IT-Haftung und Schadensersatz

Fehlerhafte Software, ausgefallene IT-Systeme, Datenverluste oder Pflichtverletzungen eines IT-Dienstleisters können erhebliche wirtschaftliche Schäden verursachen. Produktionsprozesse stehen still, Mitarbeiter können nicht arbeiten, Kundenaufträge können nicht bearbeitet werden oder ein Unternehmen muss kurzfristig einen anderen Dienstleister mit der Wiederherstellung seiner Systeme beauftragen.

Dann stellt sich nicht nur die technische Frage, warum ein IT-System versagt hat, sondern vor allem die rechtliche Frage:

Wer trägt den entstandenen Schaden?

Die Kanzlei Rößner & Merle berät und vertritt Unternehmen, Softwareanbieter und IT-Dienstleister bei IT-rechtlichen Haftungs- und Schadensersatzfragen – bei der Durchsetzung und Abwehr von Ansprüchen außergerichtlich und gerichtlich sowie bei geeigneten Mandaten bundesweit.

Das Wichtigste in Kürze

• Schadensersatz wegen fehlerhafter IT-Leistungen
• Haftung bei System- und Softwareausfällen
• Haftung von IT-Dienstleistern
• Abwehr von Schadensersatzforderungen gegen IT-Unternehmen
• Schäden durch fehlerhafte Software
• Datenverlust und Wiederherstellungskosten
• Betriebsunterbrechung und Produktionsausfall
• Mehrkosten durch Ersatzdienstleister
• Haftung bei gescheiterten IT-Projekten
• Schadensersatz bei SaaS- und Cloud-Ausfällen
• Prüfung von Pflichtverletzung, Kausalität und Schadenshöhe
• Prüfung vertraglicher und sonstiger Anspruchsgrundlagen
• Prüfung vertraglicher Haftungsbeschränkungen
• Prüfung von AGB-Haftungsbeschränkungen und Haftungscaps
• Mitverschulden und Verantwortungsbereiche
• Regress zwischen mehreren beteiligten Unternehmen
• Beweissicherung und Schadensdokumentation
• Prüfung von Versicherungsdeckung und Obliegenheiten
• Außergerichtliche und gerichtliche Vertretung

Wann entsteht ein IT-Haftungsfall?

Nicht jeder Softwarefehler und nicht jede technische Störung führt automatisch zu einem Schadensersatzanspruch.

Ein IT-Haftungsfall kann insbesondere entstehen, wenn eine vertraglich geschuldete Leistung nicht oder nicht ordnungsgemäß erbracht wird und hierdurch ein wirtschaftlicher Schaden entsteht.

Typische Ausgangssituationen sind beispielsweise:

• eine Software erfüllt wesentliche vereinbarte Anforderungen nicht,
• ein IT-System fällt über einen längeren Zeitraum aus,
• eine fehlerhafte Konfiguration verursacht Betriebsstörungen,
• Daten gehen verloren oder werden beschädigt,
• vereinbarte Sicherungsmaßnahmen funktionieren nicht,
• ein IT-Projekt muss durch einen anderen Anbieter fertiggestellt werden,
• ein Cloud-Dienst steht nicht wie vereinbart zur Verfügung oder
• ein IT-Dienstleister verletzt Beratungs-, Hinweis- oder sonstige Vertragspflichten.

Für die Haftungsprüfung müssen technische Ursache, vertragliche Pflichten und wirtschaftliche Folgen miteinander verbunden werden.

Welche Anspruchsgrundlage gilt bei einem IT-Schaden?

Ein einheitliches „IT-Haftungsrecht“, das für sämtliche IT-Schäden dieselben Voraussetzungen vorsieht, gibt es nicht.

Welche Ansprüche bestehen, hängt insbesondere von der Vertragsgestaltung, dem Vertragstyp, der verletzten Pflicht und der verlangten Rechtsfolge ab.

Bei vertraglichen Schadensersatzansprüchen können beispielsweise die allgemeinen Vorschriften der §§ 280 ff. BGB relevant sein. Je nach Fall kann es unter anderem um Schadensersatz wegen einer Pflichtverletzung, Schadensersatz statt der Leistung oder einen Verzögerungsschaden gehen.

Bei werkvertraglich einzuordnenden IT-Leistungen können zusätzlich die werkvertraglichen Mängelrechte von Bedeutung sein.

Daneben können im Einzelfall auch deliktische oder spezialgesetzliche Anspruchsgrundlagen in Betracht kommen.

Deshalb sollte bei einem IT-Schaden zunächst geklärt werden:

Welche Leistung war geschuldet, welche Pflicht wurde verletzt und welche konkrete Rechtsfolge soll daraus hergeleitet werden?

Pflichtverletzung allein reicht nicht aus

Für einen vertraglichen Schadensersatzanspruch genügt es grundsätzlich nicht, lediglich eine Pflichtverletzung festzustellen.

