Managed-Services-Vertrag: Was drinstehen muss, bevor Sie unterschreiben

Was regelt ein Managed-Services-Vertrag?

Bei Managed Services übernimmt ein Dienstleister den laufenden Betrieb Ihrer IT zu einem festen Monatsbetrag: Überwachung, Wartung, Datensicherung und Support. Der Vertrag legt fest, was genau dazugehört, wie schnell reagiert wird, was es kostet und wie man wieder auseinandergeht. Weil der Dienstleister vieles erledigt, was Sie selbst nicht sehen, ist der Vertrag die Stelle, an der Sie seine Arbeit messen können.

Das BSI behandelt das Thema in seinem IT-Grundschutz unter dem Stichwort Outsourcing. Es empfiehlt unter anderem, Leistungskennzahlen vertraglich festzulegen und Konsequenzen bei Nichterfüllung zu vereinbaren. Regeln für eine geplante oder ungeplante Beendigung verlangt es ausdrücklich. Diese Punkte sind für große Auslagerungen geschrieben, passen im Kern aber genauso zu einem Betrieb mit 20 Arbeitsplätzen.

Welche Klauseln gehören in den Vertrag, und woran erkennen Sie Warnsignale?

Die Tabelle fasst die Klauseln zusammen, die in keinem Managed-Services-Vertrag fehlen sollten. Die folgenden Abschnitte gehen auf die wichtigsten genauer ein.

Worauf kommt es beim SLA an?

Das Service Level Agreement, kurz SLA, ist der Teil des Vertrags, der festlegt, wie schnell der Dienstleister reagiert. Vier Begriffe entscheiden über den Wert der Zusage:

• Reaktionszeit: die Zeit, bis sich der Dienstleister meldet und mit der Arbeit beginnt.
• Lösungszeit: die Zeit, bis das System wieder läuft. Sie hängt an Hardware, Lieferanten und Fehlerbild und lässt sich deshalb kaum seriös garantieren.
• Servicezeit: die Tage und Stunden, in denen die Zusagen gelten. Eine Reaktionszeit von zwei Stunden, die freitags um 17 Uhr beginnt, endet bei einem Anbieter mit Servicezeit bis 18 Uhr erst am Montagmorgen.
• Prioritäten: eine Einteilung nach Dringlichkeit, die im Vertrag definiert ist — nicht erst im Streitfall.

Als Praxisbeispiel dienen unsere eigenen Zusagen, die wir auf der Seite zur IT-Betreuung veröffentlichen. Erreichbar sind wir rund um die Uhr, an 365 Tagen im Jahr. Die zugesagten Reaktionszeiten sind nach Priorität gestaffelt:

Zwei Dinge fallen daran auf. Erstens sagen wir Reaktionszeiten zu, keine Lösungszeiten, weil eine Zusage, die wir nicht halten können, niemandem nützt. Zweitens sind die vier Stufen nicht nur unterschiedlich lang, sondern unterschiedlich bemessen: oben in Stunden, unten in Werktagen. Kritische und hohe Priorität werden deshalb auch nachts, am Wochenende und an Feiertagen bearbeitet; eine Behelfslösung oder ein Änderungswunsch bleibt im Werktagsrhythmus. Bei anderen Anbietern ist das oft anders: Brauchen Sie eine Erreichbarkeit rund um die Uhr, muss sie ausdrücklich im Vertrag stehen, mit Preis und Definition, was als Notfall gilt.

Was müssen Leistungsbeschreibung, Ausschlüsse und Preis regeln?

Die Leistungsbeschreibung ist das Herz des Vertrags. Sie sollte so konkret sein, dass ein Dritter prüfen könnte, ob der Dienstleister geliefert hat: welche Server, wie viele Arbeitsplätze, welche Tätigkeiten in welchem Rhythmus, welche Berichte. Eine Formulierung wie „Betreuung der IT“ reicht dafür nicht.

