Een installatiebedrijf plaatst een warmtepomp op het dak van een familiehotel en verwijst in de offerte naar "onze algemene voorwaarden, te vinden op onze website". Als de installatie in de winter uitvalt en het hotel € 38.000 schadevergoeding vraagt, beroept de installateur zich op zijn aansprakelijkheidsbeperking. Het hotel antwoordt dat het beding vernietigbaar is, omdat de voorwaarden nooit zijn overhandigd. Het voorbeeld is fictief, maar het probleem komt in het mkb veel voor.
Wat de wet vraagt bij het verstrekken van algemene voorwaarden
Artikel 6:233 onder b BW maakt een beding vernietigbaar als de klant geen redelijke mogelijkheid had om van de voorwaarden kennis te nemen. Artikel 6:234 BW werkt dat uit: de hoofdregel is dat u de voorwaarden vóór of bij het sluiten van de overeenkomst ter hand stelt. Bij een overeenkomst die elektronisch tot stand komt, mag u ze ook elektronisch beschikbaar stellen, mits de klant ze kan opslaan en later kan raadplegen. De Hoge Raad oordeelde in Geurtzen/Kampstaal (1 oktober 1999) dat terhandstelling de norm is, en in First Data/Attingo (11 februari 2011) dat de mogelijkheid om de voorwaarden zelf op internet te zoeken niet genoeg is. De gebruiker moet het initiatief nemen. Voor dienstverrichters, zoals een installateur, kan volgens de Hoge Raad (2 juni 2023) ook een verwijzing naar een meegedeeld webadres volstaan, als de voorwaarden daar zonder noemenswaardige inspanning te vinden zijn. Een vage verwijzing naar "onze website" blijft dan kwetsbaar.
Welke zakelijke klanten zich niet op vernietiging kunnen beroepen
Artikel 6:235 BW beperkt de bescherming tot kleinere wederpartijen. Een bv of nv die haar laatste jaarrekening openbaar heeft gemaakt (of de groepsvrijstelling van artikel 2:403 toepaste), en een onderneming met vijftig of meer medewerkers, kunnen zich niet op deze vernietigingsgronden beroepen. Het familiehotel uit het voorbeeld is een vof met achttien medewerkers en kan dat wel. Kijk daarom bij elke nieuwe klant in het Handelsregister welke rechtsvorm hij heeft.
Waarom het probleem pas jaren later opduikt
De verjaringstermijn voor een vordering tot vernietiging gaat volgens artikel 6:235 lid 4 BW pas lopen op de dag nadat u zich op het beding hebt beroepen, en in een procedure kan de klant de vernietigingsgrond bovendien altijd als verweer gebruiken. Een fout bij het verstrekken van de voorwaarden in een offerte kan daardoor jaren later uw belangrijkste verweer kosten, juist bij een flinke aansprakelijkheidsbeperking. In het volledige artikel leest u hoe de rechtspraak de uitzonderingen afbakent en welke vijf controles u in uw offerte, orderbevestiging en webshop kunt inbouwen.
Read moreOp 9 september 2026 is wetsvoorstel 36906 aangemeld voor plenaire behandeling in de Tweede Kamer. Dat voorstel zet Richtlijn (EU) 2024/2853 om in het Burgerlijk Wetboek, en de Europese omzettingstermijn loopt af op 9 december 2026. Vanaf die datum geldt voor alles wat daarna in de handel wordt gebracht een nieuw regime, waarin software volgens artikel 4 uitdrukkelijk een product is. Voor softwarebedrijven, machinebouwers met firmware, importeurs en integratiepartijen is dat geen detail: het is een risicoaansprakelijkheid die buiten het contract om loopt.
Waarom de exoneratie in uw voorwaarden hier niets doet
Artikel 15 van de richtlijn verbiedt beperking of uitsluiting van de aansprakelijkheid jegens de benadeelde. Geen aansprakelijkheidsplafond, geen uitsluiting van gevolgschade, geen beperking tot twaalf maanden contractwaarde. Die bedingen blijven werken tussen contractspartijen en raken de vordering van de benadeelde niet. Wat vanaf december het werk moet doen, is de vrijwaring voor aanspraken van derden: de afspraak die bepaalt wie in de keten uiteindelijk betaalt. In veel Nederlandse leveringsvoorwaarden staat een uitvoerige exoneratie en geen woord over vrijwaring. De schade die onder de richtlijn valt is wel begrensd — letsel, zaakschade en dataverlies in de privésfeer, niet de bedrijfsschade van uw zakelijke klant.
