Handbuch IT-Outsourcing

b) Verhältnis Kunde/Cloud-Anbieter

404

Das Verhältnis zwischen einem Cloud-Kunden und einem Cloud-Anbieter klingt sehr nach bereits bestehenden Businessmodellen wie beim Application Service Providing (Kurzform: ASP) oder Software as a Service (SaaS), bei dem ein Kunde nicht mehr seine Software-Applikationen kauft, sondern nur noch die temporäre Nutzung der Applikationen bezahlt und somit eine Miete i.S.v. §§ 535 ff. BGB darstellt.[375] Aber Cloud Computing geht viel weiter. Im Verhältnis zum Kunden werden vom Cloud-Anbieter nicht nur die Nutzung von Lizenzen zur Verfügung gestellt, sondern auch Filespace und Datenbanken. Teilweise werden dieses Services auch gekoppelt und als ein einziges Produkt den Kunden angeboten, so dass dieser gar nicht eine strenge Abgrenzung zwischen der Nutzung von Applikationen, Filespace oder Datenbank im Ergebnis spürt.[376] Daher gehen Cloud-Services weit über die Leistungen hinaus, die ein ASP-Anbieter zur Verfügung stellt. Dies bezieht sich nicht nur auf das Verhältnis zwischen dem Cloud-Kunden und dem Cloud-Anbieter, sondern auch auf den Bereich zwischen den unterschiedlichen Cloud-Anbietern, der sog. Virtualisierung.[377]

Abb. 26:

Cloud-Services

[Bild vergrößern]

405

Die Cloud Services wie Applikationen, Filespace und Datenbanken kommen von leistungsfähigen, sicheren und hoch verfügbaren Rechenzentren.[378] Im Gegensatz zum „normalen“ Lizenzgeschäft werden keine Lizenzen für Datenbanken und Applikationen verkauft, sondern es wird wie beim ASP nur eine temporäre Nutzung bezahlt (sog. Business- bzw. IT-Services-on-demand-Modelle). Die Anwendungen werden auf einem zentralen Server über das LAN oder WAN zur Verfügung gestellt und von den Unternehmen oder auch von Endanwendern über das Internet oder Virtual Private Networks (VPN) abgerufen. Beim Applikationen- (z.B. SAP) und Datenbank- Hosting (z.B. Oracle) werden die Applikationen/Datenbanken im Rechenzentrum des Cloud-Anbieters gehostet bzw. betrieben (Operating), dies wird häufig auch als RZ-Outsourcing bezeichnet. Neben dem reinen Hosting von Applikationen und Datenbanken werden vom Cloud-Anbieter i.d.R. Services wie Incident-, Problem-, Capacity-, Security-Management erbracht. Darüber hinaus werden vom Cloud-Anbieter sog. Application-Management-Services (AMS) angeboten, die die Pflege und sonstige Leistungen rund um die Applikationen und Datenbanken beinhalten. Dies kann die Umsetzung von Updates oder Upgrades sein oder die Erfüllung besonderer Kundenanforderungen, die im Rahmen von Change Request Verfahren bzw. Request for Change (Kurzform: RFC) erbracht werden. Eine Anzahl von Cloud-Anbietern bietet in diesem Bereich aber keine individuelle Lösungen an, sondern nur vordefinierte Pakete.[379]

406

Im Vordergrund des Cloud Computing steht eigentlich das Vergütungsmodell. Der Cloud-Kunde zahlt nicht mehr für die einzelne Lizenz einer Applikation oder Datenbank, sondern für die (temporäre) Nutzung eines Cloud-Produktes über das Netz. Er bezieht quasi die Nutzung der Cloud-Leistungen wie Strom aus der Steckdose (wird auch als „Strommodell“ bezeichnet) und stellt somit ein IT-Service-on-demand-Produkt dar.

