IT-Vertragsrecht für Nicht-Juristen

Du sitzt im IT-Einkauf, in der Vergabestelle oder im Fachbereich und sollst „mal schnell“ einen IT-Vertrag prüfen oder verhandeln. Die Juristin ist ausgelastet, der Anbieter drängt auf Unterschrift. Genau hier hilft ein solides Grundverständnis des IT-Vertragsrechts, auch wenn du kein Volljurist bist. Du musst keine Klauseln formulieren können, aber du solltest typische Vertragstypen, Risiken und Hebel in Verhandlungen kennen.

1. Grundtypen von IT-Verträgen: Kauf, Werk, Dienst, Miete

Im IT-Bereich mischen sich oft mehrere Vertragstypen in einem Projekt. Rechtlich macht es aber einen großen Unterschied, ob du eher einen Kauf-, Werk-, Dienst- oder Mietvertrag hast. Davon hängen Gewährleistung, Haftung und Rücktrittsrechte ab.

Kaufvertrag im IT-Kontext

Klassisch bei:

• Standardhardware, z. B. Notebooks, Server, Netzwerkkomponenten
• Standardsoftware als „On-Premises“-Lizenz mit Einmalzahlung

Rechtsgrundlage: Kaufrecht im BGB. Der Verkäufer schuldet dir die mangelfreie Lieferung der Sache. Gewährleistung bedeutet:

• Mängel bei Übergabe: Nacherfüllung, Minderung, Rücktritt, ggf. Schadensersatz
• Beweislastumkehr nach 6 Monaten bzw. 1 Jahr je nach Konstellation, im B2B-Bereich eingeschränkt verhandelbar

Praxis: Bei Hardware- oder Standardsoftware-Kaufverträgen sind klare Spezifikationen entscheidend, etwa technische Mindestanforderungen, Kompatibilität, Schnittstellen.

Werkvertrag im IT-Kontext

Typisch für:

• Individualsoftwareentwicklung
• Customizing und Erweiterung von Standardsoftware
• Migrationsprojekte, z. B. Datenübernahmen, Schnittstellenprogrammierung
• Einführung eines Systems nach einem detaillierten Fachkonzept

Rechtsgrundlage: Werkvertragsrecht. Der Anbieter schuldet einen konkreten Erfolg, also ein funktionierendes Werk, das abgenommen wird. Wichtig:

• Es gibt eine Abnahme, die juristisch zentral ist
• Vor Abnahme: Anbieter trägt das Risiko, nach Abnahme: du trägst mehr Beweislast
• Gewährleistung: Mängelbeseitigung, Nachbesserung, ggf. Neuherstellung

Praxis: Ohne sauberes Leistungs- und Abnahmekonzept gerätst du schnell in Streit darüber, was „fertig“ bedeutet. Im Zweifel hilft ein Pflichtenheft, das beide Seiten freigegeben haben.

Dienstvertrag im IT-Kontext

Typisch für:

• Beratungsleistungen, z. B. IT-Strategieberatung, Prozessberatung
• Schulungen, Coaching
• Supportleistungen ohne konkreten Erfolg (z. B. „Best Effort“-Support)

Rechtsgrundlage: Dienstvertragsrecht. Der Anbieter schuldet ein Tätigwerden mit der vereinbarten Sorgfalt, aber keinen konkreten Erfolg. Es gibt in der Regel keine Abnahme wie beim Werkvertrag.

Praxis: Für rein beratende Tätigkeiten ist Dienstvertragsrecht passend. Sobald ein greifbares Ergebnis geschuldet ist, etwa ein funktionsfähiges System, solltest du prüfen, ob ein Werkvertrag sinnvoller ist. Sonst bleibt dir bei Misserfolg nur schwerer durchsetzbarer Schadensersatz.

Mietvertrag im IT-Kontext

Typisch für:

• SaaS-Lösungen, Cloud-Software, Hosting
• Bereitstellung von Hardware oder Rechenzentrumsleistungen zur Nutzung

Rechtsgrundlage: Mietrecht, oft kombiniert mit dienst- und werkvertraglichen Elementen. Der Anbieter schuldet dir die Gebrauchsüberlassung für die Laufzeit, in einem funktionsfähigen Zustand.

Praxis: Bei SaaS-Verträgen ist das Mietrecht ein rechtlicher Anknüpfungspunkt, in der Praxis dominieren aber SLAs, Verfügbarkeitszusagen, Datenschutz und Exit-Regelungen.

Mischformen und EVB-IT

In der Praxis, vor allem bei öffentlichen Auftraggebern, hast du fast immer Mischverträge. Die EVB-IT-Vertragsmuster kombinieren bewusst Elemente verschiedener Vertragstypen und ordnen sie rechtlich ein. Wichtig für dich:

• Welcher Teil ist prägend: Werk, Dienst, Kauf, Miete
• Welche EVB-IT-Variante ist geplant, z. B. EVB-IT System, EVB-IT Dienstleistung, EVB-IT Überlassung Typ A/B

Diese Einordnung bestimmt deine Rechte im Störungsfall.

