Molntjänster är affärskritisk infrastruktur
SaaS (Software as a Service) har på kort tid blivit standard för affärskritiska system. CRM, ERP, projektledning, e-handel, HR, bokföring – de flesta företag är idag helt beroende av molntjänster för sin dagliga drift. När en sådan tjänst fallerar – genom driftstopp, prestandaproblem eller ensidiga villkorsändringar – kan konsekvenserna bli förödande.
Den snabba digitaliseringen har skapat en ny kategori av kommersiella tvister. SaaS-leverantören sitter ofta i en överlägsen förhandlingsposition: kunden har investerat tid, data och integrationer i plattformen, och att byta leverantör är både kostsamt och riskfyllt. Denna inlåsningseffekt (vendor lock-in) gör att tvister ofta uppstår när företag känner sig fångade i avtal som inte längre fungerar.
- Driftstopp och prestandaproblem – tjänsten uppfyller inte utlovad tillgänglighet, svarstider är oacceptabla, eller funktioner fungerar inte som specificerat.
- Ensidiga villkorsändringar – leverantören ändrar pris, funktionalitet eller användarvillkor mitt under avtalstiden med hänvisning till en generell ändringsklausul.
- Prisstegringar – kraftiga prisförändringar vid förnyelse, ibland med kort varsel, när kunden redan är inlåst.
- Lock-in och migrationshinder – svårt eller omöjligt att exportera data, proprietära format, eller avsaknad av API:er för datautlämning.
- Datautlämning vid uppsägning – leverantören vägrar lämna ut kundens data, eller kräver orimlig ersättning för dataexport.
- API-ändringar som bryter integrationer – utan förvarning ändras API:er som kundens system bygger på, eller funktionalitet tas bort.
SLA som avtalets kärna
I de allra flesta SaaS-avtal är det Service Level Agreement (SLA) som definierar vad kunden faktiskt köper. SLA:t reglerar – eller borde reglera – tjänstens tillgänglighet, prestanda, supportnivå och vad som händer när leverantören inte levererar. En till synes liten skillnad i uptime-garanti kan innebära stora skillnader i praktiken: 99,5 % tillåter cirka 43 timmars nedtid per år, 99,9 % cirka 8,8 timmar och 99,99 % cirka 52 minuter. Ytterst få SaaS-leverantörer levererar de högsta nivåerna konsekvent.
Mätmetoden är avgörande och ofta där problemen uppstår. Planerat underhåll undantas gärna, mätperioden är så lång att korta avbrott maskeras, partiell nedtid exkluderas, och leverantören mäter själv utan oberoende monitorering. De flesta SaaS-avtal använder dessutom service credits som påföljd vid SLA-brott – typiskt 5–25 % av månadsavgiften. Problemet är att service credits sällan står i rimlig proportion till skadan: ett tvåtimmars avbrott i ett affärskritiskt system kan kosta hundratusentals kronor i intäktsbortfall, medan service credit kanske uppgår till några tusenlappar.
Service credits, skadestånd och force majeure
Service credits är normalt den avtalade påföljden vid SLA-brott, men de utesluter inte nödvändigtvis rätten till skadestånd. Enligt allmänna avtalsrättsliga principer kan en ansvarsbegränsning som är oskälig jämkas enligt 36 § avtalslagen – särskilt om leverantören agerat grovt vårdslöst. Många SLA-avtal innehåller också force majeure-klausuler som befriar leverantören vid extraordinära händelser. Klausulens räckvidd varierar kraftigt: en bredformulerad klausul som inkluderar "tekniska problem" eller "IT-störningar" kan i praktiken urholka hela SLA-garantin, medan en välbalanserad klausul är snäv och specifik.
GDPR och dataskydd
SaaS-tvister får ofta en dataskyddsdimension. Molntjänster hanterar typiskt personuppgifter – kunddata, anställdas uppgifter, affärskommunikation – och GDPR ställer specifika krav på både den personuppgiftsansvarige (kunden) och personuppgiftsbiträdet (leverantören). Enligt GDPR art. 28 måste det finnas ett personuppgiftsbiträdesavtal (PUB/DPA); avsaknaden är i sig en överträdelse. GDPR art. 20 ger registrerade rätt till dataportabilitet i ett strukturerat, maskinläsbart format – leverantören kan inte vägra att lämna ut personuppgifter vid uppsägning oavsett vad avtalet säger. Dataportabiliteten är dock begränsad till personuppgifter; övrig affärsdata styrs av avtalet.
Många SaaS-leverantörer är baserade i USA eller använder amerikanska molninfrastrukturleverantörer. EU-domstolens Schrems II-avgörande och EU–US Data Privacy Framework ställer krav på skyddsåtgärder vid tredjelandsöverföringar, och en tvist kan aktualisera frågan om överföringen är laglig och vem som bär ansvaret. Vid dataintrång ansvarar kunden gentemot Integritetsskyddsmyndigheten och de registrerade men kan ha regresskrav mot leverantören. En leverantörs avtalsbrott kan därmed samtidigt utgöra en GDPR-överträdelse, så att kunden har både ett avtalsbaserat skadeståndskrav och en anmälningsskyldighet.
Det juridiska ramverket
SaaS-avtal befinner sig i en juridisk gråzon. Det finns ingen särskild "SaaS-lag" i svensk rätt, och kategoriseringen av SaaS som vara, tjänst eller licens är fortfarande olöst. I kommersiella förhållanden (B2B) råder avtalsfrihet, så SaaS-avtalet med dess SLA, databehandlingsvillkor och ansvarsklausuler är den primära rättskällan. Men avtalsfriheten har gränser: 36 § avtalslagen om oskäliga avtalsvillkor, allmänna avtalsrättsliga principer om lojalitet och god tro, samt tvingande regler i GDPR och konkurrenslagstiftning.
Eftersom SaaS varken är ett renodlat köp eller en traditionell tjänst uppstår frågan om köplagens (1990:931) regler kan tillämpas analogiskt. För löpande SaaS-abonnemang är köplagens tillämplighet osäker – det är snarare avtalet självt som styr. Vid engångslicenser eller perpetual-licenser ligger analogin närmare till hands. Härutöver påverkar EU-rätten direkt: Data Act (EU 2023/2854) reglerar rätten att byta molntjänst, krav på dataportabilitet och tak för switching-avgifter och träder i kraft successivt, Digital Services Act ställer transparenskrav på digitala plattformar, och GDPR verkar på flera nivåer. Slutligen är de flesta SaaS-villkor standardavtal (click-wrap) – överraskande eller särskilt betungande klausuler kan vara svårare att göra gällande, och en ansvarsbegränsning som i praktiken eliminerar allt ansvar kan jämkas enligt 36 § avtalslagen, särskilt vid grov vårdslöshet eller uppsåt.