Ranek dnia roboczego, system nie odpowiada. Zamówienia nie przechodzą, zespół czeka, a odpowiedź z działu wsparcia brzmi z grubsza tak: „Awaria jest przykra, ale nasze warunki wyłączają odpowiedzialność." Właśnie w tej chwili rozstrzyga się, ile Państwa umowa cloud albo SaaS naprawdę jest warta. Bo wbrew temu, co wielu przyjmuje, bieżące korzystanie z oprogramowania z chmury jest według niemieckiego prawa (BGB) najczęściej umową najmu (Mietvertrag) — a wynajmujący jest zobowiązany, żeby rzecz działała przez cały czas trwania umowy. Czy kupują Państwo usługę, czy sami ją oferują: kto wie, jaki typ umowy obowiązuje, która klauzula wytrzyma przy awarii i gdzie trzeba współmyśleć ochronę danych, negocjuje z innej pozycji — przed podpisem i w sporze.
Aplikacja jest godzinami niedostępna, Państwa działalność stoi, a dostawca powołuje się na ryczałtowe wyłączenie odpowiedzialności w swoich warunkach. Dla Państwa rozstrzyga to, że bieżące korzystanie jest według niemieckiego prawa najczęściej najmem: dostawca jest zobowiązany do dostępności, a to, czy jego wyłączenie w ogóle pokrywa awarię, jest kwestią kontroli OWU — nie uprzejmego sformułowania w zgłoszeniu do wsparcia.
Stosunek umowny ma się skończyć, ale eksport Państwa danych nie jest w umowie czysto uregulowany albo dostawca uzależnia go od dodatkowych kosztów. Kto przy zmianie nie dostaje się do własnych danych, jest faktycznie związany. Zwrot i usunięcie Państwa danych po zakończeniu umowy to punkt, który należy do umowy — zanim będzie potrzebny, nie potem.
Jako dostawca wpisali Państwo do swoich warunków zapewnienia dostępności, granice odpowiedzialności i okna serwisowe. Pytanie brzmi, czy te klauzule utrzymają się w razie potrzeby — zwłaszcza ograniczenie odpowiedzialności. Co sięga za daleko, odpada w kontroli treści w całości, i wtedy odpowiadają Państwo według ustawy bez ograniczenia. Klauzula, która się utrzyma, chroni Państwa bardziej niż taka, która brzmi twardo tylko na papierze.
Najważniejszą zwrotnicę w umowie cloud ustawiają Państwo, zanim spór dotknie pojedynczej klauzuli — przy pytaniu, o jaki typ umowy w ogóle chodzi. Bo niemieckie prawo nie zna osobnej „umowy cloud"; przyporządkowuje świadczenie jednemu z klasycznych typów, a od tego zależą Państwa prawa.
Dla bieżącego korzystania — oprogramowanie działa na serwerze dostawcy, sięgają Państwo do niego online i płacą za to powracające wynagrodzenie — punktem ciężkości jest z reguły umowa najmu (Mietvertrag). Przez nią wynajmujący jest zobowiązany, żeby zapewnić najemcy korzystanie z rzeczy w czasie trwania najmu, wydać ją w stanie zdatnym do umownego użytku i utrzymywać ją w tym stanie przez czas trwania najmu; najemca jest za to zobowiązany zapłacić uzgodniony czynsz (§ 535 BGB). Niemiecki Federalny Trybunał Sprawiedliwości (BGH) orzekł co do umowy ASP — poprzednika dzisiejszego SaaS — że czasowe udostępnienie standardowego oprogramowania za wynagrodzeniem podlega prawu najmu (BGH, wyrok z 15.11.2006 – XII ZR 120/04). Dla Państwa tkwi w tym centralne przesłanie: dostawca jest zobowiązany nie tylko do jednorazowego udostępnienia, lecz do bieżącej sprawności przez cały czas trwania umowy.
Na tym umowa cloud się jednak nie kończy, bo często wiąże ona kilka świadczeń — i wtedy zachodzi mieszanka typów (Typenmix):
Dlaczego to praktycznie się liczy: przy umowie o dzieło mogą Państwo przy wadach żądać usunięcia wady, wykonania zastępczego, odstąpienia i obniżenia; przy umowie o świadczenie usług na pierwszym planie stoi prawidłowa czynność, nie wynik; przy najmie wynagrodzenie obniża się przy wadach samo z siebie. Kto to przyporządkowanie trafi czysto, wie przy zakłóceniu od razu, jakie ma prawa — a dostawca wie, co jest zobowiązany świadczyć.
