Software-, SaaS- und
Cloud-Verträge

Bei Softwareverkauf, befristeter Lizenz, nutzerbasiertem SaaS, transaktionsbasiertem Entgelt, Freemium, Plattform, API, White Label, verwaltetem Dienst, IaaS, PaaS oder einem Hybridmodell werden die Parteien und die Leistungen bestimmt. Es wird gesondert geprüft, ob die Einnahmen aus Lizenz, Abonnement, Nutzung, Provision, Wartung, Implementierung oder einem Datendienst stammen. Ob der Kunde Unternehmenskunde oder Verbraucher ist, ob der Dienst in der Türkei oder im Ausland erbracht wird und ob er sich an eine regulierte Branche richtet, wird in die Pflichtenmatrix eingetragen. Das Ergebnis ist eine rechtliche Geschäftsmodell-Übersicht, die das Vertragswerk, die Nutzungsbedingungen, die Datenrolle, die Struktur der Rechte des geistigen Eigentums, die Sicherheitsanlage und die regulatorischen Anforderungen zeigt.

Angebotsanfrage, technisches Angebot, Preisangebot, Absichtserklärung, Geheimhaltungsvereinbarung, Testumgebung und Proof-of-Concept-Phase werden vor dem Hauptvertrag geprüft. Verbindliche und unverbindliche Bestimmungen werden im Hinblick auf Kosten, Exklusivität, Rechte des geistigen Eigentums, Datennutzung, Testergebnisse, Vertraulichkeit und das Ende der Gespräche unterschieden. Es wird bestimmt, wie vom Lieferanten abgegebene Sicherheits-, Leistungs- oder Compliance-Erklärungen in den Hauptvertrag übernommen werden. Damit sich E-Mails und Präsentationen vor Vertragsschluss nicht zu einer weitreichenden Zusage entwickeln, werden eine Rangfolge der Unterlagen und eine Ordnung für befugte Erklärungen eingerichtet.

Anforderungsanalyse, technische Architektur, Design, Programmierung, Test, Installation, Datenübernahme, Schulung, Go-live, Support und Wartung werden in getrennte Übergabeeinheiten umgewandelt. Funktionale und nichtfunktionale Anforderungen werden zusammen mit Leistung, Sicherheit, Barrierefreiheit, Browser- oder Gerätekompatibilität und Integrationen festgehalten. Projektzeitplan, Abhängigkeiten, Mitwirkung des Kunden, Verzug, Abnahme, Fehlerklassen und Zahlungsmeilensteine werden miteinander verknüpft. Quellcode, Repository-Verlauf, Installationsskripte, Datenschema, Verwaltungsoberfläche und technische Dokumentation werden ausdrücklich in den Übergabeumfang einbezogen.

In Projekten mit agiler Methode lässt sich der gesamte Umfang möglicherweise nicht von Anfang an festlegen; das erfordert jedoch nicht, die Maßstäbe für Übergabe und Zahlung unklar zu lassen. Product Backlog, Sprint-Ziel, Abnahmekriterium, Teamkapazität, tägliche oder stündliche Aufzeichnung, Priorisierungsbefugnis und Definition of Done werden im Vertrag festgelegt. Elemente mit Festpreis werden von Arbeiten nach Zeit und Material getrennt. Die Rolle des Product Owners auf Kundenseite, die Rückmeldefrist und die Auswirkung einer verspäteten Entscheidung auf den Zeitplan werden bestimmt. Am Ende eines Sprints werden die Lauffähigkeit der Version sowie die Zugänglichkeit von Code-Repository und Aufzeichnungen regelmäßig überprüft.

Umfasst das Technologieverhältnis mehrere Projekte und Abonnements, regelt der Rahmendienstleistungsvertrag die allgemeinen rechtlichen Bedingungen, das Bestellformular die kommerziellen Parameter und die Leistungsbeschreibung (SOW) die Projektleistungen. Partei, Datum des Inkrafttretens, Laufzeit, Rang und Änderungsverfahren jedes Dokuments werden ausdrücklich angegeben. Bei Widerspruch kann themenbezogen festgelegt werden, welches Dokument vorgeht; so wird verhindert, dass eine Datenschutz- oder Sicherheitsanlage durch ein nachrangiges Bestellformular wirkungslos wird. Der Übergang älterer Bestellungen in den neuen Rahmenvertrag und die Bestimmungen, denen beendete Arbeiten weiter unterliegen, werden festgelegt.

Eine Leistungsbeschreibung sollte Liefergegenstände, ausgeschlossene Arbeiten, Abhängigkeiten des Kunden, technische Voraussetzungen, Teams, Zeitplan, Preis und Abnahmekriterien gemeinsam zeigen. Der Wunsch nach einer neuen Funktion, Integration, Leistungssteigerung oder Rechtsänderung sollte nicht ohne Änderungsauftrag faktisch in das Projekt aufgenommen werden. Es wird ein Formular erstellt, das die Auswirkung des Antrags auf Umfang, Zeit, Entgelt, Ressourcen, Sicherheit und Rechte des geistigen Eigentums zeigt. Ein beschleunigtes Verfahren für dringende Sicherheitskorrekturen wird von gewöhnlichen Produktwünschen getrennt. Eine Erweiterung des Umfangs durch nicht befugtes Personal per E-Mail oder Besprechungsnotiz wird verhindert.

