De technologiestack hoort thuis in de koopovereenkomst

Wat wordt overgenomen, is een samenhangend geheel van rechten

Een IP-register is een nuttig startpunt, maar beschrijft zelden wat een doelvennootschap die software of digitale diensten aanbiedt daadwerkelijk kan overdragen en exploiteren. Waarde kan afhangen van cloudcapaciteit, SaaS-abonnementen, resellervoorwaarden, integratieovereenkomsten, coderepositories, datarechten en de voortdurende medewerking van klanten of leveranciers. De due diligence moet daarom beginnen bij de diensten die omzet genereren of levering ondersteunen, en vervolgens per dienst in kaart brengen welke rechten en afhankelijkheden daarvoor nodig zijn.

Bij een aandelentransactie blijft de doelvennootschap doorgaans partij bij haar overeenkomsten, maar change-of-control-bepalingen kunnen een wederpartij het recht geven om te beëindigen, te heronderhandelen of toestemming te vereisen. Bij een activatransactie vereist contractuele overdracht in beginsel de medewerking van de wederpartij op grond van art. 6:159 BW, omdat contractsoverneming een overeenkomst tussen de overdragende partij, de verkrijger en de wederpartij vergt. De lijst van opschortende voorwaarden moet onderscheid maken tussen daadwerkelijke overdrachtstoestemmingen en change-of-control-toestemmingen, aangezien het gevolg van een ontbrekende toestemming en de beschikbare alternatieven kunnen verschillen.

De beoordeling moet ook overeenkomsten identificeren die via resellers, gezamenlijke inkoopregelingen of platformmarktplaatsen zijn gesloten. Een licentie die bij een groepsvennootschap van de verkoper ligt en niet bij de doelvennootschap, gaat bij een aandelenverkoop mogelijk niet mee over. Een duidelijk contractenoverzicht vermeldt de contracterende partij, looptijd, beëindigingsrechten, beperking bij overdracht of zeggenschapswijziging, toestemmingsstatus, belang voor de bedrijfsvoering en beschikbaar alternatief.

Exitrechten horen bij de overgenomen onderneming

Cloud- en SaaS-regelingen moeten op meer worden beoordeeld dan alleen de belangrijkste abonnementsvoorwaarden. De vraag is of de doelvennootschap haar data in bruikbare formaten kan verkrijgen, overgangsondersteuning kan ontvangen, toegang kan behouden tijdens migratie, en operationele configuraties, interfaces en credentials kan terugkrijgen. Een generiek exportrecht van een provider kan tekortschieten als de doelvennootschap afhankelijk is van eigen tooling of haar omgeving niet binnen de door klanten getolereerde termijn kan reconstrueren.

Broncode-escrow kan van wezenlijk belang zijn als maatwerksoftware essentieel is voor de bedrijfsvoering of een sleutelleverancier financieel kwetsbaar is. Het due diligence-dossier moet vaststellen wat is gedeponeerd, wat de vrijgavetriggers, de updatefrequentie en het verificatieproces zijn, en of de software met het gedeponeerde materiaal kan worden gebouwd en uitgerold. Een contractueel recht op een ongeteste archiefkopie biedt minder bescherming dan een geteste herstelprocedure.

De Europese Data Act geeft die contractuele rechten een wettelijke ondergrens. Aanbieders van clouddiensten en andere dataverwerkingsdiensten moeten de overstap naar een andere aanbieder mogelijk maken en de voorwaarden daarvoor in de overeenkomst opnemen, zoals een opzegtermijn, een overgangsperiode, een omschrijving van de data die kan worden meegenomen en een periode om data op te vragen voordat die wordt gewist. De verordening beperkt ook de vergoedingen die een aanbieder voor een overstap mag rekenen en schaft die gefaseerd af.

Hoe ver die verplichting gaat, verschilt per soort dienst, en niet elke dienst valt volledig onder het regime. De due diligence moet daarom elke wezenlijke dienst indelen, nagaan of het contract de vereiste voorwaarden bevat en de exportroute toetsen aan de architectuur, omdat een wettelijk recht een migratie nog niet werkbaar maakt binnen de termijn die klanten accepteren. De SPA moet de afspraken over de wezenlijke diensten, de toepasselijke overstapvoorwaarden en elke bekende beperking op data-extractie vastleggen.

