Onderaannemer inschakelen in de IT: wie draagt het risico?

​​Wij zien regelmatig dat een hoofdaannemer onvoldoende nadenkt over de contractuele gevolgen van onderaanneming. De aandacht gaat vooral uit naar de overeenkomst met de opdrachtgever. Daarna kiest hij een onderaannemer en accepteert diens offerte of algemene voorwaarden. Hij controleert niet altijd of beide contracten op elkaar aansluiten.

Daar schuilt een risico. De hoofdaannemer belooft de opdrachtgever iets, maar maakt daarover geen vergelijkbare afspraken met de onderaannemer. Gaat er iets mis, dan kan hij met de schade blijven zitten.

Mag je een onderaannemer zomaar inschakelen?

Dat is minder vanzelfsprekend dan het lijkt. ​In beginsel mag je als opdrachtnemer anderen inschakelen om je werk uit te voeren. Toch zijn er uitzonderingen. Bijvoorbeeld als uit de overeenkomst of uit de aard van de opdracht volgt dat de werkzaamheden juist persoonlijk moeten worden uitgevoerd.

Bij een overeenkomst van opdracht kan de aard van de opdracht eraan in de weg staan dat je de werkzaamheden aan een derde uitbesteedt. Is de opdracht juist aan jou verstrekt vanwege jouw specifieke deskundigheid of persoonlijke kwaliteiten (artikel 7:404 BW), dan kan daaruit volgen dat je de werkzaamheden niet zonder toestemming of nadere afspraken aan een onderaannemer kunt overlaten. In de praktijk maken partijen hierover vaak expliciete afspraken.

​Controleer welke voorwaarden je opdrachtgever stelt

Veel IT-contracten bevatten specifieke regels over onderaannemers (subcontracting). Denk aan afspraken als:

• Je mag alleen een onderaannemer inschakelen als je vooraf toestemming van de opdrachtgever hebt gekregen.
• Als hoofdaannemer mag je alleen bepaalde vooraf goedgekeurde onderaannemers inschakelen.
• Je moet er als hoofdaannemer voor zorgen dat bepaalde werkzaamheden door eigen personeel worden uitgevoerd.

Dat speelt met name bij grotere ondernemingen, overheidsopdrachten en opdrachten waarbij informatiebeveiliging of vertrouwelijkheid een belangrijke rol speelt.

Mag je een onderaannemer inschakelen? Controleer dan ook of je die later zonder toestemming van de opdrachtgever mag vervangen. In grotere IT-projecten wordt die mogelijkheid regelmatig contractueel beperkt.

Schakel je toch een onderaannemer in terwijl dat contractueel niet is toegestaan, dan kan dat op zichzelf al een tekortkoming opleveren. Dit kan voor de opdrachtgever een grond opleveren voor het beëindigen van de overeenkomst of, onder omstandigheden, voor schadevergoeding.

De opdrachtgever spreekt jou aan

Ook wanneer een deel van de werkzaamheden door een onderaannemer wordt uitgevoerd, blijf jij verantwoordelijk voor de nakoming van de overeenkomst met jouw opdrachtgever. Dat volgt uit artikel 6:76 BW. Dit artikel bepaalt dat een schuldenaar aansprakelijk is voor gedragingen van hulppersonen die hij bij de uitvoering van zijn verbintenis inschakelt, alsof het zijn eigen gedragingen zijn. Voor de opdrachtgever maakt het daarom in beginsel geen verschil of de tekortkoming is veroorzaakt door jouw eigen medewerkers of door een door jou ingeschakelde onderaannemer.

Een tekortkoming van de onderaannemer komt in de verhouding met de opdrachtgever dus in beginsel voor jouw rekening. Dat uitgangspunt is ook logisch. De opdrachtgever heeft immers geen overeenkomst gesloten met de onderaannemer, maar met jou. Gaat een software-implementatie mis, wordt een security-afspraak niet nagekomen of wordt een SLA overschreden, dan zal de opdrachtgever zich hoogstwaarschijnlijk tot jou wenden. Dat de oorzaak bij een onderaannemer ligt, verandert daar meestal niets aan.

​Van deze wettelijke regeling kunnen partijen overigens afwijken. Zo kunnen zij afspreken dat de leverancier niet of slechts beperkt aansprakelijk is voor fouten van een ingeschakelde hulppersoon. Dergelijke afwijkingen moeten wel duidelijk uit de overeenkomst blijken.

