Was ein IT-Wartungsvertrag regeln muss

Wartungsverträge für IT werden häufig auf zwei Seiten abgeschlossen: eine Liste der betreuten Systeme, ein Monatsentgelt, eine Laufzeit. Im Alltag genügt das, solange nichts passiert. Streitig wird es an dem Tag, an dem ein System steht und zwei Parteien unterschiedliche Vorstellungen davon haben, was jetzt geschuldet ist, bis wann und von wem. Die folgenden Punkte sind deshalb keine Verhandlungstaktik, sondern die Mindestausstattung eines Vertrags, der im Ernstfall trägt.

Ein Hinweis zur Abgrenzung: Verfügbarkeitszusagen in Prozent, ihre Umrechnung in zulässige Ausfallzeit und die üblichen Ausnahmen sind Gegenstand der Servicevereinbarung und ein eigenes Thema. Hier geht es um den Vertrag darunter – um Leistung, Zeiten, Zuständigkeit und das Ende.

Zuerst die Vertragsart

Bevor über Zeiten gesprochen wird, lohnt der Blick auf die rechtliche Einordnung. Ein Dienstvertrag nach § 611 des Bürgerlichen Gesetzbuchs verpflichtet zur Leistung der zugesagten Dienste gegen Vergütung; geschuldet ist die Tätigkeit. Ein Werkvertrag nach § 631 desselben Gesetzes verpflichtet zur Herstellung des versprochenen Werkes – geschuldet ist ein Erfolg, wobei das Gesetz ausdrücklich auch einen durch Arbeit oder Dienstleistung herbeizuführenden Erfolg erfasst.

Der Unterschied wirkt akademisch, entscheidet aber die Frage, ob ein Dienstleister nur sorgfältiges Bemühen oder ein Ergebnis schuldet. Laufende Betreuung, Überwachung und Beratung sind typischerweise Dienstleistungen; ein Umzug, eine Installation oder die Behebung eines konkreten Fehlers kann als Werk vereinbart werden. Praktisch enthalten Wartungsverträge beides. Wichtig ist, dass der Vertrag die Bestandteile unterscheidet, statt sie in einer Sammelformulierung zu vermischen.

Leistungsumfang: was drin ist und was nicht

Der Leistungsumfang ist der Teil, an dem später am häufigsten Rechnungen entstehen, die niemand erwartet hat. Er sollte positiv beschrieben sein – was wird getan – und zusätzlich negativ: was ausdrücklich nicht enthalten ist. Eine Liste der betreuten Systeme genügt nicht; eine Leistung ohne Nennung ist im Zweifel nicht vereinbart.

Drei Zeiten, die nicht dasselbe sind

Zeiten sind der Kern eines Wartungsvertrags, und sie werden regelmäßig durcheinandergebracht. Die Reaktionszeit beschreibt, wann die Bearbeitung einer gemeldeten Störung beginnt. Die Wiederherstellungszeit beschreibt, bis wann der Dienst wieder nutzbar ist – notfalls über eine Übergangslösung. Die Servicezeit beschreibt, in welchen Stunden diese Fristen überhaupt laufen. Ein Vertrag mit vier Stunden Reaktionszeit und Servicezeiten von Montag bis Freitag, 8 bis 17 Uhr, sagt für eine Störung am Freitagnachmittag etwas völlig anderes als der bloße Zahlenwert vermuten lässt.

Vereinbaren Sie deshalb zu jeder Zeitangabe drei Dinge: den Beginn der Frist, ihren Lauf und ihre Klassifizierung. Der Beginn hängt am Meldeweg – zählt eine Meldung per E-Mail, per Telefon, über ein Portal, und wird der Eingang bestätigt? Der Lauf hängt an der Servicezeit; außerhalb der Servicezeit ruhende Fristen sind zulässig, müssen aber ausgeschrieben sein. Die Klassifizierung entscheidet, welche Frist gilt: Der Vertrag sollte die Störungsklassen anhand von Auswirkungen definieren, etwa nach der Zahl betroffener Nutzer und der Frage, ob ein Ersatzweg besteht. Fehlt diese Definition, entscheidet im Zweifel derjenige, der die Frist einhalten muss.

Eskalation braucht Namen und Stufen

Eine Eskalationsregel, die nur aus einer Hotline-Nummer besteht, ist keine. Brauchbar ist eine Kette mit mindestens zwei Stufen, benannten Rollen auf beiden Seiten, erreichbaren Kontaktwegen und einer Frist, nach deren Ablauf die nächste Stufe automatisch greift – ohne dass der Kunde erst um Eskalation bitten muss. Dazu gehört der umgekehrte Weg: Wer im Unternehmen darf außerhalb der Bürozeiten Entscheidungen treffen, etwa über einen Neustart im laufenden Betrieb oder über eine Rücksicherung, die Datenverlust in Kauf nimmt?

