Microsoft-365-Ausfall: Wann Unternehmen Schadensersatz verlangen können

Cloud-Ausfälle können erhebliche wirtschaftliche Schäden verursachen. Doch wer haftet, wenn Outlook, Teams oder andere Microsoft-365-Dienste nicht funktionieren, wichtige E-Mails ausbleiben und Geschäftsprozesse stillstehen? Unternehmen sollten ihre vertraglichen Ansprüche kennen – und vor allem wissen, worauf es beim Nachweis eines Schadens ankommt.

Microsoft 365 ist für viele Unternehmen längst ein zentraler Bestandteil ihrer digitalen Infrastruktur. E-Mails, Videokonferenzen, Kalender, Dokumentenverwaltung und zahlreiche automatisierte Prozesse hängen von der Verfügbarkeit cloudbasierter Dienste ab. Fällt diese Infrastruktur aus, können die Folgen weit über eine vorübergehende Störung des Arbeitsalltags hinausgehen.

Ein Ausfall von Outlook kann dazu führen, dass wichtige Kundenanfragen unbeantwortet bleiben, vertragliche Fristen versäumt werden oder automatisierte Warnmeldungen nicht rechtzeitig eintreffen. Besonders gravierend können die Folgen sein, wenn digitale Kommunikationsdienste Bestandteil sicherheitskritischer Abläufe sind.

Damit stellt sich eine zentrale rechtliche Frage: Muss der Cloudanbieter für die wirtschaftlichen Folgen eines Ausfalls einstehen – oder sind Unternehmen auf die im Vertrag vorgesehenen Servicegutschriften beschränkt?

Die Antwort hängt maßgeblich von der vertraglichen Ausgestaltung, der Ursache des Ausfalls und der Nachweisbarkeit des konkreten Schadens ab.

1. Cloud-Ausfall: Entscheidend ist der Vertrag

Anders als bei Verbraucherverträgen über digitale Dienstleistungen stehen bei der unternehmerischen Nutzung von Microsoft 365 die individuellen Vertragsbedingungen im Vordergrund.

Maßgeblich sind insbesondere der Cloudvertrag, die einbezogenen Allgemeinen Geschäftsbedingungen und das sogenannte Service-Level Agreement (SLA).

Das SLA regelt regelmäßig, welche Verfügbarkeit der Anbieter schuldet, wann eine relevante Störung vorliegt und welche Ansprüche bei einer Unterschreitung der vereinbarten Verfügbarkeit entstehen.

Unternehmen sollten dabei insbesondere prüfen:

• Welche Verfügbarkeit wurde für den betroffenen Dienst zugesagt?

• Welche Störungen werden bei der Berechnung der Verfügbarkeit berücksichtigt?

• Welche Wartungsfenster und Ausnahmen sind vorgesehen?

• Welche Reaktions- und Wiederherstellungszeiten gelten?

• Welche Servicegutschriften können verlangt werden?

• Sind weitergehende Schadensersatzansprüche ausgeschlossen oder begrenzt?

• Welche Fristen gelten für die Geltendmachung von Ansprüchen?

Bereits die Frage nach dem richtigen Anspruchsgegner kann rechtlich anspruchsvoll sein.

Nicht jedes Unternehmen bezieht Microsoft 365 unmittelbar von Microsoft. Häufig erfolgt der Erwerb über einen Cloud Solution Provider, einen IT-Dienstleister oder ein Systemhaus. Ob Ansprüche unmittelbar gegen Microsoft oder zunächst gegen den jeweiligen Vertragspartner geltend gemacht werden können, muss anhand der konkreten Vertragsstruktur geprüft werden.

2. Servicegutschrift oder Schadensersatz?

Viele Cloudverträge sehen bei Verfügbarkeitsunterschreitungen sogenannte Service Credits vor. Dabei handelt es sich regelmäßig um Gutschriften auf zukünftige oder laufende Nutzungsentgelte.

