Software-, SaaS- und Cloud-Verträge für Unternehmen

Software wird heute häufig nicht mehr einmalig gekauft und auf eigenen Systemen installiert. Unternehmen beziehen Anwendungen als Cloud-Dienst, nutzen Software-as-a-Service oder verlagern ganze Geschäftsprozesse auf externe IT-Infrastrukturen.

Damit verändert sich auch die Vertragsgestaltung. Neben dem eigentlichen Funktionsumfang gewinnen Verfügbarkeit, Service Levels, Datenzugriff, IT-Sicherheit, Datenschutz, Haftung und vor allem die Frage an Bedeutung, was bei Störungen oder am Ende der Vertragsbeziehung geschieht.

Die Kanzlei Rößner & Merle berät Unternehmen, Softwareanbieter und IT-Dienstleister bei der Gestaltung und Prüfung von Software-, SaaS- und Cloud-Verträgen sowie bei daraus entstehenden rechtlichen Auseinandersetzungen.

Bei geeigneten Mandaten übernehmen wir die Beratung und Vertretung von Alsfeld aus bundesweit.

Das Wichtigste in Kürze

• Gestaltung und Prüfung von Softwareverträgen
• SaaS- und Cloud-Verträge
• Verträge über individuelle Softwareentwicklung
• Leistungsbeschreibung und Leistungsumfang
• Service Level Agreements – SLA
• Verfügbarkeit und Reaktionszeiten
• Wartung, Support und Updates
• Nutzungs- und Lizenzrechte
• Vergütung und Preisanpassungen
• Datenschutz und Auftragsverarbeitung
• IT-Sicherheit
• Haftung und Haftungsbegrenzungen
• Vertragslaufzeit und Kündigung
• Datenherausgabe und Exit-Regelungen
• Vendor Lock-in und Anbieterwechsel
• Außergerichtliche und gerichtliche Vertretung bei Vertragsstreitigkeiten

Warum SaaS- und Cloud-Verträge besondere Aufmerksamkeit benötigen

Bei einer klassischen Softwareüberlassung erhält das Unternehmen eine Software und kann diese häufig auf eigener Infrastruktur einsetzen.

Bei SaaS- und Cloud-Modellen bleibt das Unternehmen dagegen dauerhaft auf Leistungen des Anbieters angewiesen.

Fällt der Dienst aus, werden Funktionen verändert oder endet die Vertragsbeziehung, kann dies unmittelbar betriebliche Auswirkungen haben.

Deshalb sollte ein Vertrag nicht nur regeln, was zu Beginn bereitgestellt wird, sondern den gesamten Lebenszyklus der Geschäftsbeziehung erfassen.

Besonders wichtig sind dabei drei Phasen:

Einführung – laufender Betrieb – Vertragsbeendigung.

Ein Vertrag, der lediglich die erste Phase sauber regelt, kann für ein langfristig genutztes Cloud-System erhebliche Risiken offenlassen.

Was genau schuldet der Anbieter?

Eine der wichtigsten Fragen jedes Softwarevertrags lautet:

Welche konkrete Leistung muss der Anbieter erbringen?

Allgemeine Formulierungen wie „Bereitstellung einer leistungsfähigen Softwarelösung“ reichen bei wirtschaftlich wichtigen Systemen häufig nicht aus.

Je nach Projekt können insbesondere geregelt werden:

• Funktionsumfang
• Schnittstellen
• Benutzerzahlen
• Speicherkapazitäten
• Datenmigration
• Implementierungsleistungen
• Konfiguration
• Schulungen
• Dokumentation
• Support
• Wartung
• Updates und Weiterentwicklung
• technische Voraussetzungen

Je präziser die geschuldete Leistung beschrieben wird, desto geringer ist später das Risiko eines Streits darüber, ob eine bestimmte Funktion überhaupt Vertragsbestandteil war.

SaaS-Verträge – Software als dauerhafte Dienstleistung

Bei Software-as-a-Service wird die Software regelmäßig nicht dauerhaft auf die Systeme des Kunden übertragen.

