Die Haftung von IT-Dienstleistern richtet sich nach klaren rechtlichen Voraussetzungen. Entscheidend ist, ob vertragliche Pflichten verletzt wurden und dadurch ein Schaden entstanden ist.
Der Beitrag erklärt, wann IT-Dienstleister haften, welche Haftungsrisiken im Projektalltag auftreten und wie sich das Risiko durch Verträge, Projektprozesse und eine IT-Haftpflichtversicherung reduzieren lässt.
Von Marc Thamm
Kurz zusammengefasst:
IT-Dienstleister haften nicht automatisch, wenn in einem Projekt etwas schiefläuft. Ob ein Kunde Schadensersatz verlangen kann, hängt von mehreren Voraussetzungen ab. Erst wenn diese erfüllt sind, kommt eine Haftung grundsätzlich infrage.
Im Folgenden gehen wir die fünf wichtigsten Voraussetzungen Schritt für Schritt durch.
Die Grundlage der Haftung ist in IT-Projekten meist der Vertrag zwischen dem IT-Dienstleister und seinem Kunden. Darin wird festgelegt, welche Leistungen übernommen werden und welche Pflichten beide Seiten haben.
Ein Vertrag muss nicht immer ein umfangreiches Dokument sein. Auch ein angenommenes Angebot, eine schriftliche Beauftragung oder eine eindeutige Vereinbarung per E-Mail kann verbindlich sein. Entscheidend ist, dass beide Seiten sich über die wesentlichen Leistungen geeinigt haben.
Ob eine Pflichtverletzung vorliegt, wird anhand dieser Vereinbarungen beurteilt.
Eine Pflichtverletzung kann vorliegen, wenn der IT-Dienstleister eine vereinbarte Leistung gar nicht, verspätet oder nicht wie vereinbart erbringt.
Eine Pflichtverletzung liegt beispielsweise vor, wenn:
Ob tatsächlich eine Pflichtverletzung vorliegt, richtet sich nach den Vereinbarungen zwischen IT-Dienstleister und Kunde. Warum der IT-Projektvertrag für die Haftung so wichtig ist, erläutern wir im zweiten Kapitel.
Eine fehlerhafte Leistung allein führt noch nicht zu Schadensersatz. Der Kunde muss dadurch einen konkreten Schaden erlitten haben. Erst dann kommt ein Anspruch nach § 280 Abs. 1 BGB grundsätzlich infrage.
Zu den möglichen finanziellen Folgen gehören:
Welche weiteren Belastungen neben Schadensersatzforderungen entstehen können, zeigt der Beitrag zu den größten finanziellen Risiken für IT-Freelancer.
Der Schaden muss eine direkte Folge eines Fehlers sein. Wäre der Schaden auch ohne diesen Fehler entstanden, fehlt der notwendige Zusammenhang.
Beispiel: Der Fehler verursacht den Schaden
Eine fehlerhaft programmierte Schnittstelle zwischen einem Onlineshop und dem Warenwirtschaftssystem überträgt eingehende Bestellungen nicht. Dadurch werden Aufträge nicht bearbeitet und dem Kunden entgehen Umsätze.
Ergebnis: Der Fehler hat den Schaden verursacht.
Gegenbeispiel: Der Schaden hat eine andere Ursache
Der Umsatzausfall beruht nicht auf der fehlerhaften Schnittstelle, sondern auf einem Serverausfall beim Hosting-Anbieter oder einem Bedienfehler des Kunden.
Ergebnis: Der Fehler hat den Schaden nicht verursacht.
Selbst wenn ein Fehler den Schaden verursacht hat, haftet der IT-Dienstleister nicht automatisch. Er muss den Fehler auch zu vertreten haben gemäß dem abgeschlossenen Vertrag der beiden Parteien. Das ist insbesondere der Fall, wenn er vorsätzlich oder fahrlässig gehandelt hat.
Beispiel: Der IT-Dienstleister ist verantwortlich
Der IT-Dienstleister nimmt eine neu entwickelte Schnittstelle in Betrieb, ohne sie ausreichend zu testen. Wegen eines Programmierfehlers werden Bestellungen nicht übertragen.
Folge: Der IT-Dienstleister hat den Fehler zu vertreten und haftet grundsätzlich.
Gegenbeispiel: Der IT-Dienstleister ist nicht verantwortlich
Der Kunde ändert nach der Abnahme eigenständig die Konfiguration der Schnittstelle. Dadurch werden Bestellungen nicht mehr übertragen.