Einrichtung, Lizenz, Abonnement, Nutzer, Transaktion, Speicher, Datenausgang, Support, Entwicklung und Entgelte Dritter werden gesondert ausgewiesen. Quelle der Nutzungsmetrik, Zeitzone, Rundung, Steuer, Währung, Wechselkurs, Mindestabnahme und Preis bei Überschreitung werden bestimmt. Ein Weg zum Widerspruch gegen die Messaufzeichnungen des Anbieters und eine Aufbewahrungsfrist werden festgelegt. Automatische Verlängerung, Mitteilung über die Nichtverlängerung, Preisindex, einseitige Erhöhung und Paketwechsel werden ausdrücklich geregelt. Der Übergang von der kostenlosen Testphase in die entgeltliche Phase und der Abrechnungsstatus gesperrter Konten werden nicht unklar gelassen.

Es wird erläutert, wie der SaaS-Dienst nach Nutzer, Konto, Gerät, Transaktion, Datenvolumen oder Funktionspaket lizenziert wird. Beginn des Abonnements, Testzeitraum, automatische Verlängerung, Nutzungsüberschreitung, Preisänderung, Hinzufügen und Verringern von Nutzern, Supportplan und Bedingungen der Sperrung werden geregelt. Die Nutzungsgrenze für Kundendaten, Dienst-Telemetrie, Statistiken und abgeleitete Daten wird bestimmt. Die Befugnis des Anbieters zur Weiterentwicklung des Produkts wird gegen das Risiko abgewogen, eine wesentliche Funktion zu entfernen oder eine inkompatible Änderung vorzunehmen. Zwischen dem Unternehmens-Rahmenvertrag, dem Bestellformular, dem SLA sowie den Anlagen zu Datenverarbeitung und Sicherheit wird eine Rangfolge festgelegt.

Bei Infrastruktur- und Plattformdiensten werden die gemeinsamen Sicherheits- und Betriebsverantwortlichkeiten von Anbieter und Kunde nach der Dienstebene aufgeteilt. Die Aufgaben für Konto, Identität, Konfiguration, Betriebssystem, Anwendung, Daten, Verschlüsselungsschlüssel, Backup und Netzwerksicherheit können in einer RACI-Tabelle dargestellt werden. Dienstregion, Datenstandort, Kapazität, automatische Skalierung, Nutzungsmessung, Konnektivität, Sicherung, Wiederherstellung und Supportgrenzen werden festgehalten. Die Standardbedingungen des Cloud-Anbieters, die Unternehmensanlagen und der Wiederverkäufervertrag werden gemeinsam geprüft. Für den Fall der Kontoschließung oder des Zugangsverlusts werden die Administratorbefugnis und der Weg zum Datenzugriff im Voraus eingerichtet.

Bei Systemverwaltung, Sicherheitsbetrieb, Netzwerk, Datenbank, Anwendung, Help Desk oder DevOps-Diensten wird die Zugriffs- und Änderungsbefugnis des Lieferanten bestimmt. Aufgabenumfang, Schicht, Reaktion, Eskalation, Fernzugriff, privilegierte Konten, Protokollierung, Personalwechsel und der Einsatz von Subunternehmern werden geregelt. Die Grenze zwischen der Weisung des Kunden und der beruflichen Sorgfaltspflicht des Lieferanten wird erläutert. Der Weggang kritischer Mitarbeiter, die Wissensübergabe, die Dienstkontinuität, der Rückführungsplan und der Übergang des Betriebs auf das interne Team oder einen neuen Lieferanten am Vertragsende werden verbindlich geregelt.

Ein Service-Level wird nicht allein dadurch begründet, dass die Verfügbarkeit als Prozentwert angegeben wird. Messpunkt, Kalendermonat, geplante Wartung, höhere Gewalt, vom Kunden verursachte Ausfälle, Internet-Backbone und Ausschlüsse für Dienste Dritter werden bestimmt. Vorfallprioritäten, erste Reaktion, Übergangslösung, dauerhafte Behebung, Statusaktualisierung und Eskalationsfristen werden gesondert definiert. Die Überprüfung der eigenen Messung des Anbieters und die Vorlage von Berichten werden geregelt. Ob Service-Gutschriften automatisch oder auf Antrag entstehen, ob sie der einzige Rechtsbehelf sind, das Kündigungsrecht bei wiederholter Verletzung und die Auswirkung eines kritischen Ausfalls auf eine weitergehende Haftung werden ausdrücklich festgehalten.

Die Abnahme wird mit objektivem Testszenario, Datensatz, Umgebung, verantwortlicher Person, Frist und Ergebnisklasse durchgeführt. Anwender-Abnahmetest, Sicherheitstest, Leistungstest, Integration und Datenrichtigkeit können voneinander getrennt werden. Die Definitionen von kritischem, wichtigem und geringfügigem Fehler sowie die Mängel, bei denen die Abnahme aufgeschoben wird, werden bestimmt. Es sollte klar sein, ob Schweigen, Nutzung oder Go-live als automatische Abnahme gelten. Bei einer bedingten Abnahme werden die verbleibenden Arbeiten, der Termin der Behebung und die Auswirkung auf die Zahlung im Protokoll festgehalten. Bei der Übergabe werden Quellcode, Administratorbefugnis, Dokumentation und die Möglichkeit des eigenständigen Betriebs zusätzlich überprüft.

