Management

Cloud
cloud connect

SaaS-escrow: meer dan een theoretisch vangnet

© Pixabay
29 januari 2013

‘Als je SaaS-provider failliet gaat, moet je als gebruiker maar afwachten of je ooit nog bij je data kunt’, waarschuwen cloudcriticasters. ‘Dat risico kun je afdekken’, zeggen escrowproviders. Tot voor kort was het een nogal academisch welles-nietesdebat voor juristen. Maar sinds afgelopen zomer is er een praktijkcasus van SaaS-escrow.
Om zeker te stellen dat de online applicatie die ze gebruiken ook bij faillissement van de SaaS-aanbieder beschikbaar blijft, sluiten bedrijven soms een zogeheten SaaS-escrowregeling af. De aanbieder van de Escrow regelt dan – als een soort verzekeraar – dat de applicatie ook na faillissement van de aanbieder-eigenaar in de lucht blijft.

Om dat juridisch en financieel handen en voeten te geven is een tamelijk ingewikkeld vlechtwerk van overeenkomsten nodig. Zo ingewikkeld, dat SaaS-escrow door menigeen als ‘puur theoretisch’ terzijde wordt geschoven. Dat dat niet zo is, blijkt uit een praktijkgeval uit Nederland van afgelopen zomer. Managing director Herman Kui van Escrow4all hield een dagboek bij. AutomatiseringGids mocht het inzien en voorzag het hier en daar van toelichtende kanttekeningen en commentaar van enkele deskundigen.

Donderdag

Een onderwijsinstelling, afnemer van een als online softwareservice (SaaS) aangeboden contentmanagementsysteem (CMS), belde op met een verontrustend bericht. De IT-manager had eerder al in de wandelgangen vernomen dat zijn SaaS-leverancier in zwaar weer verkeerde. Maar nu leken de problemen acute vorm aan te nemen.

De website van deze onderwijsinstelling draaide op het SaaS-CMS van deze leverancier en mocht absoluut niet uit de lucht – geen dag. De school was voor onder meer online hoorcolleges, roosters en studentenzaken afhankelijk van de site, inclusief onderliggende applicaties en databases. Wat kan de SaaS-escrowregeling, die ze drie jaar geleden hadden afgesloten, voor hen betekenen?

Bij SaaS levert de provider behalve toegang tot de applicatie ook hosting en back-up. De eindafnemer is dus voor toegang tot zijn data afhankelijk van de provider. Maar zelfs als die de data nog vóór het faillissementsvonnis aan de klant doet toekomen, heeft de klant daar betrekkelijk weinig aan zolang hij niet ook beschikt over de applicatie die de data kan lezen en schrijven. Een eventuele migratie naar een vervangende applicatie zal, onder tijdsdruk, als regel een complexe, kostbare en ook wel riskante exercitie worden.

We belden onmiddellijk de SaaS-leverancier. De kantoortelefoon werd niet beantwoord. Derhalve een dringend terugbelverzoek ingesproken op de voicemail van de mobiele telefoon van de directeur-eigenaar.

Vrijdag

De directeur-eigenaar belt terug en bevestigt het verhaal. De economische malaise had zijn tol geëist. Faillissement aanvragen was zijn enige optie. De medewerkers waren inmiddels op de hoogte gesteld. Kort daarna werden ook klanten en andere stakeholders geïnformeerd. Voor zover mogelijk en nodig, was hij graag bereid mee te werken om zijn klanten niet in de steek te laten.

Wij belden aansluitend met de colocatieprovider [die vermoedelijk tevens belangrijke schuldeiser zou zijn]. Ook deze bleek inmiddels op de hoogte van de aanstaande deconfiture. We bevestigden de ‘in-de-plaatsstelling’-overeenkomst, die regelt dat de Escrow4All tijdelijk de rol van opdrachtgever inzake de hosting van het SaaS-CMS overneemt, inclusief de daarbij behorende betalingsverplichting. Dit met het doel de hostingdiensten voorlopig gaande te houden en de websites en webapplicaties van de eindklanten in de lucht te houden.

