Robotik Werkstattvertrag: Zwölf Klauselblöcke für RaaS-Wartungsverträge

Robotik Werkstattvertrag: Warum Standardklauseln nicht ausreichen

Ein Robotik Werkstattvertrag aus dem Maschinenbau-Baukasten erfasst etwa 40 Prozent der Streitpunkte [Quelle ergänzen], die im laufenden Betrieb eines Sicherheitsroboters auftreten. Sicherheitsroboter sind keine Werkzeugmaschinen. Sie erzeugen forensische Daten, treffen autonome Bewegungsentscheidungen und greifen aktiv in Sicherheitsprozesse ein. Ein BGB-Werkvertrag nach §§ 631 ff. regelt die Reparatur einer defekten Komponente. Er regelt nicht, wem die Patrouillendaten gehören, wer Modell-Updates verantwortet und wie eine Verfügbarkeitsgarantie zu messen ist.

Die EU-Maschinenverordnung 2023/1230 verpflichtet zu dokumentierten Wartungszyklen für autonome Maschinensysteme. Standardverträge liefern diese Dokumentation nicht. Ergänzend definiert die Norm EN ISO 13482 Sicherheitsanforderungen für persönliche Pflegeroboter und liefert die Referenz für Wartungsdokumentation autonomer mobiler Systeme. Wer einen Sicherheitsroboter ohne Bezug auf diese Quellen vertraglich bindet, verlagert das Auslegungsrisiko vollständig ins eigene Haus.

Bei KRITIS-Anlagen kommt eine dritte Ebene hinzu: Der Vertrag muss mit den Meldepflichten nach KRITIS-Dachgesetz kompatibel sein. Der Betreiber ist innerhalb von 24 Stunden an das BBK meldepflichtig. Die Informationskette zwischen Dienstleister und Betreiber muss vertraglich abgesichert sein.

Aus 36 Monaten RaaS-Betrieb haben wir zwölf Klauselblöcke isoliert, die 95 Prozent der praktischen Streitfälle abdecken [Quelle ergänzen]. Strukturell weicht ein Werkstattvertrag im Robotics-as-a-Service Modell von einem klassischen Wartungsvertrag ab. Das Eigentum am Roboter bleibt durchgehend beim Anbieter, und die Hardware-Wartung ist in der Monatsrate enthalten. Der Vertrag regelt daher Service und Verfügbarkeit, nicht Eigentumsübergang.

Leistungsumfang, SLA und Verfügbarkeit: Klauselblöcke 1 bis 3

Klausel 1 (Leistungsumfang). Der Leistungsumfang trennt Hardware-Wartung und Software-Pflege. Hardware umfasst Akku, Sensoren, Antrieb, Chassis. Software umfasst Modell-Updates, Sicherheits-Patches, Firmware. Beide Bereiche werden separat dokumentiert, weil sie unterschiedliche Eskalationspfade haben. Ein Sensorausfall ist ein Vor-Ort-Einsatz. Ein Modell-Update ist ein OTA-Vorgang.

Klausel 2 (Verfügbarkeit). Für QR-2 für 24/7-Außenpatrouille liegt der SLA-Zielwert bei 98 Prozent Verfügbarkeit im 30-Tage-Mittel. Die Messung erfolgt an patrouillierten Stunden pro Schichtplan, nicht an Kalenderstunden. Geplante Wartungsfenster sind ausgenommen, müssen aber 72 Stunden im Voraus angekündigt werden.

Klausel 3 (Reaktionszeit). Vor-Ort-Einsatz binnen 24 Stunden für QR-1 und QR-2. Für QR-3 für KRITIS-Standorte gilt eine verschärfte Reaktionszeit von 12 Stunden. Pönale bei SLA-Unterschreitung: anteilige Erstattung der Monatsrate, gedeckelt auf 100 Prozent der Monatsgebühr. Höhere Gewalt wird eng definiert. Naturereignisse wie Hochwasser oder Sturm fallen darunter, Lieferkettenstörungen einzelner Komponenten ausdrücklich nicht. Der Dienstleister trägt das Beschaffungsrisiko seiner eigenen Lieferkette.

