IT services agreement in the Netherlands: which clauses matter and why

Ein IT-Dienstleistungsvertrag ist ein Vertrag, in dessen Rahmen ein Anbieter Ihrem Unternehmen Technologiedienstleistungen erbringt: Managed IT, Softwareentwicklung, Hosting, Support oder eine Kombination davon. Nach niederländischem Recht handelt es sich in der Regel um einen Dienstleistungsvertrag (overeenkomst van opdracht) gemäß Buch 7 des Bürgerlichen Gesetzbuches (Burgerlijk Wetboek, BW). Bei Lieferung eines definierten Ergebnisses durch den Anbieter wird er jedoch zu einem Werkvertrag (aanneming van werk).

That classification decides a great deal. It determines whether the provider owes best efforts or a result, whether you can end the contract early, and what happens when a deadline is missed.

Um welche Art von Vertrag handelt es sich bei einem IT-Dienstleistungsvertrag nach niederländischem Recht?

In den meisten Fällen handelt es sich um einen Dienstleistungsvertrag, in dem der Anbieter zu bestmöglichen Bemühungen verpflichtet ist. Nur wenn der Vertrag ein klar definiertes Ergebnis zusichert, ist der Anbieter zur Erfüllung dieses Ergebnisses verpflichtet.

Das niederländische Recht unterscheidet zwei Arten von Verpflichtungen, die in englischsprachigen IT-Verträgen oft verschwimmen. Die Verpflichtung zu bestmöglichen Bemühungen (inspanningsverbintenis) verpflichtet den Anbieter, mit der Sorgfalt eines vernünftigerweise kompetenten Fachmanns zu arbeiten. Sie wird nur dann verletzt, wenn der Anbieter diesem Standard nicht gerecht wird. Die Verpflichtung zum Ergebnis (resultaatsverbintenis) verlangt ein definiertes Ergebnis. Wird dieses Ergebnis nicht erzielt, liegt eine Vertragsverletzung vor, unabhängig von den unternommenen Anstrengungen.

Anbieter erstellen den ersten Entwurf, Kunden gehen vom zweiten aus. Der Begriff „Lieferung“ allein reicht nicht aus, um die Frage zu klären. Niederländische Gerichte entscheiden durch Auslegung: Sie berücksichtigen den Wortlaut, die Verhandlungen, die Expertise der Parteien und den wirtschaftlichen Zweck. Beim Kauf eines funktionsfähigen Systems bis zu einem festgelegten Termin muss der Vertrag die Lieferung bis zu diesem Termin als Ergebnisverpflichtung festlegen. Er sollte außerdem die Abnahme anhand definierter Kriterien regeln. Wenn beide Parteien tatsächlich bestmögliche Anstrengungen unternehmen wollen, sollte dies ebenfalls im Vertrag festgehalten und die Messkriterien für diese Anstrengungen definiert werden.

Wie wirkt sich die Einstufung auf die Kündigung aus?

Es legt fest, wer den Vertrag beenden kann und zu welchen Bedingungen. Bei einem Dienstleistungsvertrag kann der Auftraggeber grundsätzlich jederzeit kündigen.

Gemäß Artikel 7:408 BW kann der Auftraggeber einen Dienstleistungsvertrag jederzeit kündigen. Der Dienstleister hat dann Anspruch auf eine angemessene Vergütung für die geleistete Arbeit (Artikel 7:411 BW). Dieses Recht kann nicht ausgeschlossen werden, wenn der Auftraggeber eine Privatperson ist. Zwischen Unternehmen kann es jedoch ausgeschlossen werden, und die Allgemeinen Geschäftsbedingungen der Dienstleister schließen es üblicherweise aus oder beschränken es. Ein Dienstleister, der den Auftrag im Rahmen seiner Geschäftstätigkeit übernommen hat, kann selbst nur aus zwingenden Gründen kündigen. Liest man die Kündigungsklausel im Lichte dieser Standardregeln, wird sofort deutlich, für wen der Vertrag ursprünglich verfasst wurde. Unser Leitfaden zum Dienstleistungsvertrag erläutert die gesetzlichen Bestimmungen detaillierter.

Welches Dokument hat welche Funktion?

Ein IT-Projekt besteht selten aus nur einem Dokument. Üblicherweise findet man eine Rahmenvereinbarung, eine oder mehrere Leistungsbeschreibungen, eine Service-Level-Vereinbarung, eine Datenverarbeitungsvereinbarung und die Allgemeinen Geschäftsbedingungen des Anbieters.

Die Rahmenvereinbarung legt die rechtlichen Bedingungen fest. Die Leistungsbeschreibungen beschreiben den konkreten Leistungsumfang. Die Service-Level-Vereinbarung definiert die Leistungsstandards. Die Datenverarbeitungsvereinbarung greift, wenn personenbezogene Daten verarbeitet werden, und die Allgemeinen Geschäftsbedingungen des Anbieters bilden die Grundlage für alle weiteren Vereinbarungen. Die Rangfolge dieser Dokumente muss ausdrücklich festgelegt werden. Sie widersprechen sich häufig, und die Klausel, die den Widerspruch auflöst, kann wichtiger sein als jede einzelne Bestimmung.

Wie definieren Sie Umfang, Abnahme und Änderungskontrolle?

Beschreiben Sie die Aufgaben, nicht die Leistungskategorie, und listen Sie auf, was ausgeschlossen ist. Vereinbaren Sie anschließend, wie die Ergebnisse geprüft und Änderungen genehmigt werden.

