IT-Dienstleister: Was er leistet, welche Verträge es gibt und worauf Sie bei der Auswahl achten

Ein IT-Dienstleister (auch EDV-Dienstleister) betreut die IT eines Unternehmens als externer Partner: vom Support für Arbeitsplätze über Betrieb und Administration von Servern, Netzwerk und Cloud-Diensten bis zu Datensicherung und Projekten wie Migrationen. Eine gesetzliche Definition haben wir für den Begriff nicht gefunden, was genau geschuldet ist, steht erst im Vertrag. Systemhaus und Managed Service Provider (MSP) sind engere Begriffe, die sich über das Angebot beziehungsweise den Zugriff auf die IT-Systeme abgrenzen lassen.

Begriffe: IT-Dienstleister, EDV-Dienstleister, Systemhaus, MSP

Für „IT-Dienstleister“ und „EDV-Dienstleister“ haben wir keine belastbare Definition und keine belastbare Quelle für einen Unterschied gefunden. Wir verwenden beide Begriffe in diesem Beitrag gleichbedeutend. Für zwei verwandte Begriffe gibt es Quellen:

Die MSP-Definition steht im BSI-Gesetz und gilt dort „im Sinne dieses Gesetzes“, es handelt sich also um deutsches Recht. Das BSI erläutert in seiner >NIS-2-FAQ (Frage 17), die Gesetzesbegründung setze für die Rolle des MSP einen gewissen Grad an tatsächlichem Zugriff auf die betreffenden IKT-Produkte, -Netzwerke oder -Infrastrukturen voraus und grenze sie von reinen Beratungstätigkeiten ab. Eine Mindestanzahl von Kunden sei nicht Voraussetzung. Die Einordnung als MSP spielt demnach bei der NIS-2-Umsetzung im BSIG eine Rolle; Hintergründe stehen in unserem Beitrag zur NIS-2-Umsetzung.

Typische Leistungen eines IT-Dienstleisters

Welche Leistungen ein Anbieter tatsächlich übernimmt, unterscheidet sich von Fall zu Fall. Diese Bereiche tauchen in Angeboten typischerweise auf:

Ein Projektbeispiel ist unser Beitrag zur neuen IT für eine Zahnarztpraxis, zur Datensicherung gibt es den Beitrag zur 3-2-1-Regel.

Break-Fix oder Managed Services

Beide Begriffe sind keine normierten Rechtsbegriffe. Wir beschreiben damit zwei übliche Arbeitsweisen:

• Break-Fix: Der Dienstleister wird bei einer Störung beauftragt und rechnet den Einsatz ab. Eine laufende Betreuung ist nicht vereinbart.
• Managed Services: Der Dienstleister übernimmt vereinbarte Aufgaben dauerhaft, zum Beispiel Updates, Überwachung und Backups, mit festgelegtem Umfang und Reaktionszeiten.

Welches Modell passt, hängt davon ab, wie stark der Betrieb von der IT abhängt und wie viel Eigenleistung im Unternehmen vorhanden ist. Zur Kostenseite haben wir einen eigenen Beitrag: IT-Support-Kosten.

Vertragsformen: Dienstvertrag, Werkvertrag, Auftrag

Rechtlich ist entscheidend, ob der Dienstleister Tätigkeit oder Erfolg schuldet.

Für die Schweiz ist außerdem Art. 404 Abs. 1 OR relevant: Der Auftrag kann „von jedem Teile jederzeit widerrufen oder gekündigt“ werden. Erfolgt das zur Unzeit, ist der zurücktretende Teil nach Absatz 2 zum Ersatz des verursachten Schadens verpflichtet.

Was das für IT-Verträge bedeutet: Eine laufende Betreuung ist ihrem Inhalt nach auf Tätigkeit gerichtet. Ein klar umrissenes Ergebnis wie „Alle Postfächer sind migriert und funktionieren“ ist dagegen auf Erfolg gerichtet. Welche Regeln im Einzelfall gelten, hängt vom vereinbarten Inhalt ab. Der Vertrag sollte deshalb ausdrücklich benennen, was geschuldet ist und woran die Abnahme festgemacht wird.