Z praktyki Proszę pozwolić rozłożyć umowę na jej klocki świadczeniowe i przyporządkować każdemu właściwy typ — już przy kształtowaniu. Dobra umowa cloud wyraźnie nazywa, co jest korzystaniem (najem), co jednorazowym wynikiem (dzieło) i co bieżącą czynnością (usługa). Oszczędza to Państwu w sporze zasadniczej debaty o to, jakie reguły w ogóle obowiązują — i kieruje ją wprost na to, na czym zależy.
Ponieważ bieżące korzystanie jest najmem, przy awarii i wadliwym działaniu obowiązują prawa z tytułu wady najmu (Mietmängelrechte) — a dla Państwa jako klientów są one często korzystniejsze, niż każą przypuszczać OWU dostawcy. Jeśli rzecz najęta ma wadę, która znosi jej przydatność do umownego użytku, najemca jest za ten czas zwolniony z czynszu; jeśli przydatność jest tylko obniżona, jest zobowiązany tylko do stosownie obniżonego czynszu (§ 536 ust. 1 BGB). To obniżenie następuje z mocy prawa — nie zależy od tego, czy klauzula SLA przewiduje „kredyt serwisowy".
Jedną granicę ustawa nazywa jednak sama: nieznaczne obniżenie przydatności pozostaje bez uwzględnienia (§ 536 ust. 1 zd. 3 BGB). Krótka, bezskutkowa czkawka usługi nie niesie zatem jeszcze obniżenia czynszu. Przy wielogodzinnej całkowitej awarii w rdzeniu Państwa działalności wygląda to inaczej — tu przydatność za czas awarii jest zniesiona albo wyraźnie obniżona.
Dla kształtowania umowy wynika z tego podwójne spojrzenie. Jako klient powinni Państwo zwrócić uwagę, żeby SLA — zapewnienie dostępności i reakcji — nie podkopywało po cichu Państwa ustawowych praw: klauzula, która zamiast ustawowego obniżenia obiecuje tylko mały ryczałtowy kredyt i wszystko dalsze wyłącza, jest jako OWU zaskarżalna. Jako dostawca powinni Państwo odwrotnie wiedzieć, że realistycznie wymierzona dostępność z jasnymi oknami serwisowymi i stopniowanymi skutkami ma większą trwałość niż zapewnienie, którego w razie potrzeby nie utrzymają Państwo — i które kończy się wtedy jako nadmierne związanie samego siebie albo jako bezskuteczne wyłączenie.
Z praktyki Proszę dokumentować awarie od pierwszej chwili: moment, czas trwania, dotknięte funkcje, wpływ na Państwa działalność. Ten zapis jest w sporze o obniżenie albo o szkodę Państwa najważniejszym środkiem dowodowym — i pokazuje drugiej stronie, że traktują Państwo sprawę poważnie. Proszę nie polegać na pamięci z gorączkowej rozmowy telefonicznej w kryzysie.
Sercem niemal każdego sporu o chmurę jest klauzula odpowiedzialności — zdanie, którym dostawca chce przy awarii ograniczyć swoją odpowiedzialność. Także w obrocie między przedsiębiorcami takie z góry sformułowane klauzule podlegają kontroli treści (Inhaltskontrolle): postanowienia w ogólnych warunkach handlowych są bezskuteczne, jeśli wbrew wymogom dobrej wiary rażąco niekorzystnie kształtują sytuację partnera umownego; rażąco niekorzystne ukształtowanie należy w razie wątpliwości przyjąć, gdy klauzula ogranicza istotne prawa albo obowiązki tak, że zagraża osiągnięciu celu umowy (§ 307 ust. 1 i 2 BGB).
Dla obrotu między przedsiębiorcami obowiązuje ważne przesunięcie: surowe konsumenckie zakazy klauzul (§ 309 BGB) — wśród nich zakaz wyłączania odpowiedzialności za rażące zawinienie albo za życie, ciało i zdrowie — nie znajdują wobec przedsiębiorcy bezpośredniego zastosowania. Ale § 307 ust. 1 i 2 BGB obowiązuje także w tym zakresie, w jakim prowadzi do bezskuteczności takich klauzul; przy tym należy stosownie uwzględniać zwyczaje obowiązujące w obrocie handlowym (§ 310 ust. 1 BGB). To znaczy: co wobec konsumentów jest wyraźnie zakazane, działa w B2B jako silna wskazówka (Indiz) rażąco niekorzystnego ukształtowania. Wyłączenie odpowiedzialności, które obejmuje też rażące zawinienie albo naruszenie istotnych obowiązków umownych, z reguły dlatego nie utrzymuje się także między przedsiębiorcami.
