SaaS-Vertrag und Service Level Agreement

Welches Recht für den SaaS-Vertrag gilt

Für die entgeltliche, zeitlich begrenzte Überlassung von Standardsoftware zur Nutzung über das Internet hat der Bundesgerichtshof (BGH) Mietrecht angewandt. Er entschied über einen Vertrag über Application Service Providing (ASP), bei dem der Anbieter Buchhaltungs- und Warenwirtschaftssoftware auf seinem Server bereithielt und der Kunde sie online nutzte. Als typische Leistung stehe die Gewährung der Onlinenutzung von Software für eine begrenzte Zeit im Mittelpunkt der Pflichten (BGH, Urteil vom 15.11.2006, XII ZR 120/04, Rn. 2, 11 bis 13). Besitz an der Software braucht der Kunde dafür nicht, denn für die Gebrauchsgewährung genügt es, ihm den Zugang zu verschaffen, und das kann online geschehen (Rn. 19).

Liegt eine Miete vor, sind die Vorschriften des Bürgerlichen Gesetzbuchs (BGB) über die Miete von Sachen auf digitale Produkte entsprechend anzuwenden (§ 548a BGB); ob ein Vertrag Miete ist, beantwortet die Vorschrift nicht. Das Urteil betraf ASP; ob der BGH einen SaaS-Vertrag ebenso einordnet, ist damit nicht entschieden. Seine Gründe knüpfen an die zeitlich begrenzte Onlinenutzung an, die auch ein SaaS-Angebot kennzeichnet.

Pflege, Updates, Datensicherung, Hotline und Einweisung können im selben Vertrag anderen Vertragstypen zuzuordnen sein, etwa dem Dienst- oder dem Werkvertrag. Der BGH behandelt den Vertrag insoweit als zusammengesetzten Vertrag, dessen Teile jeweils nach dem für sie passenden Vertragstyp zu beurteilen sind, soweit das nicht im Widerspruch zum Gesamtvertrag steht (Rn. 21). Verspricht der Anbieter etwa eine Datenübernahme mit einem bestimmten Ergebnis, kommt für diesen Teil Werkvertragsrecht in Betracht (§ 631 BGB). Die Pflege als eigene Leistung behandelt die Seite Wartungsvertrag für Software.

Vermietet der Anbieter digitale Produkte an Verbraucher, gelten statt der mietrechtlichen Erhaltungspflicht und der Mängelrechte die Vorschriften über Verträge über digitale Produkte (§ 578b Abs. 1 BGB); dazu die Seite Digitale Produkte und Abos.

Leistungsbeschreibung, SLA und Mängelrechte

Was der Anbieter schuldet, ergibt sich aus der Leistungsbeschreibung und dem SLA. Gilt Mietrecht, muss er die Software in einem zum vertragsgemäßen Gebrauch geeigneten Zustand überlassen und sie während der Mietzeit in diesem Zustand erhalten (§ 535 Abs. 1 Satz 2 BGB). Welcher Gebrauch vertragsgemäß ist, legt der Vertrag fest, etwa Funktionen, Nutzerzahl, Datenmengen, Schnittstellen, Betriebszeiten und die technischen Voraussetzungen beim Kunden.

Eine Verfügbarkeitszusage ist nur prüfbar, wenn das SLA festlegt, was als verfügbar gilt, wo und über welchen Zeitraum gemessen wird und ob Wartungsfenster herausgerechnet werden; es sollte auch Funktionsstörungen bei erreichbarem Server erfassen. Reaktion, Wiederherstellung des Betriebs und endgültige Fehlerbeseitigung sind verschiedene Zusagen.

Steht das SLA in Allgemeinen Geschäftsbedingungen (AGB), unterliegt es der Inhaltskontrolle nur, soweit es von Rechtsvorschriften abweicht oder sie ergänzt; andere Bestimmungen, etwa solche, die allein die Leistung beschreiben, können nur an fehlender Klarheit und Verständlichkeit scheitern (§ 307 Abs. 3 BGB). Gilt Mietrecht, ist je Klausel zu prüfen, ob eine Verfügbarkeitsquote nur die Hauptleistung beschreibt oder die gesetzliche Pflicht einschränkt, den Gebrauch während der Mietzeit zu gewähren (§ 535 Abs. 1 Satz 1 BGB). Die allgemeinen Regeln stehen auf der Seite AGB für IT-Anbieter.