Die Übertragung von Quellcode oder Infrastruktur auf den Kunden ist kein notwendiger Bestandteil jedes SaaS-Abonnements. Die im Vertrag übernommene Übergabe wird vom Lizenz-/Zugangsmodell unterschieden. Bei Individualentwicklung gelten die zugesagten Befugnisse zu eigenständiger Nutzung und Verwaltung nicht allein durch einen Screenshot als nachgewiesen.

Die Übereinstimmung der Software mit den vertraglichen Maßstäben für Funktion, Dokumentation, Sicherheit und Leistung wird zugesagt. Fehlerklassen, Meldeweg, Angaben zur Reproduktion, Übergangslösung, Korrektur und Versionslieferung werden bestimmt. Der Wartungsumfang wird in Bezug auf Fehlerbehebung, Rechtsaktualisierung, kleine Erweiterungen, Versions-Upgrade und Kompatibilität mit Dritten klargestellt. Supportzeiten, Sprache, Kanal und Eskalation werden festgehalten. Für die Herausnahme einer alten Version aus dem Support werden eine angemessene Mitteilung, Sicherheitspatches und Unterstützung beim Übergang geregelt. Die Auswirkung von Kundenänderungen oder einer nicht unterstützten Umgebung auf die Haftung wird maßvoll behandelt.

Kritische Dienste, das Ziel für die Wiederherstellungszeit und das Ziel für den hinnehmbaren Datenverlust werden anhand der Geschäftsauswirkung bestimmt. Sicherungshäufigkeit, getrennte Umgebung, Verschlüsselung, Wiederherstellungstest und Aufbewahrungsregion werden festgehalten. Beim Notfallwiederherstellungsplan wird nicht nur sein Vorhandensein, sondern auch Testhäufigkeit, Szenario, Befund und Nachverfolgung der Korrektur geregelt. Die Abhängigkeit von einer einzigen Cloud-Region, einem einzigen Identitätsanbieter oder einer einzigen kritischen Person wird offengelegt. Für einen großen Ausfall werden Kommunikation, alternative Abwicklung, vorrangige Kunden und die Reihenfolge der Rückkehr bestimmt. Hat der Kunde eine eigene Pflicht zum Export oder zur Sicherung, wird dies ausdrücklich ausgewiesen.

Es wird bestimmt, ob die Lizenz befristet oder unbefristet, ausschließlich oder einfach, übertragbar oder nicht übertragbar, für Unterlizenzen offen oder geschlossen ist. Grenzen nach Nutzer, Gerät, Unternehmen, verbundenem Unternehmen, Region, Server, Transaktion oder Kapazität werden ausdrücklich festgehalten. Sicherungskopie, Test, Notfallwiederherstellung, Fernarbeit, Nutzung durch Konzerngesellschaften und der Zugang eines externen Dienstleisters werden geregelt. Reverse Engineering, Interoperabilität, Fehlerbehebung und gesetzliche Ausnahmen werden unter Beachtung zwingender Bestimmungen behandelt. Die Lizenzprüfung wird an ein Verfahren gebunden, das maßvoll ist, der Informationssicherheit entspricht und die Geschäftskontinuität nicht stört.

Nach dem Gesetz Nr. 5846 sollten die Übertragung der Verwertungsrechte an einem Computerprogramm oder die Einräumung der Nutzungsbefugnis schriftlich und unter gesonderter Bezeichnung der Rechte geregelt werden. Vor dem Projekt vorhandener Code, Bibliotheken, Methoden, Vorlagen und Werkzeuge werden als „Hintergrundrechte“ definiert; im Projekt entstehende individuelle Entwicklungen als eigene Klasse. Die Zahlung eines Entgelts durch den Kunden bedeutet für sich allein möglicherweise nicht, dass der Quellcode oder alle Verwertungsrechte übergegangen sind. Die erforderlichen Rechte, einschließlich Bearbeitung, Vervielfältigung, Verbreitung und digitaler Übermittlung, sollten im Einklang mit dem Nutzungszweck eingeräumt werden. Das Recht des Anbieters, sein allgemeines Wissen und seine Erfahrung zu nutzen, wird von kundenspezifischen vertraulichen Informationen und Code unterschieden.

Bei noch nicht geschaffenen Werken wird die Verpflichtung zur Rechtsübertragung von dem Verfügungsgeschäft über ein fertiggestelltes Werk im Rahmen der Artikel 48–52 des Gesetzes Nr. 5846 unterschieden. Urheberpersönlichkeitsrechte gelten nicht als insgesamt übertragen, wie dies bei den Verwertungsrechten der Fall ist; Urheberschaft und Befugnis zur Ausübung der Verwertungsrechte werden gesondert bewertet.

Dass der Code von einem Arbeitnehmer, Gründer, freien Entwickler, einer Agentur, einem Subunternehmer oder einem ausländischen Team geschrieben wurde, kann das Ergebnis der Rechtsinhaberschaft verändern. Ein von einem Arbeitnehmer im Rahmen seiner Aufgaben erstelltes Programm und ein von einem unabhängigen Entwickler im Auftrag geschriebener Code unterliegen nicht derselben Annahme. Arbeitsverträge, Dienstverträge, Gründerverträge und Zusagen von Subunternehmern werden entlang der Projektkette geprüft. Nutzung der Verwertungsrechte, Vertraulichkeit, Open Source, Code Dritter, Übergabe, Zusammenarbeit und Pflichten nach dem Ausscheiden werden schriftlich festgehalten. Code-Repository und Konten des Unternehmens werden nicht an persönliche Konten gebunden gelassen.

