Du hast gekündigt. Der neue Dienstleister steht bereit und braucht drei Dinge: den Zugang zur Domainverwaltung, den Zugang zum Server und eine Liste dessen, was dort überhaupt läuft.
Der alte Dienstleister antwortet nicht mehr. Oder er antwortet und sagt, die Zugänge seien seine.
An diesem Punkt fangen die meisten Betriebe an zu verhandeln, obwohl sie einen Anspruch haben. Andere pochen auf einen Anspruch, den es nicht gibt. Beides kostet Wochen, in denen der Wechsel stillsteht.
Es lohnt sich deshalb, die drei Gruppen zu trennen: Was dir geschuldet wird, was du selbst in der Hand hast, und was auch mit dem besten Anspruch nicht mehr zurückkommt.
Der Anspruch steht im Auftragsrecht, nicht im IT-Vertrag
Die tragende Vorschrift ist § 667 BGB. Sie verpflichtet den Beauftragten, dem Auftraggeber „alles, was er zur Ausführung des Auftrags erhält und was er aus der Geschäftsbesorgung erlangt", herauszugeben.
Daneben steht § 666 BGB: Auskunft über den Stand des Geschäfts auf Verlangen, und nach der Ausführung Rechenschaft.
Beide Paragrafen stehen im Auftragsrecht, und ein IT-Betreuungsvertrag ist in der Regel kein Auftrag in diesem Sinn, sondern ein Dienst- oder Werkvertrag. Die Brücke schlägt § 675 Absatz 1 BGB: Auf einen Dienst- oder Werkvertrag, der eine Geschäftsbesorgung zum Gegenstand hat, sind unter anderem die §§ 665 bis 670 entsprechend anzuwenden. Darin stecken § 666 und § 667.
Ob dein Vertrag eine Geschäftsbesorgung zum Gegenstand hat, entscheidet sich am Einzelfall und am Wortlaut. Wer fremde Konten anlegt, fremde Domains verwaltet und fremde Verträge abschließt, besorgt ein Geschäft. Wer einmalig eine Webseite baut, eher nicht.
Was „alles, was er erlangt" praktisch bedeutet
Herausgabefähig ist, was beim Dienstleister nur deshalb liegt, weil er für dich gearbeitet hat:
- Zugangsdaten zu Konten, die auf deinen Namen oder deine Firma laufen
- die AuthInfo deiner Domain und der Inhabereintrag
- die DNS-Einträge, also welcher Name wohin zeigt
- Lizenz- und Produktschlüssel, die du bezahlt hast
- Zertifikate und die dazugehörigen privaten Schlüssel
- eine Aufstellung dessen, was auf welchem System läuft — das ist die Rechenschaft aus § 666 BGB
Nicht herausgabefähig ist, was ihm gehört: seine Server, sein Überwachungssystem, seine internen Werkzeuge, seine Skripte und Bausteine. Daran hast du ein Nutzungsrecht oder keines, und das ist eine andere Frage — welche, steht hier.
Bei personenbezogenen Daten entscheidest du
Für alles, was personenbezogene Daten sind — Kundendaten, Postfächer, Bewerbungen, Zeiterfassung — gilt zusätzlich Artikel 28 Absatz 3 Buchstabe g DSGVO. Der Auftragsverarbeiter muss „nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten nach Wahl des Verantwortlichen entweder löschen oder zurückgeben", sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.
Zwei Dinge daran sind wichtig. Erstens: Die Wahl zwischen Löschen und Zurückgeben liegt bei dir, nicht bei ihm. Zweitens: Diese Pflicht muss im Auftragsverarbeitungsvertrag stehen, denn Artikel 28 verlangt sie als Vertragsinhalt. Wenn es keinen gibt, fehlt dir beim Wechsel genau das Papier, auf das du zeigen könntest — wann du einen brauchst.
Das Recht auf Datenübertragbarkeit hilft dir hier nicht
Artikel 20 DSGVO klingt wie gemacht für diesen Fall, passt aber nicht. Das Recht steht dort der „betroffenen Person" zu, also dem Menschen, dessen Daten verarbeitet werden. Dein Betrieb ist in diesem Verhältnis der Verantwortliche. Du kannst dich darauf nicht berufen.