Gilt Mietrecht und fällt die Software aus oder arbeitet sie fehlerhaft, mindert sich die Miete kraft Gesetzes. Für die Zeit, in der die Tauglichkeit zum vertragsgemäßen Gebrauch aufgehoben ist, ist der Kunde von der Miete befreit, bei geminderter Tauglichkeit zahlt er eine angemessen herabgesetzte Miete; eine unerhebliche Minderung bleibt außer Betracht (§ 536 Abs. 1 BGB). Schadensersatz kann der Kunde verlangen, wenn der Mangel schon bei Vertragsschluss vorhanden war, wenn der Anbieter einen später entstandenen Mangel zu vertreten hat oder wenn er mit der Beseitigung in Verzug ist (§ 536a Abs. 1 BGB). Für den anfänglichen Mangel setzt der Anspruch nach dem Wortlaut kein Verschulden voraus. Zeigt der Kunde einen Mangel nicht unverzüglich an, kann er weder mindern noch Schadensersatz nach § 536a Abs. 1 BGB verlangen, soweit der Anbieter deshalb nicht abhelfen konnte (§ 536c BGB).

Wollen Anbieter Minderung und Haftung in ihren AGB begrenzen, etwa durch Servicegutschriften, ist das an § 307 BGB zu messen. Auch gegenüber Unternehmen ist eine Klausel unwirksam, die den Kunden entgegen Treu und Glauben unangemessen benachteiligt (§ 307 Abs. 1 Satz 1 BGB, § 310 Abs. 1 BGB); das ist im Zweifel anzunehmen, wenn sie wesentliche Pflichten so einschränkt, dass der Vertragszweck gefährdet ist (§ 307 Abs. 2 Nr. 2 BGB). Gilt Mietrecht, kann sich der Anbieter auf einen Ausschluss der Mängelrechte jedenfalls nicht berufen, wenn er den Mangel arglistig verschwiegen hat (§ 536d BGB).

Laufzeit, Kündigung und Anbieterwechsel

Gilt für den SaaS-Vertrag Mietrecht, kann ihn bei unbestimmter Laufzeit jede Seite nach den gesetzlichen Vorschriften kündigen (§ 542 Abs. 1 BGB). Enthält der Vertrag dann keine eigene Kündigungsfrist, ist bei einer nach Monaten bemessenen Miete die ordentliche Kündigung spätestens am dritten Tag vor dem Tag zulässig, mit dessen Ablauf das Mietverhältnis enden soll (§ 580a Abs. 3 Nr. 2 BGB).

Aus wichtigem Grund kann jede Seite fristlos kündigen. Ein solcher Grund liegt für den Kunden insbesondere vor, wenn ihm der vertragsgemäße Gebrauch ganz oder zum Teil nicht rechtzeitig gewährt oder wieder entzogen wird, für den Anbieter etwa, wenn der Kunde für zwei aufeinander folgende Termine mit der Miete oder einem nicht unerheblichen Teil davon in Verzug ist (§ 543 Abs. 1 und 2 BGB). Besteht der Grund in einer Vertragsverletzung, ist die Kündigung in der Regel erst nach erfolglosem Ablauf einer Abhilfefrist oder nach erfolgloser Abmahnung zulässig (§ 543 Abs. 3 Satz 1 BGB).

