Wat is SaaS?

SaaS staat voor software as a service: software die je afneemt als dienst in plaats van koopt als product. Je betaalt per maand of per jaar, je gebruikt het via je browser, en de leverancier draait het op zijn eigen servers.

Vrijwel alles wat je dagelijks gebruikt werkt zo: je mail, je boekhouding, je klantsysteem, je nieuwsbriefpakket, je bestandsopslag. Dit artikel gaat over het model zelf. De betaalkant van zo'n abonnement, dus de incasso en de regels rond opzeggen, staat in het artikel over wederkerende transacties.

Waar het model vandaan komt

Software huren is ouder dan het web. In de jaren negentig bestond het al onder de naam application service provider: een bedrijf draaide een pakket op zijn eigen machines en jij logde er van afstand op in. Dat werkte matig, want je had er speciale software voor nodig en de verbindingen waren te traag.

Wat het model vlot trok was de browser. Salesforce begon in 1999 met een klantsysteem dat je gewoon in je browser opende, met een campagne eromheen waarin het woord software was doorgestreept. Dat idee is blijven hangen: geen installatie, geen versienummer, gewoon inloggen.

Daarna ging het snel. Google zette in 2006 mail en documenten neer als dienst voor bedrijven met een eigen domeinnaam. Microsoft volgde in 2011 met Office 365, dat in 2020 Microsoft 365 ging heten.

Waar SaaS in het rijtje staat

Je kunt online drie lagen huren, en het verschil bepaalt wie waarvoor verantwoordelijk is.

• Infrastructuur als dienst. Je huurt kale rekenkracht en opslag. Wat je erop zet, van besturingssysteem tot software, doe je zelf.
• Platform als dienst. Je huurt een omgeving waarin je eigen programma draait. De leverancier houdt de onderlaag bij, jij levert alleen je code.
• Software als dienst. Je huurt het eindproduct. Je logt in en gebruikt het, en over alles daaronder ga je niet.

Gewone webhosting voor een WordPress-site zit ergens tussen die eerste twee in: je krijgt een omgeving met server en database, en de site die erop draait is van jou.

Dat onderscheid bepaalt wat er gebeurt als je wilt verhuizen. Bij hosting neem je je bestanden en je database mee. Bij SaaS neem je een export mee en verder niets.

Wat je precies koopt

Je koopt een gebruiksrecht voor de duur van je abonnement. Je bent geen eigenaar van de software, je hebt geen kopie in huis, en als je stopt met betalen houdt het gebruik op.

Dat is een groter verschil met vroeger dan het lijkt. Wie in 2005 een boekhoudpakket kocht, kon dat in 2015 nog opstarten. Wie vandaag stopt met betalen, kan zijn boekhouding morgen niet meer openen.

Wat wel van jou is, zijn je gegevens. Dat staat in de voorwaarden van elke serieuze aanbieder en het is ook de norm onder de AVG. Alleen zegt eigendom weinig als je die gegevens er niet in een bruikbare vorm uit krijgt, en daar zit het echte probleem.

Lees daarom in de voorwaarden drie dingen na voordat je begint: wat er met je gegevens gebeurt als je opzegt, hoe lang ze daarna bewaard blijven, en of de leverancier ze mag gebruiken voor iets anders dan het leveren van de dienst. Dat laatste is sinds de opkomst van modellen die op klantgegevens getraind worden geen theoretische vraag meer.

Waarom je geen keuze hebt in versies

Achter vrijwel elke SaaS-dienst draait één programma voor alle klanten tegelijk. Jouw gegevens staan in dezelfde database als die van duizenden anderen, met een kenmerk erbij dat aangeeft welke rijen van jou zijn.

Dat is de reden dat het betaalbaar is. Eén omgeving onderhouden voor tienduizend klanten kost een fractie van tienduizend losse installaties. Het heeft ook gevolgen die je pas merkt als er iets verandert: een nieuwe versie komt er voor iedereen tegelijk in, een functie die verdwijnt verdwijnt ook bij jou, en een storing raakt alle klanten op hetzelfde moment.

Voor een klein bedrijf is dat meestal prima. Niemand hoeft updates te plannen en beveiligingslekken worden gedicht zonder dat je erover nadenkt. Vervelend wordt het als je werkwijze om een functie heen is gebouwd die de leverancier weghaalt. Dat gebeurt, en je krijgt er zelden meer dan een aankondiging over.