Für den Fall der Insolvenz des Anbieters, der Einstellung seiner Tätigkeit, der Beendigung des Supports, einer schweren SLA-Verletzung oder der Nichterfüllung seiner vertraglichen Übergabepflicht kann eine Quellcode-Hinterlegung eingerichtet werden. In die Hinterlegung werden nicht nur der Quellcode, sondern auch Build-Anweisungen, Abhängigkeitsliste, Datenschema, Infrastrukturcode, Installationsskript, die sichere Methode für Administratorschlüssel und Dokumentation einbezogen. Hinterlegungshäufigkeit und Kompilierbarkeit des hinterlegten Inhalts werden an eine unabhängige Überprüfung gebunden. Freigabeereignis, Widerspruchsverfahren, Nutzungslizenz und Vertraulichkeitsgrenze sollten klar sein. Escrow ersetzt weder regelmäßige Sicherungen noch einen Ausstiegsplan.

Open-Source-Komponenten in der Codebasis, ihre Versionen, Lizenzen und direkten oder transitiven Abhängigkeiten werden in ein Inventar aufgenommen. Freizügige Lizenzen sowie Copyleft-Bestimmungen, die zur Offenlegung des Quellcodes oder zur Verbreitung unter derselben Lizenz führen können, werden nach der Art der Nutzung bewertet. Das Angebot der Software nur als SaaS, ihre Verbreitung, die Einbettung in ein Gerät oder die Lieferung an einen Kunden kann zu unterschiedlichen Ergebnissen führen. Pflichten zu Hinweis, Urheberrechtsvermerk, Lizenztext, Quellcodebereitstellung und Offenlegung von Änderungen werden in den Produktprozess aufgenommen. Software-Stückliste, automatisierte Prüfung und ein Freigabeprozess für Entwickler werden vertraglich unterstützt.

Die Vertragskette für Karten, Zahlung, Nachrichtenübermittlung, Authentifizierung, Analytik, KI-APIs, mobile Stores, Cloud-Marktplätze und andere externe Dienste wird geprüft. Kontingent, Preis, Nutzungsrichtlinie, Datenübermittlung, Inhaltsbeschränkung, Versionseinstellung, Audit, Sperrung und Haftungsbedingungen werden mit der Zusage abgeglichen, die das Hauptprodukt dem Kunden gibt. Für einen externen Dienst, den der Anbieter nicht kontrolliert, wird keine unbegrenzte Leistungszusage gegeben; wohl aber werden Abhängigkeit, Alternative, Mitteilung und Übergangsplan eingerichtet. API-Schlüssel und Store-Konten werden nicht persönlichen Konten überlassen; Kontoinhaberschaft und Zugriffsbefugnis werden dokumentiert.

Vom Kunden in das System hochgeladene Daten, Nutzerkontodaten, Transaktionsaufzeichnungen, Leistungs-Telemetrie, anonyme Statistiken, Rückmeldungen und daraus abgeleitete Daten werden gesondert definiert. Anstelle weitreichender eigentumsähnlicher Formulierungen werden die Befugnisse zu Zugriff, Nutzungszweck, Aufbewahrung, Zusammenführung, Offenlegung, Modelltraining, Export und Löschung ausdrücklich festgehalten. Die Behauptung einer Anonymisierung wird rechtlich und technisch überprüft. Das Bedürfnis des Anbieters, den Dienst zu messen und die Sicherheit zu gewährleisten, wandelt sich nicht von selbst in eine Befugnis, die Daten für ein anderes Produkt oder einen anderen Kunden zu nutzen. Bei Vertragsende wird bestimmt, welche Daten der Rückgabe, der Löschung oder der Aufbewahrung für die gesetzliche Dauer unterliegen.

Die Rollen als Verantwortlicher, Auftragsverarbeiter, nach anwendbarem ausländischem Recht gemeinsam Verantwortlicher oder eigenständig Verantwortlicher im Dienst werden je Verarbeitungstätigkeit bestimmt. Im Datenverarbeitungsvertrag werden Gegenstand, Dauer, Zweck, Kategorien von Daten und betroffenen Personen, Weisung, Vertraulichkeit, Sicherheit, Unterauftragsverarbeiter, Anfragen betroffener Personen, Datenschutzverletzung, Prüfung, Löschung und Rückgabe geregelt. Telemetrie oder Betrugsprävention, die der Anbieter für eigene Zwecke betreibt, werden gesondert bewertet. Die gemeinsame Verantwortung nach Artikel 12 des KVKK lässt sich nicht allein durch eine allgemeine Bestimmung wie „das KVKK wird eingehalten“ steuern; technische und organisatorische Maßnahmen bedürfen der Umsetzung und Überprüfung.

