EVB-IT Cloud: Cloud-Leistungen der öffentlichen Hand

Cloud-Leistungen sind in der öffentlichen Hand längst Standard: E-Akte, Fachverfahren, Kollaborationsplattformen, Videokonferenzsysteme. Gleichzeitig sind die rechtlichen Risiken hoch, von Lock-in über Performance-Probleme bis zu Datenschutzverstößen. Mit dem EVB-IT Cloudvertrag gibt es inzwischen ein eigenes Vertragsmuster, das speziell auf diese Szenarien zugeschnitten ist. In der Praxis zeigt sich aber: Wer den Vertrag wie einen klassischen EVB-IT System- oder Pflegevertrag behandelt, verliert schnell den Überblick und verschenkt Steuerungsmöglichkeiten.

Im Folgenden schauen wir uns an, wie du den EVB-IT Cloudvertrag sinnvoll nutzt, welche Rolle Leistungsscheine und SLAs spielen, wie du Datenschutz und Exit sauber regelst und worin die zentralen Unterschiede zu klassischen IT-Verträgen liegen.

Passende Seminare und Termine findest du bei uns auf cmt.de.

Einordnung: Was regelt der EVB-IT Cloudvertrag eigentlich?

Der EVB-IT Cloudvertrag ist ein Mustervertrag für die Beschaffung von Cloud-Leistungen durch öffentliche Auftraggeber. Er richtet sich an Leistungen, die typischerweise als „as a Service“ bereitgestellt werden, etwa:

• SaaS: Fachverfahren, E-Akte, Kollaboration, Office
• PaaS: Entwicklungs- und Betriebsplattformen
• IaaS: virtuelle Server, Storage, Netzwerkressourcen

Wesentliche Merkmale:

• Standardisierte Leistungen des Auftragnehmers, meist ohne individuelle Programmierung oder nur mit begrenzten Customizing-Anteilen
• Dauerhafte Nutzung über einen längeren Zeitraum, mit laufenden Entgelten
• Starke Abhängigkeit von Verfügbarkeit, Performance und Support
• Hohe Relevanz von Datenschutz, Datensicherheit und Exit-Szenarien

Rechtlich ist der EVB-IT Cloudvertrag als Mischvertrag angelegt. Es finden sich dienstvertragliche Elemente (z. B. Bereitstellung der Services) und mietvertragsähnliche Komponenten (Überlassung von Ressourcen), teilweise auch werkvertragliche Elemente, etwa bei einmaligen Migrationsleistungen. Im Vergabeverfahren solltest du diese Mischstruktur kennen, um Leistungsbeschreibung, Eignungskriterien und Zuschlagskriterien darauf abzustimmen.

Leistungsscheine: Herzstück der Cloud-Beschreibung

In klassischen EVB-IT Verträgen wird die Leistung häufig über Pflichtenhefte oder Anlagen mit detaillierten Funktionsbeschreibungen geregelt. Im Cloudkontext verschiebt sich der Schwerpunkt: Die laufende Serviceerbringung steht im Vordergrund. Der EVB-IT Cloudvertrag arbeitet deshalb stark mit Leistungsscheinen.

Typische Leistungsscheine sind zum Beispiel:

• Leistungsschein „Servicebeschreibung“
• Leistungsschein „Betrieb und Verfügbarkeit“
• Leistungsschein „Support und Störungsbearbeitung“
• Leistungsschein „Migration und Inbetriebnahme“
• Leistungsschein „Datenschutz und Informationssicherheit“
• Leistungsschein „Exit und Datenrückgabe“

Worauf solltest du achten:

1. Klarer Scope der Cloud-Leistung Definiere sauber, was genau Bestandteil der Cloud-Leistung ist und was nicht. Beispiele:

• Welche Module und Features sind inkludiert, welche optional?
• Gibt es Obergrenzen, etwa Nutzerzahl, Speicher, Transaktionen?
• Welche Schnittstellen und APIs stehen zur Verfügung, mit welchen Protokollen?