Der Anbieter stellt die Anwendung vielmehr über einen bestimmten Zeitraum zur Nutzung bereit.

Dadurch entstehen besondere Vertragsfragen:

• Welche Funktionen müssen dauerhaft verfügbar sein?
• Darf der Anbieter Funktionen verändern?
• Wie werden Updates eingespielt?
• Welche Verfügbarkeit wird zugesagt?
• Wie schnell muss auf Störungen reagiert werden?
• Welche Supportleistungen sind enthalten?
• Wie dürfen Preise angepasst werden?
• Welche Mindestlaufzeit gilt?
• Unter welchen Voraussetzungen kann gekündigt werden?
• Was geschieht mit den Daten nach Vertragsende?

Gerade bei geschäftskritischen SaaS-Anwendungen sollten diese Fragen nicht erst geklärt werden, wenn eine Störung oder Vertragsbeendigung bevorsteht.

Cloud-Verträge und Abhängigkeit vom Anbieter

Cloud-Dienste können erhebliche wirtschaftliche Vorteile bieten.

Gleichzeitig verlagert das Unternehmen wesentliche technische Funktionen auf einen externen Anbieter.

Je zentraler der Cloud-Dienst für den Geschäftsbetrieb ist, desto größer kann die Abhängigkeit werden.

Vor Vertragsschluss sollte deshalb insbesondere geprüft werden:

• Welche Leistungen werden tatsächlich garantiert?
• Welche Verfügbarkeiten gelten?
• Welche Reaktionszeiten bestehen?
• Wo werden Daten verarbeitet?
• Welche Subunternehmer werden eingesetzt?
• Welche Sicherheitsanforderungen gelten?
• Welche Haftung übernimmt der Anbieter?
• Wie können Daten exportiert werden?
• Was geschieht bei Vertragsende?
• Wie kann zu einem anderen Anbieter gewechselt werden?

Die Frage des späteren Exit sollte bereits beim Abschluss des Vertrags berücksichtigt werden.

Service Level Agreements – SLA

Service Level Agreements konkretisieren die Qualität einer IT-Dienstleistung.

Typische Regelungsgegenstände sind:

• Systemverfügbarkeit
• Wartungsfenster
• Reaktionszeiten
• Wiederherstellungszeiten
• Fehlerklassen
• Supportzeiten
• Eskalationsverfahren

Eine bloße Prozentzahl zur Verfügbarkeit reicht jedoch häufig nicht aus.

Beispielsweise muss geklärt werden, wie die Verfügbarkeit berechnet wird, welche Ausfallzeiten nicht berücksichtigt werden und welche Rechtsfolgen eintreten, wenn vereinbarte Service Levels unterschritten werden.

Ein SLA sollte deshalb immer gemeinsam mit den übrigen Vertragsregelungen betrachtet werden.

99,9 Prozent Verfügbarkeit – was bedeutet das tatsächlich?

Verfügbarkeitsangaben wirken auf den ersten Blick eindeutig.

In der Praxis hängt ihre Aussagekraft jedoch von der Berechnungsmethode ab.

Zu prüfen ist beispielsweise:

• Auf welchen Zeitraum bezieht sich die Prozentangabe?
• Werden Wartungszeiten herausgerechnet?
• Welche Störungen gelten überhaupt als Ausfall?
• Wo wird die Verfügbarkeit gemessen?
• Welche Konsequenzen hat eine Unterschreitung?
• Bestehen lediglich Service Credits oder weitergehende Ansprüche?

Für ein Unternehmen, dessen Geschäftsbetrieb unmittelbar von einer Anwendung abhängt, können diese Details wirtschaftlich entscheidend sein.

Wartung, Support und Updates

Bei längerfristigen Softwareverträgen endet die Leistungspflicht häufig nicht mit der erstmaligen Bereitstellung.

