst. Zodra een curator is aangesteld, draait de dienst vaak nog een tijd door, maar onderhoud en support stoppen al eerder. Bij een overname is het risico subtieler: het overnemende bedrijf kiest er geregeld voor klanten over te zetten naar een ander product uit het eigen portfolio, op een eigen tempo en met eigen voorwaarden.

In alle gevallen draait het om dezelfde vraag: kun je je gegevens er op tijd uit krijgen, in een vorm waarmee je ergens anders verder kunt? Dat beantwoord je bij voorkeur bij het aangaan van het contract, niet achteraf zodra de leverancier het nieuws al naar buiten heeft gebracht. Wie pas gaat uitzoeken hoe een export werkt op het moment dat de leverancier de deur sluit, heeft meestal maar een paar weken speelruimte: de opzegtermijn die in het contract staat, plus de periode tot de dienst er echt mee stopt.

Dit speelt niet alleen bij kleine, onbekende aanbieders. Ook bekende softwarebedrijven stoppen producten, fuseren pakketten of trekken zich terug uit een land. De vraag "wat als deze leverancier er over vijf jaar niet meer is" is daarom nooit helemaal overbodig, ook niet bij een partij die nu groot en stabiel aanvoelt.

Veel ondernemers denken dat de AVG hen recht geeft op al hun bedrijfsgegevens zodra ze een systeem verlaten. Dat klopt niet. Artikel 20 van de AVG geeft een betrokkene het recht om de persoonsgegevens die hij zelf heeft aangeleverd, te ontvangen in een gestructureerde, gangbare en machineleesbare vorm, en die door te geven aan een andere verwerkingsverantwoordelijke zonder gehinderd te worden door de partij waar de gegevens nu staan (EUR-Lex, AVG artikel 20).

Dat recht geldt alleen onder twee voorwaarden: de verwerking moet berusten op toestemming of op een overeenkomst, en de gegevens moeten geautomatiseerd verwerkt zijn. Gegevens die je verwerkt omdat je daartoe wettelijk verplicht bent, zoals een deel van je fiscale administratie, vallen erbuiten.

Belangrijker nog voor een ondernemer: artikel 20 gaat over persoonsgegevens van betrokkenen, niet over bedrijfsdata in de brede zin. Je voorraadcijfers, je prijsafspraken, je projectplanning en je eigen facturen zijn geen persoonsgegevens en vallen dus niet onder dit recht. De wet bepaalt ook niet binnen welke termijn een leverancier die gegevens moet leveren na opzegging, en schrijft geen specifiek bestandsformaat voor.

Wat je in de praktijk loskrijgt als een systeem verdwijnt, bepaalt daarom niet de AVG, maar het contract dat je bij aanvang hebt getekend. Daar staat normaal in of en hoe je een export krijgt, in welk formaat, en binnen welke termijn na het einde van het contract. Staat dat er niet in, dan is dat meestal omdat niemand er bij het tekenen naar heeft gevraagd.

Voor maatwerksoftware bestaat een aparte constructie: source code escrow. De leverancier deponeert de broncode bij een onafhankelijke escrow-agent, die de code pas vrijgeeft als vooraf afgesproken voorwaarden zich voordoen, zoals een faillissement van de leverancier (Computable).

Een volledige deponering omvat vaak meer dan alleen de broncode: technische documentatie, gebruikte bibliotheken en ontwikkeltools, en soms contactgegevens van de ontwikkelaars die het systeem kennen. Escrow-agenten controleren zo'n deponering op verschillende niveaus, van een eenvoudige check tot het daadwerkelijk compileren en testen van de code tegen de productieomgeving.

Escrow lost niet alles op. Je krijgt de code, maar niet automatisch de cloudomgeving waarin die draait, en al helemaal niet de kennis om die code te onderhouden. Voor een cloudoplossing is dat een reëel probleem: broncode zonder productieomgeving, koppelingen en inloggegevens is vaak weinig waard zonder dat iemand die kan terugbouwen.

Escrow is ook een kostenpost, die alleen de moeite waard is bij een systeem waar je bedrijf structureel van afhankelijk is, niet bij een los abonnement dat je zo weer kunt opzeggen. En hoe kleiner de leverancier, hoe groter het risico dat escrow eigenlijk moet afdekken, maar ook hoe minder vaak kleine leveranciers dit standaard aanbieden zonder dat je er zelf om vraagt.

De beste bescherming regel je voordat je een contract ondertekent, niet erna. Een paar concrete punten die je kunt navragen of zelf laten zien:

• Vraag om een exportbestand te zien, niet om de belofte dat export "mogelijk" is. Een leverancier die een concreet bestand met klant-, voorraad- of projectdata kan laten zien, bewijst meer dan een zin in de algemene voorwaarden.
• Check het formaat. Data in een gangbaar formaat zoals csv, json of een gedocumenteerde API is bruikbaar bij een andere leverancier. Data die alleen leesbaar is binnen het systeem zelf, is dat niet.
• Vraag wat er gebeurt na opzegging. Sommige leveranciers verwijderen gegevens kort na het einde van het contract, andere bewaren ze langer maar geven geen toegang meer. Laat dit vastleggen in het contract, niet alleen mondeling toezeggen.
• Reserveer escrow voor kernsystemen. Bij een pakket waarin je hele planning, facturatie of klantenbeheer draait, is escrow of een vergelijkbare continuïteitsafspraak het overwegen waard. Bij een los hulpmiddel voor één taak is de moeite en de kosten vaak niet in verhouding tot het risico.

Deze punten kosten een paar vragen aan de leverancier en soms een half uur extra bij het doornemen van het contract. Dat is goedkoper dan achteraf uitzoeken hoe je bij je eigen gegevens komt, op het moment dat de leverancier daar geen belang meer bij heeft om je te helpen.

Niet elk systeem verdient deze aandacht. Voor een los, goedkoop abonnement waarvan overstappen weinig moeite kost, is uitgebreide bescherming overdreven. Denk aan een tool voor het inplannen van social media-berichten of een eenvoudige tool voor het maken van pdf-offertes: er zijn tientallen vergelijkbare alternatieven, de data die erin staat is meestal ook elders te reconstrueren, en een overstap kost een middag, geen weken.

Het risico wordt pas serieus bij systemen waar drie dingen samenkomen: je bedrijf draait er dagelijks op, de data erin is nergens anders te reconstrueren (bijvoorbeeld jarenlange projecthistorie of afspraken met klanten), en er is maar één leverancier die dit specifieke probleem voor jou oplost. Dat is typisch het geval bij maatwerk, niet bij een standaardpakket waar duizenden andere bedrijven ook op draaien.

Bij een standaardpakket met veel gebruikers is het risico dat de leverancier zomaar stopt kleiner: hoe meer klanten, hoe aantrekkelijker het is voor een overnemende partij om het product te laten doorlopen in plaats van het te sluiten. Bij een kleine, nichespecifieke leverancier met een handvol klanten ligt dat anders.

Weeg dus niet alleen hoe belangrijk het systeem voor jou is, maar ook hoe groot de kans is dat de leverancier er over vijf jaar nog staat, en hoeveel moeite een overstap je nu al zou kosten als je het vandaag zou moeten doen.