IT-Betreuungsvertrag: Diese Inhalte gehören hinein

In einen IT-Betreuungsvertrag gehören vor allem: der Leistungsumfang mit einer Liste der betreuten Systeme, eine klare Abgrenzung, Wartungsfenster, Meldewege und Eskalation bei Störungen, eine Dokumentationspflicht, die Regelung von Hardware-Ausfällen und Zusatzaufwand sowie Kündigung und Übergabe. Jede Zusage muss so formuliert sein, dass sich nachprüfen lässt, ob sie eingehalten wurde. Was nicht messbar ist, ist im Streitfall auch nicht einforderbar.

Warum braucht ein KMU überhaupt einen schriftlichen Betreuungsvertrag?

Viele Betreuungsverhältnisse im KMU beruhen auf Handschlag und Gewohnheit: Der Techniker kennt den Betrieb seit Jahren, man ruft an, er kommt. Das funktioniert, solange beide Seiten dasselbe unter „Betreuung“ verstehen. Probleme entstehen, wenn das nicht mehr der Fall ist – bei einem großen Ausfall, bei einer unerwarteten Rechnung oder wenn die Zusammenarbeit endet.

Ein schriftlicher IT-Betreuungsvertrag schützt beide Seiten. Der Betrieb weiß, was er für sein Geld bekommt. Der Dienstleister weiß, wofür er verantwortlich ist und wofür nicht. Und beide haben eine Grundlage, auf die sie sich beziehen können, wenn Erwartungen auseinanderlaufen. Die folgende Checkliste ist fachlich, keine Rechtsberatung. Die rechtliche Gestaltung des Vertrags gehört in die Hände Ihrer Rechtsberatung. Ob überhaupt ein laufender Managed IT Service oder Abrechnung nach Aufwand passt, ist eine eigene Frage; hier geht es darum, was im Vertrag stehen muss, wenn Sie sich für laufende Betreuung entscheiden.

Wie wird der Leistungsumfang sauber beschrieben?

Der Leistungsumfang ist der wichtigste Teil des IT-Betreuungsvertrags. Allgemeine Formulierungen wie „Betreuung der IT-Infrastruktur“ reichen nicht. Sinnvoll ist eine Anlage zum Vertrag, die die betreuten Systeme konkret auflistet, und eine Beschreibung der Tätigkeiten, die regelmäßig erbracht werden.

• Liste der betreuten Systeme: Standorte, Router, Firewall, Switches, WLAN, Server, Backup, Kameras, Fachanwendungen mit Schnittstellen
• Regelmäßige Tätigkeiten: Überwachung, Aktualisierungen, Backup-Prüfung inklusive Wiederherstellungstest, Pflege von Zugängen und Firewall-Regeln
• Koordination mit Dritten: Internetprovider, Hersteller, Anbieter von Fachanwendungen
• Beratung: regelmäßiger Überblick über Zustand, anstehende Erneuerungen und Risiken
• Ein Verfahren, wie neue Systeme in die Liste aufgenommen werden

Was muss ausdrücklich ausgeschlossen werden?

Die Abgrenzung ist mindestens so wichtig wie der Leistungsumfang. Typischerweise ausgeschlossen sind neue Projekte, Schulungen, inhaltliche Fragen zu Fachanwendungen und je nach Dienstleister die Betreuung einzelner Arbeitsplätze. Wichtiger als der Inhalt der Ausschlüsse ist, dass sie aufgeschrieben sind. Für jeden Ausschluss sollte außerdem klar sein, wie er stattdessen abgewickelt wird: als eigenes Angebot, nach Aufwand oder über einen anderen Partner.

Wie werden Wartungsfenster geregelt?

Aktualisierungen von Firewall, Switches oder Servern erfordern manchmal einen Neustart oder eine kurze Unterbrechung. Der Vertrag sollte festlegen, wann solche Arbeiten stattfinden dürfen, wie sie angekündigt werden und wie mit dringenden Sicherheitsaktualisierungen umgegangen wird, die nicht bis zum nächsten Wartungsfenster warten können. Betriebe mit Schichtbetrieb, Wochenendöffnung oder Saisonspitzen sollten darauf besonders achten, weil das übliche Abendfenster dort oft nicht passt.

Wie werden Störungen, Erreichbarkeit und Reaktion geregelt?

Der Vertrag sollte beschreiben, über welche Wege Störungen gemeldet werden, wie sie nach Dringlichkeit eingestuft werden und wer außerhalb der Bürozeiten erreichbar ist, falls das vereinbart wird. Eine sinnvolle Einstufung unterscheidet mindestens zwischen einem Stillstand des Betriebs, einer Einschränkung einzelner Funktionen und einer normalen Anfrage.

Wer eine Reaktionszeit vereinbart, sollte sie messbar machen: Was genau wird gemessen – die erste Rückmeldung, der Beginn der Arbeit oder die Lösung? Ab wann läuft die Zeit, und wie wird sie festgehalten? Eine Zusage ohne diese Definition ist im Ernstfall wenig wert. Dazu kommt: Eine Reaktionszeit beschreibt den Beginn einer Störung, nicht ihr Ende. Wie lange eine Störung tatsächlich dauert, hängt stark davon ab, ob die Anlage dokumentiert ist.

Warum gehört eine Dokumentationspflicht in den Vertrag?