Genauso wichtig sind die Ausschlüsse. Hardware, Lizenzen, Projekte, Vor-Ort-Einsätze und Arbeiten außerhalb der Servicezeit können gesondert berechnet werden. Das ist legitim, wenn es im Vertrag steht und der Satz dafür genannt ist. Wie Sie Ausschlüsse in einen Angebotsvergleich einrechnen, zeigt der Ratgeber Was kostet IT-Betreuung?.

Beim Preis zählt nicht nur der Monatsbetrag. Prüfen Sie, wie bei mehr oder weniger Arbeitsplätzen nachberechnet wird und nach welcher Regel der Preis steigen darf. Eine Anpassung, die an einen nachvollziehbaren Maßstab gebunden ist und Ihnen ein Kündigungsrecht lässt, ist fairer als eine nach freiem Ermessen. Achten Sie außerdem darauf, ob sich der Vertrag stillschweigend verlängert und wie lange.

Welche Pflichten haben Sie selbst, und was gilt für den Datenschutz?

Ein Managed-Services-Vertrag verpflichtet auch Sie. Übliche Mitwirkungspflichten sind: einen Ansprechpartner benennen, Zugang zu Räumen und Systemen gewähren, Änderungen melden, die der Dienstleister nicht selbst sieht, und Störungen über den vereinbarten Weg melden. Solche Pflichten sind sinnvoll. Kritisch wird es, wenn sie so weit gefasst sind, dass jede Verzögerung auf Sie zurückfällt.

Kann der Dienstleister bei Wartung oder Fernwartung auf personenbezogene Daten zugreifen, handelt es sich nach Auffassung der deutschen Datenschutzaufsichtsbehörden um Auftragsverarbeitung. Dann ist ein Vertrag nach Art. 28 DSGVO nötig. Er ist nach Art. 28 Abs. 9 DSGVO schriftlich abzufassen, was auch in einem elektronischen Format geschehen kann. Nach Art. 28 Abs. 6 DSGVO darf er individuell formuliert sein oder ganz oder teilweise auf Standardvertragsklauseln beruhen, etwa denen der EU-Kommission. Setzt der Dienstleister Subunternehmer ein, die ebenfalls mit den Daten arbeiten, braucht er dafür nach Art. 28 Abs. 2 DSGVO Ihre vorherige schriftliche Genehmigung, im Einzelfall oder allgemein. Bei einer allgemeinen Genehmigung muss er Sie über jeden geplanten Wechsel informieren, und Sie können widersprechen.

Achten Sie darauf, dass der Vertrag zur Auftragsverarbeitung zum tatsächlichen Leistungsumfang passt: welche Daten, welche Systeme, welche technischen und organisatorischen Maßnahmen. Art. 28 Abs. 3 DSGVO schreibt Mindestinhalte vor, darunter das Vertragsende: Der Dienstleister muss nach Abschluss seiner Leistungen alle personenbezogenen Daten nach Ihrer Wahl löschen oder zurückgeben und vorhandene Kopien löschen, soweit keine gesetzliche Pflicht zur Speicherung besteht.

Wie sollten Haftung, Subunternehmer und Berichte geregelt sein?

Eine Haftungsbegrenzung ist nicht von vornherein ein Problem. Prüfen Sie, ob die Summe in einem vernünftigen Verhältnis zu dem Schaden steht, den ein Fehler bei Ihnen anrichten könnte, etwa eine verlorene Datensicherung. Fragen Sie auch, ob der Dienstleister eine Haftpflichtversicherung für Vermögensschäden hat. Ganz ausschließen lässt sich die Haftung für Vorsatz ohnehin nicht: Nach § 276 Abs. 3 BGB kann sie nicht im Voraus erlassen werden.

Bei Subunternehmern wollen Sie wissen, wer an Ihren Systemen arbeitet. Das BSI verlangt, dass Outsourcing-Verträge einen Zustimmungsvorbehalt bei Weiterverlagerungen und ein Recht auf Prüfung, Revision und Audit enthalten. Für personenbezogene Daten schreibt die DSGVO die vorherige Genehmigung ohnehin vor.