Zu prüfen sind insbesondere:

• Welche konkrete Pflicht bestand?
• Wurde diese Pflicht verletzt?
• Ist ein ersatzfähiger Schaden entstanden?
• Wurde der Schaden durch die Pflichtverletzung verursacht?
• Ist die Pflichtverletzung dem Vertragspartner rechtlich zuzurechnen?
• Hat der Vertragspartner die Pflichtverletzung zu vertreten?
• Greifen Haftungsausschlüsse oder Haftungsbegrenzungen?
• Hat der Geschädigte selbst zur Entstehung oder Höhe des Schadens beigetragen?

Bei vertraglichen Schadensersatzansprüchen nach § 280 Abs. 1 BGB wird das Vertretenmüssen grundsätzlich vermutet. Der Schuldner kann sich unter den gesetzlichen Voraussetzungen entlasten.

Davon können beispielsweise deliktische Schadensersatzansprüche zu unterscheiden sein, bei denen andere Anforderungen an Darlegung und Beweis des Verschuldens gelten können.

Gerade bei größeren IT-Schäden liegt die Schwierigkeit häufig nicht allein darin, eine technische Fehlfunktion nachzuweisen. Ebenso wichtig ist der Nachweis, welcher konkrete wirtschaftliche Schaden gerade durch diese Pflichtverletzung entstanden ist.

Kausalität – welcher Schaden wurde tatsächlich verursacht?

Dass ein wirtschaftlicher Nachteil zeitlich nach einem IT-Ausfall auftritt, bedeutet noch nicht automatisch, dass er vollständig vom Vertragspartner zu ersetzen ist.

Es muss geprüft werden, welche Schäden tatsächlich auf die maßgebliche Pflichtverletzung zurückzuführen sind.

Dabei können sowohl die Frage, ob die Pflichtverletzung überhaupt einen Schaden verursacht hat, als auch die Frage, welche konkreten wirtschaftlichen Folgen ihr zugerechnet werden können, eine zentrale Rolle spielen.

Für die haftungsausfüllende Kausalität und die Schadenshöhe können unter den gesetzlichen Voraussetzungen Beweiserleichterungen nach § 287 ZPO eingreifen. Die anspruchstellende Partei muss jedoch weiterhin ausreichende Anknüpfungstatsachen vortragen.

Gerade bei hohen Schadensersatzforderungen ist deshalb eine nachvollziehbare Verbindung zwischen technischer Ursache, Pflichtverletzung und einzelnen Schadenspositionen erforderlich.

Haftung des IT-Dienstleisters

IT-Dienstleister übernehmen sehr unterschiedliche Aufgaben.

Sie können beispielsweise:

• Software entwickeln,
• IT-Systeme installieren,
• Netzwerke administrieren,
• Cloud-Dienste bereitstellen,
• Systeme warten,
• Backups betreuen,
• IT-Sicherheit unterstützen oder
• Unternehmen bei technischen Entscheidungen beraten.

Welche Haftung besteht, richtet sich deshalb nicht nach einem einheitlichen „IT-Haftungsrecht“.

Entscheidend sind insbesondere der konkrete Vertrag, die geschuldete Leistung und die gesetzlichen Regelungen, die auf das jeweilige Vertragsverhältnis anzuwenden sind.

Vor einer Haftungsbewertung muss daher zunächst geklärt werden, was der IT-Dienstleister überhaupt schuldete.

Haftung des Softwareanbieters

Bei Software können unterschiedliche Fehlerbilder auftreten.

Eine Anwendung kann beispielsweise:

• vereinbarte Funktionen nicht besitzen,
• fehlerhafte Berechnungen durchführen,
• Schnittstellen nicht ordnungsgemäß bedienen,
• unter bestimmten Bedingungen abstürzen,
• erhebliche Performanceprobleme aufweisen oder
• mit der vereinbarten Systemumgebung nicht funktionieren.

Ob daraus Schadensersatzansprüche entstehen, hängt unter anderem davon ab, welche Beschaffenheit und Funktionalität vertraglich vereinbart wurde und welche rechtlichen Voraussetzungen für den jeweiligen Anspruch gelten.

Deshalb sind bei Softwarehaftungsfällen häufig nicht nur der aktuelle technische Zustand, sondern auch Leistungsbeschreibung, Pflichtenheft, Change Requests, Projektkommunikation und Abnahme von zentraler Bedeutung.

Systemausfall – wer haftet für den Stillstand?

Ein IT-Ausfall kann den gesamten Geschäftsbetrieb eines Unternehmens beeinträchtigen.

Mitarbeiter können nicht auf Anwendungen zugreifen, Produktionsanlagen stehen still, Bestellungen können nicht verarbeitet werden oder Kundenportale sind nicht erreichbar.

Trotz erheblicher wirtschaftlicher Folgen führt ein Systemausfall nicht automatisch zu einer Haftung des IT-Dienstleisters.