2. Mandantenfähigkeit und Rollenmodell Gerade bei Fachverfahren und Kollaborationslösungen ist wichtig:

• Wie werden Mandanten, Organisationseinheiten und Rollen abgebildet?
• Welche administrativen Rechte hat die Vergabestelle selbst, was macht der Anbieter?

3. Standard vs. Customizing Cloud-Leistungen sind typischerweise standardisiert. Trotzdem gibt es Konfigurationen und ggf. kleinere Anpassungen. Dokumentiere:

• Welche Einstellungen nimmt der Auftragnehmer vor, welche du selbst?
• Welche Anpassungen sind im Preis enthalten, welche nur gegen Zusatzentgelt?

Fehlt diese Klarheit, drohen spätere Diskussionen über „Mehrleistungen“ und Verantwortlichkeiten bei Störungen.

SLAs: Verfügbarkeit, Reaktionszeiten, Servicezeiten

Ohne belastbare Service Level Agreements (SLAs) ist ein EVB-IT Cloudvertrag praktisch zahnlos. Anders als bei On-Premises-Lösungen liegen Betrieb und Infrastruktur vollständig beim Anbieter. Du kannst Probleme nicht einfach an deine interne IT „durchreichen“. Entsprechend präzise müssen die SLAs sein.

Wichtige SLA-Bausteine:

• Verfügbarkeit

• Messgröße: z. B. monatliche oder jährliche Verfügbarkeitsquote

• Messzeitraum und Messmethode klar definieren

• Wartungsfenster und geplante Downtimes ausdrücklich regeln

• Umgang mit „Force Majeure“ und Netzausfällen Dritter

• Performance

• Antwortzeiten für typische Transaktionen oder API-Calls

• Limits für gleichzeitige Nutzer oder Transaktionen

• Umgang mit Lastspitzen, Skalierungsmechanismen

• Support und Störungen

• Prioritätsklassen mit Beispielen (z. B. P1: Systemstillstand, P2: wesentliche Funktion beeinträchtigt)

• Reaktionszeiten und Entstörfristen je Priorität

• Kommunikationswege und Servicezeiten (z. B. 24/7 oder werktags)

• SLA-Sanktionen

• Servicegutschriften oder Minderungen bei Nichterfüllung

• Schwellenwerte für Sonderkündigungsrechte bei wiederholten SLA-Verletzungen

Hilfreich ist eine tabellarische Übersicht, die du in den Leistungsschein übernimmst:

SLA-Bereich	Kennzahl	Zielwert	Messzeitraum	Sanktion bei Verstoß
Verfügbarkeit	Systemverfügbarkeit	99,5 % im Monat	Kalendermonat	Gutschrift x % des Monatsentgelts
Support P1	Reaktionszeit	30 Minuten	je Ticket	Eskalation an 2nd Level
Support P1	Entstörfrist	4 Stunden	je Ticket	zusätzliche Gutschrift
Performance	Antwortzeit Web-UI	≤ 2 Sekunden im Mittel	Kalendertag	Analyse- und Optimierungspflicht

Wichtig: SLAs sollten realistisch und messbar sein. Werte, die der Anbieter faktisch nie erreichen kann, bringen dir wenig. Umgekehrt sind zu weiche Formulierungen wie „grundsätzlich hohe Verfügbarkeit“ praktisch wertlos.

Datenschutz: Cloud, DSGVO und Drittstaatentransfers

Cloud bedeutet fast immer Verarbeitung personenbezogener Daten, häufig in großem Umfang und mit hoher Sensibilität. Für öffentliche Stellen kommt hinzu, dass die Aufsichtsbehörden hohe Maßstäbe anlegen. Im EVB-IT Cloudvertrag musst du deshalb die Rollen nach DSGVO und BDSG sauber abbilden.

