Technologie en software

Een veelvoorkomende bevinding in Nederlandse software-due diligence is een lacune in de eigendomsketen. Naar Nederlands auteursrecht komen werken die door werknemers in de uitoefening van hun functie zijn gemaakt, doorgaans toe aan de werkgever, maar opdrachtnemers, zzp'ers en oprichters die code schreven vóór oprichting van de onderneming vallen niet onder die regel; voor hun werk is een schriftelijke overdracht nodig. Ondernemingen die zijn ontstaan uit een nevenproject van een oprichter, die offshore ontwikkelaars hebben ingeschakeld, of die code hebben verworven via een eerdere overname, kunnen vaak geen sluitende keten aantonen. Die positie kan worden hersteld, en herstel vóórdat een koper het opmerkt, is aanzienlijk goedkoper.

Herstel is een proces en geen handtekening. Een overdracht achteraf moet de werken noemen die worden overgedragen, omdat de Auteurswet een akte eist die beperkt wordt uitgelegd, en de persoonlijkheidsrechten blijven bij de maker, die daarvan slechts in beperkte mate afstand kan doen. Is de wederpartij een voormalig opdrachtnemer of een vertrokken oprichter, dan maakt het verzoek zelf al duidelijk waarom het wordt gedaan. Dit punt wordt daarom bij voorkeur geregeld zolang de relatie nog loopt. Als de code eigendom is van de persoonlijke holding van een oprichter en de werkmaatschappij deze op basis van een licentie gebruikt, horen de licentievoorwaarden, de looptijd daarvan en de beëindigingsbepalingen bij wat wordt verworven. Een koper wil doorgaans dat de eigendom vóór closing wordt samengebracht, en niet alleen een garantie daarover.

Het gebruik van open source is het tweede terugkerende punt. De vraag is zelden of open source wordt gebruikt, want dat is vrijwel altijd zo, maar of componenten onder een copyleftlicentie zo zijn gekoppeld dat openbaarmaking van eigen code zou kunnen worden afgedwongen, en of de onderneming een software bill of materials kan overleggen. Een koper die die vraag niet kan beantwoorden, prijst de onzekerheid in.

Bij SaaS zit de waarde in het contractenbestand. Due diligence stelt het werkelijke verlengingsprofiel vast, niet het gerapporteerde: automatische verlenging versus jaarlijkse onderhandeling, opzegtermijnen, onbeperkte aansprakelijkheid of ongebruikelijke vrijwaringen, service credits, meestbegunstigingsclausules, en vooral bepalingen over zeggenschapswijziging in de contracten waarin de omzet is geconcentreerd. Heeft een van de vijf grootste klanten een opzegrecht bij zeggenschapswijziging, dan wordt dat ondervangen met een opschortende voorwaarde, een prijsaanpassing of de verdeling van het risico na closing. Zo'n recht moet in de eerste week van de due diligence boven tafel komen, niet in de zesde.

De commerciële voorwaarden achter de omzet doen er evenveel toe als de identiteit van de klanten. Due diligence toetst hoe jaarlijks terugkerende omzet is gedefinieerd en of die definitie aansluit bij de contracten, omdat implementatiekosten, professionele diensten, wederverkoop van hardware en overschrijdingskosten op basis van gebruik vaak samen met abonnementsomzet worden gepresenteerd. Aansprakelijkheidsbepalingen worden op dezelfde basis gelezen, omdat een cap die is uitgedrukt als de in de voorgaande twaalf maanden betaalde vergoedingen heel anders uitpakt dan een onbeperkte vrijwaring voor gegevensbescherming of inbreuk op intellectuele eigendom. Uptime-toezeggingen, service credits en opzegrechten bij herhaalde tekortkoming maken van een operationeel probleem bovendien een contractueel probleem. Bij klanten in de publieke sector komen aanbestedingsaspecten erbij. Is een contract gegund op grond van een raamovereenkomst, dan bepaalt die raamovereenkomst, en niet het contract zelf, of het contract na een leverancierswisseling blijft gelden.

