Rechtssichere Gestaltung von ASP-Verträgen

Von: Dr. Markus Klinger

Unter den Bezeichnungen „Software as a Service (SaaS)“ und „Software on Demand (SoD)” versuchen Softwareanbieter derzeit verstärkt, mittelständische Unternehmen für das schon länger existierende Modell des Application Service Providing (ASP) zu gewinnen.

Dr. Markus Klinger ist Spezialist für IT-Recht in der Kanzlei Kleiner Rechtsanwälte in Stuttgart. Er hat zum Internetrecht promoviert und ist schwerpunktmäßig in diesem Bereich tätig.

Von den damit verbundenen Kosten- und Flexibilitätsvorteilen können Unternehmen jedoch nur profitieren, wenn sie die Risiken des ASP durch rechtssicher gestaltete Verträge minimieren. Aktuelle Untersuchungen bescheinigen SaaS-Lösungen Mainstream-Potential. Der sich hinter diesem Schlagwort verbergende Trend, Softwareanwendungen nicht mehr als Produkt zu erwerben sowie zeit- und kostenintensiv auf eigener Hardware zu installieren und zu pflegen, sondern je nach Bedarf als Service über das Internet zu beziehen, ist nicht neu: Die Grundideen, Software kostengünstig zu mieten statt zu kaufen und die Hard- und Softwareverantwortung auf einen Externen auszulagern, leiten sich aus dem seit Jahren bekannten Modell des ASP ab. Insofern können SaaS und die häufig in einem Atemzug genannte SoD als zwei Ausformungen des ASP betrachtet werden. Für die rechtliche Bewertung sind ohnehin nicht die gewählten Begrifflichkeiten, sondern die jeweils vereinbarten Vertragsinhalte entscheidend.

SaaS und SoD als Ausformungen des ASP
In einem Grundsatzurteil vom 15.11.2006 (Az. XII ZR 120/04) hat der Bundesgerichtshof (BGH) entschieden, dass es sich bei (klassischen) ASP-Verträgen, die eine zeitlich begrenzte Online-Nutzung von Software, die Bereitstellung von Speicherkapazitäten sowie zusätzliche Leistungen wie Programmpflege und -updates, Datensicherung, Hotlineservice etc. zum Inhalt haben, um sog. zusammengesetzte Verträge handelt, bei denen jeder Vertragsteil separat nach dem Recht des auf ihn zutreffenden BGB-Vertragstypus zu beurteilen ist. Auf die im Vordergrund stehende Gewährung der Online-Nutzung von Software auf Zeit ist nach Auffassung des BGH ebenso wie auf die Überlassung von Serverspeicherplatz Mietvertragsrecht anwendbar. Programmpflege und -updates, Datensicherung, Hotlineservice etc. richten sich hingegen nach dem Werk- bzw. Dienstvertragsrecht. Damit ist geklärt, welcher BGB-Vertragstypus jeweils heranzuziehen ist, um die Wirksamkeit einzelner Vertragsregelungen zu prüfen und Vertragslücken auszufüllen.
Um Unklarheiten von vorneherein zu vermeiden, empfiehlt es sich indes, die Rechte und Pflichten der Parteien in ASP-Verträgen detailliert festzulegen. Dies gilt vor allen Dingen für die Beschreibung der vom ASP-Anbieter zu erbringenden Leistungen, die, getrennt nach dem jeweiligen BGB-Vertragstypus, in einzelnen Vertragsmodulen erfasst werden sollten. Ein modularer Vertragsaufbau – bestehend aus einem Rahmenvertrag mit allgemeinen Regelungen (Begriffsdefinitionen, Zahlungsbedingungen, Laufzeit und Kündigung des Vertrags, Gerichtsstand etc.) und einzelnen Vertragsanlagen für separat zu behandelnde Vertragsinhalte (Leistungsbeschreibungen, Preise, Gewährleistungsregelungen etc.) – hat außerdem den Vorteil höherer Anpassungsfähigkeit: Vertragsanlagen können, ohne dass der Vertrag insgesamt neu gefasst werden muss, bei geänderten Bedingungen leicht ausgetauscht werden.

Wichtige Regelungspunkte
Aus Sicht der Unternehmen sind u. a. folgende Regelungspunkte in ASP-Verträgen von besonderer Wichtigkeit:

· Mitwirkungspflichten
Oft werden dem Unternehmen nicht unerhebliche Mitwirkungspflichten, z.B. die Bereitstellung bestimmter Hard- und Softwarekomponenten oder Telekommunikationsverbindungen, auferlegt. Um unliebsame Überraschungen zu vermeiden, müssen derartige Mitwirkungspflichten vor Vertragsschluss genau geprüft und im Vertrag abschließend geregelt werden.

