IT-Service GmbH: worauf Sie vor der Unterschrift achten sollten
Die Rechtsform sagt etwas über Haftung und Fortbestand aus – aber weniger, als viele annehmen. Entscheidend sind Betriebshaftpflicht, Auftragsverarbeitungsvertrag, Vertretungsregelung und die Klauseln, die regeln, was passiert, wenn die Zusammenarbeit endet.
Wer nach einer IT-Service GmbH sucht, sucht meist nach Verlässlichkeit: einem Anbieter, der nicht morgen verschwunden ist, der im Schadensfall haftet und der nicht an einer einzelnen Person hängt. Die Rechtsform allein leistet das nicht. Eine GmbH haftet zwar mit ihrem Gesellschaftsvermögen und nicht mit dem Privatvermögen der Gesellschafter – das schützt aber in erster Linie die Gesellschafter, nicht Sie als Auftraggeber. Diese Seite beschreibt, worauf es tatsächlich ankommt, und macht transparent, wie wir selbst aufgestellt sind.
Haftung braucht Deckung
Eine GmbH haftet nur so weit, wie Vermögen oder Versicherung reichen. Fragen Sie nach der Deckungssumme, nicht nach der Rechtsform.
AV-Vertrag ist Pflicht
Wer Ihre Systeme betreut, verarbeitet personenbezogene Daten. Ohne Auftragsverarbeitungsvertrag ist das ein DSGVO-Verstoß – Ihrer.
Nicht an einer Person hängen
Vertretung, Dokumentation und Zugriffsregelung entscheiden darüber, ob Ausfall oder Kündigung eines Technikers Sie trifft.
Ausstieg vorher regeln
Herausgabe von Zugängen, Daten und Dokumentation gehört in den Vertrag – nicht in die Verhandlung nach der Kündigung.
Was die Rechtsform tatsächlich aussagt – und was nicht
Eine GmbH muss ein Stammkapital von mindestens 25.000 Euro aufweisen, ist im Handelsregister eingetragen und veröffentlicht Jahresabschlüsse. Das schafft ein Mindestmaß an Nachprüfbarkeit: Sie können Gründungsjahr, Geschäftsführung und in Grenzen die wirtschaftliche Entwicklung einsehen. Bei einem Einzelunternehmen ist das nicht möglich.
Was die Rechtsform nicht aussagt: wie groß das Unternehmen ist, wie viele Techniker es beschäftigt, ob es fachlich geeignet ist und ob es im Schadensfall zahlungsfähig bleibt. Eine GmbH kann aus einer einzigen Person bestehen. Die Haftungsbeschränkung wirkt zudem zugunsten der Gesellschafter – reicht das Gesellschaftsvermögen im Schadensfall nicht, gehen Sie leer aus, wo ein Einzelunternehmer noch persönlich gehaftet hätte.
- ✓Handelsregistereintrag mit Gründungsjahr und Geschäftsführung prüfen
- ✓Veröffentlichte Jahresabschlüsse im Bundesanzeiger einsehen
- ✓Mitarbeiterzahl erfragen – eine GmbH kann eine Einzelperson sein
- ✓Haftungsbeschränkung schützt Gesellschafter, nicht Auftraggeber
- ✓Rechtsform ersetzt keine Prüfung der fachlichen Eignung
- ✓Alter des Unternehmens als grober Hinweis auf Beständigkeit
Betriebshaftpflicht: die Frage, die den Unterschied macht
Der praktisch wichtigste Punkt wird selten gestellt: Wie hoch ist die Deckungssumme der Betriebs- und Vermögensschadenhaftpflicht, und sind IT-Tätigkeiten ausdrücklich eingeschlossen? Der typische Schaden in unserer Branche ist kein Sachschaden, sondern ein Vermögensschaden – eine gelöschte Datenbank, ein mehrtägiger Ausfall, ein Datenabfluss durch eine Fehlkonfiguration.
Viele Standardpolicen decken genau diese Fälle nicht ab oder nur mit niedrigen Sublimits. Lassen Sie sich deshalb eine Versicherungsbestätigung vorlegen, aus der Deckungssumme und eingeschlossene Tätigkeiten hervorgehen. Wir legen unsere Bestätigung unaufgefordert bei jedem Vertragsangebot bei.
- ✓Versicherungsbestätigung vor Vertragsschluss anfordern
- ✓Auf Einschluss von Vermögensschäden achten, nicht nur Sachschäden
- ✓Deckungssumme ins Verhältnis zum möglichen Ausfallschaden setzen
- ✓Prüfen, ob Datenrettungskosten und Betriebsunterbrechung enthalten sind
- ✓Sublimits für einzelne Schadensarten beachten
- ✓Jährliche Bestätigung des fortbestehenden Versicherungsschutzes
Auftragsverarbeitung und Datenschutz
Ein IT-Dienstleister mit administrativem Zugriff auf Ihre Systeme kann auf personenbezogene Daten zugreifen – auf Mitarbeiterdaten, Kundendaten und je nach Branche auf besonders geschützte Kategorien wie Gesundheitsdaten. Damit liegt eine Auftragsverarbeitung nach Artikel 28 DSGVO vor, die einen schriftlichen Vertrag erfordert.