Es können insbesondere Leistungen geschuldet sein zu:

• Fehlerbeseitigung
• technischem Support
• Sicherheitsupdates
• Funktionsupdates
• Anpassungen an geänderte technische Umgebungen
• neuen Versionen
• Dokumentation

Dabei sollte möglichst klar geregelt werden, welche Leistungen von der laufenden Vergütung umfasst sind und welche Änderungen zusätzlich berechnet werden können.

Anderenfalls können später erhebliche Vergütungs- und Leistungsstreitigkeiten entstehen.

Nutzungsrechte an Software

Software ist regelmäßig urheberrechtlich geschützt.

Deshalb muss der Vertrag klären, in welchem Umfang der Kunde die Software nutzen darf.

Relevant können beispielsweise sein:

• Anzahl der Nutzer
• Anzahl der Systeme oder Standorte
• Konzernnutzung
• Nutzung durch verbundene Unternehmen
• Übertragbarkeit
• Unterlizenzierung
• zeitliche Begrenzung
• räumliche Begrenzung
• Bearbeitungsrechte
• Nutzung nach Vertragsende

Bei individuell entwickelter Software stellt sich zusätzlich häufig die Frage, welche Rechte am speziell entwickelten Quellcode und an einzelnen Komponenten übertragen werden.

Daten gehören nicht einfach „dem Kunden“

Bei Cloud- und SaaS-Verträgen wird häufig formuliert, die Daten „gehörten“ dem Kunden.

Rechtlich ist diese Formulierung allein jedoch häufig zu unpräzise.

Entscheidend ist vielmehr, welche Rechte und Pflichten bezüglich der gespeicherten Informationen bestehen.

Der Vertrag sollte insbesondere klären:

• Wer darf welche Daten nutzen?
• In welchem Format können Daten exportiert werden?
• Wann müssen Daten herausgegeben werden?
• Wie lange bleiben sie nach Vertragsende verfügbar?
• Wann werden sie gelöscht?
• Welche Sicherungspflichten bestehen?
• Welche Unterstützung muss der Anbieter beim Anbieterwechsel leisten?

Gerade bei einem späteren Vertragskonflikt können diese Fragen erhebliche praktische Bedeutung bekommen.

Datenschutz bei SaaS und Cloud

Werden personenbezogene Daten über einen SaaS- oder Cloud-Anbieter verarbeitet, müssen zusätzlich datenschutzrechtliche Anforderungen berücksichtigt werden.

Zu prüfen ist insbesondere, welche datenschutzrechtliche Rolle der Anbieter einnimmt und ob eine Auftragsverarbeitung vorliegt.

Daneben können beispielsweise relevant sein:

• technische und organisatorische Maßnahmen
• Unterauftragnehmer
• Verarbeitungsorte
• internationale Datenübermittlungen
• Löschung und Rückgabe von Daten
• Unterstützungspflichten
• Sicherheitsvorfälle

Die datenschutzrechtliche Vereinbarung sollte mit dem eigentlichen IT-Vertrag übereinstimmen und nicht als isoliertes Dokument betrachtet werden.

Die laufende datenschutzrechtliche Betreuung eines Unternehmens ist hiervon zu unterscheiden. Im Rahmen der Kanzlei beraten wir punktuell zu konkreten rechtlichen Fragestellungen des jeweiligen IT-Vertrags oder Rechtsfalls.

IT-Sicherheit vertraglich regeln

Bei geschäftskritischen Cloud- und SaaS-Diensten kann die IT-Sicherheit nicht allein der technischen Umsetzung überlassen werden.

Auch vertraglich sollte geklärt sein, welche Sicherheitsleistungen der Anbieter schuldet.

Je nach Dienst können beispielsweise relevant sein:

• Zugriffsschutz
• Verschlüsselung
• Backup
• Wiederherstellung
• Patch- und Updateprozesse
• Sicherheitsüberwachung
• Incident Management
• Informationspflichten bei Sicherheitsvorfällen

Kommt es später zu einem Cyberangriff oder Datenverlust, kann die vertragliche Aufgabenverteilung entscheidend dafür sein, wer für den entstandenen Schaden einzustehen hat.

