Das Wichtigste im Überblick
Was ist die EVB-IT Cloud?
Die Ergänzenden Vertragsbedingungen für die Beschaffung von IT-Leistungen (EVB-IT) bilden seit Jahren die vertragliche Grundlage, auf der öffentliche Auftraggeber in Deutschland IT-Leistungen beschaffen. Mit der EVB-IT Cloud steht ein eigener, speziell auf Cloud-Leistungen zugeschnittener Vertragstyp zur Verfügung, der Infrastructure-, Platform- und Software-as-a-Service sowie Managed Cloud Services abdeckt.
Zwischen Bund und Bitkom als Vertreter der Anbieterseite abgestimmt, soll die EVB-IT Cloud einen fairen Interessenausgleich zwischen den hohen Anforderungen der öffentlichen Hand an Sicherheit, Kontrolle und Datenschutz einerseits und der Praxis standardisierter Cloud-Dienste andererseits schaffen.
Der Aufbau der EVB-IT Cloud
Anders als bei einem klassischen Individualvertrag setzt sich die vertragliche Grundlage bei den EVB-IT Cloud aus mehreren, aufeinander abgestimmten Dokumenten zusammen.
Der eigentliche Cloud-Vertrag
Der Vertrag selbst konkretisiert die Beschaffenheit der geschuldeten Cloud-Leistung, benennt die Vertragspartner sowie die wesentlichen Eckdaten wie Laufzeit, Vergütung und Vertragsgegenstand.
Die EVB-IT Cloud-AGB
Die Allgemeinen Geschäftsbedingungen bilden den rechtlichen Rahmen für sämtliche EVB-IT-Cloud-Verträge. Sie regeln unter anderem Haftung, Geheimhaltung, Mitwirkungspflichten des Auftraggebers, Verfügbarkeit und die Folgen einer Unterschreitung vereinbarter Service-Level.
Der Kriterienkatalog für Cloudleistungen
Im optionalen Kriterienkatalog werden die konkreten Leistungsparameter festgelegt und können von den Standard Regelungen der AGB abweichen oder diese ergänzen – etwa zur Art der Cloud (Public oder Private Cloud), zum Leistungsort, zum Identitäts- und Berechtigungsmanagement sowie zur Datensicherung und IT-Sicherheit.
Die Anlage auftragnehmerseitige AGB
Eine Besonderheit gegenüber den übrigen EVB-IT-Vertragstypen: Über eine eigene Anlage können in kontrolliertem Umfang auch Geschäftsbedingungen des Anbieters einbezogen werden. Das trägt dem Umstand Rechnung, dass insbesondere große Cloud-Anbieter häufig auf standardisierten eigenen Bedingungen bestehen.
Zentrale Regelungsbereiche im Überblick
Datenschutz und Auftragsverarbeitung
Die Verarbeitung personenbezogener Daten wird über einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO geregelt; die technischen und organisatorischen Maßnahmen ergeben sich ergänzend aus dem Kriterienkatalog. Damit die Anforderungen der DSGVO tatsächlich erfüllt werden, muss der Anbieter transparent darlegen, wo und wie die Daten verarbeitet werden.
IT-Sicherheit
Die EVB-IT Cloud-AGB setzen einen Mindeststandard an IT-Sicherheit voraus. In der Praxis bildet eine BSI-C5-Attestierung eine geeignete Grundlage, um die geforderten Nachweispflichten zu erfüllen; der Kriterienkatalog kann darüber hinaus weitere, projektspezifische Sicherheitsanforderungen festlegen.
Verfügbarkeit und Service-Level-Agreements
Verbindliche Verfügbarkeitswerte sowie die Folgen bei deren Unterschreitung sind in den AGB normiert. Ergänzend können im Kriterienkatalog oder über die Anlage auftragnehmerseitige AGB differenzierte Regelungen zu Nichterfüllungsgutschriften vereinbart werden, wenn vereinbarte Service-Level nicht erreicht werden.
