Servicevertrag und SLA mit dem IT-Dienstleister: worauf es ankommt

Ein IT-Servicevertrag regelt weniger den Preis als die Erwartungen. Die meisten Konflikte zwischen Unternehmen und Dienstleister entstehen nicht aus Böswilligkeit, sondern aus einer Leistungsbeschreibung, die zu allgemein formuliert war. Dieser Beitrag geht die Bestandteile durch, die ein tragfähiger Vertrag braucht, und benennt die Klauseln, die sich später nicht mehr korrigieren lassen.

Die Leistungsbeschreibung ist der Kern

Alles andere im Vertrag ist Rahmen. Die Leistungsbeschreibung entscheidet, ob es später Diskussionen gibt. Sie muss zwei Dinge tun: benennen, was enthalten ist, und ausdrücklich benennen, was nicht enthalten ist. Ein Vertrag ohne Ausschlussliste ist kein guter Vertrag, sondern ein aufgeschobener Streit.

Konkret gehört hinein: die betreuten Systeme mit Anzahl und Art, die betreuten Standorte, die Anzahl der Nutzer oder Geräte, die betreuten Anwendungen mit Angabe der Betreuungstiefe, und die Regel, wie sich der Umfang bei Veränderung anpasst. Formulierungen wie „Betreuung der IT-Infrastruktur“ sind zu unbestimmt, um im Zweifel zu tragen.

Servicezeiten, Reaktionszeit, Wiederherstellungszeit

Diese drei Begriffe werden regelmäßig vermischt, obwohl sie völlig Unterschiedliches bedeuten.

Begriff	Bedeutung	Worauf zu achten ist
Servicezeit	Zeitfenster, in dem Leistungen erbracht werden	Nur innerhalb dieses Fensters laufen die zugesagten Zeiten überhaupt
Reaktionszeit	Frist bis zur ersten qualifizierten Rückmeldung	Sagt nichts über die Lösung aus – eine automatische Eingangsbestätigung ist keine Reaktion
Bearbeitungsbeginn	Frist bis zum tatsächlichen Beginn der Arbeit	Die praktisch aussagekräftigere Größe, oft nicht vereinbart
Wiederherstellungszeit	Frist bis zur Wiederherstellung des Betriebs	Wird selten hart zugesagt; wenn doch, prüfen Sie die Ausnahmen

Sinnvoll ist eine Staffelung nach Störungsklassen: Betriebsstillstand, erhebliche Beeinträchtigung, Einzelplatzstörung, Anfrage ohne Störungscharakter. Für jede Klasse gehören eine Definition mit Beispielen und eine eigene Frist in den Vertrag. Wer definiert, welche Klasse vorliegt, sollte ebenfalls geregelt sein – üblicherweise der Kunde bei der Meldung, mit einer Korrekturmöglichkeit im Einvernehmen.

Was ein SLA leisten kann und was nicht

Ein Service Level Agreement schafft Messbarkeit und einen Anlass, über Abweichungen zu sprechen. Es beschafft keine Kapazität. Zugesagte Zeiten sind nur dann realistisch, wenn der Anbieter die dafür nötigen Techniker tatsächlich vorhält – und diese Vorhaltung kostet Geld. Ein sehr günstiges Angebot mit sehr kurzen Reaktionszeiten ist rechnerisch unplausibel.

Prüfen Sie, was bei Verfehlung passiert. Verbreitet sind Gutschriften auf die Monatspauschale, gestaffelt nach Ausmaß der Abweichung. Solche Regelungen wirken vor allem, weil sie zu einer Messung zwingen. Wichtiger als die Höhe der Gutschrift ist deshalb, dass die Kennzahlen regelmäßig berichtet und in einem festen Termin besprochen werden.

Weitere Bestandteile, die hineingehören

• Meldewege und Erreichbarkeit. Ticketsystem, Telefon, E-Mail – und welcher Weg für welche Dringlichkeit gilt. Ein Betriebsstillstand darf nicht per E-Mail gemeldet werden müssen.
• Eskalationsstufen. Wer wird nach welcher Zeit eingebunden, mit Namen oder Funktion und Erreichbarkeit.
• Notfallregelung. Erreichbarkeit außerhalb der Servicezeit bei Sicherheitsvorfällen, mit klarer Kostenregelung.
• Mitwirkungspflichten. Benannte Ansprechpartner, Zugang zu Räumen, rechtzeitige Information über Veränderungen. Fehlende Mitwirkung ist ein häufiger, legitimer Einwand des Dienstleisters.
• Berichtswesen. Welche Auswertungen in welchem Rhythmus, und ein wiederkehrender Abstimmungstermin.
• Änderungsverfahren. Wie werden Leistungsumfang und Preis angepasst, mit welcher Ankündigungsfrist.
• Auftragsverarbeitung. Ein Vertrag nach Artikel 28 DSGVO ist Pflicht, sobald der Dienstleister Zugriff auf personenbezogene Daten hat – das ist praktisch immer der Fall.
• Vertraulichkeit und Unterauftragnehmer. Welche Dritten werden eingebunden, und werden sie Ihnen benannt?

Preis- und Abrechnungsregelungen

Der Vertrag sollte trennen zwischen dem, was die Pauschale abdeckt, und dem, was zusätzlich abgerechnet wird. Legen Sie fest, welche Stundensätze für zusätzliche Leistungen gelten, in welchem Takt abgerechnet wird und ob Fahrzeit berechnet wird. Regeln Sie außerdem, ab welchem Betrag eine Zusatzleistung vorab freigegeben werden muss – eine Schwelle, oberhalb derer der Dienstleister ein schriftliches Angebot vorlegt, verhindert unangenehme Überraschungen auf der Monatsrechnung, ohne den Alltag zu blockieren.

