SLAs rechtssicher gestalten Der detaillierten, eindeutigen und transparenten Festlegung der zu erbringenden Leistungen kommt bei jedem IT-Outsourcing-Projekt eine zentrale Bedeutung zu. Doch häufig werden beim Formulieren der Service Level Agreements Fehler gemacht.

In der Praxis hat es sich bewährt, der komplexen Situation und Regelungsmaterie beim IT-Outsourcing Rechnung zu tragen, indem als rechtliches Grundgerüst ein Rahmenvertrag abgeschlossen wird, dem dann die verschiedenen Leitungsscheine/Service Level Agrrements (SLAs) als Anlage hinzugefügt werden. Durch diesen modularen Vertragsaufbau kann das vom Kunden gewünschte Leistungsspektrum aus verschiedenen »Bausteinen« zusammengestellt werden, ohne dass jeweils vollständig neue individuelle Ver­träge erstellt werden müssten. Im Gegensatz zu den Regelungen des Rahmenvertrages werden in den Leistungsscheinen nicht abstrakte rechtliche Regelungen getroffen, sondern im Detail geregelt, welche Leistungen ein Anbieter zu welchen sonstigen Bedingungen zu erbringen hat. Die Leistungsscheine dienen insoweit einer abschließenden und verbindlichen Festlegung der quantitativen und qualitativen Leistungsstandards. Typischer Aufbau eines Leistungsscheins

Trotz der sehr unterschiedlichen Leistungsbereiche, die in den Leistungsscheinen geregelt werden können (zum Beispiel Server-Management, Applikations-Management, Desktop Services, Mail Services, LAN und WAN), haben sich in der Praxis einheitliche Strukturen bei der vertraglichen Umsetzung durchgesetzt. Im Wesentlichen bietet sich folgender Aufbau an, der die zentralen Elemente regelt:

– Allgemeine Leistungsbeschreibung/ Leistungsumfang
– Festlegung der Service Level und Parameter
– Monitoring/Reporting der Service Level (Messverfahren, Berichtszeit­raum)
– Mitwirkungspflichten des Kunden, Randbedingungen, Abgrenzung der Verantwortlichkeiten
– Sanktionen bei Nichterfüllung der Service Level (Vertragstrafen, Service Level Credits)
– Vergütung

Für jeden einzelnen, zusammengehörenden Leistungsbereich sollte ein eigener Leistungsschein/SLA erstellt werden. Bei der Leistungsbeschreibung und der Festlegung des Leistungsumfangs ist darauf zu achten, dass diese verständlich und eindeutig geregelt sowie entsprechend formuliert wird. Dies gilt insbesondere für die Regelung der Service Level wie etwa Reaktionszeit, Wiederherstellungszeit, Verfügbarkeit und so weiter. Letzteres ist schon deshalb erforderlich, weil in der Regel die Nichterreichung der Service Level an vertragliche Sanktionen ge­knüpft ist (beispielsweise Vertragsstrafen). Der maßgebliche Test für alle Formulierungen in den Leistungsscheinen sollte immer sein, ob die Regelung auch von einem nicht beteiligten Dritten, der über keine besonderen IT-Kenntnisse verfügt, auf Anhieb verstanden wird. Eine transparente Leistungsbeschreibung dient letztendlich sowohl dem Kunden, als auch dem Anbieter. Dem Kunden nutzt sie, da eine Nicht- oder Schlechterfüllung einer Leistung nur dann mit Erfolg begründet und etwaige Sanktionen wie Vertragsstrafen nur dann geltend gemacht werden können, wenn die genaue Leistungsbeschreibung einen Vergleich zwischen Sollzustand und negativ hiervon abweichendem Ist-Zustand erlaubt. Für den Anbieter ist die exakte Bestimmung der Leistung insbesondere deshalb wichtig, weil er nur so davor gefeit ist, dass der Kunde mit dem schwer widerlegbaren Einwand, er habe ein Mehr an Leistung oder eine andere, bessere Leistung vereinbart, die entsprechende Leistungserbringung fordert und eine zusätzliche Vergütung hierfür ablehnt.

Verfügbarkeit von ­Systemen und Netzen

Soweit in einem Leistungsschein der Leistungsumfang von IT-Dienstleistungen geregelt werden soll (etwa User-Helpdesk, Desktop Services) wird in der Praxis oft auf die Anwendbarkeit der IT Infrastructure Library (ITIL) verwiesen. ITIL enthält unter anderem detaillierte Prozessbeschreibungen (Best Practice) zur Struktur und zum Aufbau eines effizienten IT-Service Managements (Service Desk, Problem-Management, Configuration Management, et cetera). Aufgrund der Qualität der Prozessbeschreibungen sowie der verbreiteten Akzeptanz von ITIL ist eine entsprechende Einbeziehung in die Leistungsbeschreibung grundsätzlich empfehlenswert. Allerdings können die ITIL Prozessbeschreibungen und Definitionen keine spezifische Leistungsbeschreibung er­setzen, da hierin nur generelle Vorgaben enthalten sind, die oftmals für den konkreten Einzelfall nicht geeignet sind. Auch bei einer Einbeziehung des ITIL-Standards kann man daher nicht auf eine spezifische Gestaltung des jeweiligen Leistungsscheins verzichten. Einer der häufigsten Service Level ist die so genannte Verfügbarkeit von Systemen und Netzen. Insbesondere in Leistungsscheinen zu den Bereichen Server-Management, Applikationsmanagement, LAN und WAN finden sich regelmäßig Verfügbarkeitsklauseln. Da die Unter-schreitung der festgelegten Verfügbarkeit sowohl für den Kunden (Produktionsausfall), als auch für den Anbieter (Vertragsstrafen) erhebliche Konsequenzen haben kann, sollte man besonders sorgfältig auf die Gestaltung der Verfügbarkeitsregelung achten. Eine Verfügbarkeitsregelung sollte insbesondere Folgendes enthalten:

