Liefer- und Rahmenverträge gestalten – Software- und IT-Branche: FAQ

1. Was ist der Unterschied zwischen einem Liefervertrag und einem Rahmenvertrag in der IT-Branche?

Ein Liefervertrag verpflichtet den Anbieter zur einmaligen oder wiederkehrenden Übergabe eines bestimmten Produkts — etwa einer Softwarelizenz oder Hardware — gegen Zahlung des vereinbarten Entgelts; er folgt dem Kaufvertragsrecht der §§ 433 ff. BGB. Ein Rahmenvertrag hingegen regelt nur den rechtlichen und kaufmännischen Rahmen für eine unbestimmte Zahl künftiger Einzelbestellungen oder Abrufe: Er legt Preise, Lieferbedingungen, Qualitätsstandards und Haftungsregelungen fest, ohne selbst eine sofortige Lieferpflicht zu begründen. In der Praxis kombinieren IT-Verträge beide Elemente: Der Rahmenvertrag definiert die Bedingungen, die Einzelabrufe konkretisieren Menge und Termin. Für Geschäftsführer ist entscheidend, dass Rahmenverträge häufig automatische Verlängerungsklauseln enthalten, die bei versäumter Kündigung zu jahrelanger Bindung führen.

2. Welches Vertragsrecht gilt für Softwarelieferungen — Kaufrecht, Werkvertragsrecht oder Dienstvertragsrecht?

Die Vertragstypeneinordnung bestimmt das gesamte Gewährleistungsregime. Reine Softwareüberlassung gegen einmalige Vergütung wird nach gefestigter Rechtsprechung des BGH überwiegend als Kaufvertrag (§§ 433 ff. BGB) eingeordnet; damit gelten kaufrechtliche Gewährleistungsfristen. Enthält die Leistung dagegen einen wesentlichen Herstellungs- oder Anpassungsanteil — etwa individuelle Softwareentwicklung oder umfangreiches Customizing — liegt regelmäßig ein Werkvertrag (§§ 631 ff. BGB) vor, der eine Abnahmepflicht und das Recht zur Mängelbeseitigung begründet. SaaS-Leistungen werden überwiegend dem Miet- oder Dienstvertragsrecht zugeordnet, weil der Nutzer keine Sachherrschaft über die Software erlangt. In der Mandatspraxis sehen wir häufig Mischverträge, bei denen die genaue Einordnung einzelner Leistungsbestandteile unklar bleibt — mit erheblichen Folgen für Fristen und Rechtsbehelfe.

3. Was muss eine rechtssichere Leistungsbeschreibung im IT-Vertrag enthalten?

Die Leistungsbeschreibung ist das Herzstück jedes IT-Vertrags. Sie muss die geschuldete Funktionalität, die technischen Mindestanforderungen (Schnittstellen, Betriebssysteme, Systemvoraussetzungen), Reaktions- und Wiederherstellungszeiten sowie Abnahmekriterien präzise definieren. Unbestimmte Formulierungen wie „Standard-Software nach aktuellem Stand der Technik" oder „branchenübliche Qualität" sind im Streitfall wertlos, weil sie dem Leistungserbringer erheblichen Interpretationsspielraum lassen. Nach unserer Erfahrung in der Vertragsgestaltung führen lückenhafte Leistungsbeschreibungen bei Softwareprojekten häufiger zu Streitigkeiten als fehlerhafte Preisklauseln. Empfehlenswert ist ein modularer Aufbau: Stammdokument (Rahmenvertrag) + technisches Leistungsverzeichnis als Anlage + Service Level Agreement (Dienstgütevereinbarung) für Betriebsleistungen.

4. Welche Bedeutung hat die kaufmännische Rügepflicht nach § 377 HGB für IT-Unternehmen?

Die kaufmännische Rügepflicht des § 377 HGB verpflichtet den Käufer im beiderseitigen Handelsgeschäft, Mängel unverzüglich nach Entdeckung schriftlich zu rügen. Unterlässt er die Rüge, gilt die Ware als genehmigt — der Käufer verliert seine Gewährleistungsrechte. Für IT-Projekte bedeutet das: Entdeckt der Auftraggeber nach Abnahme eines Softwaremoduls Funktionsmängel, muss er diese sofort anzeigen. „Unverzüglich" wird in der Praxis eng ausgelegt; eine Frist von wenigen Tagen bis allenfalls zwei Wochen gilt als angemessen. Nach unserer Beratungspraxis unterschätzen gerade mittelständische IT-Unternehmen diese Obliegenheit auf beiden Seiten des Vertrags — als Lieferant profitieren Sie von einer strengen Rüge-Regelung im Vertrag, als Abnehmer müssen Sie interne Prüfprozesse institutionalisieren.