In uitzonderlijke gevallen kan de opdrachtgever ook de onderaannemer rechtstreeks aanspreken op grond van onrechtmatige daad, maar daarop mag je als leverancier niet vertrouwen.

Het risico zit vaak tussen twee contracten

Contractuele risico’s ontstaan vaak al vóór de uitvoering van een project. Leveranciers onderhandelen uitgebreid over hun klantcontract met de opdrachtgever. Ze maken afspraken over servicelevels, beschikbaarheid, responstijden, beveiliging, privacy, intellectuele eigendom, boetebedingen en aansprakelijkheid. Daarna schakelen ze een onderaannemer in die zijn eigen algemene voorwaarden gebruikt.

De leverancier bevindt zich dan tussen twee overeenkomsten die niet op elkaar aansluiten. Aan de ene kant accepteert hij vergaande verplichtingen richting zijn opdrachtgever. Aan de andere kant werkt hij samen met een onderaannemer die een veel beperktere aansprakelijkheid accepteert en nauwelijks garanties geeft over dezelfde onderwerpen. Zolang het project goed verloopt, blijft dat onzichtbaar. Maar zodra zich een probleem voordoet, wordt duidelijk dat een belangrijk deel van het contractuele risico uiteindelijk bij de leverancier terechtkomt.

​Voorbeeld: de SLA sluit niet aan

Stel dat een softwarebedrijf met zijn opdrachtgever afspreekt dat kritieke storingen binnen vier uur moeten zijn opgelost. Ook wordt een ruime aansprakelijkheid overeengekomen als die afspraak niet wordt nagekomen. Voor het technisch beheer schakelt het softwarebedrijf vervolgens een gespecialiseerde IT-partij in. Daarbij wordt zonder verdere onderhandelingen ingestemd met de standaardvoorwaarden van die onderaannemer. In die voorwaarden ontbreken afspraken over responstijden en is de aansprakelijkheid beperkt tot het factuurbedrag van de betreffende maand.

Ontstaat vervolgens een storing die de onderaannemer niet tijdig oplost, dan zal de opdrachtgever de leverancier aanspreken wegens schending van de SLA. De leverancier probeert vervolgens de schade op de onderaannemer te verhalen. Of dat lukt, hangt vervolgens af van de afspraken die met de onderaannemer zijn gemaakt. Daar gaat het in de praktijk regelmatig mis, waardoor een deel van de schade uiteindelijk voor rekening van de leverancier blijft.

​Voorbeeld: afspraken over privacy en beveiliging ontbreken

Hetzelfde zien wij bij privacy en informatiebeveiliging. Een leverancier garandeert richting zijn opdrachtgever dat persoonsgegevens uitsluitend binnen de Europese Economische Ruimte worden verwerkt en dat beveiligingsincidenten direct worden gemeld. Vervolgens schakelt hij een subcontractor in die onder eigen voorwaarden werkt en die hierover niets heeft geregeld. Ook dan blijft de leverancier in beginsel aanspreekbaar tegenover zijn opdrachtgever.

​Voorbeeld: je onderaannemer biedt geen bescherming tegen claims

Hetzelfde geldt voor intellectuele eigendomsrechten. Een leverancier garandeert bijvoorbeeld dat de ontwikkelde software geen inbreuk maakt op rechten van derden en vrijwaart zijn opdrachtgever voor eventuele claims. Schakelt hij vervolgens een softwareontwikkelaar in zonder vergelijkbare afspraken te maken, dan kan hij wel aansprakelijk zijn tegenover de opdrachtgever, maar de schade niet of slechts beperkt verhalen op de onderaannemer.

Dit soort situaties komen vaak voor. Niet omdat partijen bewust risico's nemen, maar omdat ze zich onvoldoende bewust zijn van de risico’s en de focus volledig ligt op het binnenhalen van de opdracht. Pas als zich een probleem voordoet, wordt ontdekt dat de contracten niet op elkaar aansluiten.

