Wartungsvertrag für Software: Pflege, Support und Updates

Dienst-, Werk- oder Mietvertrag: der Vertragstyp folgt der Leistung

Welche gesetzlichen Regeln für die Pflege gelten, hängt davon ab, was der Anbieter verspricht. Sagt er nur Tätigkeiten zu, etwa Fehlermeldungen zu prüfen und Lösungswege vorzuschlagen, spricht das für einen Dienstvertrag, der zur Leistung der versprochenen Dienste verpflichtet (§ 611 Abs. 1 BGB). Verpflichtet er sich, gemeldete Fehler zu beseitigen oder die Software an eine neue Systemumgebung anzupassen, kommt ein Werkvertrag in Betracht, denn Gegenstand eines Werkvertrags kann auch ein durch Arbeit oder Dienstleistung herbeizuführender Erfolg sein (§ 631 Abs. 2 BGB).

Überlässt der Anbieter die Software nur auf Zeit, etwa als Mietsoftware oder als Software as a Service (SaaS), kommt Mietrecht in Betracht. Der Bundesgerichtshof (BGH) hat es auf die entgeltliche, zeitlich begrenzte Onlinenutzung von Standardsoftware im Wege des Application Service Providing (ASP) angewandt (BGH, Urteil vom 15.11.2006, XII ZR 120/04, Rn. 11 bis 13). Ist die Überlassung so als Miete einzuordnen, muss der Anbieter die Software schon als Vermieter während der Mietzeit in vertragsgemäßem Zustand erhalten (§ 535 Abs. 1 Satz 2 BGB); § 548a BGB erstreckt die Mietvorschriften auf digitale Produkte, setzt aber eine Miete voraus. Enthält ein Vertrag mehrere Leistungen, beurteilt der BGH jeden Teil nach dem für ihn passenden Vertragstyp, soweit das nicht im Widerspruch zum Gesamtvertrag steht. In dem entschiedenen Fall hielt er es für möglich, Programmpflege, Updates, Datensicherung und Hotline dem Dienst- oder dem Werkvertrag zuzuordnen (Rn. 21). Die Einordnung des SaaS-Vertrags selbst behandelt die Seite SaaS-Vertrag und Service Level Agreement.

Von der Einordnung hängen die Rechte bei schlechter Leistung ab. Beim Werkvertrag kann der Kunde unter den jeweiligen gesetzlichen Voraussetzungen Nacherfüllung verlangen, den Mangel selbst beseitigen, zurücktreten, mindern oder Schadensersatz verlangen (§ 634 BGB), und die Vergütung ist bei der Abnahme zu entrichten (§ 641 Abs. 1 BGB). Das Dienstvertragsrecht enthält keine solchen Mängelrechte; bei schlechter Leistung kommt vor allem Schadensersatz wegen Pflichtverletzung in Betracht, der entfällt, wenn der Anbieter die Pflichtverletzung nicht zu vertreten hat (§ 280 Abs. 1 BGB). Bei gemieteter Software mindert sich die Miete bei einem Mangel kraft Gesetzes (§ 536 Abs. 1 BGB).

Abzugrenzen ist die Pflege außerdem von den Mängelrechten aus dem Vertrag, mit dem die Software gekauft oder erstellt wurde. Für Mängel der gekauften oder hergestellten Software schuldet je nach Vertrag der Verkäufer oder der Werkunternehmer Nacherfüllung (§ 437 Nr. 1 BGB, § 634 Nr. 1 BGB); ob für eigens hergestellte Software Kaufrecht gilt, ist im Einzelfall zu prüfen (§ 650 Abs. 1 Satz 1 BGB). Mehr dazu auf der Seite Mängel an Software und Hardware. Der Pflegevertrag sollte deshalb festlegen, was die Pflegevergütung zusätzlich abdeckt, solange diese Mängelrechte bestehen. Für neue Funktionen, die über die Beseitigung von Fehlern hinausgehen, kann der Vertrag ein eigenes Änderungsverfahren mit Angebot und Freigabe vorsehen.

