Viele IT-Wartungsverträge bestehen aus einer Preisliste und einem Verweis auf Allgemeine Geschäftsbedingungen. Ob der Vertrag taugt, zeigt sich erst, wenn am Freitagnachmittag der Server steht oder der Dienstleister gewechselt werden soll. Dieser Beitrag geht die zwölf Punkte durch, die ein Wartungs- oder Betreuungsvertrag für einen mittelständischen Betrieb klar regeln sollte, bevor Sie unterschreiben oder verlängern.
Hinweis: Stand der fachlichen Prüfung: 23. Oktober 2026. Dieser Beitrag ist allgemeine Information aus der Sicht eines IT-Dienstleisters und keine Rechtsberatung. Lassen Sie Vertragsklauseln im Zweifel rechtlich prüfen.
Wartungsvertrag, Managed IT, SLA: was gemeint ist
Die Begriffe werden im Markt unterschiedlich verwendet und sind keine festen Rechtsbegriffe. Maßgeblich ist, was im Vertrag steht. Als Orientierung:
- Wartungsvertrag: klassisch die Behebung von Störungen und eine periodische Wartung, abgerechnet nach Aufwand oder als Pauschale. Was zwischen zwei Wartungsterminen passiert, ist oft nicht geregelt.
- Managed IT (laufende Betreuung): der Dienstleister betreibt die Umgebung laufend: Überwachung, Updates, Support, Sicherheitsbasis, meist als monatliche Pauschale. Den Kostenvergleich mit einer internen Kraft finden Sie im Beitrag Managed IT oder eigener Systemadministrator?
- Service Level Agreement (SLA): der Teil des Vertrags, der messbar festlegt, in welchen Zeiten und wie schnell der Dienstleister reagiert und welche Qualität geschuldet ist.
Die folgenden zwölf Punkte gelten für alle drei Varianten. Je mehr Betrieb Sie auslagern, desto wichtiger werden die Punkte 5 bis 12.
Leistungsumfang: was drin ist und was nicht
1. Systemliste und enthaltene Leistungen
Der Vertrag braucht eine Anlage, die festhält, welche Systeme betreut werden: Server und virtuelle Maschinen, Arbeitsplätze, Netzwerk und Firewall, Microsoft-365-Mandant, Drucker, Fachanwendungen wie ERP oder DMS, Telefonie. Für jedes System sollte erkennbar sein, was der Dienstleister dafür tut: überwachen, aktualisieren, sichern, Support leisten oder nur im Störungsfall eingreifen. Eine Systemliste, die beim Onboarding erstellt und danach fortgeschrieben wird, verhindert die Diskussion, ob der alte Buchhaltungs-PC „dazugehört“.
2. Die Grenze zwischen Betrieb und Projekt
Fast jede Pauschale schließt Projekte aus: Migrationen, Rollouts, neue Standorte, größere Umbauten. Das ist in Ordnung, wenn die Grenze beschrieben ist. Hilfreich sind Beispiele im Vertrag („Austausch eines defekten Arbeitsplatzes: Betrieb; Umstellung von zehn Arbeitsplätzen auf neue Geräte: Projekt“) und die Zusage, dass Projekte vorher angeboten und freigegeben werden. Fehlt die Grenze, entscheidet sie sich auf der Rechnung.
Servicezeiten, Prioritäten, Reaktions- und Lösungszeit
3. Servicezeiten und Bereitschaft
Zu welchen Zeiten ist der Support erreichbar, über welche Kanäle (Telefon, E-Mail, Portal) und was gilt außerhalb? Für Betriebe mit Schichtbetrieb, Hotellerie oder Logistik ist die Bereitschaft am Abend und am Wochenende oft der entscheidende Punkt. Wenn sie angeboten wird, gehören Erreichbarkeit, Reaktionszeit und Preis außerhalb der Servicezeit in den Vertrag.
4. Reaktionszeit ist nicht Lösungszeit
Zwei Begriffe, die regelmäßig verwechselt werden:
- Reaktionszeit: die Zeit von der Meldung bis eine qualifizierte Person mit der Bearbeitung beginnt. Eine automatische Ticket-Bestätigung ist keine Reaktion.
- Lösungs- oder Wiederherstellungszeit: die Zeit, bis der Betrieb wieder läuft. Sie hängt von Ersatzteilen, Herstellern und der Ursache ab und wird deshalb meist als Zielwert vereinbart, nicht als Zusage.
