SaaS pakketten zullen vaak verwerker (zo niet sub-verwerker) zijn indien deze software niet (direct) gebruikt wordt door de betrokkenen zelf.

Een voorbeeld: Bedrijf X maakt boekhoudsoftware en dit levert aan accountantskantoren, zal (sub)verwerker zijn. De accountantskantoren zullen, indien zij bijvoorbeeld de belastingaangifte of boekhouding van betrokkenen doen, verantwoordelijke zijn. De accountantskantoren bepalen immers het doel (doen van aangifte en/of boekdhouding) en de middelen (bijv. de software) van de verwerking.

De keten tussen de betrokkene en alle partijen die gegevens in handen krijgen kan soms lang zijn, waardoor er sprake kan zijn van sub-verwerking. Denk bijvoorbeeld aan een hostingpartij die de software van bedrijf X host.

Indien bedrijf X software had gemaakt die door betrokkenen zelf gebruikt wordt, en voor het hosten van de software Hoster A gebruikt, dan zal bedrijf X verantwoordelijke zijn en Hoster A verwerker. Wie al dan niet verwerkersverantwoordelijke en/of verweker is zal dus per situatie verschillen.

Zoals ik het lees, maakt een bedrijf software en levert deze met licentie aan een gebruiker.

Wanneer de software lokaal (bij de gebruiker) geïnstalleerd wordt en de gebruiker de inhoud en de opslag van de data bepaald, zal deze volledig verantwoordelijk zijn. Anders zouden ook de leveranciers van de hardware en het OS verantwoordelijk kunnen zijn. Maar alleen de gebruiker kan zorgen voor de procedurele en technische beveiliging van de data. Wel rust op de maker van de software de verplichting om voor veiligheidsproblemen in zijn software binnen een acceptabele tijd een deugdelijke oplossing te bieden. Daarbij blijft de gebruiker verantwoordelijk voor het tijdig installeren daarvan.

Voor cloudbased software geldt een andere situatie, daar is de beheerder van de cloud medeverantwoordelijk, want alleen hij kan bepaalde maatregelen treffen.

Vroeger of later zullen softwaremakers aansprakelijk worden gesteld voor lekken in hun software, zeker bij nalatigheid of grove fouten zoals "vergeten" achterdeurtjes en telemetriedata die (bewust of onbedoeld) privacygevoelige informatie van de klanten van de klant lekt.

Zodra gebruikers van dergelijke software worden beboet i.v.m. een datalek, kun je erop wachten dat zij naar de rechter stappen en beargumenteren dat zij redelijkerwijs niet konden weten dat de door hen gebruikte software (gekocht of geleased) hun klantgegevens zou lekken.

Waarom zou een hoteleigenaar wel aansprakelijk zijn voor brandveiligheid en autoverhuurders voor de correcte werking van de remmen, terwijl softwaremakers zich achter niet-aansprakelijk-clausules denken te kunnen blijven verschuilen?

Laat het Zwarte-Pieten maar beginnen, jurisprudentie volgt vanzelf. Als softwaremaker zul je je moeten verzekeren en beter je best moeten doen. Software zal duurder worden, maar de kwaliteit zal omhoog gaan.

Een hoteleigenaar is nu niet aansprakelijk voor datalekken en autoverhuurder nog autofabrikant met de privacy gevoelige gegevens. Je begint met de verantwoording daar te leggen zodat zij de pijn gaan voelen.

Deze hebben de keus hoe ze hun schade kunnen minimaliseren. Verhalen op hun leverancier of zoiets met de leverancier als gemeenschappelijk risico afdekken. Degenen di de extra kosten betalen zijn altijd de consumenten zoiets hoort bij kwaliteitsverbetering.