Was hier funktioniert: klare Messmethodik, eindeutige Pönale. Was hier nicht funktioniert: Verfügbarkeit über Kalenderstunden zu definieren, weil dann Nachtstunden ohne Patrouillenauftrag den Durchschnitt verzerren.

Datenhoheit, DSGVO und forensische Auswertung: Klauselblöcke 4 bis 6

Klausel 4 (Eigentum an Daten). Das Eigentum an Roh-Videodaten verbleibt vollständig beim Betreiber. Modell-Trainingsdaten werden in einem separaten Anhang geregelt und ausschließlich anonymisiert verwendet. Ein pauschales Nutzungsrecht des Dienstleisters für KI-Training auf Kundendaten ist abzulehnen.

Klausel 5 (Auftragsverarbeitung). Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist Pflichtanhang, nicht Option. Er definiert Zweck, Dauer, Art und Umfang der Verarbeitung, die Kategorien betroffener Personen und die technisch-organisatorischen Maßnahmen. Ohne AVV ist der Vertrag DSGVO-widrig.

Klausel 6 (Speicherfristen und Zugriff). Standardspeicherfrist für Patrouillenmaterial: 72 Stunden. Vorfallaufzeichnungen 30 Tage, mit dokumentierter Sicherheitsbegründung im Einzelfall verlängerbar. Zugriffsrechte des Dienstleisters auf Live-Streams sind ausschließlich auf Störungsbehebung beschränkt und protokollpflichtig. Jeder Zugriff erzeugt einen Audit-Log-Eintrag, der dem Betreiber monatlich zugänglich ist.

Bei KRITIS-Einsatz wird die Datenverarbeitung vertraglich auf DACH-Rechenzentren beschränkt. Hyperscaler-Regionen außerhalb Deutschlands, Österreichs oder der Schweiz sind ausgeschlossen, auch wenn sie EU-rechtlich zulässig wären. Diese Verschärfung folgt aus dem KRITIS-Dachgesetz-Entwurf. Er stellt dokumentierte Resilienz- und Meldeketten zwischen Betreiber und Dienstleister als Anforderung.

Haftung, Versicherung und Schadensgrenzen: Klauselblöcke 7 bis 9

Klausel 7 (Haftungshöchstbetrag). Pro Schadensfall die zwölffache Monatsrate. Bei Personenschäden gilt die gesetzliche Mindestdeckung von 7,5 Mio. EUR [Quellenbeleg z. B. § 10 ProdHaftG oder einschlägige Verordnung ergänzen]. Eine pauschale Haftungsbegrenzung auf eine Jahresrate ist bei sicherheitsrelevanten Diensten unangemessen niedrig und hält einer AGB-Prüfung nach § 307 BGB nicht stand.

Klausel 8 (Produkthaftung). Die Produkthaftung nach ProdHaftG verbleibt beim Hersteller des Roboters. Der Werkstattvertrag regelt ausschließlich Wartungsverschulden. Wenn ein Konstruktionsfehler zum Schaden führt, läuft der Anspruch gegen den Hersteller, nicht gegen den Wartungsdienstleister. Diese Trennung muss vertraglich klar sein. Im RaaS-Modell sind Hersteller und Dienstleister häufig identisch, nehmen aber juristisch unterschiedliche Rollen ein.

Klausel 9 (Cyber-Haftung). Die Cyber-Haftung ist gesondert auszuweisen. Der häufigste Streitpunkt: Ein Angreifer dringt über die Roboter-Schnittstelle in das IT-Netz des Betreibers ein. Wer haftet? Vertraglich wird festgelegt, dass der Dienstleister für die Härtung der Roboter-Schnittstelle haftet, der Betreiber für die Segmentierung seines Netzwerks. Die Betriebshaftpflicht des Dienstleisters liegt bei mindestens 10 Mio. EUR mit jährlichem Nachweis [Quellenbeleg ergänzen]. Ein Regressverzicht des Dienstleisters greift bei grober Fahrlässigkeit des Betreibers. Beispiele: unautorisierte Hardware-Modifikation oder Umgehung der Sicherheitsupdates.