Folge: Der IT-Dienstleister hat den Fehler grundsätzlich nicht zu vertreten und haftet für diesen Schaden in der Regel nicht.
Aus unserer Erfahrung mit IT-Unternehmen wissen wir: Etliche Haftungsfragen ließen sich mithilfe einer sauberen Projektdokumentation deutlich schneller klären. Sie half im Streitfall dabei, nachzuweisen, was vereinbart war und wie sorgfältig das Unternehmen gearbeitet hatte.
Ob ein IT-Dienstleister haftet, richtet sich maßgeblich danach, welche Leistungen und Verantwortlichkeiten im IT-Projektvertrag vereinbart wurden.
Der IT-Projektvertrag legt fest:
Kommt es später zu einem Streit, bildet er den Maßstab dafür, ob eine vertragliche Pflicht verletzt wurde. Je klarer Leistungen, Verantwortlichkeiten und Mitwirkungspflichten geregelt sind, desto leichter lässt sich beurteilen, ob der IT-Dienstleister seine Pflichten erfüllt hat.
Ob ein Werkvertrag oder ein Dienstvertrag vorliegt, hat wesentlichen Einfluss darauf, welche Leistung geschuldet wird und wann Ansprüche entstehen können.
Beim Werkvertrag schuldet der IT-Dienstleister einen konkreten Erfolg. Der Kunde darf erwarten, dass das vereinbarte Ergebnis erreicht wird.
Entspricht das Werk nicht den vereinbarten Anforderungen, können insbesondere Gewährleistungsrechte und unter weiteren Voraussetzungen Schadensersatzansprüche entstehen.
Beim Dienstvertrag schuldet der IT-Dienstleister dagegen keinen bestimmten Erfolg, sondern eine fachgerechte Tätigkeit.
Ein ausgebliebenes Projektergebnis führt beim Dienstvertrag nicht automatisch zu Schadensersatz. Maßgeblich ist, ob der IT-Dienstleister seine Tätigkeit sorgfältig und vertragsgemäß erbracht hat.
Ob ein Werkvertrag oder ein Dienstvertrag vorliegt, entscheidet häufig darüber, wann der IT-Dienstleister haftet. Die wichtigsten Unterschiede zeigt die folgende Übersicht.
| Werkvertrag | Dienstvertrag |
|---|---|
| Ein konkreter Erfolg wird geschuldet. | Eine fachgerechte Tätigkeit wird geschuldet. |
| Das Werk wird in der Regel abgenommen. | Eine Abnahme ist in der Regel nicht vorgesehen. |
| Ein mangelhaftes Ergebnis kann Gewährleistungsrechte auslösen. | Ein ausbleibender Erfolg allein begründet noch keine Pflichtverletzung. |
In unserem Überblick zu Dienstvertrag vs. Werkvertrag erfahren Sie, welche Unterschiede konkret bestehen und welche Vertragsform für Sinn sinnvoll sein kann.
Nicht nur die Vertragsart, sondern auch der konkrete Inhalt des IT-Projektvertrags spielt im Haftungsfall eine wichtige Rolle. Für die Beurteilung der Haftung kommt es vor allem darauf an, wie die folgenden Punkte im IT-Projektvertrag geregelt sind:
Unser Tipp: Formulieren Sie Leistungen und Verantwortlichkeiten so konkret wie möglich. Je weniger Interpretationsspielraum der Vertrag lässt, desto geringer ist das Risiko späterer Streitigkeiten.
Haftungsansprüche entstehen, wenn eine vertragliche Pflicht verletzt wird und dem Kunden dadurch ein Schaden entsteht. Die folgende Übersicht zeigt typische Fehler und ihre möglichen Folgen.
| Pflichtverletzung | Mögliche Folge |
|---|---|
| Fehlerhafte Softwareentwicklung | Kosten für Nachbesserung, Wiederherstellung oder Ersatzlösungen |
| Fehlerhafte Implementierung oder Konfiguration | Systemausfälle, Betriebsunterbrechungen oder Datenverluste |
| Fehlerhafte IT-Beratung | Finanzielle Nachteile aufgrund ungeeigneter technischer oder wirtschaftlicher Entscheidungen |
| Datenschutzverstöße | Schadensersatzansprüche betroffener Personen und gegebenenfalls Bußgelder |
| Unzureichende IT-Sicherheitsmaßnahmen | Schäden durch Cyberangriffe und daraus resultierende Ansprüche des Kunden |
| Überschrittene Projekttermine | Mehrkosten, Betriebsunterbrechungen oder Ansprüche wegen Projektverzögerungen |
Welche Ansprüche im Einzelfall bestehen, hängt immer von den vertraglichen Vereinbarungen sowie den konkreten Umständen des Projekts ab. Wie solche Fehler in realen Projekten entstehen und welche Folgen sie haben können, zeigen die typischen Schadensfälle aus der IT-Praxis.