In het kader van periodieke verificaties had Escrow4all naast de broncodes ook vereiste documenatie over configuratie en beheer ontvangen en opgeslagen. Daarmee is de escrowprovider gerechtigd en in staat om op administratorniveau aan de knoppen te zitten en de diensten ‘as-is’ draaiend te houden. De klanten hebben daarmee een nieuw technisch aanspreekpunt, al zal de kennis die Escrow4all van de specifieke SaaS-omgeving heeft niet zo diep gaan als die van de oorspronkelijke SaaS-provider. Change-requests bijvoorbeeld zullen in principe moeten wachten tot er een structurele oplossing is.

Om zeker te stellen dat we ook daadwerkelijk toegang en adequate beheermogelijkheden kregen op de systemen van de gefailleerde SaaS-provider, werden diezelfde dag nog zogeheten access en maintenance checks uitgevoerd. Aansluitend zijn de klanten die deelnamen aan de SaaS-escrow geïnformeerd, door de SaaS-leverancier en aansluitend door ons als escrowprovider.

In feite hadden slechts vijf van de naar schatting vijftien tot twintig klanten van de SaaS-provider een overeenkomst met Escrow4all. De overige, waaronder enkele gemeenten en een grote autoimporteur, liften echter onwillekeurig mee. Ontvlechting zou (afgezien van één klant met een aparte server) veel gedoe hebben opgeleverd zonder noemenswaardige beperking in de kosten voor de noodhosting op te leveren. Deze noodhosting wordt als regel bekostigd door de escrowdienstverlener, die daartoe samen met klanten een garantiefonds beheert. In dit geval was er verder voor elk van de deelnemers sprake van een eenmalig eigen risico van 250 euro. Voor de SaaSescrowregeling zelf betaalden de deelnemers elk ongeveer 1000 euro per jaar.

Zaterdag - zondag - maandag

Ogenschijnlijk was er geen vuiltje aan het lucht, maar de klanten waren vanaf dat moment wel degelijk overgeschakeld op de escrow, die maximaal zes maanden draait.

Zo’n half jaar moet ruimschoots voldoende zijn om een uitweg te vinden uit de ontstane situatie. De voor die uitweg denkbare scenario’s vallen uiteen in 3 basisvarianten:

  1. Activiteiten en intellectueel eigendom van de failliete provider worden overgenomen en voortgezet (doorstart of acquisitie).
  2. Na 45 dagen wordt de ‘klassieke’ broncode- escrow – die onderdeel is van SaaS-escrow – actief. Klanten die een escrow-overeenkomst hebben (dus niet de ‘meelifters’), krijgen daarmee recht op toegang en gebruik van de broncode van de applicatie. Met deze broncode en hun databestanden kunnen ze dan aankloppen bij een dienstverlener die deze kan compileren en hosten, waarmee de voormalige SaaS dan als ‘klassieke’ managed-servicesconstructie voortleeft. Gezien het ermee gepaard gaande verlies van schaalgrootte is deze constructie waarschijnlijk relatief kostbaar.
  3. Migratie naar een nieuwe functioneel vergelijkbare SaaS-oplossing.

Datamigratie kan een lastige en tijdrovende klus zijn, maar als tijdig voorbereidingen worden getroffen moet het met hulp van de nieuwe provider en de mogelijkheid tot inzage van de broncode van de te verlaten omgeving goed mogelijk zijn.

Dinsdag

De rechtbank spreekt het vonnis van faillietverklaring van de SaaS-leverancier uit en stelt een ervaren insolventieadvocaat van een bekend kantoor als curator aan

Woensdag

Daags na diens benoeming zoeken we contact met de curator. Deze blijkt, zonder de details te kennen, al op de hoogte van de SaaS-escrowregeling en zegt ‘content’ te zijn met deze ‘verzekering’.

Voor het slagen van een SaaS-escrow is een basale medewerking van de curator zeer gewenst. Strikt juridisch beschouwd zelfs vereist. Want alle eigendomsrechten – dus ook het auteursrecht op de applicatiecode – zijn door het faillissement overgegaan op de door de curator vertegenwoordigde schuldeisers. Sceptici (zoals M. Korpershoek en J. Knieriem) grijpen dit gegeven aan om te betogen dat SaaS-escrow in veel gevallen niet meer dan schijnzekerheid biedt. Ze kunnen daarbij onder meer wijzen op het zogeheten Nebula-arrest (van 2006). Daaruit blijkt dat een de curator zelfs het recht heeft om te wanpresteren, wat vertaald naar de SaaS-context neer zou kunnen komen op de stekker eruit trekken en de databestanden wissen.