Zunächst muss insbesondere geklärt werden:

• Was hat den Ausfall verursacht?
• Welche Leistung war vertraglich geschuldet?
• Welche Verfügbarkeit war vereinbart?
• Welche Wartungs- oder Reaktionszeiten galten?
• Wer war für den betroffenen Systembereich verantwortlich?
• Welche Maßnahmen hätte das geschädigte Unternehmen selbst treffen müssen?
• Welche Haftungsregelungen enthält der Vertrag?

Gerade bei komplexen IT-Infrastrukturen können mehrere Unternehmen und technische Komponenten an einem Ausfall beteiligt sein.

SaaS- und Cloud-Ausfälle

Unternehmen verlagern zunehmend geschäftskritische Prozesse auf SaaS- und Cloud-Systeme.

Fällt ein solcher Dienst aus, können erhebliche Folgeschäden entstehen.

Für die Haftungsprüfung sind insbesondere die vertraglich vereinbarten Service Levels relevant.

Zu prüfen ist beispielsweise:

• Welche Verfügbarkeit wurde zugesagt?
• Wie wird die Verfügbarkeit berechnet?
• Welche Ausfallzeiten werden nicht berücksichtigt?
• Welche Reaktions- und Wiederherstellungszeiten gelten?
• Welche Rechtsfolgen sind bei einer Unterschreitung vereinbart?
• Sind Service Credits vorgesehen?
• Schließen diese weitergehende Ansprüche aus oder bestehen solche daneben?
• Welche Haftungsbegrenzungen enthält der Vertrag?

Eine zugesagte Verfügbarkeit von beispielsweise 99,9 Prozent beantwortet deshalb allein noch nicht die Frage, welche Ansprüche bei einem konkreten Ausfall bestehen.

Datenverlust und Wiederherstellungskosten

Datenverluste gehören zu den wirtschaftlich besonders problematischen IT-Schäden.

Sie können beispielsweise entstehen durch:

• fehlerhafte Software,
• Konfigurationsfehler,
• Hardwareausfälle,
• fehlgeschlagene Updates,
• fehlerhafte Migrationen,
• unzureichende Datensicherung oder
• Cyberangriffe.

Bei einem Haftungsfall muss zunächst geklärt werden, welche Pflichten die Beteiligten hinsichtlich Datensicherung und Wiederherstellung übernommen hatten.

Von Bedeutung kann auch sein, ob das geschädigte Unternehmen selbst verpflichtet war, Sicherungskopien vorzuhalten oder bestimmte organisatorische Maßnahmen zu treffen.

Ein Datenverlust führt deshalb nicht automatisch dazu, dass sämtliche daraus entstehenden Kosten einem IT-Dienstleister zugerechnet werden können.

Wer war für das Backup verantwortlich?

Diese Frage wird in IT-Verträgen häufig unterschätzt.

Ein Unternehmen geht möglicherweise davon aus, dass sein IT-Dienstleister automatisch für sämtliche Datensicherungen verantwortlich ist.

Der Dienstleister wiederum betrachtet Backups möglicherweise als gesonderte, nicht beauftragte Leistung.

Nach einem Datenverlust wird diese unterschiedliche Erwartung plötzlich zum zentralen Haftungsthema.

Deshalb muss anhand von Vertrag, Leistungsbeschreibung und tatsächlicher Zusammenarbeit geprüft werden:

• Wer sollte Backups erstellen?
• Welche Daten sollten gesichert werden?
• Wie häufig sollte eine Sicherung erfolgen?
• Wie lange sollten Sicherungen aufbewahrt werden?
• Sollte die Wiederherstellbarkeit geprüft werden?
• Wer war für die Überwachung verantwortlich?

Je klarer diese Aufgaben vertraglich verteilt sind, desto geringer ist das Risiko späterer Haftungsstreitigkeiten.

Betriebsunterbrechung und Produktionsausfall

Ein IT-Schaden kann weit über die Kosten der eigentlichen Fehlerbeseitigung hinausgehen.

Ist ein Unternehmen über Stunden oder Tage nicht arbeitsfähig, können zusätzliche wirtschaftliche Nachteile entstehen.

Denkbar sind beispielsweise:

• Produktionsstillstand,
• Ausfall von Mitarbeitern,
• nicht bearbeitete Kundenaufträge,
• zusätzliche Personalkosten,
• Vertragsstrafen gegenüber Kunden,
• Kosten kurzfristiger Ersatzlösungen oder
• entgangener Gewinn.

Ob und in welchem Umfang solche Positionen als Schadensersatz verlangt werden können, muss im Einzelfall geprüft werden.

Entscheidend sind insbesondere Pflichtverletzung, Kausalität, Zurechenbarkeit, vertragliche Haftungsregelungen und mögliche Beiträge des Geschädigten zur Schadensentstehung oder -erhöhung.