Back-to-back-afspraken zijn meer dan een juridisch begrip

Een veelgemaakte fout is dat uitsluitend de technische werkzaamheden worden uitbesteed en de overige contractuele verplichtingen niet worden doorgelegd. Juist om te voorkomen dat je als leverancier tussen beide overeenkomsten klem komt te zitten, is het belangrijk om bewust na te denken over zogenoemde back-to-back-afspraken. Back-to-back betekent niet dat beide overeenkomsten letterlijk hetzelfde moeten zijn. Het betekent wel dat je kritisch moet beoordelen welke verplichtingen jij tegenover jouw opdrachtgever bent aangegaan en of die voldoende zijn doorgelegd naar de onderaannemer.

Denk daarbij bijvoorbeeld aan:

• Servicelevels en responstijden
• Beveiligingsmaatregelen
• Geheimhouding.
• Privacy en verplichtingen uit de AVG.
• Intellectuele eigendomsrechten
• Auditrechten
• documentatieverplichtingen
• Continuïteit van de dienstverlening

Leg per onderwerp vast wat je van de onderaannemer nodig hebt. Zo kun je beoordelen of je jouw afspraken met de opdrachtgever kunt nakomen.

​Maak afspraken over verdere uitbesteding

Let ook op de vraag of jouw onderaannemer op zijn beurt weer andere partijen mag inschakelen. In de IT is het niet ongebruikelijk dat een softwareontwikkelaar, hostingpartij of cloudleverancier zelf weer gebruikmaakt van subcontractors. Dat hoeft op zichzelf geen probleem te zijn, maar je wilt wel weten wie uiteindelijk betrokken is bij de uitvoering van jouw dienstverlening. Als je niet wilt dat jouw onderaannemer de werkzaamheden zonder meer verder uitbesteedt, zul je dat contractueel moeten beperken.

Je kunt bijvoorbeeld afspreken dat voor het inschakelen van een volgende onderaannemer jouw voorafgaande toestemming is vereist of dat alleen vooraf goedgekeurde partijen mogen worden ingezet. Leg daarnaast vast dat belangrijke verplichtingen, zoals afspraken over informatiebeveiliging, privacy, geheimhouding en servicelevels, ook worden doorgelegd naar volgende schakels in de keten.

​Vergelijk de grenzen aan aansprakelijkheid

De aansprakelijkheidsregeling verdient ook bijzondere aandacht. Het komt regelmatig voor dat een leverancier tegenover zijn opdrachtgever een aansprakelijkheidslimiet van enkele tonnen of zelfs miljoenen accepteert, terwijl de aansprakelijkheid van de onderaannemer is beperkt tot enkele tienduizenden euro's of zelfs uitsluitend het bedrag van de laatste factuur. Als de schade wordt veroorzaakt door de onderaannemer, blijft dat verschil meestal voor rekening van de leverancier.

Ook vrijwaringsbepalingen verdienen aandacht. Denk aan claims wegens inbreuk op intellectuele eigendomsrechten of privacywetgeving. Als jij dergelijke vrijwaringen aan jouw opdrachtgever hebt gegeven, is het verstandig om na te gaan of je een vergelijkbare bescherming hebt bedongen richting de onderaannemer wanneer de oorzaak van de claim bij hem ligt.

Denk vooraf na over de risicoverdeling

Het inschakelen van onderaannemers is voor veel IT-dienstverleners onmisbaar. Dat hoeft ook geen probleem te zijn, zolang de contractuele afspraken goed op elkaar aansluiten. Controleer daarom niet alleen of je volgens het klantcontract een onderaannemer mag inschakelen, maar kijk ook kritisch naar de voorwaarden waaronder die onderaannemer werkzaamheden verricht. Sluiten de aansprakelijkheidsregeling, servicelevels, beveiligingsverplichtingen en overige afspraken voldoende aan op de verplichtingen die jij tegenover jouw opdrachtgever bent aangegaan?

Leveranciers kijken vaak pas kritisch naar de onderaannemingsovereenkomst nadat een opdrachtgever hen aansprakelijk heeft gesteld. Dan blijkt vaak dat de afspraken met de klant niet aansluiten op de afspraken met de onderaannemer. Dat risico kun je meestal eenvoudig voorkomen door beide overeenkomsten vanaf het begin in samenhang te beoordelen. Juist bij IT-projecten, waarin verschillende partijen samenwerken en verantwoordelijkheden in elkaar grijpen, verdient dat extra aandacht.

Wil je weten of jouw klantcontracten en onderaannemingsovereenkomsten goed op elkaar aansluiten? Wij beoordelen graag waar de juridische risico's zitten en denken mee over een passende contractstructuur.