Haftung bei Ausfällen und Datenverlust

Ein Ausfall eines geschäftskritischen IT-Systems kann erhebliche Schäden verursachen.

Verträge enthalten deshalb häufig umfangreiche Haftungsbeschränkungen.

Zu prüfen ist beispielsweise:

• Für welche Pflichtverletzungen wird gehaftet?
• Welche Haftungshöchstbeträge gelten?
• Sind bestimmte Schadensarten ausgeschlossen?
• Wie werden Datenverlust und Wiederherstellung behandelt?
• Welche Regelungen gelten bei Datenschutz- oder Sicherheitsverletzungen?
• Passen die Haftungsgrenzen zum tatsächlichen wirtschaftlichen Risiko?

Eine Haftungsregelung sollte nicht isoliert betrachtet werden.

Je stärker ein Unternehmen von einem IT-System abhängig ist, desto wichtiger ist das Zusammenspiel von Leistungspflichten, Service Levels, Haftung und Versicherungsschutz.

Preisanpassungen bei langfristigen SaaS-Verträgen

SaaS-Verträge laufen häufig über viele Jahre.

Anbieter möchten deshalb Möglichkeiten zur Anpassung ihrer Preise vorsehen.

Für Kunden stellt sich dagegen die Frage, in welchem Umfang sie langfristig mit den vereinbarten Kosten kalkulieren können.

Preisanpassungsklauseln sollten deshalb klar regeln, unter welchen Voraussetzungen und in welchem Umfang Preise verändert werden dürfen.

Ebenso sollte geprüft werden, welche Rechte dem Kunden bei erheblichen Preisänderungen zustehen.

Vertragslaufzeit und Kündigung

Langfristige IT-Verträge können erhebliche wirtschaftliche Bindungen erzeugen.

Vor Vertragsschluss sollte deshalb geklärt werden:

• Welche Mindestlaufzeit besteht?
• Verlängert sich der Vertrag automatisch?
• Welche Kündigungsfristen gelten?
• Gibt es Sonderkündigungsrechte?
• Welche Folgen haben erhebliche Leistungsstörungen?
• Was geschieht bei einer vorzeitigen Vertragsbeendigung?

Eine Kündigung sollte bei geschäftskritischen Systemen nicht isoliert betrachtet werden.

Entscheidend ist gleichzeitig, wie der Geschäftsbetrieb anschließend fortgeführt werden kann.

Exit-Regelungen – der Vertrag muss auch sein Ende regeln

Eine der wichtigsten und zugleich häufig vernachlässigten Fragen lautet:

Wie kommt das Unternehmen wieder aus dem System heraus?

Bei Vertragsende kann es erforderlich sein, große Datenbestände zu exportieren und auf einen neuen Anbieter zu übertragen.

Deshalb sollten bereits im Vertrag Regelungen vorgesehen werden zu:

• Datenexport
• Datenformaten
• Übergangsfristen
• Migrationsunterstützung
• Dokumentation
• Schnittstellen
• Löschung beim bisherigen Anbieter
• Kosten der Exit-Unterstützung

Ein guter Cloud-Vertrag regelt nicht nur den Einstieg, sondern auch einen geordneten Anbieterwechsel.

Vendor Lock-in – wenn ein Anbieterwechsel praktisch kaum möglich ist

Je stärker ein Unternehmen seine Prozesse an eine bestimmte Plattform anpasst, desto schwieriger kann ein späterer Wechsel werden.

Ein solcher Vendor Lock-in kann insbesondere entstehen durch:

• proprietäre Datenformate
• fehlende Exportmöglichkeiten
• individuelle Schnittstellen
• langfristige Vertragsbindungen
• hohe Migrationskosten
• fehlende technische Dokumentation

Nicht jede Abhängigkeit lässt sich vermeiden.