Puur academisch gezien hebben deze criticasters van SaaS-escrow gelijk, geeft Escrow4all-directeur Kui toe. Maar in de praktijk moet het wel heel raar lopen wil een curator in het stopzetten van noodhosting voordeel voor de schuldeisers zien. Te meer daar de noodhosting voor rekening van de escrowprovider komt en de schuldeisers dus geen cent kost. Sterker nog; de kans is aanzienlijk dat één van die schuldeisers de colocatieprovider zal zijn, die aan de noodhosting juist verdient. Kui: “Bovendien is medewerking technisch gezien niet nodig, zo lang hij maar niet actief tegenwerkt”. En dat een curator het in het belang van de schuldeisers zou achten om zich actief te verzetten, dat vergt wel een heel uitzonderlijke constellatie. Kui: “In z’n algemeenheid zorgt SaaS-escrow voor voortzetting van de dienstverlening en zo’n ‘going concern’ vertegenwoordigt bedrijfseconomische waarde. Waarom zou je als curator die waarde willen vernietigen, in plaats van haar productief te maken voor de schuldeisers in de vorm van een interessante propositie voor een doorstart of overname?”

Dat Kui hier een punt heeft, blijkt onder meer uit de casus Infotechnology. Daar arrangeerde de curator zonder dat sprake was van een escrow-partij samen met de colocatieprovider een noodhosting. Overigens zijn er volgens Kui aanvullende juridische kunstgrepen mogelijk om de escrow-dienstverlener een sterkere positie te bezorgen. “Je moet dan denken aan constructies waarbij de escrow in de goederenrechtelijke sfeer wordt getrokken, bijvoorbeeld door de begunstigden via een beperkt gebruiksrecht mede-eigenaar te maken van auteursrecht op de broncode. Maar we zien vooralsnog geen reden om dergelijke kunstgrepen in stelling te brengen.”

Vier weken later

De curator heeft inmiddels een branchegenoot gevonden die de boedel wil over nemen. In de tussentijd hebben de websites en webapplicaties van klanten zonder enige storing gefunctioneerd, in lijn met de escrow-overeenkomst. Tijd voor Escrow4all om zich terug te trekken. Escrow4all heeft zich voor zes maanden gecommitteerd, maar daarop wordt in dit geval geen appel gedaan.

De hamvraag in deze casus is uiteraard of de curator niet wat al te enthousiast op de escrow-regeling inging. Voor de klanten van de failliete provider was het natuurlijk plezierig dat Escrow4All direct mocht doorpakken. Maar was er voor de schuldeisers niet meer uit te halen geweest?

Bijvoorbeeld door de klanten te vragen om de schulden, die ten slotte ‘in hun belang’ zijn gemaakt, geheel of gedeeltelijk over te nemen. Het Amsterdamse kantoor van de curator lijkt impliciet het antwoord te geven, door in alle toonaarden te zwijgen als we hem met vragen benaderen.

Dan maar een onafhankelijke buitenstaander, in de persoon van professor Dick van Engelen van de Universiteit van Utrecht. De vraag aan hem luidt:
Spreekt het vanzelf dat een curator in het faillissement van een SaaS-provider onmiddellijk meewerkt aan SaaS-escrow?
“Nee, in tegendeel, zou ik zeggen. Een curator zal zich moeten afvragen hoe hij de hoogst mogelijke waarde kan genereren voor de schuldeisers. Het ligt dus meer voor de hand om alles ‘on hold’ te zetten en tegen de gebruikers van de Saas-dienst, of de escrowdienstverlener die namens hen optreedt, te zeggen: ‘Je kunt het komen ophalen, tegen betaling.’

Betaling van...? De feitelijk voor de overdracht te maken kosten?
“Nee, hij zal moeten gaan voor het hoogst haalbare bedrag. Een kwestie van loven en bieden, dus.”

Dat heeft de curator in deze zaak – getuige zijn onmiddellijke enthousiasme over de escrow – kennelijk niet gedaan.
“Wellicht speelde daarbij mee dat hij op de hoogte was van de interesse van een koper, die gebaat is bij rust onder de klanten. Wat dan wel laat zien dat de precedentwaarde van een casus als deze beperkt is”.

Lees meer over
Zie ook Management op AG Connect Intelligence
Reactie toevoegen