Die meisten Streitigkeiten beginnen mit der Geltungsbereichsklausel. „Managed Network Services“ ist keine Geltungsbereichsklausel, sondern eine Kategorie. Eine praktikable Beschreibung legt fest, was und zu welchen Zeiten überwacht wird, welche Patches und wie oft aktualisiert werden und wie viele Endpunkte und Benutzer abgedeckt sind. Sie regelt außerdem, was im Onboarding und Offboarding enthalten ist, welche Vorfälle unter den Geltungsbereich fallen, was explizit ausgeschlossen ist und was geschieht, wenn das Datenvolumen die angenommene Basisgrenze überschreitet.

Ausschlüsse sind genauso wichtig wie Einschlüsse, und zuverlässige Anbieter begrüßen sie. Typische Beispiele sind Notfalleinsätze außerhalb der regulären Arbeitszeiten, Hardwarebeschaffung, Softwarelizenzen von Drittanbietern, Vor-Ort-Besuche, Datenwiederherstellung nach Kundenfehlern und Support für Systeme, die nicht vom Anbieter installiert wurden. Sind diese Leistungen ausgeschlossen, sollte der Vertrag auch den jeweiligen Stundensatz für deren Inanspruchnahme festlegen.

Wann benötigen Sie ein Annahmeverfahren?

Immer dann, wenn etwas gebaut und nicht nur betrieben wird. Ohne eine solche Konstruktion ist unklar, wann der Anbieter seine Leistung tatsächlich erbracht hat.

Legen Sie fest, wer die Tests durchführt, anhand welcher Kriterien und innerhalb welchen Zeitraums. Definieren Sie, was als Fehler gilt und welcher Schweregradklasse er zugeordnet ist. Vereinbaren Sie die Anzahl der Korrekturrunden für den Anbieter, die Folgen einer nicht fristgerechten Prüfung und die Konsequenzen einer endgültigen Ablehnung. Klauseln zur fiktiven Abnahme, wonach die Leistung als abgenommen gilt, wenn Sie nicht fristgerecht reagieren, sind in den Vertragsbedingungen üblich und in der Regel durchsetzbar. Es ist nicht ratsam, diese Klauseln prinzipiell zu bekämpfen. Gestalten Sie den Prüfungszeitraum realistisch und lassen Sie ihn erst beginnen, wenn der Anbieter tatsächlich etwas Testbares geliefert hat.

Warum ist Änderungsmanagement Teil desselben Problems?

Denn jedes größere IT-Projekt verändert sich im Laufe seiner Laufzeit. Ohne ein festgelegtes Verfahren streitet man sich später darüber, was vereinbart wurde.

Ohne ein festgelegtes Verfahren werden Änderungen per E-Mail zwischen Personen vereinbart, die ihre Organisationen nicht rechtsverbindlich vertreten können. Der Streitpunkt am Ende ist dann, was im März vereinbart wurde. Ein kurzes Verfahren beugt dem weitgehend vor. Es legt fest, wer eine Änderung beantragen und wer sie genehmigen muss, erläutert die Kostenberechnung und stellt sicher, dass keine Änderung in Kraft tritt, bevor beide Parteien sie unterzeichnet haben.

Was sollte eine Service-Level-Vereinbarung enthalten?

Eine praktikable Service-Level-Vereinbarung (SLA) legt die Kennzahl fest, wie und über welchen Zeitraum sie gemessen wird, was ausgeschlossen ist und was im Fehlerfall geschieht. Jedes dieser Elemente kann einer reinen Kennzahl ihre Aussagekraft nehmen.

Der Leistungsumfang beschreibt, was getan wird, die Servicevereinbarung hingegen, wie gut es getan wird. Betrachten Sie jedes Element einzeln, denn die Gesamtsumme ist erst relevant, wenn die Details bekannt sind.

Nehmen wir die Verfügbarkeit. Eine Garantie von 99.9 Prozent klingt beeindruckend und lässt dennoch etwa 43 Minuten Ausfallzeit in einem 30-Tage-Monat zu; 99 Prozent ermöglichen mehr als sieben Stunden. Die Zahl hat aber erst dann Bedeutung, wenn man drei Dinge weiß:

• Was gemessen wird: Die Verfügbarkeit der Plattform ist nicht dasselbe wie die Verfügbarkeit Ihrer Anwendung;
• Ausgenommen sind: geplante Wartungsfenster, Netzwerkausfälle von Drittanbietern und Fälle höherer Gewalt.
• Wer misst es? Ein Anbieter, der über seine eigene Leistung berichtet, ohne ein vereinbartes Instrument oder ein Prüfrecht, bewertet im Grunde seine eigene Arbeit.

Reaktions- und Lösungsziele erfordern die gleiche Behandlung. „Reaktion“ bedeutet in der Regel eine Bestätigung des Problems und nicht die Behebung des Problems. Ein Reaktionsziel von fünfzehn Minuten ist ohne ein entsprechendes Lösungsziel wenig wert. Beide hängen von der Schweregradklassifizierung ab. Definieren Sie kritische, hoch-, mittel- und niedrigstufige Vorfälle anhand ihrer Auswirkungen auf das Geschäft und nicht anhand technischer Symptome. Schaffen Sie sich einen Eskalationsweg für eine falsche Klassifizierung.

