IT-Haftung und Schadensersatz

Wann entsteht ein IT-Haftungsfall?

Nicht jeder Softwarefehler und nicht jede technische Störung führt automatisch zu einem Schadensersatzanspruch.

Ein IT-Haftungsfall kann insbesondere entstehen, wenn eine vertraglich geschuldete Leistung nicht oder nicht ordnungsgemäß erbracht wird und hierdurch ein wirtschaftlicher Schaden entsteht.

Typische Ausgangssituationen sind beispielsweise:

• eine Software erfüllt wesentliche vereinbarte Anforderungen nicht,
• ein IT-System fällt über einen längeren Zeitraum aus,
• eine fehlerhafte Konfiguration verursacht Betriebsstörungen,
• Daten gehen verloren oder werden beschädigt,
• vereinbarte Sicherungsmaßnahmen funktionieren nicht,
• ein IT-Projekt muss durch einen anderen Anbieter fertiggestellt werden,
• ein Cloud-Dienst steht nicht wie vereinbart zur Verfügung oder
• ein IT-Dienstleister verletzt Beratungs-, Hinweis- oder sonstige Vertragspflichten.

Für die Haftungsprüfung müssen technische Ursache, vertragliche Pflichten und wirtschaftliche Folgen miteinander verbunden werden.

Welche Anspruchsgrundlage gilt bei einem IT-Schaden?

Ein einheitliches „IT-Haftungsrecht“, das für sämtliche IT-Schäden dieselben Voraussetzungen vorsieht, gibt es nicht.

Welche Ansprüche bestehen, hängt insbesondere von der Vertragsgestaltung, dem Vertragstyp, der verletzten Pflicht und der verlangten Rechtsfolge ab.

Bei vertraglichen Schadensersatzansprüchen können beispielsweise die allgemeinen Vorschriften der §§ 280 ff. BGB relevant sein. Je nach Fall kann es unter anderem um Schadensersatz wegen einer Pflichtverletzung, Schadensersatz statt der Leistung oder einen Verzögerungsschaden gehen.

Bei werkvertraglich einzuordnenden IT-Leistungen können zusätzlich die werkvertraglichen Mängelrechte von Bedeutung sein.

Daneben können im Einzelfall auch deliktische oder spezialgesetzliche Anspruchsgrundlagen in Betracht kommen.

Deshalb sollte bei einem IT-Schaden zunächst geklärt werden:

Welche Leistung war geschuldet, welche Pflicht wurde verletzt und welche konkrete Rechtsfolge soll daraus hergeleitet werden?

Kausalität – welcher Schaden wurde tatsächlich verursacht?

Dass ein wirtschaftlicher Nachteil zeitlich nach einem IT-Ausfall auftritt, bedeutet noch nicht automatisch, dass er vollständig vom Vertragspartner zu ersetzen ist.

Es muss geprüft werden, welche Schäden tatsächlich auf die maßgebliche Pflichtverletzung zurückzuführen sind.

Dabei können sowohl die Frage, ob die Pflichtverletzung überhaupt einen Schaden verursacht hat, als auch die Frage, welche konkreten wirtschaftlichen Folgen ihr zugerechnet werden können, eine zentrale Rolle spielen.

Für die haftungsausfüllende Kausalität und die Schadenshöhe können unter den gesetzlichen Voraussetzungen Beweiserleichterungen nach § 287 ZPO eingreifen. Die anspruchstellende Partei muss jedoch weiterhin ausreichende Anknüpfungstatsachen vortragen.

Gerade bei hohen Schadensersatzforderungen ist deshalb eine nachvollziehbare Verbindung zwischen technischer Ursache, Pflichtverletzung und einzelnen Schadenspositionen erforderlich.

Haftung des IT-Dienstleisters

IT-Dienstleister übernehmen sehr unterschiedliche Aufgaben.

Sie können beispielsweise:

• Software entwickeln,
• IT-Systeme installieren,
• Netzwerke administrieren,
• Cloud-Dienste bereitstellen,
• Systeme warten,
• Backups betreuen,
• IT-Sicherheit unterstützen oder
• Unternehmen bei technischen Entscheidungen beraten.

Welche Haftung besteht, richtet sich deshalb nicht nach einem einheitlichen „IT-Haftungsrecht“.