Die NIS-2-Richtlinie 2022/2555 erweitert die Pflichten auf Lieferanten und Dienstleister kritischer Einrichtungen. Wer im KRITIS-Sektor einkauft, muss die Haftungsklauseln daran ausrichten. Mehr dazu in unserer Analyse zur NIS-2-Vorstandshaftung.

Laufzeit, Kündigung und Exit-Übergabe: Klauselblöcke 10 bis 12

Klausel 10 (Laufzeit). Mindestlaufzeit 24 Monate im RaaS-Modell. Diese Frist deckt Amortisation der initialen Hardware-Bereitstellung und Lernkurve im Standortbetrieb. Nach 24 Monaten gilt eine Kündigungsfrist von 3 Monaten zum Monatsende. Längere Bindungen ohne Sonderkündigungsrechte sind in der Praxis weder durchsetzbar noch sinnvoll.

Klausel 11 (Außerordentliche Kündigung). Bei drei dokumentierten SLA-Verstößen innerhalb von sechs Monaten besteht ein außerordentliches Kündigungsrecht ohne Frist. Diese Klausel verhindert eine fortdauernde Vertragsbindung bei systematischer Schlechtleistung. Im Gegenzug erhält der Dienstleister ein außerordentliches Kündigungsrecht bei Zahlungsverzug über zwei Monatsraten.

Klausel 12 (Exit-Übergabe). Vollständige Datenrückgabe in maschinenlesbarem Format binnen 14 Tagen nach Vertragsende. Lösch-Bestätigung des Dienstleisters binnen 30 Tagen, mit Auflistung aller betroffenen Systeme. Die Hardware-Rückgabe erfolgt beim Dienstleister. Es gibt keine Restwertdiskussion, weil das Eigentum durchgehend beim Anbieter verbleibt. Diese Strukturentscheidung ist der zentrale Unterschied zum klassischen Wartungsvertrag.

Bei Anbieterwechsel sieht der Vertrag eine Stillhalteperiode von 60 Tagen mit Parallelbetrieb auf Wunsch vor. So kann der Betreiber den neuen Dienstleister einarbeiten, ohne eine Sicherheitslücke zu erzeugen. Die wirtschaftliche Bewertung dieses Modells im Vergleich zur Personaldienstleistung findet sich im TCO-Vergleich Wachschutz.

KRITIS-spezifische Zusatzklauseln

Für KRITIS-Betreiber reichen die zwölf Standardklauseln nicht. Fünf Zusatzklauseln werden als Sektor-Anhang ergänzt.

Meldepflicht. Der Dienstleister meldet sicherheitsrelevante Vorfälle binnen 24 Stunden an den Betreiber, parallel zur eigenen BBK-Meldung. Die Frist ist absolut, nicht werktäglich. Vorfallkategorien werden im Anhang abschließend definiert.

Hintergrundüberprüfung. Wartungspersonal mit Zugang zu KRITIS-Anlagen wird nach Sicherheitsüberprüfungsgesetz (SÜG) überprüft. Bei sektoraler KRITIS ist die Überprüfungsstufe dokumentiert. Subunternehmer-Personal unterliegt derselben Pflicht.

Resilienz-Nachweis. Verfügbarkeit auch bei Ausfall des öffentlichen Mobilfunknetzes. Dies erfordert redundante Anbindung über ein zweites Netz oder lokale Edge-Verarbeitung mit Pufferung. Der Nachweis erfolgt durch dokumentierte Resilienztests pro Quartal.

Subunternehmer. Nur zertifizierte Partner mit namentlicher Genehmigungspflicht durch den Betreiber. Eine pauschale Subunternehmer-Erlaubnis ist mit KRITIS-Pflichten unvereinbar.

