Notfall-Management

Für Cloud Computing sollten ebenfalls die auch für andere von Dritten bezogenen IT-Leistungen üblichen Vorkehrungen für ein Notfall-Management vereinbart werden. Dies kann durch entsprechende Regelungen in einem Service Level Agreement erfolgen, etwa für Reakti-onszeiten und Wiederanlaufzeiten.

Solche Regelungen müssen bei Cloud-Computing-Leis-tungen – wie bei anderen externen IT-LeisCloud-Computing-Leis-tungen auch – nicht selten über mehrere Vertragsstufen vom Kunden bis zu Subunternehmern, etwa für die Infrastruktur,

„durchgereicht“ werden. Im Notfall hat der Nutzer in der Regel jedoch keinen direkten Zugriff auf Subunternehmer des Anbieters, etwa einen Betreiber der Infrastruktur. Für den „Notfall“ sollten daher bei Cloud-Computing, wie auch bei allen anderen Arten des IT-Betriebes, bei Bedarf immer eine „Ersatzlösung“ zur – ggf. eingeschränkten – Aufrechterhaltung der Arbeitsfähigkeit des Betriebes bereitstehen.

Das Risiko eines Betriebsausfalls durch Störungen im IT-Bereich ist unabhängig von der Art der IT-Organisation (eigenes Rechenzentrum, Outsourcing oder Cloud Compu-ting). Solche Risiken sind immer durch ein entsprechendes Notfall-Management zu begrenzen. Dafür empfiehlt es sich, stets eine sogenannte „Business Impact Analyse“

(BIA, siehe BSI-Standard 100-4) durchzuführen.

Werden im Cloud Computing besonders schützenswerte Daten, etwa personenbezogene Daten oder steuerrele-vante Daten, verarbeitet und gespeichert, sollten für diese Daten – unabhängig von allen vertraglichen Regelungen –- entsprechende Vorkehrungen gegen mögliche Ausfälle getroffen werden. Dazu kann etwa eine „Sicherheitsko-pie“ zusätzlich außerhalb der „Cloud“ gespeichert werden oder eine redundante und regional verteilte Datenhal-tung vereinbart werden. Rechtlich und praktisch kann nur durch – möglicherweise parallele – Speicherung der Datenbestände im eigenen Unternehmen auch bei einer Insolvenz eines Subunternehmers sichergestellt werden, dass der Kunde im Notfall den uneingeschränkten Zugriff auf seine Daten behält.

Unabhängig von den konkret vereinbarten und praktisch umgesetzten Maßnahmen zur Notfallvorsorge sind natürlich auch Cloud-Computing-Leistungen – wie andere IT-Leistungen auch – jeweils Gegenstand der betriebli-chen Notfallvorsorge und -planung.

„ 2.12 Vertragsbeendigung

Voraussetzung für einen Anbieterwechsel ist die Beendi-gung des Vertrages, beispielsweise durch Zeitablauf oder Kündigung.

2.12.1 Fallgruppen der Kündigung

Im Zusammenhang mit Kündigungsrechten und –fristen ist zwischen verschiedenen Fallgruppen zu unterscheiden:

„ Ordentliche Kündigung

Im Rahmen einer ordentlichen Kündigung kann der Kunde den Vertrag nach vorheriger schriftlicher Mit-teilung an den Anbieter wie zuvor vereinbart durch einseitige Willenserklärung beenden. Soweit im Ver-trag weitere Rechte und Pflichten festgelegt wurden (z. B. Termination Fee, Abschlagszahlungen, Kostener-satz, Verkauf/Übergabe von Assets, Übertragung von Rechten, wie Softwarelizenzen, Patente etc.), finden diese mit Vertragsbeendigung Anwendung.

„ Kündigung aus wichtigem Grund

Bei Vorliegen eines wichtigen Grundes kann jede Par-tei nach MitPar-teilung schriftlich den Vertrag kündigen.

