IT-Wartungsvertrag: Was drinstehen muss und worauf Sie achten sollten

Viele IT-Wartungsverträge werden unterschrieben, ohne dass jemand im Unternehmen genau weiß, was darin zugesagt ist. Das fällt erst auf, wenn der Server steht und der Dienstleister erklärt, dass die Wiederherstellung nicht zur Pauschale gehört oder dass Samstag keine Servicezeit ist. Dieser Artikel zeigt, welche Bestandteile ein IT-Wartungsvertrag haben sollte, was die SLA-Begriffe bedeuten und an welchen Stellen Verträge typischerweise zu Ihren Lasten formuliert sind.

Was ist ein IT-Wartungsvertrag?

Ein IT-Wartungsvertrag ist eine laufende Vereinbarung, in der ein Dienstleister sich verpflichtet, festgelegte IT-Systeme eines Unternehmens zu pflegen, zu überwachen und bei Störungen zu reparieren, gegen eine regelmäßige Vergütung. Andere Bezeichnungen sind IT-Servicevertrag, Betreuungsvertrag oder Managed-Services-Vertrag.

Rechtlich wird zwischen zwei Vertragstypen unterschieden. Beim Dienstvertrag nach § 611 BGB schuldet der Dienstleister die versprochene Tätigkeit. Beim Werkvertrag nach § 631 BGB schuldet er einen Erfolg, zum Beispiel ein fertig eingerichtetes System. Laufende Wartung und Support sind in der Praxis meist dienstvertraglich geprägt, einzelne Projekte können werkvertraglich sein. Für Sie heißt das: Wenn Sie bestimmte Ergebnisse erwarten, etwa eine Wiederherstellung innerhalb einer Frist, müssen diese ausdrücklich im Vertrag stehen. Dieser Absatz ist eine allgemeine Einordnung und keine Rechtsberatung.

Was gehört in einen IT-Wartungsvertrag?

In einen IT-Wartungsvertrag gehören mindestens eine Leistungsbeschreibung, messbare Servicezusagen, Preise, Laufzeit, Datenschutz und Regeln für das Vertragsende. Die folgende Tabelle zeigt die Bestandteile und die Fragen, die jeder davon beantworten sollte.

Das BSI nennt im IT-Grundschutz-Baustein OPS.2.3 „Nutzung von Outsourcing“ als Grundanforderung an solche Verträge unter anderem Aspekte der Informationssicherheit, einen Zustimmungsvorbehalt bei Weiterverlagerung an Dritte sowie ein Prüf- und Auditrecht. Für ein Büro mit 15 Arbeitsplätzen muss das kein formales Audit sein. Das Recht, sich Nachweise zeigen zu lassen, etwa Backup-Protokolle oder Patchstände, sollten Sie aber haben.

Was ist ein SLA in der IT?

Ein SLA (Service Level Agreement) ist der Teil des IT-Wartungsvertrags, der die Qualität der Leistung in messbaren Größen festlegt, vor allem Servicezeiten, Reaktionszeiten und Verfügbarkeit. Ohne SLA verspricht der Dienstleister nur, „sich zu kümmern“.

Die wichtigsten SLA-Begriffe:

Prioritäten sinnvoll festlegen

Prioritäten werden meist in drei oder vier Stufen definiert. Eine praxistaugliche Einteilung orientiert sich an der Frage, wie viele Personen betroffen sind und ob weitergearbeitet werden kann:

• Kritisch: Der ganze Betrieb oder ein zentrales System steht, zum Beispiel Server, Internetzugang oder E-Mail für alle.
• Hoch: Mehrere Personen oder ein wichtiger Prozess sind beeinträchtigt, es gibt aber einen Umweg.
• Normal: Eine einzelne Person ist eingeschränkt, kann aber weiterarbeiten.
• Niedrig: Anfragen, Änderungswünsche, Einrichtungen neuer Mitarbeitender mit Vorlauf.

Welche Zeiten zu welcher Stufe passen, hängt von Ihrem Geschäft ab. Eine Steuerkanzlei in der Abgabephase hat andere Anforderungen als ein Handwerksbetrieb, der tagsüber auf der Baustelle ist.

Was bedeutet eine Verfügbarkeit von 99,9 Prozent?

Eine Verfügbarkeit von 99,9 Prozent erlaubt bezogen auf einen 30-Tage-Monat rund 43 Minuten Ausfall. Die Rechnung ist einfach: Ein Monat mit 30 Tagen hat 43.200 Minuten, davon 0,1 Prozent sind 43,2 Minuten.

Verfügbarkeitszusagen sind nur so gut wie ihre Definition. Prüfen Sie, ob geplante Wartungsfenster herausgerechnet werden, ob nur während der Servicezeit gemessen wird und was passiert, wenn der Wert unterschritten wird. Bei Diensten, die ein Dienstleister gar nicht selbst betreibt, etwa Microsoft 365 oder Ihr Internetanschluss, kann er keine eigene Verfügbarkeit zusagen, sondern nur seine Reaktion.