Praktycznie znaczy to: klauzula odpowiedzialności może ograniczać, ale nie wydrążać rzeczy istotnej. Nie może wyłączać odpowiedzialności za naruszenie właśnie tych obowiązków, na których wypełnienie umowa akurat celuje — przy usłudze cloud więc udostępnienia i dostępności. I musi być jasna oraz zrozumiała, bo także brak przejrzystości może być rażąco niekorzystnym ukształtowaniem (§ 307 ust. 1 zd. 2 BGB). Jeśli klauzula sięga za daleko, odpada w całości — i obowiązuje nieograniczona ustawowa odpowiedzialność. Dla dostawcy zbyt ostra klauzula jest tym samym groźniejsza niż umiarkowana.
Z praktyki Proszę badać klauzulę odpowiedzialności zawsze z obu ról. Jako klient proszę zapytać: czy wyłącza szkody, które przy awarii naprawdę mnie dotykają — a więc pokrywa za dużo, żeby być skuteczną? Jako dostawca proszę zapytać: czy moje ograniczenie utrzyma się w kontroli treści, czy ryzykuję, że na końcu nie zostanie żadna granica? Kontrolę OWU między przedsiębiorcami w szczegółach pogłębia nasz poradnik o ogólnych warunkach handlowych B2B w Niemczech; jak zwrotnica typu umowy łączy się z ograniczeniem odpowiedzialności przy umowach o oprogramowanie, pokazuje nasz poradnik o licencji na oprogramowanie w Niemczech.
Kto korzysta z usługi cloud, z reguły oddaje w obce ręce dane osobowe — swoich klientów, pracowników, dostawców. Prawnie dostawca przetwarza te dane najczęściej jako podmiot przetwarzający (Auftragsverarbeiter): działa na zlecenie i według instrukcji, sam nie decydując o celach i środkach. Właśnie na to prawo ochrony danych wymaga podstawy umownej — umowy powierzenia przetwarzania danych. Przetwarzanie przez podmiot przetwarzający musi opierać się na umowie, która określa przedmiot, czas trwania, charakter i cel przetwarzania, rodzaj danych oraz obowiązki i prawa administratora; umowa musi mieć formę pisemną, w tym formę elektroniczną (Art. 28 ust. 3 i 9 DSGVO).
Dla Państwa jako przedsiębiorstwa odpowiedzialnego (administratora) nie jest to formalność na marginesie, lecz obowiązek: jeśli umowy powierzenia brakuje albo jest niekompletna, to Państwo naruszają DSGVO, nie tylko dostawca. Dlatego ten punkt należy już do negocjacji umowy — nie jako dostarczony później dodatek. Szczegóły tej umowy są osobnym, obszernym tematem; tu liczy się najpierw, że w ogóle istnieje i pasuje do konkretnego świadczenia cloud.
Dochodzi pytanie o lokalizację serwera. Jeśli Państwa dane są przetwarzane poza UE — np. w centrum danych w państwie trzecim — taki transfer jest dopuszczalny tylko przy dodatkowych warunkach rozdziału o transferach do państw trzecich (Art. 44 i nast. DSGVO). To pole prawnie wymagające, które stale się rozwija; czy i jak konkretny transfer da się zabezpieczyć, jest kwestią indywidualnego przypadku i aktualnie obowiązujących warunków ramowych. Dla kształtowania umowy znaczy to: proszę wyjaśnić miejsce przetwarzania i jego zabezpieczenie, zanim Państwo podpiszą.
Z praktyki Proszę uczynić umowę powierzenia przetwarzania danych warunkiem, nie ozdobą. Proszę zapytać przed podpisem, gdzie leżą Państwa dane i kto poza dostawcą ma jeszcze dostęp — łącznie z podwykonawcami przetwarzania (Unterauftragsverarbeiter). I proszę wyraźnie uregulować, co dzieje się na końcu: zwrot i usunięcie Państwa danych po zakończeniu umowy. Kto dopiero przy zmianie zauważa, że dane nie wychodzą czysto, traci czas i siłę negocjacyjną.
Obok typu umowy, odpowiedzialności i ochrony danych o tym, czy umowa cloud utrzyma się w codzienności, rozstrzyga kilka dalszych punktów. W kształtowaniu kosztują mało trudu, a później oszczędzają wiele sporu.