c) Verhältnis Cloud-Anbieter untereinander

407

Die eigentliche Bedeutung des Cloud Computing ist darin zu sehen, was in der Wolke passiert. Wie bereits in den Definitionen beschrieben, werden die Leistungen nicht wie beim ASP von einem Server oder einer bestimmten Serverfarm kommen, sondern von sehr unterschiedlichen Servern bzw. Serverfarmen. Diese Server können einem bestimmten Anbieter gehören, aber auch unterschiedlichen Anbietern. Vor allem können diese Server überall auf der Welt verteilt stehen und zusammen ein „Grid“ bilden. Ein Rechenzentrum kann dann nicht nur über Server, die im eigenen Gebäude stehen, zugreifen, sondern über Server, die überall auf der Welt verteilt sind und diese wie eigene Server verwenden, was heute schon unter dem technischen Begriff der „Virtualisierung“ zusammengefasst wird. Das Modell der Virtualisierung sieht vor, dass, wenn ein Kunde z.B. Filespace benötigt, ihm zunächst ein Server z.B. in München zur Verfügung gestellt wird. Ist dieser ausgelastet oder nahezu ausgelastet, so wird automatisch ein Server in Indien zur Verfügung gestellt, ist dieser ebenfalls ausgelastet, so wird ein weiterer Server in Singapur dazugestellt. Reicht die Kapazität des IT-Cloud-Anbieters gänzlich nicht aus, so kann der IT-Cloud-Anbieter weitere Ressourcen bei anderen Anbietern dazukaufen und entsprechend in seiner Cloud mit aufnehmen. Der Kunde oder Enduser merkt hiervon nichts und misst lediglich die Performance des IT-Cloud-Anbieters am entsprechenden Service-Level-Agreement (SLA). Die Virtualisierung hat den zusätzlichen Vorteil, dass Rechenzentrumsleistungen wie bei Offshore-Services in Niedriglohnländern erbracht werden bzw. Rechenzentren in klimatisch vorteilhaften Regionen wie Alaska oder Sibirien stehen können. Gerade besonders kalte Regionen bieten den Vorteil für Rechenzentren, da die Energieaufwendungen für Kühlung und somit die damit verbundenen hohen Kosten gesenkt werden können.

408

Die Standardisierung der IT-Services soll nach einer Zukunftsvision sogar dazu führen, dass IT-Services wie Strom auf der Leipziger Strombörse innerhalb und außerhalb der Clouds gehandelt werden können. Vergleichbare Analogien von IT-Services und Strom (ohne Börsencharakter) wurden bereits früher unter Marketingbegriffen „SAP aus der Steckdose“[380] oder Business on demand oder on-demand-Prinzip beschrieben. Sicherlich ist Strom grundsätzlich ein einfacheres Produkt (220 V, 50 Mhz) als IT-Services und grundsätzlich muss auch nicht befürchtet werden, dass, wenn ein Stromanbieter ausfällt, dies zu erheblichen Nachteilen bei der Stromversorgung führt.[381]

Abb. 27:

Cloud Computing

[Bild vergrößern]

d) Cloud Produkte

409

Die Key Player der IT-Branche haben konkrete Produkte zum Cloud Computing entwickelt.[382] Cloud Services werden i.d.R. in drei unterschiedlichen Kategorien angeboten:[383]

410

Amazon bietet mit dem Produkt Elastic[384] Compute Cloud (EC2) Services aus dem Bereich des Cloud Computing an, Google nennt sein vergleichbares Produkt Google App Engine.

411

Die wohl umfassendste Strategie, als Hersteller ohne Hardwareprodukte Cloud Services anzubieten, verfolgt Microsoft. Das Software-Unternehmen aus Redmond brachte im vergangenen Jahr seine eigene Cloud-Basis Azure auf den Markt. Diese soll als Betriebssystem ausschließlich dazu dienen, dass Microsoft selbst über damit betriebene Umgebungen Cloud-Dienste anbieten kann. Vorrangig sollen Azure-basierende Services zunächst Entwicklern angeboten werden. Microsoft tritt damit in Konkurrenz zu Amazon EC2. Allerdings kann sich der Anbieter auch vorstellen, anderen Anwendern auf Azure basierende Dienste zu offerieren. SQL-Services auf Azure zum Beispiel sind auch für kommerzielle Anwender außerhalb des Entwicklungsbereichs interessant. Auslizenzieren möchte Microsoft Azure aber vorläufig nicht.