Was kostet ein IT-Wartungsvertrag?

Die Kosten eines IT-Wartungsvertrags richten sich nach Anzahl der betreuten Systeme, Leistungsumfang und SLA-Stufe. Längere Servicezeiten und kürzere Reaktionszeiten kosten mehr, weil der Dienstleister dafür Personal vorhalten muss. Üblich sind monatliche Pauschalen pro Arbeitsplatz oder Nutzer, ergänzt um Stundensätze für Leistungen außerhalb der Pauschale. Welche Modelle es gibt und wo versteckte Kosten liegen, beschreibt der Artikel IT-Betreuung: Kosten und Preismodelle.

Welche Vertragsfallen gibt es beim IT-Wartungsvertrag?

Die typischen Fallen in IT-Wartungsverträgen liegen weniger in dem, was drinsteht, als in dem, was fehlt. Diese kommen in der Praxis häufig vor:

1. Nur Reaktionszeit, keine Wiederherstellungszeit: Der Dienstleister meldet sich pünktlich, aber wann das System wieder läuft, ist offen.
2. Unklare Ausschlüsse: Formulierungen wie „Leistungen über den üblichen Umfang hinaus“ lassen fast alles zur Zusatzleistung werden.
3. Backup ohne Wiederherstellung: Die Sicherung ist enthalten, die Rücksicherung im Ernstfall wird nach Aufwand berechnet.
4. Sicherheitsvorfälle nicht geregelt: Nach einem Angriff ist unklar, ob der Aufwand zur Pauschale gehört.
5. Lange Laufzeit ohne Ausstieg: Mehrjährige Bindung mit automatischer Verlängerung und ohne Sonderkündigungsrecht bei SLA-Verstößen.
6. Kein Exit-Plan: Es fehlt eine Regel, welche Unterlagen, Zugänge und Daten Sie bei Vertragsende in welcher Frist bekommen.
7. Administratorkonten beim Dienstleister: Die höchsten Rechte in Ihren Systemen liegen ausschließlich bei ihm.

Das BSI führt die Regelung einer geplanten oder ungeplanten Beendigung in OPS.2.3 als Basisanforderung: Es muss festgelegt sein, wie Informationen, Daten und Hardware zurückgegeben werden, und die Zugriffsrechte des Dienstleisters sollten danach entzogen werden.

Welche Datenschutzregeln gelten für IT-Wartung?

Wenn ein Dienstleister bei der Wartung auf personenbezogene Daten zugreifen kann, brauchen Sie einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Bei IT-Betreuung ist das praktisch immer der Fall, weil E-Mails, Kundendaten und Personalunterlagen auf den betreuten Systemen liegen.

Art. 28 Abs. 3 DSGVO schreibt unter anderem vor, dass der Dienstleister nur auf dokumentierte Weisung handelt, seine Beschäftigten zur Vertraulichkeit verpflichtet, geeignete Sicherheitsmaßnahmen trifft, weitere Auftragsverarbeiter nur unter festgelegten Bedingungen einsetzt und nach Ende der Leistung die Daten löscht oder zurückgibt. Für Berufsgeheimnisträger wie Steuerberater gelten zusätzliche Anforderungen an die Verschwiegenheit, die im Vertrag berücksichtigt werden sollten.

Checkliste: IT-Wartungsvertrag prüfen

Mit dieser Checkliste prüfen Sie einen IT-Wartungsvertrag vor der Unterschrift:

1. Ist jedes betreute System in einer Anlage aufgeführt?
2. Sind enthaltene Leistungen und Ausschlüsse konkret beschrieben?
3. Sind Servicezeiten, Prioritäten und Reaktionszeiten definiert?
4. Gibt es für kritische Störungen eine Wiederherstellungszusage?
5. Wird die Einhaltung des SLA regelmäßig berichtet?
6. Sind Backup-Wiederherstellungen und Tests Teil der Pauschale?
7. Ist geregelt, wie Sicherheitsvorfälle behandelt und abgerechnet werden?
8. Liegt ein AV-Vertrag nach Art. 28 DSGVO bei?
9. Bleiben Administratorkonten, Lizenzen und Dokumentation in Ihrem Zugriff?
10. Sind Laufzeit, Kündigungsfristen und Sonderkündigungsrecht akzeptabel?
11. Ist das Vertragsende mit Fristen für Übergabe, Löschung und Rechteentzug geregelt?
12. Sind Preisanpassungen begrenzt und nachvollziehbar?

Wer den Dienstleister wechseln will, findet die Schritte für eine saubere Übergabe im Artikel IT-Dienstleister finden und wechseln.

Unterstützung durch Visgenix

Visgenix betreut kleine und mittlere Unternehmen mit Managed IT zu monatlichen Festpreisen pro Arbeitsplatz. Was im Leistungsumfang enthalten ist, sehen Sie unter Managed IT Services. Wenn Sie einen bestehenden Vertrag besprechen möchten, erreichen Sie uns über das Kontaktformular.