Cloud-Vertrag: worauf du achten musst

Der Fachbereich möchte die neue Cloud Anwendung möglichst sofort nutzen, der Anbieter legt seine Standardbedingungen vor und der Einkauf sieht einen überschaubaren Monatspreis. Genau in dieser Situation werden Risiken häufig übersehen. Denn ein Cloud Vertrag regelt nicht nur die Nutzung einer technischen Plattform. Er entscheidet auch darüber, wo deine Daten verarbeitet werden, wie belastbar der Betrieb ist, welche Kosten tatsächlich entstehen und ob du im Konfliktfall geordnet wechseln kannst.

Prüfe zuerst, was der Anbieter konkret schuldet

Viele Cloud Verträge beschreiben Funktionen ausführlich, die eigentliche geschuldete Leistung bleibt aber erstaunlich unklar. Begriffe wie Plattform, Zugang, Standard Support oder aktuelle Funktionen reichen nicht aus, wenn die Anwendung für einen wichtigen Geschäftsprozess eingesetzt wird.

Kläre vor der Unterschrift insbesondere diese Punkte:

• Welche Funktionen gehören verbindlich zum gebuchten Leistungsumfang?
• Welche Nutzergruppen, Mandanten, Datenmengen, Schnittstellen und Speicherbereiche sind umfasst?
• Welche technischen Voraussetzungen musst du selbst schaffen?
• Welche Leistungen sind kostenpflichtige Zusatzleistungen, etwa Datenmigration, Beratung, Schulung oder individuelle Anpassungen?
• Welche Dokumente gehören zum Vertrag und welche haben im Zweifel Vorrang?

Gerade bei umfangreichen Vertragsunterlagen entstehen Widersprüche schnell. Der Bestellschein kann andere Angaben enthalten als die Leistungsbeschreibung, die Service Level Vereinbarung oder die Online Bedingungen des Anbieters. Lege deshalb eine klare Rangfolge fest. Im Konfliktfall sollte erkennbar sein, ob etwa die individuell verhandelte Leistungsbeschreibung vor allgemeinen Nutzungsbedingungen gilt.

Achte auch darauf, ob der Anbieter eine bestimmte Funktion lediglich bereitstellt oder ob er für ein fachliches Ergebnis einstehen soll. Bei einer Standard Cloud Lösung ist meist die Bereitstellung geschuldet. Wenn jedoch eine Schnittstelle zu deinem ERP System oder eine Datenübernahme entscheidend ist, solltest du Anforderungen, Verantwortlichkeiten und Abnahmekriterien ausdrücklich vereinbaren.

Serverstandort und Datenverarbeitung sauber festlegen

Die Frage nach dem Serverstandort ist mehr als eine Formalie. Sie betrifft Datenschutz, Informationssicherheit, regulatorische Vorgaben und praktische Zugriffsmöglichkeiten. Entscheidend ist nicht nur, wo sich das primäre Rechenzentrum befindet. Relevant sind ebenso Sicherungskopien, technische Supportzugriffe, Monitoring Systeme und Unterauftragnehmer.

Lass dir konkret beantworten:

• In welchen Ländern werden Produktivdaten gespeichert?
• Wo liegen Backups und Testumgebungen?
• Aus welchen Ländern können Mitarbeitende des Anbieters oder seiner Unterauftragnehmer auf Daten zugreifen?
• Welche Unternehmen sind als Unterauftragnehmer eingebunden?
• Wie informiert dich der Anbieter über geplante Wechsel von Unterauftragnehmern?
• Welche technischen und organisatorischen Maßnahmen schützt der Anbieter vertraglich zu?

Bei personenbezogenen Daten brauchst du in der Regel zusätzlich eine Vereinbarung zur Auftragsverarbeitung. Prüfe dabei nicht nur das Formular, sondern auch die tatsächliche Verarbeitungskette. Eine Zusage wie „Hosting in der EU“ ist zu ungenau, wenn Support oder Fernwartung weltweit erfolgen können.

Wenn dein Unternehmen besonderen Anforderungen unterliegt, etwa wegen Berufsgeheimnissen, kritischen Geschäftsprozessen oder erhöhten Sicherheitsvorgaben, reicht ein allgemeiner Hinweis auf Zertifizierungen nicht aus. Frage nach dem konkreten Sicherheitskonzept, nach Verschlüsselung, Berechtigungen, Protokollierung und dem Vorgehen bei Sicherheitsvorfällen. Wichtig ist auch, innerhalb welcher Frist der Anbieter dich über einen Vorfall informiert und welche Unterstützung er bei der Aufklärung leistet.

