Haftung im IT-Vertrag sinnvoll begrenzen

Nach einem fehlgeschlagenen Go Live stellt sich oft dieselbe Frage: Wer trägt die Kosten für Betriebsunterbrechung, Datenwiederherstellung, externe Berater und entgangene Umsätze? Wenn der IT-Vertrag dazu nur eine kurze Standardklausel enthält, beginnt die eigentliche Auseinandersetzung häufig erst. Eine durchdachte Haftungsregelung schafft keine absolute Sicherheit, sie verteilt Risiken aber nachvollziehbar und verhindert, dass einzelne Schadensfälle wirtschaftlich außer Kontrolle geraten.

Warum Haftungsklauseln mehr regeln müssen als einen Höchstbetrag

Eine Haftungsbegrenzung ist kein einzelner Satz am Ende des Vertrags. Sie muss zum Leistungsmodell, zur Bedeutung des Systems und zu den tatsächlichen Einflussmöglichkeiten beider Parteien passen.

Bei einer Standardsoftware mit begrenztem Einsatzbereich ist das Risiko anders zu bewerten als bei einer individuell entwickelten Anwendung, die eine zentrale Produktionsanlage steuert. Ebenso macht es einen Unterschied, ob ein Anbieter nur Support leistet oder ob er Daten verarbeitet, eine Cloud Plattform betreibt und für Verfügbarkeit sowie Wiederherstellung verantwortlich ist.

Bevor du einen Haftungshöchstbetrag verhandelst, solltest du deshalb klären:

• Welche Schäden können realistisch eintreten?
• Welche Folgen hätte ein Ausfall für Geschäftsprozesse, Kunden und Beschäftigte?
• Welche Partei kann den jeweiligen Schaden am besten vermeiden oder versichern?
• Welche vertraglichen Pflichten sind für den Geschäftszweck besonders wichtig?
• Welche Sicherungsmaßnahmen, etwa Backups, Tests, Freigaben und Notfallprozesse, sind vereinbart?
• Deckt die vorhandene Versicherung das Risiko tatsächlich ab?

Eine Haftungsklausel ersetzt kein Risikomanagement. Sie funktioniert nur, wenn Leistungsbeschreibung, Service Level, Mitwirkungspflichten und Sicherheitsvorgaben ebenfalls präzise geregelt sind.

Haftungshöchstbeträge sinnvoll festlegen

Der Haftungshöchstbetrag, oft auch Haftungscap genannt, begrenzt die finanzielle Ersatzpflicht einer Partei. In der Praxis wird er häufig an die Vergütung gekoppelt. Das ist grundsätzlich nachvollziehbar, weil die Vergütung einen Bezug zum wirtschaftlichen Umfang des Vertrags herstellt.

Typische Anknüpfungspunkte sind:

Modell	Vorteil	Typischer Prüfpunkt
Vergütung eines Vertragsjahres	Einfach zu berechnen, bei laufenden Verträgen gut handhabbar	Reicht der Betrag bei kritischen Services aus?
Mehrfaches der Jahresvergütung	Höherer Schutz für den Kunden	Ist die Belastung für den Anbieter noch versicherbar?
Gesamtvergütung des Projekts	Gut bei klar abgegrenzten Einmalprojekten	Was gilt bei Nachträgen oder einer Projektverlängerung?
Unterschiedliche Höchstbeträge je Risikobereich	Bildet Risiken genauer ab	Die Abgrenzung muss eindeutig sein

Für laufende Betriebsleistungen kann eine jährliche Betrachtung sinnvoll sein. Dann muss aber ausdrücklich geregelt werden, ob der Höchstbetrag je Vertragsjahr neu entsteht oder ob alle Schäden über die gesamte Laufzeit zusammengerechnet werden. Fehlt diese Klarstellung, ist Streit vorprogrammiert.

Bei Projektverträgen solltest du außerdem darauf achten, ob der Höchstbetrag sämtliche Pflichtverletzungen umfasst oder für jeden einzelnen Schadensfall gilt. Eine Formulierung wie „Die Haftung ist auf die Gesamtvergütung begrenzt“ kann zu eng sein, wenn ein länger laufendes Projekt mehrere voneinander unabhängige Fehler verursacht.