Die Dokumentationspflicht fehlt in vielen Betreuungsverträgen, und ihr Fehlen kostet beim Wechsel oder bei einem größeren Ausfall viel Zeit und Geld. Sie sollte festhalten, was dokumentiert wird, wie aktuell die Dokumentation zu halten ist, wo sie liegt und dass der Betrieb jederzeit Zugriff hat. Dazu kommt die Eigentumsfrage: Die Dokumentation beschreibt die Anlage des Betriebs und gehört deshalb dem Betrieb.

• Netzplan mit Standorten, Geräten und Verbindungen
• Konfigurationen von Firewall, Switches, WLAN und Servern
• Zugangsdaten in einem Passwortmanager, auf den der Betrieb selbst Zugriff hat
• Änderungshistorie: wer hat wann was geändert und warum
• Liste der Lizenzen, Verträge und Laufzeiten

Wie sollte die Eskalation geregelt sein?

Eskalation bedeutet: Was passiert, wenn eine Störung nicht wie erwartet gelöst wird oder wenn der Betrieb mit der Betreuung unzufrieden ist? Der Vertrag sollte benennen, wer auf beiden Seiten in welcher Stufe zuständig ist, wann der Hersteller oder Provider eingebunden wird und wie die Geschäftsführung informiert wird. Hilfreich ist außerdem ein regelmäßiges Abstimmungsgespräch, in dem offene Punkte besprochen werden, bevor sie eskalieren müssen.

Wie werden Hardware-Ausfälle und Zusatzaufwand abgerechnet?

Bei Hardware-Ausfällen und Zusatzaufwand entstehen die meisten Überraschungen. Der Vertrag sollte klären, ob der Tausch defekter Geräte enthalten ist, wer das Ersatzgerät bezahlt und ob Geräte vorgehalten werden. Für alles, was über die Pauschale hinausgeht, gehört ein transparentes Verfahren hinein: Zusatzaufwand wird vorab angekündigt und freigegeben, bevor er anfällt, und nicht erst auf der Monatsrechnung sichtbar.

Was gilt für Datenschutz und Zugriff auf Daten?

Ein IT-Dienstleister, der Server, Backup oder E-Mail betreut, hat in der Regel Zugriff auf personenbezogene Daten. Nach der DSGVO braucht es dafür üblicherweise eine eigene Vereinbarung zur Auftragsverarbeitung, die neben dem Betreuungsvertrag steht oder Teil davon ist. Fachlich sollte außerdem geregelt sein, wer im Team des Dienstleisters Zugriff auf welche Systeme hat, wie Zugriffe protokolliert werden und wie Zugangsdaten gespeichert sind.

Für Betriebe, die KI-Anwendungen einsetzen oder planen, kommt eine weitere Frage dazu: Wo werden Daten verarbeitet, und verlassen sie den Betrieb? Diese Frage gehört ebenso in die Abstimmung mit dem Dienstleister wie in die Prüfung durch Ihre Rechtsberatung.

Was gehört zu Kündigung und Übergabe?

Neben Laufzeit und Kündigungsfrist sollte der IT-Betreuungsvertrag eine Übergaberegelung enthalten: welche Unterlagen und Zugänge bei Vertragsende übergeben werden, in welcher Form und Frist, und dass der bisherige Dienstleister an einem Übergabegespräch mit dem Nachfolger mitwirkt. Domain, Cloud-Konten und Lizenzen sollten ohnehin von Anfang an auf den Betrieb laufen. Lehnt ein Dienstleister diese Regelung ab, ist das ein Warnsignal für die geplante Zusammenarbeit.

Wie prüfen Sie einen bestehenden oder angebotenen Vertrag?

1. 01Liste der betreuten Systeme mit der tatsächlich vorhandenen IT abgleichen: Fehlt etwas, ist es im Ernstfall nicht betreut.
2. 02Ausschlüsse lesen und für jeden klären, wie er stattdessen abgewickelt wird.
3. 03Prüfen, ob Zusagen zu Wartung und Störungen messbar formuliert sind.
4. 04Dokumentationspflicht und Eigentum an der Dokumentation suchen; fehlen sie, nachverhandeln.
5. 05Regelung zu Hardware-Ausfall und Zusatzaufwand durchrechnen, bevor der erste Fall eintritt.
6. 06Übergaberegelung prüfen und klären, auf wen Domain, Konten und Lizenzen laufen.

Wie NDVDL Betreuungsverträge aufsetzt

NDVDL setzt einen Betreuungsvertrag erst auf, nachdem wir Ihren Betrieb besucht und die Infrastruktur aufgenommen haben. Sie bekommen dann einen Vertrag mit der Liste der betreuten Systeme, einer ausdrücklichen Abgrenzung, Wartungsfenstern, die zu Ihren Betriebszeiten passen, und Full-Service-Betreuung inklusive Hardware-Tausch. Einzelne Arbeitsplätze betreuen wir nicht; das steht im Vertrag, und für diesen Teil stimmen wir uns mit Ihrer eigenen Lösung oder einem spezialisierten Partner ab. Eine feste Reaktionszeit als Werbeversprechen geben wir nicht. Stattdessen verpflichten wir uns zur laufenden Dokumentation, die Ihnen gehört und bei Vertragsende vollständig übergeben wird. Im laufenden Betrieb haben Sie einen festen Ansprechpartner, der Ihre Anlage kennt.