Die rechtlichen Besonderheiten und Herausforderungen, die mit der Gestaltung von SaaS-Verträgen einhergehen, sind so vielfältig wie die Anwendungsgebiete von SaaS und sonstigen Cloud-Services.
Benötigen Sie hierbei Unterstützung? Nehmen Sie gern Kontakt mit unserem Expertenteam auf.
Einen kurzen Überblick zu den häufigsten Fragen unserer Mandanten in der Praxis zum Thema Vertragsgestaltung bei SaaS/Cloud-Verträgen sowie einiges Grundlagenwissen haben wir in unseren FAQ zusammengefasst.
Auf dem Markt gibt es eine Vielzahl von SaaS-Lösungen. So vielfältig die Auswahl und der jeweilige Funktionsumfang von SaaS-Lösungen ist, so unterschiedlich sind auch die Aspekte, die bei der Vertragsgestaltung zu berücksichtigen sind. Um als Anbieter einer SaaS-Lösung rechtlich möglichst umfassend abgesichert zu sein, sollte der SaaS-Vertrag die Besonderheiten der jeweiligen SaaS-Lösung und des geplanten Geschäftsmodells widerspiegeln. Die ungeprüfte Übernahme von Standardformulierungen kann im ungünstigsten Fall potenzielle Haftungsrisiken unberücksichtigt lassen. Eine Beratung bei der Erstellung der im Standard zu verwendenden Kundenverträge ist daher ratsam.
Wir bieten unseren Mandanten die praxisorientierte Beratung bei der Gestaltung von SaaS-Verträgen, die sie benötigen. Dank unserer Legal Tech-Lösung zur SaaS-Vertragsgestaltung können wir schnell und zielgerichtet maßgeschneiderte SaaS-Verträge zur Verwendung gegenüber Kunden erstellen - zu vorab kalkulierbaren Kosten bei maximaler Effizienz und Qualität.
Was versteht man unter SaaS?
Software as a Service („SaaS“) und sonstige Cloud-Services erfreuen sich bei Unternehmen und öffentlichen Stellen immer größerer Beliebtheit. Als SaaS werden Anwendungen angeboten wie z.B. Software im Bereich HR- und Recruiting und Customer-Relationship-Management. Sonstige Cloud-Services betreffen beispielsweise die Bereitstellung von Speicher-, Server- oder sonstige IT-Ressourcen als Infrastructure as a Service („IaaS“) oder cloudbasierte Umgebungen, in denen eigene Anwendungen entwickelt und bereitgestellt werden, als Platform as a Service („PaaS“).
Auf welche Bestimmungen im Vertrag sollte ich im Regelfall besonders achten?
Was ist ein Service Level Agreement („SLA") und warum ist das SLA so wichtig?
Das SLA enthält Angaben zu qualitativen Mindeststandards („Service Level“), welche durch die jeweiligen SaaS- oder sonstigen Cloud-Services eingehalten werden müssen.
Besonders relevant ist die im SLA zugesagte störungsfreie Verfügbarkeit der SaaS- oder sonstigen Cloud-Services. Hiermit ist das Maß gemeint, in dem gewährleistet wird, dass auf die entsprechenden Services zugegriffen werden kann und diese wie vereinbart genutzt werden können.
Im Rahmen eines SLA ist daher insbesondere auf Folgendes zu achten:
Es macht einen erheblichen Unterschied, ob die Verfügbarkeit z.B. 98% monatlich oder 98% jährlich beträgt. Bei 98% pro Jahr beträgt die maximal zulässige Ausfallzeit ca. 7 Tage und 7 Stunden am Stück je Jahr. Bei 98% pro Monat hingegen ca. 14 Stunden am Stück je Monat.
In vielen SLAs wird eine Vielzahl an Fällen aufgezählt, welche nicht als Ausfall der SaaS- oder sonstigen Cloud-Services zählen. Diese Ausnahmefälle bleiben bei der Überprüfung, ob die zugesagte Verfügbarkeit eingehalten wurde, unberücksichtigt.
Klassische Ausnahmefälle sind:
Daneben befinden sich in einigen SLAs spezifische Ausnahmen, wie bspw. für bestimmte Fehlermeldungen oder wenn ein Ausfall durch einen Subunternehmer des Anbieters verursacht wird.
Umso mehr Ausnahmen vom SLA vorgesehen sind, desto mehr wirkt sich dies auf die versprochenen Leistungsparameter wie bspw. die Verfügbarkeit aus.
Kommt es mal zu einem Ausfall der SaaS- oder sonstigen Cloud-Services sind insbesondere die Reaktions- und Abhilfefristen relevant.
Die Reaktionsfrist bestimmt, innerhalb welcher Frist eine Erstreaktion durch den Support des Anbieters erfolgen muss. Die Abhilfefrist bestimmt, innerhalb welchen Zeitraums die jeweils aufgetretene Störung behoben werden muss.
Daneben verkürzen einige SLAs die nach deutschem Recht bestehenden gesetzlichen Rechte der nutzenden Organisation für den Fall der Verletzung des SLA (z.B. Schadensersatzansprüche, Mängelrechte). Das kann mit weitgehenden Haftungsausschlüssen einhergehen. Wenn diese wirksam sind, ist das gut für den Service Provider und schlecht für den Kunden.
Worauf muss ich bei den Lizenzbestimmungen achten?
Die Lizenzbestimmungen regeln, in welchem inhaltlichen, zeitlichen und räumlichen Umfang die Organisation die SaaS- und sonstigen Cloud-Services nutzen kann.