Wat het je oplevert

De voordelen zijn reëel en ze zijn de reden dat het model heeft gewonnen.

Je hebt geen server, geen installatie en geen beheer. Geen updates die je moet plannen, geen back-ups die jij moet inregelen, geen avond kwijt aan een pakket dat na een update niet meer opstart. Je begint bovendien met een maandbedrag in plaats van een investering, wat het makkelijk maakt iets te proberen en weer te stoppen.

Je werkt overal, op elk apparaat, zonder dat je iets hoeft mee te nemen. Voor wie met meerdere mensen aan dezelfde gegevens werkt is dat het zwaarste voordeel. En het groeit mee: een gebruiker erbij of meer opslag is een schuifje en geen project.

Waar je gegevens staan en wat de AVG daarvan vindt

Zodra er persoonsgegevens in een dienst staan, en dat is bijna altijd, ben jij onder de AVG de verantwoordelijke en is je leverancier de verwerker. Die verhouding moet je vastleggen.

Dat gebeurt in een verwerkersovereenkomst, geregeld in artikel 28 van de AVG. Daarin staat wat de leverancier met de gegevens mag doen, welke beveiliging hij toepast, welke onderaannemers hij inschakelt en wat er gebeurt als er iets misgaat. Serieuze aanbieders hebben er een klaarliggen. Kun je hem nergens vinden, dan is dat op zichzelf al informatie.

Je moet daarnaast bijhouden welke gegevens je waar verwerkt. Dat is het verwerkingsregister uit artikel 30, en voor een klein bedrijf is dat een overzicht in een spreadsheet.

Gaat het mis, dan heb je bij een datalek tweeënzeventig uur om het bij de Autoriteit Persoonsgegevens te melden, gerekend vanaf het moment dat je ervan wist. Je leverancier moet jou zonder onnodige vertraging inlichten, en dat is precies de afspraak die in die verwerkersovereenkomst hoort te staan.

Gegevens buiten Europa

Veel diensten die je gebruikt zijn Amerikaans, en dan wordt de vraag waar je gegevens fysiek staan een juridische vraag.

De korte geschiedenis: in juli 2020 verklaarde het Europese Hof van Justitie de toenmalige afspraak met de Verenigde Staten ongeldig, in de zaak die bekendstaat als Schrems II. Doorgifte kon daarna via standaardclausules van de Europese Commissie, mits je zelf beoordeelde of de bescherming daar voldoende was. In juli 2023 kwam er een nieuw adequaatheidsbesluit voor het EU-US Data Privacy Framework, waarmee doorgifte naar Amerikaanse bedrijven die daaraan meedoen weer eenvoudiger is.

Wat blijft staan is de Amerikaanse CLOUD Act uit 2018, waarmee Amerikaanse autoriteiten gegevens kunnen opvragen bij Amerikaanse bedrijven, ook als die op een server in Europa staan. Voor de meeste kleine bedrijven is dat geen praktisch risico. Voor wie met medische gegevens of advocatendossiers werkt wel.

Kies dus een Europese regio bij het aanmaken van je omgeving als dat kan. Achteraf verhuizen lukt bij veel diensten niet.

Beschikbaarheid en wat je doet bij storing

Als een SaaS-dienst plat ligt, kun je niets. Je kunt niet herstarten, niet terugzetten en niet bellen met iemand die het voor jou oplost. Je kunt alleen wachten en je klanten inlichten.

Kijk daarom of er iets is toegezegd over beschikbaarheid, en lees wat de vergoeding is als die niet wordt gehaald. In de praktijk is dat meestal een korting op je abonnement, en die weegt zelden op tegen een dag niet kunnen werken. Dat is geen reden om het niet te doen, wel een reden om te weten waar je aan toe bent.

Zoek de statuspagina van je leverancier op en bewaar dat adres buiten de dienst zelf. En bedenk voor de dienst waar je bedrijf echt op draait van tevoren wat je die dag doet. Voor een webshop kan dat betekenen dat je telefonisch bestellingen aanneemt. Dat klinkt ouderwets tot de dag dat het nodig is.

Back-ups: wat je leverancier wel en niet doet

Dit is het misverstand dat de meeste schade oplevert. Je leverancier maakt back-ups, maar die zijn er om zijn eigen systeem te herstellen na een storing. Ze zijn er niet om jouw fout terug te draaien.

