Verträge für Cloud-Software: Laufzeit, Service-Level und Kündigung

Cloud-Verträge rechtlich einordnen: Auftrag, Werk oder gemischter Vertrag

Drei Klauseln entscheiden, ob ein Cloud-Software-Vertrag prüfbar ist: Laufzeit, Service-Level und Kündigung. Jede wird erst mit festen Angaben überprüfbar – Dauer und Verlängerungsschritt, Messwert und Messfenster, Kündigungstermin und Form.

Vor dem Abschluss sind konkrete Klauseln zu benennen, nicht bloss Absichtserklärungen. Unbestimmte Begriffe erschweren den Vergleich zwischen der vereinbarten Leistung und dem tatsächlichen Betrieb.

Cloud-Verträge sind keine eigene Vertragsart. Je nach Leistungsgegenstand fallen sie unter Auftrags- oder Werkvertragsrecht, fast immer ergänzt durch Elemente weiterer Innominatverträge.

Das Spektrum reicht von Cloud-Lösungen über Beratungs- und Wartungsverträge bis zur individuellen Softwareentwicklung. Entscheidend ist nicht das Etikett «Cloud», sondern der konkret geschuldete Leistungsinhalt.

Für die Haftung ist die Einordnung zentral. Im Auftragsrecht zählt die sorgfältige Leistungserbringung, im Werkvertrag schuldet der Dienstleister einen konkreten Erfolg – etwa eine funktionierende Applikation.

Cloud-Vertragswerke sind regelmässig gemischte Verträge. Prüfen Sie die Pflichtenkomplexe getrennt: Betrieb und Support, Lizenzierung, Datenbearbeitung, Projektleistungen und Migration. Für jeden Komplex muss klar sein, welche Pflichten als Erfolg und welche als sorgfältige Bemühung geschuldet sind.

Wer einen Erfolg will, muss ihn im Vertrag ausdrücklich als geschuldetes Resultat verankern – mit Bezug auf Funktionen, Mengen, Zeiten und Messgrössen. Bleibt die Leistungspflicht unspezifisch, lässt sich ein Ergebnis nur schwer durchsetzen.

Bei international tätigen SaaS-Anbietern sollte auch die Rechtswahl ausdrücklich festgehalten werden. Sie ersetzt die genaue Beschreibung der geschuldeten Leistungen nicht: Betrieb, Wartung, Projektarbeit und Softwarebereitstellung können unterschiedliche Pflichten auslösen.

Untersteht der Vertrag schweizerischem Recht, sind Auftrag, Werkvertrag und bei einer Gebrauchsüberlassung auch Mietrecht je nach Leistungsinhalt zu prüfen. Die Einordnung entscheidet über Haftung, Gewährleistung und die passenden Vertragsklauseln. Beschreiben Sie deshalb die geschuldeten Leistungen präzise.

Allgemeine Geschäftsbedingungen sind auch nach schweizerischem Recht inhaltlich begrenzt; die Vertragsfreiheit kennt Schranken. Wer Standardklauseln für Cloud-Dienste verwendet, muss diese Grenzen mitdenken.

Leistungsumfang, Nutzungsrechte und Lizenzabgrenzung festhalten

Leistungsumfang, Nutzungsrechte und Datenschutzkonformität sind präzise zu definieren. Lizenzrechte und Nutzungsbedingungen sind detailliert abzugrenzen, damit teure Nachverhandlungen ausbleiben.

SaaS lässt sich kurz fassen: Der Anbieter stellt die Software online zur Nutzung bereit; Wartung und Aktualisierung können Teil des Angebots sein. Die Nutzung erfolgt häufig über den Browser und wird meist als Abonnement abgerechnet. Diese Punkte gehören in die Leistungsbeschreibung.

Cloud-Modelle werden als SaaS, PaaS und IaaS unterschieden. Die Abgrenzung entscheidet mit, wie weit Betriebs- und Wartungspflichten des Anbieters reichen.

Das Produktspektrum reicht von Kollaborationstools wie M 365 und Google Workspace über CRM-Systeme bis zu Angeboten mit generativer KI. Der Leistungsumfang ist für jedes Produkt einzeln zu beschreiben.