Sie sollte aber erkannt und soweit möglich vertraglich berücksichtigt werden.

Wenn aus dem SaaS- oder Cloud-Vertrag ein Rechtsstreit wird

Typische Konflikte können beispielsweise entstehen über:

• Systemausfälle
• Unterschreitung vereinbarter Service Levels
• fehlende Funktionen
• Preiserhöhungen
• zusätzliche Vergütung
• Datenschutzverletzungen
• Sicherheitsvorfälle
• Kündigung
• Datenherausgabe
• Migration
• Schadensersatz

Bei wirtschaftlich wichtigen Systemen kann ein solcher Streit schnell erhebliche Auswirkungen auf den laufenden Geschäftsbetrieb haben.

Dann sollte neben den rechtlichen Ansprüchen immer geprüft werden, wie die technische Handlungsfähigkeit des Unternehmens erhalten werden kann.

Typischer Irrtum: „Das ist ein Standard-Cloud-Vertrag – da kann man ohnehin nichts ändern“

Große Anbieter verwenden regelmäßig standardisierte Vertragsbedingungen.

Das bedeutet jedoch nicht, dass eine rechtliche Prüfung überflüssig ist.

Auch wenn einzelne Klauseln nicht verhandelbar sind, muss ein Unternehmen wissen, welche Risiken es tatsächlich übernimmt.

Erst dann kann entschieden werden, ob diese Risiken wirtschaftlich akzeptabel sind oder durch technische, organisatorische oder versicherungsrechtliche Maßnahmen reduziert werden müssen.

Bei individuell verhandelbaren Unternehmensverträgen besteht häufig zusätzlicher Gestaltungsspielraum.

Praxisbeispiel: Wechsel eines geschäftskritischen SaaS-Anbieters

Ein Unternehmen nutzt seit mehreren Jahren eine cloudbasierte Unternehmenssoftware.

Nach erheblichen Preiserhöhungen und wiederkehrenden Leistungsproblemen soll der Anbieter gewechselt werden.

Erst jetzt stellt sich heraus, dass der Vertrag nur unzureichende Regelungen zur Datenmigration enthält. Ein vollständiger Export ist technisch schwierig und der bisherige Anbieter verlangt für die Unterstützung beim Wechsel eine erhebliche zusätzliche Vergütung.

Gleichzeitig muss das neue System eingeführt werden, ohne den laufenden Geschäftsbetrieb zu unterbrechen.

Nun sind nicht nur Kündigungsfristen und Vergütungsfragen zu prüfen. Entscheidend ist insbesondere, welche Ansprüche auf Datenbereitstellung, Dokumentation und Mitwirkung beim Übergang bestehen.

Das Beispiel zeigt, weshalb Exit-Regelungen bereits beim Abschluss eines SaaS- oder Cloud-Vertrags berücksichtigt werden sollten.

Wann sollten Unternehmen einen Software-, SaaS- oder Cloud-Vertrag anwaltlich prüfen lassen?

Eine rechtliche Prüfung ist insbesondere sinnvoll, wenn:

• eine geschäftskritische Software eingeführt wird,
• ein umfangreicher SaaS- oder Cloud-Vertrag abgeschlossen werden soll,
• erhebliche langfristige Zahlungsverpflichtungen entstehen,
• sensible oder umfangreiche Unternehmensdaten verarbeitet werden,
• individuelle Software entwickelt wird,
• besondere Verfügbarkeitsanforderungen bestehen,
• Haftungsregelungen erhebliche Risiken verlagern,
• eine starke Abhängigkeit vom Anbieter entstehen kann,
• ein Anbieterwechsel vorbereitet wird oder
• bereits ein erheblicher Vertragsstreit entstanden ist.

Je wichtiger das IT-System für den Geschäftsbetrieb ist, desto wichtiger ist eine Vertragsgestaltung, die nicht nur den Normalbetrieb, sondern auch Störung, Eskalation und Vertragsende berücksichtigt.