IT-Dienstleister können ihr Haftungsrisiko durch klare Verträge, strukturierte Projektprozesse und organisatorische Maßnahmen deutlich reduzieren. Die folgenden Maßnahmen zeigen, worauf es dabei besonders ankommt.
Beschreiben Sie möglichst genau, welche Leistungen Sie erbringen und welches Ergebnis der Kunde erwarten kann.
Klare Leistungsbeschreibungen verringern den Interpretationsspielraum und erleichtern den Nachweis, ob die geschuldete Leistung erbracht wurde.
Legen Sie fest, welche Aufgaben Sie übernehmen und welche Mitwirkungspflichten der Kunde hat.
Eindeutig geregelte Verantwortlichkeiten helfen, Fehlerursachen zuzuordnen und die eigene Verantwortung von Versäumnissen des Kunden abzugrenzen.
Halten Sie neue Anforderungen, zusätzliche Leistungen und Änderungen am Projektumfang schriftlich fest.
Eine nachvollziehbare Änderungsdokumentation zeigt, welche Leistungen ursprünglich vereinbart und später ergänzt oder angepasst wurden.
Prüfen und testen Sie Software, Updates, Schnittstellen und Konfigurationen vor der Übergabe oder dem Produktivbetrieb.
Sorgfältige Tests und Prüfprozesse helfen, Fehler frühzeitig zu erkennen und Schäden beim Kunden zu vermeiden.
Dokumentieren Sie wichtige Entscheidungen, Hinweise, Freigaben und den Projektverlauf nachvollziehbar.
Eine vollständige Projektdokumentation erleichtert im Streitfall den Nachweis, welche Leistungen erbracht, welche Risiken angesprochen und welche Entscheidungen getroffen wurden.
Vereinbaren Sie rechtlich wirksame Haftungsregelungen, die zum Projekt und zum übernommenen Risiko passen.
Wirksame Haftungsbeschränkungen können die Höhe möglicher Ansprüche im rechtlich zulässigen Rahmen begrenzen. Pauschale Haftungsausschlüsse sind jedoch nicht immer wirksam. Haftungsklauseln sollten deshalb rechtlich geprüft werden.
Rund um die Haftung von IT-Dienstleistern halten sich einige falsche Annahmen. Die folgenden Irrtümer zeigen, wann IT-Dienstleister tatsächlich haften und wann nicht.
Irrtum 1: Jeder Softwarefehler führt automatisch zu Schadensersatz
Nicht jeder Softwarefehler führt automatisch zu Schadensersatz. Voraussetzung sind unter anderem ein konkreter Schaden, der ursächliche Zusammenhang und die Verantwortlichkeit des IT-Dienstleisters.
Irrtum 2: Ohne unterschriebenen Vertrag besteht keine Haftung
Ein Vertrag kann auch durch ein angenommenes Angebot, eine Beauftragung oder eine eindeutige Vereinbarung per E-Mail entstehen. Entscheidend ist, welche Leistungen und Pflichten vereinbart wurden.
Irrtum 3: Nach der Abnahme haftet der IT-Dienstleister nicht mehr
Die Abnahme beendet nicht automatisch sämtliche Ansprüche des Kunden. Zeigen sich später Mängel, können weiterhin Gewährleistungsrechte und unter weiteren Voraussetzungen Schadensersatzansprüche bestehen.
Irrtum 4: Die Haftung lässt sich vollständig ausschließen
Haftungsbeschränkungen sind nur innerhalb der gesetzlichen Grenzen wirksam. Pauschale Ausschlüsse können unwirksam sein und sollten deshalb rechtlich geprüft werden.
Eine IT-Haftpflichtversicherung schützt IT-Dienstleister vor den finanziellen Folgen beruflicher Fehler und übernimmt im vereinbarten Versicherungsumfang die Prüfung, Abwehr und Regulierung von Schadensersatzansprüchen.
Versichert werden können insbesondere Vermögensschäden, die Kunden oder anderen Dritten durch berufliche Fehler entstehen. Dazu können je nach Vertrag beispielsweise gehören:
Welche Versicherungssumme zum individuellen Risikoprofil passt, hängt unter anderem von Tätigkeit, Projektgröße und möglichen Schadenhöhen ab. Orientierung bietet der Beitrag zur Versicherungssumme für IT-Unternehmen.