Verfügbarkeit: Die SLA muss messbar sein

Eine Verfügbarkeitszusage klingt zunächst beruhigend. Sie hilft dir aber nur, wenn klar ist, wie sie berechnet wird und was bei einer Unterschreitung passiert. Formulierungen wie „hohe Verfügbarkeit“ oder „branchenüblicher Betrieb“ sind keine belastbaren Service Level.

Prüfe bei der vereinbarten Verfügbarkeit folgende Fragen:

• Für welchen Zeitraum gilt die Berechnung, etwa monatlich?
• Welche Komponenten sind von der Zusage erfasst: nur die Plattform oder auch Anmeldung, Schnittstellen und mobile Zugriffe?
• Wie wird eine Störung festgestellt und dokumentiert?
• Welche Zeiten werden aus der Berechnung herausgenommen, etwa angekündigte Wartung?
• Wie lang dürfen Wartungsfenster sein und wann muss der Anbieter sie ankündigen?
• Gelten Ausnahmen bei Störungen von Internetzugängen, Drittanbietern oder von dir bereitgestellten Schnittstellen?
• Welche Reaktions und Wiederherstellungszeiten gelten bei kritischen Störungen?

Besonders kritisch sind weit gefasste Ausnahmen. Natürlich kann ein Anbieter nicht für jede Ursache einstehen. Wenn aber Ausfälle von Infrastrukturpartnern, Wartungsarbeiten, Sicherheitsmaßnahmen oder höhere Gewalt pauschal ausgeschlossen werden, kann von der Zusage wenig übrig bleiben.

Servicegutschriften sind ein typisches Mittel bei SLA Verstößen. Sie können sinnvoll sein, sollten aber nicht automatisch dein einziges Recht sein. Bei wiederholten oder erheblichen Ausfällen brauchst du ein angemessenes Sonderkündigungsrecht. Für kritische Anwendungen kann zudem eine Eskalationsregelung sinnvoll sein: Wer ist erreichbar, wie werden Störungen priorisiert und wann wird die Geschäftsleitung einbezogen?

Das Preismodell über die gesamte Laufzeit prüfen

Ein günstiger Einstiegspreis sagt wenig über die tatsächlichen Kosten im Betrieb aus. Cloud Preise können sich aus Nutzerlizenzen, Speicher, Datenübertragungen, Funktionspaketen, Supportstufen, Schnittstellen und Verbrauchseinheiten zusammensetzen. Ohne saubere Preislogik wird die Budgetplanung schnell unzuverlässig.

Bitte den Anbieter um ein nachvollziehbares Preisblatt. Daraus sollte hervorgehen, welche Einheit abgerechnet wird und wann sie als verbraucht gilt. Bei nutzerbezogenen Modellen ist wichtig, ob angelegte, aktive oder gleichzeitig arbeitende Nutzer zählen. Bei verbrauchsabhängigen Modellen musst du verstehen, wie Messwerte ermittelt und abgerechnet werden.

Achte besonders auf diese Punkte:

• Gibt es Mindestabnahmen oder Mindestlaufzeiten?
• Können Nutzerzahlen während der Laufzeit reduziert werden?
• Sind Preissteigerungen vorgesehen und woran knüpfen sie an?
• Welche Zusatzkosten entstehen bei Überschreitung von Speicher, Transaktionen oder Datenabrufen?
• Wie lange stellt der Anbieter Rechnungs und Nutzungsdaten bereit?
• In welcher Währung wird abgerechnet und wer trägt mögliche Zahlungsgebühren?

Preisänderungsklauseln sollten transparent sein. Eine Formulierung, nach der der Anbieter Preise jederzeit an Marktbedingungen anpassen darf, verlagert das Risiko einseitig auf dich. Besser sind klare Voraussetzungen, eine rechtzeitige Ankündigung, nachvollziehbare Grenzen und ein Kündigungsrecht für den Fall einer wesentlichen Erhöhung.

Passende Seminare und Termine zur Vertragsgestaltung im IT Umfeld findest du bei uns auf cmt.de.