Code-, data- en modelrechten vergen afzonderlijke analyse

Software kan auteursrechtelijk beschermd zijn, en de Auteurswet kent eigen regels voor computerprogramma's die van belang zijn voor eigendom, toegestane handelingen en contractuele toewijzing. De juridische beoordeling moet vaststellen of werknemers, opdrachtnemers en groepsentiteiten de code hebben geschreven, welke overeenkomsten rechten overdragen of licentiëren, en of ontwikkeltools of gegenereerd materiaal onderworpen zijn aan voorwaarden van derden. De Databankenwet kan een databank afzonderlijk beschermen als aan de vereisten is voldaan, maar vestigt niet op elke verzameling data rechten.

Een codescan kan open-sourcecomponenten en licentievermeldingen identificeren, maar het resultaat vergt juridische en technische interpretatie. Open-sourcelicentievoorwaarden kunnen bronvermelding, beschikbaarstelling van broncode, behoud van kennisgevingen of licentiëring van afgeleid werk onder gespecificeerde voorwaarden vereisen. De garanties moeten daarom zien op naleving van de toepasselijke licentievoorwaarden, openbaarmaking van de gevonden componenten en de afwezigheid van verplichtingen die onverenigbaar zijn met het licentiemodel van de doelvennootschap.

Data die is gebruikt om een model te trainen of te fine-tunen vraagt om een eigen herkomstanalyse. Klantcontracten, privacyverklaringen, toestemmingen en interne governance moeten laten zien of de doelvennootschap gerechtigd was de data te gebruiken voor training, evaluatie of verbetering, en niet slechts voor het verlenen van de gecontracteerde dienst. Model- en toolinglicenties moeten ook worden gelezen op rechten in outputs, afgeleide modellen, beperkingen op commercieel gebruik, bronvermelding, vrijwaringen, toegang voor de provider en de voortdurende beschikbaarheid van het model na closing.

Rollen, gegevensbescherming en kosten na closing

De AI-verordening kent verplichtingen toe per rol, waaronder aanbieder en gebruiksverantwoordelijke (deployer). De overeenkomst moet vaststellen welke entiteit welke rol vervult voor elk wezenlijk systeem en of de koper die positie na closing zal wijzigen door rebranding, aanpassing, distributie of inzet. De classificatie en toewijzing kunnen niet worden geregeld met een algemene garantie dat de doelvennootschap voldoet aan alle wetgeving, omdat de doorlopende compliancekosten en het operationele werk afhangen van het systeem en de rol.

Ook het tijdpad telt. De verplichtingen uit de AI-verordening worden gefaseerd van kracht; welke bij een transactie al gelden en welke nog volgen, verschilt per systeem. Die fasering moet doorwerken in de looptijd van garanties, de herstelverplichting en elke aanpassing voor geïdentificeerd compliancewerk.

Afspraken over persoonsgegevens gaan operationeel mee met de doelvennootschap, maar moeten na closing mogelijk opnieuw contractueel worden vastgelegd. De AVG stelt eisen aan afspraken met verwerkers en aan afspraken tussen partijen die gezamenlijk de doeleinden en middelen van de verwerking bepalen. Het due diligence-rapport moet in kaart brengen wie verwerkingsverantwoordelijke, verwerker of gezamenlijk verwerkingsverantwoordelijke is, welke klant- en leveranciersafspraken gelden, welke internationale doorgiften plaatsvinden en wat het integratieplan van de koper daaraan verandert.

Een schema maakt het garantiepakket bruikbaar

Een technologiestackschema moet voor elk wezenlijk onderdeel vermelden: het product of de dienst, eigenaar of provider, contractreferentie, verlengings- en beëindigingsdata, change-of-control- of overdrachtspositie, datalocatie en extractieroute, belangrijkste afhankelijkheden, broncodestatus, open-sourcepositie, AI-rol en rol bij persoonsgegevens. Het schema is geen technische inventarisatie als doel op zich. Het levert de feitelijke basis waaraan garanties, openbaarmakingen en verplichtingen kunnen worden getoetst.

De SPA-garanties kunnen dan eigendom of voldoende gebruiksrechten op de technologie dekken, naleving van wezenlijke open-sourcelicentievoorwaarden, afdwingbaarheid van wezenlijke technologiecontracten, bekendgemaakte toestemmingsvereisten, rechtmatig gebruik van trainingsdata, juistheid van de AI-roltoewijzing en het bestaan van de afspraken die de AVG vereist. Bekende leemten worden beter omgezet in specifieke openbaarmakingen, voorwaarden, verwerking in de prijs of verplichtingen na closing dan opgenomen in een algemene IP-garantie. Zo blijft de toewijzing duidelijk en blijft er een werkbare route naar closing.