Was ist eine Servicegutschrift wirklich wert?

Als Entschädigung gibt es nur sehr wenig. Entscheidend ist, ob Gutschriften Ihre einzige Abhilfe darstellen und ob wiederholtes Scheitern Ihnen ein Kündigungsrecht einräumt.

Servicegutschriften sind die übliche Lösung: Ein Prozentsatz der monatlichen Gebühr wird erstattet, wenn ein Ziel verfehlt wird. Sie eignen sich zwar als Managementsignal, sind aber als Entschädigung nahezu wertlos. Sie sind auf einen Bruchteil der Gebühr begrenzt, die selbst im Vergleich zu den Verlusten, die ein schwerwiegender Ausfall verursachen kann, gering ist. Zwei Punkte sind daher entscheidend.

Prüfen Sie zunächst, ob die Gutschriften die einzige Entschädigung darstellen. Eine Klausel, die besagt, dass Servicegutschriften die „einzige und ausschließliche Entschädigung“ für nicht erfüllte Service-Level sind, schließt Ihr Recht auf Schadensersatz aus. In vielen SLAs ist dies der wichtigste Satz. Prüfen Sie zweitens, ob wiederholte Verstöße Ihnen ein Kündigungsrecht einräumen, typischerweise nach einer bestimmten Anzahl von Verstößen innerhalb eines festgelegten Zeitraums. Ein Kunde, der lediglich Gutschriften erhält, aber kein Kündigungsrecht hat, ist in seiner Verhandlungsposition stark eingeschränkt.

Wie sollten Gebühren und Zahlungsmodalitäten geregelt werden?

Beschreiben Sie das Preismodell, die Indexierung und die Rechnungsstellung genau. Wo der Vertrag keine Regelung enthält, gelten die niederländischen gesetzlichen Bestimmungen zum Zahlungsverzug.

Geben Sie das Preismodell an: Festpreis, pro Nutzer, pro Gerät, pro Ticket, nach Aufwand oder eine Kombination daraus, und erläutern Sie die jeweiligen Leistungen. Legen Sie den Index und den Stichtag für Preisanpassungen fest, anstatt jährliche Erhöhungen nach Ermessen des Anbieters zuzulassen. Geben Sie an, wann Rechnungen ausgestellt werden, welche Angaben sie enthalten müssen und wann die Zahlung fällig ist.

Die niederländischen Bestimmungen zur Umsetzung der europäischen Richtlinie über Zahlungsverzug gelten für IT-Verträge ebenso wie für alle anderen Wirtschaftsverträge. Gemäß Artikel 6:119a BW ist die Zahlung zwischen Unternehmen innerhalb von 30 Tagen fällig, sofern keine Frist vereinbart wurde. Eine längere Frist kann vereinbart werden, jedoch ist eine Frist von mehr als 60 Tagen unwirksam, wenn sie für den Gläubiger grob unbillig ist. Bei Zahlungsverzug fallen automatisch die gesetzlichen Verzugszinsen an. Der Gläubiger kann zudem Inkassokosten geltend machen, mindestens jedoch 40 € (Artikel 6:96 BW).

Anbieter behalten sich häufig das Recht vor, den Dienst bei Zahlungsverzug zu sperren. Dieses Recht ist zwar grundsätzlich rechtmäßig, aber im IT-Bereich ein ungeeignetes Instrument, da eine Sperrung Ihr Unternehmen lahmlegen kann. Vereinbaren Sie daher eine Kündigungsfrist und eine Ausnahme für tatsächlich strittige Beträge.

Können Sie die Standardbedingungen des Anbieters verhandeln?

Ja, häufiger als Kunden annehmen, insbesondere hinsichtlich der Haftungsbegrenzung und der im Service-Level-Agreement (SLA) vorgesehenen Rechtsbehelfe. Zwei niederländische Regelungen zu den Allgemeinen Geschäftsbedingungen sind ebenfalls hilfreich.

Nahezu jeder niederländische IT-Anbieter erklärt seine Allgemeinen Geschäftsbedingungen (algemene voorwaarden) für anwendbar. Viele Anbieter in diesem Sektor verwenden die vom Branchenverband veröffentlichten Standardbedingungen. Diese sind professionell formuliert und stark anbieterorientiert: Verpflichtung zu bestmöglicher Leistung, kurze Reklamationsfristen, Haftungsbegrenzung auf einen Teil der Vertragssumme und weitreichender Ausschluss von Folgeschäden.

Die erste Regel betrifft die Informationspflicht. Der Nutzer der Allgemeinen Geschäftsbedingungen muss der anderen Vertragspartei eine angemessene Gelegenheit geben, diese vor oder bei Vertragsschluss zu lesen, in der Praxis durch deren Bereitstellung. Andernfalls können einzelne Klauseln unwirksam sein (Art. 6:233 und 6:234 BW). Die zweite Regel betrifft den Vorrang der Klauseln. Verweisen beide Parteien auf ihre eigenen Klauseln, gilt in den Niederlanden gemäß Art. 6:225 Abs. 3 BW das Prinzip „Wer zuerst kommt, mahlt zuerst“: Die zuerst genannten Klauseln gelten, es sei denn, die andere Partei widerspricht ihnen ausdrücklich. Dies steht im Gegensatz zur Rechtslage in vielen anderen Rechtssystemen. Unsere Ratgeber zu Allgemeinen Geschäftsbedingungen und zu den fünf häufigsten Fehlern in internationalen Handelsverträgen veranschaulichen die praktische Anwendung.