Entscheidend sind insbesondere der konkrete Vertrag, die geschuldete Leistung und die gesetzlichen Regelungen, die auf das jeweilige Vertragsverhältnis anzuwenden sind.

Vor einer Haftungsbewertung muss daher zunächst geklärt werden, was der IT-Dienstleister überhaupt schuldete.

Haftung des Softwareanbieters

Bei Software können unterschiedliche Fehlerbilder auftreten.

Eine Anwendung kann beispielsweise:

• vereinbarte Funktionen nicht besitzen,
• fehlerhafte Berechnungen durchführen,
• Schnittstellen nicht ordnungsgemäß bedienen,
• unter bestimmten Bedingungen abstürzen,
• erhebliche Performanceprobleme aufweisen oder
• mit der vereinbarten Systemumgebung nicht funktionieren.

Ob daraus Schadensersatzansprüche entstehen, hängt unter anderem davon ab, welche Beschaffenheit und Funktionalität vertraglich vereinbart wurde und welche rechtlichen Voraussetzungen für den jeweiligen Anspruch gelten.

Deshalb sind bei Softwarehaftungsfällen häufig nicht nur der aktuelle technische Zustand, sondern auch Leistungsbeschreibung, Pflichtenheft, Change Requests, Projektkommunikation und Abnahme von zentraler Bedeutung.

Systemausfall – wer haftet für den Stillstand?

Ein IT-Ausfall kann den gesamten Geschäftsbetrieb eines Unternehmens beeinträchtigen.

Mitarbeiter können nicht auf Anwendungen zugreifen, Produktionsanlagen stehen still, Bestellungen können nicht verarbeitet werden oder Kundenportale sind nicht erreichbar.

Trotz erheblicher wirtschaftlicher Folgen führt ein Systemausfall nicht automatisch zu einer Haftung des IT-Dienstleisters.

Zunächst muss insbesondere geklärt werden:

• Was hat den Ausfall verursacht?
• Welche Leistung war vertraglich geschuldet?
• Welche Verfügbarkeit war vereinbart?
• Welche Wartungs- oder Reaktionszeiten galten?
• Wer war für den betroffenen Systembereich verantwortlich?
• Welche Maßnahmen hätte das geschädigte Unternehmen selbst treffen müssen?
• Welche Haftungsregelungen enthält der Vertrag?

Gerade bei komplexen IT-Infrastrukturen können mehrere Unternehmen und technische Komponenten an einem Ausfall beteiligt sein.

SaaS- und Cloud-Ausfälle

Unternehmen verlagern zunehmend geschäftskritische Prozesse auf SaaS- und Cloud-Systeme.

Fällt ein solcher Dienst aus, können erhebliche Folgeschäden entstehen.

Für die Haftungsprüfung sind insbesondere die vertraglich vereinbarten Service Levels relevant.

Zu prüfen ist beispielsweise:

• Welche Verfügbarkeit wurde zugesagt?
• Wie wird die Verfügbarkeit berechnet?
• Welche Ausfallzeiten werden nicht berücksichtigt?
• Welche Reaktions- und Wiederherstellungszeiten gelten?
• Welche Rechtsfolgen sind bei einer Unterschreitung vereinbart?
• Sind Service Credits vorgesehen?
• Schließen diese weitergehende Ansprüche aus oder bestehen solche daneben?
• Welche Haftungsbegrenzungen enthält der Vertrag?

Eine zugesagte Verfügbarkeit von beispielsweise 99,9 Prozent beantwortet deshalb allein noch nicht die Frage, welche Ansprüche bei einem konkreten Ausfall bestehen.

Datenverlust und Wiederherstellungskosten

Datenverluste gehören zu den wirtschaftlich besonders problematischen IT-Schäden.

Sie können beispielsweise entstehen durch:

• fehlerhafte Software,
• Konfigurationsfehler,
• Hardwareausfälle,
• fehlgeschlagene Updates,
• fehlerhafte Migrationen,
• unzureichende Datensicherung oder
• Cyberangriffe.

Bei einem Haftungsfall muss zunächst geklärt werden, welche Pflichten die Beteiligten hinsichtlich Datensicherung und Wiederherstellung übernommen hatten.