Für Cloud-Verträge über Datenverarbeitungsdienste gelten seit dem 12.09.2025 (Art. 50) die Wechselregeln der Verordnung (EU) 2023/2854, der Datenverordnung, die im englischen Amtstitel Data Act heißt. Nach ihren Erwägungsgründen fallen solche Dienste unter eines oder mehrere der Modelle Infrastructure-, Platform- und Software-as-a-Service (Erwägungsgrund 81). Der Anbieter muss den Wechsel zu einem anderen Anbieter oder auf eigene Infrastruktur ermöglichen (Art. 23). Der schriftliche Vertrag muss unter anderem eine Kündigungsfrist für die Einleitung des Wechsels von höchstens zwei Monaten, eine erschöpfende Liste der übertragbaren Daten und digitalen Vermögenswerte und eine Frist für den Datenabruf von mindestens 30 Kalendertagen enthalten (Art. 25 Abs. 1 und 2 Buchst. d, e und g). Bis zum 12.01.2027 dürfen Wechselentgelte die unmittelbaren Kosten des Wechsels nicht übersteigen, danach dürfen keine mehr erhoben werden (Art. 29 Abs. 1 bis 3). Ausnahmen, teils nur von einzelnen Pflichten, gelten für Dienste, deren zentrale Funktionen überwiegend auf einen einzelnen Kunden zugeschnitten sind und die nicht im größeren Maßstab angeboten werden, sowie für Testversionen (Art. 31); Einzelheiten auf der Seite zum Data Act.

Unabhängig davon sollte der Vertrag festlegen, in welchem Format der Kunde seine Daten bei Vertragsende erhält, einschließlich der Metadaten und Verknüpfungen, und wann der Anbieter sie löscht. Für personenbezogene Daten, die der Anbieter im Auftrag des Kunden verarbeitet, muss außerdem ein Vertrag oder ein anderes Rechtsinstrument die Verarbeitung regeln (Art. 28 Abs. 3 Datenschutz-Grundverordnung); dazu die Seite Auftragsverarbeitungsvertrag (AVV) prüfen. Was mit dem Vertrag geschieht, wenn der Anbieter insolvent wird, erklärt die Seite Insolvenz des IT-Anbieters.

DORA: zusätzliche Vertragsinhalte für Finanzunternehmen

Ist der Kunde ein Finanzunternehmen, etwa ein Kreditinstitut oder ein Zahlungsinstitut, gilt seit dem 17.01.2025 die Verordnung (EU) 2022/2554 mit der Kurzbezeichnung Digital Operational Resilience Act, DORA (Art. 2 Abs. 1 und 2, Art. 64). Ihre Vertragsvorgaben betreffen Vereinbarungen über die Nutzung von IKT-Dienstleistungen (IKT steht für Informations- und Kommunikationstechnologien), also von digitalen Diensten und Datendiensten, die über IKT-Systeme dauerhaft bereitgestellt werden (Art. 3 Nr. 21, Art. 30).

Der Vertrag muss die Rechte und Pflichten beider Seiten schriftlich festlegen und die Vereinbarung über die Dienstleistungsgüte, also das SLA, einschließen (Art. 30 Abs. 1). Zum Mindestinhalt gehören eine vollständige Beschreibung der Dienste, die Standorte der Leistung und der Datenverarbeitung, Regeln zum Zugang zu den Daten und zu ihrer Rückgabe etwa bei Insolvenz oder Vertragsende, Unterstützung bei IKT-Vorfällen ohne zusätzliche Kosten oder zu vorab festzusetzenden Kosten, die Zusammenarbeit mit den zuständigen Behörden und Abwicklungsbehörden und Kündigungsrechte (Art. 30 Abs. 2).

Unterstützt der Dienst kritische oder wichtige Funktionen des Finanzunternehmens, kommen unter anderem präzise quantitative und qualitative Leistungsziele, Notfallpläne, uneingeschränkte Zugangs-, Inspektions- und Auditrechte und Ausstiegsstrategien mit einem verbindlichen angemessenen Übergangszeitraum hinzu (Art. 30 Abs. 3). Kündigen können muss das Finanzunternehmen den Vertrag unter anderem bei einem erheblichen Verstoß des Anbieters gegen Gesetze, sonstige Vorschriften oder Vertragsbedingungen (Art. 28 Abs. 7 Buchst. a). Anbieter, die an Finanzunternehmen liefern, sollten deshalb prüfen, ob ihr Standardvertrag diese Inhalte abbildet.