Cloud-Server, Support-Team, Unterauftragsverarbeiter, Fernzugriff, Notfallwiederherstellungskopie und globale Verwaltungsoberfläche werden als getrennte Übermittlungskanäle erfasst. Welcher der Wege nach Artikel 9 des KVKK, Angemessenheit, geeignete Garantien oder gelegentliche Übermittlung, genutzt wird, wird anhand des konkreten Ablaufs bestimmt. Der Prozess der Auswahl des Standardvertrags nach dem richtigen Parteityp, des Ausfüllens seiner Anlagen und der Mitteilung an die Behörde binnen fünf Arbeitstagen ab Unterzeichnung wird gesteuert. Eine Zusage zur Datenregion sollte Supportzugriff oder Sicherungskopien nicht verschleiern. Gilt die DSGVO, werden das EU-Übermittlungsinstrument und ergänzende Maßnahmen gesondert geprüft.

Wird das Standardvertragsmuster des Datenschutzgremiums verwendet, wird der Text außerhalb der Wahlfelder nicht geändert; Unterschriftsbefugnisse, türkischer Text, Anlagen und die Mitteilung binnen fünf Arbeitstagen nach Abschluss der Unterschriften werden nachverfolgt. Eine allgemeine Anlage zur Datenverarbeitung gilt für sich allein nicht als geeignete Absicherung der Übermittlung ins Ausland.

Die Sicherheitsanlage umfasst Identitäts- und Zugriffsverwaltung, Multi-Faktor-Authentifizierung, privilegierte Konten, Verschlüsselung, Schlüsselverwaltung, sichere Entwicklung, Schwachstellenscans, Penetrationstests, Patches, Protokolle, Backup, Netzwerktrennung, Personal, physische Sicherheit und Kontrollen der Lieferkette. Die Kontrollen werden nicht einer unbestimmten Formulierung wie „Branchenstandard“ überlassen; der anzuwendende Standard, der Umfang, die Überprüfung und das Ausnahmeverfahren werden bestimmt. Ein ISO-Zertifikat beweist für sich allein nicht die dienstspezifische Sicherheit; Zertifikatsumfang und Kontrollbericht werden geprüft. Auch die eigenen Sicherheitsverantwortlichkeiten des Kunden werden in der Tabelle der geteilten Verantwortung ausgewiesen.

Die Begriffe Vorfall, Sicherheitsvorfall, Verletzung des Schutzes personenbezogener Daten, Dienstausfall und kritische Schwachstelle werden voneinander unterschieden. Frist für die erste Mitteilung des Anbieters an den Kunden, bekannter Mindestinhalt, regelmäßige Aktualisierung, technische Untersuchung, Schadensminderung, Sicherung von Aufzeichnungen und Ursachenbericht werden geregelt. Weil die gesetzliche Meldefrist je nach Branche und Vorfall variieren kann, richtet der Vertrag einen Mechanismus zur frühen Mitteilung ein, mit dem der Kunde seine eigene Frist steuern kann. Öffentliche Erklärungen und die Kommunikation mit Aufsichtsbehörden werden an eine Befugnismatrix gebunden. Nach Behebung des Vorfalls werden Korrekturmaßnahmen, Wiederholungstest und vertragliche Folgen gesondert behandelt.

Wer der Subdienstleister ist, welchen Dienst er wo erbringt, auf welche Daten er zugreift und welche kritische Funktion er unterstützt, wird in ein Inventar aufgenommen. Das Recht des Anbieters zum Einsatz von Subunternehmern wird durch vorherige Mitteilung, Widerspruch, gleichwertige Pflichten, Datenübermittlung, Sicherheit, Prüfung und Beendigungsbedingungen geregelt. Eine Änderung bei einem kritischen Lieferanten kann als wesentliche Vertragsänderung gelten. Der Hauptanbieter kann die vertragliche Haftung für Handlungen des Subdienstleisters nicht durch eine allgemeine Weiterleitungsklausel beseitigen. Die Abhängigkeit von einem einzigen Punkt in der Kette und die Ersetzungszeit werden in den Plan zur Geschäftskontinuität aufgenommen.

Das Prüfungsrecht des Kunden wird maßvoll über die Ebenen Informationsformular, Zertifikat, unabhängiger Prüfbericht, Fernprüfung und, soweit erforderlich, Vor-Ort-Prüfung ausgestaltet. Häufigkeit, Mitteilung, Kosten, Vertraulichkeit, Daten anderer Kunden und Frist für Korrekturmaßnahmen werden bestimmt. Bei einem schweren Vorfall oder einem Ersuchen der Aufsicht können die üblichen Einschränkungen gelockert werden. In Branchen wie Finanzwesen, Gesundheit, Telekommunikation oder öffentlichem Sektor werden die Informations- und Prüfungsrechte der Aufsichtsbehörde in den Beschaffungsvertrag übernommen. Das Prüfungsrecht sollte nicht nur Einsicht in Unterlagen ermöglichen, sondern auch die Nachverfolgung der Behebung und Überprüfung von Feststellungen.

Die Definition vertraulicher Informationen wird so gefasst, dass sie Quellcode, Architektur, Sicherheitslücken, Kundendaten, Produkt-Roadmap, Preise, Geschäftspläne und Zugangsdaten erfasst, jedoch nicht unbegrenzt. Ausnahmen werden geregelt für rechtmäßig bekannte, unabhängig entwickelte, aus rechtmäßiger dritter Quelle erhaltene oder öffentlich zugängliche Informationen. Die Weitergabe erfolgt an aufgabenbezogene Personen und im erforderlichen Maß. Für den Fall eines Ersuchens von Gericht oder Behörde wird ein Verfahren für Mitteilung und begrenzte Offenlegung eingerichtet. Am Vertragsende werden die Pflicht zu Rückgabe und Löschung zusammen mit der Ausnahme für Sicherungen und gesetzliche Aufbewahrung bestimmt. Für Personal mit Zugriff auf den Quellcode werden zusätzliche Kontrollen angewendet.