Aus Kundensicht ist ein einheitlicher niedriger Höchstbetrag besonders problematisch, wenn der Anbieter zentrale Kernpflichten verletzt. Dazu können etwa die vereinbarte Datensicherung, die Wiederherstellbarkeit von Daten, verbindliche Sicherheitsmaßnahmen oder zugesagte Reaktionszeiten bei kritischen Störungen gehören. Für solche Bereiche kann ein gesonderter, höherer Haftungsrahmen angemessen sein.

Mittelbare Schäden nicht pauschal ausschließen

Viele Klauseln schließen „mittelbare Schäden“ oder „Folgeschäden“ vollständig aus. Das klingt klar, ist es aber oft nicht. Die Begriffe werden im Geschäftsalltag unterschiedlich verwendet und können Auslegungsspielraum schaffen.

Ein Beispiel: Fällt ein ERP System wegen eines Fehlers des Dienstleisters aus, entstehen möglicherweise Kosten für Ersatzprozesse, Datenrekonstruktion, Überstunden, Vertragsstrafen gegenüber Kunden und entgangener Gewinn. Welche dieser Positionen unmittelbar oder mittelbar sind, lässt sich nicht immer eindeutig beantworten.

Besser ist es, die ausgeschlossenen Schadensarten konkret zu benennen. Denkbar ist etwa ein Ausschluss von:

• entgangenem Gewinn,
• ausgebliebenen Einsparungen,
• rein mittelbaren Vermögensschäden,
• Ansprüchen Dritter, soweit diese nicht durch eine ausdrücklich übernommene Freistellung erfasst sind,
• Schäden aus Betriebsunterbrechungen, soweit sie nicht auf der Verletzung besonders vereinbarter Verfügbarkeits- oder Sicherheitszusagen beruhen.

Auch diese Liste darf nicht gedankenlos übernommen werden. Wenn ein Anbieter gerade eine hochverfügbare Plattform schuldet, würde ein vollständiger Ausschluss von Betriebsunterbrechungsschäden den Kern der Leistung entwerten. Dann sollte der Vertrag stattdessen festlegen, welche Service Level gelten, welche Abhilfen vorgesehen sind und in welchem Umfang darüber hinausgehende Schäden ersetzt werden.

Aus Anbietersicht ist es legitim, unabsehbare Kettenfolgen zu begrenzen. Aus Kundensicht ist es legitim, für geschäftskritische Risiken einen wirksamen Ersatzanspruch zu behalten. Die ausgewogene Lösung liegt meist in einer differenzierten Regelung statt in einem pauschalen Ausschluss.

Vorsatz und grobe Fahrlässigkeit sauber ausnehmen

Bei Vorsatz ist die Grenze eindeutig: Eine Haftung kann nicht wirksam ausgeschlossen werden. Wer einen Schaden absichtlich verursacht, darf sich nicht auf einen vertraglichen Haftungsausschluss berufen.

Bei grober Fahrlässigkeit ist die Lage in der Vertragsgestaltung anspruchsvoller. Grob fahrlässig handelt vereinfacht gesagt, wer naheliegende Sorgfalt in besonders schwerem Maß außer Acht lässt. In Standardvertragsklauseln ist ein vollständiger Ausschluss der Haftung für grobe Fahrlässigkeit rechtlich besonders riskant und regelmäßig keine tragfähige Grundlage.

Eine praxistaugliche Klausel sollte daher klar unterscheiden:

• Vorsatz bleibt immer von Begrenzungen ausgenommen.
• Für grobe Fahrlässigkeit sollte zumindest kein pauschaler Haftungsausschluss gelten.
• Schäden aus der Verletzung von Leben, Körper oder Gesundheit dürfen nicht eingeschränkt werden.
• Zwingende gesetzliche Haftung bleibt unberührt.
• Bei leicht fahrlässiger Verletzung wesentlicher Vertragspflichten kann eine Begrenzung auf den vertragstypischen, vorhersehbaren Schaden sinnvoll sein.

Wesentliche Vertragspflichten werden häufig auch als Kardinalpflichten bezeichnet. Gemeint sind Pflichten, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags überhaupt erst ermöglicht und auf deren Einhaltung die andere Partei vertrauen darf. Welche Pflichten das sind, hängt vom konkreten Vertrag ab. Allgemeine Schlagworte helfen wenig. Benenne kritische Pflichten deshalb möglichst direkt in Leistungsbeschreibung und Vertrag.