Opis świadczenia i dostępność: co dokładnie usługa potrafi i jak wysoka jest zapewniona dostępność, należy jasno i mierzalnie do umowy — z określonymi oknami serwisowymi i czasami reakcji. Mgliste „wysoka dostępność" nie pomaga przy awarii nikomu. Zmiany usługi: oprogramowanie cloud jest stale rozwijane; umowa powinna regulować, czy i jak dostawca może zmieniać zakres funkcji i co obowiązuje, gdy odpada funkcja, na której Państwo polegają.
Zmiana ceny i czas trwania: przy zobowiązaniach trwałych reguły dostosowania ceny są zwyczajne — muszą jednak być przejrzyste i stosowne, inaczej są jako OWU zaskarżalne. Proszę zwracać uwagę także na czas trwania, przedłużenie i terminy wypowiedzenia, żeby nie wpaść niechcący w automatyczne przedłużenie. Eksport danych i koniec umowy: proszę uregulować, w jakim formacie i jak długo po zakończeniu umowy mogą Państwo eksportować swoje dane — płynne wyjście jest tak samo ważne jak wejście. Gdzie chodzi o wiedzę wartą ochrony, którą ujawniają Państwo dostawcy, umowę flankuje czysta klauzula poufności; jak zbudowana jest odporna klauzula o tajemnicy przedsiębiorstwa w Niemczech, pokazuje powiązany poradnik.
Z praktyki Proszę uporządkować te punkty według swojego rzeczywistego ryzyka: usługa, na której wisi Państwa działalność podstawowa, potrzebuje twardych reguł dostępności i wyjścia; narzędzie poboczne znosi warunki szczuplejsze. Sztuką nie jest najdłuższa umowa, lecz taka, która ostro reguluje dokładnie te punkty, w których u Państwa w razie potrzeby zgrzyta.
Proszę rozłożyć umowę cloud na jej świadczenia i przyporządkować każde: bieżące korzystanie = najczęściej najem (§ 535 BGB), jednorazowe wdrożenie/migracja = często dzieło (§ 631 BGB), bieżące wsparcie/eksploatacja = najczęściej usługa (§ 611 BGB). Dopiero to przyporządkowanie mówi Państwu, jakie prawa mają Państwo przy zakłóceniu.
Proszę utrwalić moment, czas trwania i wpływ każdej awarii. Ponieważ korzystanie jest najmem, wynagrodzenie obniża się przy zniesionej albo obniżonej przydatności z mocy prawa (§ 536 BGB) — Państwa dokumentacja jest na to dowodem, niezależnie od kredytu z SLA.
Proszę zapytać, czy wyłączenie odpowiedzialności obejmuje też istotne obowiązki umowne albo rażące zawinienie — wtedy jest przez § 307 BGB (z siłą wskazówki § 309 BGB przez § 310 ust. 1 BGB) zaskarżalne i odpada w całości. Jako dostawca proszę formułować umiarkowanie, żeby w ogóle została jakaś granica.
Proszę nalegać na pasującą umowę powierzenia przetwarzania danych (Art. 28 DSGVO) i wyjaśnić lokalizację serwera; jeśli leży w państwie trzecim, proszę sprawdzić zabezpieczenie transferu (Art. 44 i nast. DSGVO). Bez tej umowy sami naruszają Państwo DSGVO.
Proszę uregulować eksport danych, usunięcie po zakończeniu umowy, czas trwania i terminy wypowiedzenia, póki mają Państwo jeszcze siłę negocjacyjną. Kto o wyjściu myśli dopiero przy zmianie, jest faktycznie związany — i płaci za to.
Pierwszy, rozstrzygający krok — przejrzeć przedłożoną umowę cloud albo SaaS pod kątem mieszanki typów, klauzul odpowiedzialności i SLA oraz wymogów ochrony danych — kosztuje przede wszystkim staranność, nie majątek. Czy ponadto opłaca się gruntowne przepracowanie, własny wzór umowy dla Państwa oferty albo dochodzenie praw po awarii, zależy od tego, jak bardzo Państwa działalność wisi na usłudze, jak wysokie jest możliwe ryzyko i jak wygląda sytuacja negocjacyjna. Często już czysta kontrola przed podpisem zapobiega drogiemu sporowi po nim — bo krytyczne klauzule są rozpoznane i uregulowane, zanim obrócą się przeciw Państwu.