Checkliste: Worauf Sie bei der Auswahl achten sollten

1. Erreichbarkeit und Reaktionszeit vertraglich festhalten. Welche Zeiten gelten (Werktage, Uhrzeiten), über welchen Weg wird gemeldet, und wird zwischen Reaktion und Behebung unterschieden? Zusagen in der Werbung ersetzen keine Vertragsklausel.
2. Dokumentation verlangen. Systemübersicht, Netzwerkplan und Wiederherstellungsanleitungen sollten an den Kunden übergeben werden. Das BSI nennt im Baustein >CON.3 fehlende oder unzureichende Dokumentation als Gefährdung, weil sie die Wiederherstellung erheblich verzögern kann.
3. Zugriff auf eigene Passwörter und Daten sichern. Administrator-Zugänge, Domain-, Cloud- und Lizenzkonten sollten auf das Unternehmen laufen und nicht allein beim Dienstleister liegen. Für personenbezogene Daten schreibt >Art. 28 Abs. 3 Buchst. g DSGVO vor, dass der Auftragsverarbeiter sie nach Abschluss der Leistungen nach Wahl des Verantwortlichen löscht oder zurückgibt. Format und Frist der Rückgabe sollte der Vertrag festlegen.
4. Auftragsverarbeitung regeln. Nach >Art. 28 Abs. 3 DSGVO erfolgt die Verarbeitung durch einen Auftragsverarbeiter auf Grundlage eines Vertrags, der unter anderem Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen festlegt. In der Schweiz sieht >Art. 9 DSG vor, dass die Bearbeitung vertraglich einem Auftragsbearbeiter übertragen werden kann, wenn die Daten so bearbeitet werden, wie der Verantwortliche es selbst dürfte, und keine Geheimhaltungspflicht entgegensteht. Der Verantwortliche muss sich vergewissern, dass der Auftragsbearbeiter die Datensicherheit gewährleisten kann, und eine Weitergabe an Dritte braucht die vorgängige Genehmigung des Verantwortlichen. Eine Liste von Mindestinhalten wie in Art. 28 Abs. 3 DSGVO nennt Art. 9 DSG nicht.
5. Nachweis erledigter Arbeiten vereinbaren. Tickets, Leistungsnachweise oder Protokolle zeigen, was wann gemacht wurde. Für die Auftragsverarbeitung verlangt Art. 28 Abs. 3 Buchst. h DSGVO außerdem, dass der Auftragsverarbeiter die erforderlichen Informationen zum Nachweis der Pflichten zur Verfügung stellt und Überprüfungen ermöglicht.
6. Aufwand und Abrechnung klären. Wird der Aufwand vor der Beauftragung eingeschätzt? Wann gilt eine Leistung als abgenommen und wann wird abgerechnet? Bei Werkleistungen knüpfen >§ 641 BGB und >Art. 372 OR die Fälligkeit an Abnahme beziehungsweise Ablieferung.
7. Laufzeit, Kündigung und Ausstieg festlegen. Wie lange läuft der Vertrag, wie wird gekündigt, und wer übergibt bei Vertragsende Zugänge und Dokumentation an den Nachfolger?

Wenn Sie Unterstützung möchten

Bitblade Solutions UG in Lauchringen betreut IT als Managed IT Services remote deutschlandweit, vor Ort im Raum Lauchringen/Rafz; Anfragen erfassen wir als Ticket, den Aufwand schätzen wir vor der Beauftragung ein, und abgerechnet wird erst nach Abnahme. Kunden in der Schweiz betreut „Bitblade Schweiz – Sobiera“, ein eigenständiges Einzelunternehmen mit Sitz in Rafz (ZH), mehr dazu unter /ch/leistungen/. Kontakt: /#kontakt.

Dieser Beitrag ist keine Rechtsberatung.

Häufige Fragen

Was macht ein IT-Dienstleister?

Ein IT-Dienstleister übernimmt für andere Unternehmen IT-Aufgaben, etwa Support, Betrieb und Administration von Servern und Arbeitsplätzen, Netzwerk, Datensicherung, Cloud-Dienste oder Migrationsprojekte. Eine gesetzliche Definition haben wir nicht gefunden, der Umfang richtet sich nach dem Vertrag.

Was ist der Unterschied zwischen IT-Dienstleister, Systemhaus und Managed Service Provider?

Gabler definiert ein Systemhaus als Unternehmen, das neben Software auch Hardware anbietet, besonders Komplettlösungen. Ein Managed Service Provider ist nach § 2 Nr. 26 BSIG ein Anbieter von Diensten zu Installation, Verwaltung, Betrieb oder Wartung von IKT-Systemen durch Unterstützung oder aktive Verwaltung. Wir verwenden IT-Dienstleister als Oberbegriff.

Ist ein IT-Dienstleistungsvertrag ein Dienstvertrag oder ein Werkvertrag?

Das hängt davon ab, was geschuldet ist. Beim Dienstvertrag (§ 611 BGB) sind es Dienste, beim Werkvertrag (§ 631 BGB) ein Erfolg. In der Schweiz entsprechen dem der Auftrag (Art. 394 OR) und der Werkvertrag (Art. 363 OR).

Ist ein Auftragsverarbeitungsvertrag mit dem IT-Dienstleister nötig?

Verarbeitet der Dienstleister in Ihrem Auftrag personenbezogene Daten, muss das nach Art. 28 Abs. 3 DSGVO auf Grundlage eines Vertrags erfolgen. In der Schweiz regelt Art. 9 DSG die Übertragung der Bearbeitung an einen Auftragsbearbeiter.

Was ist beim Wechsel des IT-Dienstleisters zu beachten?

Zugangsdaten und Dokumentation sollten beim Kunden liegen. Nach Art. 28 Abs. 3 Buchst. g DSGVO muss der Auftragsverarbeiter nach Ende der Leistung personenbezogene Daten nach Wahl des Verantwortlichen löschen oder zurückgeben.

Quellen

1. >Gabler Wirtschaftslexikon: Systemhaus, abgerufen 26.10.2026
2. >BSIG § 2 Begriffsbestimmungen (Nr. 26 Managed Service Provider), abgerufen 26.10.2026
3. >BSI: Fragen und Antworten zu NIS-2 (Nr. 17 Managed Service Provider), abgerufen 26.10.2026
4. >BGB § 611 Vertragstypische Pflichten beim Dienstvertrag, abgerufen 26.10.2026
5. >BGB § 631 Vertragstypische Pflichten beim Werkvertrag, abgerufen 26.10.2026
6. >BGB § 640 Abnahme, abgerufen 26.10.2026
7. >BGB § 641 Fälligkeit der Vergütung, abgerufen 26.10.2026
8. >Schweizerisches Obligationenrecht (SR 220), Art. 363, 367, 372, 394, 404, abgerufen 26.10.2026
9. >Verordnung (EU) 2016/679 (DSGVO), Art. 28 Auftragsverarbeiter, abgerufen 26.10.2026
10. >Datenschutzgesetz der Schweiz (DSG, SR 235.1), Art. 9, abgerufen 26.10.2026
11. >BSI IT-Grundschutz-Kompendium, CON.3 Datensicherungskonzept (Edition 2023), abgerufen 26.10.2026