Solche Gutschriften können einen vertraglich vorgesehenen Ausgleich für die eingeschränkte Verfügbarkeit darstellen. Sie ersetzen jedoch nicht zwangsläufig den gesamten wirtschaftlichen Schaden eines Unternehmens.

Verursacht ein Cloud-Ausfall beispielsweise zusätzliche Kosten für externe IT-Dienstleister, Ersatzsysteme oder die Wiederherstellung von Geschäftsprozessen, können diese Schäden erheblich über den Wert einer anteiligen Monatsgebühr hinausgehen.

Ob Unternehmen neben einer Servicegutschrift weitere Ansprüche geltend machen können, hängt insbesondere davon ab, ob das SLA die Gutschrift als abschließenden Rechtsbehelf ausgestaltet und ob eine entsprechende Haftungsbegrenzung rechtlich wirksam ist.

Auch eine anteilige Entgeltminderung kann in Betracht kommen. Ihre Voraussetzungen hängen allerdings von der rechtlichen Einordnung des Vertrags, den vereinbarten Leistungsinhalten und den einschlägigen gesetzlichen Regelungen ab.

Eine vertraglich vorgesehene Servicegutschrift bedeutet daher nicht automatisch, dass sämtliche weiteren Ansprüche ausgeschlossen sind.

3. Wann haftet der Cloudanbieter auf Schadensersatz?

Als zentrale Anspruchsgrundlage kommt § 280 Abs. 1 BGB in Betracht.

Danach kann ein Unternehmen Schadensersatz verlangen, wenn der Anbieter eine vertragliche Pflicht verletzt und hierdurch ein ersatzfähiger Schaden entsteht. Der Anspruch ist ausgeschlossen, wenn der Anbieter die Pflichtverletzung nicht zu vertreten hat.

Für eine erfolgreiche Geltendmachung sind insbesondere folgende Voraussetzungen entscheidend:

1. Es muss eine vertragliche Pflichtverletzung vorliegen.

2. Der Anbieter muss die Pflichtverletzung grundsätzlich zu vertreten haben.

3. Dem Unternehmen muss ein konkreter Schaden entstanden sein.

4. Zwischen Pflichtverletzung und Schaden muss ein ursächlicher Zusammenhang bestehen.

5. Der Schaden muss dem Anbieter rechtlich zurechenbar sein.

Ein technischer Ausfall führt somit nicht automatisch zu einer Schadensersatzpflicht.

Allerdings enthält § 280 Abs. 1 Satz 2 BGB eine für geschädigte Unternehmen wichtige Beweislastregel: Das Vertretenmüssen wird bei feststehender Pflichtverletzung grundsätzlich vermutet. Der Anbieter muss sich insoweit entlasten.

Eine Haftung kann insbesondere dann in Betracht kommen, wenn eine Störung auf unzureichende technische Sicherheitsvorkehrungen, fehlerhafte Konfigurationsänderungen, vermeidbare Organisationsmängel oder die Verletzung vertraglich vereinbarter Wiederherstellungspflichten zurückzuführen ist.

Anders kann die Bewertung ausfallen, wenn die Störung trotz angemessener technischer und organisatorischer Maßnahmen nicht vermeidbar war.

Eine ausdrücklich übernommene Garantie kann die Haftung zusätzlich beeinflussen. Ob eine Verfügbarkeitszusage tatsächlich eine verschuldensunabhängige Einstandspflicht begründet, hängt allerdings von ihrem genauen Inhalt ab.

4. Welche Schäden können Unternehmen ersetzt verlangen?

Ein Cloud-Ausfall kann unterschiedliche Schadenspositionen verursachen.

Besonders relevant sind konkrete zusätzliche Aufwendungen, die ein Unternehmen zur Überbrückung der Störung tätigen musste.

Dazu können beispielsweise gehören:

• Kosten für kurzfristig bereitgestellte Ersatzsysteme,

• zusätzliche Aufwendungen für IT-Dienstleister,

• Kosten einer alternativen Kommunikationsinfrastruktur,

• notwendige Maßnahmen zur Datenwiederherstellung,

• konkrete Verzögerungsschäden,

• Vertragsstrafen infolge versäumter Verpflichtungen,

• nachweisbare Verluste einzelner Geschäftsabschlüsse.