Gerade bei größeren Betriebsunterbrechungsschäden ist die Kausalität zwischen IT-Störung und geltend gemachtem wirtschaftlichen Schaden häufig ein zentraler Streitpunkt.

Entgangener Gewinn

Unternehmen machen nach größeren IT-Ausfällen teilweise entgangenen Gewinn geltend.

Die bloße Behauptung, ohne den IT-Ausfall wären zusätzliche Umsätze erzielt worden, genügt jedoch nicht ohne Weiteres.

Für die rechtliche Bewertung müssen die wirtschaftlichen Auswirkungen möglichst nachvollziehbar aufbereitet werden.

Relevant können beispielsweise sein:

• frühere Umsatzzahlen,
• konkrete Aufträge,
• bestehende Kundenbeziehungen,
• Produktionskapazitäten,
• Vergleichszeiträume und
• betriebswirtschaftliche Auswertungen.

Dabei ist zwischen ausgefallenem Umsatz und tatsächlich entgangenem Gewinn zu unterscheiden.

Bei der Berechnung des entgangenen Gewinns sind insbesondere ersparte Aufwendungen und nicht realisierte variable Kosten zu berücksichtigen.

Für die gerichtliche Schadensschätzung können unter den gesetzlichen Voraussetzungen Beweiserleichterungen gelten. Dennoch müssen ausreichende tatsächliche Anhaltspunkte vorhanden sein, auf deren Grundlage die wirtschaftliche Entwicklung ohne das schädigende Ereignis beurteilt werden kann.

Kosten eines Ersatzdienstleisters

Scheitert ein IT-Projekt oder muss eine Störung kurzfristig beseitigt werden, beauftragt das Unternehmen häufig einen anderen IT-Dienstleister.

Dadurch können erhebliche Zusatzkosten entstehen.

Ersatzfähig können erforderliche und angemessene Kosten eines Ersatzdienstleisters sein, soweit sie zur Beseitigung oder Begrenzung des durch die Pflichtverletzung verursachten Schadens aufgewendet wurden.

Zu prüfen ist insbesondere:

• weshalb der Ersatzdienstleister erforderlich wurde,
• welche Leistungen dieser erbracht hat,
• ob die Maßnahmen zur Schadensbeseitigung oder -begrenzung geeignet waren,
• ob die entstandenen Kosten angemessen waren und
• in welchem Umfang sie auf die Pflichtverletzung des ursprünglichen Vertragspartners zurückzuführen sind.

Abzugrenzen sind insbesondere Kosten, die auch bei vertragsgemäßer Leistung ohnehin angefallen wären.

Eine saubere Dokumentation der übernommenen Arbeiten und Kosten ist deshalb besonders wichtig.

Schadensminderung und Mitverschulden

Auch ein geschädigtes Unternehmen muss grundsätzlich zumutbare Maßnahmen ergreifen, um einen Schaden nicht unnötig zu vergrößern.

Bei IT-Schäden kann beispielsweise relevant sein, ob:

• ein Notbetrieb möglich gewesen wäre,
• vorhandene Backups genutzt werden konnten,
• Warnhinweise ignoriert wurden,
• notwendige Updates unterblieben,
• bekannte Sicherheitsrisiken nicht behoben wurden oder
• nach Eintritt der Störung angemessen reagiert wurde.

Daraus folgt allerdings nicht, dass beispielsweise jedes unterbliebene Update automatisch ein Mitverschulden begründet.

Ob ein Verhalten des geschädigten Unternehmens als Mitverschulden oder Verletzung der Schadensminderungspflicht zu berücksichtigen ist, hängt insbesondere von der Zumutbarkeit der Maßnahme, der konkreten Kenntnislage und ihrem Einfluss auf Eintritt und Höhe des Schadens ab.

Bei komplexen IT-Systemen muss deshalb häufig nicht nur das Verhalten des Dienstleisters, sondern auch der Verantwortungsbereich des Auftraggebers untersucht werden.

Haftungsbeschränkungen in IT-Verträgen

IT-Verträge enthalten häufig umfangreiche Haftungsklauseln.

Darin werden beispielsweise:

• Haftungshöchstbeträge,
• bestimmte Schadensarten,
• mittelbare Schäden,
• Datenverlust,
• entgangener Gewinn oder
• Haftungsfälle unterschiedlicher Schwere

geregelt.

Ob eine solche Haftungsbegrenzung wirksam ist und den konkreten Schadensfall tatsächlich erfasst, muss anhand des jeweiligen Vertrags geprüft werden.

Dabei macht es einen erheblichen Unterschied, ob eine Regelung individuell ausgehandelt wurde oder als Allgemeine Geschäftsbedingung einer AGB-rechtlichen Kontrolle unterliegt.

