IT-Servicevertrag Österreich

Der IT-Servicevertrag ist ein nach ABGB §§1151–1164 (Dienstvertrag); DSG (BGBl I Nr. 165/1999 idF 2018); DSGVO Art. 28 geregeltes Rechtsdokument in Österreich.

Die österreichische Rechtsgrundlage für IT-Serviceverträge ist das allgemeine Vertragsrecht des ABGB, ergänzt durch branchenspezifische Regelungen: Das Datenschutzgesetz (DSG BGBl I Nr. 165/1999 idF DSG-Novelle 2018) und die EU-Datenschutz-Grundverordnung (DSGVO, Verordnung EU 2016/679) sind bei IT-Services, die personenbezogene Daten verarbeiten, von zentraler Bedeutung. Die Datenschutzbehörde (DSB) als österreichische Aufsichtsbehörde gemäß DSGVO Art. 51 überwacht die Einhaltung der Datenschutzpflichten und kann Bußgelder bis zu €20.000.000 oder 4% des weltweiten Jahresumsatzes verhängen.

Besonderes Merkmal des IT-Servicevertrags gegenüber dem allgemeinen Dienstleistungsvertrag ist die technische Präzisierung der Leistungen durch Service Level Agreements (SLA): Verfügbarkeitsgarantien (Uptime in Prozent), Reaktionszeiten bei Störungen (Response Time nach Prioritätsstufen), Wiederherstellungszeiten (Recovery Time Objective — RTO; Recovery Point Objective — RPO) und Messpunkte für die Leistungsqualität. SLA-Regelungen ersetzen im IT-Bereich die allgemeinen ABGB-Gewährleistungsvorschriften durch technisch messbare KPIs.

Für IT-Dienstleister in Österreich sind gewerberechtliche Anforderungen zu beachten: Das Gewerbe der IT-Dienstleistung (§5 GewO 1994 — freies Gewerbe) erfordert eine Gewerbeanmeldung beim Bezirksverwaltungsbehörde. Für Netzwerkinstallationen, die Gebäudeverkabelung einschließen, kann das reglementierte Gewerbe Elektrotechnik (§94 GewO 1994) erforderlich sein. Der österreichische OGH hat in mehreren Urteilen (z.B. OGH 9 Ob 13/17p) die besonderen Sorgfaltspflichten von IT-Dienstleistern im Bereich der Datensicherheit konkretisiert.

Einen IT-Servicevertrag nach österreichischem Recht benötigen Sie in diesen Situationen:

Unternehmen, die ihre IT-Infrastruktur an externe Managed Service Provider (MSP) auslagern (IT-Outsourcing), benötigen einen umfassenden IT-Servicevertrag, der Leistungsumfang, SLAs, Datenschutz (insbesondere AVV nach DSGVO Art. 28) und Exit-Regelungen definiert. Ohne IT-Servicevertrag sind im Ausfall- oder Sicherheitsvorfall die Haftungsfragen und Wiederherstellungsverantwortlichkeiten unklar.

Kleinere und mittlere Unternehmen (KMU), die keinen eigenen IT-Leiter (CTO) beschäftigen, beauftragen externe IT-Dienstleister mit der vollständigen IT-Betreuung: Hardware-Wartung, Software-Updates, Netzwerksicherheit und Backup-Management. Der IT-Servicevertrag regelt Verfügbarkeit des IT-Dienstleisters (z.B. Erreichbarkeit Mo–Fr 08:00–18:00 Uhr), Reaktionszeiten und Kosten für Sondereinsätze außerhalb der Servicezeiten.

Bei Cloud-Migrationen und der Einführung neuer IT-Systeme (ERP, CRM, HR-Software) schließen Unternehmen IT-Projektverträge ab, die die Implementierungsleistung, Schulungsleistung, Abnahmeverfahren und Übergabe in den Regelbetrieb regeln. Nach Abschluss des Projekts folgt typischerweise ein langfristiger IT-Servicevertrag für Wartung und Support.

Nach Datenschutzvorfällen (Ransomware-Angriffe, Datenpannen) sind Unternehmen verpflichtet, einen IT-Forensik-Dienstleister zu beauftragen. Der IT-Servicevertrag für Incident-Response-Leistungen sollte Geheimhaltung (Vertraulichkeit der forensischen Ergebnisse), Meldepflichten nach DSGVO Art. 33 (72-Stunden-Frist an DSB) und Zusammenarbeit mit Strafverfolgungsbehörden regeln.

