Ein Managed-Services-Vertrag ist selten ein einzelnes Dokument. Meist besteht er aus mehreren Teilen: einem Rahmenvertrag, einer Leistungsbeschreibung, einer Leistungsvereinbarung, einem Vertrag zur Auftragsverarbeitung und einer Preisanlage. Wer weiß, was in welchen Teil gehört, kann Angebote besser vergleichen und Lücken früh erkennen.
Dieser Beitrag beschreibt den typischen Aufbau aus Sicht eines Unternehmens, das IT-Aufgaben abgeben möchte. Er ersetzt keine Rechtsberatung. Lassen Sie Vertragsentwürfe bei Bedarf rechtlich prüfen. Was Managed Services grundsätzlich sind und welche Servicezeiten es gibt, erklärt unser Ratgeber Managed Services IT.
Der typische Aufbau im Überblick
| Dokument | Regelt vor allem | Leitfrage für Sie |
|---|---|---|
| Rahmenvertrag | Laufzeit, Kündigung, Haftung, Vertraulichkeit, Änderungen | Wie komme ich aus dem Vertrag heraus, und wer haftet wofür? |
| Leistungsbeschreibung | betreute Systeme, enthaltene Leistungen, Ausschlüsse, Mitwirkung | Was genau ist im Preis enthalten, und was nicht? |
| Leistungsvereinbarung (SLA) | Servicezeiten, Prioritäten, Reaktions- und Wiederherstellungszeiten, Berichte | Woran messe ich, ob die Leistung stimmt? |
| Vertrag zur Auftragsverarbeitung | Umgang mit personenbezogenen Daten | Was darf der Dienstleister mit unseren Daten tun? |
| Preisanlage | Pauschalen, Mengen, Stundensätze für Zusatzleistungen | Was kostet es, wenn wir wachsen oder etwas ändern? |
| Sicherheits- und Notfallanlage | Zugriffe, Sicherheitsanforderungen, Zuständigkeiten im Notfall | Wer tut was, wenn es ernst wird? |
Die Namen unterscheiden sich von Anbieter zu Anbieter. Wichtig ist, dass jeder Punkt irgendwo geregelt ist. Klären Sie außerdem, welches Dokument gilt, wenn sich zwei widersprechen.
Der Rahmenvertrag
Der Rahmenvertrag enthält die Regeln, die für alle Leistungen gelten. Dazu gehören in der Regel Vertragsbeginn, Mindestlaufzeit und Kündigungsfristen, Vertraulichkeit, Haftung und das Verfahren für Änderungen am Leistungsumfang.
Ein Punkt verdient Aufmerksamkeit: Das Bürgerliche Gesetzbuch unterscheidet zwischen dem Dienstvertrag, bei dem die versprochenen Dienste geschuldet werden (§ 611 BGB), und dem Werkvertrag, bei dem ein Werk oder ein bestimmter Erfolg geschuldet wird (§ 631 BGB). In einem Managed-Services-Vertrag können laufende Betreuung und einzelne Projekte zusammenkommen. Welche Vertragsart vorliegt und welche Folgen das hat, gehört in die rechtliche Prüfung, nicht in die Technik.
Die Leistungsbeschreibung
Die Leistungsbeschreibung ist der Teil, über den im Alltag am häufigsten gesprochen wird. Sie sollte mindestens diese Punkte enthalten:
- Bestand: eine Liste der betreuten Systeme, etwa Server, Arbeitsplätze, Netzwerkgeräte, Clouddienste und Fachanwendungen. Ohne diese Liste ist unklar, worauf sich die Leistung bezieht.
- Enthaltene Leistungen: zum Beispiel Updates, Überwachung, Datensicherung mit Wiederherstellungstests, Anwenderunterstützung.
- Ausschlüsse: was ausdrücklich nicht enthalten ist, etwa Projekte, Schulungen oder die Betreuung von Fachanwendungen durch deren Hersteller.
- Zusatzleistungen: wie sie beauftragt und abgerechnet werden.
- Mitwirkung: was Sie beitragen, zum Beispiel eine Ansprechperson benennen, Ein- und Austritte melden und Wartungsfenster freigeben.
Unklare Begriffe wie „Sicherheit inklusive“ oder „Rundum-Betreuung“ sollten Sie durch eine konkrete Liste ersetzen lassen. Typische Bausteine mit Beispielen finden Sie in unserem Ratgeber Managed Services IT. Wie solche Bausteine im Alltag aussehen, zeigt unser Beitrag Managed Services Beispiele.
Die Leistungsvereinbarung (SLA)
Die Leistungsvereinbarung, oft SLA für „Service Level Agreement“ genannt, legt messbare Ziele fest: Servicezeiten, Prioritätsstufen, Reaktions- und Wiederherstellungszeiten sowie Berichte. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt im IT-Grundschutz-Baustein OPS.2.3, Leistungskennzahlen im Vertrag festzulegen und Konsequenzen zu vereinbaren, falls sie unzureichend erfüllt werden, zum Beispiel Vertragsstrafen (BSI, OPS.2.3 Nutzung von Outsourcing, Edition 2023).
Achten Sie darauf, dass die Kennzahlen zu Ihrem Betrieb passen. Eine kurze Reaktionszeit hilft wenig, wenn offen bleibt, wann ein ausgefallenes System wieder läuft. Den Unterschied zwischen Reaktions-, Wiederherstellungs- und Lösungszeit erklärt der Beitrag Managed Services IT. Ob Sie Betreuung außerhalb der Geschäftszeiten brauchen und wie Sie sie abgestuft vereinbaren, beschreibt unser Beitrag IT-Support 24/7.