Wem gehören die Software und der Quellcode?

Der Urheber, nicht der Käufer, erhält das Urheberrecht. Dieses wird Ihnen nur dann zugesprochen, wenn es Ihnen schriftlich und per Urkunde übertragen wird.

Der Kauf von Software macht Sie nicht automatisch zum Eigentümer. Nach dem niederländischen Urheberrechtsgesetz (Auteurswet) ist der Urheber derjenige, der ein Werk erstellt, und besitzt das Urheberrecht. Es gibt keine Regelung, die das Eigentum an den Auftraggeber oder Bezahler überträgt. Es existieren zwei Ausnahmen: Erstellt ein Angestellter das Werk im Rahmen seiner Tätigkeit, gilt der Arbeitgeber als Urheber (Artikel 7 Auteurswet). Veröffentlicht eine juristische Person ein Werk als ihr eigenes, ohne eine natürliche Person als Urheber anzugeben, gilt diese juristische Person als Urheber (Artikel 8 Auteurswet). Beide Ausnahmen greifen nicht im Regelfall, wenn ein Kunde einen externen Dienstleister oder einen freiberuflichen Entwickler beauftragt.

Die Übertragung muss daher ausdrücklich vereinbart werden. Gemäß Art. 2 Abs. 3 Auteurswet bedarf eine Vereinbarung über die Übertragung von Urheberrechten oder die Erteilung einer ausschließlichen Lizenz der Schriftform, und die Übertragung selbst erfordert eine eigens dafür vorgesehene Urkunde. Eine von beiden Parteien unterzeichnete Klausel im Vertrag, die besagt, dass der Auftraggeber alle Rechte am geistigen Eigentum an den Arbeitsergebnissen erwirbt, genügt. Eine Rechnung oder eine mündliche Vereinbarung reichen nicht aus. Dokumentieren Sie jede Rechteübertragung in einer Datenbank auf dieselbe Weise.

Wie trennt man Hintergrund-, Vordergrund- und Fremdmaterial?

Jeder Kategorie sollte eine eigene Regel zugeordnet werden: eine Lizenz für Hintergrundmaterial, Eigentumsrechte an Vordergrundmaterial und eine Gewährleistung für Komponenten von Drittanbietern und Open Source.

Hintergrundmaterial umfasst die vom Anbieter bereitgestellten Frameworks, Bibliotheken, Tools und Standardmodule. Der Anbieter behält das Eigentum, und Sie erhalten eine Lizenz. Legen Sie Umfang, Laufzeit, Geltungsbereich und Übertragbarkeit dieser Lizenz fest. Vordergrundmaterial wird speziell für Sie erstellt; das Eigentum geht in der Regel nach vollständiger Bezahlung über. Komponenten von Drittanbietern und Open-Source-Software unterliegen eigenen Lizenzen. Der Anbieter sollte garantieren, welche Komponenten unter welchen Bedingungen verwendet werden, da eine in kundenspezifischer Software eingebettete Copyleft-Lizenz Verpflichtungen mit sich bringen kann, die Sie nicht beabsichtigt haben. Unser Leitfaden zur Open-Source-Softwarelizenz in den Niederlanden erläutert diese Verpflichtungen.

Wann benötigen Sie eine Quellcode-Hinterlegung?

Wenn Ihr Unternehmen von Software abhängig ist, die Ihnen nicht gehört, ermöglicht Ihnen Escrow den Zugriff auf den Quellcode, falls der Anbieter die Wartung nicht mehr übernehmen kann.

Beim Software-Escrow werden Quellcode und Build-Dokumentation bei einem Treuhänder hinterlegt. Sie werden Ihnen bei festgelegten Ereignissen freigegeben, typischerweise bei Insolvenz des Anbieters oder bei wiederholter Nichterfüllung der Softwarewartung. Ein Escrow funktioniert nur, wenn die Hinterlegung aktuell gehalten wird und die Freigabebedingungen verifiziert werden können. Unser Leitfaden zum Software-Escrow in den Niederlanden beschreibt, wie eine praktikable Lösung aussieht.

Wem gehören Ihre Daten?

Das ist so, und die Vereinbarung sollte dies ausdrücklich festhalten. Behandeln Sie Daten getrennt von geistigem Eigentum.

Die Vereinbarung sollte das Format der Datenrückgabe, die Pflicht des Anbieters zur Unterstützung eines Nachfolgeanbieters und seine Pflicht zur anschließenden Löschung verbleibender Kopien festlegen. Möchte der Anbieter Ihre Daten zur Verbesserung seiner eigenen Dienste oder zum Trainieren von Modellen nutzen, ist eine ausdrückliche, separat ausgehandelte Genehmigung erforderlich – nicht etwa eine Zeile im Anhang.

Was muss die Auftragsverarbeitungsvereinbarung enthalten?

Wenn der Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet, verlangt die DSGVO eine schriftliche Auftragsverarbeitungsvereinbarung mit vorgeschriebenem Inhalt. Ohne diesen Inhalt sind beide Parteien einem Risiko ausgesetzt.