Passende Seminare und Termine findest du bei uns auf cmt.de.

2. Gewährleistung und Haftung: Was du wirklich wissen musst

Juristisch sind Gewährleistung und Haftung zwei Paar Schuhe, in der Praxis verschwimmt das schnell.

Gewährleistung

Gewährleistung betrifft Mängel an der Leistung. Typische Fragen:

• Was ist ein Mangel: Abweichung von vereinbarter Beschaffenheit, z. B. Leistungsumfang, Schnittstellen, Performance
• Wie lange: Gewährleistungsfrist, bei IT oft 12 oder 24 Monate, vertraglich gestaltbar
• Was passiert: Nachbesserung, Nachlieferung, Minderung, Rücktritt

Worauf du achten solltest:

• Konkrete Leistungsbeschreibung: Je schärfer beschrieben, desto leichter kannst du später Mängel durchsetzen.
• Fristen zur Mängelbeseitigung: Klare Zeitvorgaben und Eskalationsstufen.
• Regelung zu Updates und Upgrades: Gehört Fehlerbehebung in neue Versionen oder nur in Patches?

Haftung

Haftung betrifft Schäden, die aus Pflichtverletzungen resultieren, nicht nur aus Mängeln. Typische Streitpunkte:

• Haftungshöchstgrenze: z. B. Deckelung auf einen Jahresbetrag oder das Auftragsvolumen
• Haftung für Datenverlust, Produktionsausfälle, entgangenen Gewinn
• Haftung für leichte, grobe Fahrlässigkeit, Vorsatz

Pragmatische Verhandlungspunkte:

• Haftung für leichte Fahrlässigkeit in Kernpflichten: Vollständiger Ausschluss ist oft kritisch, vor allem, wenn IT-Systeme für den Betrieb der Behörde oder eines Unternehmens essenziell sind.
• Haftungsdeckel: Eine absolute Deckelung auf einen Euro-Betrag ist oft greifbarer als „x Prozent des Auftragswertes“, gerade bei mehrjährigen Verträgen.
• Versicherung: Verlange Nachweis einer ausreichenden Haftpflichtversicherung des Anbieters, insbesondere bei hohen Betriebsrisiken.

3. SLAs: Service Level richtig lesen und verhandeln

Service Level Agreements sind im IT-Vertragsrecht einer der wichtigsten Hebel aus fachlicher Sicht. Sie definieren, wie gut der Service im Alltag funktioniert.

Typische SLA-Komponenten:

• Verfügbarkeit, z. B. 99,5 Prozent pro Monat
• Reaktionszeiten, z. B. Erstreaktion innerhalb von 2 Stunden
• Wiederherstellungszeiten, z. B. Behebung kritischer Störungen innerhalb von 8 Stunden
• Supportzeiten, z. B. Mo bis Fr, 8 bis 18 Uhr

Wichtige Fragen:

• Wie wird Verfügbarkeit gemessen: Kalendermonat, Betriebszeit, Ausschluss von Wartungsfenstern?
• Was ist eine „kritische Störung“ im Vergleich zu „geringfügig“: Definiere Beispiele.
• Welche Sanktionen gibt es: Gutschriften, Vertragsstrafen, Sonderkündigungsrechte?

Beispielhafte SLA-Tabelle:

SLA-Parameter	Typische Ausgestaltung	Worauf du achten solltest
Verfügbarkeit	99,5 % pro Kalendermonat	Definition der Messzeit, Wartungsfenster
Supportzeiten	Mo Fr, 8 18 Uhr	Bedarf an 24/7, Feiertagsregelung
Reaktionszeit „kritisch“	1 2 Stunden	Kanal: Hotline, Ticket, E-Mail
Behebungszeit „kritisch“	4 8 Stunden	Realistisch bei deiner Systemkritikalität?
Sanktionen	Gutschrift, z. B. x % der Monatsgebühr	Automatisch oder nur auf Antrag?

Für öffentliche Auftraggeber ist wichtig, SLAs so zu formulieren, dass sie im Vergabeverfahren wertbar sind, etwa über Zuschlagskriterien. Gleichzeitig müssen sie im Vertrag technisch und rechtlich umsetzbar bleiben.

4. Change Requests: Änderungen kontrolliert steuern

IT-Projekte ändern sich fast immer. Neue Anforderungen, rechtliche Vorgaben, technische Entwicklungen. Wenn es keine saubere Change-Request-Regelung gibt, drohen Mehrkosten, Verzögerungen und Streit.

Elemente eines guten Change-Request-Prozesses:

• Initiierung: Wer darf eine Änderung anstoßen, in welcher Form (z. B. schriftlicher Change-Request mit Beschreibung)?
• Bewertung: Technische, zeitliche und wirtschaftliche Auswirkungen durch den Anbieter.
• Entscheidung: Freigabe oder Ablehnung durch dich als Auftraggeber, ggf. mit Frist.
• Umsetzung: Anpassung von Leistungsbeschreibung, Terminplan, Vergütung.