5. Wie sollten Haftungsklauseln in IT-Rahmenverträgen gestaltet sein?

Haftungsklauseln sind der sensibelste Verhandlungspunkt in IT-Verträgen. Das BGB lässt eine vertragliche Beschränkung der Haftung für einfache Fahrlässigkeit grundsätzlich zu; unzulässig ist jedoch der Ausschluss der Haftung für vorsätzliches oder grob fahrlässiges Handeln sowie für Schäden an Leben, Körper und Gesundheit (§§ 276, 309 Nr. 7 BGB). In der Praxis werden häufig Haftungsobergrenzen vereinbart, die auf einen Vielfachen der Jahresvergütung (z. B. das Einfache oder Zweifache des Jahresvertragswertes) begrenzt sind. Klauseln in Allgemeinen Geschäftsbedingungen unterliegen zusätzlich der AGB-Inhaltskontrolle nach §§ 305 ff. BGB; unangemessene Benachteiligungen des Vertragspartners sind unwirksam. Wir beraten regelmäßig Unternehmen, die nach einem Datenverlustereignis feststellen, dass ihre Haftungsobergrenzen den tatsächlichen Schaden bei Weitem nicht abdecken — oder umgekehrt, dass kundenseitig vorformulierte Klauseln die eigene Haftung unverhältnismäßig ausweiten.

6. Was sind typische Fallstricke bei automatischen Verlängerungsklauseln in Rahmenverträgen?

Automatische Verlängerungsklauseln (sogenannte Evergreen-Klauseln) verlängern den Vertrag stillschweigend um eine weitere Laufzeit, wenn keine fristgerechte Kündigung erfolgt. In der IT-Branche finden sich Laufzeiten von ein bis drei Jahren mit Kündigungsfristen von drei bis sechs Monaten vor Vertragsende. Die genaue Frist ist stets im Einzelvertrag zu prüfen. Für Geschäftsführer bedeutet das: Wer die Kündigung verpasst, ist oft für weitere zwölf bis 36 Monate gebunden — auch wenn sich Leistungsumfang oder Geschäftsmodell inzwischen geändert haben. Eine im Voraus festgelegte Wiedervorlage im Kalender mindert das Risiko erheblich; rechtlich sollten solche Klauseln auf AGB-Konformität und transparente Formulierung geprüft werden.

7. Wie regelt man Softwareupdates und Wartungspflichten rechtssicher im Vertrag?

Seit der Schuldrechtsreform 2022 (Umsetzung der EU-Warenkauf- und Digitale-Inhalte-Richtlinie) bestehen für Verbraucherverträge gesetzliche Updatepflichten; im B2B-Bereich ist die Lage dispositiver. Dennoch empfiehlt es sich auch im Unternehmensumfeld, Update- und Patchpflichten vertraglich klar zu fassen: Was ist Pflicht-Update (Sicherheitspatches), was ist optionales Feature-Update? Wer trägt die Kosten? Mit welchem Vorlauf kündigt der Anbieter Änderungen an, die bestehende Schnittstellen (APIs) berühren? Fehlt eine solche Regelung, entsteht Streitpotenzial, sobald ein Sicherheitspatch eine kundenspezifische Anpassung bricht. Wir raten Geschäftsführern, Update-Regime, Change-Management-Verfahren und Rückwärtskompatibilitätszusagen als eigene Anlage auszugestalten.

8. Welche Bedeutung haben Service Level Agreements (SLAs) im Rahmenvertrag?

Ein Service Level Agreement (Dienstgütevereinbarung) definiert messbare Leistungsparameter: Verfügbarkeit (z. B. 99,5 % im Monatsmittel), Reaktionszeit bei Störungen (z. B. vier Stunden bei kritischen Fehlern), Wiederherstellungszeit und Eskalationsstufen. Ohne SLA ist im Streitfall nur das allgemeine Leistungsstörungsrecht des BGB anwendbar, das Ihnen als Auftraggeber zwar Ansprüche, aber keine messbaren Quoten gibt. Rechtlich werden SLAs als Teil des Hauptvertrags qualifiziert; Verstöße gegen vereinbarte Verfügbarkeitsstufen können pauschalen Schadensersatz (Vertragsstrafe nach § 339 BGB) oder ein außerordentliches Kündigungsrecht auslösen, wenn dies explizit vereinbart ist. Vertragsstrafen sind im BGB zulässig, unterliegen aber richterlicher Herabsetzung (§ 343 BGB), wenn sie unverhältnismäßig hoch sind.