Auch entgangener Gewinn kann gemäß § 252 BGB grundsätzlich ersatzfähig sein.

Hier bestehen allerdings erhebliche Anforderungen an die Darlegung des Schadens. Ein Unternehmen muss anhand konkreter Umstände nachvollziehbar machen, dass der Gewinn ohne den Ausfall mit hinreichender Wahrscheinlichkeit erzielt worden wäre.

Allgemeine Aussagen wie „Unsere Mitarbeiter konnten mehrere Stunden nicht arbeiten“ oder „Wir haben wegen des Ausfalls Umsätze verloren“ reichen für einen Schadensersatzanspruch regelmäßig nicht aus.

Erforderlich ist vielmehr eine konkrete Zuordnung zwischen dem Ausfall und dem behaupteten wirtschaftlichen Nachteil.

5. Wenn eine wichtige E-Mail nicht ankommt: Wer trägt das Risiko?

Besonders komplex wird die Haftungsfrage, wenn der Ausfall eines Cloud- oder E-Mail-Dienstes eine Kette weiterer Ereignisse auslöst.

Ein Beispiel hierfür ist eine automatisierte Warnmeldung, die aufgrund einer technischen Störung nicht rechtzeitig beim vorgesehenen Empfänger eingeht.

Nach öffentlich berichteten Informationen soll es im Hotel Ling Bao des Phantasialands im Zusammenhang mit einer Störung der E-Mail-Kommunikation zu einem Vorfall mit Verletzten gekommen sein. Berichtet wurde, dass Warnmeldungen eines Systems zur Überwachung des Chlorgehalts eines Pools nicht rechtzeitig angekommen seien.

Ob und in welchem Umfang die berichtete Microsoft-Störung tatsächlich ursächlich für den Vorfall war, bedarf einer eigenständigen technischen und rechtlichen Prüfung.

Der Fall verdeutlicht jedoch eine grundsätzliche Problematik: Digitale Kommunikationssysteme werden zunehmend auch für Prozesse eingesetzt, bei denen ein technischer Ausfall erhebliche Sach- oder Personenschäden nach sich ziehen kann.

Für eine mögliche Haftung des Cloudanbieters wären insbesondere folgende Fragen entscheidend:

• Wurde die Warn-E-Mail tatsächlich wegen des Cloud-Ausfalls nicht zugestellt oder konnte sie lediglich nicht abgerufen werden?

• Hätte die Nachricht bei ordnungsgemäßem Betrieb rechtzeitig vorgelegen?

• Wäre der Schaden bei rechtzeitigem Zugang mit hinreichender Wahrscheinlichkeit verhindert worden?

• Welche zusätzlichen Sicherheitsmechanismen waren vorgesehen?

• War dem Cloudanbieter die sicherheitskritische Nutzung bekannt oder musste er damit rechnen?

• Welche Pflichten trafen den Betreiber der technischen Anlage sowie beteiligte Hersteller und Wartungsunternehmen?

Erst anhand dieser Umstände lässt sich beurteilen, ob der eingetretene Schaden dem Cloudanbieter rechtlich zugerechnet werden kann.

Nicht jede Folge eines technischen Ausfalls begründet automatisch einen ersatzfähigen Schaden gegenüber dem Anbieter.

6. Kausalität: Die größte Herausforderung bei Schadensersatzansprüchen

In der Praxis scheitern Schadensersatzforderungen häufig nicht daran, dass eine technische Störung bestritten wird, sondern daran, dass sich die konkrete Schadenskette nicht ausreichend nachweisen lässt.

Unternehmen müssen nachvollziehbar darlegen können, welcher Dienst wann ausgefallen ist, welcher Geschäftsprozess dadurch beeinträchtigt wurde und welcher konkrete Schaden gerade hierdurch entstanden ist.