Sektor-Spezifika. Krankenhaus, Energie und Wasser unterscheiden sich erheblich in Zugangs- und Eskalationsprotokollen. Krankenhäuser haben Patientenrechte und Hygienezonen. Energieanlagen haben Sperrbereiche nach ATEX-Klassen. Wasserwerke haben sensorische Anforderungen an Trinkwasserschutz. Jeder Sektor erhält einen eigenen Vertragsanhang, der diese Spezifika regelt. Die operative Umsetzung skizziert die KRITIS-Dachgesetz-Checkliste.

Preisanpassung und Indexierung über Laufzeit

Der Festpreis gilt für 24 Monate. Danach erfolgt eine jährliche Anpassung an den Verbraucherpreisindex Deutschland, gedeckelt auf 3 Prozent pro Jahr [Quellenbeleg für Indexbasis, z. B. Destatis VPI, ergänzen]. Diese Deckelung schützt den Betreiber vor inflationsbedingten Sprüngen. Vergleichsmaßstab für die Tarifentwicklung im Sicherheitsgewerbe liefern die BDSW-Branchendaten zu Personalkostenstrukturen, die als Vergleichsmaßstab für RaaS-Wartungsverträge dienen.

Sensor-Upgrades, etwa der Wechsel von QR-2 zu QR-3, werden als Vertragsänderung gepreist, nicht als Indexierung. Der Betreiber erhält ein neues Preisangebot mit eigener Mindestlaufzeit für die Zusatzkomponente. Zusatzleistungen wie Drohnen-Detektion oder LiDAR-Auswertung werden mit Stückpreis im Anhang geführt, nicht im Hauptvertrag versteckt.

Ab dem fünften Roboter greift eine Mengenstaffel mit 8 Prozent Rabatt auf die Monatsrate [internen Beleg oder Preisanlage verlinken]. Die Staffel wird in der Preisanlage dokumentiert und ist nicht verhandlungsabhängig. Transparenz schlägt Versteckkosten: keine Set-up-Gebühren, keine Trainings-Pauschalen außerhalb der Monatsrate. Die Drei-Tarif-Übersicht zeigt die Basis-Konditionen ohne Anhangverpflichtungen.

Was hier funktioniert: gedeckelte Indexierung, modulare Zusatzleistungen. Was hier nicht funktioniert: pauschale Eskalationsklauseln an Lohnindices, weil sie im RaaS-Modell keinen sachlichen Bezug haben.

Vom Mustervertrag zur Pilotvereinbarung in 14 Tagen

Der Weg vom Vertragsentwurf zum produktiven Betrieb dauert 14 Tage, wenn der Standort vorbereitet ist.

Tag 1 bis 3. Standortbegehung, Definition der Patrouillenrouten, Auswahl zwischen QR-1, QR-2 und QR-3. Die Entscheidung folgt dem Risikoprofil: Innenräume, Außenflächen, KRITIS-Klassifikation. Routenpunkte und Schichtfenster werden dokumentiert.

Tag 4 bis 7. Vertragsanpassung anhand der zwölf Klauselblöcke. Der AVV wird mit dem Datenschutzbeauftragten des Betreibers abgestimmt. Bei KRITIS-Standorten erfolgt parallel die Abstimmung der Sektor-Zusatzklauseln.

Tag 8 bis 10. Sicherheitsfreigabe, Netzwerkanbindung, Notfallprotokolle. Die IT des Betreibers gibt das Segment frei, in dem der Roboter operiert. Die Eskalationsketten zur Leitstelle werden getestet.

Tag 11 bis 14. Roboter-Auslieferung, Schichtübergabe, Start der SLA-Messung. Ab Tag 14 läuft der Vertrag produktiv.

Die Pilotphase umfasst 90 Tage mit verkürzter Kündigungsfrist bei dokumentierter Nichteignung. Diese Sonderregel ist Quarero-Standardangebot für Erstkunden. Sie schließt das Risiko aus, dass ein 24-Monats-Vertrag bei mangelnder Praxistauglichkeit zur Belastung wird. Die zwölf Klauselblöcke im Kontext des Gesamtmodells erklärt das Robotics-as-a-Service Modell.