Ein rechtssicherer IT-Servicevertrag nach österreichischem Recht enthält diese Kernelemente:

**1. Leistungsbeschreibung und Service-Katalog:** Detaillierte Auflistung aller IT-Services: Hardware-Support, Software-Support, Netzwerk-Management, Cloud-Services, Security-Monitoring, Backup und Disaster-Recovery. Abgrenzung: Was ist im Vertrag inkludiert (In-Scope), was ist Zusatzleistung gegen gesonderte Vergütung (Out-of-Scope)?

**2. Service Level Agreement (SLA):** Verfügbarkeitsgarantie: z.B. 99,5% Uptime pro Monat (maximal ~3,65 Stunden Downtime/Monat); Reaktionszeiten nach Prioritätsstufen: Priority 1 (Kritischer Ausfall): Reaktion binnen 1 Stunde, Behebung binnen 4 Stunden; Priority 2 (Wesentliche Beeinträchtigung): Reaktion binnen 4 Stunden; Priority 3 (Geringfügige Störung): Reaktion binnen 1 Werktag; Service-Credits (SLA-Pönale) bei Unterschreitung der vereinbarten SLAs; Messpunkte und Reporting-Pflichten.

**3. Vergütungsmodell:** Monatliche Servicepauschale (Fixed Fee) oder Time & Material (Abrechnung nach tatsächlichem Aufwand); Stundensatz für Mehrarbeit außerhalb der SLA; Preisanpassungsklausel (z.B. jährlich gemäß VPI-Österreich, Statistik Austria). Klarstellung: Alle Preise zzgl. 20% USt (UStG §1 Abs. 1 Z 1).

**4. Datenschutz und Auftragsverarbeitung (DSGVO Art. 28; DSG §6):** Der IT-Dienstleister ist regelmäßig Auftragsverarbeiter; AVV zwingend erforderlich. Pflichten: Verarbeitung nur auf dokumentierte Weisung; Vertraulichkeit aller Mitarbeiter; technische und organisatorische Maßnahmen (TOMs) nach DSGVO Art. 32; keine Sub-Auftragsverarbeiter ohne Genehmigung; Unterstützung bei Betroffenenrechten (DSGVO Art. 12–22); Datenverletzungs-Meldung binnen 24 Stunden; Löschung nach Vertragsende. forms-legal.com stellt eine vollständige DSGVO-Klausel in der Vorlage bereit.

**5. Cybersecurity-Pflichten:** Verpflichtung des IT-Dienstleisters zur Einhaltung branchenüblicher Sicherheitsstandards (ISO 27001, BSI IT-Grundschutz oder CIS Controls); Incident-Response-Plan; Meldepflichten bei Sicherheitsvorfällen (DSB gemäß DSGVO Art. 33; ggf. Meldung an Bundesamt für Verfassungsschutz und Terrorismusbekämpfung — BVT — bei kritischer Infrastruktur nach Cybersicherheitsgesetz).

**6. Geheimhaltung (GeschGehG BGBl I Nr. 176/2018):** Der IT-Dienstleister erhält Zugang zu vertraulichen Unternehmensdaten, IT-Architekturen und Systempasswörtern. Umfassende Geheimhaltungspflicht für alle Informationen, die im Rahmen der IT-Services bekanntwerden; nachvertragliche Geheimhaltung (mindestens 3 Jahre nach Vertragsende).

**7. Laufzeit, Kündigung und Exit:** Mindestlaufzeit (z.B. 24 Monate) mit ordentlicher Kündigungsfrist (z.B. 3 Monate zum Quartalsende); Exit-Regelung: IT-Dienstleister unterstützt bei der Übergabe an einen Nachfolger-Provider (Transition-Assistance, maximal 3 Monate); Herausgabe aller Kundendaten, Passwörter, Systemdokumentationen und Konfigurationen bei Vertragsende.

**8. Haftung:** SLA-Credits als pauschalierter Schadensersatz bei Verfügbarkeitsunterschreitungen; Haftungsobergrenze für sonstige Schäden (z.B. 12 Monatspauschalen); Haftungsausschluss für Datenverlust durch höhere Gewalt oder durch unzureichende Backup-Mitwirkung des Kunden.