9. Wie lässt sich das Recht zur außerordentlichen Kündigung von IT-Rahmenverträgen wirksam ausgestalten?

Das außerordentliche Kündigungsrecht aus wichtigem Grund (§ 314 BGB) steht bei Dauerschuldverhältnissen stets zur Verfügung und kann vertraglich nicht vollständig abbedungen werden. Wichtige Gründe in der IT-Praxis sind unter anderem: wiederholte, schwerwiegende SLA-Verstöße trotz gesetzter Abhilfefrist, Insolvenz des Anbieters, wesentliche Änderung der Eigentümerstruktur auf Anbieterseite (Change-of-Control) sowie nachgewiesene Datenschutzverstöße. Aus verhandlungstaktischer Sicht empfiehlt es sich, zusätzlich vertragliche Sonderkündigungsrechte zu vereinbaren, die bestimmte objektiv messbare Auslösetatbestände (Trigger Events) definieren — damit vermeiden beide Parteien langwierige Auseinandersetzungen über das Vorliegen eines wichtigen Grundes. Wir beraten regelmäßig mittelständische IT-Unternehmen dabei, Change-of-Control- und Insolvenzklauseln so zu formulieren, dass sie einer AGB-Kontrolle standhalten.

10. Was gilt bei der Einbindung von Open-Source-Software in Lieferverträgen?

Die Einbindung von Open-Source-Software (OSS) in kommerzielle Softwareprodukte erzeugt spezifische Lizenzrisiken, die im Liefervertrag adressiert werden müssen. Bestimmte Copyleft-Lizenzen (z. B. GPL) können die Pflicht zur Offenlegung des gesamten Quellcodes auslösen, wenn OSS-Komponenten mit proprietärem Code verbunden werden — ein Risiko, das existenzielle Bedeutung für das Geschäftsmodell haben kann. Der Liefervertrag sollte deshalb eine Gewährleistungspflicht des Lieferanten für lizenzkonformes OSS-Management sowie eine Freistellungspflicht für den Fall lizenzrechtlicher Ansprüche Dritter enthalten. Im Due-Diligence-Prozess vor Unternehmensakquisitionen ist die OSS-Compliance mittlerweile fester Prüfpunkt; fehlende Dokumentation kann zu erheblichen Kaufpreisabzügen führen.

11. Wie regelt man Datenschutz und Auftragsverarbeitung im IT-Liefervertrag?

Sobald der IT-Dienstleister im Auftrag des Kunden personenbezogene Daten verarbeitet, ist nach Art. 28 DSGVO zwingend ein Auftragsverarbeitungsvertrag (AVV) abzuschließen. Fehlt dieser, drohen Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4 DSGVO). Der AVV muss Gegenstand, Dauer, Art und Zweck der Verarbeitung, Datenkategorien, Pflichten und Rechte des Verantwortlichen sowie technische und organisatorische Maßnahmen (TOMs) regeln. In der Praxis erleben wir, dass AVVs häufig als Anhang behandelt und nicht verhandelt werden — dabei sind gerade TOMs und Subunternehmerketten verhandlungsrelevant. Datenschutzverletzungen sind binnen 72 Stunden der zuständigen Aufsichtsbehörde zu melden (Art. 33 DSGVO); ein gut ausgestalteter IT-Vertrag regelt, welche Partei die Meldepflicht trägt und innerhalb welcher Frist der Dienstleister den Auftraggeber informiert.

12. Welche Vertragsklauseln sind in AGB von IT-Anbietern häufig unwirksam?

Die AGB-Inhaltskontrolle nach §§ 305 ff. BGB ist ein wirksames Schutzinstrument auch im B2B-Verkehr, auch wenn die Schutzschwelle hier höher liegt als im Verbraucherrecht. In der IT-Praxis sind folgende Klauseltypen regelmäßig problematisch: vollständige Haftungsausschlüsse für Datenverlust; einseitige Leistungsänderungsvorbehalte ohne sachlichen Grund; Klauseln, die die Herausgabe von Kundendaten bei Vertragsende einschränken oder verzögern; Gerichtsstandsklauseln, die ausschließlich den Erfüllungsort des Anbieters bestimmen; und Klauseln, die das Recht zur Aufrechnung gegenüber unbestrittenen Forderungen ausschließen (§ 309 Nr. 3 BGB). Unwirksame AGB-Klauseln werden ersatzlos gestrichen; an ihre Stelle tritt das dispositive Gesetzesrecht — was für den IT-Anbieter oft ungünstiger ist als eine ausgewogene Individualvereinbarung.