Bei einer KI-Komponente wird bestimmt, ob die Partei Modellanbieter ist, das System bereitstellt, einsetzt oder nur nutzt. Ob Eingaben zum Modelltraining oder zur Dienstentwicklung verwendet werden; das Nutzungsrecht an Ergebnissen, die Möglichkeit ähnlicher Ergebnisse, menschliche Prüfung, Aufzeichnung, Genauigkeitsgrenze und verbotene Nutzung werden erläutert. Herkunft, Lizenz sowie die Eigenschaft der Trainingsdaten als personenbezogene Daten und Geschäftsgeheimnis werden geprüft. Die Bedingungen für Modelle mit allgemeinem Verwendungszweck werden mit dem Hauptkundenvertrag in Einklang gebracht. Findet die EU-KI-Verordnung Anwendung, werden Pflichten zu Transparenz, Rolle, technischer Aufzeichnung und Informationen in der Lieferkette in den Vertrag übernommen.

Anbieterabhängigkeit kann durch ein proprietäres Datenformat, hohe Entgelte für den Datenausgang, eine geschlossene API, einen Lizenzschlüssel, ein Administratorkonto, mangelnde Dokumentation oder ein vertragliches Kündigungshindernis entstehen. Übertragbare Daten, Exporthäufigkeit, Wechselschnittstelle, Unterstützung, Frist und Entgelt werden von Anfang an geregelt. Gilt die EU-Datenverordnung, werden die Regeln zum Wechsel zwischen Datenverarbeitungsdiensten, zu Informationen vor Vertragsschluss, funktionaler Gleichwertigkeit, Datenausgang und schrittweisem Wechsel gesondert geprüft. Die Pflicht zur technischen Interoperabilität wird gegen den Schutz der Rechte des geistigen Eigentums und der Geschäftsgeheimnisse abgewogen. Ein Ausstiegstest kann bei kritischen Systemen während der Vertragslaufzeit durchgeführt werden.

Die Wechselpflichten nach der EU-Datenverordnung gelten seit dem 12. September 2025. Bis zum 12. Januar 2027 werden ein ermäßigtes Entgeltregime, das auf Kosten mit unmittelbarem Bezug zum Wechsel begrenzt ist und die Kosten nicht übersteigt, sowie danach der Wegfall von Wechselentgelten gesondert bewertet. Anwendungsbereich und Ausnahmen dieser Regeln werden nicht automatisch auf jeden Vertrag innerhalb der Türkei übertragen.

Bei einer an einzelne Nutzer angebotenen Anwendung, einem digitalen Inhalt oder Abonnement werden die Regeln zu vorvertraglicher Information, Gesamtpreis, Zahlungspflicht, Widerrufsrecht und seinen Ausnahmen, mangelhafter Dienstleistung, automatischer Verlängerung, Kündigung und Rückerstattung geprüft. Die Widerrufsausnahme wird in Fällen, in denen die ausdrückliche Zustimmung des Verbrauchers und seine Kenntnisnahme vom Verlust des Rechts erforderlich sind, durch Oberfläche und Aufzeichnung gestützt. Der Übergang von der kostenlosen Testphase in die entgeltliche Phase wird nicht verborgen. Ein langer und unklarer Weg zur Kündigung des Abonnements wird nicht eingerichtet. Verbraucherbedingungen werden vom Vertrag mit Unternehmenskunden getrennt; eine Wahl ausländischen Rechts beseitigt den zwingenden Schutz des Verbrauchers nicht von selbst.

Wird ein SaaS-Produkt über einen Marktplatz, einen mobilen Store, ein Zahlungsinstitut oder einen Händler verkauft, werden die Rollen für Vertragspartei, Zahlungseingang, Rückerstattung, Provision, Steuer, Nutzersupport und Kontoschließung bestimmt. Die Abonnement- und Inhaltsregeln des App-Stores werden mit den Hauptkundenbedingungen in Einklang gebracht. Umfang der Zahlungsdaten, PCI-Pflicht, Chargeback und Betrugsprozesse werden geregelt. Hostet das Produkt Verkäufer Dritter oder Nutzerinhalte, werden die Pflichten nach E-Commerce- und Internetrecht im Rahmen der gesonderten Leistungsseite vertieft. Technischer Anbieter zu sein beseitigt die tatsächliche Plattformrolle nicht in jedem Fall.

Die Branchenvorschriften der Einrichtung, die den Technologiedienst bezieht, können die vertraglichen Pflichten des Lieferanten unmittelbar beeinflussen. In Banken, Zahlungsverkehr, Kapitalmarkt, Versicherung, Gesundheit, elektronischer Kommunikation, Energie und öffentlichen Systemen werden die Bestimmungen zu Datenstandort, Auslagerung, Prüfung, Vorfallmeldung, Geschäftskontinuität und Subunternehmern gesondert geprüft. Bei Diensten für Finanzinstitute in der EU werden die Bestimmungen der DORA zum Risiko von Dritten im Bereich der Informations- und Kommunikationstechnologie und die Vertragselemente für kritische Funktionen bewertet. Auch wenn der Lieferant die regulatorische Verantwortung des Kunden nicht übernimmt, sollte er Bestimmungen zu Information, Zugang und Zusammenarbeit vorsehen, die die Compliance des Kunden ermöglichen.