So macht es bspw. einen erheblichen Unterschied, ob nur bestimmte namentliche benannte Personen (sog. „Named User“) oder eine bestimmte Anzahl von beliebigen Personen gleichzeitig (sog. „Concurrent User“) die SaaS- bzw. Cloud-Services verwenden dürfen.
Daneben sind insbesondere die zulässige Nutzungsintensität und ggf. auch die konkret technische Einbindung der SaaS- und sonstigen Cloud-Services in die vorhandenen IT-Systeme relevant.
Was ist bei der Preisgestaltung zu beachten?
Vergütungsmodelle für SaaS- und Cloud-Services können vielfältig ausgestaltet sein.
Mögliche Vergütungsmodelle können bspw. sein:
Bei der Preisgestaltung ist insbesondere auf folgende Aspekte zu achten:
SaaS/Cloud-Verträge haben häufig eine lange Vertragslaufzeit. Bei längeren Geschäftsbeziehungen sind Preisanpassungsklauseln üblich. Regelungen zu Preisanpassungen sind jedoch grundsätzlich nach deutschem Recht nur in engen Grenzen möglich.
Als Alternative zu Preisanpassungen können Gunsten der Kalkulationssicherheit z.B. fixe Staffelpreise vereinbart werden.
Die Fälligkeit der Vergütung fällt im Rahmen von umfassenden IT-Projektenhäufig auf den Zeitpunkt der Abnahme der SaaS- bzw. sonstigen Cloud-Services. Gerade bei längerfristigen Projekten können Zahlungen für die Erreichung bestimmter Meilensteine vereinbart werden, um die Zahlungen in ein angemessenes Verhältnis zu den Leistungsergebnissen zu setzen.
Inwiefern darf der Anbieter seine Haftung beschränken?
Viele Haftungsbeschränkungen in Verträgen – auch zum Teil prominenter Anbieter – sind bei Zugrundelegung des Maßstabs der deutschen Rechtsordnung unwirksam.
Vorformulierte Vertragsbedingungen unterliegen häufig dem deutschen AGB-Recht (§§ 305 ff. BGB), sofern deutsches Recht Anwendung findet. In diesem Falle unterliegt der Vertrag der AGB-Kontrolle. Viele Haftungsklauseln halten einer AGB-Kontrolle nicht stand und sind unwirksam. Die Haftung für Vorsatz kann beispielsweise nach deutschem Recht nicht ausgeschlossen werden. Ist hingegen eine andere Rechtsordnung auf den Vertrag anzuwenden, können umfassende Haftungsbeschränkungen wirksam sein.
Sind die Bestimmungen zur Haftung in den AGB unwirksam und es wird nicht verhandelt, finden die, in der Regel für Kunden günstigeren, gesetzlichen Vorschriften Anwendung.
Warum ist ein umfassendes Exit-Management essenziell?
Mit Vertragsbeendigung endet auch die Pflicht des Anbieters, die SaaS- bzw. Cloud-Services weiterhin zur Nutzung zur Verfügung zu stellen. Allerdings kann es in einigen Fällen (z.B. bei für den Anwender besonders geschäftskritischen SaaS-/Cloud-Produkten) notwendig sein, dass zumindest übergangsweise noch Unterstützungsleistungen nach Vertragsende erbracht werden. Daher kann es unter Umständen sinnvoll sein von Anfang an vertraglich ein Exit-Management zu regeln.
Warum ist die Rechtswahl bei SaaS/Cloud-Verträgen wichtig?
Gerade bei SaaS- und sonstigen Cloud-Services werden Leistungen häufig grenzüberschreitend erbracht. Wegen der möglichen Vielzahl an Rechtsordnungen, die auf diese Weise betroffen sein können, sollte das anwendbare Recht im Vertrag bestimmt werden. Grundsätzlich sind die Parteien eines Vertrages bei der Rechtswahl frei. Warum die Rechtswahl so wichtig ist, zeigt das nachfolgende Beispiel auf.
Klauseln, die nach deutschem AGB-Recht unwirksam wären, sind im US-amerikanischem Recht zulässig, da diese keiner AGB-Kontrolle unterliegen. In den USA gilt ein anderes Haftungsregime als in der deutschen Rechtsordnung mit z.B. wesentlich weitgehenderen Möglichkeiten, die Haftung zu beschränken.
Wem gehören die Daten bei SaaS-/Cloud-Services?
Im Regelfall gehören die Daten auch bei der Nutzung eines cloudbasierten Dienstes der Organisation. Einzelheiten oder abweichende Regelungen können im Vertrag vereinbart werden.
Wie können Datenschutz und Datensicherheit vertraglich abgesichert werden?
Bei SaaS- und Cloud-Services werden die Daten der Organisation im Regelfall auf den Servern des Anbieters in der Cloud gespeichert und verarbeitet. Da die Daten vor unbefugten Zugriffen durch Dritte geschützt werden müssen, ist die richtige Vertragsgestaltung für die Gewährleistung von Datenschutz und Datensicherheit in der Cloud entscheidend. Je nach Einsatzzweck der SaaS- bzw. Cloud-Services, der Sensitivität der Daten und der Umgebung sind an die Sicherheit unterschiedliche Anforderungen zu stellen.
Werden personenbezogene Daten (z.B. Kunden- oder Mitarbeiterdaten) in der Cloud verarbeitet, sind verschiedene gesetzliche Vorgaben, insbesondere diejenigen der Datenschutz-Grundverordnung („DSGVO“) zwingend einzuhalten.
Was ist besonders in Bezug auf datenschutzrechtliche Aspekte zu beachten?
Der Datenschutz sollte im Rahmen von Cloud-/SaaS-Services nicht nachlässig behandelt werden. Insbesondere folgende Aspekte sollten geprüft werden: