EVB-IT Cloudvertrag: von der Leistungsart bis zum Vertragsende
Sechs Schritte von der Frage, welche Leistungsart du überhaupt einkaufst, bis zu der Zusage, wie du am Ende wieder herauskommst.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Der Vertrag ist ausgefüllt und trotzdem unbestimmt
Cloudleistungen werden gern beschafft wie Standardsoftware: Der Bedarf steht in zwei Absätzen, das Angebot des Anbieters wird als Anlage beigefügt, und der Rest ergibt sich aus dem Muster. Das funktioniert bis zum ersten Vorfall. Dann stellt sich heraus, dass niemand festgelegt hat, in welchem Zeitraum die Verfügbarkeit gemessen wird, welche geplanten Wartungsfenster aus dieser Messung herausfallen und was passiert, wenn der zugesagte Wert über mehrere Monate hintereinander verfehlt wird.
Die zweite Stelle, an der es teuer wird, liegt am Anfang und am Ende. Am Anfang stehen die initialen Leistungen, also alles, was passieren muss, damit die Leistung überhaupt nutzbar ist: Einrichtung, Anbindung an bestehende Verzeichnisse, Übernahme von Bestandsdaten, Schulung der Administration. Am Ende stehen die Leistungen am Vertragsende, also der Export deiner Daten in einem Format, das ohne das Werkzeug des Anbieters lesbar ist, und die Löschung der Restbestände. Beides gehört ausdrücklich in den Vertrag, weil beides den Preis beeinflusst und ohne Vereinbarung nicht geschuldet ist.
Hinzu kommt eine Besonderheit des Musters selbst. Die umfassende Überarbeitung der EVB-IT, die das Bundesministerium für Digitales und Staatsmodernisierung am 20. März 2026 veröffentlicht hat, erfasste den EVB-IT Cloudvertrag nicht. Wer also Open Source als Standard oder eine Software Bill of Materials braucht, findet diese Punkte nicht im Vertragstyp und muss sie über die Leistungsbeschreibung, über Ausführungsbedingungen und über die Zuschlagskriterien in das Verfahren holen.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Der Ablauf von der Bedarfsbeschreibung bis zur Vertragsakte
Die Schritte bauen aufeinander auf. Wer den dritten Schritt vorzieht und die Leistung beschreibt, bevor die Leistungsart feststeht, beschreibt regelmäßig ein Produkt statt einer Anforderung und muss die Beschreibung nach der ersten Bieterfrage neu schreiben.
- 1
Leistungsart und Verantwortungsgrenze bestimmen
Kläre zuerst, was du einkaufst: Rechen- und Speicherleistung als Infrastruktur, eine Plattform, auf der eigene Anwendungen laufen, eine fertige Anwendung als Dienst oder einen betreuten Betrieb als Managed Cloud Service. Der EVB-IT Cloudvertrag deckt diese Leistungsarten ab, aber er entscheidet nicht für dich. Aus der Leistungsart folgt, wer für Betriebssystem, Middleware, Anwendung, Konfiguration und Daten zuständig ist, und alles Weitere hängt daran.
Geschafft, wenn: Ein Satz, der die Leistungsart benennt, und eine Tabelle, die für Betriebssystem, Plattform, Anwendung, Konfiguration und Daten jeweils eine Seite als zuständig ausweist.
- 2
Den Auftragswert über die gesamte Laufzeit schätzen
Maßgeblich ist der voraussichtliche Gesamtwert der vorgesehenen Leistung ohne Umsatzsteuer einschließlich Optionen und Vertragsverlängerungen, und maßgeblicher Zeitpunkt der Schätzung ist der Tag, an dem die Auftragsbekanntmachung abgesendet oder das Verfahren auf sonstige Weise eingeleitet wird. Legst du die Cloudleistung als Rahmenvereinbarung an, ist nach § 3 Absatz 4 VgV der geschätzte Gesamtwert aller Einzelaufträge über die gesamte Laufzeit zugrunde zu legen und nicht der Wert eines einzelnen Abrufs. Rechne die absehbare Ausweitung mit, denn Cloudleistungen wachsen mit der Nutzung.
Geschafft, wenn: Eine nachvollziehbare Wertermittlung mit Laufzeit, Optionen, Verlängerungen und erwartetem Mengenwachstum, aus der sich ergibt, ob du oberhalb oder unterhalb der Schwellenwerte vergibst.
- 3
Die Leistung über Merkmale beschreiben
In der Leistungsbeschreibung darf nicht so auf ein bestimmtes Produkt, ein Verfahren oder gewerbliche Schutzrechte verwiesen werden, dass bestimmte Unternehmen begünstigt oder ausgeschlossen werden, es sei denn, der Verweis ist durch den Auftragsgegenstand gerechtfertigt oder die Leistung lässt sich anders nicht hinreichend genau und allgemein verständlich beschreiben. Solche Verweise sind zwingend mit dem Zusatz oder gleichwertig zu versehen. Nach § 31 Absatz 3 VgV dürfen sich Merkmale auch auf den Herstellungsprozess oder ein anderes Stadium im Lebenszyklus beziehen, solange sie in Verbindung mit dem Auftragsgegenstand stehen und verhältnismäßig sind.
Geschafft, wenn: Eine Leistungsbeschreibung, die aus Merkmalen und Schnittstellen besteht, sowie eine Regel dafür, wie ein Bieter die Gleichwertigkeit seines Angebots nachweist.
- 4
Ergänzende Leistungen und Zuschlagskriterien festlegen
Trag die ergänzenden Leistungen einzeln ein: initiale Leistungen für Einrichtung und Datenübernahme, Ticketsystem mit Erreichbarkeit und Eskalationsweg, Reporting mit Inhalt und Rhythmus, Datenschutz und IT-Sicherheit mit den Nachweisen, die du tatsächlich lesen willst. Parallel entscheidest du über die Zuschlagskriterien. Neben Preis oder Kosten sind qualitative, umweltbezogene und soziale Kriterien zulässig, ausdrücklich auch Aspekte der digitalen Souveränität nach § 58 Absatz 2 Satz 2 Nummer 4 VgV. Die Gewichtung ist in der Auftragsbekanntmachung oder den Vergabeunterlagen anzugeben.
Geschafft, wenn: Ein ausgefüllter Katalog ergänzender Leistungen und eine gewichtete Wertungsmatrix, die dieselben Begriffe verwendet wie die Leistungsbeschreibung.
- 5
Verfügbarkeit, Servicezeiten und Folgen definieren
Eine Verfügbarkeitszusage besteht aus vier Teilen, und der Prozentwert ist nur einer davon. Der Messzeitraum sagt, über welchen Zeitraum gemittelt wird. Die Bezugsgröße sagt, was als verfügbar gilt, also der Dienst insgesamt, eine bestimmte Funktion oder eine Antwortzeit. Die Ausnahmen sagen, was aus der Messung herausfällt, typischerweise angekündigte Wartungsfenster. Die Folge sagt, was passiert, wenn der Wert verfehlt wird. Ohne den vierten Teil ist die Zusage eine Absichtserklärung. Nenne keine Werte, die du nicht auch messen kannst.
Geschafft, wenn: Eine Verfügbarkeitsregel, die für sich lesbar ist, und eine Servicezeit, die zu den Arbeitszeiten der Menschen passt, die den Dienst nutzen.
- 6
Vertragsende regeln und die Akte schließen
Die Leistungen am Vertragsende gehören in denselben Vertrag wie der Einstieg. Vereinbare das Exportformat, ein Zeitfenster nach Vertragsende, in dem der Zugang zum Export noch besteht, und die Löschung einschließlich der Sicherungen. Danach schließt du die Vergabeakte. Dokumentation, Vergabevermerk, Angebote und Teilnahmeanträge sind nach § 8 Absatz 4 VgV bis zum Ende der Vertragslaufzeit aufzubewahren, mindestens jedoch drei Jahre ab dem Tag des Zuschlags.
Geschafft, wenn: Eine Ausstiegsregel, die ohne Verhandlung funktioniert, und eine Vergabeakte, die die Aufbewahrungsfrist übersteht.
Sechs Stationen einer Cloudbeschaffung
- 01 Leistungsart festlegen: IaaS, PaaS, SaaS oder Managed Cloud Service, und damit die Verantwortungsgrenze.
- 02 Auftragswert über die gesamte Laufzeit einschließlich Optionen und Verlängerungen schätzen.
- 03 Leistung über Merkmale beschreiben, Produktverweise nur ausnahmsweise und mit dem Zusatz oder gleichwertig.
- 04 Ergänzende Leistungen ausfüllen: initiale Leistungen, Ticketsystem, Reporting, Datenschutz, IT-Sicherheit.
- 05 Verfügbarkeit definieren: Messzeitraum, Bezugsgröße, Ausnahmen und die Folge eines Unterschreitens.
- 06 Vertragsende regeln: Exportformat, Zugangsfenster nach Vertragsende, Löschung der Restbestände.
Die sechs Angaben, an denen der Vertrag später gemessen wird
Der EVB-IT Cloudvertrag ist ein Rahmen, den du füllst. Diese sechs Punkte entscheiden darüber, ob der ausgefüllte Vertrag im Betrieb trägt. Sie stehen in der Reihenfolge, in der du sie sinnvollerweise bearbeitest, weil jeder Punkt den nächsten voraussetzt.
Leistungsart vor Leistungsumfang klären
IaaS, PaaS, SaaS und Managed Cloud Services unterscheiden sich darin, wo die Grenze zwischen deiner und der Verantwortung des Anbieters verläuft. Diese Grenze bestimmt, welche Zusagen du überhaupt verlangen kannst, und sie gehört an den Anfang, nicht in eine Fußnote.
Den Auftragswert über die gesamte Laufzeit rechnen
Maßgeblich ist nach § 3 Absatz 1 VgV der voraussichtliche Gesamtwert ohne Umsatzsteuer einschließlich Optionen und Vertragsverlängerungen. Bei Cloudleistungen ist das die häufigste Fehlerquelle, weil der Monatspreis klein wirkt und die Verlängerungsoptionen im Kopf niemandes Rechnung auftauchen.
Produktneutral beschreiben und Gleichwertigkeit zulassen
Ein Verweis auf ein bestimmtes Produkt ist nach § 31 Absatz 6 VgV nur ausnahmsweise zulässig und dann zwingend mit dem Zusatz oder gleichwertig zu versehen. Beschreibe deshalb Merkmale, Schnittstellen und Betriebsanforderungen, nicht den Namen des Dienstes, den du im Kopf hast.
Die ergänzenden Leistungen wirklich ausfüllen
Initiale Leistungen, Ticketsystem, Reporting, Datenschutz und IT-Sicherheit sind im Vertrag vorgesehen, aber nicht vorbelegt. Jede Zeile, die du leer lässt, ist eine Leistung, die nicht geschuldet ist und die du später zum Listenpreis nachkaufst.
Verfügbarkeit als Definition schreiben, nicht als Zahl
Eine Prozentangabe ohne Messzeitraum, ohne Bezugsgröße und ohne Ausnahmenliste ist keine Zusage. Leg fest, worüber gemessen wird, in welchem Zeitraum, was aus der Messung herausfällt und welche Folge ein Unterschreiten hat, bevor du über den Wert selbst verhandelst.
Den Ausstieg vor dem Einstieg vereinbaren
Die Leistungen am Vertragsende gehören in den Vertrag, solange du noch Verhandlungsmacht hast. Dazu gehören ein Ausgabeformat, ein Zeitfenster nach Vertragsende, in dem der Zugang noch besteht, und eine Aussage dazu, wann die Daten aus den Sicherungen des Anbieters verschwinden.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Was der EVB-IT Cloudvertrag abdeckt und was du daneben regeln musst
Der Vertrag ist auf die Beschaffung von Cloudleistungen zugeschnitten und deckt neben der eigentlichen Leistung eine Reihe ergänzender Punkte ab: initiale Leistungen, Leistungen am Vertragsende, Ticketsystem, Reporting, Datenschutz und IT-Sicherheit. Er steht als eigenständiges Muster neben den Basis- und Systemverträgen, auch wenn eine Cloudleistung selten allein steht und meist in eine bestehende Landschaft eingebunden wird.
Von der Überarbeitung, die am 26. November 2025 vom IT-Planungsrat beschlossen und am 20. März 2026 veröffentlicht wurde, war der Cloudvertrag nicht erfasst. Die dort eingeführten Punkte, also Open Source als Standard, die Software Bill of Materials und die Vorgaben zu barrierefreien Dokumentenformaten, findest du in diesem Muster deshalb nicht. Das ist kein Grund, auf sie zu verzichten. Es heißt nur, dass du sie an einer anderen Stelle des Verfahrens unterbringst.
Praktisch bedeutet das drei Ergänzungen. Anforderungen an offene Formate und Schnittstellen gehören als Merkmale in die Leistungsbeschreibung. Eine strukturierte Übersicht über die eingesetzten Softwarekomponenten kannst du als Ausführungsbedingung verlangen, wenn sie in Verbindung mit dem Auftragsgegenstand steht. Und die Frage, wie abhängig dich ein Angebot macht, gehört als Zuschlagskriterium in die Wertung, wo § 58 Absatz 2 Satz 2 Nummer 4 VgV inzwischen ausdrücklich Aspekte der digitalen Souveränität nennt.
Der Auftragswert ist bei Cloudleistungen die häufigste Fehlerquelle
Cloudleistungen werden monatlich abgerechnet, und ein Monatspreis wirkt harmlos. Für die Vergabe zählt aber der voraussichtliche Gesamtwert ohne Umsatzsteuer einschließlich Optionen und Vertragsverlängerungen. Eine Leistung mit einer Grundlaufzeit und zwei Verlängerungsoptionen ist damit ein Mehrfaches dessen, was in der Bedarfsmeldung steht, und die Frage, ob ein europaweites Verfahren nötig ist, beantwortet sich anders als gedacht.
Maßgeblicher Zeitpunkt der Schätzung ist der Tag, an dem die Auftragsbekanntmachung abgesendet wird oder das Verfahren auf sonstige Weise eingeleitet wird. Was danach passiert, ändert die Schätzung nicht rückwirkend, entlastet dich aber auch nicht, wenn die Schätzung von vornherein unrealistisch war. Bei einer Rahmenvereinbarung ist nach § 3 Absatz 4 VgV der geschätzte Gesamtwert aller Einzelaufträge während der gesamten Laufzeit zugrunde zu legen.
Für die Einordnung brauchst du außerdem den richtigen Schwellenwert. Für Liefer- und Dienstleistungsaufträge gilt in der Periode 2026 und 2027 für die übrigen öffentlichen Auftraggeber, also Länder, Kommunen und sonstige öffentliche Auftraggeber, ein Wert von 216.000 Euro ohne Umsatzsteuer. Für das Bundeskanzleramt und die Bundesministerien liegt der Wert nach § 106 Abs. 2 Nr. 1 GWB mit 140.000 Euro ohne Umsatzsteuer deutlich niedriger, und genau dieser Unterschied wird in der Praxis am häufigsten übersehen.
Verfügbarkeit ist eine Definition, keine Zahl
In Angeboten steht ein Prozentwert, und in Gesprächen wird über diesen Wert verhandelt. Dabei entscheidet der Wert am wenigsten. Ob eine Zusage etwas wert ist, hängt an der Bezugsgröße, am Messzeitraum und an der Ausnahmenliste. Derselbe Prozentwert kann eine harte Zusage oder eine Selbstverständlichkeit sein, je nachdem, ob über den Dienst insgesamt oder über eine einzelne Komponente gemessen wird und ob Wartungsfenster herausfallen.
Der Messzeitraum ist der zweite Hebel. Ein über ein Jahr gemittelter Wert erlaubt einen langen Ausfall in einem einzigen Monat, ohne dass die Zusage verletzt wird. Ein monatlich gemessener Wert bildet die Erfahrung der Nutzenden deutlich besser ab. Wenn du beides willst, also einen Jahreswert für die Gesamtbetrachtung und eine Untergrenze je Monat, gehört das ausdrücklich in den Vertrag, weil es aus dem Prozentwert allein nicht folgt.
Die Folge eines Unterschreitens ist der Teil, der am häufigsten fehlt. Eine Gutschrift, deren Höhe unter dem Schaden liegt, den ein Ausfall verursacht, ist keine Steuerung, sondern eine Verrechnung. Tragfähig wird die Regel erst, wenn zusätzlich eine Eskalationsstufe vorgesehen ist, also etwa eine Analyse mit Maßnahmenplan nach dem zweiten verfehlten Monat und ein Kündigungsrecht nach mehreren aufeinanderfolgenden Verfehlungen. Diese Stufen kosten in der Verhandlung wenig und wirken im Ernstfall.
Der Ausstieg gehört an den Anfang
Die Leistungen am Vertragsende sind im EVB-IT Cloudvertrag ausdrücklich vorgesehen, und das ist die Gelegenheit, den Ausstieg zu regeln, solange du noch auswählen kannst. Nach Vertragsschluss verhandelst du gegen einen Anbieter, dessen wirtschaftliches Interesse dem deinen entgegensteht, und beim tatsächlichen Wechsel verhandelst du unter Zeitdruck.
Drei Angaben genügen für eine tragfähige Regel. Erstens das Format: Die Daten müssen in einem Format herausgegeben werden, das ohne das Werkzeug des Anbieters lesbar ist, sonst hast du einen Export, den nur der bisherige Anbieter interpretieren kann. Zweitens das Zeitfenster: Ein Zugang, der am letzten Vertragstag erlischt, macht den Export wertlos, weil die Migration Zeit braucht. Drittens die Löschung: Eine Löschung im Produktivsystem sagt nichts über die Sicherungen, deshalb gehört die Frist, nach der die Daten aus den Sicherungsläufen fallen, in den Vertrag.
Der Ausstieg hat außerdem eine vergaberechtliche Seite. Wenn ein Wechsel praktisch unmöglich ist, weil die Daten nicht herauskommen, entsteht bei der Folgevergabe genau die Situation, in der ein Verhandlungsverfahren ohne Teilnahmewettbewerb naheliegt. § 14 Absatz 6 VgV stellt für die Fälle des Alleinstellungsmerkmals aber ausdrücklich klar, dass der fehlende Wettbewerb nicht auf einer künstlichen Einschränkung der Vergabeparameter beruhen darf. Eine Abhängigkeit, die du selbst vertraglich hergestellt hast, trägt den Tatbestand deshalb nicht.
Dazu passende Kurse
Wer die Angaben nicht zum ersten Mal im laufenden Verfahren zusammensuchen will, kann den Cloudvertrag an einem eigenen Leistungsschein durchspielen .
Weil der Vertrag nur die zweite Hälfte des Verfahrens ist, lohnt daneben Verfahrenswissen rund um die Beschaffung von Cloudleistungen .
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Wo du genau das übst
Frau Keller hat das Thema mit hoher fachlicher Kompetenz und sympathisch vermittelt.
Das war sehr informativ und kann mir in der Praxis gut weiterhelfen.
Es war ein komplett neues Feld für mich gewesen. Vielen Dank für Einführung und Vertiefung!
Häufige Fragen
Gilt der EVB-IT Cloudvertrag auch für SaaS-Angebote von kleinen Anbietern?
Warum ist der Cloudvertrag nicht mit überarbeitet worden?
Welche Verfügbarkeit sollen wir verlangen?
Wie rechnet ein Cloudanbieter gegenüber dem Bund ab?
Können wir Cloudleistungen über eine Rahmenvereinbarung beschaffen?
Wie lange müssen wir die Unterlagen aufbewahren?
Passt thematisch dazu
Die Leistung regelt der Cloudvertrag, die Verarbeitung personenbezogener Daten dagegen nicht, deshalb gehören die Pflichtbestandteile eines Auftragsverarbeitungsvertrags vor die Unterschrift auf denselben Tisch.
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem Vergaberecht-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Den Leistungsschein einmal an einem echten Fall ausfüllen
Bei cmt gehst du den EVB-IT Cloudvertrag an einem konkreten Beschaffungsfall durch, von der Leistungsart über die ergänzenden Leistungen bis zu der Frage, wie du am Ende wieder herauskommst. Diese Seite ordnet ein und ersetzt keine Rechtsberatung, denn im Einzelfall hängt viel an Details, die hier nicht abgebildet sind.
Passt dazu
- Welcher EVB-IT Vertrag zu deinem IT-Vorhaben passt
- Wartung, Pflege und Support vertraglich regeln: Reaktionszeit ist keine Wiederherstellungszeit
- So schätzt du den Auftragswert, ohne die Schwelle zu reißen
- Rahmenvereinbarung für IT-Leistungen: wie Abrufe funktionieren und wo die Mengengrenze liegt