Von Bedeutung kann auch sein, ob das geschädigte Unternehmen selbst verpflichtet war, Sicherungskopien vorzuhalten oder bestimmte organisatorische Maßnahmen zu treffen.

Ein Datenverlust führt deshalb nicht automatisch dazu, dass sämtliche daraus entstehenden Kosten einem IT-Dienstleister zugerechnet werden können.

Wer war für das Backup verantwortlich?

Diese Frage wird in IT-Verträgen häufig unterschätzt.

Nach einem Datenverlust wird diese unterschiedliche Erwartung plötzlich zum zentralen Haftungsthema.

Deshalb muss anhand von Vertrag, Leistungsbeschreibung und tatsächlicher Zusammenarbeit geprüft werden:

• Wer sollte Backups erstellen?
• Welche Daten sollten gesichert werden?
• Wie häufig sollte eine Sicherung erfolgen?
• Wie lange sollten Sicherungen aufbewahrt werden?
• Sollte die Wiederherstellbarkeit geprüft werden?
• Wer war für die Überwachung verantwortlich?

Je klarer diese Aufgaben vertraglich verteilt sind, desto geringer ist das Risiko späterer Haftungsstreitigkeiten.

Betriebsunterbrechung und Produktionsausfall

Ein IT-Schaden kann weit über die Kosten der eigentlichen Fehlerbeseitigung hinausgehen.

Ist ein Unternehmen über Stunden oder Tage nicht arbeitsfähig, können zusätzliche wirtschaftliche Nachteile entstehen.

Denkbar sind beispielsweise:

• Produktionsstillstand,
• Ausfall von Mitarbeitern,
• nicht bearbeitete Kundenaufträge,
• zusätzliche Personalkosten,
• Vertragsstrafen gegenüber Kunden,
• Kosten kurzfristiger Ersatzlösungen oder
• entgangener Gewinn.

Ob und in welchem Umfang solche Positionen als Schadensersatz verlangt werden können, muss im Einzelfall geprüft werden.

Entscheidend sind insbesondere Pflichtverletzung, Kausalität, Zurechenbarkeit, vertragliche Haftungsregelungen und mögliche Beiträge des Geschädigten zur Schadensentstehung oder -erhöhung.

Gerade bei größeren Betriebsunterbrechungsschäden ist die Kausalität zwischen IT-Störung und geltend gemachtem wirtschaftlichen Schaden häufig ein zentraler Streitpunkt.

Entgangener Gewinn

Unternehmen machen nach größeren IT-Ausfällen teilweise entgangenen Gewinn geltend.

Die bloße Behauptung, ohne den IT-Ausfall wären zusätzliche Umsätze erzielt worden, genügt jedoch nicht ohne Weiteres.

Für die rechtliche Bewertung müssen die wirtschaftlichen Auswirkungen möglichst nachvollziehbar aufbereitet werden.

Relevant können beispielsweise sein:

• frühere Umsatzzahlen,
• konkrete Aufträge,
• bestehende Kundenbeziehungen,
• Produktionskapazitäten,
• Vergleichszeiträume und
• betriebswirtschaftliche Auswertungen.

Dabei ist zwischen ausgefallenem Umsatz und tatsächlich entgangenem Gewinn zu unterscheiden.

Bei der Berechnung des entgangenen Gewinns sind insbesondere ersparte Aufwendungen und nicht realisierte variable Kosten zu berücksichtigen.

Für die gerichtliche Schadensschätzung können unter den gesetzlichen Voraussetzungen Beweiserleichterungen gelten. Dennoch müssen ausreichende tatsächliche Anhaltspunkte vorhanden sein, auf deren Grundlage die wirtschaftliche Entwicklung ohne das schädigende Ereignis beurteilt werden kann.

Kosten eines Ersatzdienstleisters

Scheitert ein IT-Projekt oder muss eine Störung kurzfristig beseitigt werden, beauftragt das Unternehmen häufig einen anderen IT-Dienstleister.

Dadurch können erhebliche Zusatzkosten entstehen.

Ersatzfähig können erforderliche und angemessene Kosten eines Ersatzdienstleisters sein, soweit sie zur Beseitigung oder Begrenzung des durch die Pflichtverletzung verursachten Schadens aufgewendet wurden.