Änderungsvorbehalte dürfen den Vertrag nicht entwerten

Cloud Dienste entwickeln sich laufend weiter. Updates und Anpassungen sind grundsätzlich normal und oft erwünscht. Problematisch wird es, wenn der Anbieter Funktionen entfernen, Schnittstellen ändern, Nutzungsbedingungen umstellen oder Sicherheitsvorgaben verschärfen kann, ohne dass du darauf Einfluss hast.

Unterscheide deshalb zwischen technischen Verbesserungen und wesentlichen Leistungsänderungen. Der Anbieter sollte Fehler beheben und Sicherheit aktualisieren dürfen. Bei Änderungen, die deine Prozesse, Integrationen, Kosten oder Compliance Anforderungen beeinträchtigen, brauchst du Schutzmechanismen.

Eine praxistaugliche Regelung enthält mindestens:

• eine rechtzeitige Information über geplante wesentliche Änderungen,
• eine verständliche Beschreibung der Auswirkungen,
• angemessene Übergangsfristen,
• Unterstützung bei notwendigen Anpassungen,
• ein Sonderkündigungsrecht, wenn die Änderung für dich unzumutbar ist.

Prüfe auch, ob der Anbieter Vertragsbedingungen nur über ein Kundenportal oder per E Mail ändern darf. Bei wichtigen Klauseln zu Preis, Leistung, Datenschutz oder Haftung solltest du nicht auf eine bloße Mitteilung verwiesen werden. Vereinbare, welche Änderungen wirksam werden können und wann deine ausdrückliche Zustimmung erforderlich ist.

Kündigung und Exit: Plane den Wechsel vor dem Start

Der wichtigste Moment für den Exit Plan ist vor Vertragsabschluss. Wenn du erst bei einer Kündigung feststellst, dass Daten nur in einem unbrauchbaren Format exportiert werden können oder der Anbieter für die Unterstützung hohe Zusatzkosten verlangt, ist deine Verhandlungsposition schwach.

Ein guter Cloud Vertrag beantwortet diese Fragen:

• Welche Kündigungsfristen und Verlängerungen gelten?
• Gibt es ein Recht zur außerordentlichen Kündigung bei schweren Leistungsstörungen, Datenschutzverletzungen oder wesentlichen Preisänderungen?
• In welchem Format erhältst du deine Daten?
• Sind Metadaten, Anhänge, Protokolle und Konfigurationen vom Export umfasst?
• Wie lange bleibt der Zugriff nach Vertragsende bestehen?
• Welche Unterstützung bietet der Anbieter bei der Migration und zu welchen Bedingungen?
• Wann und wie werden Daten und Sicherungskopien endgültig gelöscht?
• Erhältst du eine Bestätigung über die Löschung?

Verlange nicht nur einen Datenexport, sondern prüfe dessen Nutzbarkeit. Ein Export in einem technischen Rohformat kann formal genügen, für einen Wechsel aber praktisch wertlos sein. Wenn du auf Schnittstellen, individuelle Datenfelder oder Workflows angewiesen bist, sollten diese Anforderungen im Exit Konzept stehen.

Checkliste vor der Unterschrift

Gehe den Vertrag mit IT, Einkauf, Fachbereich, Datenschutz und Rechtsabteilung gemeinsam durch. Die folgende Kurzcheckliste hilft dir bei der Freigabe:

• Leistungsumfang und Vertragsdokumente sind eindeutig und widerspruchsfrei.
• Serverstandorte, Unterauftragnehmer und Zugriffsmöglichkeiten sind transparent.
• Datenschutz, Informationssicherheit und Meldewege sind geregelt.
• Verfügbarkeit, Wartung, Reaktionszeiten und Eskalation sind messbar vereinbart.
• Preise, Verbrauchseinheiten, Mindestmengen und Preisänderungen sind nachvollziehbar.
• Wesentliche Leistungsänderungen lösen Informationspflichten und gegebenenfalls Kündigungsrechte aus.
• Kündigungsfristen und automatische Verlängerungen passen zu deiner Planung.
• Datenexport, Migrationsunterstützung und Löschung nach Vertragsende sind konkret geregelt.
• Haftung, Gewährleistung und Rechte bei wiederholten Störungen wurden nicht nur überflogen.

Ein Cloud Vertrag ist dann gut, wenn er den Normalbetrieb ebenso abdeckt wie Störungen, Preisanpassungen und den Wechsel zu einem anderen Anbieter. Prüfe nicht nur, ob die Lösung heute funktioniert. Prüfe vor allem, ob du auch morgen handlungsfähig bleibst.