Stałych cen ryczałtowych świadomie nie podajemy: co jest adekwatne, da się rzetelnie powiedzieć dopiero wtedy, gdy umowa, włączone warunki i Państwa konkretna sytuacja korzystania leżą na stole. Poznają Państwo rząd wielkości, gdy tylko poznamy Państwa sprawę — wraz z uczciwą pierwszą oceną, które punkty trzeba uregulować ostro, a które mogą Państwo spokojnie zostawić. Jeśli druga strona stawia się w niesłuszności, z reguły w rezultacie ponosi też koszty dochodzenia praw.
W swoim rdzeniu — korzystanie z oprogramowania na czas za powracającym wynagrodzeniem — jest według niemieckiego prawa najczęściej umową najmu (Mietvertrag) (§ 535 BGB); BGH orzekł tak co do umowy ASP (BGH, wyrok z 15.11.2006 – XII ZR 120/04). Często zachodzi jednak mieszanka typów: wdrożenie/migracja może być umową o dzieło (§ 631 BGB), bieżąca eksploatacja i wsparcie umową o świadczenie usług (§ 611 BGB). Jakie reguły obowiązują przy zakłóceniu, zależy od tego przyporządkowania — dlatego stoi ono na początku.
Ponieważ bieżące korzystanie jest najmem, obowiązuje: jeśli przydatność za czas awarii była zniesiona, są Państwo w tym zakresie zwolnieni z wynagrodzenia; jeśli była tylko obniżona, są Państwo zobowiązani tylko do stosownie obniżonego wynagrodzenia (§ 536 ust. 1 BGB). Nieznaczne obniżenie pozostaje jednak bez uwzględnienia. To obniżenie następuje z mocy prawa — niezależnie od tego, co klauzula SLA przewiduje jako kredyt. Proszę dokładnie udokumentować awarię.
Nie bez granic. Także w obrocie między przedsiębiorcami klauzule odpowiedzialności podlegają kontroli treści (§ 307 BGB). Konsumenckie zakazy klauzul (§ 309 BGB) nie obowiązują między przedsiębiorcami wprost, ale przez § 310 ust. 1 BGB działają jako silna wskazówka. Wyłączenie, które obejmuje też rażące zawinienie albo naruszenie istotnych obowiązków umownych — np. udostępnienie usługi — z reguły dlatego się nie utrzymuje i odpada wtedy w całości.
Z reguły tak. Dostawca przetwarza Państwa dane osobowe najczęściej jako podmiot przetwarzający; na to DSGVO wymaga umowy powierzenia przetwarzania danych z określonym przedmiotem, celem i obowiązkami administratora (Art. 28 ust. 3 DSGVO). Jeśli jej brakuje, to Państwo jako administrator naruszają DSGVO. Jeśli serwery leżą poza UE, dochodzi dodatkowo pytanie o transfer do państw trzecich (Art. 44 i nast. DSGVO).
To powinna umowa wyraźnie regulować — a często tego nie robi. Proszę wyjaśnić przed podpisem, w jakim formacie i jak długo po zakończeniu umowy mogą Państwo eksportować swoje dane i kiedy dostawca je usuwa. Kto dopiero przy zmianie zauważa, że do własnych danych nie dostaje się czysto, jest faktycznie związany. Wyjście należy tak wcześnie do negocjacji jak wejście.
Odezwiemy się do Państwa — zwykle w ciągu 24 godzin, w dni robocze gwarantowane w ciągu 48. Właśnie gdy umowa czeka na podpis albo awaria właśnie trwa, liczy się każdy dzień — proszę opisać sprawę raczej wcześniej niż później.
„Najdroższy błąd przy umowie cloud to uważać ją za czyste IT. Prawnie bieżące korzystanie jest najczęściej najmem — dostawca jest zobowiązany, żeby usługa działała, a jego wyłączenie odpowiedzialności stoi na próbie, gdy tylko sięga za daleko. Kto mieszankę typów, odpowiedzialność i ochronę danych wyjaśni przed podpisem, nie spiera się później o to, co w ogóle było należne", mówi adwokat Sebastian Müller.
Proszę opisać krótko, o co chodzi — czy chcą Państwo dać do sprawdzenia umowę cloud albo SaaS, ukształtować własną, czy po awarii dochodzić swoich praw. Otrzymają Państwo pierwszą ocenę. Odezwiemy się do Państwa — zwykle w ciągu 24 godzin, w dni robocze gwarantowane w ciągu 48.
Opisz swoją sprawę