Zu prüfen ist insbesondere:

• weshalb der Ersatzdienstleister erforderlich wurde,
• welche Leistungen dieser erbracht hat,
• ob die Maßnahmen zur Schadensbeseitigung oder -begrenzung geeignet waren,
• ob die entstandenen Kosten angemessen waren und
• in welchem Umfang sie auf die Pflichtverletzung des ursprünglichen Vertragspartners zurückzuführen sind.

Abzugrenzen sind insbesondere Kosten, die auch bei vertragsgemäßer Leistung ohnehin angefallen wären.

Eine saubere Dokumentation der übernommenen Arbeiten und Kosten ist deshalb besonders wichtig.

Schadensminderung und Mitverschulden

Auch ein geschädigtes Unternehmen muss grundsätzlich zumutbare Maßnahmen ergreifen, um einen Schaden nicht unnötig zu vergrößern.

Bei IT-Schäden kann beispielsweise relevant sein, ob:

• ein Notbetrieb möglich gewesen wäre,
• vorhandene Backups genutzt werden konnten,
• Warnhinweise ignoriert wurden,
• notwendige Updates unterblieben,
• bekannte Sicherheitsrisiken nicht behoben wurden oder
• nach Eintritt der Störung angemessen reagiert wurde.

Daraus folgt allerdings nicht, dass beispielsweise jedes unterbliebene Update automatisch ein Mitverschulden begründet.

Ob ein Verhalten des geschädigten Unternehmens als Mitverschulden oder Verletzung der Schadensminderungspflicht zu berücksichtigen ist, hängt insbesondere von der Zumutbarkeit der Maßnahme, der konkreten Kenntnislage und ihrem Einfluss auf Eintritt und Höhe des Schadens ab.

Bei komplexen IT-Systemen muss deshalb häufig nicht nur das Verhalten des Dienstleisters, sondern auch der Verantwortungsbereich des Auftraggebers untersucht werden.

Haftungsbeschränkungen in IT-Verträgen

IT-Verträge enthalten häufig umfangreiche Haftungsklauseln.

Darin werden beispielsweise:

• Haftungshöchstbeträge,
• bestimmte Schadensarten,
• mittelbare Schäden,
• Datenverlust,
• entgangener Gewinn oder
• Haftungsfälle unterschiedlicher Schwere

geregelt.

Ob eine solche Haftungsbegrenzung wirksam ist und den konkreten Schadensfall tatsächlich erfasst, muss anhand des jeweiligen Vertrags geprüft werden.

Dabei macht es einen erheblichen Unterschied, ob eine Regelung individuell ausgehandelt wurde oder als Allgemeine Geschäftsbedingung einer AGB-rechtlichen Kontrolle unterliegt.

Auch im Geschäftsverkehr zwischen Unternehmen unterliegen Allgemeine Geschäftsbedingungen einer rechtlichen Inhaltskontrolle. Zwar findet § 309 BGB im unternehmerischen Geschäftsverkehr nicht unmittelbar Anwendung. Seine gesetzlichen Wertungen können jedoch im Rahmen der Inhaltskontrolle nach § 307 BGB in Verbindung mit § 310 Abs. 1 BGB Bedeutung erlangen.

Gerade bei Haftungsregelungen muss deshalb geprüft werden, ob die konkrete Klausel den Vertragspartner unangemessen benachteiligt und ob wesentliche Vertragspflichten noch in angemessener Weise abgesichert bleiben.

Haftungsobergrenzen – „Cap“ im IT-Vertrag

Bei größeren IT-Verträgen werden häufig Haftungsobergrenzen vereinbart.

Die Haftung wird beispielsweise auf einen bestimmten Betrag oder ein Vielfaches der jährlichen Vergütung begrenzt.

Für beide Vertragsparteien ist deshalb wichtig zu prüfen:

• Welche Ansprüche erfasst der Cap?
• Gilt eine Obergrenze pro Schadensfall oder insgesamt?
• Welche Schäden sind ausgenommen?
• Gibt es unterschiedliche Haftungsstufen?
• Ist die Klausel transparent formuliert?
• Handelt es sich um eine Individualvereinbarung oder um AGB?
• Welche wesentlichen Vertragspflichten sind betroffen?
• Welche vertragstypischen und vorhersehbaren Schäden können entstehen?