Neben berechtigten Schadensersatzansprüchen können IT-Dienstleister auch mit unberechtigten Forderungen konfrontiert werden. Die IT-Haftpflicht prüft deshalb zunächst, ob und in welcher Höhe eine Haftung besteht.
Was eine IT-Haftpflicht dabei leisten sollte: Unberechtigte Ansprüche werden abgewehrt, bei Bedarf auch vor Gericht. Berechtigte Forderungen werden im vereinbarten Versicherungsumfang reguliert.
Die IT-Berufshaftpflicht deckt in erster Linie Vermögensschäden aus der beruflichen Tätigkeit ab.
Je nach Tätigkeitsprofil kann zusätzlicher Schutz für Personen- und Sachschäden, eigene Schäden durch Cybervorfälle sowie Schäden an Elektronik und Büroausstattung sinnvoll sein. Welche konkreten Risiken sich in IT-Projekten absichern lassen, erläutert der Beitrag zur Absicherung von Risiken in IT-Projekten.
Ein Fehlkonfiguration, eine fehlerhafte Beratung oder eine ausgefallene Software kann schnell hohe Kosten verursachen. Die IT-Haftpflichtversicherung von Hiscox schützt IT-Dienstleister vor den finanziellen Folgen beruflicher Fehler und unterstützt im Schadenfall mit Versicherungsschutz, der auf die Anforderungen der IT-Branche zugeschnitten ist.
Ob ein IT-Dienstleister haftet, hängt immer von den konkreten Umständen des Einzelfalls ab. Klare vertragliche Regelungen und eine sorgfältige Projektdokumentation schaffen Rechtssicherheit und können spätere Streitigkeiten vermeiden.
Eine IT-Haftpflichtversicherung ergänzt diesen Schutz, indem sie berechtigte Ansprüche reguliert und unberechtigte Forderungen abwehrt. So lassen sich typische Haftungsrisiken im IT-Alltag gezielt absichern.
Ja. Ein Vertrag muss nicht zwingend in einem unterschriebenen Dokument festgehalten sein. Verbindliche Vereinbarungen können beispielsweise durch ein angenommenes Angebot, eine Beauftragung oder einen eindeutigen Austausch per E-Mail entstehen. Für die Haftung ist entscheidend, welche Leistungen und Pflichten zwischen den Parteien vereinbart wurden.
Nein. Ein Schadensersatzanspruch setzt grundsätzlich voraus, dass eine vertragliche Pflicht verletzt wurde, dadurch ein Schaden entstanden ist und der IT-Dienstleister die Pflichtverletzung zu vertreten hat. Ein technischer Fehler ohne nachweisbare finanzielle oder sonstige ersatzfähige Folgen reicht daher nicht automatisch aus.
Grundsätzlich muss der Kunde die Voraussetzungen seines Schadensersatzanspruchs darlegen und beweisen. Dazu gehören insbesondere die Pflichtverletzung, der Schaden und der ursächliche Zusammenhang. Für die Frage, ob der IT-Dienstleister die Pflichtverletzung zu vertreten hat, enthält § 280 Abs. 1 BGB eine besondere gesetzliche Regelung.
Eine verspätete Leistung führt nicht in jedem Fall zu Schadensersatz. Relevant ist unter anderem, ob die Leistung fällig war, ein verbindlicher Termin bestand, die Verzögerung dem IT-Dienstleister zugerechnet werden kann und dem Kunden dadurch ein Schaden entstanden ist. Für Verzögerungsschäden müssen zusätzlich die Voraussetzungen des Verzugs erfüllt sein.
Ja, entgangener Gewinn kann grundsätzlich zu einem ersatzfähigen Schaden gehören. Der Kunde muss jedoch nachvollziehbar darlegen, dass ihm der erwartete Gewinn gerade wegen der Pflichtverletzung entgangen ist. Rein theoretische Umsatz- oder Gewinnerwartungen genügen für einen Schadensersatzanspruch nicht ohne Weiteres.
Hat der Kunde durch falsche Angaben, fehlende Freigaben oder verspätete Mitwirkung zum Schaden beigetragen, kann sich sein Anspruch verringern. Entscheidend ist, in welchem Umfang beide Seiten zur Entstehung oder Vergrößerung des Schadens beigetragen haben. Deshalb sollten Mitwirkungspflichten und Projektentscheidungen nachvollziehbar dokumentiert werden.