412

IBM gliedert seine Cloud-Produkte in die Bereiche Infrastruktur (Geräte mit Software), Services und Public. Mit letzterem sind Komplettangebote gemeint, wie sie Salesforce offeriert. Als weitere Kategorie definieren die Marketiers spezifische Arbeitslasten, beispielsweise Analyse, Collaboration, Entwicklung/Test, Desktops, Infrastruktur und Business-Systeme. Insgesamt ergibt sich daraus eine Matrix mit 21 Feldern, von denen 14 mit bereits verfügbaren Produkten gefüllt sind. Ein Beispiel für ein solches Angebot ist die für Entwicklung/Test und den Infrastruktur-Bereich gedachte Appliance CloudBurst. Die Lösung für den Public-Bereich und das Thema Collaboration heißt Lotus Live.

413

Die Hewlett-Packard Company (Kurzform HP), eine der größten US-Technologiefirmen, welches neben IBM als das umsatzstärkste IT-Unternehmen der Welt gilt, ging bereits vor einigen Jahren mit einem On-Demand-Ansatz auf den Markt und verfolgt das Thema nun unter dem Slogan „Everything-as-a-service“ weiter. Dahinter steht die Idee, dass IT-Infrastrukturen (Server, Drucker, Netzwerke) bereits in absehbarer Zeit nur noch als IT-Services angeboten werden. Inzwischen hat HP ein ganzes Portfolio von Lösungen im Programm, bei denen Applikationen im Rahmen des „Utility Sourcing“ auf Abruf genutzt werden können. Anwender haben mit der Infrastrukturpflege nichts mehr zu tun. Außerdem brachte HP mit Matrix eine Hardwareeinheit auf den Markt, die als voll virtualisierte Basis für unternehmensinternes Cloud Computing gelten kann.

414

Die Fujitsu Limited ist ein japanischer Technologiekonzern mit ca. 161.000 Mitarbeitern weltweit und auf dem IT-Markt ein erstzunehmender Mitbewerber zu IBM oder HP. Aus dem Markt für cloud-basierende Applikationsdienste wollte sich das japanische Unternehmen, in dem die einstige Fujitsu-Siemens aufgegangen ist, bis vor kurzem tunlichst fernhalten. Ende 2009 allerdings verkündete Kai Flore, Geschäftsführer für die Region EMEIA (Europa, Middle East, Indien, Afrika), die Kehrtwende: Man werde in ausgewählten Bereichen, wo entsprechende Akquisitionen getätigt wurden, auch ins Geschäft mit Applikationsdiensten einsteigen, etwa im Bereich SAP BI-Services und im Gesundheitssektor. Ansonsten bleibe es dabei, IT-Infrastruktur für Endkunden und Serviceprovider in Form von Dienstleistungen je nach Nachfrage bereitzustellen.[385]

e) Rechtliche Fragen

415

Bei der rechtlichen Betrachtung sollte grundsätzlich zwischen der Beziehung zwischen Endkunde und Cloud Anbieter und den rechtlichen Beziehungen innerhalb der Clouds unterschieden werden.[386]