Die Domain hängt an der AuthInfo, nicht am Dienstleister
Hier ist die Lage besser als die meisten erwarten. Nach der DENIC gilt für .de-Domains: Als Domaininhaber kannst du deinen Provider jederzeit wechseln. Der Wechsel läuft über das AuthInfo-Verfahren, ein Passwort von acht bis sechzehn Zeichen, das nach 30 Tagen verfällt.
Im Normalfall beauftragst du deinen bisherigen Provider, eine AuthInfo zu erstellen. Er übermittelt sie verschlüsselt an die DENIC und teilt sie dir mit. Du gibst sie dem neuen Provider, der damit den Wechselantrag stellt. Bei Übereinstimmung zieht die Domain sofort um.
Der interessante Fall ist der zweite, den die DENIC ausdrücklich beschreibt: Ist dein Provider nicht aktiv, beantragt der neue Provider die AuthInfo direkt bei der DENIC. Die DENIC schickt sie dann per Einschreiben an die Adresse, die in den Domain-Daten hinterlegt ist.
Eine offene Rechnung ändert die Lage
Wer noch Geld bekommt, darf die Herausgabe unter Umständen verweigern. § 273 Absatz 1 BGB gibt dem Schuldner ein Zurückbehaltungsrecht, wenn er „aus demselben rechtlichen Verhältnis" einen fälligen Anspruch gegen dich hat.
Zwei Einschränkungen stehen im selben Paragrafen. Der Anspruch muss aus demselben Verhältnis stammen — eine offene Rechnung aus einem anderen Projekt trägt das nicht ohne weiteres. Und nach § 273 Absatz 3 BGB kannst du die Ausübung durch Sicherheitsleistung abwenden; durch einen Bürgen allerdings nicht.
Praktisch heißt das: Strittige Rechnungen klärst du vor der Kündigung, nicht parallel zur Übergabe. Sonst verhandelst du über Geld und Zugänge gleichzeitig, und das verlierst du meistens.
Was auch mit Anspruch verloren ist
Drei Dinge holt kein Paragraf zurück.
Verlaufsdaten in fremden Konten. Läuft das Werbe- oder Statistikkonto unter dem Konto deines Dienstleisters, bekommst du vielleicht einen Export, aber nicht die Historie im Konto selbst.
Gelöschte Postfächer. Nach Vertragsende und Ablauf der Aufbewahrung beim Anbieter ist eine Mailbox weg. Eine Sicherung, die auf deiner Seite liegt, ist deshalb vor dem Wechsel anzulegen und nicht danach.
Wissen, das nie aufgeschrieben wurde. Welcher Cronjob warum läuft, welche Firewallregel wofür steht. § 666 BGB verschafft dir Rechenschaft, aber keine Dokumentation, die es nie gab.
Was jetzt zu tun ist
Die saubere Lösung steht nicht im Streitfall, sondern im Vertrag. Das BSI formuliert es im IT-Grundschutz-Baustein OPS.2.3 als Basis-Anforderung A7: Für geplante und ungeplante Beendigungen müssen Regelungen getroffen werden, und es muss festgelegt sein, wie alle Informationen, Daten und Hardware zurückgegeben werden. Dieselbe Quelle nennt die Gefahr dazu: Fehlen diese Regelungen, werden Hardware, Daten und Zugänge nicht ordnungsgemäß übergeben.
Vier Schritte, in dieser Reihenfolge:
- Inhabereintrag prüfen. Wer steht bei der Domain? Das entscheidet, wohin die AuthInfo geht.
- AuthInfo zuerst anfordern, noch vor dem Rest. Sie verfällt nach 30 Tagen, also nicht zu früh.
- Schriftlich und mit Frist herausverlangen, unter Nennung von § 666 und § 667 BGB sowie — für personenbezogene Daten — Artikel 28 Absatz 3 Buchstabe g DSGVO. Eine Liste wirkt besser als „alle Zugänge".
- Beim nächsten Vertrag vorne klären, was bei Vertragsende passiert. Das ist derselbe Punkt, der auch in einen Wartungsvertrag gehört.
Wer die IT eines Betriebs übernimmt, sollte die Übergabe an den Nächsten schon mitdenken. Genau so halten wir es in der Betreuung kleiner Betriebe: Zugänge liegen beim Kunden, nicht bei uns.
Dieser Beitrag ordnet die Rechtslage ein, er ersetzt keine Beratung. Ob dein Vertrag eine Geschäftsbesorgung ist, ob ein Zurückbehaltungsrecht greift und wie eine Frist zu setzen ist, gehört im Streitfall zu einem Anwalt.