Eine Haftungshöchstgrenze ist nicht automatisch unwirksam.

Ihre Wirksamkeit hängt insbesondere davon ab, wie sie vereinbart wurde, welche Pflichtverletzungen und Schadensarten sie erfasst und ob sie bei Verletzung wesentlicher Vertragspflichten die vertragstypischen und vorhersehbaren Schäden angemessen berücksichtigt.

Für Auftraggeber und IT-Anbieter sollte die Haftungsregelung deshalb bereits bei Vertragsschluss zum tatsächlichen wirtschaftlichen Risiko des Projekts passen.

Haftung bei Cyberangriffen

Nach einem Cyberangriff stellt sich häufig die Frage, ob ein IT-Dienstleister für den entstandenen Schaden verantwortlich ist.

Allein die Tatsache, dass ein Angriff erfolgreich war, beantwortet diese Frage nicht.

Zu untersuchen ist vielmehr beispielsweise:

• Welche Sicherheitsleistungen waren vereinbart?
• Welche technischen und organisatorischen Maßnahmen wurden geschuldet?
• Welche Systeme lagen im Verantwortungsbereich des Dienstleisters?
• Wurden bekannte Sicherheitslücken rechtzeitig behoben?
• Welche Mitwirkungspflichten hatte der Auftraggeber?
• Wie verlief der konkrete Angriff?
• Wäre der Schaden bei vertragsgemäßem Verhalten vermieden oder begrenzt worden?

Auch ein technisch grundsätzlich möglicher Angriff beseitigt eine Haftung nicht automatisch.

Entscheidend kann insbesondere sein, ob der konkrete Angriff bei Erfüllung der geschuldeten Sicherheits- und Schutzpflichten mit ausreichender Wahrscheinlichkeit verhindert oder in seinen Folgen begrenzt worden wäre.

Daneben sind mögliche Mitverantwortungsbeiträge des Auftraggebers und die vertragliche Risikoverteilung zu berücksichtigen.

Hier können IT-Vertragsrecht, IT-Sicherheitsrecht und gegebenenfalls Datenschutzrecht ineinandergreifen.

Mehrere IT-Dienstleister – wer ist verantwortlich?

Moderne IT-Infrastrukturen bestehen häufig aus Leistungen verschiedener Anbieter.

Ein Unternehmen nutzt beispielsweise:

• Software eines Herstellers,
• Cloud-Infrastruktur eines Providers,
• Betreuung durch ein Systemhaus,
• externe IT-Sicherheitsleistungen und
• weitere spezialisierte Dienste.

Kommt es zu einem größeren Schaden, kann jede Partei zunächst auf einen anderen Beteiligten verweisen.

Dann muss der technische Ablauf rekonstruiert und mit den jeweiligen vertraglichen Verantwortungsbereichen abgeglichen werden.

Dabei kann zusätzlich zu prüfen sein, ob ein Vertragspartner sich das Verhalten eines eingesetzten Erfüllungsgehilfen zurechnen lassen muss und ob mehrere Beteiligte für einen Schaden einzustehen haben.

Aus einem einzigen IT-Ausfall können dadurch mehrere Haftungs- und Regressverhältnisse entstehen.

Regress zwischen IT-Unternehmen

Auch ein IT-Dienstleister kann gegenüber seinem Kunden haften, obwohl die eigentliche technische Ursache möglicherweise bei einem Subunternehmer oder anderen Anbieter liegt.

Dann stellt sich zusätzlich die Frage, ob und in welchem Umfang ein Regress möglich ist.

Dabei müssen die unterschiedlichen Vertragsverhältnisse getrennt betrachtet werden.

Neben vertraglichen Regressansprüchen können je nach Sachverhalt auch Fragen einer gesamtschuldnerischen Haftung und der Zurechnung des Verhaltens eingesetzter Erfüllungsgehilfen relevant werden.

Die Haftung gegenüber dem eigenen Vertragspartner und mögliche Ansprüche gegen einen weiteren beteiligten Dienstleister sind rechtlich nicht zwangsläufig deckungsgleich.

