Ansvarsbegrensning i SaaS-avtaler: hva holder etter norsk rett?

Nesten alle SaaS-avtaler begrenser leverandørens ansvar. Typisk er ansvaret begrenset til det kunden har betalt de siste tolv månedene, indirekte tap er unntatt, og tap av data er fraskrevet. Spørsmålet for kunden er hva som faktisk holder hvis tjenesten svikter. Svaret er at det meste holder mellom næringsdrivende, men ikke alt.

Hva er en ansvarsbegrensning i en SaaS-avtale?

En ansvarsbegrensning er et avtalevilkår som setter grenser for hvor mye erstatning den ene parten kan kreve av den andre ved kontraktsbrudd. I SaaS-avtaler skjer det på tre måter, ofte samtidig.

• Ansvarstak. Samlet erstatning er begrenset til et beløp, ofte vederlaget for tolv måneder.
• Unntak for indirekte tap. Tapt fortjeneste, driftsavbrudd og tredjepartskrav dekkes ikke.
• Særskilte fraskrivelser. Leverandøren fraskriver seg ansvar for tap av data, feil hos underleverandører eller nedetid utover det tjenestenivåavtalen kompenserer.

For kunden betyr det at den reelle risikoen ved driftsstans eller datatap ofte ligger igjen hos kunden selv. Leverandøren priser tjenesten ut fra at ansvaret er begrenset, og kunden må derfor vurdere om resten av risikoen skal dekkes av egne tiltak, forsikring eller en bedre avtale.

Er ansvarsbegrensning i SaaS-avtaler gyldig etter norsk rett?

Ja, som hovedregel. Mellom næringsdrivende gjelder avtalefrihet, og en ansvarsbegrensning i SaaS-avtaler er et lovlig og vanlig virkemiddel for å fordele risiko. Norske domstoler respekterer i utgangspunktet den risikofordelingen profesjonelle parter har avtalt.

Det finnes ingen lov som regulerer ansvar i SaaS-avtaler særskilt. Kjøpsloven gjelder kjøp av ting, ikke løpende tjenester. Loven brukes likevel ofte som tolkningsmoment og uttrykk for alminnelige kontraktsrettslige prinsipper når avtalen er taus eller uklar.

Ansvarsbegrensningen kan likevel falle bort eller bli innskrenket på fire grunnlag, som gjennomgås under. I kontrakter som er skrevet etter et annet lands rett, for eksempel amerikanske standardvilkår, avhenger svaret først av hvilken rett som gjelder. Les mer om lovvalg og verneting i internasjonale avtaler.

Når holder ikke ansvarsbegrensningen?

Ved forsett og grov uaktsomhet

Utgangspunktet i norsk kontraktsrett er at en ansvarsbegrensning ikke beskytter en part som har voldt tapet med forsett eller grov uaktsomhet. Regelen er ulovfestet, og den bygger på at det vil være støtende å la en part begrense ansvaret for egen grov svikt.

Grov uaktsomhet er i rettspraksis beskrevet som et markert avvik fra vanlig forsvarlig handlemåte, der parten er vesentlig mer å klandre enn ved alminnelig uaktsomhet (Rt. 1989 s. 1318). Terskelen er høy. Et brudd på tjenestenivåavtalen eller en vanlig driftsfeil er ikke grovt uaktsomt.

Regelen er heller ikke absolutt. I Rt. 1994 s. 626 (Kaiinspektør) opprettholdt Høyesterett en beløpsbegrensning selv om skaden var voldt grovt uaktsomt av en ansatt som ikke tilhørte ledelsen. Retten la vekt på at vilkårene var fremforhandlet mellom bransjeorganisasjoner, på forsikringsmulighetene og på behovet for forutsigbarhet. Hvor langt unntaket rekker for grov uaktsomhet hos ansatte og underleverandører, avhenger derfor av en konkret vurdering.