Artikel 28 Absatz 3 der Datenschutz-Grundverordnung (DSGVO, niederländisch AVG) legt fest, was die Vereinbarung enthalten muss. Sie muss Gegenstand und Dauer der Verarbeitung, deren Art und Zweck, die Arten personenbezogener Daten und die Kategorien betroffener Personen beschreiben. Sie muss dem Auftragsverarbeiter außerdem eine Reihe von Pflichten auferlegen:

• Bearbeitung nur gemäß dokumentierter Anweisungen;
• Gewährleistung der Vertraulichkeit des Personals;
• Ergreifen geeigneter technischer und organisatorischer Sicherheitsmaßnahmen;
• Unterauftragnehmer dürfen nur mit Genehmigung und zu gleichwertigen Bedingungen eingesetzt werden;
• Unterstützung des Verantwortlichen bei Anfragen betroffener Personen und Meldungen von Datenschutzverletzungen;
• Löschen oder Zurückgeben der Daten am Ende der Dienstleistung.

Eine Vereinbarung, der diese Elemente fehlen, ist nicht rechtskonform. Unser Leitfaden zur Datenverarbeitungsvereinbarung in den Niederlanden erläutert die erforderlichen Inhalte.

Klären Sie zunächst die Rollen. Ein Anbieter, der seine eigenen Zwecke festlegt, beispielsweise indem er die Daten für eigene Analysen nutzt, ist für diese Verarbeitung Verantwortlicher und nicht Auftragsverarbeiter. Die Vereinbarung muss die Realität widerspiegeln, nicht die von den Parteien bevorzugte Bezeichnung.

Wie detailliert sollte die Sicherheitsklausel sein?

So konkret, dass Sie es überprüfen können. Benennen Sie die Maßnahmen und schaffen Sie eine Möglichkeit, diese zu überprüfen.

Relevante Maßnahmen umfassen die Verschlüsselung ruhender und übertragener Daten, rollenbasierte Zugriffskontrolle mit Multi-Faktor-Authentifizierung, Protokollierung und deren Aufbewahrung sowie festgelegte Zeitrahmen für Patch- und Schwachstellenmanagement. Hinzu kommen regelmäßige Datensicherungen und Wiederherstellungstests, die Trennung von Clients in gemeinsam genutzten Umgebungen sowie physische Sicherheitsvorkehrungen, wenn der Anbieter eigene Einrichtungen betreibt. Ein Prüfrecht oder die Pflicht zur Bereitstellung eines unabhängigen Prüfberichts und der Ergebnisse von Penetrationstests macht diese Zusagen überprüfbar.

Was sollte die Klausel zur Meldung von Datenschutzverletzungen beinhalten?

Der Anbieter sollte verpflichtet sein, Sie innerhalb einer kurzen, festgelegten Frist zu informieren. Andernfalls können Sie Ihre eigene 72-Stunden-Frist nicht einhalten.

Gemäß Artikel 33 DSGVO muss der Verantwortliche die Aufsichtsbehörde innerhalb von 72 Stunden nach Kenntniserlangung einer Verletzung des Schutzes personenbezogener Daten benachrichtigen, es sei denn, die Verletzung stellt voraussichtlich kein Risiko dar. In den Niederlanden ist dies die niederländische Datenschutzbehörde (Autoriteit Persoonsgegevens). Bei hohem Risiko muss der Verantwortliche auch die betroffenen Personen informieren (Artikel 34 DSGVO). Der Auftragsverarbeiter muss den Verantwortlichen unverzüglich benachrichtigen. Da Sie Ihre eigene Frist nicht einhalten können, wenn Sie zu spät informiert werden, sollte die Vereinbarung eine Benachrichtigung innerhalb einer kurzen, festgelegten Frist vorsehen und die Kontaktstelle benennen. Sie sollte den Anbieter außerdem zur Mitwirkung an der Untersuchung und zur Bereitstellung von Protokollen und Beweismitteln verpflichten. Unterauftragsverarbeiter und internationale Datenübermittlungen unterliegen denselben Bestimmungen, wobei der Übermittlungsmechanismus überall dort angegeben werden muss, wo Daten den Europäischen Wirtschaftsraum verlassen.

Welche Cybersicherheits- und Branchenvorschriften beeinflussen den Vertrag?

Der Datenschutz ist nicht mehr die einzige regulatorische Ebene. Das niederländische Cybersicherheitsgesetz, die EU-Vorschriften zur digitalen Betriebsresilienz und das KI-Gesetz können alle direkt auf den Anbieter einwirken.

Was schreibt das niederländische Cybersicherheitsgesetz vor?

Ab dem 15. August 2026 müssen sich Organisationen, die unter diese Regelung fallen, registrieren, ihre Cyberrisiken managen und schwerwiegende Vorfälle unverzüglich melden. Managed Service Provider fallen ebenfalls unter diese Regelung.

The Dutch Cybersecurity Act (Cyberbeveiligingswet) implements the second EU network and information security directive (NIS2) and has been in force since 15 August 2026. Organisations within its scope must register with the competent supervisory authority, take appropriate risk management measures and report significant incidents. The reporting timeline follows NIS2: an early warning within 24 hours, an incident notification within 72 hours and a final report within one month. Managed service providers and managed security service providers are covered in their own right. Clients in scope must be able to show that their supply chain is managed. In contractual terms, the provider must support your own reporting deadlines, which are far shorter than a typical incident clause allows. Our guide on Das niederländische Cybersicherheitsgesetz und seine Anforderungen legt fest, wer abgedeckt ist.

Was ist, wenn Sie im Finanzsektor tätig sind?