Gerade bei größeren IT-Projekten kann deshalb eine Gesamtbetrachtung der Vertrags- und Leistungskette erforderlich sein.

Technische Sachverständige im Haftungsprozess

Bei komplexen IT-Haftungsfällen kann Sachverständigenbeweis erforderlich werden.

Technische Sachverständige können beispielsweise zur Klärung beitragen, welche Ursache ein Systemausfall hatte oder ob eine Software bestimmte technische Anforderungen erfüllte.

Die rechtliche Bewertung bleibt Aufgabe des Gerichts.

Die Beweisfragen müssen deshalb so formuliert werden, dass der Sachverständige technische Tatsachen und Zusammenhänge beurteilt, nicht aber die rechtliche Haftung oder die Auslegung des Vertrags entscheidet.

Ein Sachverständiger soll nicht erst herausfinden, welche Vertragspartei möglicherweise irgendeinen Fehler gemacht haben könnte.

Vielmehr müssen die entscheidenden technischen Streitfragen zuvor möglichst konkret herausgearbeitet und mit den rechtlich relevanten Tatsachen verbunden werden.

IT-Versicherung und Cyberversicherung

Bei größeren Schadensfällen sollte auch geprüft werden, welche Versicherungen auf Seiten der Beteiligten bestehen.

In Betracht kommen beispielsweise:

• Berufshaftpflichtversicherungen,
• Vermögensschadenhaftpflichtversicherungen,
• Betriebshaftpflichtversicherungen oder
• Cyberversicherungen.

Ob ein konkreter Schaden vom jeweiligen Versicherungsschutz umfasst ist, hängt von den Versicherungsbedingungen ab.

Ebenso wichtig können Anzeige-, Aufklärungs- und Schadenminderungsobliegenheiten sein. Deren Verletzung kann Auswirkungen auf den Versicherungsschutz haben.

Nach einem IT- oder Cybervorfall sollte deshalb geprüft werden, wann und in welcher Form der Versicherer nach den Versicherungsbedingungen einzubeziehen ist.

Maßnahmen der technischen Aufklärung und Schadenminderung sollten sorgfältig dokumentiert und – soweit im konkreten Fall erforderlich und möglich – mit dem Versicherer abgestimmt werden.

Ansprüche durchsetzen oder Schadensersatzforderung abwehren

IT-Haftungsfälle haben zwei Seiten.

Ein geschädigtes Unternehmen möchte seine Ansprüche möglichst vollständig durchsetzen.

Der in Anspruch genommene Softwareanbieter oder IT-Dienstleister muss dagegen prüfen, ob die behauptete Pflichtverletzung tatsächlich besteht und ob die geltend gemachten Schäden nachweisbar und rechtlich zurechenbar sind.

Wir beraten deshalb sowohl:

Unternehmen bei der Durchsetzung von IT-Schadensersatzansprüchen

als auch

Softwareanbieter und IT-Dienstleister bei der Abwehr entsprechender Forderungen.

Voraussetzung ist selbstverständlich, dass im konkreten Mandat keine Interessenkollision besteht.

Ihr Ansprechpartner bei IT-Haftung und Schadensersatz

Rechtsanwalt Karsten Rößner

Rechtsanwalt Karsten Rößner berät und vertritt Unternehmen, Softwareanbieter und IT-Dienstleister bei IT-Haftungsfällen und Schadensersatzforderungen – sowohl bei der Durchsetzung eigener Ansprüche als auch bei der Abwehr wirtschaftlich erheblicher Forderungen.

Er hat den Fachanwaltslehrgang Informationstechnologierecht erfolgreich absolviert und verfügt als zertifizierter externer Datenschutzbeauftragter über besondere Erfahrung an der Schnittstelle von IT-Recht, Datenschutz und technischen Unternehmensprozessen.

Ein besonderer Schwerpunkt liegt auf Haftungsfragen bei Softwarefehlern, Systemausfällen, Datenverlusten und gescheiterten IT-Projekten, der Prüfung vertraglicher Haftungsbeschränkungen sowie Schadensersatz- und Regressansprüchen zwischen Unternehmen und IT-Dienstleistern.

Mehr über Rechtsanwalt Karsten Rößner →

Häufige Fragen zu IT-Haftung und Schadensersatz