Gulating lagmannsrett kom 30. juni 2026 til at en driftsleverandør ikke var grovt uaktsom, selv om backup-serveren lå i samme nett som produksjonsdataene som gikk tapt i et løsepengeangrep. Retten la vekt på at kunden hadde kjøpt en standardtjeneste til lav pris, og målte sikkerhetsnivået mot bransjepraksis for tilsvarende leverandører på angrepstidspunktet i 2021. Manglende skriftlige rutiner og manglende krav om flerfaktorautentisering var heller ikke nok. Ansvaret ble begrenset til tre månedsleier, 8 280 kroner. Dommen viser at terskelen er høy også når svikten gjelder kjerneytelsen. Les mer i artikkelen om Nordlo-dommen.

Mange SaaS-avtaler regulerer spørsmålet selv. Det gjør også statens standardavtale SSA-L, der erstatningsbegrensningen uttrykkelig ikke gjelder ved grov uaktsomhet eller forsett hos leverandøren «eller noen denne svarer for» (punkt 9.2.7).

Når vilkåret ikke er vedtatt

Et uvanlig og byrdefullt vilkår må være gjort tydelig for motparten for å bli en del av avtalen. I Rt. 2004 s. 675 (Agurkpinne) kom Høyesterett til at en begrensning av ansvaret til fakturaverdien ikke var vedtatt. Vilkåret var ikke gitt en fremtredende plass og var ikke tatt opp i forhandlingene, og det innebar en betydelig risikooverføring til kjøperen.

For SaaS-kunden betyr dette at vilkår som ligger gjemt i lenkede nettvilkår og som avviker sterkt fra det vanlige, er mer sårbare enn vilkår i en fremforhandlet hovedavtale. Det er likevel ingen sikker strategi å basere seg på. Standard ansvarstak i SaaS-avtaler er så utbredt at de normalt anses som påregnelige.

Vilkårene kan også bli bindende uten at kunden har signert eller lest dem. I HR-2026-780-A la Høyesterett til grunn at det avgjørende er om parten hadde rimelig grunn til å forvente at medkontrahenten hadde akseptert vilkårene, og at forsøk på å skjule tyngende vilkår taler mot vedtakelse. I Nordlo-dommen var kunden bundet av leverandørens standardvilkår selv om det aldri ble inngått noen skriftlig avtale. Kunden hadde bestilt samme standardtjeneste som et selskap den eide allerede brukte på disse vilkårene, og fulgte ikke opp leverandørens møteinnkallinger. Lagmannsretten la også vekt på at tilsvarende ansvarsbegrensninger er vanlige i bransjen.

Ved innskrenkende tolkning

Ansvarsbegrensninger tolkes ofte strengt mot den som har formulert dem. Er det uklart om en fraskrivelse omfatter et bestemt tap, vil tvilen normalt gå ut over leverandøren som har skrevet vilkårene. Presise definisjoner er derfor i begge parters interesse.

Etter avtaleloven § 36

avtaleloven § 36 gir domstolene adgang til å sette til side eller endre et avtalevilkår som vil virke urimelig eller være i strid med god forretningsskikk å gjøre gjeldende. Bestemmelsen gjelder også mellom næringsdrivende, men terskelen er høy når partene er profesjonelle og har hatt mulighet til å vurdere risikoen. I Kaiinspektør-saken førte verken alminnelige prinsipper eller § 36 til at begrensningen ble satt til side.

§ 36 er mest aktuell der styrkeforholdet er skjevt, for eksempel når en liten virksomhet har akseptert en global leverandørs standardvilkår uten reell forhandlingsmulighet, og der begrensningen gjør leverandørens ytelsesplikt nærmest innholdsløs.

Ansvarstaket er ikke en formalitet. Det avgjør hvem som betaler når tjenesten svikter.

Hva er indirekte tap?

Indirekte tap er en rettslig kategori av følgetap som ofte holdes utenfor erstatningen. kjøpsloven § 67 annet ledd definerer indirekte tap som tap ved driftsavbrudd, avsavn, tapt fortjeneste fordi en kontrakt med tredjemann faller bort, og tap som følge av skade på annet enn salgstingen selv. Høyesterett har i Agurkpinne-saken lagt til grunn at opplistingen er uttømmende.