Typische Bestandteile des Leistungsumfangs: betriebene Module und Funktionen, Zahl der Nutzer und Mandanten, Speicher- und Transaktionsvolumen, unterstützte Schnittstellen, Servicezeiten, Wartungsfenster, Supportstufen sowie ausdrücklich ausgeschlossene Leistungen. Zu regeln ist auch der Umgang mit Releases und Updates: welche Anpassungen inbegriffen sind und welche als Zusatzleistung verrechnet werden.

Bei den Nutzungsrechten geht es um Umfang, Dauer und Übertragbarkeit der Nutzung, um Unterlizenzierung, Nutzung in Konzernverbindungen, Mehrfachnutzung durch Dritte sowie um Rechte an Konfigurationen, Auswertungen und eigenen Daten. Wer diese Punkte offen lässt, riskiert Streit genau dann, wenn das System produktiv genutzt wird.

Bewährt hat sich eine klare Gegenüberstellung von «enthalten» und «nicht enthalten» sowie eine Regel, wie Erweiterungen ausgelöst und bepreist werden. So bleibt der Umfang über die ganze Vertragsdauer nachvollziehbar.

Anbieter werben mit offenen Standards statt Vendor Lock-in und mit voller Kontrolle über die eigenen Daten. Ob das trägt, entscheidet sich an den Rechten im Vertrag, nicht am Werbetext: an Exportformaten, an der Schnittstellendokumentation und daran, ob der Dienst ohne Mitwirkung des Anbieters verlassen werden kann.

Vergleich der Cloud-Modelle: SaaS, PaaS und IaaS

Laufzeit und Mindestbezug: lange Bindungen kritisch prüfen

Bei Cloud-Services lohnt sich eine kritische Prüfung von Laufzeit und allfälligem Mindestbezug – die Laufzeit ist die erste der drei Kernklauseln.

Kritisch zu prüfen sind automatische Verlängerungsklauseln, Kündigungsfristen und der Zeitpunkt, zu dem Nutzerzahlen oder Volumen angepasst werden können. Eine Bindung an Nutzerzahlen oder Mengengerüste wirkt faktisch wie eine Mindestbezugspflicht: Der Kunde zahlt auch dann, wenn er die Kapazität nicht mehr braucht.

Anbieterbedingungen sehen monatliche Laufzeiten von einem Monat und jährliche von zwölf Monaten vor; der Wechsel von einem auf zwölf Monate ist meist möglich. Solche Werte gehören ausdrücklich in die Laufzeitklausel.

Richten Sie die Laufzeit am Projekt- oder Nutzungshorizont aus, lassen Sie Verlängerungen nicht stillschweigend eintreten und sehen Sie Anpassungsrechte für Mengen und Nutzerzahlen vor. Prüfen Sie, ob die Bindung tatsächlich gebraucht wird.

Häufig ist mehr verhandelbar als angenommen: Laufzeitbeginn ab Produktivsetzung, Kündigungsrecht bei Nichterreichen der vereinbarten Service-Level oder bei Wegfall des Verwendungszwecks. Solche Ausstiegspunkte sind meist wertvoller als ein Rabatt auf den Listenpreis.

Der Vertrag muss die Laufzeit und die Bedingungen der Kündigung nennen, auch bei unbefristeten und bei sich automatisch verlängernden Verträgen. Beide Angaben gehören zusammen in dieselbe Klausel; fehlt ein Punkt, entsteht eine faktische Bindung, die später nur schwer zu korrigieren ist.

Konkret gehören in jede Laufzeitklausel: Mindestlaufzeit, Verlängerungsmodalität, Kündigungsfrist und letzter Kündigungsstichtag. Verwenden Sie konkrete Werte und Kalender- oder Ereignisbezüge statt offener Begriffe wie «angemessen» oder «marktüblich».

Ein klarer Auslöser für den Laufzeitbeginn kann die Produktivsetzung oder der Abschluss eines vereinbarten Onboarding-Services sein. Rahmenverträge werden auch auf unbestimmte Zeit geschlossen und beginnen mit dem Abschluss des Onboarding-Services. Legen Sie das Ereignis und seinen Nachweis im Vertrag fest.