Den IT-Servicevertrag auf forms-legal.com befüllen Sie in folgenden Schritten:

**Schritt 1 — Parteien identifizieren:** IT-Dienstleister und Auftraggeber mit vollständiger Firma, Firmenbuchnummer (FN aus firmenbuch.at), UID-Nummer (ATU…) und Ansprechpartner für IT-Belange (technischer Kontakt) eintragen. Klären Sie: Welcher Mitarbeiter auf Kundenseite ist bevollmächtigt, Änderungsaufträge (Change Requests) zu erteilen?

**Schritt 2 — Service-Katalog erstellen:** Listen Sie alle inkludierten IT-Services exakt auf. Vermeiden Sie vage Formulierungen wie „IT-Support nach Bedarf“. Stattdessen: Helpdesk per Telefon/Ticket-System Mo–Fr 08:00–18:00 Uhr; Remote-Support binnen 2 Stunden; Vor-Ort-Support in Wien und Niederösterreich; monatliche Sicherheits-Patch-Updates für alle Windows-Server; wöchentliches Backup-Monitoring und monatlicher Backup-Test. Legen Sie fest, was Out-of-Scope ist (z.B. Entwicklung individueller Software, Telekommunikationsanlagen).

**Schritt 3 — SLA-Stufen definieren:** Legen Sie Prioritätsstufen mit klaren Reaktions- und Lösungszeiten fest. Empfehlung für KMU: Priority 1 (Totalausfall aller IT): 1 Stunde Reaktionszeit, 4 Stunden Lösungszeit; Priority 2 (Teilausfall, Kernprozesse eingeschränkt): 4 Stunden Reaktionszeit; Priority 3 (einzelne Funktionsstörung): 1 Werktag. Regelung für Service-Credits bei SLA-Unterschreitung: z.B. 5% der Monatspauschale pro Stunde Überschreitung der Priority-1-Lösungszeit, maximal 30% der Monatspauschale.

**Schritt 4 — DSGVO-Prüfung:** Verarbeitet der IT-Dienstleister personenbezogene Daten? (Fast immer: Ja — E-Mail-Archivierung, Backup, Active-Directory-Zugriff enthält Mitarbeiterdaten.) Füllen Sie die AVV-Felder gemäß DSGVO Art. 28 aus: Welche Datenkategorien? Verarbeitungsort (Österreich, EU, Drittland)? Sub-Auftragsverarbeiter (z.B. Cloud-Anbieter Microsoft Azure, AWS)? Listung aller Sub-Auftragsverarbeiter mit DSGVO-Konformitätsnachweis.

**Schritt 5 — Vergütung festlegen:** Monatliche Servicepauschale in Euro zzgl. 20% USt. Stundensatz für Zusatzleistungen. Jährliche Preisanpassung gemäß VPI-Österreich (Statistik Austria, Basisjahr 2020) — Referenz im Vertrag angeben.

**Schritt 6 — Exit-Regelung vereinbaren:** Legen Sie fest: Bei Kündigung stellt der IT-Dienstleister 3 Monate Transition-Assistance zur Verfügung; vollständige Systemdokumentation (Netzwerkplan, Passwörter, Lizenzübersicht) wird herausgegeben; alle Kundendaten aus Cloud-Systemen werden binnen 30 Tagen nach Vertragsende gelöscht (DSG; DSGVO Art. 28 Abs. 3 lit. g).

**Schritt 7 — Unterzeichnen und aufbewahren:** Beide Parteien unterzeichnen in doppelter Ausfertigung. Aufbewahrung mindestens 7 Jahre nach §212 UGB.

Der IT-Servicevertrag in Österreich unterliegt folgenden gesetzlichen Anforderungen:

**Vertragsrecht (ABGB §§1151–1164):** IT-Serviceverträge sind Dauerschuldverhältnisse auf Basis des allgemeinen Vertragsrechts des ABGB. Die Leistungspflicht des IT-Dienstleisters ist eine Sorgfaltspflicht (§1299 ABGB: Sorgfalt eines ordentlichen Fachmanns im IT-Bereich); kein automatischer Erfolgseintritt wird geschuldet, außer dies ist ausdrücklich vereinbart (SLA-Garantien).

**Datenschutz (DSGVO Art. 28; DSG §6):** Bei IT-Services, die personenbezogene Daten verarbeiten, ist der IT-Dienstleister Auftragsverarbeiter nach DSGVO Art. 4 Z 8. Eine AVV nach DSGVO Art. 28 ist zwingend erforderlich. Verstöße: Fehlen der AVV ist für den Auftraggeber (Verantwortlichen) eine eigenständige DSGVO-Pflichtverletzung. Die Datenschutzbehörde (DSB) als österreichische Aufsichtsbehörde kann Bußgelder gemäß DSGVO Art. 83 verhängen.