I SaaS-avtaler er definisjonen av indirekte tap ofte langt videre enn i kjøpsloven. Leverandørens vilkår kan omfatte alt av tapt omsetning, tapte besparelser, tap av data og omdømmetap. Jo videre definisjonen er, jo mindre blir det direkte tapet kunden kan kreve dekket. SSA-L punkt 9.2.6 nøyer seg med tapt fortjeneste, tapte besparelser og tredjepartskrav, og regner merkostnader ved dekningskjøp og merarbeid som direkte tap.

Hvordan står SaaS-leverandørens standardvilkår seg mot statens standardavtale?

Statens standardavtaler (SSA), som forvaltes av DFØ, er ikke lov. De brukes likevel mye som referanse for hva som er en balansert risikofordeling i norsk marked, også i private anskaffelser. Tabellen sammenligner SSA-L 2026 med vanlige leverandørvilkår.

Hvorfor er tap av data det viktigste punktet?

Tap av data er den risikoen som rammer en SaaS-kunde hardest, og det er ofte den som er dårligst regulert. SSA-L punkt 8 pålegger leverandøren å gjenopprette data fra siste sikkerhetskopi uten vederlag når tapet skyldes forhold leverandøren har ansvaret for, og å dekke rekonstruksjon utover dette dersom leverandøren har opptrådt uaktsomt. Mange kommersielle vilkår fraskriver i stedet ansvaret helt og overlater sikkerhetskopiering til kunden.

Den samme risikoen oppstår når avtalen avsluttes. Se artikkelen om exit fra skytjenesten og tilbakelevering av data. Behandler leverandøren personopplysninger, må også databehandleravtalen ved kjøp av SaaS henge sammen med ansvarsreglene i hovedavtalen. GDPR art. 82 gir de registrerte et direkte erstatningskrav, og GDPR art. 83 om overtredelsesgebyr kan ikke avtales bort mellom partene.

Hva med KI-funksjoner i tjenesten?

Leverandører av KI-funksjoner fraskriver seg ofte ansvaret for innholdet modellen produserer. Overfor egne kunder bærer virksomheten likevel ansvaret for feil svar fra en chatbot, slik vi har omtalt i artikkelen om KI-hallusinasjoner og ansvar. Det gir et ansvarsgap mellom det virksomheten må svare for utad, og det den kan kreve dekket av leverandøren. Gapet må lukkes i avtalen, eller dekkes av kontrolltiltak og forsikring.

Avtaleteksten bør heller ikke skrives eller endres med KI uten juridisk kontroll. Ansvarsbestemmelser er nettopp der små formuleringsforskjeller får store følger. Les mer om vibe lawyering og risikoen ved KI-skrevne kontrakter.

Hva bør virksomheten gjøre?

1. Kartlegg det reelle tapet. Beregn hva en uke uten tjenesten eller tap av data vil koste virksomheten, og sammenlign med ansvarstaket.
2. Forhandle taket. Krev minst tolv måneders vederlag, og et høyere tak eller eget tak for brudd på taushetsplikt, informasjonssikkerhet og personvern.
3. Snevre inn definisjonen av indirekte tap. Bruk kjøpslovens eller SSA-Ls definisjon som referanse, og sørg for at merkostnader ved dekningskjøp og gjenoppretting av data er direkte tap.
4. Skriv inn unntak for forsett og grov uaktsomhet. La unntaket gjelde også for noen leverandøren svarer for, slik SSA-L gjør.
5. Reguler tap av data særskilt. Krev sikkerhetskopiering, gjenopprettingstid og leverandørens plikt til å rekonstruere data.
6. Sjekk lovvalget. En ansvarsbegrensning etter delstatsrett i USA kan få et annet innhold enn etter norsk rett.
7. Se avtalen som en helhet. Ansvarsreglene må henge sammen med tjenestenivå, prisendringer i SaaS-avtalen og exit.

Ansvarsbegrensning i SaaS-avtaler er forhandlingsbart, særlig for kunder med noe volum. Les mer om avtaler for kjøp av skytjenester på pilarsiden om kontrakter.

Spørsmål og svar

Neste faglige kontroll: 1. april 2027