Damit Zeiten messbar sind, braucht es Prioritätsstufen mit Beispielen. Die Tabelle zeigt ein Beispiel zur Veranschaulichung, keine Empfehlung; Ihre Werte ergeben sich aus dem Betrieb und den Kosten eines Ausfalls.
| Priorität | Beispiel | Reaktionszeit | Ziel für die Lösung |
|---|---|---|---|
| 1 kritisch | Server, ERP oder E-Mail steht für alle | 1 Stunde in der Servicezeit | 4 Stunden |
| 2 hoch | Abteilung oder mehrere Nutzer stark eingeschränkt | 4 Stunden | 1 Arbeitstag |
| 3 normal | einzelner Arbeitsplatz, Umgehung möglich | 8 Stunden | 3 Arbeitstage |
| 4 niedrig | Anfrage, Änderungswunsch | 2 Arbeitstage | nach Vereinbarung |
Wichtig ist außerdem, wer die Priorität festlegt und wie Sie eskalieren können, wenn eine Störung aus Ihrer Sicht falsch eingestuft ist.
Laufender Betrieb: Überwachung, Updates, Backup
5. Überwachung und Updates mit festen Regeln
„Proaktive Überwachung“ steht in vielen Angeboten. Der Vertrag sollte konkret machen, was überwacht wird (Verfügbarkeit, Speicherplatz, Sicherungen, Sicherheitswarnungen), wer auf welche Meldung in welcher Zeit reagiert, und wie Updates laufen: Zyklus für Windows und Anwendungen, Umgang mit Sicherheitslücken, die als kritisch eingestuft sind, Wartungsfenster und Information vor Neustarts von Servern. Wer Updates nur „bei Bedarf“ einspielt, hat kein Patch-Management.
6. Backup: Verantwortung schriftlich
Der häufigste Streitpunkt nach einem Datenverlust ist, wer das Backup hätte prüfen müssen. Deshalb gehört in den Vertrag: was gesichert wird (auch Microsoft-365-Daten, falls gewünscht), wie oft, wohin, wer täglich den Erfolg kontrolliert, wer wie oft eine Wiederherstellung testet, und wem die Sicherungsdaten und der Speicher gehören. Die dazugehörigen Kennzahlen, bis zu welchem Stand Daten zurückkommen müssen (RPO) und wie lange der Wiederanlauf dauern darf (RTO), erklärt der Beitrag Backup im Betrieb: RPO, RTO und die 3-2-1-Regel. Diese Werte legen Sie fest, nicht der Dienstleister; er setzt sie um.
Zugänge, Dokumentation, Datenschutz
7. Konten, Zugangsdaten und Dokumentation gehören Ihnen
Ein Dienstleister, der sich unersetzlich macht, ist ein Risiko. Prüfen Sie, ob der Vertrag Folgendes vorsieht:
- Microsoft-365-Mandant, Domains, Lizenzen und Zertifikate sind auf Ihr Unternehmen registriert, nicht auf den Dienstleister.
- Administrative Zugänge sind pro Technikerin oder Techniker personalisiert, mit Mehrfaktor-Authentifizierung, und werden beim Ausscheiden einer Person gesperrt. Kein gemeinsames „admin“-Konto.
- Es gibt ein Notfallkonto, dessen Zugangsdaten bei Ihnen verwahrt sind.
- Die Dokumentation der Umgebung (Systeme, Netzwerk, Konfigurationen, Zugänge) ist Vertragsbestandteil, wird laufend gepflegt und Ihnen auf Verlangen übergeben.
Für den Einstieg in die Betreuung beschreibt ROUBE auf der Seite Managed IT & Support genau diese Reihenfolge: Umgebung übernehmen, dokumentieren, Zugänge und Verantwortlichkeiten klären, bevor der laufende Betrieb beginnt.
8. Auftragsverarbeitung nach DSGVO
Hat der Dienstleister Zugriff auf Systeme mit personenbezogenen Daten, also praktisch immer bei E-Mail, Dateiablage oder ERP, ist er in der Regel Auftragsverarbeiter. Dann verlangt Art. 28 Abs. 3 DSGVO einen Vertrag oder ein anderes Rechtsinstrument, das unter anderem festlegt:
- Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie Art der Daten und Kategorien der betroffenen Personen,
- Verarbeitung nur auf Ihre dokumentierte Weisung,
- Vertraulichkeitsverpflichtung der eingesetzten Personen,
- technische und organisatorische Maßnahmen nach Art. 32 DSGVO,
- die Bedingungen für den Einsatz weiterer Auftragsverarbeiter (Subunternehmer), die Ihrer vorherigen Genehmigung bedürfen,
- Unterstützung bei Betroffenenrechten und bei Ihren Pflichten etwa bei Datenschutzverletzungen,
- Löschung oder Rückgabe der Daten nach Ende der Leistung,
- Nachweise und die Möglichkeit von Überprüfungen.