Praktische Tipps:

• Kein „kostenloser“ Änderungswunsch durch die Hintertür: Klarstellen, dass Änderungen grundsätzlich vergütungspflichtig sein können.
• Kleinere Änderungen bündeln: Sonst verlierst du den Überblick über Kosten und Termine.
• Auswirkungen auf Abnahme und Gewährleistung mitregeln: Verschiebt sich der Abnahmetermin, beginnt die Gewährleistungsfrist später.

Gerade bei EVB-IT System und EVB-IT Systemlieferung sind Change-Request-Regelungen vorgesehen. Lies sie genau und prüfe, ob sie zu deinem Projekt passen oder ob zusätzliche Klarstellungen nötig sind.

5. Worauf du beim Verhandeln besonders achten solltest

Auch wenn du keine Juristin bist, kannst du in Vertragsverhandlungen viel bewirken. Du kennst die fachlichen Anforderungen, die kritischen Prozesse und die Risiken der eigenen Organisation.

Aus unserer Sicht sind diese Punkte in Verhandlungen besonders wichtig:

1. Leistungsbeschreibung und Schnittstellen

• Möglichst konkret, keine reinen Marketingfloskeln.
• Klare Definition, welche Systeme angebunden werden, welche Daten fließen, welche Performance erwartet wird.
• Prüfe, ob Dokumente wie Pflichtenheft, Fachkonzept, Angebot ausdrücklich Vertragsbestandteil werden.

2. Abnahme und Meilensteine

• Meilensteine mit klaren Ergebnissen, z. B. „Testumgebung mit definierten Testfällen erfolgreich durchlaufen“.
• Abnahmefristen: Was passiert, wenn du nicht rechtzeitig abnimmst, etwa fiktive Abnahme?
• Abnahmekriterien schriftlich festhalten, nicht nur „nach billigem Ermessen“.

3. Haftung, Gewährleistung, SLAs

• Prüfe Deckelungen und Ausschlüsse auf Plausibilität zu deinem Risiko.
• Achte auf ausreichende Verfügbarkeit und Reaktionszeiten, insbesondere bei kritischen Systemen.
• Vereinbare Eskalationsmechanismen, z. B. Management-Escalation bei SLA-Verstößen.

4. Exit-Szenarien und Daten

• Wie kommst du aus dem Vertrag heraus, z. B. bei schweren Pflichtverletzungen oder SLA-Dauermängeln?
• Datenrückgabe: In welchem Format, in welcher Frist, zu welchen Kosten?
• Löschungspflichten und Nachweise, insbesondere im Zusammenspiel mit DSGVO und BDSG.

5. Datenschutz und Informationssicherheit

• Prüfe, ob ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO nötig ist.
• Sicherheitsstandards und Zertifizierungen, z. B. ISO 27001, BSI-Standards.
• Meldefristen bei Sicherheitsvorfällen: In Einklang mit deinen internen Prozessen und gesetzlichen Pflichten.

6. Kurze Checkliste für deine Praxis

Zum Abschluss eine kompakte Checkliste, mit der du IT-Verträge auch ohne Jurastudium strukturierter prüfen kannst:

• Vertragstyp:

• Ist klar, ob Kauf, Werk, Dienst, Miete oder eine Mischung vorliegt?

• Passt der gewählte EVB-IT-Typ zu der tatsächlichen Leistung?

• Leistungsbeschreibung:

• Sind Anforderungen, Schnittstellen, Performance und Ergebnisse konkret beschrieben?

• Sind alle relevanten Unterlagen ausdrücklich als Vertragsbestandteil genannt?

• Abnahme und Projektorganisation:

• Gibt es klare Meilensteine, Abnahmekriterien und Fristen?

• Sind Rollen, Gremien und Eskalationswege geregelt?

• Gewährleistung und Haftung:

• Sind Gewährleistungsfristen angemessen und verständlich?

• Sind Haftungsbegrenzungen und Ausschlüsse plausibel zu deinem Risiko?

• SLAs:

• Sind Verfügbarkeit, Reaktions- und Behebungszeiten konkret und messbar?

• Gibt es klare Sanktionen bei SLA-Verstößen?

• Change Requests:

• Ist ein formalisierter Änderungsprozess vereinbart?

• Sind Kosten- und Terminfolgen von Änderungen geregelt?

• Datenschutz und Sicherheit:

• Ist die datenschutzrechtliche Rolle des Anbieters geklärt (Verantwortlicher, Auftragsverarbeiter)?

• Sind Sicherheitsanforderungen und Meldewege bei Vorfällen geregelt?

Wenn du diese Punkte im Blick hast, kannst du auch als Nicht-Jurist IT-Verträge deutlich sicherer einschätzen. Die juristische Detailprüfung ersetzt das nicht, aber du erkennst früh, wo es hakt und wo du nachschärfen oder deine Rechtsabteilung gezielt einbinden solltest.