Für Personen und Einrichtungen, die in der Türkei im Cyberraum tätig sind oder dort Dienste erbringen, werden Anwendungsbereich des Gesetzes Nr. 7545 über Cybersicherheit sowie seine Pflichten zu Auskunftserteilung, Maßnahmen, Aufsicht, Produkten und Diensten geprüft. In den Vertrag werden Bestimmungen aufgenommen, die Schreiben des Präsidiums, Schwachstellenbehebung, Zusammenarbeit, Aufzeichnung und Aufsichtsverfahren unterstützen. Wird ein Produkt mit digitalen Elementen auf dem EU-Markt angeboten, werden Anwendungsbereich der Cyberresilienzverordnung, Rolle als Hersteller oder anderer Wirtschaftsakteur und sicherer Produktlebenszyklus bewertet. Für die seit dem 11. September 2026 für Hersteller geltenden bestimmten Schwachstellen- und Vorfallmeldungen wird ein vertraglicher Informationsfluss eingerichtet.

Der Zeitpunkt der allgemeinen Anwendung der EU-Cyberresilienzverordnung ist der 11. Dezember 2027; der Beginn der Herstellermeldungen ist der 11. September 2026. Der abweichende Zeitplan für Unterstützer von Open-Source-Software sowie die Unterscheidung zwischen produktgebundener Datenverarbeitung aus der Ferne und einem unabhängigen Cloud-Dienst werden gesondert geprüft. Nicht jeder SaaS-Anbieter wird unter derselben Rolle bewertet.

Exklusivität, Kopplung, Lizenzprüfung, Abwerbeverbot für Kunden oder Personal, Meistbegünstigung, Datenzugang, API-Beschränkung und Wechselhindernis werden unter wettbewerbsrechtlichen Gesichtspunkten geprüft. Berechtigter Schutz geistigen Eigentums wird von einer Bestimmung unterschieden, die den Markt oder den Wechsel des Kunden zu einem alternativen Lieferanten unnötig einschränkt. Einseitige Bedingungen eines starken Plattform- oder Technologieanbieters können unter dem Gesichtspunkt der marktbeherrschenden Stellung und unlauterer Geschäftspraktiken bewertet werden. Bei Forderungen nach Interoperabilität und Datenübertragbarkeit werden Sicherheit, Geschäftsgeheimnisse und Rechte Dritter geschützt. Kooperationsvereinbarungen werden mit einer Steuerung eingerichtet, die nicht zum Austausch sensibler Geschäftsinformationen führt.

Unmittelbarer Schaden, mittelbarer Schaden, entgangener Gewinn, Datenverlust, Dienstausfall, Verletzung von Rechten des geistigen Eigentums sowie Vertraulichkeits- und Sicherheitsvorfälle werden nach dem Geschäftsmodell des Vertrags unterschieden. Die allgemeine Haftungsobergrenze und Ausnahmen wie Rechte des geistigen Eigentums, Vorsatz, grobes Verschulden, Vertraulichkeit, personenbezogene Daten oder Körperschäden werden unter Beachtung zwingenden Rechts geregelt. Beim Anspruch eines Dritten werden Mitteilung, Kontrolle der Verteidigung, Zusammenarbeit und Vergleichsbefugnis bestimmt. Der Schutz, den der Lieferant wegen einer Komponente eines Dritten gewähren kann, wird gesondert geprüft. Umfang, Limits und Fortbestand der Berufshaftpflicht- und Cyberrisikoversicherung sollten mit dem Vertrag in Einklang stehen.

Nach Artikel 115 des Türkischen Obligationenrechts ist eine im Voraus getroffene Vereinbarung über den Haftungsausschluss für grobes Verschulden unbedingt nichtig. Bestimmungen zu Beruf, Erlaubnis und Hilfspersonen werden gesondert geprüft. Die Kontrolle Allgemeiner Geschäftsbedingungen und zwingende Grenzen lassen sich nicht dadurch umgehen, dass im Vertrag eine hohe oder niedrige Obergrenze festgelegt wird.

Die Befugnis zur Sperrung bei Zahlungsverzug, Sicherheitsbedrohung, rechtswidriger Nutzung, Lizenzüberschreitung oder regulatorischer Notwendigkeit wird an unterschiedliche Bedingungen gebunden. Bei einer nicht dringenden Verletzung werden Mitteilung und Frist zur Behebung gegeben; bei einem kritischen Sicherheitsvorfall kann sofort eine in ihrem Umfang begrenzte Maßnahme angewendet werden. Lässt sich die Sperrung auf das mit der Verletzung zusammenhängende Konto oder die entsprechende Funktion begrenzen, wird nicht der gesamte Dienst abgeschaltet. Der Zugriff auf Kundendaten wird nicht bei einem Zahlungsstreit zum Druckmittel gemacht. Entgelt während der Sperrzeit, Datenaufbewahrung, Support und Bedingungen der Wiederfreischaltung werden ausdrücklich geregelt.

