IT-Outsourcing: Worauf Unternehmen bei der Leistungsbeschreibung achten müssen

Eine sichere und leistungsfähige IT-Infrastruktur und Softwareanwendungslandschaft ist für viele Unternehmen unverzichtbar. Doch das Betreiben von IT und Softwareanwendungen zählt nicht unbedingt zu den Kernkompetenzen von Unternehmen. Deshalb entscheiden sich immer mehr für das Auslagern. Insbesondere das Cloud Computing und BPO Services haben sich in den letzten Jahren rasant weiterentwickelt und bieten der Unternehmens-IT eine Vielzahl neuer Lösungen wie etwa Infrastruktur-, Plattform- und Software-as-a-Service, XaaS. Dadurch verschaffen sich Unternehmen mehr Flexibilität und steigern die Effizienz. So verlockend das Angebot klingt: Das Auslagern stellt Auftraggeber vor große vertragliche Herausforderungen und birgt Risiken. Gerade der zentrale Inhalt eines Outsourcing-Vertrags, die Leistungsbeschreibung, muss so konkret und detailliert wie möglich sein. Ihr Inhalt entscheidet häufig über den Erfolg der Zusammenarbeit.

Keine Standardlösungen beim Outsourcing

Abseits der Standardlösungen unterscheidet sich das Leistungsportfolio bei Outsourcing-Vorhaben erheblich. Auch die Erwartungshaltung der outsourcenden Auftraggeber und der Outsourcing-Dienstleister deckt sich nicht immer. Eine Leistungsbeschreibung sollte für beide Seiten transparent sein, Lücken und Inkonsistenzen möglichst weitgehend vermieden werden. Die Mitwirkung des Auftraggebers und die Verantwortlichkeiten von Drittanbietern sollten ebenfalls genau spezifiziert werden (siehe dazu auch meinen Beitrag „IT Vorbereitung Outsourcing“). Denn schlechte Leistungsbeschreibungen sind der häufigste Grund für ausufernde Kosten und Terminüberschreitungen. Die Auswirkungen einer unzureichenden Leistungsbeschreibung können sogar noch gravierender sein. Scheitert ein IT-Projekt vor Produktivsetzung, besteht noch die Möglichkeit der Rückabwicklung. Beim Outsourcing ist die Rückabwicklung nach dem Übergang der Betriebsverantwortung so unwirtschaftlich, dass praktisch kaum ein anderer Weg bleibt, als die Zusammenarbeit fortzusetzen.

Gesetzgeber fordert Leistungsbeschreibungen

Die Notwendigkeit einer (detaillierten) Leistungsbeschreibung beim Outsourcing ist zudem in mehreren gesetzlichen, teilweise auch regulatorischen Grundlagen verankert. Unabhängig davon, ob es ein Miet-, Dienst- oder Werkvertrag geschlossen wird: In jedem Fall wird es sich um einen Vertrag mit Dauerschuldcharakter handeln. Service Level – gleich welcher Ausprägung – gehören zum Leistungsbestandteil. Auch bei einem reinen Dienstvertrag wird das allgemeine Leistungsstörungsrecht angewendet. Eine eindeutige Leistungsbeschreibung ist bei jedem Vertragstyp von Vorteil und bringt den Vertragspartnern mehr Sicherheit als ein Werksvertrag mit einem ungenau beschriebenen „Erfolg“ und fehlenden Rollen- und Aktivitätsbeschreibungen.

Erhebliche Risiken bei fehlenden Vereinbarungen

Es dürfte kaum einen Outsourcing-Dienstleister geben, der in der Vertriebsphase nicht mit besonderem Know-how wirbt. Wenn dann über die erbrachten Leistungen gestritten wird und konkrete Vereinbarungen fehlen, sieht der Gesetzgeber vor, als Maßstab die nach dem Vertrag vorausgesetzte Verwendung und die übliche Beschaffenheit anzulegen. Die Rechtsprechung fordert einen „mittleren Ausführungsstandard“. Fraglich ist jedoch, ob die übliche Beschaffenheit oder ein „mittlerer Ausführungsstandard“ bei komplexen Vorhaben selbst mit Hilfe eines Sachverständigen feststellbar wäre. Der Outsourcing-Dienstleister ist bei einem Rückgriff auf die gewöhnliche Verwendung oder die übliche Beschaffenheit jedenfalls erheblichen Risiken ausgesetzt, da er sich an (tatsächlich oder vermeintlich) vergleichbaren Leistungen messen lassen muss.