Prüfen Sie die Preisanpassungsklausel. Üblich ist eine jährliche Anpassung mit einer Ankündigungsfrist von zwei bis drei Monaten und einem nachvollziehbaren Maßstab. Vereinbaren Sie ein Sonderkündigungsrecht für den Fall, dass eine Anpassung einen bestimmten Prozentsatz überschreitet. Regeln Sie schließlich, wie sich der Preis verhält, wenn Ihre Mitarbeiterzahl sinkt: Viele Verträge skalieren sauber nach oben und gar nicht nach unten.

Der Abstimmungstermin als eigentliches Steuerungsinstrument

Ein Vertrag, der einmal unterschrieben und dann abgelegt wird, altert schneller als Ihre Systeme. Vereinbaren Sie deshalb verbindlich einen wiederkehrenden Termin – quartalsweise ist für die meisten Unternehmen dieser Größe angemessen – mit einer festen Tagesordnung: Kennzahlen des Zeitraums, offene und wiederkehrende Störungen, absehbare Investitionen und Ablaufdaten, erkannte Risiken mit Priorisierung, Anpassungsbedarf am Vertrag. Halten Sie die Ergebnisse schriftlich fest.

Dieser Termin ist praktisch wirksamer als jede Vertragsstrafe. Er zwingt beide Seiten dazu, die Zusammenarbeit an der tatsächlichen Lage zu überprüfen, und er sorgt dafür, dass Themen wie ausgelaufener Herstellersupport oder eine zu knapp gewordene Sicherungskapazität besprochen werden, bevor sie zum Vorfall werden.

Vor der Unterschrift prüfen

• Ist die Leistungsbeschreibung so konkret, dass ein Dritter beurteilen könnte, ob eine Aufgabe enthalten ist?
• Gibt es eine ausdrückliche Liste der nicht enthaltenen Leistungen?
• Sind Störungsklassen mit Beispielen definiert und Fristen je Klasse hinterlegt?
• Ist geregelt, was außerhalb der Servicezeit gilt und was das kostet?
• Liegt ein Vertrag zur Auftragsverarbeitung samt Liste der Unterauftragnehmer vor?
• Sind Herausgabe von Dokumentation und Zugängen sowie Übergangsunterstützung bei Vertragsende geregelt?
• Stehen Lizenzen und Cloud-Mandanten auf Ihr Unternehmen?
• Gibt es ein Sonderkündigungsrecht bei wiederholter Verfehlung zugesagter Werte?

Haftung realistisch einordnen

Haftungsbegrenzungen sind branchenüblich und nicht per se unfair – kein mittelständischer Dienstleister kann für Betriebsausfälle in unbegrenzter Höhe einstehen. Prüfen Sie dennoch, ob die Begrenzung in einem sinnvollen Verhältnis zum Auftragswert steht und ob Vorsatz und grobe Fahrlässigkeit ausgenommen sind. Fragen Sie nach einer Betriebshaftpflicht mit Deckung für Vermögensschäden und lassen Sie sich die Deckungssumme nennen.

Wichtiger als jede Haftungsklausel ist allerdings die Vorsorge: Eine geprüfte, regelmäßig getestete Datensicherung schützt Sie wirksamer als ein Schadenersatzanspruch, den Sie erst durchsetzen müssen.

Laufzeit, Kündigung, Ausstieg

Verbreitet sind Laufzeiten von 12 bis 36 Monaten mit Kündigungsfristen von drei bis sechs Monaten. Längere Bindungen sind vertretbar, wenn der Anbieter dafür in Vorleistung geht, etwa bei einer aufwendigen Übernahme. Verlangen Sie in diesem Fall ein Sonderkündigungsrecht bei wiederholter Verfehlung der zugesagten Werte.

Der wichtigste Abschnitt des gesamten Vertrags ist die Ausstiegsregelung. Halten Sie schriftlich fest:

• Dokumentation, Konfigurationen und Zugangsdaten gehören Ihnen und werden bei Vertragsende vollständig und in nutzbarem Format herausgegeben.
• Der Dienstleister unterstützt den Übergang zu einem Nachfolger für einen definierten Zeitraum zu vereinbarten Konditionen.
• Lizenzen und Cloud-Mandanten laufen auf Ihr Unternehmen, nicht auf den Dienstleister.
• Ihre Daten werden nach Vertragsende nachweislich gelöscht, nach vorheriger Rückgabe.

Behalten Sie unabhängig davon ein administratives Konto für Ihre zentralen Cloud-Dienste in eigener Hand. Das ist kein Misstrauen, sondern elementare Vorsorge – auch für den Fall, dass Ihr Dienstleister selbst ausfällt. Eine ergänzende Einordnung der Betriebsmodelle finden Sie unter Managed IT-Services, Kriterien für die Anbieterwahl im Beitrag IT-Dienstleister finden.

• Die Leistungsbeschreibung mit ausdrücklicher Ausschlussliste ist der Kern des Vertrags.
• Servicezeit, Reaktionszeit und Wiederherstellungszeit sind drei verschiedene Zusagen – getrennt regeln.
• Kurze zugesagte Zeiten zu niedrigem Preis sind rechnerisch unplausibel.
• Ein Vertrag zur Auftragsverarbeitung ist praktisch immer erforderlich.
• Die Ausstiegsregelung entscheidet, ob Sie den Anbieter je wieder wechseln können.