Fehlt dieser Vertrag, ist das primär Ihr Problem: Verantwortlicher im Sinne der DSGVO bleiben Sie, nicht der Dienstleister. Ein Anbieter, der von sich aus keinen AV-Vertrag vorlegt, hat entweder das Thema nicht verstanden oder nimmt es nicht ernst. Beides ist ein belastbares Ausschlusskriterium. Weiterführend dazu unsere Seite zur DSGVO-Compliance.
- ✓Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO vor Arbeitsbeginn
- ✓Auflistung eingesetzter Unterauftragnehmer mit Widerspruchsrecht
- ✓Nachweis technischer und organisatorischer Maßnahmen
- ✓Serverstandort der eingesetzten Werkzeuge klären
- ✓Regelung zur Löschung von Daten nach Vertragsende
- ✓Meldewege und Fristen bei Datenschutzvorfällen
Nicht von einer einzelnen Person abhängig sein
Auch bei einer GmbH stellt sich die Frage, wie viele Personen Ihre Umgebung tatsächlich kennen. Wird sie von genau einem Techniker betreut, sind Sie bei dessen Krankheit, Urlaub oder Kündigung in derselben Lage wie bei einem selbstständigen Einzelbetreuer – nur mit einem Firmenschild davor.
Fragen Sie deshalb konkret: Wie viele Personen kennen unsere Umgebung, wie ist die Vertretung geregelt, wo liegt die Dokumentation und wie schnell kann ein Vertreter einsteigen. Wir arbeiten grundsätzlich mit mindestens zwei Technikern je Kunde und einer Dokumentation, die einen Einstieg ohne Rückfragen ermöglicht.
- ✓Mindestens zwei Personen mit Kenntnis Ihrer Umgebung
- ✓Schriftlich geregelte Urlaubs- und Krankheitsvertretung
- ✓Zentral gepflegte Dokumentation statt persönlicher Notizen
- ✓Zugangsdaten in einem verwalteten System, nicht in Einzelbesitz
- ✓Nachvollziehbare Protokollierung administrativer Zugriffe
- ✓Geregelter Entzug von Zugängen bei Personalwechsel
Vertragsklauseln, die im Ernstfall zählen
Die meisten Verträge lesen sich im Abschlussmoment unauffällig. Problematisch werden sie erst beim Ausstieg. Wiederkehrende Fallen: eine automatische Verlängerung um zwölf Monate bei versäumter Kündigung, ein Entgelt für die Herausgabe der Dokumentation, Lizenzen, die auf den Dienstleister statt auf Ihr Unternehmen laufen, oder Zugangsdaten, die als Betriebsgeheimnis des Anbieters deklariert werden.
Jede dieser Klauseln erhöht Ihre Wechselkosten künstlich. Lassen Sie sie vor Unterschrift streichen – nach der Kündigung ist die Verhandlungsposition denkbar schlecht. Ein Anbieter, der einer Herausgabepflicht ohne Zusatzkosten nicht zustimmt, sagt damit etwas über sein Geschäftsmodell aus.
- ✓Kündigungsfristen und automatische Verlängerung prüfen
- ✓Herausgabe von Dokumentation und Zugängen ohne Zusatzentgelt
- ✓Lizenzen und Domains auf Ihr Unternehmen registrieren lassen
- ✓Klare Abgrenzung zwischen Vertragsleistung und Projektarbeit
- ✓Regelung zu Preisanpassungen mit Ankündigungsfrist
- ✓Vereinbarte Mitwirkung bei einem Wechsel zum Nachfolger
Wie wir selbst aufgestellt sind
Wir halten es für angemessen, die oben genannten Fragen für uns selbst zu beantworten, statt sie nur zu stellen. DESATIV® ist im Handelsregister eingetragen, verfügt über eine Betriebs- und Vermögensschadenhaftpflicht mit einer Deckungssumme von fünf Millionen Euro einschließlich IT-Tätigkeiten, und legt die Versicherungsbestätigung jedem Angebot bei.
Der Auftragsverarbeitungsvertrag ist Bestandteil jedes Betreuungsvertrags, nicht eine Anlage auf Nachfrage. Eingesetzte Werkzeuge für Fernwartung, Überwachung und Sicherung laufen in deutschen Rechenzentren. Jede betreute Umgebung kennen mindestens zwei Techniker. Und die Herausgabe sämtlicher Zugänge, Daten und Dokumentation bei Vertragsende ist kostenfrei geregelt – nachzulesen im Vertrag, bevor Sie ihn unterschreiben.