Bei einem Werkvertrag bestätigt der Kunde mit der Abnahme grundsätzlich, dass er die Leistung als vertragsgemäß anerkennt. An die Abnahme können wichtige Folgen für Vergütung, Mängelrechte und spätere Beweisfragen anknüpfen. Prüfkriterien, Testverfahren und Abnahmeprotokolle sollten deshalb bereits im Projektvertrag geregelt werden.
Ja. Die Abnahme beendet nicht automatisch sämtliche Ansprüche des Kunden. Treten später Mängel auf, können weiterhin Rechte auf Nacherfüllung, Minderung, Rücktritt oder unter weiteren Voraussetzungen Schadensersatz bestehen. Welche Rechte im Einzelfall greifen, hängt von der Vertragsart, dem Mangel und den konkreten Vereinbarungen ab.
Nicht immer. Bei einer nicht vertragsgemäßen Werkleistung muss der Kunde dem IT-Dienstleister häufig zunächst eine angemessene Frist zur Leistung oder Nacherfüllung setzen. Schadensersatz statt der Leistung kommt grundsätzlich erst infrage, wenn diese Frist erfolglos abläuft oder eine gesetzliche Ausnahme von der Fristsetzung besteht.
Maßgeblich ist, wodurch der spätere Fehler tatsächlich verursacht wurde. Beruht der Schaden auf einer eigenständigen Änderung der Software, Konfiguration oder Schnittstelle durch den Kunden, ist er dem IT-Dienstleister grundsätzlich nicht ohne Weiteres zuzurechnen. Versionsstände, Freigaben und nachträgliche Änderungen sollten deshalb lückenlos dokumentiert werden.
Ein Cyberangriff allein begründet noch keine Haftung des IT-Dienstleisters. Ein Anspruch kann entstehen, wenn vereinbarte Sicherheitsmaßnahmen nicht fachgerecht umgesetzt wurden und gerade diese Pflichtverletzung den Schaden verursacht hat. Entscheidend sind der vertraglich geschuldete Sicherheitsstandard, die Aufgabenverteilung und die konkrete Ursache des Vorfalls.
Eine Haftung kann entstehen, wenn ein IT-Dienstleister datenschutzrechtliche oder vertragliche Pflichten verletzt und dadurch ein materieller oder immaterieller Schaden verursacht wird. Artikel 82 DSGVO sieht Schadensersatzansprüche gegen Verantwortliche und unter bestimmten Voraussetzungen auch gegen Auftragsverarbeiter vor. Entscheidend ist die jeweilige Verantwortung für den Verstoß.
Grundsätzlich kann ein IT-Dienstleister auch für Personen verantwortlich sein, die er zur Erfüllung seiner vertraglichen Pflichten einsetzt. Nach § 278 BGB muss sich ein Unternehmen das Verschulden sogenannter Erfüllungsgehilfen grundsätzlich wie eigenes Verschulden zurechnen lassen. Die Aufgabenverteilung mit Mitarbeitern und Subunternehmern sollte deshalb eindeutig geregelt werden.
Auch beim Einsatz von KI richtet sich die Haftung danach, welche Leistung vereinbart wurde und wer Auswahl, Entwicklung, Implementierung, Prüfung oder Überwachung übernommen hat. Ein IT-Dienstleister kann beispielsweise verantwortlich sein, wenn unzureichende Tests, eine fehlerhafte Integration oder eine falsche Beratung den Schaden verursacht haben. Die Verantwortung lässt sich nicht dem KI-System selbst zuweisen.
Haftungsbeschränkungen in Allgemeinen Geschäftsbedingungen sind grundsätzlich möglich, müssen aber gesetzlichen Anforderungen entsprechen. Unklare oder unangemessen benachteiligende Klauseln können unwirksam sein. Bestimmte Haftungsausschlüsse, etwa bei Schäden an Leben, Körper oder Gesundheit sowie bei grobem Verschulden, unterliegen besonders engen Grenzen.
Experte für IT-Risiken & Versicherungslösungen für die Digitalwirtschaft
Marc Thamm ist seit 1992 in der Versicherungsbranche – seit 2004 mit Fokus auf IT-Risiken – tätig. Er arbeitet seit 2013 bei Hiscox. Als Product Head Technology & General Liability bei Hiscox entwickelt er Versicherungslösungen für die IT-, Media- und weitere Branchen der Digitalwirtschaft. Im Bereich Business Tipps & Insights schreibt er unter anderem über das spannende Thema Projekt-Risiken.
