· aktualisiert · horak Rechtsanwälte
Software wird kaum noch gekauft, sondern als Cloud-Dienst gemietet. Daten fließen zwischen Konzerngesellschaften, Dienstleistern und KI-Anbietern. Für Unternehmen heißt das: Jeder dieser Vorgänge braucht eine vertragliche und regulatorische Grundlage. Das IT-Recht regelt, wer was liefert, wer für Ausfälle haftet und welche Daten wohin dürfen.
Vom Randthema zum Kern der Unternehmensorganisation
Anfang der 2000er-Jahre ging es im IT-Recht vor allem um Providerhaftung, Domains und einfache Online-Shops. Heute sind SaaS, Plattformen und automatisierte Prozesse Standard. Hinzu kommt eine dichte EU-Regulierung: DSGVO, Data Act, NIS-2, für Finanzunternehmen DORA und seit dem 01.08.2024 die KI-Verordnung (EU) 2024/1689. IT-Recht ist damit Teil der Geschäftsstrategie und nicht mehr nur Sache der Rechtsabteilung.
Die wichtigsten Felder in der Praxis
IT-Vertragsrecht
Ein IT-Vertrag legt fest, wie Software genutzt wird, wer welche Daten verarbeitet und wie Risiken verteilt sind. Regelungsbedürftig sind vor allem:
- Lizenzmodell (On-Premise, Cloud, Subskription) und Umfang der Nutzungsrechte
- Service Level Agreements mit messbarer Verfügbarkeit und Gutschriften
- Haftungsbegrenzungen, die einer AGB-Kontrolle standhalten
- Updates, Support und Ende der Wartung
- Exit-Regeln und Datenrückgabe beim Anbieterwechsel
Praxisbeispiel: Ein Maschinenbauer lizenziert eine Planungssoftware „pro Standort“. Nach der Übernahme eines Wettbewerbers nutzt er sie auch dort. Beim Lizenzaudit fordert der Hersteller Nachlizenzierung für drei Jahre rückwirkend. Eine klare Definition von „Standort“ und „verbundenen Unternehmen“ im Vertrag hätte den Streit verhindert. Mehr dazu unter IT-Vertragsrecht.
IT-Vergabe
Öffentliche Auftraggeber müssen IT-Leistungen transparent und diskriminierungsfrei ausschreiben. Fehler in der Leistungsbeschreibung oder bei den Zuschlagskriterien führen zu Rügen, Nachprüfungsverfahren und Verzögerungen. Bieter wiederum verlieren Rechte, wenn sie erkannte Vergabeverstöße nicht rechtzeitig rügen. Wir beraten bei der Vergabestrategie, prüfen Angebote und führen Nachprüfungsverfahren.
IT-Outsourcing
Outsourcing spart Kosten, schafft aber Abhängigkeiten. Zu klären ist, welche Daten ausgelagert werden, wer bei Sicherheitsvorfällen haftet und wie der Rückweg aussieht. Ein Vertrag ohne Exit-Plan macht den Wechsel des Dienstleisters teuer. Details auf unserer Seite zum IT-Outsourcing.
Datenschutzrecht
Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage nach Art. 6 DSGVO. Die Einwilligung ist nur eine davon; häufig tragen Vertrag oder berechtigtes Interesse. Für Cookies und Tracking gilt zusätzlich § 25 TDDDG. In der Beratung geht es typischerweise um:
- Datenschutz-Folgenabschätzung (Art. 35 DSGVO)
- Verzeichnis von Verarbeitungstätigkeiten
- Auftragsverarbeitungsverträge (Art. 28 DSGVO)
- Drittlandtransfers, etwa auf Basis des EU-US Data Privacy Framework
- Auskunfts- und Löschanfragen von Betroffenen
Cybersecurity und Haftung
Nach einem Hackerangriff stellen sich drei Fragen: Wer haftet gegenüber Kunden, greift eine vertragliche Haftungsfreistellung, und welche Meldepflichten laufen? Nach Art. 33 DSGVO ist eine Datenpanne in der Regel binnen 72 Stunden der Aufsichtsbehörde zu melden. Für Unternehmen, die unter NIS-2 fallen, kommen eigene Meldepflichten gegenüber dem BSI hinzu. Wer erst im Ernstfall klärt, wer was meldet, verliert genau diese Zeit.
KI-Verordnung
Die KI-Verordnung ist in Kraft und wird stufenweise anwendbar. Unternehmen, die KI einsetzen, müssen ihre Systeme erfassen, einer Risikoklasse zuordnen und ihre Mitarbeitenden schulen. Wer KI im Personalbereich, bei der Kreditwürdigkeitsprüfung oder in sicherheitsrelevanten Produkten nutzt, bewegt sich im Hochrisikobereich. Der genaue Zeitplan für die Hochrisiko-Pflichten wird auf EU-Ebene noch diskutiert. Die Bestandsaufnahme sollte trotzdem jetzt erfolgen.
Schnittstellen zu anderen Rechtsgebieten
IT-Recht überschneidet sich mit dem Medienrecht (Social-Media-Integrationen), dem Gesellschaftsrecht (digitale Services als Teil der Konzernstruktur) sowie dem Marken- und Wettbewerbsrecht bei Online-Auftritt, Branding und Domains.
Praxisfall: Kündigung ohne Exit-Plan
Ein mittelständischer Händler kündigt seinen Outsourcingvertrag für Rechenzentrum und Warenwirtschaft. Der Vertrag enthält keine Pflicht zur Mitwirkung bei der Migration. Der bisherige Dienstleister liefert die Daten nur in einem proprietären Format. Während der Übergangsphase kommt es zu einem Datenleck. Die Auftragsverarbeitungsvereinbarung regelt nicht, wer Betroffene informiert und wer die Kosten trägt.
Die Folgen: Betriebsunterbrechung, Schadensersatzforderungen von Kunden und eine Anfrage der Datenschutzaufsicht. Eine Exit-Klausel mit Migrationsunterstützung, ein definiertes Datenformat und klare Zuständigkeiten im AV-Vertrag hätten den größten Teil des Schadens vermieden.
Sie planen einen Outsourcingvertrag oder wollen bestehende IT-Verträge prüfen lassen? Buchen Sie einen Termin oder rufen Sie uns an: 0511 357356-0.
Beratung im Datenschutz & DSGVO
DSGVO für Unternehmen: Auftragsverarbeitung, Datenpannen, Auskunft und Bußgeldverfahren. Sie haben eine ähnliche Frage? Wir prüfen Ihren Fall und sagen Ihnen, welche Schritte sinnvoll sind.