Was gehört in einen IT-Betreuungsvertrag?

Ein IT-Betreuungsvertrag muss vor allem drei Fragen beantworten: Was ist enthalten? Was passiert bei einer Störung? Und wie endet die Zusammenarbeit? Hier steht, welche Punkte vor der Unterschrift geregelt sein sollten und woran Sie vage Formulierungen erkennen. Das ist eine allgemeine Orientierung und keine Rechtsberatung.

Woraus ein IT-Betreuungsvertrag besteht

Das kann ein einziges Dokument sein oder ein Paket aus mehreren. Wichtig ist, dass alle Teile vorhanden sind und zusammenpassen.

Die Bausteine eines IT-Betreuungsvertrags

Die Namen unterscheiden sich je nach Anbieter, die Inhalte sollten da sein.

1. RahmenvertragVertragspartner, Vergütung, Laufzeit, Haftung, Kündigung
2. Leistungsbeschreibungbetreute Systeme, regelmäßige Aufgaben, Ausschlüsse
3. Servicevereinbarung (SLA)Servicezeiten, Prioritäten, Reaktionszeiten
4. Auftragsverarbeitung (AVV)Umgang mit personenbezogenen Daten nach Art. 28 DSGVOin der Regel nötig
5. VertraulichkeitGeschäftsgeheimnisse und, wo nötig, Berufsgeheimnisse

Bei mir besteht das Vertragspaket aus Dienstleistungsvertrag, AVV und Vertraulichkeitsvereinbarung.

Leistungsumfang: Was genau betreut wird

„Betreuung der gesamten IT“ klingt umfassend, hilft im Streitfall aber wenig. Eine brauchbare Leistungsbeschreibung beantwortet diese Fragen:

• Systeme: Welche Arbeitsplätze, Server, Netzwerkgeräte, Cloud-Dienste und Fachanwendungen gehören dazu?
• Regelmäßige Aufgaben: Sind Updates, Überwachung, die Kontrolle der Datensicherung und die Dokumentation genannt?
• Ausschlüsse: Was gilt als Projekt und wird gesondert beauftragt, etwa ein Serverwechsel oder ein neuer Standort?
• Abrechnung: Wie werden Arbeiten außerhalb des Umfangs berechnet, in welchem Zeittakt und mit welcher Freigabe?
• Änderungen: Was passiert, wenn Arbeitsplätze oder Systeme dazukommen oder wegfallen?
• Ihre Mitwirkung: Wer ist bei Ihnen Ansprechpartner, und wer darf Änderungen und Kosten freigeben?

Bei mir gehören zur Betreuung Überwachung, Updates und Patches, Support per Telefon und Fernzugriff, Lizenzverwaltung, IT-Dokumentation sowie die Verwaltung von Benutzern und Geräten. Teils ist auch ein Vor-Ort-Zeitslot pro Woche einschließlich Anfahrt vereinbart. Er ist in die Pauschale einkalkuliert und wird nicht einzeln ausgewiesen.

Extra berechnet werden Projekte wie Serverumzug oder Migration, Hardware und die Lizenzen selbst. Abgerechnet wird je nach Kunde nach Aufwand oder als Mischung aus Pauschale und Aufwand.

Welches Abrechnungsmodell zu Ihnen passt und wie Sie Angebote vergleichen, beschreibe ich im Artikel Was kostet IT-Betreuung?

Reaktionszeit, Servicezeiten und Prioritäten

Gerade bei Störungen führen unklare Begriffe schnell zu falschen Erwartungen. Der Vergleich zeigt, worauf es ankommt:

Prüfen Sie außerdem, welcher Meldeweg die Zeit startet: Telefon, E-Mail oder Ticket. Unter Reaktionszeit verstehe ich die Zeit bis zur ersten qualifizierten Reaktion. Diese Reaktionszeit sage ich zu, eine Lösungszeit nicht, denn wie lange eine Lösung dauert, hängt oft von Herstellern und Dritten ab. Kleine Unternehmen brauchen aus meiner Sicht nicht automatisch teure Service-Level. Entscheidend ist, welche Reaktionszeiten ihr Betrieb tatsächlich braucht. Wer eine feste Lösungszeit anbietet, sollte erklären, wofür sie gilt und was passiert, wenn sie nicht eingehalten wird. Ich bin montags bis freitags von 8 bis 18 Uhr erreichbar.

