Was ein IT-Betreuungsvertrag wirklich regeln sollte

Warum reicht eine Handschlag-Vereinbarung mit dem IT-Dienstleister nicht aus?

In vielen kleineren Betrieben läuft die IT-Betreuung auf Zuruf: Man kennt sich, der Dienstleister kommt wenn etwas brennt, und die monatliche Rechnung wird bezahlt. Das funktioniert — bis es nicht mehr funktioniert. Ein Ausfall, ein Personalwechsel beim Dienstleister oder der Wunsch, den Anbieter zu wechseln, machen dann sichtbar, was fehlt: klare Absprachen darüber, wer was bis wann liefert.

Rechtlich ist ein mündlicher Dienstleistungsvertrag zwar wirksam, aber kaum durchsetzbar. Was genau vereinbart war, lässt sich im Streitfall nicht belegen. Hinzu kommen gesetzliche Anforderungen, die schriftliche Regelungen verlangen — etwa die Auftragsverarbeitungsvereinbarung nach Art. 28 DSGVO, wenn der Dienstleister Zugriff auf personenbezogene Daten hat. Das ist bei nahezu jeder IT-Betreuung der Fall.

Ein sauber aufgesetzter Vertrag ist kein Misstrauensvotum gegenüber dem Dienstleister. Er schafft für beide Seiten Klarheit und ist die Grundlage dafür, dass Leistungen messbar und bei Bedarf auch einklagbar sind.

Welche Mindestinhalte empfiehlt das BSI für IT-Betreuungsverträge?

Das BSI hat in seinem Prüfleitfaden für IT-Dienstleister (Version 01-2026) konkrete Mindestanforderungen formuliert. Diese gelten zwar unmittelbar für Bundesbehörden, sind aber als Best Practice auch für den Mittelstand maßgeblich — zumal NIS2 und der EU Data Act ähnliche Anforderungen stellen.

Die wichtigsten Punkte im Überblick:

• Leistungsumfang: Was genau ist eingeschlossen, was ist Zusatzleistung? Welche Systeme, Standorte und Nutzer sind abgedeckt?
• Reaktionszeiten: Wann muss der Dienstleister auf eine Störungsmeldung reagieren, wann muss das Problem behoben sein? Unterschied zwischen Reaktion und Lösung klar benennen.
• Patch- und Änderungsmanagement: Wer ist für das Einspielen von Sicherheitsupdates verantwortlich? In welchem Rhythmus? Zentrales Patch-Management sollte vertraglich zugesichert sein.
• Protokollierung: Welche Ereignisse werden aufgezeichnet, wie lange werden Logs aufbewahrt?
• Notfallmanagement: Wie wird im Ernstfall vorgegangen? Gibt es einen Notfallplan, und wer ist Ansprechpartner außerhalb der Geschäftszeiten?
• Identifizierung von End-of-Life-Systemen: Der Dienstleister muss auslaufende Betriebssysteme und Hardware proaktiv melden.
• Subdienstleister: Darf der Dienstleister Dritte einsetzen? Wenn ja, unter welchen Bedingungen und mit welcher Haftungsübernahme?
• Jährlicher Jour fixe: Mindestens einmal pro Jahr sollte die Servicequalität gemeinsam bewertet werden.

Was muss die Datenschutzvereinbarung im IT-Betreuungsvertrag abdecken?

Sobald ein externer IT-Dienstleister auf Systeme zugreift, auf denen personenbezogene Daten gespeichert sind — und das ist in jedem Büro der Fall —, ist eine Auftragsverarbeitungsvereinbarung (AVV) nach Art. 28 DSGVO Pflicht. Ohne diese Vereinbarung riskieren Sie als Auftraggeber ein Bußgeld, nicht der Dienstleister.

Die AVV muss unter anderem regeln: Welche Kategorien von Daten werden verarbeitet, zu welchem Zweck, auf welcher technischen Grundlage. Außerdem: Welche technischen und organisatorischen Maßnahmen (TOMs) setzt der Dienstleister ein, um die Daten zu schützen? Und: Was passiert mit den Daten nach Vertragsende — Rückgabe oder nachweisliche Löschung?

Prüfen Sie, ob Ihr bestehender Vertrag eine solche Vereinbarung enthält. Fehlt sie, sollten Sie das umgehend nachholen — unabhängig davon, ob Sie den Dienstleister wechseln wollen oder nicht.

Welche Auswirkungen haben NIS2 und der EU Data Act auf den Vertragsinhalt?

Seit Ende 2025 gilt das NIS2-Umsetzungsgesetz in Deutschland. Für viele Mittelständler bedeutet das erstmals verbindliche Anforderungen an Risikomanagement, Business Continuity und Meldepflichten bei Sicherheitsvorfällen — Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des Umsatzes sind möglich. Wer unter NIS2 fällt, muss sicherstellen, dass sein IT-Dienstleister die entsprechenden Maßnahmen vertraglich zusichert und nachweisen kann. Wenn Sie unsicher sind, ob Ihr Betrieb betroffen ist, hilft eine NIS2-Beratung bei der Einordnung.

Der EU Data Act (in Kraft seit 12. September 2025) betrifft vor allem Cloud-Dienste: Ein Anbieterwechsel muss mit maximal zwei Monaten Ankündigungsfrist möglich sein. Ab dem 12. Januar 2027 sind Wechselentgelte für Cloud-Dienste grundsätzlich verboten. Wenn Ihr IT-Dienstleister Cloud-Dienste für Sie betreibt oder vermittelt, sollte der Vertrag diese Fristen und die Bedingungen eines Wechsels bereits heute abbilden.