Im Falle der Verletzung vertraglicher Pflichten hat die kündigende Partei der anderen Partei in der Regel keine Kosten zu ersetzen. Die Partei, die sich auf die Kündigung aus wichtigem Grund beruft, muss der anderen Partei (in der Regel schriftlich) ausreichend detailliert und – sofern nicht vertraglich geregelt – mit angemessener Frist die Vertragsverletzung und die Möglichkeit einer Kündigung aus wichtigem Grund mitteilen. Dabei ist regelmäßig eine angemessene

„Wiedergutmachungsfrist“ zu setzen, nach deren ergebnislosem Ablauf der Vertrag außerordentlich gekündigt wird. In der Praxis sollte vor der Kündigung eines Cloud-Computing-Vertrages aus wichtigem Grund geprüft werden, welche Alternativen dem Kunden tatsächlich offenstehen, ohne die vereinbar-ten IT-Leistungen zu verlieren.

„ Kündigung wegen höherer Gewalt

Regelmäßig haften Anbieter und Kunde nicht für die Nichterfüllung oder Verzögerung bei der Erfüllung ihrer jeweiligen Verpflichtungen, soweit der Verzug oder die Nichtleistung direkt oder indirekt auf ein Ereignis außerhalb der zumutbaren Kontrolle der jeweiligen Partei zurückzuführen ist und nicht durch kommerziell verhältnismäßige Vorsichtsmaßnahmen, alternative Quellen oder Workarounds verhindert werden kann. Solange diese höhere Gewalt andauert,

steht der leistungsempfangenden Partei regelmäßig ein Kündigungsrecht zu.

2.12.2 Empfehlungen zum Exit

Die Ausführungen im Abschnitt 2.12 zeigen die Notwen-digkeit, Exit-Management und Exit-Support von Anfang an vertraglich zu regeln. Gerade bei Cloud-Services ist es unverzichtbar, Rechte und Pflichten, technische Rahmen-bedingungen und Zeitablauf nicht nur in Grundzügen zu regeln.

Idealerweise wird bereits im Vertrag vereinbart, welche Leistungen nach einer Vertragsbeendigung in welchem zeitlichen Rahmen und zu welchem Preis zu erbringen sind. Zudem ist vertraglich zu regeln, welche Partei für welche Schritte und Maßnahmen verantwortlich ist (Exit Responsibility Matrix). Die zu übergebenden Maschinen und zu übertragenden Miet-, Pacht-, Lizenz- und ande-ren Verträge sollten im Einzelnen aufgeführt werden.

Insoweit ist zu prüfen, unter welchen Voraussetzungen diese Verträge auf den Kunden oder auf den von ihm gewählten neuen Anbieter übertragen werden können.

Die Problematik des Betriebsübergangs (§ 613a BGB) ist gegebenenfalls auch bei Cloud-Services zu beachten.

Die Erfahrung zeigt, dass bei Vertragsschluss getroffene Regelungen über Exit-Management und Exit-Support in der Regel nicht alle Eventualitäten vorhersehen. Aus diesem Grund sollten entweder ein Kontingent von Pro-jekttagen für noch nicht bekannte, aber zur Umsetzung der Kündigung notwendige, Maßnahmen geplant und kalkuliert oder zumindest Tagessätze für Unterstützungs-leistungen vereinbart werden. Dies gilt insbesondere für die unverzichtbare Zusammenarbeit zwischen dem ursprünglichen und dem neuen Anbieter.

Ein stringentes Projekt- und Vertragsmanagement ist den Vertragsparteien bereits im Vorfeld von Kündigungen dringend zu empfehlen. Vertragsbeendigungen bzw. die Übertragung von laufenden Projekten auf einen neuen Anbieter erfordern regelmäßig eine zügige Bearbeitung.

Service und Qualität müssen trotz widersprechender Interessen sowie Spannungen zwischen den Projektteams uneingeschränkt und unterbrechungsfrei aufrecht erhal-ten werden. Das Poerhal-tential für Auseinandersetzungen ist in dieser Phase des Projekts enorm.

Das Ende des Exit-Supports und dessen erfolgreicher Abschluss sollte anhand einer im Vorfeld vereinbarten Checkliste geprüft und bestätigt werden.