Das EU-Gesetz zur digitalen Betriebsresilienz (DORA) schreibt den Vertragsinhalt vor. Ein Standard-IT-Dienstleistungsvertrag genügt diesen Anforderungen nicht.

DORA gilt seit dem 17. Januar 2025. Artikel 30 legt die vertraglichen Bestimmungen für Vereinbarungen mit IKT-Dienstleistern fest, darunter Leistungsbeschreibungen, Verarbeitungsorte, Zugriffs-, Prüf- und Kontrollrechte, Ausstiegsstrategien und Kündigungsrechte. Anbieter, die Finanzkunden betreuen, sollten damit rechnen, nach diesen Bedingungen gefragt zu werden.

Was wäre, wenn KI Teil des Dienstes wäre?

Die EU-KI-Gesetzgebung ordnet die Pflichten den jeweiligen Rollen in der Wertschöpfungskette zu. Im Vertrag sollte festgelegt sein, wer welche Pflicht trägt.

Ein Anbieter, der ein universelles KI-Modell in Ihr System integriert, kann je nach Vereinbarung als Anbieter oder Anwender im Sinne des KI-Gesetzes gelten. Die Verpflichtungen werden schrittweise eingeführt, und die Verbote bestimmter KI-Praktiken gelten seit dem 2. Februar 2025. Unsere Leitfäden zu verbotenen KI-Praktiken und zur Nutzung von KI in niederländischen Unternehmen erläutern die Rechtslage. Unabhängig von der jeweiligen Regelung sollte der Vertrag die Verantwortlichkeiten für die Einhaltung der Vorschriften festlegen, die Zusammenarbeit mit den Aufsichtsbehörden vorschreiben und regeln, wer die Kosten für durch neue Gesetze bedingte Änderungen trägt. Andernfalls wird über diese Kosten später gestritten.

In welchem ​​Umfang kann der Anbieter seine Haftung beschränken?

Zwischen Unternehmen sind Obergrenzen und Ausschlüsse grundsätzlich gültig. Ein Anbieter kann sich jedoch nicht darauf berufen, wenn dies nach den Grundsätzen der Angemessenheit und Fairness unzulässig wäre, beispielsweise im Falle von Vorsatz oder grober Fahrlässigkeit.

Haftungsbeschränkung ist der Schnittpunkt von wirtschaftlichen und rechtlichen Aspekten. Die Vertragsbedingungen von Anbietern begrenzen die Haftung üblicherweise auf die innerhalb eines kurzen Zeitraums gezahlten Gebühren und schließen Folgeschäden, entgangenen Gewinn und Datenverlust aus. Sie legen außerdem kurze Fristen für die Geltendmachung von Ansprüchen fest. Kunden verhandeln häufig eine Erhöhung der Haftungsobergrenze, oft auf die Gebühren der letzten zwölf Monate. Darüber hinaus definieren sie Kategorien, für die eine Haftungsbeschränkung nicht zulässig ist: Verletzung der Vertraulichkeit, Verletzung von Rechten an geistigem Eigentum Dritter und Haftung aufgrund von Datenschutzverletzungen.

Das niederländische Recht setzt diesen Klauseln Grenzen. Gemäß Artikel 6:248(2) BW kann sich eine Partei nicht auf eine Vertragsklausel berufen, wenn dies nach den Grundsätzen der Angemessenheit und Fairness unzulässig wäre. Die Gerichte lassen es grundsätzlich nicht zu, dass eine Ausschlussklausel eine Partei vor ihrem eigenen Vorsatz oder vorsätzlicher Fahrlässigkeit (opzet oder bewuste roekeloosheid) und in der Regel auch vor der Fahrlässigkeit ihrer Geschäftsleitung schützt. Die Schwere des Vertragsbruchs, die Art des Schadens, die Versicherungssituation und die jeweilige Verhandlungsmacht spielen dabei eine Rolle. Eine Haftungsobergrenze, die in einem erkennbaren Verhältnis zum Vertragswert und dem damit verbundenen Risiko steht, hat deutlich bessere Erfolgsaussichten als ein pauschaler Ausschluss.

Was müssen Sie tun, bevor Sie Ansprüche geltend machen können?

In den meisten Fällen müssen Sie den Anbieter zunächst schriftlich in Verzug setzen. Sie müssen außerdem innerhalb der vertraglich oder gesetzlich vorgeschriebenen Frist Beschwerde einlegen.

Der erste Schritt ist die Inverzugsanzeige. Sofern die Vertragserfüllung noch möglich ist, müssen Sie grundsätzlich eine schriftliche Inverzugsanzeige mit einer angemessenen Frist zur Erfüllung des Vertrags einreichen, bevor Sie Schadensersatz verlangen oder vom Vertrag zurücktreten können (Art. 6:82 und 6:83 BW). Dies ist nicht erforderlich, wenn eine feste Frist verstrichen ist oder die Vertragserfüllung unmöglich geworden ist. Eine verärgerte E-Mail gilt nicht als Inverzugsanzeige. Der zweite Schritt ist die Rügefrist. Gemäß Art. 6:89 BW müssen Sie innerhalb einer angemessenen Frist nach Entdeckung eines Mangels rügen. Die AGB des Anbieters verkürzen diese Frist in der Regel. Ein Kunde, der ein Problem entdeckt, es monatelang umgeht und erst dann rügt, riskiert, dass seine Ansprüche verjähren.