· Mängelgewährleistung und Service Level Agreements (SLA)
Zur Verhinderung eigener Betriebsausfälle ist es für das Unternehmen von essenzieller Bedeutung, sich gegen Hard- und Softwareausfälle sowie -mängel auf Seiten des ASP-Anbieters abzusichern. Zugunsten des Unternehmens greift hier die durch das Grundsatzurteil des BGH vom 15.11.2006 (s. o.) geklärte mietvertragsrechtliche Einordnung der Hard- und Softwareüberlassung im Rahmen von ASP-Verträgen ein: Das Unternehmen als Mieter der vom ASP-Anbieter bereit gehaltenen Hard- und Software hat einen Anspruch auf ständige mangelfreie Verfügbarkeit.
   Allerdings lässt sich eine hundertprozentige Verfügbarkeit von Hard- und Software technisch und wegen erforderlicher Wartung und Updates nicht erreichen. Deshalb haben sich in der Praxis sog. Service Level Agreements (SLA) herausgebildet. Diese legen die qualitative und quantitative Anforderungen an die vom ASP-Anbieter einzuhaltende Verfügbarkeit von Hard- und Software sowie entsprechende Kontrollmessgrößen und -verfahren fest und sehen für den Fall der Nichteinhaltung abgestufte Sanktionen (Malus-Bonus-Regelungen, Vertragsstrafen, pauschalierter Schadensersatz und außerordentliche Vertragskündigung) vor. Wichtig sind detaillierte und sachgerechte Vereinbarungen zur Gesamtsystemverfügbarkeit bezogen auf einen bestimmten Zeitraum (z.B. 99 Prozent von 07:00 - 20:00 Uhr an sämtlichen Werktagen im Jahr), zu System-Antwortzeiten sowie Reaktionszeiten des ASP-Anbieters und Problemlösungszeiten.
Wesentlich ist ferner die Abgrenzung zur Gewährleistung für nicht die Verfügbarkeit betreffende Mängel der Software und anderer Leistungen.

· Datensicherheit, Datenschutz und Geheimhaltung
Falls das Unternehmen Daten auf Servern des ASP-Anbieters speichert, muss der ASP-Anbieter verpflichtet werden, die Daten mindestens einmal werktäglich zu sichern und vor Zugriffen Dritter sowie Schaddaten, insbesondere Viren, zu schützen. Dem ASP-Anbieter und seinen Mitarbeitern ist zudem die strikte Beachtung der datenschutzrechtlichen Vorschriften, insbesondere des Bundesdatenschutzgesetzes (BDSG), aufzuerlegen. Das Unternehmen, das nach dem BDSG für die Daten verantwortlich bleibt, muss auch für die Durchsetzung dieser Vorschriften sorgen, indem es sich etwa vertragliche Kontrollbefugnisse wie Zutritts- und Prüfungsrechte einräumen lässt.
Darüber hinaus ist es notwendig zu vereinbaren, dass der
ASP-Anbieter und seine Mitarbeiter die Daten und sonstigen ihnen anvertrauten Informationen während der Vertragslaufzeit und nach Vertragsende geheim halten, d. h. weder unbefugt Dritten offenbaren noch verwerten.

· Maßnahmen bei Vertragsbeendigung
Schließlich sollte das Unternehmen an Vorkehrungen für die Vertragsbeendigung und -abwicklung denken: Zu regeln sind beispielsweise die kostenfreie Datenherausgabe und die Datenlöschung.

· ASP-Verträge als AGB
Gerade bei SaaS und SoD werden ASP-Verträge häufig nicht individuell ausgehandelt. Der ASP-Anbieter verwendet vielmehr seine Allgemeinen Geschäftsbedingungen (AGB). Für das Unternehmen bleibt dann oftmals wenig Verhandlungsspielraum. Dennoch sollte auch in diesem Fall nicht auf eine eingehende Prüfung,
insbesondere der vorstehend genannten wichtigen Re-
gelungspunkte, verzichtet werden.
Prüfungsmaßstab ist vor allem das AGB-Recht, nach dem Vertragsklauseln, die das Unternehmen unangemessen benachteiligen, unwirksam sein können. So sind z.B. SLA, die die Systemverfügbarkeit auf deutlich unter 100 Prozent einschränken, vor dem Hintergrund, dass nach Mietrecht eigentlich eine hundertprozentige Systemverfügbarkeit geschuldet ist, problematisch. Enthalten die AGB des ASP-Anbieters rechtlich problematische Vertragsklauseln, hat das Unternehmen zwei Möglichkeiten: Entweder es „vertraut“ auf die Unwirksamkeit der Vertragsklausel und beruft sich im Streitfall auf die entsprechende gesetzliche Vorschrift oder es versucht, eine wirksame und günstige individuelle Zusatzvereinbarung über diesen Punkt zu schließen. Letzteres empfiehlt sich auch bei zwar nicht unwirksamen, aber nachteiligen Vertragsklauseln. Im Zweifel kann die Wahl eines anderen ASP-Anbieters ratsam sein.
Das Grundsatzurteil des BGH vom 15.11.2006 hat für die Gestaltung von ASP-Verträgen mehr Rechtssicherheit geschaffen. Insofern steht dem weiteren Erfolg von ASP-Modellen – sei es in Form des klassischen ASP oder des SaaS bzw. SoD – aus rechtlicher Sicht nichts im Weg.