Service-Level-Agreements fördern Transparenz

Auch die Regulatoren fordern eine möglichst vollständige und widerspruchsfreien Leistungsbeschreibung. AT 9 Ziffer 6 der MaRisk enthält Anforderungen an die Inhalte eines Auslagerungsvertrags und erfordert die Spezifizierung und gegebenenfalls Abgrenzung der vom Dienstleister zu erbringenden Leistungen. Bestandteil eines MaRisk-konformen Auslagerungsvertrags ist eine konkrete Leistungsbeschreibung. Der Outsourcing-Dienstleister muss den Umfang und mögliche Abgrenzungsfragen der Leistung spezifizieren. Ein probater Weg ist die Vereinbarung von Qualitätsstandards als Service-Level-Agreements (SLA). Als Ergänzung zu Outsourcing-Verträgen können auf diese Weise die Dienstleistungen transparent gestaltet werden.

Ist die Leistung nicht eindeutig oder bestehen Lücken in der Aufgabenbeschreibung, besteht die Gefahr, dass Risiken für das Institut nicht erkannt, bewertet und gemanagt werden können. Da die Aufsichtsbehörden die Einhaltung der regulatorischen Vorgaben auch im Detail überprüfen, tun die auslagernden Institute gut daran, dem Vertrag eine möglichst detaillierte Leistungsbeschreibung beizufügen. Den Regulatoren stehen darüber hinaus auch Sanktionen zur Verfügung, die bis zur Rückabwicklung der Auslagerung oder zum Entzug der Banklizenz gehen können.

Leistungen eindeutig und erschöpfend beschreiben

Auch das Vergaberecht macht klare Vorgaben zu den Leistungsbeschreibungen. Um einen umfassenden Wettbewerb zu gewährleisten, muss die Leistungsbeschreibung z.B. nach § 8 Abs. 1 VOL/A eindeutig und erschöpfend sein. Die zu erbringende Leistung muss so konkret dargestellt werden, dass alle Bieter die Leistungsbeschreibung im gleichen Sinne verstehen können und die späteren Angebote miteinander vergleichbar sind. Erschöpfend ist eine Leistungsbeschreibung, wenn keine Restbereiche mehr verbleiben, die der Auftraggeber nicht klar beschrieben hat. Damit sollen eine exakte Preisermittlung und eine Vergleichbarkeit der Angebote gewährleistet werden.

Rechtsprechung: Outsourcing bietet kein typisiertes Leistungsbild

In der Rechtsprechung kommen die Grundsätze des mittleren Ausführungsstandards ins Spiel. Die Feststellung dieses mittleren Ausführungsstandards bereitet schon bei Softwareprojekten erhebliche Probleme. Gerade beim Outsourcing existiert eben kein typisiertes Leistungsbild. Das Leistungsspektrum ist so breit gefächert, dass für viele Varianten der ausgelagerten Leistungen kein allgemeingültiger Standard existiert, der durch einen Sachverständigen feststellbar wäre.

Auch für Auftraggeber, bei denen die Aufsicht eine genaue Spezifizierung ihrer Leistung verlangt, wird der mittlere Ausführungsstandard keine Lösung bieten. Die Risikoanalyse und die daraus resultierende Risikosteuerung orientiert sich individuell an den Bedürfnissen des Instituts und kann nicht im Nachhinein durch einen mittleren Ausführungsstandard ersetzt werden.

Detailtiefe lässt sich nur individuell festschreiben

Die hier aufgeführten gesetzlichen Grundlagen fordern eine möglichst detaillierte und eindeutige Leistungsbeschreibung. Dabei geht es nicht um Quantität, sondern um die sorgfältige und möglichst vollständige Darstellung dessen, was der Outsourcing-Dienstleister zu leisten hat. Den öffentlichen Auftraggeber trifft die Verpflichtung zur Erstellung einer eindeutigen Leistungsbeschreibung schon im Rahmen der Anbieter-Auswahl. Für Auftraggeber, die regulatorischen Anforderungen unterliegen, ergeben sich unter Umständen Anforderungen aus dem Aufsichtsrecht. Für alle anderen Auftraggeber greifen immerhin die zivilrechtlichen Bestimmungen, die zwar Auffangregelungen für das Fehlen einer vertraglichen Beschaffenheit vorsehen, die aber wiederum Unwägbarkeiten für den Auftraggeber enthalten. Eine von einem Sachverständigen festgestellte übliche Beschaffenheit mag trotz Üblichkeit die Erwartungshaltung des Auftraggebers nicht treffen. Wie detailliert die Leistungsbeschreibung sein muss, lässt sich nur individuell festlegen.

Daher sollten Vertragspartner auf eine genaue Leistungsbeschreibung besonderes Augenmerk richten. Sie bildet die Grundlage ihres Outsourcing-Vorhabens. Wir beraten auslagernde Unternehmen und IT-Dienstleister bei der Vertragsgestaltung und helfen ihnen dabei, die relevanten Pflichten zu regeln. Außerdem unterstützen wir Sie bei konkreten Fragen zum Umsetzen des Outsourcings. Ich freue mich über Ihre Anmerkungen und Kommentare!

Michaela Witzel, LL.M. Fordham University, School of Law, NYC, Fachanwältin für IT-Recht
witzel@web-partner.de