Neue Vertragsarten im IT-Recht: Cloud, KI, Daten, IoT

Cloud, KI, Datenhandel und vernetzte Geräte haben Vertragstypen hervorgebracht, die das BGB nicht kennt. Sie werden meist als Miet-, Dienst- oder Werkvertrag eingeordnet oder als Mischform. Welche Einordnung gilt, entscheidet über Gewährleistung, Kündigung und Haftung. Die folgenden Vertragsarten begegnen Unternehmen im IT-Vertragsrecht heute am häufigsten.

Cloud- und SaaS-Verträge

Cloud-Verträge regeln die Bereitstellung von Rechenleistung, Speicher oder Software über das Internet. Der BGH ordnet die Softwareüberlassung auf Zeit grundsätzlich dem Mietrecht zu.

• Service Level Agreements (SLA): Verfügbarkeit, Reaktions- und Wiederherstellungszeiten, Messmethode und Gutschriften bei Unterschreitung.
• Auftragsverarbeitungsvertrag (Art. 28 DSGVO): Pflicht, sobald der Anbieter personenbezogene Daten im Auftrag verarbeitet. Er regelt Weisungen, technische und organisatorische Maßnahmen und Unterauftragnehmer.
• Anbieterwechsel: Der Data Act verpflichtet Anbieter von Datenverarbeitungsdiensten, den Wechsel zu einem anderen Anbieter zu ermöglichen. Verträge müssen dafür Kündigungs- und Übergangsregeln enthalten.
• Multi-Cloud: Bei mehreren Anbietern sind Schnittstellen, Verantwortlichkeiten und Haftung an den Übergängen zu klären.

Praxisbeispiel: Ein SaaS-Anbieter für Personalsoftware begrenzt seine Haftung in den AGB auf die Jahresgebühr, auch für Datenverlust. Nach einem Ausfall mit Verlust von Lohndaten verlangt ein Kunde Ersatz für die Rekonstruktion. Ist die Klausel nach § 307 BGB unwirksam, haftet der Anbieter unbegrenzt. Eine differenzierte Klausel, die Kardinalpflichten ausnimmt und typische Schäden deckelt, hätte gehalten.

KI-Verträge

• AI-as-a-Service: Bereitstellung von KI-Funktionen per Schnittstelle. Zu regeln sind Nutzung von Eingaben und Ausgaben, Verwendung von Kundendaten zum Training und Haftung für fehlerhafte Ergebnisse.
• Entwicklungs- und Lizenzverträge für Modelle: Wem gehören das trainierte Modell, die Gewichte und Verbesserungen? Darf der Anbieter das Modell anderen Kunden anbieten?
• Pflichtenverteilung nach der KI-Verordnung: Die Verordnung (EU) 2024/1689 unterscheidet Anbieter und Betreiber. Der Vertrag sollte festlegen, wer Dokumentation, technische Informationen und Unterstützung bei Pflichten des Betreibers liefert.

Datenverträge

• Datennutzungsverträge: Zweck, Umfang und Dauer der Nutzung, besonders bei personenbezogenen oder vertraulichen Daten.
• Data Pooling: Mehrere Unternehmen teilen Daten zur gemeinsamen Auswertung. Neben den Rechten und Pflichten der Beteiligten ist das Kartellrecht zu prüfen, wenn Wettbewerber beteiligt sind.
• Datenlizenzen: Überlassung von Datensätzen, etwa für KI-Training. Da an Daten als solchen kein Eigentum besteht, trägt der Vertrag die Hauptlast.

IoT-Verträge

Vernetzte Geräte verbinden Hardware, Software, Konnektivität und Datenströme. Der Data Act gibt Nutzern vernetzter Produkte Zugangsrechte zu den erzeugten Daten. Hersteller müssen ihre Verträge daran ausrichten.

• IoT-Serviceverträge: Bereitstellung, Wartung und Sicherheitsupdates der Geräte
• Konnektivitätsverträge: Netzanbindung, oft mit TK-rechtlichen Bezügen
• Datenregeln: wer die Maschinendaten nutzen, speichern und weitergeben darf

Praxisbeispiel: Ein Hersteller von Industriepumpen wertet Sensordaten seiner Kunden für Predictive Maintenance aus und will sie auch für die Produktentwicklung nutzen. Ohne vertragliche Regelung mit den Betreibern ist das angreifbar, und Kunden können die Herausgabe der Daten an Dritte verlangen.

Blockchain und Smart Contracts

• Smart Contracts: Programmcode, der Leistungen automatisch auslöst. Rechtlich ist er meist nur Werkzeug zur Vertragsdurchführung. Der eigentliche Vertrag sollte regeln, was bei fehlerhaftem Code gilt.
• Tokenisierung: Ausgabe und Übertragung tokenisierter Werte. Für Kryptowerte ist die EU-Verordnung MiCA zu beachten.
• DAOs: Organisationen, die über Smart Contracts gesteuert werden. Ohne gesellschaftsrechtliche Hülle droht den Beteiligten persönliche Haftung.

Cybersecurity-Verträge

• Sicherheitsdienstleistungen: Penetrationstests, Monitoring, Incident Response. Wichtig sind klare Beauftragung und Freigabe, damit Tests nicht als unbefugter Zugriff gelten.
• Haftung bei Angriffen: Wer trägt den Schaden, wer meldet an Aufsichtsbehörden, wer informiert Betroffene? Für Unternehmen unter NIS-2 sollte der Vertrag die eigenen Meldepflichten abbilden.
• Cyberversicherung: Deckung, Obliegenheiten und Ausschlüsse. Viele Policen setzen Mindeststandards wie Multi-Faktor-Authentifizierung voraus.

Open-Source-Verträge

• Open-Source-Lizenzen: Bedingungen für Nutzung, Änderung und Weitergabe. Copyleft-Lizenzen wie die GPL verlangen bei Weitergabe die Offenlegung des Quellcodes; permissive Lizenzen wie MIT im Wesentlichen nur Lizenz- und Urhebervermerke.
• Contributor Agreements: regeln Rechte an Beiträgen zu Open-Source-Projekten, etwa wenn Mitarbeitende eines Unternehmens Code beisteuern.

Mehr zu Lizenzfragen finden Sie unter Lizenzrecht. Sie verhandeln gerade einen Cloud-, KI- oder Datenvertrag? Buchen Sie einen Termin oder rufen Sie uns an: 0511 357356-0.