Was genau umfasst die Klausel über höhere Gewalt?

Lesen Sie den Vertrag sorgfältig, um zu erfahren, welche Verpflichtungen seitens des Anbieters bestehen. Häufig werden Ausfälle von Subunternehmern und Hosting-Partnern aufgeführt, wodurch das Lieferkettenrisiko des Anbieters auf Sie verlagert wird.

Ausfälle von Subunternehmern, Hosting-Partnern und Telekommunikationsanbietern gelten häufig als höhere Gewalt. Dadurch wird das Risiko der Lieferkette des Anbieters auf Sie übertragen. Dieser Punkt ist verhandelbar. Bei einem Managed-Services-Vertrag ist er oft der wichtigste, da Sie den Anbieter genau für die Verwaltung dieser Lieferkette bezahlen.

Was sollte der Vertrag über die beteiligten Personen aussagen?

Es sollte Schlüsselpersonal, Untervergabe, den Status von Freiberuflern und das Abwerbeverbot abdecken. IT-Dienstleistungen werden von Menschen erbracht, und jeder dieser Punkte kann später Probleme verursachen.

Schlüsselpersonenklauseln benennen die Personen, auf die Sie sich verlassen, und untersagen deren Austausch ohne Ihre Zustimmung. Sie sind in der Entwicklungs- und Implementierungsarbeit üblich, bei Managed Services hingegen selten. Bei Managed Services sollten Sie zumindest gleichwertige Qualifikationen und eine ordnungsgemäße Übergabe bei jedem Personalwechsel vorschreiben.

Die Vergabe von Unteraufträgen ist eher die Regel als die Ausnahme. Der Vertrag sollte festlegen, ob dies zulässig ist, ob Ihre Einwilligung erforderlich ist und dass der Anbieter für alle von ihm beauftragten Personen vollumfänglich haftet. Verarbeitet der Unterauftragnehmer ebenfalls personenbezogene Daten, gelten auch die DSGVO-Regeln für Unterauftragnehmer mit ihren eigenen Einwilligungs- und Benachrichtigungspflichten.

Sind die Freiberufler wirklich selbstständig?

Diese Frage stellt sich, wenn Personen über einen längeren Zeitraum in Ihren Räumlichkeiten unter Ihrer Leitung arbeiten. Wenn sie wie Angestellte behandelt werden, besteht ein reales Risiko einer Umklassifizierung.

Die niederländische Steuerbehörde (Belastingdienst) hat am 1. Januar 2025 die vollständige Durchsetzung der Regelungen zur Einstufung von Arbeitsverhältnissen wieder aufgenommen. Eine Konstruktion, bei der nominelle Freiberufler wie Angestellte arbeiten, birgt nun das Risiko einer Umklassifizierung mit entsprechenden lohnsteuerlichen Folgen für den Auftraggeber. Dienstleistungsverträge sollten daher Formulierungen vermeiden, die es Ihnen ermöglichen, Einzelpersonen wie ein Arbeitgeber zu führen. Beide Seiten sollten sich auf die tatsächliche Arbeitsleistung konzentrieren und nicht auf die Bezeichnung auf der Rechnung.

Wie sieht es mit einem Abwerbeverbot und der Rückführung einer Dienstleistung in den eigenen Betrieb aus?

Eine beschränkte Abwerbeklausel ist Standard. Die Rückführung einer Dienstleistung ins eigene Unternehmen oder deren Verlagerung mit dem Team kann die niederländischen Vorschriften zur Betriebsübertragung auslösen.

Eine Klausel, die es jeder Partei untersagt, nach Vertragsende für einen bestimmten Zeitraum Mitarbeiter der anderen Partei abzuwerben, ist üblich und in der Regel zwischen Unternehmen durchsetzbar, sofern sie zeitlich und inhaltlich begrenzt ist. Wenn Sie eine Dienstleistung wieder intern erbringen oder sie zusammen mit dem bisherigen Team zu einem anderen Anbieter verlagern, können die Regelungen zur Betriebsübergabe (Art. 7:662 ff. BGB) Anwendung finden. Die Mitarbeiter werden dann zu ihren bisherigen Konditionen übernommen. Dieses Ergebnis überrascht die Parteien oft, daher sollte es vor der Vereinbarung des Übergangs und nicht erst danach analysiert werden.

Wie funktionieren Laufzeit, Kündigung und Austritt?

Prüfen Sie die anfängliche Vertragslaufzeit, die automatische Verlängerung und die Kündigungsfrist und vereinbaren Sie eine detaillierte Ausstiegsklausel. Die Ausstiegsklausel legt die tatsächlichen Kosten eines Vertragswechsels fest.

Managed-Service-Verträge haben üblicherweise eine anfängliche Laufzeit von ein bis drei Jahren und verlängern sich automatisch, sofern keine Kündigung erfolgt. Die automatische Verlängerung in Verbindung mit einer langen Kündigungsfrist führt oft dazu, dass Kunden bei Anbietern bleiben, die sie lieber verlassen würden. Prüfen Sie daher die Kündigungsfrist, deren Beginn und die erforderliche Kündigungsform. Tragen Sie sich das Datum am Tag der Vertragsunterzeichnung in Ihren Kalender ein.

Welche Ausgänge gibt es?

Es gibt drei Kündigungsarten: Kündigung aus wichtigem Grund, Kündigung aus wichtigem Grund und Rücktritt wegen Vertragsbruchs nach niederländischem Recht. Jede hat ihre eigenen Bedingungen.