Verwijder je per ongeluk driehonderd klantregels, of ruimt een vertrekkende medewerker zijn map op, dan is het antwoord bij veel aanbieders dat je zelf uit de prullenbak moet halen wat er nog in zit. Daarna is het echt weg, en die termijn is vaak korter dan mensen denken.

Bij de grote kantoorpakketten heet dit gedeelde verantwoordelijkheid: de leverancier zorgt voor het platform, jij voor je gegevens. Dat staat in de voorwaarden en niemand leest het op tijd.

Regel daarom je eigen kopie voor de diensten waar je bedrijf van afhangt. Voor mail en bestanden bestaan aparte back-updiensten; voor kleinere pakketten is een geplande export al genoeg.

Toegang: wie heeft de sleutels

Een SaaS-dienst is zo veilig als het zwakste account dat erop kan. De leverancier regelt de beveiliging van zijn kant; de accounts zijn van jou.

Zet tweestapsverificatie aan voor iedereen, niet alleen voor jezelf. Een gestolen wachtwoord van een medewerker geeft dezelfde toegang als het jouwe. Ruim daarnaast accounts op van mensen die weg zijn: dat scheelt geld, want je betaalt per gebruiker, en het sluit een deur die openstond.

Zorg vooral dat het hoofdaccount op een adres van het bedrijf staat en niet op het privéadres van iemand die er ooit werkte. Ik kom dit veel tegen: een dienst op naam van een oud-medewerker of van een bureau dat twee jaar geleden vertrok, en niemand kan er meer bij.

Let bij het vergelijken ook op dit: bij veel aanbieders zit het koppelen aan je eigen inlogsysteem pas in het duurste pakket. Heb je dat nodig, reken het dan meteen mee.

De kosten die niet in de prijs staan

De maandprijs is zelden het hele verhaal, en op een paar plekken loopt het altijd op.

Prijzen staan meestal per gebruiker per maand en zonder btw, met een korting als je een jaar vooruit betaalt. Reken het uit voor een heel jaar met het aantal mensen dat je echt hebt, en kijk daarna pas of de functies die je nodig hebt in dat pakket zitten. Vaak zit er precies één ding dat je wilt in de laag erboven.

Koppelingen kosten geld. Een aantal aanbieders zet de API waarmee je systemen aan elkaar knoopt achter een duurder pakket. Prijsverhogingen komen er ook, want bij een dienst waar je bedrijf op draait is overstappen duur en dat weten leveranciers.

De grootste post is meestal iets anders: abonnementen die niemand meer gebruikt. Tel eens op wat er maandelijks van je rekening gaat aan software. Bij vrijwel elk bedrijf staat daar iets tussen dat al een jaar niet is geopend, en dat is de eerste besparing die geen pijn doet. Ook een gratis versie die stilzwijgend in een betaalde overging hoort in dat rijtje.

Vendor lock-in: hoe je vast komt te zitten

Vastzitten aan een leverancier gebeurt zelden in één stap. Het gebeurt in vier lagen die er ongemerkt bij komen.

Eerst je gegevens: hoe meer geschiedenis erin staat, hoe zwaarder het weegt om te vertrekken. Daarna je werkwijze, want je processen voegen zich naar de mogelijkheden van het pakket, en na twee jaar is het pakket je werkwijze geworden.

Vervolgens je koppelingen. Zodra je boekhouding, je webshop en je mailpakket met elkaar praten, verhuis je niet één dienst maar een web. En tot slot de kennis in je team, een investering die je bij overstappen opnieuw moet doen.

Daar is sinds kort ook Europese regelgeving voor. De Europese datawet is sinds september 2025 van toepassing en verplicht aanbieders van clouddiensten om overstappen niet in de weg te zitten. Onderdeel daarvan is dat de kosten die een aanbieder voor het overstappen mag rekenen worden afgebouwd. Wat dat in de praktijk oplevert voor een bedrijf met vijf man moet zich nog bewijzen, maar de richting is duidelijk.

Je exitplan, en waarom je dat nu maakt

Dit is het onderdeel dat je bij het aanmelden nooit bekijkt en dat je later opbreekt.

Vraag voordat je begint hoe je je gegevens eruit krijgt. Een export in CSV of JSON is bruikbaar. Een export als pdf is een plaatje van je gegevens en daar kun je niets mee. Dat verschil klinkt klein en bepaalt of overstappen een dag werk is of een project van maanden.