So kann eine ausgewogene Struktur aussehen

Statt eine Klausel mit zahlreichen Ausnahmen zu überladen, empfehlen wir eine klare Reihenfolge. Zuerst werden die Fälle unbeschränkter Haftung genannt. Danach folgt die Regel für wesentliche Vertragspflichten. Anschließend werden die übrigen Fälle leichter Fahrlässigkeit begrenzt oder ausgeschlossen.

Eine mögliche Struktur kann so aussehen:

„Die Parteien haften unbeschränkt bei Vorsatz, bei Schäden aus der Verletzung von Leben, Körper oder Gesundheit sowie in Fällen zwingender gesetzlicher Haftung. Bei grober Fahrlässigkeit haftet die jeweilige Partei nach den gesetzlichen Grundsätzen. Bei leicht fahrlässiger Verletzung wesentlicher Vertragspflichten ist die Haftung auf den vertragstypischen, vorhersehbaren Schaden begrenzt. Im Übrigen ist die Haftung für leichte Fahrlässigkeit ausgeschlossen. Die Haftung je Vertragsjahr ist, soweit rechtlich zulässig, auf den vereinbarten Haftungshöchstbetrag begrenzt.“

Diese Formulierung ist nur ein Ausgangspunkt. Sie muss insbesondere an das Vertragsmodell, die vereinbarten Leistungen und die gewünschte Risikoverteilung angepasst werden. Ergänzend lässt sich festlegen, ob bestimmte Schäden, etwa Datenwiederherstellungskosten, Sicherheitsvorfälle oder Verstöße gegen Vertraulichkeit, einem eigenen Höchstbetrag unterliegen.

Passende Seminare und Termine zur Vertragsgestaltung, Haftung und IT Recht findest du bei uns auf cmt.de.

Typische Fehler bei Haftungsregelungen

In Vertragsprüfungen begegnen uns immer wieder dieselben Schwachstellen:

1. Der Höchstbetrag ist nicht eindeutig definiert. Unklar bleibt, ob er pro Schadensfall, pro Jahr oder für die gesamte Vertragslaufzeit gilt.

2. Die Klausel widerspricht dem Service Level Agreement. Der Vertrag verspricht hohe Verfügbarkeit, schließt aber sämtliche Ausfallschäden aus.

3. Wesentliche Pflichten bleiben unbenannt. Dadurch entsteht Unsicherheit, wann eine Haftungsbegrenzung greift.

4. Datenschutz, Vertraulichkeit und Informationssicherheit werden ignoriert. Diese Risiken benötigen häufig eine eigene Betrachtung.

5. Mitwirkungspflichten fehlen. Wer Daten, Zugänge, Testfälle oder Freigaben nicht rechtzeitig bereitstellt, kann Schäden mitverursachen. Das sollte vertraglich abgebildet sein.

6. Die Klausel wird isoliert verhandelt. Haftung muss zu Abnahme, Gewährleistung, Support, Sicherheitskonzept und Versicherungen passen.

Checkliste vor der Unterschrift

Prüfe bei jeder Haftungsklausel mindestens diese Punkte:

• Ist klar, welche Schadensfälle unbeschränkt erfasst sind?
• Ist Vorsatz ausdrücklich ausgenommen?
• Wird grobe Fahrlässigkeit nicht pauschal ausgeschlossen?
• Sind Personenschäden und zwingende Haftungsfälle berücksichtigt?
• Ist der Haftungshöchstbetrag nachvollziehbar und wirtschaftlich angemessen?
• Gilt der Betrag pro Schadensfall, pro Jahr oder für die gesamte Vertragsdauer?
• Sind ausgeschlossene Schäden konkret beschrieben statt nur pauschal als „mittelbar“ bezeichnet?
• Passen Haftungsregelung und zugesagte Service Level zusammen?
• Gibt es für besonders kritische Risiken eine eigene Regelung?
• Sind Mitwirkungs-, Backup- und Wiederherstellungspflichten beider Parteien eindeutig beschrieben?

Eine gute Haftungsklausel verteilt Risiken nicht nach dem Motto „alles oder nichts“. Sie macht transparent, welche Risiken jede Partei übernimmt, welche Schäden begrenzt sind und wo zwingende Grenzen gelten. Gerade bei geschäftskritischen IT Leistungen lohnt es sich, diese Fragen vor Vertragsabschluss konkret zu verhandeln und im Einzelfall rechtlich prüfen zu lassen.