Die österreichische Datenschutzbehörde fasst die Pflichten von Auftragsverarbeitern auf ihrer Website zusammen (Quelle am Ende). Ein Auftragsverarbeitungsvertrag ersetzt den Wartungsvertrag nicht, er ergänzt ihn. Fehlt er, ist das ein Mangel auf Ihrer Seite als Verantwortlicher, nicht nur auf Seiten des Dienstleisters.
9. Subunternehmer, Fernwartung und Speicherort
Wer arbeitet tatsächlich an Ihren Systemen? Der Vertrag sollte nennen, ob und welche Subunternehmer eingesetzt werden, mit welchem Werkzeug Fernwartung erfolgt und ob Sitzungen protokolliert werden, und wo Daten liegen, die der Dienstleister für Sie verarbeitet, etwa Überwachungsdaten, Tickets und Sicherungskopien. Für Betriebe, die selbst Anforderungen ihrer Kunden weitergeben müssen, ist das keine Formalität.
Sicherheitsvorfälle, Berichte und das Ende des Vertrags
10. Meldung von Sicherheitsvorfällen
Bemerkt der Dienstleister einen Angriff, eine Datenschutzverletzung oder einen verdächtigen Zugriff, müssen Sie es sofort erfahren. Die DSGVO verpflichtet Auftragsverarbeiter, eine Verletzung des Schutzes personenbezogener Daten dem Verantwortlichen unverzüglich zu melden (Art. 33 Abs. 2). Weil Sie selbst gegenüber der Aufsichtsbehörde eine Frist von 72 Stunden haben, sollte der Vertrag konkret werden: Was gilt als Vorfall, innerhalb welcher Zeit wird gemeldet, an wen, und welche Unterstützung leistet der Dienstleister bei Analyse und Meldung.
Fällt Ihr Betrieb unter NIS2 oder beliefert betroffene Kunden, kommt die Lieferkette dazu: Die Richtlinie (EU) 2022/2555 nennt als Risikomanagementmaßnahme ausdrücklich die Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern und Dienstleistern (Art. 21 Abs. 2 lit. d). Betroffene Einrichtungen müssen dabei die Schwachstellen ihrer Anbieter und die Qualität von deren Cybersicherheitspraxis berücksichtigen. Was das für den Mittelstand bedeutet, steht im Beitrag NIS2 einfach erklärt. Für den Vertrag heißt es: Sicherheitsmaßnahmen des Dienstleisters, Meldewege und Nachweise sollten schriftlich vorliegen.
11. Berichte, Review und Preisanpassung
Ohne Bericht wissen Sie nicht, ob der Vertrag eingehalten wird. Üblich und sinnvoll: ein regelmäßiger Bericht mit Tickets und Reaktionszeiten, Stand der Updates, Erfolg der Sicherungen und offenen Risiken, dazu mindestens einmal jährlich ein Gespräch über Stand, Risiken und nächste Schritte. Zu den Preisen gehört in den Vertrag, wie sie sich ändern dürfen (Index, Ankündigungsfrist) und wie Zu- und Abgänge von Arbeitsplätzen abgerechnet werden.
12. Laufzeit, Kündigung und Exit
Das BSI zählt im Baustein zur Nutzung von Outsourcing unzureichende vertragliche Regelungen für die geplante und ungeplante Beendigung ausdrücklich zu den Gefährdungen. Der Vertrag sollte deshalb neben Laufzeit und Kündigungsfrist regeln, was am Ende passiert:
- Übergabe der vollständigen, aktuellen Dokumentation und aller Zugangsdaten,
- Herausgabe von Sicherungsdaten und Konfigurationen in einem nutzbaren Format,
- Mitwirkung bei der Übergabe an einen Nachfolger, mit Zeitraum und Stundensatz,
- Löschung Ihrer Daten beim Dienstleister nach der Übergabe, mit Bestätigung,
- Umgang mit Lizenzen und Verträgen, die der Dienstleister für Sie hält.
Lesen Sie außerdem, welche Haftung ausgeschlossen oder beschränkt ist. Solche Klauseln sind in IT-Verträgen üblich; Sie sollten nur wissen, was gilt, bevor Sie darauf angewiesen sind.
