Das Wichtigste im Überblick
Wer Cloud-Leistungen an Bund, Länder oder Kommunen verkauft – oder als Behörde solche Leistungen einkauft –, kommt an den EVB-IT Cloud AGB kaum vorbei. Sie bilden den rechtlichen Rahmen, an dem sich nahezu jede öffentliche Cloud-Beschaffung in Deutschland orientiert.
Was sind die EVB-IT Cloud AGB?
Die Ergänzenden Vertragsbedingungen für die Beschaffung von IT-Leistungen (EVB-IT) sind ein System standardisierter Vertragsmuster, das der Bund gemeinsam mit dem Branchenverband Bitkom entwickelt hat. Sie ersetzen die älteren Besonderen Vertragsbedingungen (BVB) und bilden inzwischen die Grundlage für praktisch jede IT-Beschaffung der öffentlichen Verwaltung. Innerhalb dieses Systems bilden die EVB-IT Cloud AGB ein eigenständiges Modul speziell für Cloud-Leistungen. Zuvor mussten Cloud-Beschaffungen mit erheblichem Anpassungsaufwand über andere EVB-IT-Verträge, etwa den EVB-IT Service, abgebildet werden.
Die EVB-IT Cloud AGB sind rechtlich als Allgemeine Geschäftsbedingungen des öffentlichen Auftraggebers einzuordnen. Das bedeutet: Sie unterliegen der AGB-rechtlichen Inhaltskontrolle, werden aber von der Behörde einseitig vorgegeben und bei der Vergabe nicht mit dem Anbieter im Einzelnen ausgehandelt.
Wer verwendet die EVB-IT Cloud AGB?
Bundes- und Landesbehörden sind bei der Beschaffung von Cloud-Diensten regelmäßig an die EVB-IT Cloud gebunden; zunehmend greifen auch kommunale Auftraggeber auf das Vertragsmuster zurück, teils aufgrund landesrechtlicher Vergabevorschriften. Für Cloud-Anbieter heißt das in der Praxis: Wer öffentliche Aufträge im Bereich IaaS, PaaS, SaaS oder Managed Cloud Services gewinnen möchte, muss sich mit diesen Bedingungen befassen, da im Vergabeverfahren in aller Regel kein individueller Verhandlungsspielraum besteht.
Die wichtigsten Regelungsbereiche im Überblick
Die EVB-IT Cloud AGB decken den gesamten Lebenszyklus einer Cloud-Leistung ab. Zu den zentralen Themenblöcken gehören:
- Leistungsbeschreibung und Abgrenzung der Servicetypen IaaS, PaaS, SaaS und Managed Cloud Services
- Verfügbarkeit der Leistung sowie Klassifizierung und Beseitigung von Störungen
- Datenschutz und IT-Sicherheit, unter anderem Nachweise zu Sicherheitskonzepten und Zertifizierungen
- Zugriffs- und Zugangsrechte sowie Regelungen zur Datensicherung (Backups)
- Haftung und Rechte des Auftraggebers bei Mängeln der Leistung
- Mitwirkungspflichten des Auftraggebers im Rahmen der geteilten Verantwortlichkeit (Shared Responsibility)
- Regelungen zum Vertragsende, etwa Migrationsunterstützung und Herausgabe oder Löschung von Daten
- Möglichkeit einer begrenzten Einbeziehung anbieterseitiger AGB über eine gesonderte Anlage
Sicherheitsanforderungen als Schwerpunkt
Ein deutlicher Schwerpunkt der EVB-IT Cloud AGB liegt auf Datenschutz und IT-Sicherheit. Anbieter müssen regelmäßig über ein dokumentiertes Sicherheitskonzept und ein Informationssicherheits-Managementsystem verfügen, häufig orientiert an anerkannten Standards. Diese Anforderungen sind vertraglich bindend und sollten bereits vor Angebotsabgabe realistisch kalkuliert werden.
Können Anbieter eigene AGB einbringen?
Ein bloßer pauschaler Verweis auf die eigenen Geschäftsbedingungen genügt nicht. Die EVB-IT Cloud sieht dafür eine eigene Anlage vor, über die einzelne, konkret benannte Klauseln des Anbieters – etwa zum Leistungsort, Nutzern, Lizenzmetrik oder Datensicherung – kontrolliert und in begrenztem Umfang in den Vertrag einbezogen werden können. Welche Klauseln in Betracht kommen, wird idealerweise bereits vor der Ausschreibung im Rahmen einer Markterkundung zwischen Auftraggeber und Markt abgestimmt.
Praxistipps für Cloud-Anbieter
- Vor Angebotsabgabe prüfen, ob und in welchem Umfang eigene Standardbedingungen über die vorgesehene Anlage eingebracht werden können.
- Sicherheits- und Verfügbarkeitszusagen realistisch kalkulieren, da sie mit Zuschlag verbindlich werden.
- Interne Prozesse für das Vertragsende – insbesondere Datenmigration und -löschung – frühzeitig festlegen, um Haftungsrisiken zu vermeiden.
- Bei Unsicherheiten zur Auslegung einzelner Klauseln oder zur AGB-rechtlichen Wirksamkeit rechtlichen Rat einholen, bevor ein Angebot verbindlich abgegeben wird.
Handlungsempfehlung
Die EVB-IT Cloud AGB haben Rechtssicherheit in einen Bereich gebracht, der zuvor nur mit erheblichem Anpassungsaufwand vertraglich abgebildet werden konnte. Gleichzeitig sind sie komplex und lassen Anbietern nur begrenzten Gestaltungsspielraum. Eine anwaltliche Prüfung vor Angebotsabgabe oder Vertragsschluss hilft, Risiken frühzeitig zu erkennen und Cloud-Projekte mit der öffentlichen Hand rechtssicher zu gestalten.
Häufig gestellte Fragen
EVB-IT steht für „Ergänzende Vertragsbedingungen für die Beschaffung von IT-Leistungen“ – ein System standardisierter Vertragsmuster und Geschäftsbedingungen, das Bund und Bitkom gemeinsam für IT-Beschaffungen der öffentlichen Hand entwickelt haben.
Grundsätzlich nicht. Sie werden vom öffentlichen Auftraggeber vorformuliert und im Vergabeverfahren gestellt. Abweichungen sind nur im vorgesehenen Rahmen möglich, etwa über den Kriterienkatalog oder die begrenzte Einbeziehung anbieterseitiger AGB.
Erfasst werden Infrastructure as a Service (IaaS), Platform as a Service (PaaS), Software as a Service (SaaS) sowie Managed Cloud Services, jeweils mit eigener Leistungsbeschreibung.
Nur eingeschränkt: Über eine gesonderte Anlage können einzelne, konkret benannte Klauseln des Anbieters einbezogen werden. Ein pauschaler Verweis auf die eigenen AGB reicht nicht aus.
Die EVB-IT Cloud AGB sehen Mitwirkungspflichten des Anbieters am Vertragsende vor, etwa bei der Unterstützung der Migration zu einem neuen Anbieter sowie bei der Herausgabe oder Löschung der beim Auftraggeber gespeicherten Daten.