Vorteile und Risiken von automatischen Verlängerungsklauseln

Service-Level messbar vereinbaren

Die Nutzung von IT-Services unterliegt in der Regel Service-Level-Agreements (SLAs). Der Inhalt wird individuell verhandelt und ist anfällig für weiche, schwer überprüfbare Formulierungen.

Damit ein SLA im Streitfall überprüfbar ist, müssen die massgebenden Punkte bestimmt oder bestimmbar sein: was gemessen wird, wie gemessen wird, über welchen Zeitraum gemessen wird und welche Folgen ein Verfehlen hat.

Der Service-Level ist die zweite der drei Kernklauseln: Verlangen Sie für jeden Service-Level eine Zahl und eine Messmethode – Verfügbarkeit in Prozent, Messfenster, Messinstrument und die Sanktion als Gutschrift in Prozent der Monatspauschale. Ohne diese Angaben ist die Schwelle nicht überprüfbar.

Der Bezugszeitraum ist entscheidend: Wird die Verfügbarkeit nur im Jahresmittel gemessen, können einzelne längere Ausfälle durch viele störungsfreie Zeiten ausgeglichen werden. Vereinbaren Sie deshalb sowohl die Messperiode als auch eine Obergrenze für einzelne Ausfälle.

Zu unterscheiden sind Reaktionszeiten – etwa bis zur Bestätigung einer Störungsmeldung – und Wiederherstellungszeiten bis zur Wiederaufnahme des Betriebs.

Ebenso gehören Servicezeiten und Ausschlüsse ins SLA: Zeiten für angekündigte Wartung, Ausfälle wegen Nichtlieferung durch Dritte, Fehlbedienung durch den Kunden sowie geplante Unterbrüche. Eine pauschale Zusage wie «24/7-Betrieb mit definierten Service-Levels» beschreibt noch nicht, wann ein Dienst als verfügbar gilt.

Nachweis und Eskalation gehören mitgeregelt: Reporting und Messprotokolle, Einsichtsrechte in Monitoring-Daten, definierte Ansprechstellen und Eskalationsstufen mit Fristen.

Als Sanktionen kommen vertraglich vereinbarte Gutschriften, Nachbesserungspflichten oder – bei wiederholter Verfehlung – Sonderkündigungsrechte in Betracht.

Für Banken, Versicherer und Effektenhändler gilt das FINMA-Rundschreiben 2018/3 «Outsourcing – Banken und Versicherer», in Kraft seit 1. April 2018. Es verlangt unter anderem ein jederzeitiges, vollumfängliches und ungehindertes Einsichts- und Prüfrecht zugunsten des Instituts, seiner Prüfgesellschaft und der FINMA sowie ein aktuell gehaltenes Inventar der ausgelagerten Funktionen.

Die Wesentlichkeit einer ausgelagerten Funktion ist institutsspezifisch zu bestimmen. Der Risikomonitor 2025 der FINMA, veröffentlicht am 17. November 2025, nennt die Abhängigkeit von wenigen IKT-Dienstleistern als Aufsichtsfokus; die Schweizerische Bankiervereinigung stellt dazu einen Cloud-Leitfaden bereit.

Bei regulierten Kunden ist zuerst zu klären, welche konkreten Vorgaben für Organisation und Dienst gelten. Bilden Sie die anwendbaren Anforderungen in Leistungszielen, Nachweisen und Ausstiegsregelungen ab; Standardvorlagen ersetzen diese Prüfung nicht.

Formulieren Sie Messung, Wartungsfenster, Ausnahmen und Folgen so, dass beide Parteien dieselben Daten und Regeln verwenden. Halten Sie fest, wer Messwerte liefert und wie Abweichungen belegt werden.

Gutschriften und weitergehende Ansprüche sind getrennt zu regeln: Legen Sie fest, ob Gutschriften auf das Monatsentgelt angerechnet werden und ob zusätzliche Ansprüche unberührt bleiben. Verknüpfen Sie die Rechtsfolgen mit dem definierten Messverfahren und wiederholte Verstösse mit einem möglichen Ausstiegsrecht.