Fehlerklassen, Reaktions- und Wiederherstellungszeiten

Fristen für die Bearbeitung von Fehlern gibt das Gesetz nicht vor; sie gelten nur, wenn der Pflegevertrag oder seine Anlage, das Service Level Agreement (SLA), sie festlegt. Zweckmäßig ist eine Einteilung der Fehler nach ihren Folgen für den Betrieb, zum Beispiel in Fehler, die die Nutzung verhindern, Fehler, die wichtige Funktionen erheblich beeinträchtigen, und Fehler, die die Nutzung nur geringfügig stören. Sicherheitslücken brauchen eine eigene Einordnung, weil sie dringend sein können, obwohl die Software äußerlich normal läuft. Für jede Klasse sollte der Vertrag getrennt bestimmen, bis wann der Anbieter fachlich reagiert, bis wann er den Betrieb wiederherstellt, notfalls mit einer Umgehungslösung (Workaround), und bis wann er den Fehler endgültig beseitigt.

Damit eine Frist prüfbar ist, braucht sie einen klaren Beginn, etwa den Eingang der Meldung, festgelegte Servicezeiten und eine Regel, wer die Fehlerklasse bestimmt, wenn beide Seiten sie unterschiedlich einschätzen. Zur Mitwirkung des Kunden gehören etwa eine nachvollziehbare Fehlerbeschreibung, ein Fernzugang und benannte Ansprechpartner; sind sie im Vertrag genannt, lässt sich feststellen, wer eine Verzögerung zu vertreten hat. Greift der Anbieter per Fernwartung auf Systeme mit personenbezogenen Daten zu, ist zu prüfen, ob ein Vertrag zur Auftragsverarbeitung nötig ist (Art. 28 Datenschutz-Grundverordnung; dazu die Seite Auftragsverarbeitungsvertrag (AVV) prüfen).

Für verfehlte Zusagen kann der Vertrag Gutschriften auf die Pflegevergütung oder eine Vertragsstrafe vorsehen. Ob sie die gesetzlichen Rechte ersetzen oder daneben stehen, muss die Klausel ausdrücklich sagen. In Allgemeinen Geschäftsbedingungen (AGB) ist eine Begrenzung der Rechte des Kunden auch zwischen Unternehmen daran zu messen, ob sie ihn entgegen Treu und Glauben unangemessen benachteiligt (§ 307 Abs. 1 BGB, § 310 Abs. 1 BGB).

Sicherheitsupdates und Pflegeende

Zwischen Unternehmen ergibt sich eine Pflicht zu Sicherheitsupdates vor allem aus dem Vertrag; bei gemieteter Software kann sie aus der Pflicht folgen, den vertragsgemäßen Zustand zu erhalten. Gegenüber Verbrauchern, die ein digitales Produkt gegen einen Preis beziehen, muss der Unternehmer sicherstellen, dass ihnen während des maßgeblichen Zeitraums die Aktualisierungen bereitgestellt werden, die für den Erhalt der Vertragsmäßigkeit erforderlich sind, und dass sie darüber informiert werden; dazu gehören auch Sicherheitsaktualisierungen (§ 327 Abs. 1 BGB, § 327f Abs. 1 BGB).

Hersteller von Produkten mit digitalen Elementen verpflichtet die Verordnung (EU) 2024/2847 (Cyber Resilience Act) ab dem 11.12.2027, Schwachstellen während eines Unterstützungszeitraums wirksam zu behandeln, der mindestens fünf Jahre beträgt, bei kürzerer voraussichtlicher Nutzungsdauer entsprechend kürzer (Art. 13 Abs. 8, Art. 71 Abs. 2). Für Produkte, die vor diesem Tag in Verkehr gebracht wurden, gilt das nur, wenn sie danach wesentlich geändert werden (Art. 69 Abs. 2). Die Pflicht, aktiv ausgenutzte Schwachstellen zu melden, gilt dagegen schon ab dem 11.09.2026 und auch für ältere Produkte (Art. 14 Abs. 1, Art. 69 Abs. 3, Art. 71 Abs. 2). Wen diese Pflichten treffen, erklärt die Seite zum Cyber Resilience Act.

