/it-vertragspruefung

name: it-vertragspruefung
description: "Prüfung typischer IT-Verträge (SaaS, Cloud, Outsourcing, Werkvertrag/Dienstvertrag-Abgrenzung) auf AGB-Konformität, DSGVO-Verzahnung (Art. 28 AVV), Leistungsstandards (SLA), Haftungsbegrenzung, Migrations- und Beendigungsklauseln, Open-Source-Compliance. Use when ein IT-Dienstleistungsvertrag bewertet oder verhandelt wird."
language: de
provider_variants: [claude, gemini, openai]
test: ./test.md

/it-recht:it-vertragspruefung

Zweck

IT-Verträge enthalten regelmäßig Klauseln, die in der AGB-Inhaltskontrolle (§§ 305 ff. BGB) scheitern, DSGVO-Pflichten missachten oder unverhältnismäßige Haftungsverteilungen schaffen. Dieser Skill identifiziert die typischen Bruchstellen entlang eines strukturierten Prüfschemas.

> **⚠️ Aktualität (Stand 2026-07):** Seit dem **12.09.2025** ist der **Data Act** ([VO (EU) 2023/2854](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32023R2854)) anwendbar. Er ist bei **jeder** IT-Vertragsprüfung als eigener Prüfschritt abzuarbeiten (siehe Schritt 3a) und gilt **unabhängig davon, ob personenbezogene Daten betroffen sind**. > > - **Art. 3 Abs. 1 (Zugang by design)** gilt **nur für vernetzte Produkte, die nach dem 12.09.2026 in Verkehr gebracht werden** — also erst in wenigen Wochen. Für **Bestandsprodukte** greift diese Pflicht **nicht**; die vertraglichen Zugangs- und Bereitstellungspflichten der **Art. 4 und 5** sind davon zu trennen. > - **Art. 5**: Nutzer können verlangen, dass Daten an einen **Dritten** weitergegeben werden. Solche Verlangen sind innerhalb der gesetzlichen Frist zu bearbeiten; **Geschäftsgeheimnisse** können eine Beschränkung rechtfertigen, aber nur unter den Voraussetzungen der Verordnung und mit dokumentierter Begründung. > - **Art. 14 ff.**: Öffentliche Stellen können bei **außergewöhnlichem Bedarf** Daten anfordern — ein eigener, oft übersehener Anspruchstyp. > - **Art. 13**: Missbräuchlichkeitskontrolle **einseitig auferlegter Datenzugangsklauseln** in B2B-Verträgen, **neben** §§ 305 ff. BGB. > - **Art. 23–31**: Wechsel zwischen Datenverarbeitungsdiensten; **Wechselentgelte entfallen vollständig bis zum 12.01.2027**, bis dahin nur kostenbasiert reduziert. **Art. 25** verlangt vertragliche Ausstiegsunterstützung (siehe Skill `cloud-auftragsverarbeitung`). > - Deutsches **Data-Act-Durchführungsgesetz (DADG)**: Bundestag **26.03.2026**, BGBl. **29.05.2026**; zuständige Behörde ist die **Bundesnetzagentur** (Bekanntgabe 30.05.2026). Im selben Paket wurde das deutsche Durchführungsgesetz zum **Data Governance Act** beschlossen (BNetzA-Aufsicht über Datenvermittlungsdienste und datenaltruistische Organisationen). > > Einzelnormen des DADG sind vor mandantengerichteter Verwendung am verkündeten Text zu verifizieren. `[unverifiziert - prüfen]`

Eingaben

• Vertragstyp (SaaS, Cloud-Hosting, Outsourcing, Individual-Software-Entwicklung, Wartung)
• Vertragsrolle (Anbieter / Kunde)
• Größenklasse (B2B / B2C)
• DSGVO-relevant (personenbezogene Daten verarbeitet?)
• Vorhandene Vorlagen (EVB-IT, BVB, BITKOM, eigene)
• Data-Act-Bezug: Betrifft der Vertrag ein **vernetztes Produkt** oder einen **verbundenen Dienst** (IoT)? Falls ja: **Datum des Inverkehrbringens** (vor oder nach 12.09.2026)
• Data-Act-Bezug: Handelt es sich um einen **Datenverarbeitungsdienst** (Cloud/SaaS) iSd Art. 23 ff.?