• De AVG-positie bepaalt mede de waarde en is geen bijzaak: rechtsgrondslag voor de data die het product gebruikt, internationale doorgifteregelingen, verwerkersovereenkomsten met klanten, de keten van subverwerkers en de kennisgevingsrechten die klanten hebben bij wijzigingen daarin, en de behandeling van klantdata bij modeltraining. Eerdere datalekken, correspondentie met de Autoriteit Persoonsgegevens en de verwerkingsregisters worden beoordeeld en niet alleen op basis van een garantie aangenomen.
• De open source-positie wordt aangetoond met een software bill of materials en niet alleen gesteld. De analyse onderscheidt permissieve licenties van copyleft-licenties waarvan de wederkerigheidsverplichtingen afhangen van de wijze waarop de component is gekoppeld en van de vraag of de software wordt gedistribueerd of als gehoste dienst wordt geleverd. Zij omvat ook componenten die via afhankelijkheden van derden zijn binnengekomen, niet alleen de componenten die direct zijn gekozen.
• De EU AI-verordening wordt gefaseerd van kracht, met verschillende ingangsdata voor onder meer verboden praktijken, AI-modellen voor algemene doeleinden en AI-systemen met een hoog risico. Welke verplichtingen op het moment van de transactie gelden, wordt per geval vastgesteld.
• De Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2, brengt een groot aantal essentiële en belangrijke entiteiten onder een regime van registratie, risicobeheer en snelle incidentmelding, met verantwoordelijkheid op bestuursniveau.
• De Data Act en de DSA kunnen van toepassing zijn afhankelijk van het bedrijfsmodel, en sectorregimes zoals DORA gelden als de doelvennootschap diensten verleent aan financiële ondernemingen, waardoor de doelvennootschap naast haar eigen vereisten ook onder de vereisten van haar klanten voor uitbesteding en ICT-dienstverlening door derden valt.
• Europese exportcontroles voor producten voor tweeërlei gebruik (dual-use) zijn van toepassing op delen van de Nederlandse technologiesector, en nationale vergunningsmaatregelen gelden voor geavanceerde halfgeleiderproductieapparatuur. Vallen de producten of de onderliggende technologie binnen de lijsten, dan zijn classificatie, vergunningsgeschiedenis en eindgebruikerscontrole punten voor de due diligence.

• Op grond van de Auteurswet komt IE die werknemers maken doorgaans toe aan de werkgever, voor zover het werk binnen de functie valt waarvoor de werknemer is aangesteld. Voor IE van opdrachtnemers en van vóór de oprichting is een schriftelijke overdracht bij akte nodig, en die positie wordt bij voorkeur vóór signing bevestigd en niet via disclosure ondervangen. Software die een dochteronderneming of de holding van een oprichter voor de werkmaatschappij heeft ontwikkeld, roept binnen de groep dezelfde vraag op.
• Concurrentiebedingen in Nederlandse arbeidsovereenkomsten moeten aan strikte vormvereisten voldoen (art. 7:653 BW), met aanvullende eisen bij een arbeidsovereenkomst voor bepaalde tijd, en een rechter kan het beding vernietigen of beperken. Dat is van belang als de waarde afhangt van het behouden van oprichters en sleutelontwikkelaars.
• Werknemersparticipatie via een STAK met certificaten is de standaard Nederlandse structuur en houdt de cap table over meerdere rondes werkbaar. Bij werknemersaandelenopties is het belastbare moment in de regel niet de uitoefening maar het moment waarop de aandelen verhandelbaar worden, als dat later is, tenzij de werknemer kiest voor heffing bij uitoefening. Dat bepaalt mede hoe plannen worden opgezet bij ondernemingen zonder vooruitzicht op een liquidity event.
• Voor de overdracht van aandelen is een notariële akte nodig (art. 2:196 BW). Dat heeft gevolgen voor de uitvoering van optie-uitoefeningen en secundaire verkopen. Bovendien bevatten de statuten doorgaans aanbiedings- of goedkeuringsbepalingen die bij een secundaire transactie moeten worden doorlopen.
• De investeringstoets op grond van de Wet Vifo ziet op aangewezen sensitieve technologieën, waaronder halfgeleiders en kwantumtechnologie, en het toepassingsbereik kan worden uitgebreid; welke categorieën op het moment van de transactie gelden, stellen wij per geval vast.