Typischerweise gilt:

• Du bist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO
• Der Cloud-Anbieter ist Auftragsverarbeiter nach Art. 28 DSGVO

Konsequenzen für den Vertrag:

1. Auftragsverarbeitungsvertrag (AVV)

• Art und Zweck der Verarbeitung
• Kategorien von Daten und Betroffenen
• Unterauftragsverarbeiter, deren Auswahl und Kontrolle
• Technische und organisatorische Maßnahmen (TOM)
• Unterstützungsleistungen des Anbieters bei Betroffenenrechten, Datenschutz-Folgenabschätzungen usw.

Idealerweise wird der AVV als eigener Leistungsschein oder Anlage in den EVB-IT Cloudvertrag integriert. Verweise auf „gültige Standardbedingungen des Anbieters“ reichen in der Regel nicht aus.

2. Standorte und Datenflüsse

• Welche Rechenzentrumsstandorte werden genutzt, in welchen Ländern?
• Werden Daten in Drittstaaten übermittelt, insbesondere in die USA?
• Welche Übermittlungsinstrumente werden genutzt (z. B. Standardvertragsklauseln)?

Aufgrund der Rechtsprechung des EuGH (Stichwort „Schrems II“) musst du hier besonders genau hinsehen. Pauschale Zusicherungen ohne konkrete technische Maßnahmen sind riskant.

3. Informationssicherheit

• Referenzen auf Standards wie ISO 27001 oder BSI-Grundschutz können helfen, ersetzen aber keine konkrete Beschreibung der TOM.
• Logging, Monitoring, Verschlüsselung, Zugriffskontrollen und Backupkonzepte sollten konkret beschrieben sein.

4. Behördenspezifische Anforderungen

• Geheimhaltungsgrade, Verschlusssachen
• besondere Archivierungspflichten
• Anforderungen aus Fachgesetzen, etwa SGB, AO, StPO

Hier ist eine enge Abstimmung mit Datenschutzbeauftragten und Informationssicherheit sinnvoll, bevor du die Leistungsbeschreibung finalisierst und das Vergabeverfahren startest.

Exit: Wie kommst du aus der Cloud wieder heraus?

Ein häufiger Fehler in Cloudverträgen ist, dass der Einstieg detailliert geregelt wird, der Ausstieg aber kaum. Das rächt sich spätestens bei Anbieterwechseln oder Vertragsbeendigung. Der EVB-IT Cloudvertrag sieht deshalb eigene Regelungen zum Exit vor. Du solltest diese nicht nur formell übernehmen, sondern inhaltlich füllen.

Zentrale Fragen:

• Datenrückgabe

• In welchen Formaten werden die Daten zurückgegeben (z. B. XML, CSV, PDF/A)?

• Werden Strukturen, Metadaten, Protokolle mitgeliefert?

• Gibt es Exportfunktionen, die du selbst nutzen kannst?

• Datenlöschung

• Wann und wie werden Daten nach Vertragsende gelöscht?

• Wie wird die Löschung nachgewiesen (Löschprotokoll, Bestätigung)?

• Unterstützungsleistungen beim Wechsel

• Unterstützt der Anbieter bei der Migration zu einem neuen Dienstleister?

• Welche Leistungen sind im regulären Entgelt enthalten, welche gesondert zu vergüten?

• Lizenz- und Nutzungsrechte

• Dürfen exportierte Daten und ggf. Konfigurationen bei einem Nachfolger weitergenutzt werden?

• Gibt es Abhängigkeiten von proprietären Formaten oder Schnittstellen?

Gerade bei Fachverfahren mit Archivierungs- und Aufbewahrungspflichten ist ein praxistaugliches Exit-Szenario unverzichtbar. Sonst drohen Datenverluste oder extrem aufwendige Migrationsprojekte.