Fragen Sie jeden Anbieter auch, wer bei Urlaub oder Krankheit übernimmt.

Datenschutz, Vertraulichkeit und Sicherheit

Ein IT-Dienstleister kann in der Regel auf Postfächer, Dateien und Benutzerkonten zugreifen. Deshalb gehört zum IT-Betreuungsvertrag in der Regel ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Er regelt unter anderem, dass der Dienstleister Daten nur nach Ihrer Weisung verarbeitet und Unterauftragnehmer nur mit Ihrer einzelnen oder allgemeinen Genehmigung einsetzt. Am Ende der Zusammenarbeit muss er die Daten nach Ihrer Wahl löschen oder zurückgeben, soweit keine gesetzliche Speicherpflicht entgegensteht.

Darüber hinaus sollte der Vertrag diese Punkte klären:

• Zugriffe: Über welche Konten greift der Dienstleister zu, und wie sind sie abgesichert?
• Datensicherung: Wer kontrolliert sie, wie oft wird die Wiederherstellung getestet, und wie erfahren Sie das Ergebnis?
• Sicherheitsvorfälle: Wer informiert wen, und was ist bis dahin zu tun?
• Dokumentation: Wird sie laufend gepflegt, und haben Sie jederzeit selbst Zugriff darauf?

Für einige Unternehmen kommen besondere Pflichten hinzu. Berufsgeheimnisträger müssen dafür sorgen, dass mitwirkende Dienstleister nach § 203 StGB zur Geheimhaltung verpflichtet sind, dazu mehr im Artikel IT in der Arztpraxis. Fällt Ihr Unternehmen unter NIS2, gehört auch die Sicherheit der Lieferkette zu Ihren Aufgaben, und Ihr IT-Dienstleister ist ein Teil davon.

Haftung, Laufzeit und Preisanpassung im IT-Betreuungsvertrag

Diese Klauseln stehen oft weit hinten und werden gern überlesen. Sie entscheiden aber, was im Streitfall gilt und wie frei Sie später sind.

• Haftung: Begrenzungen sind üblich, die Haftung für eigenen Vorsatz lässt sich aber nicht im Voraus ausschließen. Stehen sie in vorformulierten Bedingungen, können sie auch zwischen Unternehmen unwirksam sein. Prüfen Sie, ob die Grenze zu dem passt, was ein längerer Ausfall Sie kosten würde.
• Versicherung: Fragen Sie, ob der Dienstleister eine passende Haftpflichtversicherung hat. Ich selbst habe eine IT-Haftpflicht.
• Laufzeit: Klären Sie Mindestlaufzeit, automatische Verlängerung, Kündigungsfrist und die Form der Kündigung. Bei mir ist eine Laufzeit von 12 Monaten üblich. Das Recht, aus wichtigem Grund zu kündigen, bleibt davon unberührt. Liegt der Grund in einer Pflichtverletzung, ist in der Regel zuerst eine Frist zur Abhilfe oder eine Abmahnung nötig.
• Preisanpassung: Wann darf der Preis steigen, wie wird das angekündigt, und können Sie dann kündigen?
• Verträge über den Dienstleister: Für Lizenzen und Cloud-Dienste gelten oft eigene Laufzeiten des Herstellers. Lassen Sie sich diese getrennt nennen.