• Die Kündigung aus wichtigem Grund ermöglicht es beiden Parteien, oft aber nur dem Kunden, den Vertrag mit sofortiger Wirkung und ohne Angabe von Gründen zu beenden. Anbieter lassen diese Klausel häufig aus; es lohnt sich jedoch, darauf zu bestehen.
• Die Kündigung aus wichtigem Grund ermöglicht die sofortige Beendigung des Vertragsverhältnisses bei einem definierten wesentlichen Vertragsverstoß, der nicht innerhalb einer festgelegten Frist behoben wird. Zu den Auslösern sollten wiederholte Service-Level-Verletzungen gehören, nicht nur katastrophale Ereignisse.
• Der Rücktritt wegen Vertragsbruchs (unverbindlich) gemäß Artikel 6:265 BW bleibt neben den vertraglichen Rechtswegen bestehen, es sei denn, der Vertrag schließt ihn aus; vorbehaltlich der oben beschriebenen Mahnung.

Was sollte die Ausstiegsklausel enthalten?

Sie sollte den Anbieter verpflichten, den Dienst für einen bestimmten Zeitraum aufrechtzuerhalten, Ihre Daten zurückzugeben und mit dem Nachfolger zusammenzuarbeiten. Ausstiegsklauseln sind fast immer zu lasch formuliert.

Eine wirksame Ausstiegsklausel verpflichtet den Anbieter für einen festgelegten Zeitraum nach Beendigung des Vertrags und zu vereinbarten Konditionen:

• den Dienst fortsetzen;
• Sie erhalten Ihre Daten in einem dokumentierten und nutzbaren Format zurück;
• Dokumentation und Konfigurationsdetails bereitstellen;
• mit dem Nachfolgeanbieter zusammenarbeiten;
• Übertragung oder Abtretung von Lizenzen Dritter, soweit möglich;
• Löschen Sie die verbleibenden Kopien Ihrer Daten und bestätigen Sie dies schriftlich.

Ohne diese Verpflichtungen kann man zwar theoretisch kündigen, in der Praxis aber nicht.

Was passiert, wenn der Anbieter in Konkurs geht?

Ein Insolvenzverwalter übernimmt die Abwicklung und ist nicht verpflichtet, die Aufgaben weiterzuführen. Ihr Rechtsbehelf besteht dann in einer Forderung aus der Insolvenzmasse, die in der Regel nur einen geringen Wert hat.

Deshalb sind Treuhandvereinbarungen, aktuelle Austrittsdokumente und unabhängige Datensicherungen wichtiger als jede Klausel im Vertrag.

Was sollten Sie als Kunde überprüfen?

• Check that the scope lists tasks and exclusions, not categories of service.
• Check that service credits are not your exclusive remedy for an outage.
• Check that you can terminate for persistent underperformance, not only for a single serious breach.
• Check that intellectual property in custom work is transferred by a written deed, as Article 2 of the Copyright Act (Auteurswet) requires.
• Check the renewal date and notice period, and put them in your calendar.
• Check that the exit clause obliges the provider to cooperate in a transfer at agreed rates.

Was sollten Sie als Anbieter überprüfen?

• Check that the contract says whether you owe best efforts or a result for each deliverable.
• Check that your liability cap bears a visible relationship to the contract value, so it holds up under Article 6:248(2) BW.
• Check that your processor agreement matches the processing you actually carry out under Article 28 GDPR.
• Check whether you fall under the Cybersecurity Act as a managed service provider and can meet the 24-hour early warning deadline.
• Check that your subcontractors are bound by the same security and confidentiality terms.

What can we do for you with an IT services agreement?

Unsere IT-Anwälte advise both clients and providers on technology contracts and the disputes that follow when a project fails.

• We review the framework agreement, SLA, processor agreement and general terms, and set out the order of precedence.
• We negotiate the liability cap, the carve-outs and the exclusive-remedy wording with the other side.
• We draft the IP clause, the deed of assignment and, where needed, a source code escrow arrangement.
• We draft the notice of default under Articles 6:82 and 6:83 BW when a provider falls short.
• We prepare an exit plan before termination, so the transition to a new provider is covered.

Zusammenfassung

• Ein IT-Dienstleistungsvertrag ist üblicherweise ein Dienstleistungsvertrag (Artikel 7:400 BW ff.); gestalten Sie ihn als Ergebnisverpflichtung, bei der Sie ein definiertes Ergebnis bis zu einem festgelegten Datum erwerben.
• Definieren Sie den Umfang der Aufgaben, vereinbaren Sie ein Abnahmeverfahren und ein Änderungsverfahren und legen Sie die Rangfolge der Dokumente fest.
• Prüfen Sie, ob Gutschriften die einzige Abhilfe darstellen und ob ein wiederholtes Versäumnis Ihnen das Recht zur Kündigung gibt.
• Das Urheberrecht an individuell angefertigter Software geht nur durch eine schriftliche Vereinbarung und eine Urkunde auf Sie über (Artikel 2(3) Auteurswet); eine Zahlung allein genügt nicht.
• Vereinbaren Sie eine DSGVO-konforme Auftragsverarbeitungsvereinbarung, gegebenenfalls Klauseln, die dem Cybersecurity Act entsprechen, und eine detaillierte Ausstiegsklausel.

Häufig gestellte Fragen