Bei ausgebliebenen E-Mails ist insbesondere zwischen dem Versand, der technischen Annahme durch den empfangenden Server und der tatsächlichen Abrufbarkeit zu unterscheiden.

Allein der Nachweis, dass eine Nachricht abgesendet wurde, beweist grundsätzlich noch nicht ihren Zugang beim Empfänger.

Für die spätere Anspruchsdurchsetzung können deshalb technische Protokolle, Zeitstempel, Incident-Nummern und Supportberichte entscheidend sein.

Ebenso wichtig ist die Dokumentation des hypothetischen Geschehensablaufs: Was wäre ohne den Ausfall geschehen? Welche Handlung wäre vorgenommen worden? Und weshalb wäre der Schaden dadurch verhindert worden?

Je komplexer die Schadenskette ist, desto höher sind regelmäßig die praktischen Anforderungen an ihre Aufklärung.

7. Mitverschulden: Müssen Unternehmen für Ausfälle vorsorgen?

Selbst wenn eine Pflichtverletzung des Cloudanbieters feststeht, kann ein Schadensersatzanspruch durch ein Mitverschulden des betroffenen Unternehmens reduziert werden.

§ 254 BGB berücksichtigt insbesondere, ob der Geschädigte durch eigenes Verhalten zur Entstehung oder Vergrößerung des Schadens beigetragen hat.

Bei gewöhnlichen Büroanwendungen wird ein Unternehmen nicht für jede denkbare technische Störung eine vollständig unabhängige Ersatzinfrastruktur vorhalten müssen.

Anders kann die Bewertung jedoch bei sicherheitskritischen Prozessen ausfallen.

Wer beispielsweise die Überwachung einer gefährlichen technischen Anlage ausschließlich von einer einzelnen E-Mail-Warnung abhängig macht, muss sich unter Umständen fragen lassen, ob zusätzliche Schutzmechanismen erforderlich und zumutbar gewesen wären.

Hierzu können gehören:

• unabhängige Alarmierungswege per SMS oder Telefon,

• lokale Warnsysteme,

• automatische Sicherheitsabschaltungen,

• regelmäßige manuelle Kontrollen,

• alternative Kommunikationssysteme,

• dokumentierte Notfall- und Wiederherstellungsprozesse.

Ob entsprechende Maßnahmen rechtlich geschuldet sind, richtet sich nach dem konkreten Risiko, den technischen Möglichkeiten, dem Verwendungszweck und der Zumutbarkeit.

Eine allgemeine Verpflichtung zu vollständiger technischer Redundanz besteht nicht.

Je schwerwiegender jedoch die möglichen Folgen eines Ausfalls sind, desto größere Bedeutung kommt der eigenen Risikovorsorge zu.

8. Haftungsbeschränkungen in Cloudverträgen: Sind sie wirksam?

Cloudverträge enthalten häufig weitreichende Regelungen zur Begrenzung der Anbieterhaftung.

Typische Klauseln sehen vor, dass entgangener Gewinn oder bestimmte Folgeschäden ausgeschlossen werden. Andere begrenzen die Haftung auf einen festen Betrag oder auf die innerhalb eines bestimmten Zeitraums gezahlten Nutzungsentgelte.

Solche Regelungen sind jedoch nicht uneingeschränkt wirksam.

Auch im unternehmerischen Geschäftsverkehr unterliegen vorformulierte Vertragsbedingungen der AGB-rechtlichen Inhaltskontrolle nach §§ 305 ff. BGB, insbesondere § 307 BGB.

Dabei ist unter anderem zu berücksichtigen, ob eine Haftungsbeschränkung wesentliche Vertragspflichten betrifft und ob der Vertragszweck durch die Klausel gefährdet wird.

Für vorsätzlich verursachte Schäden kann die Haftung nach § 276 Abs. 3 BGB nicht im Voraus ausgeschlossen werden. Bei formularmäßigen Haftungsausschlüssen für grobe Fahrlässigkeit sowie für Schäden an Leben, Körper oder Gesundheit gelten ebenfalls besonders strenge Grenzen.

