Rechtliche Einordnung und Abgrenzung von SAAS, ASP, Rechenzentrums-, Hosting und Providingverträgen

Die rechtliche Einordnung der Leistungen ist von entscheidender Bedeutung. Ich habe schon verschiedentlich dargelegt, daß die von den IT-Anbietern verwendeten Verträge regelmäßig als Standardverträge zu qualifizieren sind. Sie werden mit der Intention formuliert, mehr als einmal verwendet zu werden und sind damit als Standardverträge – oder im juristischen Jargon – als AGB zu qualifizieren. AGB – Allgemeine Geschäftsbedingungen – müssen nach § 307 BGB dem gesetzlichen Leitbild entsprechen, um wirksam zu sein. Ein Vertrag, der einen Kauf regelt, darf nicht von wesentlichen Leitbildern der gesetzlichen Regelungen zum Kauf abweichen. Entsprechendes gilt für die Standardverträge, die im Rahmen von SAAS oder Cloud Computing eingesetzt werden. Von Anbieterseite ist häufig zu hören, daß Cloud Computing oder SAAS (Software as a service) als ein Dienstleistungsvertrag zu qualifizieren ist. Das stimmt so nicht nicht. Man muß unterscheiden, wie die Leistungen des Anbieters gegenüber dem Kunden genau ausgestaltet sind:

ASP

Überlässt der Anbieter dem Kunden gegen Entgelt einen zeitlich begrenzten Zugriff der Software (ASP) handelt es sich um einen Mietvertrag (so ausdrücklich der BGH). Die Haftung nach außen mag nach dienstvertraglich rechtlichen Grundsätzen zu beurteilen sein, weil die Daten erst über das Internet oder via VPN übermittelt werden müssen. Aber das zeitlich begrenzte Zurverfügungstellen von Hardware und Software ist nach Mietrecht zu beurteilen und muß auch so in den Verträgen geregelt werden, damit diese wirksam sind. Diese Verträge umfassen gegenüber dem Kunden nur zwei Leistungstypen, die vertraglich berücksichtigt werden müssen: Die Vermietung der Software und das Zurverfügungstellen der Daten an einem Knotenpunkt, von dem aus die Daten über das Internet übermittelt werden können.

Teil II

VPN, LAN- Dienste, Corporate Networks, VoIP  und  andere  Dienste sind Leistungen, die neben den klassischen Leistungen wie Customizing oder der Wartung von Netzwerken oder anderen IT bezogenen Leistungen treten. Insbesondere die IT-Unternehmen, die für den Kunden Daten an Rechenzentren übersenden oder deren Leistungen im Rahmen des Outsourcing auch Datenübertragungen über Netze vorsehen;  Anbieter von VPNs oder Diensten, die mit dem Internet in Zusammenhang  stehen; all diese müssen sich zwangsweise mit der Frage auseinandersetzen, ob sie von einzelnen Pflichten betroffen sind, die man bislang eher den Anbietern von Internet- oder Telefonieleistungen zugeordnet hat. Als Rechtsanwalt werde ich immer häufig gefragt, welche öffentlich-rechtlichen Pflichten sich aus der Erbringung und dem Angebot solcher Leistungen ergeben.

Da unser Gesetzgeber nach dem Motto „Von der Wiege bis zur Bahre, Formulare, Formulare“ verfährt, kann es nicht anders sein, als daß das Erbringen solcher Dienste den Anbieter von IT Leistungen sofort ohne Umwege in das Dickicht vieler bis dahin unbekannten Gesetze und Verordnungen führt. Dieser Artikel soll die wesentlichen Vorschriften und ihre Anwendungsbereiche aufzeigen. Bitte denken Sie daran, daß sich die Rechtslage in diesem Gebiet sehr schnell ändert und hier  kein Raum für eine unter Umständen angezeigte detailreiche Analyse besteht. Diese kann nur durch Fachleute erfolgen.

II. Telefonie

Kurz vorab: Das Kürzel TKG bezeichnet das Telekommunikationsgesetz, StPO steht für die Strafprozeßordnung, TKV bedeutet Telekommunkationsverordnung, TkÜV wird mit Telekommunikationsüberwachungsverordnung übersetzt.