Datenschutz, Datenstandort und Zugriff aus der Schweiz

Die Datenschutzkonformität nach dem revidierten Datenschutzgesetz (DSG) muss vertraglich geregelt sein, besonders bei grenzüberschreitenden Datenflüssen. Der Vertrag sollte nicht nur auf das Gesetz verweisen, sondern festhalten, wer für welche Bearbeitung verantwortlich ist und welche Pflichten der Anbieter übernimmt.

Verbreitet sind Regelungen zur Bearbeitung im Auftrag: Weisungsbindung, Vertraulichkeit, technische und organisatorische Massnahmen, Beizug von Subunternehmern, Meldung von Datenschutzverletzungen sowie Rückgabe und Löschung der Daten.

Wer Daten in einer Cloud bearbeitet, sollte zudem wissen, in welchen Ländern sie liegen und aus welchen Ländern darauf zugegriffen werden kann.

Praktisch ist daher nicht nur der Speicherort festzulegen, sondern auch der Zugriffsweg. Dazu gehören die Verfügbarkeit der Belege in einem lesbaren Format, der Zugriff über die Schweiz, eine Exportmöglichkeit ohne Mitwirkung des Anbieters und eine Regelung für den Fall, dass der Anbieter den Dienst einstellt.

Für Datenschutzfragen in der Schweiz ist die zuständige Aufsichtsbehörde einzubeziehen. Klären Sie, welche Anforderungen gelten, wenn Personendaten in eine Cloud übertragen werden.

Die Einhaltung der Vorgaben des revidierten DSG ist vor dem Abschluss zu prüfen und im Vertrag abzubilden.

Prüfen Sie Nachweise des Anbieters zum Betrieb und zu technischen sowie organisatorischen Massnahmen. Zertifizierungen oder Angaben zum Rechenzentrum sind hilfreich, wenn sie zu den vereinbarten Datenstandorten und Zugriffswegen passen. Speicherort, Zugriffsweg, Export und Löschung gehören weiterhin in den Vertrag.

Kündigung, Ausstieg und Datenmigration vor dem Abschluss regeln

Bei Cloud-Lösungen sind Ausstiegsstrategien und Datenmigrationen vor Vertragsabschluss verbindlich zu definieren. Was erst in der Kündigungsphase verhandelt wird, wird teuer: Dann hat der Anbieter kein Interesse mehr an einer raschen, kostengünstigen Übergabe.

Zu klären sind Format und Umfang der Datenrückgabe, die Fristen für die Übergabe, die Löschung nach erfolgter Migration, ein allfälliger Übergangsbetrieb sowie die Frage, wer die Migrationskosten trägt.

Ebenfalls festzuhalten ist, ob Konfigurationen, Schnittstellendokumentationen, Auswertungen und Protokolle mitgeliefert werden.

Bewährt hat sich ein Standardformat für den Export. Ebenfalls zu vereinbaren sind eine definierte Übergabefrist nach Wirksamkeit der Kündigung, ein befristeter Weiterbetrieb gegen vorher vereinbartes Entgelt und eine schriftliche Bestätigung der Löschung nach Ablauf der Übergangsfrist.

Für SaaS-Verträge liegen die Kündigungsfristen üblicherweise zwischen 30 und 90 Tagen, für Cloud-Dienste zwischen 60 und 120 Tagen. Anbieterbedingungen nennen auch monatliche Verträge mit 14 Tagen Frist zum Ablauf des Rechnungsmonats und jährliche mit 90 Tagen zum Ablauf des Rechnungsjahres.

Nach Vertragsende kann der Zugang noch vier Wochen reaktivierbar bleiben; danach werden die Daten automatisch gelöscht. Eine Kündigung wird erst mit Zugang beim Vertragspartner wirksam; der Vertrag kann eine Bestätigung über einen zugesandten Link verlangen.