Bewijs, updates en de vraag wanneer u zelf fabrikant wordt
Artikel 9 geeft de rechter de bevoegdheid om afgifte van relevant bewijsmateriaal te bevelen; artikel 10 laat het gebrek vermoeden als die stukken uitblijven. Uw release-administratie, testrapporten en incidentenregister worden daarmee procesdocumenten. Artikel 7 lid 2 rekent het vermogen van een product om na levering te blijven leren mee bij de beoordeling van gebrekkigheid, en artikel 11 lid 2 sluit vrijstelling uit wanneer het gebrek te wijten is aan software, aan updates of aan het ontbreken van beveiligingsupdates. Wie bovendien de software van een ander ingrijpend wijzigt en onder eigen naam levert, geldt op grond van artikel 8 lid 2 zelf als fabrikant voor die wijziging.
Zes vragen vóór 9 december
Het artikel eindigt met zes concrete vragen over uw inkoop- en leveringsvoorwaarden: welke producten software bevatten, wie per onderdeel fabrikant is, of er een vrijwaring tegenover de exoneratie staat, tot wanneer u beveiligingsupdates levert in verhouding tot de vervaltermijn van tien jaar in artikel 17, welke documenten u zou moeten afgeven, en of u per levering kunt aantonen wanneer het product in de handel kwam. Die laatste vraag beslist welk van de twee regimes geldt.
Read moreVijf jaar stil, in dagen leeggehaald
Eind juli 2026 waarschuwde hardwarefabrikant Coinkite voor een zwakte in zijn Coldcard-apparaten. In diezelfde dagen werden getroffen wallets leeggehaald: één veegactie van ongeveer 41 minuten kostte gebruikers circa 70 miljoen dollar, en begin augustus stond de teller volgens Galaxy Research op ongeveer 1.755 bitcoin uit zo'n 5.000 wallets, terwijl het incident nog liep. Het onderliggende gebrek zat sinds maart 2021 in de firmware: een bouwfout zorgde ervoor dat ongemerkt een zwakke reserveversie van de sleutelgenerator werd meegeleverd. Vijf jaar lang werkte alles ogenschijnlijk normaal. Voor ondernemers die software of apparatuur inkopen raakt dit incident direct aan de eigen inkooppraktijk. Een beveiligingsgebrek in geleverde software kan naar Nederlands recht een tekortkoming opleveren, en de vraag wie de schade draagt wordt in belangrijke mate beslist door het contract dat u jaren eerder tekende.
De patch is het begin, het contract bepaalt de rest
De firmware-update van de fabrikant repareert de generator, maar een sleutel die onder de fout is aangemaakt blijft zwak, zelfs na overzetting naar een ander apparaat; alleen extra eigen invoer bij het aanmaken of een sterke passphrase beperkte volgens de fabrikant het risico, en die laatste herstelt de sleutel zelf niet. Herstel omvat hier dus heruitgifte, migratie, onderzoek en notificatie, en juist die kostbare nasleep valt in veel leverancierscontracten buiten de herstelverplichting. Wie de risicoverdeling wil begrijpen, kijkt naar de definitie van herstel, naar meldtermijnen en naar de exoneratieclausule in de algemene voorwaarden, die gevolgschade vrijwel altijd uitsluit en tussen ondernemingen vaak standhoudt, afhankelijk van onder meer totstandkoming, uitleg en de beperkende werking van redelijkheid en billijkheid. Precies daar valt aan de voorkant het meest te winnen.
AI maakt het venster kleiner
De waarschuwing en de veegacties vielen in dezelfde dagen, en de fabrikant vermoedt, zonder bewijs vooralsnog, dat de aanvaller AI gebruikte om het lek te vinden. Opmerkelijker is dat zijn eigen AI-controle van dezelfde code weken eerder niets vond. Eén AI-scan zegt dus weinig, als aanvalswapen noch als zorgvuldigheidsverweer. IBM telde in 2026 dat een op de vier kwaadaardige inbreuken AI-ondersteund was, ruim de helft meer dan een jaar eerder. De bijdrage vertaalt dit incident naar de Nederlandse inkooppraktijk en geeft vijf concrete contractvragen over meldplichten, hersteltermijnen, aansprakelijkheid en bewijs, zodat u weet wie de rekening krijgt wanneer een oud gebrek plots actueel wordt.
Read more