Auch im Geschäftsverkehr zwischen Unternehmen unterliegen Allgemeine Geschäftsbedingungen einer rechtlichen Inhaltskontrolle. Zwar findet § 309 BGB im unternehmerischen Geschäftsverkehr nicht unmittelbar Anwendung. Seine gesetzlichen Wertungen können jedoch im Rahmen der Inhaltskontrolle nach § 307 BGB in Verbindung mit § 310 Abs. 1 BGB Bedeutung erlangen.

Gerade bei Haftungsregelungen muss deshalb geprüft werden, ob die konkrete Klausel den Vertragspartner unangemessen benachteiligt und ob wesentliche Vertragspflichten noch in angemessener Weise abgesichert bleiben.

Haftungsobergrenzen – „Cap“ im IT-Vertrag

Bei größeren IT-Verträgen werden häufig Haftungsobergrenzen vereinbart.

Die Haftung wird beispielsweise auf einen bestimmten Betrag oder ein Vielfaches der jährlichen Vergütung begrenzt.

Für beide Vertragsparteien ist deshalb wichtig zu prüfen:

• Welche Ansprüche erfasst der Cap?
• Gilt eine Obergrenze pro Schadensfall oder insgesamt?
• Welche Schäden sind ausgenommen?
• Gibt es unterschiedliche Haftungsstufen?
• Ist die Klausel transparent formuliert?
• Handelt es sich um eine Individualvereinbarung oder um AGB?
• Welche wesentlichen Vertragspflichten sind betroffen?
• Welche vertragstypischen und vorhersehbaren Schäden können entstehen?

Eine Haftungshöchstgrenze ist nicht automatisch unwirksam.

Ihre Wirksamkeit hängt insbesondere davon ab, wie sie vereinbart wurde, welche Pflichtverletzungen und Schadensarten sie erfasst und ob sie bei Verletzung wesentlicher Vertragspflichten die vertragstypischen und vorhersehbaren Schäden angemessen berücksichtigt.

Für Auftraggeber und IT-Anbieter sollte die Haftungsregelung deshalb bereits bei Vertragsschluss zum tatsächlichen wirtschaftlichen Risiko des Projekts passen.

Grenzen vertraglicher Haftungsbeschränkungen

Nicht jedes Haftungsrisiko kann beliebig vertraglich ausgeschlossen werden.

Die Haftung für vorsätzlich verursachte Schäden kann beispielsweise nicht im Voraus ausgeschlossen werden.

Bei Allgemeinen Geschäftsbedingungen bestehen darüber hinaus besondere Grenzen für Haftungsausschlüsse und Haftungsbegrenzungen.

Insbesondere Haftungsbeschränkungen für Schäden aus der Verletzung von Leben, Körper oder Gesundheit sowie für grob fahrlässig verursachte sonstige Schäden unterliegen strengen gesetzlichen Anforderungen.

Auch im unternehmerischen Geschäftsverkehr sind die gesetzlichen Wertungen des AGB-Rechts zu berücksichtigen.

Deshalb sollte eine Haftungsklausel nicht allein danach beurteilt werden, welcher Höchstbetrag im Vertrag steht, sondern auch danach, ob und in welchem Umfang die konkrete Beschränkung rechtlich wirksam vereinbart werden konnte.

Haftung bei Cyberangriffen

Nach einem Cyberangriff stellt sich häufig die Frage, ob ein IT-Dienstleister für den entstandenen Schaden verantwortlich ist.

Allein die Tatsache, dass ein Angriff erfolgreich war, beantwortet diese Frage nicht.

Zu untersuchen ist vielmehr beispielsweise:

• Welche Sicherheitsleistungen waren vereinbart?
• Welche technischen und organisatorischen Maßnahmen wurden geschuldet?
• Welche Systeme lagen im Verantwortungsbereich des Dienstleisters?
• Wurden bekannte Sicherheitslücken rechtzeitig behoben?
• Welche Mitwirkungspflichten hatte der Auftraggeber?
• Wie verlief der konkrete Angriff?
• Wäre der Schaden bei vertragsgemäßem Verhalten vermieden oder begrenzt worden?

Auch ein technisch grundsätzlich möglicher Angriff beseitigt eine Haftung nicht automatisch.

Entscheidend kann insbesondere sein, ob der konkrete Angriff bei Erfüllung der geschuldeten Sicherheits- und Schutzpflichten mit ausreichender Wahrscheinlichkeit verhindert oder in seinen Folgen begrenzt worden wäre.

Daneben sind mögliche Mitverantwortungsbeiträge des Auftraggebers und die vertragliche Risikoverteilung zu berücksichtigen.

Hier können IT-Vertragsrecht, IT-Sicherheitsrecht und gegebenenfalls Datenschutzrecht ineinandergreifen.

Mehrere IT-Dienstleister – wer ist verantwortlich?

Moderne IT-Infrastrukturen bestehen häufig aus Leistungen verschiedener Anbieter.