Sinnvoll ist ein Sonderkündigungsrecht nicht nur bei ordentlicher Kündigung, sondern auch bei wiederholten Service-Verstössen, Wegfall der Zweckmässigkeit oder Änderungen der Rechtslage. Je früher solche Ausstiegspunkte im Vertrag stehen, desto geringer das Risiko einer Blockade.

Ein Rahmenvertrag auf unbestimmte Zeit endet nicht von selbst, sondern durch Kündigung. Termin und Frist stehen deshalb im Zentrum der Kündigungsklausel und sind mit der Laufzeitklausel zusammen zu lesen.

Kündigungstermin, Kündigungsfrist und vereinbarte Form müssen klar festgelegt sein. Bestimmen Sie insbesondere, über welchen Kanal die Kündigung zugehen soll und wann sie als eingegangen gilt. Eine pauschale Angabe wie «mit angemessener Frist» klärt diese praktischen Schritte nicht.

Für Anbieter von Datenverarbeitungsdiensten im EU-Markt gilt seit 12. September 2025 der Data Act. Art. 25 Abs. 2 lit. d verlangt ein jederzeitiges Kündigungsrecht unabhängig von einer festen Laufzeit mit einer Höchstfrist von zwei Monaten für die Einleitung des Wechsels; die Wechselphase beträgt grundsätzlich 30 Tage und kann einmalig auf bis zu sieben Monate verlängert werden.

Prüfen Sie die Vertragsqualifikation und nicht nur den Kündigungstermin. Klären Sie im Einzelfall, welche Kündigungsrechte nach der anwendbaren Rechtsordnung gelten.

Schritte zur sicheren Datenmigration bei Kündigung

Wichtigste Ausstiegspunkte im Cloud-Vertrag

Kosten, Zusatzleistungen und Budgetkontrolle

Unvorhergesehene Zusatzkosten entstehen vor allem dort, wo die Leistungsabgrenzung unklar bleibt. Was nicht ausdrücklich als inbegriffen beschrieben ist, wird bei Bedarf als zusätzliche Leistung verrechnet – spürbar bei wachsender Nutzung.

SaaS gilt als kostengünstige Alternative zu umfangreichen Implementierungsprojekten; hohe Anfangsinvestitionen für Hardware und Implementierung entfallen. Die Rechnung geht nur auf, wenn Zusatzmengen und Erweiterungen vorab bepreist und freigabepflichtig sind.

Kontrollelemente sind unter anderem das IT-Budget, Service Level Agreements zwischen dem Unternehmen und seinem IT-Dienstleister sowie Projektverträge und andere Zielvorgaben. Solche Instrumente wirken nur, wenn sie auf konkrete Vorhaben und Mengen bezogen formuliert sind.

Für Schweizer Gemeinwesen kommt eine zusätzliche Frage hinzu: die Verbuchung von Cloud-Verträgen; die Behandlung ist vor dem Abschluss zu klären.

Für Erweiterungen empfiehlt sich ein geregeltes Verfahren: Antrag, Beschreibung der Leistung, Aufwand- und Preisschätzung, Genehmigung und schriftliche Bestätigung. Ohne einen solchen Change-Request-Prozess entstehen Leistungen faktisch von selbst und werden nachträglich abgerechnet.

Kostentransparenz verlangt eine nachvollziehbare Preisliste für Zusatzmengen, Regelungen zu Preisanpassungen über die Laufzeit sowie eine Budgetobergrenze, ab der eine erneute Freigabe nötig ist. So bleibt die Kostenentwicklung steuerbar, statt nur feststellbar zu sein.

Prüfen Sie vor der Unterzeichnung, ob Musterverträge zur eigenen Vertragsstruktur passen und ob Anbieter-AGB entgegenstehende Regelungen enthalten. Entscheidend ist, dass Angaben zu Leistungsumfang, Messung, Preisen und Kündigung in den Vertragsunterlagen verbindlich und widerspruchsfrei zusammengeführt sind.

Checkliste für die Prüfung des nächsten Cloud-Vertrags

Einordnung: Ist klar, welche Leistungen als Erfolg und welche als sorgfältige Erbringung geschuldet sind? Sind die Pflichtenkomplexe – Betrieb, Lizenz, Daten, Projekt, Migration – getrennt geregelt?