Unterschiede zu klassischen EVB-IT Verträgen

Viele Vergabestellen sind mit EVB-IT System, Systemlieferung, Kauf und Pflege vertraut. Der EVB-IT Cloudvertrag unterscheidet sich aber an mehreren Stellen grundlegend.

Wesentliche Unterschiede:

1. Fokus auf laufenden Service statt einmaliger Lieferung Bei System- oder Systemlieferverträgen dreht sich vieles um die Abnahme eines fertigen Systems. Beim EVB-IT Cloudvertrag steht die dauerhafte Serviceerbringung im Vordergrund. Abnahme spielt nur noch für einzelne Projektleistungen wie Migration oder Customizing eine Rolle.

2. Starke Rolle der SLAs In klassischen Verträgen sind Wartung und Pflege wichtig, aber oft austauschbar. In der Cloud sind SLAs der Kern der Leistungsbeschreibung, da du keinen eigenen Betrieb hast, auf den du ausweichen könntest.

3. Standardisierung und geringere Anpassungstiefe Cloud-Angebote sind stärker standardisiert. Du kannst nicht jede fachliche Besonderheit individuell abbilden. Das bedeutet:

• Mehr Fokus auf Konfiguration statt individueller Programmierung
• Höherer Abstimmungsbedarf mit Fachseite und IT, ob der Standard wirklich passt

4. Abhängigkeit vom Anbieter und Exit-Risiko Bei On-Premises-Lösungen kannst du im Zweifel den Betrieb an einen anderen Dienstleister übergeben. In der Cloud ist das deutlich schwieriger. Entsprechend wichtiger sind Exit-Regelungen, Portabilität und Datenformate.

5. Datenschutz und Compliance im Vordergrund Zwar spielen Datenschutz und Informationssicherheit auch in klassischen Verträgen eine Rolle. In der Cloud ist das Risiko aber höher, da Datenverarbeitung und Infrastruktur komplett beim Anbieter liegen. Aufsichtsbehörden achten hier besonders genau hin.

Praktische Checkliste für deine nächste EVB-IT Cloud-Ausschreibung

Zum Abschluss eine kompakte Checkliste, die du für deine nächste Beschaffung nutzen kannst:

• Leistungsbeschreibung

• Scope der Cloud-Leistung klar definiert

• Module, Nutzerzahlen, Speicher, Transaktionen beschrieben

• Rollen- und Berechtigungskonzept dokumentiert

• Leistungsscheine

• Servicebeschreibung, Betrieb, Support, Datenschutz und Exit als eigenständige Leistungsscheine angelegt

• Standardleistungen vs. Zusatzleistungen klar abgegrenzt

• SLAs

• Verfügbarkeitsziele, Wartungsfenster und Messmethoden festgelegt

• Reaktions- und Entstörzeiten je Prioritätsklasse definiert

• Sanktionen bei SLA-Verstößen und Eskalationsmechanismen vereinbart

• Datenschutz und Sicherheit

• AVV nach Art. 28 DSGVO als Vertragsbestandteil

• Standorte und Datenflüsse transparent dargestellt

• TOM konkret beschrieben, nicht nur pauschal auf Standards verwiesen

• Exit

• Datenexportformate und -inhalte beschrieben

• Löschkonzept und Nachweise geregelt

• Unterstützungsleistungen beim Anbieterwechsel vorgesehen

• Vergabe- und Vertragsmanagement

• Kriterien so gestaltet, dass sie Cloud-spezifische Aspekte abbilden, etwa SLAs, Datenschutz, Exit

• Verantwortlichkeiten für Vertragscontrolling und SLA-Monitoring intern geklärt

Wenn du EVB-IT Cloud nicht als „leicht angepassten EVB-IT Systemvertrag“, sondern als eigenständiges Instrument mit eigenen Schwerpunkten begreifst, lassen sich Cloud-Leistungen der öffentlichen Hand deutlich sicherer und beherrschbarer gestalten.