Ein Unternehmen nutzt beispielsweise:

• Software eines Herstellers,
• Cloud-Infrastruktur eines Providers,
• Betreuung durch ein Systemhaus,
• externe IT-Sicherheitsleistungen und
• weitere spezialisierte Dienste.

Kommt es zu einem größeren Schaden, kann jede Partei zunächst auf einen anderen Beteiligten verweisen.

Dann muss der technische Ablauf rekonstruiert und mit den jeweiligen vertraglichen Verantwortungsbereichen abgeglichen werden.

Dabei kann zusätzlich zu prüfen sein, ob ein Vertragspartner sich das Verhalten eines eingesetzten Erfüllungsgehilfen zurechnen lassen muss und ob mehrere Beteiligte für einen Schaden einzustehen haben.

Aus einem einzigen IT-Ausfall können dadurch mehrere Haftungs- und Regressverhältnisse entstehen.

Regress zwischen IT-Unternehmen

Auch ein IT-Dienstleister kann gegenüber seinem Kunden haften, obwohl die eigentliche technische Ursache möglicherweise bei einem Subunternehmer oder anderen Anbieter liegt.

Dann stellt sich zusätzlich die Frage, ob und in welchem Umfang ein Regress möglich ist.

Dabei müssen die unterschiedlichen Vertragsverhältnisse getrennt betrachtet werden.

Neben vertraglichen Regressansprüchen können je nach Sachverhalt auch Fragen einer gesamtschuldnerischen Haftung und der Zurechnung des Verhaltens eingesetzter Erfüllungsgehilfen relevant werden.

Die Haftung gegenüber dem eigenen Vertragspartner und mögliche Ansprüche gegen einen weiteren beteiligten Dienstleister sind rechtlich nicht zwangsläufig deckungsgleich.

Gerade bei größeren IT-Projekten kann deshalb eine Gesamtbetrachtung der Vertrags- und Leistungskette erforderlich sein.

Beweise bei IT-Haftungsfällen frühzeitig sichern

Bei größeren IT-Schäden sollte die Beweissicherung möglichst früh beginnen.

Das gilt insbesondere, wenn Systeme kurzfristig repariert, neu konfiguriert oder ersetzt werden müssen.

Relevant können beispielsweise sein:

• Logdateien
• Systemzustände
• Fehlermeldungen
• Quellcode und Versionsstände
• Konfigurationen
• Tickets
• Projektkommunikation
• Serviceberichte
• Screenshots
• Backup-Protokolle
• forensische Untersuchungen
• Rechnungen und Kostenbelege

Dabei geht es nicht darum, wahllos möglichst große Datenmengen zu sichern.

Die Beweissicherung sollte sich vielmehr daran orientieren, welche technischen und wirtschaftlichen Tatsachen für den konkreten Haftungsstreit voraussichtlich relevant sind.

Neben dem technischen Fehler ist eine nachvollziehbare Dokumentation des entstandenen Schadens und der Maßnahmen zu seiner Begrenzung besonders wichtig.

Technische Sachverständige im Haftungsprozess

Bei komplexen IT-Haftungsfällen kann Sachverständigenbeweis erforderlich werden.

Technische Sachverständige können beispielsweise zur Klärung beitragen, welche Ursache ein Systemausfall hatte oder ob eine Software bestimmte technische Anforderungen erfüllte.

Die rechtliche Bewertung bleibt Aufgabe des Gerichts.

Die Beweisfragen müssen deshalb so formuliert werden, dass der Sachverständige technische Tatsachen und Zusammenhänge beurteilt, nicht aber die rechtliche Haftung oder die Auslegung des Vertrags entscheidet.

Ein Sachverständiger soll nicht erst herausfinden, welche Vertragspartei möglicherweise irgendeinen Fehler gemacht haben könnte.

Vielmehr müssen die entscheidenden technischen Streitfragen zuvor möglichst konkret herausgearbeitet und mit den rechtlich relevanten Tatsachen verbunden werden.

IT-Versicherung und Cyberversicherung

Bei größeren Schadensfällen sollte auch geprüft werden, welche Versicherungen auf Seiten der Beteiligten bestehen.

In Betracht kommen beispielsweise:

• Berufshaftpflichtversicherungen,
• Vermögensschadenhaftpflichtversicherungen,
• Betriebshaftpflichtversicherungen oder
• Cyberversicherungen.

Ob ein konkreter Schaden vom jeweiligen Versicherungsschutz umfasst ist, hängt von den Versicherungsbedingungen ab.

Ebenso wichtig können Anzeige-, Aufklärungs- und Schadenminderungsobliegenheiten sein. Deren Verletzung kann Auswirkungen auf den Versicherungsschutz haben.

Nach einem IT- oder Cybervorfall sollte deshalb geprüft werden, wann und in welcher Form der Versicherer nach den Versicherungsbedingungen einzubeziehen ist.