Der Anbieter von Telekommunikationsdienstleistungen oder derjenige, der anderen Erbringung mitwirkt, muß nach den §§ 100a, 100StPO in bestimmten Fällen Telekommunikationsüberwachungsmaßnahmen und Aufzeichnungen ermöglichen. Erbringen bedeutet jede Bereitstellung der Telefonie. Strittig – wohl aber nach Ansicht des Gesetzgebers zu bejahen – ist die Bereitstellung von Nebenstellenanlagen in Unternehmen wie zum Beispiel Hotels, Krankenhäusern dergl. Die gleichen Verpflichtungen treffen die Betreiber von LANs. Der Begriff der Mitwirkung betrifft die Unterstützung im Wege der Wartung oder des Aufrechterhaltens des Betriebs der Anlagen.

a.)    Geschäftsmäßiges Erbringen bzw. Mitwirkung

Zusätzlich sind eine Reihe von Pflichten aus dem TKG zu erfüllen, §§ 88 (Schutz des Fernmeldegeheimnisses), 91 (Datenschutz), 109 (technische Schutzmaßnahmen). Anwendung der Vorschriften z.B. VPN´s (Einzelheiten streitig, s.u.), Ermöglichen privater Kommunikation am Arbeitsplatz (Telefonie, Internet). Mitwirkung bedeutet die Beteiligung an der Erbringung solcher Dienste, wie z.B. durch das Bereitstellen von Anlagen, die Wartung oder den Betrieb solcher Anlagen.

b.)    Gewerbliches Erbringen von Telekommunikationsleistungen für die Öffentlichkeit

Die Meldepflichten nach § 6 TKG sind zu erfüllen. Die Kundenschutzvorschriften nach den §§ 43aff.. TKG sind zu erfüllen, ferner zur Auskunftserteilung nach §§ 111ff. TKG sind zu erfüllen. Betroffen sind Telefonieleistungen zu allen Zielen, incl. VOIP, Mobilfunk, Internet Zugängen, Vermietung von Leitungen und Übertragungskapazitäten. 

III. Betreiben eines Telekommunikationsnetzes oder Telekommunikationsanlage (VPN – LAN – Corporate Network)

Unter dem Begriff des „Betreibens einer Telekommunikationsanlage, die dem Erbringen von Telekommunikationsdiensten für die Öffentlichkeit dient“  fallen insbesondere die Anbieter von VN, WAN, Corporate Network etc. Es bestehen erweiterte Pflichten für technische Schutzmaßnahmen,  zur Beauftragung eines Sicherheitsbeauftragten und Sicherheitskonzeptes (§§ 109,110 TKG) und weitere Pflichten, die sich aus der TKÜV ergeben. Beim gewerblichen Betrieb besteht Meldepflicht nach § 6 TKG.

Das Ziel des Gesetzgebers besteht in der Ermöglichung zur Überwachung der Telekommunikation zum Zwecke der Gefahrenabwehr. Aus diesem Grund sollen selbst unternehmensinterne Kommunikation Gegenstand der Überwachung sein können. Immer dann, wenn die Leistungen des IT Unternehmens auch in der Datenübertragung besteht, müssen die oben beschriebenen Pflichten erfüllt werden. Die Tendenz die hinter dem Gesetz steht, ist eindeutig: Leistungen, die sich nicht darauf beschränken, die Hardware oder Software zu verkaufen und zu warten, die der Realisierung von VPNs dient, sondern eben auch an Datenübertragungen des Auftraggebers selbst mitzuwirken, unterfallen regelmäßig den Leistungen, an die das TKG die beschriebenen Pflichten knüpft.  Das gilt nach Ansicht vieler Anwälte schon dann, wenn die Dienste auch Dritten gegenüber erbracht werden können, also nicht nur unmittelbar von dem Kunden des IT-Dienstleisters in Anspruch genommen werden können. Viele Leistungen, die im Rahmen des Outsourcing wahrgenommen werden, gehören nicht dazu, den typischerweise handelt das IT-Unternehmen hier auf Anweisung des Kunden. Der IT-Dienstleister betreibt hier eine Leistung gem.  § 11 BDSG.  

Wir beraten Sie gerne über Einzelheiten zu diesem Themengebiet.

Stefan G. Kramer

Rechtsanwalt