Die gesetzlichen Wertungen des § 309 Nr. 7 BGB sind dabei auch im unternehmerischen Geschäftsverkehr im Rahmen der Inhaltskontrolle von Bedeutung.

Ob eine bestimmte Haftungsbegrenzung Bestand hat, lässt sich deshalb nur anhand des konkreten Vertragswortlauts und der Umstände des Einzelfalls beurteilen.

9. Datenschutzrechtliche Folgen eines Cloud-Ausfalls

Neben vertraglichen Ansprüchen können bei Cloud-Störungen auch datenschutzrechtliche Fragen entstehen.

Allerdings stellt nicht jeder vorübergehende Ausfall eines digitalen Dienstes automatisch eine Verletzung der Datenschutz-Grundverordnung dar.

Relevant wird das Datenschutzrecht insbesondere dann, wenn die Verfügbarkeit personenbezogener Daten beeinträchtigt wird und dies auf eine Verletzung datenschutzrechtlicher Pflichten zurückzuführen ist.

Art. 32 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter unter Berücksichtigung der gesetzlichen Kriterien zu geeigneten technischen und organisatorischen Maßnahmen. Dazu gehört auch die Fähigkeit, die Verfügbarkeit personenbezogener Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen.

Unter den Voraussetzungen des Art. 82 DSGVO können zudem Schadensersatzansprüche betroffener Personen entstehen.

Für Unternehmen sind dabei zwei unterschiedliche Haftungsebenen zu beachten: Einerseits können sie selbst Ansprüche gegen ihren Cloudanbieter haben. Andererseits können sie gegenüber Kunden, Beschäftigten oder anderen betroffenen Personen datenschutzrechtlich verantwortlich bleiben.

Ein schwerwiegender Cloud-Ausfall sollte daher stets auch unter dem Gesichtspunkt der Datensicherheit, der Wiederherstellbarkeit und möglicher Meldepflichten geprüft werden.

10. Was Unternehmen nach einem Microsoft-365-Ausfall tun sollten

Die Erfolgsaussichten möglicher Ansprüche hängen wesentlich davon ab, wie sorgfältig ein Unternehmen den Vorfall dokumentiert.

Bereits während der Störung sollten relevante technische und organisatorische Informationen gesichert werden.

Besonders wichtig sind:

1. Vertragsunterlagen prüfen: Cloudvertrag, SLA, Haftungsregelungen und anwendbare Geschäftsbedingungen zusammenstellen.

2. Ausfall dokumentieren: Beginn, Ende, betroffene Dienste, Nutzergruppen und konkrete Fehlermeldungen festhalten.

3. Technische Nachweise sichern: Statusmeldungen, Incident-Nummern, Mailserver-Protokolle und Supporttickets aufbewahren.

4. Schäden konkret erfassen: Zusätzliche Kosten, ausgefallene Geschäftsprozesse, versäumte Fristen und verlorene Aufträge einzeln dokumentieren.

5. Servicegutschriften beantragen: Vertragliche Antragsfristen beachten und die Voraussetzungen der jeweiligen SLA-Regelungen prüfen.

6. Schadensursachen aufklären: Technische Ursache, mögliche Pflichtverletzungen und die konkrete Schadenskette untersuchen.

7. Eigene Sicherheitsmaßnahmen überprüfen: Notfallkonzepte, redundante Kommunikationswege und Backup-Verfahren bewerten.

8. Weitere Ansprüche prüfen: Neben vertraglichen Ansprüchen gegebenenfalls datenschutzrechtliche, versicherungsrechtliche und sonstige rechtliche Folgen berücksichtigen.

Besonders wichtig ist die zeitnahe Beweissicherung. Technische Protokolle und Statusinformationen stehen möglicherweise nicht unbegrenzt zur Verfügung.

Wer erst Wochen oder Monate nach einem Ausfall versucht, die genauen Abläufe zu rekonstruieren, riskiert erhebliche Beweisschwierigkeiten.