Ablauf

1. Vertragstyp-Einordnung

Maßgeblich für anwendbares Recht:

| Vertragstyp | Rechtsnatur | Schwerpunkt | |---|---|---| | **SaaS / Cloud-Hosting** | Miet- oder Pachtvertrag (§§ 535 ff. BGB), str. | Verfügbarkeit, Datenherausgabe | | **Software-Entwicklung individuell** | Werkvertrag (§ 631 BGB) | Abnahme, Mängelhaftung | | **Wartung / Support** | Dienstvertrag (§ 611 BGB) | Reaktionszeiten, kein Erfolg geschuldet | | **IT-Outsourcing** | Mischvertrag (Dienst + Werk + Miete) | Vereinbarte Service-Level | | **Lizenzvertrag** | atypischer Vertrag (§§ 311a, 631 analog) | Reichweite der Lizenz |

2. AGB-Kontrolle (§§ 305 ff. BGB)

Vorlagen aus einer Mehrzahl an Verträgen sind AGB. **Auch im B2B** gelten § 305c, § 307 BGB (über § 310 Abs. 1 S. 2 BGB).

Typische problematische Klauseln:

• **Haftungsausschluss für einfache Fahrlässigkeit** in Bezug auf vertragstypische Kardinalpflichten → § 307 BGB, unwirksam.
• **Pauschalierung auf Jahresvergütung** → grundsätzlich zulässig, aber sorgfältig im Verhältnis.
• **Vertragsanpassung durch Anbieter** ohne Widerspruchsrecht → § 308 Nr. 5 BGB.
• **„Wir haften nur, soweit gesetzlich zwingend"** → Transparenzgebot § 307 Abs. 1 S. 2.

3. DSGVO-Verzahnung

Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

Wenn personenbezogene Daten verarbeitet werden: AVV nach Art. 28 Abs. 3 DSGVO verpflichtend. Pflichtinhalte:

• Gegenstand und Dauer der Verarbeitung
• Art und Zweck der Verarbeitung
• Datenkategorien und Betroffenenkategorien
• Pflichten und Rechte des Verantwortlichen
• Maßnahmen nach Art. 32 DSGVO
• Sub-Auftragsverarbeiter
• Unterstützung bei Betroffenenanfragen
• Löschung / Rückgabe nach Beendigung
• Audit-Rechte des Verantwortlichen

Drittlandtransfer

US-Cloud-Anbieter: TIA + SCC + ggf. EU-US Data Privacy Framework. Beachte: Schrems II-Lage.

3a. Data-Act-Prüfung (VO (EU) 2023/2854, anwendbar seit 12.09.2025)

Dieser Schritt ist **stets** abzuarbeiten. Der Data Act gilt **unabhängig vom Personenbezug** der Daten und tritt neben DSGVO und AGB-Recht.

**a) Anwendungsbereich bestimmen.**

| Vertragsgegenstand | Einschlägige Vorschriften | |---|---| | **Vernetztes Produkt / verbundener Dienst** (IoT) | Art. 3–5 (Zugang und Bereitstellung an Nutzer und Dritte) | | **Datenverarbeitungsdienst** (Cloud, SaaS, IaaS, PaaS) | Art. 23–31 (Wechsel), insb. Art. 25, 29 | | **B2B-Vertrag mit einseitig auferlegten Datenklauseln** | Art. 13 (Missbräuchlichkeitskontrolle) | | Jeder Dateninhaber | Art. 14 ff. (Anfragen öffentlicher Stellen bei außergewöhnlichem Bedarf) |

**b) Stichtag 12.09.2026 — die entscheidende Abgrenzung.** Die Pflicht zum **Zug