Der Vertrag zur Auftragsverarbeitung
Hat der Dienstleister bei Wartung oder Fernwartung Zugriff auf personenbezogene Daten, handelt es sich nach Auffassung der Datenschutzkonferenz um eine Auftragsverarbeitung. Dann sind die Anforderungen des Art. 28 DSGVO umzusetzen, zum Beispiel ein Vertrag zur Auftragsverarbeitung (Datenschutzkonferenz, Kurzpapier Nr. 13, Stand 17.12.2018).
Das Kurzpapier nennt dazu unter anderem diese Punkte:
- Der Vertrag kann schriftlich oder in einem elektronischen Format geschlossen werden.
- Der Dienstleister muss die nach Art. 32 DSGVO erforderlichen Sicherheitsmaßnahmen ergreifen.
- Weitere Unterauftragnehmer darf er nur mit vorheriger Genehmigung einsetzen. Geplante Änderungen muss er vorher mitteilen, und Sie können widersprechen.
Prüfen Sie deshalb, welche Unterauftragnehmer der Anbieter einsetzt, etwa für Fernwartungswerkzeuge, Überwachung oder Datensicherung. Mehr zum Datenschutz im Unternehmen lesen Sie im Beitrag Datenschutz im Unternehmen.
Sicherheit und Notfall
Der Baustein OPS.2.3 des BSI nennt Punkte, die ein Auslagerungsvertrag regeln sollte. Für Managed Services sind diese besonders relevant:
- Anforderungen an die Informationssicherheit beim Dienstleister,
- ein Zustimmungsvorbehalt, wenn der Dienstleister Aufgaben weiterverlagern will,
- ein Recht auf Prüfung, Revision und Audit,
- die Bereiche und Dienste in Ihrem Netz, auf die der Dienstleister zugreifen darf,
- die Verantwortlichkeiten im Notfall- und Krisenmanagement.
Für Unternehmen, die unter die NIS-2-Regeln fallen, hat das zusätzliches Gewicht. Seit dem 6. Dezember 2025 gilt in Deutschland das NIS-2-Umsetzungsgesetz (BSI: Fragen und Antworten zu NIS-2). Zu den Maßnahmen nach § 30 BSIG gehört ausdrücklich die Sicherheit der Lieferkette, einschließlich der Beziehungen zu Diensteanbietern. Ein Managed-Service-Anbieter ist Teil dieser Lieferkette. Unser Angebot dazu finden Sie auf der Seite NIS2 und Risikomanagement.
Das Vertragsende: den Ausstieg vorab regeln
Über das Ende eines Vertrags spricht beim Abschluss kaum jemand. Gerade hier entstehen aber Abhängigkeiten. Der Baustein OPS.2.3 verlangt Regeln für eine geplante und eine ungeplante Beendigung: wie Informationen, Daten und Hardware zurückgegeben werden, unter Beachtung gesetzlicher Aufbewahrungspflichten. Außerdem sollte geprüft werden, ob die Zugangs- und Zugriffsrechte des Dienstleisters aufgehoben wurden (BSI, OPS.2.3).
Wir empfehlen, zusätzlich diese Punkte festzuhalten:
- Übergabe der Dokumentation in einem lesbaren Format, zum Beispiel Netzplan, Systemliste und Konfigurationen,
- Übergabe aller Administratorzugänge und Wiederherstellungsschlüssel,
- Unterstützung bei der Übergabe an einen neuen Dienstleister und deren Abrechnung,
- Löschung Ihrer Daten beim Dienstleister mit Bestätigung.
Checkliste vor der Unterschrift
- Liegt eine vollständige Liste der betreuten Systeme vor?
- Sind Leistungen, Ausschlüsse und Zusatzleistungen klar getrennt?
- Sind Servicezeiten, Prioritäten und Zeiten je Priorität festgelegt?
- Gibt es regelmäßige Berichte, und wer bespricht sie?
- Ist ein Vertrag zur Auftragsverarbeitung vorhanden, und sind Unterauftragnehmer benannt?
- Sind Zugriffe, Prüfrechte und Notfallzuständigkeiten geregelt?
- Ist der Ausstieg mit Rückgabe, Übergabe und Entzug der Zugänge beschrieben?
- Ist klar, welches Dokument bei Widersprüchen gilt?
- Hat jemand mit rechtlicher Fachkenntnis den Entwurf gelesen, wenn es um größere Summen oder lange Laufzeiten geht?
Woran Sie einen guten IT-Dienstleister schon vor dem Vertrag erkennen, beschreibt unser Ratgeber IT-Service und Beratung.
Managed Services bei der GSL Groß GmbH
Die GSL Groß GmbH betreut kleine und mittelständische Unternehmen in Rheinland-Pfalz und Hessen von Idar-Oberstein aus; im Raum Darmstadt arbeiten wir dafür mit einem Partnersystemhaus zusammen. Was wir zum monatlichen Festpreis übernehmen, lesen Sie auf unserer Seite Managed Services – IT zum Festpreis. Wie Sie unseren Support erreichen, steht auf der jeweiligen Seite.
Sie möchten ein Angebot einordnen oder klären, welche Leistungen Sie vertraglich festhalten sollten? Sprechen Sie uns an.