Maßnahmen der technischen Aufklärung und Schadenminderung sollten sorgfältig dokumentiert und – soweit im konkreten Fall erforderlich und möglich – mit dem Versicherer abgestimmt werden.

Ansprüche durchsetzen oder Schadensersatzforderung abwehren

IT-Haftungsfälle haben zwei Seiten.

Ein geschädigtes Unternehmen möchte seine Ansprüche möglichst vollständig durchsetzen.

Der in Anspruch genommene Softwareanbieter oder IT-Dienstleister muss dagegen prüfen, ob die behauptete Pflichtverletzung tatsächlich besteht und ob die geltend gemachten Schäden nachweisbar und rechtlich zurechenbar sind.

Wir beraten deshalb sowohl:

Unternehmen bei der Durchsetzung von IT-Schadensersatzansprüchen

als auch

Softwareanbieter und IT-Dienstleister bei der Abwehr entsprechender Forderungen.

Voraussetzung ist selbstverständlich, dass im konkreten Mandat keine Interessenkollision besteht.

Typischer Irrtum: „Der IT-Dienstleister hat einen Fehler gemacht – also muss er den gesamten Schaden bezahlen“

So einfach ist die rechtliche Bewertung regelmäßig nicht.

Selbst wenn eine Pflichtverletzung feststeht, muss geprüft werden, welcher Schaden gerade dadurch verursacht wurde.

Hinzu kommen das Vertretenmüssen, mögliche Haftungsbeschränkungen, Mitverantwortungsbeiträge des Geschädigten und die Frage, welche Maßnahmen zur Schadensbegrenzung möglich und zumutbar gewesen wären.

Bei einem größeren IT-Haftungsfall müssen deshalb mehrere Ebenen sauber getrennt werden:

Pflichtverletzung – Vertretenmüssen – Kausalität – Zurechnung – Schaden.

Erst danach lässt sich die wirtschaftliche Haftung belastbar bewerten.

Praxisbeispiel: Systemausfall verursacht hohen Produktionsschaden

Ein mittelständisches Unternehmen kann nach einer Änderung seiner IT-Infrastruktur über mehrere Tage wesentliche Produktionssysteme nicht nutzen.

Das Unternehmen macht gegenüber seinem IT-Dienstleister erhebliche Schadensersatzforderungen geltend.

Neben den Kosten für die Wiederherstellung werden Produktionsausfälle, zusätzliche Personalkosten und entgangener Gewinn verlangt.

Der IT-Dienstleister bestreitet seine Verantwortlichkeit. Nach seiner Darstellung liegt die Ursache in einer anderen Systemkomponente, die von einem weiteren Anbieter betreut wurde. Zusätzlich beruft er sich auf eine vertragliche Haftungsobergrenze.

Nun müssen mehrere Fragen geklärt werden:

Was war vertraglich geschuldet? Welche technische Ursache hatte der Ausfall? Welcher Anbieter war für den betroffenen Bereich verantwortlich? Ist die Pflichtverletzung zu vertreten? Greift die vereinbarte Haftungsbeschränkung? Welche Schäden können tatsächlich auf den Ausfall zurückgeführt und nachgewiesen werden?

Ein vermeintlich einfacher „IT-Ausfall“ entwickelt sich dadurch zu einem komplexen Zusammenspiel aus Vertragsauslegung, technischer Ursachenanalyse, Haftungsbegrenzung, Beweisführung und Schadensberechnung.

Wann sollten Unternehmen anwaltlichen Rat einholen?

Eine frühzeitige rechtliche Prüfung ist insbesondere sinnvoll, wenn:

• ein erheblicher IT-Schaden eingetreten ist,
• ein Systemausfall den Geschäftsbetrieb beeinträchtigt hat,
• größere Datenbestände verloren gegangen sind,
• ein IT-Projekt erhebliche Folgekosten verursacht,
• hohe Schadensersatzforderungen geltend gemacht werden,
• ein IT-Dienstleister für einen Schaden verantwortlich gemacht wird,
• mehrere Anbieter als Verursacher in Betracht kommen,
• eine Haftungsbeschränkung streitig ist,
• eine Versicherung einbezogen werden muss,
• technische Beweise gesichert werden müssen oder
• ein gerichtliches Verfahren droht.

Je höher der mögliche Schaden ist, desto wichtiger ist eine frühe Verbindung von Vertragsanalyse, technischer Ursachenklärung, Beweissicherung und Schadensberechnung.

Ihr Ansprechpartner bei IT-Haftung und Schadensersatz

Rechtsanwalt Karsten Rößner

Rechtsanwalt Karsten Rößner berät und vertritt Unternehmen, Softwareanbieter und IT-Dienstleister bei IT-Haftungsfällen und Schadensersatzforderungen – sowohl bei der Durchsetzung eigener Ansprüche als auch bei der Abwehr wirtschaftlich erheblicher Forderungen.