aa) Rechtliche Beziehung Endkunde zu Cloud

416

Wie bereits in Abbildung 27 dargestellt, geht ein Kunde eine vertragliche Bindung mit (a) einem oder (b) mehreren Cloud-IT-Anbietern ein. Hierbei werden je nach Vertragsgestaltung unterschiedliche Leistungen wie ASP (c), die Bereitstellung von File- oder Webspace (d) oder Datenbankkapazitäten (e) zur Verfügung gestellt. Dies ist entsprechend rechtlich auch zu würdigen, insbesondere ob die Verträge individuell erstellt worden sind oder ob es sich um AGB nach §§ 305 ff. BGB handelt.[387] Wurden die Verträge individuell erstellt, so gibt es wenige Vorschriften, die nicht abbedungen werden können (z.B. die Haftung nach § 276 Abs. 3 BGB). Dagegen verhält sich die Sachlage bei AGB völlig anders, diese dürfen gem. § 307 Abs. 2 Nr. 1 BGB nicht vom wesentlichen Grundgedanken der gesetzlichen Regelungen abweichen. Diese Problematik liegt im Zuständigkeitsbereich des VIII. Senat des BGH und wurde vielfach in der Rspr. und Literatur diskutiert.[388] Die Notwendigkeit, bei der Gestaltung von AGB für IT-Services nicht wesentlich vom rechtlichen Charakter abzuweichen, stellt die Vertragsparteien häufig vor größere Herausforderungen. Dies gestaltet sich in einigen Fällen äußerst schwierig, da die kodifizierten Vertragswerke des Schuldrechts BT zuweilen über 100 Jahre alt sind und bei der Erschaffung des BGBs in der Zeit von 1874 bis 1900 (das BGB ist am 1.1.1900 in Kraft getreten) noch niemand an Outsourcing oder Cloud Computing dachte.

(1) Ein Cloud-Anbieter vs. Cloud-Kunde

417

Bezieht ein Kunde seine Leistungen nur von einem Cloud-Anbieter, so ergibt sich zunächst auch ein einfaches bilaterales Vertragsverhältnis.[389] Hierbei können die üblichen Regelungen je nach Leistungsteil wie bei einem normalen Outsourcing-/Hostingvertrag zugrunde gelegt werden. Auch wenn die Idee besteht, IT-Services wie Strom an einer Börse zu behandeln, ist dennoch nicht davon auszugehen, dass ein ständiger oder schneller Wechsel von Cloud-IT-Anbietern die Regel sein wird und entsprechend in den Verträgen zu berücksichtigen wäre.[390] Dies würde wahrscheinlich auch die Forderung des Cloud-IT-Anbieters für den Ersatz von Remanenzkosten in die Höhe treiben. Wichtig erscheint es dabei zu regeln, ob sich der Cloud-IT-Anbieter auch anderer Cloud-IT-Anbieter als Subunternehmer bedienen darf und wie dieser Sachverhalt zu behandeln ist (siehe b).

(2) Mehrere Cloud-Anbieter

418

Bezieht ein Kunde seine Leistungen von mehreren Cloud-IT-Anbietern, so stellt sich die Frage, in welcher Konstellation dies erfolgt.[391] Bedient sich der Kunde eines Generalunternehmers (GU), der sich verschiedener anderer Cloud-IT-Anbieter als Subunternehmer bedient, oder bedient er sich unterschiedlicher Cloud-IT-Anbieter und organisiert diese im Rahmen eines Vendor-Managements.[392]

419

Das Modell eines GU erscheint auf den ersten Blick sinnvoller, da ein Anbieter direkter Ansprechpartner für alle Fragen ist, sog. Single Point of Contact (SPOC), und natürlich über § 278 BGB auch für seine Erfüllungsgehilfen haftet. Insbesondere muss der GU auch darauf achten, dass entsprechende Sicherheits- und Qualitätsstandards (insbesondere bei der Datensicherheit und beim Datenschutz) bei den Subunternehmern beachtet werden müssen. Ggf. muss der GU dies auch durch entsprechende Audits überprüfen und nachweisen. In der Regel wird sich ein GU auch eine solche Stellung besonders vergüten lassen. In vielen Bereichen kann sich der Kunde nicht gänzlich von seinen Audit- und Überwachungspflichten entledigen, so z.B. durch den Datenschutz oder einige sektorspezifische Regelungen wie z.B. der § 25a KWG bei Finanzinstituten oder § 80 SGB X. In der Regel muss sich der Kunde hierbei über den GU auf den jeweiligen Subunternehmer ein Durchgriffsrecht einräumen lassen.