Ebenso praktisch ist eine Regel für den Fall, dass die Ursache außerhalb des Vertrags liegt. Steht ein Softwarehersteller, ein Netzbetreiber oder ein Cloud-Anbieter in der Kette, sollte festgelegt sein, wer dort meldet, wer nachfasst und wer den Kunden auf welchem Stand hält. Ohne diese Regel entsteht die Situation, in der alle Beteiligten zuständig sind und niemand führt.

Mitwirkungspflichten: der Teil, der den Kunden betrifft

Fristen lassen sich nur halten, wenn die Voraussetzungen dafür bestehen. Deshalb enthält jeder belastbare Wartungsvertrag Pflichten des Kunden – und es ist im eigenen Interesse, sie realistisch zu vereinbaren, statt sie hinzunehmen. Dazu zählen ein benannter Ansprechpartner samt Vertretung, die Bereitstellung der erforderlichen Zugänge, Zutritt zu den Räumen, aktuelle Dokumentation, Mitwirkung der Fachabteilungen bei Tests sowie die Freigabe von Wartungsfenstern in einem vereinbarten Rhythmus.

Zwei Punkte verdienen besondere Aufmerksamkeit. Erstens die Fernwartung: Ohne gesicherten Fernzugriff verlängert sich jede Reaktionszeit um die Anfahrt, und genau das steht selten im Vertrag. Zweitens die Folge einer nicht erfüllten Mitwirkung: Üblich ist, dass Fristen dann ruhen. Das ist sachlich vertretbar, sollte aber an konkrete, prüfbare Mitwirkungshandlungen gebunden sein und nicht an eine pauschale Klausel, die im Streitfall jede Zusage aushebelt.

Kündigung, Preisanpassung und das Ende des Vertrags

Zum Ende gehören vier Regelungen: Laufzeit und ordentliche Kündigungsfrist, die automatische Verlängerung, das Verfahren für Preisanpassungen und die außerordentliche Kündigung. Letztere besteht bei Dauerschuldverhältnissen ohnehin: Nach § 314 des Bürgerlichen Gesetzbuchs kann jede Partei aus wichtigem Grund ohne Einhaltung einer Kündigungsfrist kündigen, wenn die Fortsetzung nicht zugemutet werden kann – bei Pflichtverletzungen regelmäßig erst nach erfolglosem Ablauf einer Abhilfefrist oder nach Abmahnung, und nur innerhalb angemessener Frist nach Kenntnis vom Kündigungsgrund. Wer sich darauf verlassen will, muss Pflichtverletzungen also dokumentieren, statt sie nur zu bemerken.

Der praktisch wichtigste Abschnitt ist die Beendigung im Detail. Werden bei der Wartung personenbezogene Daten im Auftrag verarbeitet, verlangt Artikel 28 Absatz 3 der Datenschutz-Grundverordnung eine vertragliche Regelung, nach der der Auftragsverarbeiter die Daten nach Abschluss der Verarbeitungsleistung löscht oder zurückgibt, soweit keine Aufbewahrungspflicht entgegensteht. Diese Regelung steht meist im Vertrag zur Auftragsverarbeitung – ihre technische Umsetzung gehört in den Wartungsvertrag: Welche Daten werden in welchem Format herausgegeben, in welcher Frist, gegen welchen Aufwand, und wie wird die Löschung nachgewiesen?

Dazu gehören die Dinge, die im Alltag beim Dienstleister liegen: Zugangsdaten und Verwaltungskonten, Dokumentation, Lizenznachweise, Zertifikate und Schlüssel für verschlüsselte Sicherungen. Ein Vertrag, der die Übergabe dieser Bestände nicht regelt, verlagert die Verhandlung darüber in den ungünstigsten Moment – nämlich in den, in dem das Verhältnis bereits beendet ist.

Sechs Fragen an den vorliegenden Vertrag

Unsere Einordnung: Ein Wartungsvertrag wird nicht dadurch gut, dass er lang ist, sondern dadurch, dass sich aus ihm drei Sätze ableiten lassen. Was ist geschuldet, bis wann, und was geschieht, wenn es nicht geschieht. Lassen sich diese Sätze nach dem Lesen nicht formulieren, liegt das nicht am Leser.

Verwandte Themen: Wer hier weiterdenkt, liest bei SLA, Herstellergarantie und Backup-Strategie weiter.