- ✓Handelsregistereintrag und benannte Geschäftsführung
- ✓Betriebshaftpflicht über fünf Millionen Euro inklusive IT-Tätigkeiten
- ✓Versicherungsbestätigung liegt jedem Angebot bei
- ✓AV-Vertrag als fester Bestandteil, nicht als Anlage auf Nachfrage
- ✓Fernwartung, Überwachung und Sicherung in deutschen Rechenzentren
- ✓Kostenfreie Herausgabe aller Zugänge und Unterlagen bei Vertragsende
Steuerkanzlei mit 30 Arbeitsplätzen: Anbieterwechsel nach fehlendem AV-Vertrag
Eine Münchner Steuerkanzlei stellte im Rahmen einer Datenschutzprüfung fest, dass mit dem langjährigen IT-Betreuer nie ein Auftragsverarbeitungsvertrag geschlossen worden war, obwohl dieser administrativen Vollzugriff auf Mandantendaten hatte. Der Anbieter konnte weder eine Versicherungsbestätigung noch eine Übersicht seiner eingesetzten Werkzeuge vorlegen. Wir haben die Umgebung übernommen, den Zugriff auf ein protokolliertes Verwaltungssystem umgestellt, alle Fernwartungswerkzeuge auf Anbieter mit deutschem Serverstandort gewechselt und die Dokumentation so aufgebaut, dass sie einer Prüfung standhält.
Uns war nicht klar, dass die Verantwortung für diese Lücke bei uns lag und nicht beim Dienstleister. Das war der teuerste Punkt, den wir nie geprüft hatten.
Partnerin, Steuerkanzlei München
Häufige Fragen
Nicht automatisch. Eine GmbH bietet mehr Nachprüfbarkeit durch Handelsregister und veröffentlichte Abschlüsse, kann aber aus einer einzigen Person bestehen. Die Haftungsbeschränkung wirkt zudem zugunsten der Gesellschafter: Reicht das Gesellschaftsvermögen nicht, haftet niemand persönlich nach. Entscheidend sind daher Betriebshaftpflicht, Vertretungsregelung und Dokumentation – nicht die Rechtsform allein.
Vier Dokumente: eine aktuelle Versicherungsbestätigung mit Deckungssumme und eingeschlossenen Tätigkeiten, den Entwurf des Auftragsverarbeitungsvertrags, eine Übersicht der eingesetzten Werkzeuge samt Serverstandort, und den Vertragsentwurf mit den Regelungen zu Kündigung und Herausgabe. Ein Anbieter, der bei einem dieser Punkte zögert, beantwortet Ihre Frage damit bereits.
Die Deckungssumme sollte im Verhältnis zum möglichen Schaden stehen, nicht zur Auftragsgröße. Ein mehrtägiger Betriebsausfall oder ein Datenabfluss kann ein Vielfaches der Jahresvergütung kosten. Für mittelständische Umgebungen halten wir eine Deckung im niedrigen Millionenbereich für angemessen, wobei entscheidend ist, dass Vermögensschäden aus IT-Tätigkeiten ausdrücklich eingeschlossen sind.
Ja, sobald der Dienstleister auf Systeme zugreifen kann, die personenbezogene Daten enthalten – und das ist bei administrativem Zugriff praktisch immer der Fall, auch wenn er die Daten nicht aktiv nutzt. Verantwortlicher nach DSGVO bleiben Sie. Fehlt der Vertrag, liegt der Verstoß bei Ihnen, nicht beim Dienstleister.
Das sollte im Vertrag stehen, bevor Sie unterschreiben. Bei uns gilt: vollständige Herausgabe aller Zugangsdaten, Konfigurationen, Dokumentation und Datensicherungen ohne Zusatzkosten, dazu eine Übergabe an den Nachfolger im vereinbarten Umfang. Anschließend löschen wir Ihre Daten aus unseren Systemen und bestätigen das schriftlich.
Bei einer GmbH sind Jahresabschlüsse im Bundesanzeiger einsehbar, allerdings zeitversetzt und bei kleinen Gesellschaften stark verkürzt. Aussagekräftiger sind Gründungsjahr, Mitarbeiterzahl und die Frage nach Referenzkunden vergleichbarer Größe, die Sie tatsächlich anrufen dürfen. Eine Wirtschaftsauskunft ist bei größeren Verträgen eine übliche und zumutbare Anforderung.
Lass uns über dein Projekt sprechen
Kostenloses Erstgespräch & IT-Bestandsaufnahme – unverbindlich und ohne versteckte Kosten.