Leistungsumfang: Sind Module, Nutzerzahlen, Volumen, Schnittstellen, Supportzeiten und ausdrücklich ausgeschlossene Leistungen aufgeführt? Sind Updates und Releases zugeordnet?

Nutzungsrechte: Sind Umfang, Dauer, Übertragbarkeit und Unterlizenzierung geregelt? Sind die Rechte an Konfigurationen, Auswertungen und Kundendaten geklärt?

Laufzeit: Wie lang ist die Mindestlaufzeit, wie verlängert sich der Vertrag und mit welcher Frist kann gekündigt werden? Stehen die Werte als Zahlen im Vertrag – etwa eine monatliche Laufzeit mit 14 Tagen Frist oder eine jährliche mit 90 Tagen?

Service-Level: Was wird wie über welchen Zeitraum gemessen? Liegt die Verfügbarkeit als Prozentzahl mit Messfenster und Messinstrument vor? Sind Reaktions- und Wiederherstellungszeiten, Servicezeiten, Ausschlüsse, Reporting, Eskalation und Sanktionen definiert?

Datenschutz: Sind Verantwortlichkeiten, Weisungsbindung, Subunternehmer, Meldepflichten und Löschung gemäss revidiertem DSG geregelt? Sind Datenstandort und Zugriffsweg aus der Schweiz geregelt?

Ausstieg: Sind Format und Umfang der Datenrückgabe, Fristen, Übergangsbetrieb und Kostenverteilung vor Abschluss festgelegt? Wird die Löschung bestätigt, und ist geregelt, wie lange der Zugang nach Vertragsende reaktivierbar bleibt?

Kosten: Sind Preisliste für Zusatzleistungen, Preisanpassungsregeln, Change-Request-Verfahren und eine Freigabegrenze im Budget vereinbart?

Rechtsgrundlagen: Ist das anwendbare Recht festgehalten und die Einordnung nach Auftrag, Werkvertrag oder Miete anhand der geschuldeten Leistungen nachvollziehbar?

Schweizer Recht: Sind die Pflichten aus der Einordnung nach Auftrag, Werkvertrag oder Mietrecht in den Vertragsklauseln abgebildet?

Haftung und AGB: Sind die Grenzen für Haftungs- und Service-Credit-Klauseln sowie für die AGB-Gestaltung berücksichtigt?

Aufsicht: Ist die für den Datenschutz zuständige Aufsichtsbehörde benannt? Sind die Vorgaben des revidierten DSG im Vertrag abgebildet?

Regulatorik: Ist bei Banken, Versicherern und Effektenhändlern geprüft, ob das FINMA-Rundschreiben 2018/3 «Outsourcing – Banken und Versicherer» und das FINMA-Rundschreiben 2023/1 «Operationelle Risiken und Resilienz – Banken» anwendbar sind? Sind Einsichts- und Prüfrecht zugunsten der FINMA sowie ein Inventar der ausgelagerten Funktionen vereinbart?

Wechselfristen: Sieht der Vertrag für Anbieter im EU-Markt ein jederzeitiges Kündigungsrecht, eine Höchstfrist von zwei Monaten für die Einleitung des Wechsels und eine Wechselphase von 30 Tagen vor?

Anbieterangaben: Liegen AGB und SLA vor? Sind zugesagte Servicezeiten, Ausnahmen, Messdaten, Datenstandort und Löschabläufe konkret beschrieben?

Kernklauseln: Stehen Laufzeit, Service-Level und Kündigung je als Zahl im Vertrag – Dauer der Bindung, Verfügbarkeit in Prozent, Kündigungsfrist? Fehlt eine dieser Zahlen, ist die Klausel nicht prüfbar.

Vertragsunterlagen: Sind AGB, SLA, Leistungsbeschreibung, Datenschutzvereinbarung und Exit-Regelung als Vertragsbestandteile bezeichnet? Stimmen Rangfolge, Begriffe und Messdefinitionen in allen Dokumenten überein? Sind Laufzeit und Kündigungslogik in den Anlagen widerspruchsfrei geregelt?