– Bestimmung und Berechnung der Verfügbarkeit (Berechnungsformel)
– Messung der Verfügbarkeit (wo, von wem und wie – »Monitoring/Re­por­ting«)
– Bestimmung der Betriebszeit (24 Stunden an 365 Tagen oder 8 Stunden an Werktagen, Definition von Feiertagen)
– Berücksichtigung von Wartungszeiten
– Bestimmung der maximalen Ausfallzeit/Anzahl der Ausfälle im Berichtszeitraum

Im Zusammenhang mit dem Abzug von Wartungszeiten ist zu empfehlen, ge­naustes zu regeln, in welchem Umfang diese von der Berechnung der Verfügbarkeit abzuziehen sind. Zu differenzieren ist insofern zwischen geplanten und ungeplanten Wartungszeiten. Bei den ungeplanten Wartungszeiten sollte ei­gentlich selbstverständlich sein, dass diese nur dann von der Berechnung der Verfügbarkeit abgezogen werden können, wenn diese rechtzeitig vorher vom Anbieter angekündigt werden. Zudem sollte man sich als Kunde auch vorbe-halten, dass solche ungeplanten Wartungszeiten, wenn überhaupt, nur außerhalb der eigentlichen Betriebszeiten beziehungsweise Geschäftszeiten stattzufinden haben.

Höchstens fünf Ausfälle pro Monat

Bei der eigentlichen Berechnung der Verfügbarkeit sind die verschiedenen Rechenfaktoren, die Wartungszeiten, zu erreichende Betriebszeit et cetera zu berücksichtigen. Zu beachten ist hierbei, dass selbst bei einer Verfügbarkeit von 99 Prozent im Monat bei einer ­Betriebszeit von 24 Stunden 365 Tage im Jahr, die sanktionslose Ausfallzeit immerhin noch 7,44 Stunden pro Monat beträgt. Daher sollte man die Regelung der Verfügbarkeit durch eine Regelung der maxmalen Ausfallzeit, etwa maximal drei Stunden, ergänzen. Darüber hinaus nützt es dem Kunden wenig, wenn die Verfügbarkeit von 99 Prozent pro Monat und die maximal Ausfallzeit von drei Stunden eingehalten wird, aber das System jeden Tag einige Minuten ausfällt und sich die Benutzer immer neu im System anmelden müssen. Eine Möglichkeit diesen Fall zu regeln, ist zusätzlich die Anzahl der Aus-fälle des Systems pro Berichtszeitraum zu beschränken – beispielsweise auf höchstens fünf Ausfälle pro Monat.

Besondere Sanktionen Bei Nichteinhaltung üblich

Für die Nichteinhaltung der Service Level sind besondere Sanktionen üblich. Namentlich sind hierbei die Herabsetzung der Vergütung (Service Level Credits), Vertragsstrafen sowie pauschalierter Schadensersatz sowie bei andauernder und erheblicher Unterschreitung der Service Level die außerordentliche Kündigung zu nennen. Service Levels werden oft derart gestaffelt vereinbart, dass bei einer geringeren Quantität oder Qualität der Leistung schlicht weniger Vergütung gezahlt wird. Da sich bei der Unterschreitung von mehreren Service Level eine solche Reduzierung der Vergütung schnell summieren kann, sollte man aus Anbietersicht darauf achten, dass die maximale Höhe solcher Service Level Credits proportional zur Gesamtvergütung begrenzt wird (zum Beispiel auf maximal 50 Prozent der Gesamtvergütung). Die Vereinbarung einer Vertragsstrafe ist für den Kunden in der Regel noch günstiger, da diese unabhängig von einem tatsächlich eingetretenen Schaden verlangt werden kann und darüber hinaus neben dieser unter Umständen zu­sätzlich Schadensersatz verlangt werden kann. Pauschalierter Schadensersatz er­leichtert für den Kunden lediglich die Feststellung und Beweisführung hinsichtlich tatsächlich entstandener Schäden und dürfte insoweit in den meisten Fällen für den Anbieter günstiger sein. Welche Sanktion letztendlich vereinbart wird, hängt vom Verhandlungsgeschick der Parteien ab. Ohne eine detaillierte und transparente Leistungsbeschreibung nutzt jedoch selbst die schärfste Sanktion wenig, da in Zweifelsfällen nicht klar sein wird, ob die Leistungen ordnungsgemäß erbracht sind oder nicht.

Peter Huppertz ist im IT-Recht spezialisierter Rechtsanwalt bei der Anwalts­so­zietät Nörr Stiefenhofer Lutz, Düsseldorf