420

Das Modell des wahrscheinlich günstigeren Einzelbezugs von unterschiedlichen Cloud-IT-Anbietern (sog. Multi-Vendor-Strategie), weist dagegen einige technische und rechtliche Nachteile auf. Der Kunde muss vor allem darauf achten, dass die entsprechend einzeln eingekauften IT-Services auch miteinander harmonieren. Insbesondere könnte es bei Schlechtleistungen dazu führen, dass die unterschiedlichen Anbieter jeweils den Fehler nicht bei sich sehen, sondern beim jeweiligen anderen Anbieter.

(3) Bereitstellung von Web- oder Filespace

421

Die Bereitstellung von Webspeicher oder Filespeicher ist rechtlich gesehen ein wenig komplexer anzusehen. Im Wesentlichen sind dabei zwei Fragen zu beantworten: die vertragstypologischen Zuordnung und das Leistungsstörungsrecht.

(a) Vertragstypologische Zuordnung

422

Die Bereitstellung von Webspeicher und Filespace kann sicherlich nicht mit den gesetzlichen Regelungen ausreichend geregelt werden. Somit bedarf es eindeutiger vertraglicher Absprachen, wie z.B. ein Service-Level-Agreement und weiterer Regelungen.

423

Zur rechtlichen Einordnung von Cloud-Verträgen, in denen Webspeicher und Filespace zur Verfügung gestellt werden, werden in der Rechtsprechung nahezu alle Auffassungen bis auf die, dass es sich um einen Vertrag eigener Art handle, vertreten.[393] Es kann noch nicht von einer herrschenden Meinung gesprochen werden. Jedoch ist erkennbar, dass zumindest ein nicht unerheblicher Teil der Gerichte der Auffassung ist, dass der RZ-Vertrag als Werkvertrag zu qualifizieren ist.[394] Rechtlich gesehen dürften die meisten Cloud-Verträge zunächst einmal Dauerschuldverhältnisse sein.[395]

424

Die Einordnung von Cloud-Verträgen in die vertragstypologische Einordnung der im BGB gesetzlich normierten Verträge richtet sich nach der tatsächlich geschuldeten Leistung. Das Abspeichern der Daten und deren Sicherung auf dem Host des Cloud-Anbieters kann aber auch eine Verwahrung gemäß § 688 BGB darstellen.[396] Auch bei der Verwahrung werden nur bewegliche Gegenstände erfasst, so dass sich hier das gleiche Problem wie bei der Miete stellt. Vorteil dieses Vertragstyps ist, dass der Application Service Provider weder die Daten selbst nutzen[397] noch bei Dritten gemäß § 691 BGB hinterlegen, also etwa bei anderen Providern, speichern darf. Stellt der Auftragnehmer vor allem Rechenkapazität zur Verfügung, so liegt zeitweise bzw. teilweise Überlassung und somit Miete vor.[398] Dabei ist unerheblich, dass der Cloud-Kunde über Terminals oder PC (via Internet Explorer oder GUI = Graphical User Interface) Zugriff auf den Host des Cloud-Anbieters erhält. Dem Cloud-Vertrag, bei dem nicht auch die Erfüllung einer bestimmten betrieblichen Funktion geschuldet ist, entspricht insbesondere im Hinblick auf die Langzeitbindung am ehesten die Miete. Wichtig ist dies, weil dann die mietrechtlichen, evtl. dienstvertragsrechtlichen Kündigungsregeln und nicht § 649 BGB zur Anwendung kommen.[399] Somit handelt es sich bei Cloud-Verträgen grundsätzlich erst einmal um Miete von IT-Infrastrukturen.[400]

425

Kein Mietvertrag dürfte dann vorliegen, wenn der Cloud-Anbieter nicht nur Kapazitäten zur Verfügung stellt, sondern der Cloud-Anbieter mit eigenen Programme bzw. Applikationen Daten des Cloud-Kunden bearbeitet. Hierbei liegt die Einordnung ins Werkvertragsrecht sehr nah.[401]