Zeitablauf, wichtiger Grund, wiederholte SLA-Verletzung, Rechtsänderung, Insolvenz, Kontrollwechsel und erleichterte Kündigungsoptionen werden unterschieden. Bevor der Vertrag endet, werden Ausstiegsplan, verantwortliches Team, Frist, Entgelt und technisches Format bestimmt. Kundendaten werden in einem offenen, strukturierten und nutzbaren Format mit dem erforderlichen Schema und den nötigen Erläuterungen übergeben. Unterstützung beim Übergang zu einem neuen Anbieter, Parallelbetrieb und Wissensübergabe werden geregelt. Löschtermin, Sicherungszyklus, gesetzliche Aufbewahrung und Löschbestätigung werden erläutert. Die Rechte des geistigen Eigentums des Anbieters werden nicht mit dem Zugriff des Kunden auf seine eigenen Daten und Geschäftsaufzeichnungen verwechselt.

Elektronischer Vertragsschluss, Bestimmung des berechtigten Nutzers, sichere elektronische Signatur, Bestätigungsfeld, Bestellablauf und Methoden der Aufzeichnungsaufbewahrung werden geprüft. Die rechtliche Wirkung der sicheren elektronischen Signatur nach dem Gesetz Nr. 5070 und anderer elektronischer Bestätigungsmethoden wird nicht als gleich angesehen. Welche Textversion wann und von wem angenommen wurde, sollte durch eine unveränderliche Aufzeichnung gezeigt werden. Verlauf des Code-Repositorys, Aufgabenverfolgungssystem, Support-Ticket, E-Mail, Testergebnis, Zugriffsprotokoll und Rechnungsaufzeichnungen werden im Hinblick auf die Möglichkeit einer Streitigkeit klassifiziert. Zugriff und Aufbewahrungsdauer von Aufzeichnungen mit personenbezogenen Daten und Geheimnissen werden gesondert bestimmt.

Bei Streitigkeiten über Übergabe, Abnahme, Mängel, Verzug, Zahlung, Lizenz, Quellcode, Datenverlust, Dienstausfall und Rechte des geistigen Eigentums werden Vertragswerk und tatsächliche technische Lage gemeinsam geprüft. Ein lauffähiger Bildschirm wird von einer vertragsgemäßen und eigenständig nutzbaren Übergabe unterschieden. Code-Repository, Administratorkonten, Versionen, Tests, Infrastruktur, API, Datenbank, Rechnungen und Schriftwechsel werden verfahrensgemäß gesichert. Bei Bedarf werden Beweissicherung, einstweilige Verfügung, Sachverständigengutachten, Erörterung der Beweise vor Gericht sowie Schieds- oder Klagestrategie vorbereitet. Unkontrollierte Eingriffe, die das System beschädigen oder Daten Dritter offenlegen würden, werden vermieden.

Das sachlich zuständige Gericht wird nach vertraglicher Forderung, Recht des geistigen Eigentums, Verbrauchergeschäft und Eigenschaft der Parteien bestimmt. Bei handelsrechtlichen Geldforderungen werden die obligatorische Mediation als Prozessvoraussetzung und die Voraussetzungen des einstweiligen Rechtsschutzes geprüft. Ein Gesprächsprozess innerhalb des Vertrags gilt nicht als Hemmung der gesetzlichen Fristen.

Bei einer Investition oder einer Unternehmensübertragung werden Rechtsinhaberschaft an der Software, Verträge mit Arbeitnehmern und selbständigen Entwicklern, Open Source, Kundenlizenzen, Cloud-Konten, Sicherheitsvorfälle, KVKK, Übermittlung ins Ausland, wesentliche Lieferanten, SLA-Verbindlichkeiten und regulatorischer Rahmen geprüft. In den Verträgen, auf denen die Einnahmen beruhen, werden die Bestimmungen zu Kontrollwechsel, Abtretungsverbot, Kündigung, Preisnachlass und unbegrenzter Haftung festgestellt. Dass sich der Code tatsächlich im Unternehmen befindet und dass die Verwertungsrechte auf das Unternehmen übergegangen sind, wird gesondert überprüft. Die Befunde werden in Transaktionsunterlagen, Erklärungen (Representations) und Gewährleistungen, besondere Freistellung, aufschiebende Bedingung des Closing, Preisanpassung und einen Korrekturplan nach dem Closing umgesetzt.

Bei einem Vertrag mit einem ausländischen Anbieter oder Kunden werden Rechtswahl, Zuständigkeit oder Schiedsverfahren, Sprache, Steuer, Zahlung, Währung, Sanktionen, Exportkontrolle, Rechte des geistigen Eigentums, Datenübermittlung und Vollstreckung von Entscheidungen gemeinsam bewertet. Zwischen dem Hauptvertrag und den Anlagen des jeweiligen Landes wird eine Rangfolge festgelegt. Englische, deutsche und russische Texte werden auf der Grundlage des türkischen rechtlichen Rahmens einer Konsistenzprüfung unterzogen; es bleibt nicht bei einer bloßen Wortübersetzung. Die Aufgaben der Rechtsanwälte in mehreren Ländern, des technischen Prüfteams und des regulatorischen Beraters werden in einem einzigen Aktenplan koordiniert. Fristen für Mitteilung vor der Streitigkeit, Eskalation und Gespräch auf Leitungsebene werden so geregelt, dass die gesetzlichen Antragsfristen nicht beeinträchtigt werden.