**Cybersicherheit und NIS2-Umsetzung:** Die EU-NIS2-Richtlinie (Richtlinie EU 2022/2555) wird in österreichisches Recht umgesetzt und erhöht die Cybersicherheitsanforderungen für IT-Dienstleister, die kritische oder wichtige Einrichtungen betreuen. IT-Provider für Krankenhäuser, Energieversorger, Banken und öffentliche Verwaltungen müssen erhöhte Sicherheitsstandards einhalten und schwerwiegende Vorfälle binnen 24 Stunden melden.

**Gewerbeberechtigung (GewO 1994):** IT-Dienstleistungen als freies Gewerbe nach §5 GewO 1994 erfordern eine Gewerbeanmeldung (GISA-Eintragung). Für bestimmte Tätigkeiten — Elektroinstallationen, Telekommunikationsanlagen — sind reglementierte Gewerbe nach §94 GewO erforderlich. Fehlende Gewerbeberechtigung führt zur Ordnungswidrigkeit nach §366 GewO (Verwaltungsstrafe bis €3.600).

**Aufbewahrungspflicht (§212 UGB; §132 BAO):** IT-Serviceverträge unterliegen der 7-jährigen Aufbewahrungspflicht nach UGB und BAO. Für Verträge mit DSGVO-Relevanz gilt nach DSGVO Art. 5 Abs. 2 (Rechenschaftspflicht) eine Dokumentationspflicht für die Dauer der Verarbeitung plus 3 Jahre.

Häufige Fehler bei IT-Serviceverträgen in Österreich:

**Fehler 1 — SLA zu vage oder fehlend:** Formulierungen wie „zeitnahe Behebung von Störungen“ oder „bestmögliche Verfügbarkeit“ sind nicht vollstreckbar. Im Streitfall ist es unmöglich, einen Vertragsbruch nachzuweisen. Lösung: Konkrete, messbare SLAs mit Reaktions- und Lösungszeiten nach Prioritätsstufen; Service-Credits (Pönale) bei Unterschreitung definieren; monatliche SLA-Reports vereinbaren.

**Fehler 2 — Fehlende oder unvollständige AVV:** Nahezu jeder IT-Servicevertrag beinhaltet eine Auftragsverarbeitung personenbezogener Daten. Fehlt die AVV oder ist sie unvollständig (z.B. ohne TOM-Liste, ohne Sub-Auftragsverarbeiterliste), ist der Auftraggeber gegenüber der Datenschutzbehörde (DSB) im Pflichtverstoß. Lösung: AVV nach DSGVO Art. 28 Abs. 3 als festen Vertragsbestandteil — nicht als optionale Anlage.

**Fehler 3 — Keine Exit-Klausel:** Viele IT-Serviceverträge regeln nicht, was bei Kündigung passiert. Der IT-Dienstleister hält möglicherweise Systempasswörter, Konfigurationsdaten und Kundendaten zurück, was einen nahtlosen Providerwechsel unmöglich macht. Lösung: Exit-Regelung mit Transition-Assistance-Pflicht (3 Monate), Herausgabe aller Systemdokumentationen und Datenlöschung nach DSGVO Art. 28 Abs. 3 lit. g.

**Fehler 4 — Backup-Verantwortlichkeit unklar:** Wer ist für das Backup der Kundendaten verantwortlich — IT-Dienstleister oder Kunde? Fehlt diese Abgrenzung, entsteht im Datenverlustfall ein Streit über Haftung und Schadensersatz. Lösung: Backup-Konzept im Vertrag beschreiben: Backup-Frequenz, Aufbewahrungsdauer, Backup-Ort (Österreich/EU), Wiederherstellungstest (mindestens jährlich), Recovery Time Objective (RTO) und Recovery Point Objective (RPO).

**Fehler 5 — Haftung für Drittanbieter nicht geregelt:** IT-Dienstleister setzen häufig Subunternehmer und Sub-Auftragsverarbeiter (Cloud-Provider, Internet-Service-Provider) ein. Im Störfall berufen sie sich auf höhere Gewalt. Lösung: Klaren Haftungsrahmen für Drittanbieter vereinbaren; bei DSGVO: Sub-Auftragsverarbeiter nur mit Genehmigung des Auftraggebers; Haftung des IT-Dienstleisters für DSGVO-Verstöße seiner Subunternehmer (DSGVO Art. 28 Abs. 4).