Haftung
Bei leichter Fahrlässigkeit ist die Haftung grundsätzlich der Höhe nach auf den Auftragswert begrenzt; für das erste Vertragsjahr gilt regelmäßig eine Mindesthaftungssumme. Ansprüche auf entgangenen Gewinn sind in der Regel ausgeschlossen. Für bestimmte Schadensarten, etwa Sachschäden durch fahrlässige Pflichtverletzung, sehen die AGB eigenständige, höhere Haftungsgrenzen vor.
Exit-Management und Datenportabilität
Da ein Anbieterwechsel bei Cloud-Diensten technisch und organisatorisch anspruchsvoll sein kann, regeln die EVB-IT Cloud Leistungen am Vertragsende ausdrücklich, etwa die Herausgabe und Löschung von Daten sowie Unterstützungsleistungen bei der Migration zu einem anderen Anbieter.
Bedeutung für öffentliche Auftraggeber
- Standardisierte, rechtssichere Vertragsgrundlage statt aufwendiger Einzelverhandlung mit jedem Anbieter
- Klare Vorgaben zu Datenschutz, IT-Sicherheit und Kontrollrechten entsprechend den Anforderungen des öffentlichen Sektors
- Über den Kriterienkatalog lässt sich die Leistungsbeschreibung passgenau auf das jeweilige Vergabeprojekt zuschneiden
- Geregeltes Exit-Management reduziert das Risiko eines Anbieter-Lock-ins
Bedeutung für Anbieter und Bieter
- Wer sich an Ausschreibungen mit EVB-IT Cloud beteiligt, muss die Anforderungen des Kriterienkatalogs bereits bei der Angebotskalkulation berücksichtigen
- Erhöhte Nachweispflichten, etwa im Bereich IT-Sicherheit, sollten frühzeitig durch entsprechende Zertifizierungen vorbereitet werden
- Die Möglichkeit zur begrenzten Einbeziehung eigener AGB über die entsprechende Anlage sollte gezielt genutzt, aber vergaberechtskonform ausgestaltet werden
- Haftungs- und Exit-Regelungen sind auf wirtschaftliche Tragfähigkeit für das eigene Geschäftsmodell zu prüfen
Häufig gestellte Fragen
Die EVB-IT Cloud deckt die gängigen Servicemodelle IaaS, PaaS, SaaS und Managed Cloud Services ab. Über den Kriterienkatalog lässt sich der Vertrag an das jeweilige Servicemodell und Projekt anpassen, sodass er für die Mehrzahl der Cloud-Beschaffungen der öffentlichen Hand nutzbar ist.
Der IT-Planungsrat empfiehlt seinen Mitgliedern die Verwendung der EVB-IT Cloud, eine unmittelbare gesetzliche Pflicht besteht jedoch nicht überall gleichermaßen. In der Vergabepraxis haben sich die EVB-IT als Standard weitgehend etabliert, da sie zwischen Bund und Anbieterseite abgestimmt sind.
Hierfür sieht das Vertragswerk die Anlage "auftragnehmerseitige AGB" vor. Sie ermöglicht eine kontrollierte, vergaberechtskonforme Einbeziehung anbieterseitiger Bedingungen, ohne die Schutzstandards der EVB-IT Cloud vollständig zu unterlaufen.
Bei leicht fahrlässigen Pflichtverletzungen ist die Haftung regelmäßig der Höhe nach begrenzt, mit einer besonderen Mindesthaftungssumme im ersten Vertragsjahr. Ergänzend können im Kriterienkatalog Nichterfüllungsgutschriften bei Unterschreitung vereinbarter Verfügbarkeiten festgelegt werden.
Die Vertragsbedingungen sehen Leistungen am Vertragsende vor, etwa zur Unterstützung bei der Datenmigration sowie zur Herausgabe und anschließenden Löschung der beim Anbieter gespeicherten Daten, um einen geordneten Übergang zu einem anderen Anbieter zu ermöglichen.
Insbesondere Nachweise zur IT-Sicherheit sind relevant, etwa eine BSI-C5-Attestierung. Welche Nachweise konkret gefordert werden, ergibt sich im Einzelfall aus dem Kriterienkatalog der jeweiligen Ausschreibung.