Kijk ook hoe lang je gegevens beschikbaar blijven na opzegging. Bij sommige aanbieders is dat een maand, en daarna is het weg.

Mijn advies is simpel: maak één keer per jaar een export van de gegevens die je echt nodig hebt en bewaar die op je eigen schijf. Klanten, facturen, contactgegevens, geschiedenis. Dat kost een uur en het is je vangnet als een leverancier stopt, overgenomen wordt of onbetaalbaar wordt.

Houd daarnaast een paar dingen bewust in eigen hand. Je domeinnaam en de DNS-instellingen die erbij horen horen op naam van je bedrijf te staan, niet op die van je bureau of je provider. Dat is de sleutel waarmee je je mail en je website ergens anders naartoe kunt verhuizen, en zonder die sleutel sta je stil.

Wanneer SaaS geen goede keus is

In een paar gevallen zou ik het niet doen, en die worden zelden genoemd.

Bij gegevens waarvan je zelf de controle wilt houden, om juridische redenen of omdat een klant het eist. Dan is een pakket dat je zelf op je eigen server draait het antwoord, ook al kost dat beheer.

Bij werk dat zonder internet door moet kunnen gaan. Dat lijkt een detail tot de verbinding wegvalt op de dag dat je moet factureren. En bij een dienst die je jarenlang precies hetzelfde blijft gebruiken, want dan kan eenmalig kopen goedkoper uitpakken.

En als er een goed open source alternatief is dat je zelf kunt draaien. Dat is geen gratis oplossing, want je ruilt een maandbedrag in voor onderhoud en aandacht, maar je houdt wel de sleutels in handen. Het bekendste voorbeeld van dat verschil is WordPress.com tegenover WordPress.org: dezelfde software, de ene keer als dienst en de andere keer als iets dat je zelf installeert.

Wat een klein bedrijf hier praktisch mee doet

Zet één keer per jaar een uur in je agenda en loop je abonnementen door. Wat gebruik je nog, wat kan eruit, waar betaal je voor gebruikers die er niet meer zijn. Noteer bij elke dienst wat erin staat, waar de gegevens staan, wie de eigenaar van het hoofdaccount is en hoe je eruit komt. Dat is meteen het begin van je verwerkingsregister.

En houd de onderdelen die van jou zijn ook echt van jou: je domeinnaam, je e-mail en je website. Dat zijn de plekken waar klanten je vinden, en dat is precies het stuk dat je niet wilt huren van een partij die morgen zijn voorwaarden verandert.

Veelgestelde vragen over SaaS

Wat betekent SaaS?

SaaS staat voor software as a service, in het Nederlands software als dienst. Je huurt de software per maand of per jaar en gebruikt hem via je browser, terwijl de leverancier hem op zijn eigen servers draait en onderhoudt.

Je installeert niets en je bezit niets. Stopt je abonnement, dan stopt je toegang.

Wat is het verschil tussen SaaS, PaaS en IaaS?

Het verschil zit in hoeveel je zelf doet. Bij infrastructuur als dienst huur je kale servers en regel je alles wat erop draait zelf. Bij platform als dienst krijg je een omgeving waarin je je eigen programma neerzet. Bij software als dienst krijg je het kant-en-klare product en ga je nergens anders over.

Voor een gewoon bedrijf is alleen die laatste laag interessant; de andere twee zijn er voor wie zelf software bouwt.

Wat zijn voorbeelden van SaaS?

Je zakelijke mail en agenda, je boekhoudpakket, je klantsysteem, je nieuwsbriefpakket, je bestandsopslag en je online kassa. Vrijwel elk pakket waar je op inlogt in plaats van het te installeren, is SaaS.

Van wie zijn mijn gegevens bij een SaaS-dienst?

Van jou. Dat staat in de voorwaarden van vrijwel elke serieuze aanbieder en het volgt ook uit de AVG, waarin jij de verantwoordelijke bent en de leverancier de verwerker.

Eigendom is alleen niet hetzelfde als toegang. Als je ze er niet in een bruikbaar formaat uit kunt halen, heb je aan dat eigendom weinig. Controleer daarom vooraf welke exportmogelijkheden er zijn.

Heb ik een verwerkersovereenkomst nodig?

Ja, zodra er persoonsgegevens in de dienst staan, en dat is bijna altijd het geval. Artikel 28 van de AVG verplicht je die afspraak vast te leggen met elke partij die namens jou gegevens verwerkt.