Auch das BSI hat seinen IT-Grundschutz zum 1. Januar 2026 grundlegend reformiert: Das neue Grundschutz++-Regelwerk reduziert die Anforderungen auf rund 985 prozessorientierte Praktiken und ist für Unternehmen im Mittelstand als Best Practice empfohlen.

Wie sollte ein IT-Betreuungsvertrag den Wechsel des Dienstleisters regeln?

Die Exit-Klausel ist der Teil des Vertrags, den die meisten Betriebe erst dann vermissen, wenn sie ihn brauchen. Ein gut geregelter Wechselprozess umfasst mindestens folgende Punkte:

• Dokumentation: Der Dienstleister muss eine vollständige und aktuelle IT-Dokumentation führen und diese bei Vertragsende herausgeben — Netzwerkpläne, Lizenzübersichten, Konfigurationen, Passwörter.
• Zugangsdaten: Alle administrativen Zugänge (Server, Router, Cloud-Tenants, Domänen) müssen vollständig übergeben werden. Keine Sperrung von Domains oder Microsoft-365-Tenants.
• Datenrückgabe und -löschung: Kundendaten müssen in einem nutzbaren Format zurückgegeben und beim Dienstleister nachweislich gelöscht werden.
• Übergangs-Support: Der bisherige Dienstleister sollte für einen definierten Zeitraum (zum Beispiel vier Wochen) den Nachfolger unterstützen.
• Fristen: Übergabefristen sollten konkret benannt sein, zum Beispiel zehn Werktage für die Herausgabe der Dokumentation.

Fehlen diese Regelungen, kann ein Wechsel Monate dauern und erhebliche Kosten verursachen. Im schlimmsten Fall hat der bisherige Dienstleister faktische Kontrolle über Ihre Infrastruktur, auch wenn der Vertrag bereits gekündigt ist.

Was sollte im Vertrag zur laufenden Betreuung konkret stehen?

Viele Verträge beschreiben Leistungen so allgemein, dass im Streitfall unklar bleibt, was tatsächlich geschuldet ist. „Betreuung der IT-Infrastruktur“ ist keine belastbare Leistungsbeschreibung. Folgende Punkte sollten konkret geregelt sein:

• Monitoring: Wird die Infrastruktur aktiv überwacht? Welche Systeme, in welchem Intervall? Ein professionelles Monitoring erkennt Probleme, bevor sie zum Ausfall werden.
• Gerätemanagement: Wer verwaltet Endgeräte, spielt Updates ein, sperrt verlorene Geräte? Das Geräte-Management sollte klar dem Dienstleister oder dem Auftraggeber zugeordnet sein.
• Reaktionszeiten: Unterscheiden Sie zwischen Reaktionszeit (wann meldet sich jemand?) und Lösungszeit (wann ist das Problem behoben?). Definieren Sie Prioritätsstufen: Ein ausgefallener Server ist etwas anderes als ein defekter Drucker.
• Erreichbarkeit: Wann ist der Dienstleister erreichbar? Gibt es eine Notfallnummer? Was kostet Support außerhalb der Kernzeiten?
• Transparente Preisstruktur: Was ist in der Monatspauschale enthalten, was wird separat abgerechnet? Fahrtkosten, Vor-Ort-Einsätze, Lizenzen — alles sollte klar benannt sein.

Lohnt sich eine Förderung für die IT-Beratung vor Vertragsabschluss?

Wer einen neuen IT-Betreuungsvertrag abschließen oder den bestehenden grundlegend überarbeiten möchte, kann dafür unter Umständen eine Förderung in Anspruch nehmen. Das BAFA-Programm zur Unternehmensberatung bezuschusst Beratungsleistungen mit bis zu 80 Prozent, maximal 3.500 Euro je Beratung (Stand Oktober 2026). Wichtig: Der Antrag muss vor Vertragsabschluss gestellt werden. Wer zuerst unterschreibt und dann den Antrag stellt, geht leer aus.

Auch der KfW-ERP-Digitalisierungskredit und regionale Programme wie der Digitalbonus Bayern können für Digitalisierungsvorhaben genutzt werden. Förderprogramme laufen derzeit bis mindestens Ende 2026.

Eine professionelle Beratung vor Vertragsabschluss zahlt sich in jedem Fall aus — unabhängig von der Förderung. Wer weiß, was er braucht, verhandelt besser und vermeidet teure Nachträge.

Wann ist welcher Vertragstyp sinnvoll — Pauschale oder Einzelabrechnung?

Grundsätzlich gibt es zwei Modelle: die monatliche Pauschale (Managed Service) und die Abrechnung nach Aufwand (Time & Material). Beide haben ihre Berechtigung, je nach Betriebsgröße und IT-Reifegrad.

Eine Monatspauschale ist richtig, wenn …

• Sie planbaren IT-Aufwand und ein festes Budget bevorzugen.
• Ihre IT-Infrastruktur stabil ist und regelmäßige Betreuung benötigt.
• Sie möchten, dass der Dienstleister ein Eigeninteresse an stabilen Systemen hat — denn Störungen kosten ihn Zeit, ohne dass er sie extra abrechnen kann.

Einzelabrechnung bleibt sinnvoll, wenn …

• Ihr IT-Bedarf stark schwankt oder saisonal ist.
• Sie nur gelegentlich Unterstützung benötigen und keine dauerhaften Systeme zu betreuen haben.
• Sie die Leistungen noch nicht genau einschätzen können und zunächst Erfahrungen sammeln möchten.

In der Praxis empfiehlt sich für die meisten Mittelständler ein Hybridmodell: Eine Pauschale für den definierten Regelbetrieb, Einzelabrechnung für Projekte und außerplanmäßige Einsätze. Wichtig ist, dass beide Bereiche im Vertrag klar voneinander abgegrenzt sind.