Das Vertragsende von Anfang an regeln

Über das Ende spricht bei Vertragsschluss niemand gern. Später ist es dafür meist zu spät. Halten Sie deshalb schon jetzt fest, was der Dienstleister zum Schluss übergibt und zu welchen Kosten.

Was der Vertrag für das Ende festlegen sollte

1. KündigungFrist und Form sind eingehalten
2. Dokumentationaktueller Stand wird übergeben
3. ZugängeSie prüfen die Anmeldung selbst
4. MitwirkungUnterstützung des Nachfolgers, Aufwand geklärt
5. AbschlussZugriffe entzogen, Daten gelöscht oder zurückgegeben

Bei Übernahmen habe ich diese Mängel gesehen: Admin-Zugänge liegen nur beim Dienstleister, die Dokumentation fehlt oder ist veraltet, und eine vereinbarte Datensicherung wurde nie geprüft. Jeder dieser Punkte lässt sich im Vertrag regeln.

Bei meinen Kunden gilt: Dokumentation und Zugänge gehören dem Kunden, nicht mir. Lassen Sie sich das auch von anderen Anbietern schriftlich bestätigen. Die Übergabe am Vertragsende rechne ich je nach Fall nach Aufwand ab. Wie Sie einen laufenden Wechsel vorbereiten, steht im Artikel IT-Dienstleister wechseln.

Fünf Fragen vor der Unterschrift

• Könnten Sie anhand des Vertrags sagen, ob eine bestimmte Arbeit enthalten ist oder extra kostet?
• Wissen Sie, wann Sie bei einem Ausfall die erste Reaktion erwarten können und wen Sie erreichen?
• Liegt der Vertrag zur Auftragsverarbeitung vor, und sind die Unterauftragnehmer genannt?
• Kennen Sie die nächste Kündigungsmöglichkeit und die Frist dafür?
• Kämen Sie am letzten Vertragstag selbst an alle Systeme, Daten und Unterlagen?

Bleibt eine Antwort offen, fragen Sie vor der Unterschrift nach. Bei hohen Risiken oder ungewöhnlichen Klauseln lassen Sie den Vertrag am besten anwaltlich prüfen.

Häufige Fragen

Ist ein IT-Betreuungsvertrag ein Dienstvertrag oder ein Werkvertrag?

Das hängt vom Inhalt ab, nicht von der Überschrift. Beim Dienstvertrag wird die Tätigkeit geschuldet, beim Werkvertrag ein bestimmter Erfolg. Laufende Betreuung hat oft dienstvertragliche Züge, ein abgegrenzter Auftrag wie eine Einrichtung kann ein Werkvertrag sein. Häufig enthält ein Vertrag beides. Im Einzelfall kann das nur ein Anwalt verbindlich einordnen.

Muss ein IT-Betreuungsvertrag schriftlich geschlossen werden?

Allgemein schreibt das Gesetz dafür keine bestimmte Form vor. Halten Sie ihn trotzdem schriftlich fest, sonst lässt sich später kaum belegen, was vereinbart war. Der Vertrag zur Auftragsverarbeitung muss schriftlich vorliegen, ein elektronisches Format genügt.

Was ist der Unterschied zwischen Reaktionszeit und Lösungszeit?

Die Reaktionszeit reicht bis zur ersten qualifizierten Reaktion auf Ihre Meldung. Die Lösungszeit reicht bis zur Behebung der Störung. Ein Vertrag, der nur „Reaktion“ nennt, sagt also noch nicht, wann das Problem gelöst ist.

Quellen

• Dienst- und Werkvertrag: § 611 BGB, § 631 BGB
• Haftung für Vorsatz: § 276 BGB
• Vorformulierte Bedingungen zwischen Unternehmen: § 307 BGB, § 310 BGB
• Kündigung aus wichtigem Grund: § 314 BGB
• Auftragsverarbeitung: Datenschutz-Grundverordnung, Art. 28
• Berufsgeheimnis und mitwirkende Personen: § 203 StGB