Ihr Ansprechpartner für Software-, SaaS- und Cloud-Verträge

Rechtsanwalt Karsten Rößner

Rechtsanwalt Karsten Rößner berät und vertritt Unternehmen, Softwareanbieter und IT-Dienstleister bei der Gestaltung, Prüfung und Durchsetzung von Software-, SaaS- und Cloud-Verträgen sowie bei daraus entstehenden rechtlichen Auseinandersetzungen.

Er hat den Fachanwaltslehrgang Informationstechnologierecht erfolgreich absolviert und verfügt als zertifizierter externer Datenschutzbeauftragter über besondere Erfahrung an der Schnittstelle von IT-Recht, Datenschutz und technischen Unternehmensprozessen.

Ein besonderer Schwerpunkt liegt auf Leistungsbeschreibungen, Service Levels und Verfügbarkeit, Datenschutz und IT-Sicherheit, Haftungsregelungen, Vertragslaufzeit und Kündigung sowie Datenherausgabe, Migration und Exit-Regelungen.

Mehr über Rechtsanwalt Karsten Rößner →

Häufige Fragen zu Software-, SaaS- und Cloud-Verträgen

Prüfen Sie Verträge sowohl für Kunden als auch für IT-Anbieter?

Ja. Wir beraten sowohl Unternehmen auf Kundenseite als auch Softwareanbieter und IT-Dienstleister. Voraussetzung ist selbstverständlich, dass im konkreten Fall keine Interessenkollision besteht.

Ist für SaaS immer ein Auftragsverarbeitungsvertrag erforderlich?

Nein. Zunächst muss geprüft werden, welche datenschutzrechtliche Rolle die Beteiligten tatsächlich einnehmen. Liegt eine Auftragsverarbeitung vor, sind die Anforderungen des Art. 28 DSGVO zu berücksichtigen.

Was ist bei einem Cloud-Vertrag besonders wichtig?

Neben Leistungsumfang und Vergütung sind insbesondere Verfügbarkeit, Support, Datenschutz, IT-Sicherheit, Haftung sowie Datenexport und Exit-Regelungen von Bedeutung.

Können Sie auch bestehende SaaS-Verträge vor einer Kündigung prüfen?

Ja. Gerade vor der Beendigung eines geschäftskritischen Vertrags sollten Kündigungsfolgen, Datenzugriff, Migration, Vergütung und mögliche Ansprüche geprüft werden.

Vertreten Sie Unternehmen auch bei Streitigkeiten aus SaaS- und Cloud-Verträgen?

Ja. Wir übernehmen bei geeigneten Mandaten sowohl die außergerichtliche als auch die gerichtliche Vertretung.

Ist eine bundesweite Beratung möglich?

Ja. Software-, SaaS- und Cloud-Verträge können regelmäßig auf Grundlage digitaler Vertrags- und Projektunterlagen bearbeitet werden. Bei geeigneten Mandaten beraten und vertreten wir Unternehmen von Alsfeld aus bundesweit.

Software-, SaaS- oder Cloud-Vertrag rechtlich prüfen lassen

Bei geschäftskritischen IT-Systemen sollte ein Vertrag nicht nur für den störungsfreien Normalbetrieb funktionieren.

Ebenso wichtig ist, was bei Leistungsstörungen, Ausfällen, Sicherheitsvorfällen, Preisänderungen, einem Anbieterwechsel oder einer späteren Vertragsbeendigung geschieht.

Rechtsanwalt Karsten Rößner berät Unternehmen, Softwareanbieter und IT-Dienstleister bei der Gestaltung, Prüfung und Durchsetzung von Software-, SaaS- und Cloud-Verträgen sowie bei daraus entstehenden rechtlichen Auseinandersetzungen – bei geeigneten Mandaten bundesweit.

Sie erreichen die Kanzlei telefonisch oder per E-Mail zur Vereinbarung eines Besprechungstermins. Kontakt und Anfahrt zur Kanzlei →