Bij de meeste aanbieders staat er een standaardversie klaar die je in je account kunt accepteren of downloaden. Is die er niet en wil de leverancier er ook niet aan, dan is dat een reden om verder te kijken.

Mag mijn leverancier mijn gegevens buiten de EU opslaan?

Dat mag onder voorwaarden. Voor de Verenigde Staten is er sinds juli 2023 een adequaatheidsbesluit voor het EU-US Data Privacy Framework, waardoor doorgifte naar deelnemende Amerikaanse bedrijven weer eenvoudiger is. Daarvoor werkte men met standaardcontractbepalingen, na de uitspraak van het Europese Hof in juli 2020.

Kun je kiezen, kies dan een Europese regio bij het aanmaken van je omgeving. Achteraf verhuizen kan bij veel diensten niet.

Maakt mijn SaaS-leverancier back-ups van mijn gegevens?

Ja, maar niet voor jouw doel. Die back-ups bestaan om het systeem van de leverancier te herstellen na een storing, niet om terug te draaien wat jij per ongeluk hebt verwijderd.

Verwijderde items staan meestal een beperkte tijd in een prullenbak en zijn daarna echt weg. Regel voor de diensten waar je bedrijf van afhangt je eigen kopie, met een aparte back-updienst of met een geplande export.

Wat is vendor lock-in?

Vendor lock-in is de situatie waarin overstappen naar een andere leverancier zo duur of zo ingewikkeld is geworden dat je feitelijk vastzit. Het ontstaat door je gegevens, je werkwijze, je koppelingen en de kennis in je team, meestal alle vier tegelijk.

Je merkt het pas als je wilt vertrekken. Daarom is het verstandig om de vraag hoe je eruit komt te stellen op het moment dat je erin gaat.

Wat gebeurt er met mijn gegevens als ik opzeg?

Bij de meeste aanbieders blijven ze nog een beperkte periode staan, waarna ze worden verwijderd. Die termijn verschilt sterk en staat in de voorwaarden, dus zoek hem op voordat je opzegt.

Maak je export voordat je opzegging ingaat, niet erna. Bij een aantal diensten verlies je met het aflopen van je abonnement ook de mogelijkheid om nog iets te downloaden.

Is SaaS goedkoper dan software kopen?

Op de korte termijn bijna altijd, op de lange termijn vaak niet. Je begint zonder investering, en na een aantal jaren heb je meer betaald dan een eenmalige aanschaf zou hebben gekost.

Daar staat tegenover dat je geen server, geen beheer en geen upgrades betaalt. Voor de meeste kleine bedrijven valt die som in het voordeel van SaaS uit.

Wat gebeurt er als mijn leverancier failliet gaat of wordt overgenomen?

Bij een overname verandert er meestal eerst niets en daarna wel: andere voorwaarden, andere prijzen, soms een product dat verdwijnt. Bij een faillissement kan de dienst op korte termijn stoppen en is je toegang weg.

Dat is precies waarom een jaarlijkse export naar je eigen schijf de moeite waard is.

Werkt SaaS zonder internet?

Meestal niet, of maar beperkt. Sommige pakketten hebben een stand waarin je doorwerkt en die later bijwerkt, maar dat is de uitzondering.

Heb je werk dat door moet kunnen gaan bij een storing, houd daar dan rekening mee. Denk aan het uitdraaien van je planning voor de volgende dag.

Is WordPress SaaS?

Dat hangt af van welke je bedoelt. De gehoste dienst op WordPress.com is SaaS: je logt in, je betaalt per maand en je gaat niet over de server. De software van WordPress.org installeer je zelf op je eigen hosting, en dan is het geen SaaS maar software die je in eigen beheer draait.

Het verschil zit vooral in wat je mag en wat je zelf moet. De uitwerking staat in het artikel over het verschil tussen WordPress.com en WordPress.org.

Hoe zeg ik een zakelijk SaaS-abonnement op?

Kijk eerst in je voorwaarden naar de looptijd en de opzegtermijn, want de bescherming die consumenten hebben geldt hier niet. Bij overeenkomsten tussen bedrijven is een jaartermijn met stilzwijgende verlenging gewoon toegestaan.

Houd daarom één overzicht bij van je abonnementen, met per regel de einddatum en de opzegtermijn, en zet een herinnering een maand voor die datum. Hoe die opzegregels precies liggen staat in het artikel over wederkerende transacties.