Er hat den Fachanwaltslehrgang Informationstechnologierecht erfolgreich absolviert und verfügt als zertifizierter externer Datenschutzbeauftragter über besondere Erfahrung an der Schnittstelle von IT-Recht, Datenschutz und technischen Unternehmensprozessen.

Ein besonderer Schwerpunkt liegt auf Haftungsfragen bei Softwarefehlern, Systemausfällen, Datenverlusten und gescheiterten IT-Projekten, der Prüfung vertraglicher Haftungsbeschränkungen sowie Schadensersatz- und Regressansprüchen zwischen Unternehmen und IT-Dienstleistern.

Mehr über Rechtsanwalt Karsten Rößner →

Häufige Fragen zu IT-Haftung und Schadensersatz

Haftet ein IT-Dienstleister für jeden Systemausfall?

Nein. Entscheidend sind insbesondere die vertraglich geschuldeten Leistungen, die Ursache des Ausfalls, eine mögliche Pflichtverletzung, deren Zurechenbarkeit und Vertretenmüssen sowie der konkret entstandene Schaden.

Kann ich Produktionsausfall als Schadensersatz verlangen?

Das kann grundsätzlich in Betracht kommen. Ob und in welcher Höhe ein Anspruch besteht, hängt jedoch insbesondere von Pflichtverletzung, Kausalität, Zurechenbarkeit und dem Nachweis des konkreten Schadens ab.

Kann entgangener Gewinn verlangt werden?

Entgangener Gewinn kann unter den gesetzlichen Voraussetzungen ersatzfähig sein. Die wirtschaftlichen Grundlagen müssen ausreichend nachvollziehbar dargelegt werden. Ausgefallener Umsatz ist dabei nicht automatisch mit entgangenem Gewinn gleichzusetzen.

Haftet ein IT-Dienstleister bei Datenverlust?

Das hängt insbesondere davon ab, welche Leistungen und Verantwortlichkeiten bezüglich Datensicherung, Systembetrieb und Wiederherstellung vereinbart waren und wodurch der Datenverlust verursacht wurde.

Sind Haftungsbeschränkungen in IT-Verträgen wirksam?

Das lässt sich nicht pauschal beantworten. Entscheidend sind Inhalt und Zustandekommen der Klausel sowie insbesondere die Frage, ob sie individuell ausgehandelt wurde oder als Allgemeine Geschäftsbedingung einer Inhaltskontrolle unterliegt.

Ist ein Haftungscap zwischen Unternehmen automatisch wirksam?

Nein. Eine Haftungsobergrenze ist im B2B-Bereich weder automatisch wirksam noch automatisch unwirksam. Entscheidend sind unter anderem Vertragsgestaltung, Transparenz, Art der betroffenen Pflicht und der Umfang der erfassten Schäden.

Wer haftet, wenn mehrere IT-Dienstleister beteiligt waren?

Das muss anhand der jeweiligen Verantwortungsbereiche und Vertragsverhältnisse geprüft werden. Je nach Sachverhalt können zusätzlich Fragen der Zurechnung, Gesamtschuld und des Regresses zwischen den Beteiligten entstehen.

Vertreten Sie auch IT-Dienstleister gegen Schadensersatzforderungen?

Ja. Wir beraten sowohl geschädigte Unternehmen bei der Durchsetzung als auch Softwareanbieter und IT-Dienstleister bei der Abwehr von Schadensersatzansprüchen, soweit keine Interessenkollision besteht.

Übernehmen Sie IT-Haftungsprozesse bundesweit?

Ja. Bei geeigneten IT-rechtlichen Haftungsfällen übernehmen wir die außergerichtliche und gerichtliche Vertretung bundesweit. Für Verfahren vor dem Bundesgerichtshof gelten die besonderen gesetzlichen Vertretungsregelungen.

Hoher IT-Schaden? Haftung und Schadensersatz frühzeitig prüfen

Bei größeren IT-Schäden reicht es nicht aus, lediglich einen technischen Fehler festzustellen.

Entscheidend ist, welche Leistung geschuldet war, welche Pflicht verletzt wurde, wer hierfür verantwortlich ist, welchen Schaden die Pflichtverletzung tatsächlich verursacht hat und welche vertraglichen Haftungsregelungen gelten.

Rechtsanwalt Karsten Rößner berät und vertritt Unternehmen, Softwareanbieter und IT-Dienstleister bei IT-Haftungsfällen und Schadensersatzforderungen – sowohl bei der Durchsetzung eigener Ansprüche als auch bei der Abwehr wirtschaftlich erheblicher Forderungen, außergerichtlich und gerichtlich sowie bei geeigneten Mandaten bundesweit.

Sie erreichen die Kanzlei telefonisch oder per E-Mail zur Vereinbarung eines Besprechungstermins. Kontakt und Anfahrt zur Kanzlei →