Vertrag mit einem MSP: die Klauseln zu Ausstieg, Zugängen und Daten, die Sie verlangen sollten

• Zugänge Alle Administratorkonten gehören dem Kundenunternehmen, nie nur dem Dienstleister.
• Dokumentation Inventar, Netzwerkschema, Firewall und Backups werden aktuell gehalten und beim Ausstieg übergeben.
• Daten Greift der Dienstleister auf personenbezogene Daten zu, verlangt Artikel 28 DSGVO einen schriftlichen Vertrag, einschließlich Rückgabe oder Löschung am Ende.
• Kündigungsfrist Angemessene Frist, ohne Mindestlaufzeitbindung und ohne Ausstiegsstrafen.

Solange der Service funktioniert, fragt niemand, wo die Zugangsdaten liegen. Die Überraschung kommt, wenn das Unternehmen wechseln will — wegen Preis, Qualität oder Wachstum — und Situationen wie diese entdeckt:

• Microsoft 365 Das Administratorkonto ist mit der E-Mail eines Technikers des alten Dienstleisters verknüpft.
• Domain Die Domain der Website wurde auf den Namen des Dienstleisters registriert.
• Firewall Niemand kennt das Passwort, und der einzige Ausweg ist, das Gerät auf Werkseinstellungen zurückzusetzen.
• Backups Die Sicherungen liegen in einem Cloud-Konto, das nicht dem Unternehmen gehört.

Dafür braucht es keine böse Absicht; es genügt ein Dienstleister, der der Bequemlichkeit halber alles auf seinen Namen registriert hat. Die Wirkung ist immer dieselbe: Das Unternehmen wird abhängig. Zur Vorbereitung des Übergangs lesen Sie, wie Sie den IT-Dienstleister risikolos wechseln.

Die Regel kennt keine Ausnahmen: Die Zugänge gehören dem Kundenunternehmen. Der MSP arbeitet mit eigenen, namentlichen Konten, die das Unternehmen vergibt und am letzten Vertragstag deaktivieren kann.

Einfach gesagt: Ein Administratorkonto ist der Generalschlüssel eines Systems. Das Unternehmen sollte von jedem Generalschlüssel immer eine Kopie an einem Ort aufbewahren, den es selbst kontrolliert, etwa in einem Unternehmens-Passworttresor.

Der Vertrag sollte vorsehen:

• Notfallkonto Auf den Namen des Unternehmens, für jedes kritische System: Microsoft 365, Firewall, Server, WLAN und Backups.
• Inhaberschaft Domains, Lizenzen und Abonnements auf den Namen des Unternehmens registriert.
• Gemeinsamer Tresor Mit direktem Zugang der Geschäftsleitung. Wie das funktioniert, erklären wir unter Passwortmanager für Unternehmen.

Ohne Dokumentation verbringt der nächste Dienstleister Wochen damit herauszufinden, was vorhanden ist — und diese Zeit wird bezahlt. Der Vertrag sollte den MSP verpflichten, ein Dossier zu führen und zu übergeben mit:

• Inventar Computer, Server, Switches, Access Points, Firewall und USV.
• Architektur Netzwerkschema, Adressierung und VLANs für Team, Gäste und Kameras.
• Sicherheit Firewall-Regeln und Fernzugänge per VPN.
• Sicherungen Die Backup-Richtlinie: was gesichert wird, wohin, wie oft und wann der letzte Wiederherstellungstest war.
• Software Lizenzen, Verträge und Verlängerungsdaten.

Wer Ihre Systeme verwaltet, greift auch auf personenbezogene Daten von Kunden, Mitarbeitenden, Patienten oder Gästen zu. Nach der DSGVO ist Ihr Unternehmen der Verantwortliche und der MSP ein Auftragsverarbeiter. Artikel 28 verlangt einen schriftlichen Vertrag, der unter anderem vorsieht, dass der Auftragsverarbeiter:

1. die Daten nur auf dokumentierte Weisung des Unternehmens verarbeitet;
2. sicherstellt, dass die zugriffsberechtigten Personen zur Vertraulichkeit verpflichtet sind;
3. die Sicherheitsmaßnahmen nach Artikel 32 umsetzt;
4. nur mit Genehmigung des Unternehmens einen weiteren Auftragsverarbeiter einsetzt;
5. bei der Beantwortung von Anfragen betroffener Personen und bei Sicherheits- und Meldepflichten unterstützt;
6. am Ende des Dienstes alle personenbezogenen Daten nach Wahl des Unternehmens löscht oder zurückgibt, sofern keine gesetzliche Aufbewahrungspflicht besteht;
7. die zum Nachweis der Einhaltung nötigen Informationen bereitstellt und Audits zulässt.

DataRoad setzt die technischen Maßnahmen um, erbringt aber keine Rechtsberatung. Die endgültige Formulierung der Klauseln sollte von Ihrem Juristen oder Datenschutzbeauftragten geprüft werden.

Lange Mindestlaufzeiten, Strafen bei vorzeitigem Ausstieg und unerfüllbare Kündigungsfristen sind Warnsignale. Ein Kunde sollte wegen der Servicequalität bleiben, nicht wegen einer Klausel.

Der IT-Unlimited-Vertrag von DataRoad läuft ein Jahr, verlängert sich automatisch, hat 60 Tage Kündigungsfrist und keine Mindestlaufzeitbindung. Sechzig Tage reichen für eine ruhige Übergabe, ohne das Unternehmen ungeschützt zu lassen. Warum wir immer auf Vertragsbasis arbeiten, erklärt warum DataRoad keine Einzeleinsätze übernimmt.

1. Dossier — Übergabe der aktuellen Dokumentation.
2. Zugangsdaten — Übergabe oder Bestätigung aller Administratorzugänge.
3. Technisches Treffen — mit dem neuen Dienstleister.
4. Deaktivierung — Konten des scheidenden MSP werden erst abgeschaltet, wenn die Zugänge des neuen bestätigt sind.
5. Daten — Rückgabe oder Löschung, schriftlich bestätigt.

Zu Reaktionszeiten und Vertragsstrafen während der Laufzeit lesen Sie den Leitfaden was Sie in einem IT-SLA verlangen sollten.

Die Gruppe France Affiches, ein Großformatdrucker mit Sitz im Großraum Paris und Standorten in Frankreich, Spanien und Portugal, beauftragte DataRoad mit einem vollständigen IT-Audit vor Ort. Analysiert wurden die tatsächliche Netzwerktopologie, der Supportstatus der Geräte, die Firewall-Regeln, die privilegierten Konten, der Geräteschutz und die Backups, mit Wiederherstellungstests.

Der Bericht stufte jeden Punkt als unmittelbares Risiko, zu planende technische Schuld oder akzeptabel ein. Genau diese Bestandsaufnahme sollte bei einem Dienstleisterwechsel existieren und im Besitz des Unternehmens bleiben. Lesen Sie den Fall des Audits bei France Affiches.

DataRoad prüft, wer die Administratorzugänge, Domains, Lizenzen und Backups Ihres Unternehmens hält, und liefert die Liste dessen, was fehlt, um von niemandem abhängig zu sein.

Über 10 Arbeitsplätze · Servicevertrag · Remote-, Vor-Ort- und Telefonsupport. Fordern Sie ein unverbindliches Angebot an.

• Verordnung (EU) 2016/679 (DSGVO), EUR-Lex — Artikel 28 und 32