Berichte machen die Arbeit sichtbar, die sonst im Hintergrund passiert: Zustand der Systeme, eingespielte Updates, Ergebnis der Datensicherung und der Wiederherstellungstests, offene Punkte. Vereinbaren Sie Inhalt und Rhythmus im Vertrag. Ohne Bericht können Sie nicht prüfen, ob die Pauschale ihr Geld wert ist.

Was muss die Exit-Regelung am Vertragsende sichern?

Die Exit-Regelung ist die Klausel, die man bei Vertragsbeginn am liebsten überspringt und am Vertragsende am dringendsten braucht. Das BSI verlangt, für eine geplante wie ungeplante Beendigung festzulegen, wie Informationen, Daten und Hardware zurückgegeben werden, und empfiehlt zu prüfen, ob die Zugriffsrechte des Dienstleisters danach aufgehoben sind. Eine gute Exit-Regelung enthält:

• Dokumentation: Sie gehört Ihnen und wird vollständig und in einem lesbaren Format übergeben — so geschrieben, dass ein anderer Dienstleister damit arbeiten kann.
• Zugangsdaten: Alle Administrator- und Dienstzugänge werden übergeben, der Dienstleister entfernt seine eigenen Zugänge und bestätigt das schriftlich.
• Daten: Datensicherungen und Konfigurationen werden übergeben, Kopien beim Dienstleister anschließend gelöscht.
• Lizenzen: Lizenzen, die der Dienstleister in Ihrem Auftrag bezogen hat, werden auf Sie oder den neuen Anbieter übertragen.
• Mitwirkung: Der Dienstleister unterstützt die Übergabe an einen Nachfolger für eine bestimmte Zeit, zu einem vorher vereinbarten Preis.

Ein Anbieter, der seinen eigenen Ausstieg sauber regelt, rechnet nicht damit, Sie über Abhängigkeit zu halten. Wie ein Wechsel praktisch abläuft, beschreibt der Ratgeber IT-Dienstleister wechseln. Welche Inhalte eine übergabefähige Dokumentation braucht, steht im Ratgeber zur IT-Dokumentation.

Eigentum an Zugängen, Lizenzen und Hardware

Vieles lässt sich schon bei Vertragsbeginn so einrichten, dass der Ausstieg einfach bleibt. Die Domain sollte auf Ihren Betrieb registriert sein, der Microsoft-365-Mandant ebenfalls, mit einem eigenen Administratorkonto, das nur Sie nutzen. Klären Sie bei Hardware, ob sie gekauft, gemietet oder geleast ist: Mietgeräte gehen am Vertragsende zurück, und dann fehlt womöglich die Firewall.

Checkliste vor der Unterschrift

• Leistungsbeschreibung mit Mengengerüst: Systeme, Geräte, Tätigkeiten, Rhythmus
• Reaktionszeiten je Priorität, Prioritäten definiert, Servicezeit genannt
• Klar geregelt, ob eine Reaktions- oder eine Lösungszeit zugesagt wird
• Ausschlüsse aufgeführt, mit Satz für Leistungen außerhalb der Pauschale
• Regel für Nachberechnung und Preisanpassung
• Mindestlaufzeit, Kündigungsfrist und Verlängerung passen zu Ihrer Planung
• Mitwirkungspflichten konkret und erfüllbar
• Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO liegt bei
• Haftungsbegrenzung im Verhältnis zum möglichen Schaden, Versicherung nachgefragt
• Subunternehmer benannt oder nur mit Ihrer Zustimmung
• Berichte mit Inhalt und Rhythmus vereinbart
• Exit-Regelung für Dokumentation, Zugangsdaten, Daten und Lizenzen, mit Kosten
• Domain, Microsoft-365-Mandant, Lizenzen und Hardware laufen auf Ihren Betrieb