Die Checkliste zum Abhaken
| Punkt | Die Frage, die der Vertrag beantworten muss |
|---|---|
| 1 Systemliste | Welche Systeme sind enthalten und was wird für jedes getan? |
| 2 Projektgrenze | Was ist Betrieb, was ist Projekt, und wie wird ein Projekt freigegeben? |
| 3 Servicezeiten | Wann und wie ist der Support erreichbar, was gilt außerhalb? |
| 4 Reaktion und Lösung | Welche Prioritäten gibt es, welche Zeiten gelten je Stufe, wer eskaliert? |
| 5 Überwachung und Updates | Was wird überwacht, wie laufen Updates, wann sind Wartungsfenster? |
| 6 Backup | Was, wie oft, wohin, wer prüft, wer testet, wem gehören die Daten? |
| 7 Konten und Dokumentation | Laufen Mandant, Domains und Lizenzen auf uns, sind Zugänge personalisiert, bekommen wir die Dokumentation? |
| 8 Auftragsverarbeitung | Gibt es einen Vertrag nach Art. 28 DSGVO mit allen Mindestinhalten? |
| 9 Subunternehmer und Fernwartung | Wer arbeitet an unseren Systemen, womit, und wo liegen unsere Daten? |
| 10 Sicherheitsvorfälle | Was gilt als Vorfall, wie schnell wird an wen gemeldet, welche Hilfe gibt es? |
| 11 Berichte und Preise | Welche Berichte bekommen wir, wann ist der Review, wie ändern sich Preise? |
| 12 Exit | Laufzeit, Kündigungsfrist, Übergabe, Mitwirkung, Löschung: ist alles geregelt? |
Wenn Sie beim Lesen Ihres aktuellen Vertrags mehr als drei dieser Fragen nicht beantworten können, lohnt sich ein Gespräch mit dem Dienstleister, bevor der nächste Vorfall sie beantwortet.
Häufige Fragen
Ist ein Wartungsvertrag dasselbe wie Managed IT?
Nicht zwingend. Ein klassischer Wartungsvertrag regelt oft nur Störungsbehebung und periodische Wartung. Managed IT meint den laufenden Betrieb mit Überwachung, Updates, Support und festen Reaktionszeiten. Die Begriffe sind nicht einheitlich definiert; entscheidend ist die Leistungsbeschreibung im Vertrag.
Brauchen wir mit dem IT-Dienstleister einen Auftragsverarbeitungsvertrag?
Hat der Dienstleister Zugriff auf Systeme mit personenbezogenen Daten, etwa E-Mail, Dateiablage oder ERP, ist er in der Regel Auftragsverarbeiter. Dann verlangt Art. 28 DSGVO einen Vertrag mit festgelegten Mindestinhalten. Die Einordnung im Einzelfall sollten Sie mit Ihrer Datenschutz- oder Rechtsberatung klären.
Was passiert, wenn Reaktionszeiten nicht eingehalten werden?
Das sollte der Vertrag selbst beantworten: Eskalationsweg, Ausweis im Bericht und gegebenenfalls eine vereinbarte Folge wie eine Gutschrift. Fehlt eine Regelung, bleibt nur das allgemeine Vertragsrecht. In der Praxis wirkt ein transparenter Bericht über die Einhaltung oft mehr als eine Strafklausel.
Quellen (Abruf: 23. Oktober 2026)
- Verordnung (EU) 2016/679 (DSGVO), insbesondere Art. 28 (Auftragsverarbeiter), Art. 32 und Art. 33, EUR-Lex: eur-lex.europa.eu/eli/reg/2016/679/oj
- Österreichische Datenschutzbehörde, Ihre Pflichten als Auftragsverarbeiter:in: dsb.gv.at/rechte-pflichten/ihre-pflichten-als-auftragsverarbeiterin
- WKO, Verantwortlicher und Auftragsverarbeiter: Unterschied: wko.at/dsgvo4kmu/verantwortlicher-auftragsverarbeiter
- Richtlinie (EU) 2022/2555 (NIS2), Art. 21 (Risikomanagementmaßnahmen) und Art. 23 (Berichtspflichten), EUR-Lex: eur-lex.europa.eu/eli/dir/2022/2555/oj
- BSI, IT-Grundschutz-Kompendium Edition 2023, Baustein OPS.2.3 Nutzung von Outsourcing: bsi.bund.de, OPS.2.3 (PDF)
Dieser Beitrag ist allgemeine Information und keine Rechtsberatung. Die Tabelle mit Prioritäten und Zeiten ist ein Beispiel; welche Werte für Ihren Betrieb passen, ergibt sich aus den Kosten eines Ausfalls. Vertragsklauseln lassen Sie im Zweifel rechtlich prüfen.
Was steht in Ihrem Vertrag?
ROUBE betreut Betriebe in Kärnten und der Steiermark mit Überwachung, Patch-Management, Support nach vereinbarten Reaktionszeiten und Fernwartung. Wie Onboarding, Dokumentation und laufender Betrieb ablaufen, steht auf der Seite Managed IT & Support. Wenn Sie Ihren bestehenden Vertrag an der Checkliste messen möchten, sprechen Sie uns an.
Erstgespräch vereinbaren