Das Ende der Pflege für eine Version (End of Life) sollte der Vertrag ebenfalls regeln: welche Versionen gepflegt werden, wie lange im Voraus der Anbieter das Pflegeende ankündigt und ob der Kunde ein Update einspielen muss, um weiter Pflege zu erhalten. Stellt der Anbieter die Pflege ganz ein oder fällt er aus, kann eine Hinterlegung des Quellcodes (Source Code Escrow) einem anderen Dienstleister die Weiterführung ermöglichen. Escrow ist eine Absicherung für diesen Fall und ersetzt die Pflege nicht; die Herausgabefälle sollten auf den Pflegevertrag abgestimmt sein (Seite zum Source Code Escrow). Was in der Insolvenz des Anbieters mit dem Pflegevertrag geschieht, beschreibt die Seite Insolvenz des IT-Anbieters.

Laufzeit und Kündigung

Ist die Pflege ein Vertrag über die regelmäßige Erbringung von Dienst- oder Werkleistungen, sind gegenüber Verbrauchern in AGB unwirksam: eine Laufzeit, die länger als zwei Jahre bindet, eine stillschweigende Verlängerung, es sei denn, der Vertrag verlängert sich nur auf unbestimmte Zeit und ist dann jederzeit mit einer Frist von höchstens einem Monat kündbar, und eine Kündigungsfrist von mehr als einem Monat vor Ablauf der zunächst vorgesehenen Dauer (§ 309 Nr. 9 BGB). Zwischen Unternehmen gilt diese Vorschrift nicht (§ 310 Abs. 1 Satz 1 BGB); lange Laufzeiten und automatische Verlängerungen sind dort an § 307 BGB zu messen.

Regelt der Vertrag die Laufzeit nicht, richtet sich die ordentliche Kündigung nach dem Vertragstyp. Bei einem Dienstvertrag mit monatlicher Vergütung ist die Kündigung spätestens am 15. eines Monats zum Schluss des Kalendermonats zulässig (§ 620 Abs. 2 BGB, § 621 Nr. 3 BGB). Aus wichtigem Grund kann jede Seite ein Dauerschuldverhältnis ohne Frist kündigen, wenn ihr die Fortsetzung bis zum vereinbarten Ende oder bis zum Ablauf der Kündigungsfrist nicht zuzumuten ist. Bei einer Vertragsverletzung ist das grundsätzlich erst nach erfolgloser Abhilfefrist oder Abmahnung zulässig, und gekündigt werden kann nur innerhalb einer angemessenen Frist ab Kenntnis des Grundes (§ 314 Abs. 1 bis 3 BGB). Für Dienstverträge gilt mit § 626 BGB eine eigene Regel, nach der die fristlose Kündigung innerhalb von zwei Wochen ab Kenntnis der maßgebenden Tatsachen erfolgen muss (§ 626 Abs. 2 BGB). Ist die Pflege werkvertraglich geschuldet, kann der Kunde bis zur Vollendung des Werkes jederzeit kündigen; der Anbieter kann dann die vereinbarte Vergütung verlangen, muss sich aber ersparte Aufwendungen und anderweitigen Erwerb anrechnen lassen (§ 648 BGB). Aus wichtigem Grund können beide Seiten auch den Werkvertrag ohne Frist kündigen (§ 648a Abs. 1 BGB). Für gemietete Software gelten die mietrechtlichen Regeln, die die Seite zum SaaS-Vertrag beschreibt.

Ob die Kündigung der Pflege auch das Recht berührt, die Software zu nutzen, hängt unter anderem davon ab, ob Lizenz und Pflege in getrennten Verträgen oder in einem einheitlichen Vertrag stehen. Für den Wechsel zu einem anderen Dienstleister sollten Anbieter und Kunde schon bei Vertragsschluss regeln, welche Unterlagen, Zugänge und Auskünfte der bisherige Anbieter übergibt und zu welchen Bedingungen er beim Übergang hilft.