Gefährliche Interpretationsfähigkeit (Fortsetzung)

Rahmenvertrag als rechtliches Grundgerüst
Die rechtlichen Grundregelungen eines IT-Outsourcing-Vertragswerkes sind im Rahmenvertrag zu regeln. Hierzu zählen insbesondere folgende Punkte:

- Präambel
- Vertragsgegenstand und Vertragsbestandteile
- Vom Anbieter zu erbringende Leistungen(Verweis auf Leistungsscheine/SLAs)
- Service Levels
- Leistungsmängel
- IT-Schnittstellen, Datenformate, Personal
- Einsatz von Subunternehmern
- Mitwirkungs- und Beistellpflichten des Kunden
- Änderungsverfahren (Change Management)
- Organisation der Zusammenarbeit (Ansprechpartner, Lenkungsausschuss, etc.)
- Vergütung und Zahlungsbedingungen
- Monitoring und Berichterstattung
- Weisungs-, Prüfungs- und Kontrollrechte
- Datenschutz
- Benchmarking
- Nutzungsrechte an geistigem Eigentum (Intellectual Property)
- Vertraulichkeit
- Haftung
- Laufzeit, Kündigung
- Folgen der Vertragsbeendigung Diese rechtlichen Regelungen im Rahmenvertrag werden durch diverse Anlagen ergänzt und konkretisiert. Hier lässt sich zwischen Anlagen zur Leistungsbeschreibung (Leistungsscheine/SLAs), Anlagen zur Assetübernahme (Hardware, Software, Personal und Verträge) sowie allgemeinen Anlagen (Datenschutz, interne Richtlinien des Kunden, Benchmarking, Ansprechpartner etc?) unterscheiden. We­sentlich an der gesamten Konstruktion ist, dass insbesondere die Anlagen zur Leistungsbeschreibung während der Laufzeit des Vertrages bei Bedarf geändert, ergänzt oder beendet werden können. Nur hierdurch lässt sich die bei einem langfristigen IT-Outsourcing erforderliche Flexibilität erreichen.
In der Regel sollte für jeden einzelnen auszulagernden Service ein eigener Leistungsschein/SLA erstellt werden. Zu den häufigsten Auslagerungsbereichen zählen beispielsweise Server-Management, Applikations-Management, Desktop-Services, Mail-Services, LAN und WAN. Bei der Beschreibung der qualitativen und quantitativen Ziele der Leistungserbringung im jeweiligen Leistungsschein/SLA ist darauf zu achten, dass diese auch für Dritte verständlich und eindeutig geregelt und vor allem auch entsprechend formuliert sind. Dies gilt insbesondere für die festzulegenden Service-Level wie etwa Reaktionszeit, Wiederherstellungszeit oder Verfügbarkeit. Letzteres ist schon deshalb erforderlich, weil in der Regel bei Nichterreichung der festgelegten Service-Level Vertragsstrafen oder ein pauschalierter Schadensersatz (Service Level Credits) fällig werden. Zudem sollte man sich schon in den Leistungsscheinen/SLA über ein Verfahren zur Messung der festgelegten Service Level einigen. Nur so lässt sich der oft zu beobachtende spätere Streit über die richtige Messmethode wirksam verhindern.
Soweit es sich um ein Auslagern handelt, bei dem der Anbieter Personal, Hardware, Software und andere vertragliche Verpflichtungen des Kunden übernehmen soll, sind auch die Details eine solchen Übernahme zu regeln. Insbesondere die Übernahme von Personal und von bestehenden Verträgen ist oftmals mit rechtlichen Risiken verbunden. Bei der Übernahme von Personal ist insoweit unter anderem zu regeln, welches Personal der Anbieter ab wann übernimmt und welche sonstigen Leistungen damit verbunden sind. Bei der Übernahme von Verträgen (zum Beispiel Software- und Hardwarewartungsverträge) ist zu berücksichtigen, dass hierzu das Einverständnis des alten Vertragspartners des Kunden erforderlich ist. Zudem sollte man als Anbieter immer prüfen und regeln, was passiert, wenn noch Zahlungen aus den zu übernehmenden Verträgen offen sind. Diese und weitere rechtliche Themen sollten jeweils in eigenständigen Regelungen zur Übernahme von Personal, Hardware, Software und sonstigen vertraglichen Verpflichtungen des Kunden adressiert werden. Soweit es sich bei dem jeweiligen Projekt lediglich um ein Outtasking ohne die Übernahme von Assets handelt, kann selbstverständlich auf eine derartige Regelung verzichtet werden. Datenschutz nicht unterschätzen
Schließlich sollten weitere allgemein zu berücksichtigende Regelungen, wie Datenschutz, interne Richtlinien des Kunden und Benchmarking ebenfalls getrennt voneinander als allgemeine Anlagen zum Rahmenvertrag vorgenommen werden. Insbesondere die erforderlichen Regelungen zum Datenschutz sollten nicht unterschätzt werden. Oft werden nämlich im Rahmen der Leistungserbringung personenbezogene Daten durch den Anbieter verarbeitet. Für die insofern in der Regel einschlägige Auftragsdatenverarbeitung sind jedoch eine Vielzahl von gesetzlichen Voraussetzungen zu be­achten. Der Anbieter muss zum Beispiel seine Mitarbeiter auf das Datengeheimnis verpflichten und zudem gesetzlich vorgegebene technische und organisatorische Maßnahmen zum Datenschutz treffen. Hier zahlt es sich zumeist aus, wenn frühzeitig die Datenschutzbeauftragten des Kunden und des Anbieters involviert werden. Ebenso wesentlich ist es aus Kundensicht, dass dessen interne Richtlinien (Arbeitsschutz, IT-Sicherheit etc…) vom Anbieter befolgt werden, wenn dieser sein Personal vor Ort beim Kunden einsetzt. Viele Kunden bestehen zudem mittlerweile darauf, dass die Leistungen des Anbieters nach einem gewissen Zeitraum in einem Benchmark-Verfahren auf Marktkonformität geprüft werden. Die konkrete Durchführung eines solchen Benchmarkings sollte vorab zwischen den Parteien festgelegt werden (Kosten, Benchmarker, Zeitraum, Rechtsfolgen).
Zusammenfassend lässt sich festhalten, dass eine sorgfältige Vertragsgestaltung unter Berücksichtigung der Komplexität eines IT-Outsourcings zwar unumgänglich ist, im Rahmen eines modularen Vertragsaufbaus aber relativ einfach umgesetzt werden kann.

Peter Huppertz ist im IT-Recht spezialisierter Rechtsanwalt bei der Anwalts­sozietät Nörr Stiefenhofer Lutz, Düsseldorf