Website-Wartungsvertrag und SLA: was hineingehört

Ein Website-Wartungsvertrag muss mindestens vier Dinge festhalten: was gewartet wird, wie schnell reagiert wird, wem was gehört und was passiert, wenn Sie aufhören. Die kurze Fassung: Ein guter Vertrag beschreibt den Leistungsumfang aus Updates, Sicherungen, Sicherheit und kleinen Anpassungen, koppelt daran ein SLA mit Reaktionszeiten und Verfügbarkeit, regelt das Eigentum an Code, Inhalten und Zugängen und enthält einen sauberen Ausstieg. Ein schwacher Vertrag lässt genau diese Punkte offen, und dafür zahlen Sie später mit Ausfallzeit, Überraschungsrechnungen oder einer Website, die Sie nicht mitnehmen können.

In diesem Artikel bekommen Sie eine Prüfliste, welche Support-Stufen üblich sind und in welche Fallstricke B2B-Unternehmen am häufigsten laufen. Der Ausgangspunkt ist praktisch: Sie wollen eine Website, die weiterläuft und weiter konvertiert, ohne bei Ihrem Dienstleister festzusitzen.

Was ist ein Website-Wartungsvertrag genau?

Ein Website-Wartungsvertrag regelt, wie Ihre Website nach dem Start funktionsfähig, sicher und aktuell bleibt. Eine Website ist kein einmaliges Projekt, sondern ein lebendes System: Software altert, Erweiterungen erhalten Updates, Browser verändern sich, und Angreifer suchen fortlaufend nach schwachen Stellen. Ohne Wartung geraten Sie sicherheitstechnisch in Rückstand, die Website wird langsamer, und kleine Defekte summieren sich zu einem großen Problem.

Der Vertrag macht ausdrücklich, was sonst stillschweigend bleibt. Er beschreibt, wer für Updates verantwortlich ist, wer reagiert, wenn etwas kaputtgeht, und innerhalb welcher Frist. Der Unterschied zu einem losen “wir schauen mal” besteht darin, dass Sie Ansprüche und Fristen haben statt Wohlwollen. Für eine geschäftskritische Website, die Anfragen einbringt, ist das der Unterschied zwischen ein paar Stunden und ein paar Tagen Ausfall.

Was gehört mindestens in den Leistungsumfang?

Der Leistungsumfang ist das Herz des Vertrags und gehört konkret formuliert, nicht als “allgemeine Wartung”. Ein vollständiger Umfang deckt in der Regel diese Punkte ab:

• Software- und Erweiterungsupdates: das Content-Management-System, Themes, Erweiterungen oder Pakete aktuell halten, getestet vor der Veröffentlichung.
• Sicherheit: Überwachung, Behebung bekannter Schwachstellen und Absprachen darüber, was bei einem Angriff oder Schadsoftwarebefall geschieht.
• Sicherungen: wie oft gesichert wird, wo die Sicherung liegt, wie lange sie aufbewahrt wird und, wichtiger noch, wie schnell sich eine Sicherung zurückspielen lässt.
• Verfügbarkeitsüberwachung: aktiv beobachten, ob die Website erreichbar ist, und eingreifen, wenn sie ausfällt.
• Geschwindigkeit: darauf achten, dass die Website schnell bleibt. Langsame Ladezeiten kosten Conversions, deshalb gehören Absprachen zu den Core Web Vitals hinein.
• Barrierefreiheit: Prüfungen, dass Updates keine neuen Hürden einführen. Das Barrierefreiheitsstärkungsgesetz betrifft in Deutschland vor allem verbraucherorientierte elektronische Geschäftsvorgänge, die Bedienbarkeit ist aber unabhängig davon eine Conversion-Frage.
• Rechtliche Pflege: Impressum, Datenschutzerklärung und Einwilligungslösung im Blick behalten, weil sie mit jeder technischen Änderung veralten können.
• Kleine inhaltliche Anpassungen: Texte ändern, eine Seite ergänzen, ein Formular anpassen.
• Berichte: ein regelmäßiger Überblick, was getan wurde und wie die Website läuft.

Machen Sie vor allem deutlich, was nicht enthalten ist. Eine neue Landingpage, ein Relaunch oder eine Anbindung an Ihr CRM ist meist Mehraufwand. Das ist unproblematisch, solange es vorher klar ist statt hinterher auf Ihrer Rechnung.

Was steht in einem SLA, und welche Stufen gibt es?

Ein SLA, ein Service Level Agreement, hält die zugesagten Serviceniveaus verbindlich fest: Reaktionszeiten, Behebungszeiten, Verfügbarkeit und Erreichbarkeit. Wo der Leistungsumfang sagt, was geschieht, sagt das SLA, wie gut und wie schnell. Das ist genau der Teil, der mündlich meist besser klingt, als er auf dem Papier ausfällt.

Der Kern eines SLA besteht aus wenigen Elementen:

• Reaktionszeit: innerhalb welcher Frist Sie nach einer Meldung eine erste Rückmeldung erhalten. Achtung: Reaktionszeit ist nicht Behebungszeit.
• Behebungs- oder Zielzeit: innerhalb welcher Frist ein Problem gelöst oder umgangen ist, meist abhängig von der Schwere.
• Prioritäten: eine Unterscheidung zwischen einer vollständig ausgefallenen Website und einem Button, der falsch ausgerichtet ist. Beides gehört nicht in dieselbe Dringlichkeitsstufe.
• Erreichbarkeit: nur zu Geschäftszeiten oder auch außerhalb, im Störfall.
• Verfügbarkeit: der Anteil der Zeit, in dem Ihre Website erreichbar sein soll. Für geschäftliche Websites ist ein Wert um 99,9 Prozent gebräuchlich, was einer begrenzten Ausfallmenge pro Jahr entspricht. Je höher die Zusage, desto aufwendiger, stimmen Sie das also darauf ab, wie kritisch Ihre Website ist.

Ein Punkt, der in vielen Verträgen fehlt und im Ernstfall zählt: die Rechtsfolge bei Nichteinhaltung. Ein SLA ohne jede Konsequenz ist eine Absichtserklärung. Üblich und angemessen sind gestaffelte Gutschriften. Vorsicht bei pauschalen Haftungsausschlüssen, die dem SLA die Wirkung nehmen.

Bei den Support-Stufen sehen Sie in der Praxis meist drei Ausprägungen.

Wählen Sie ehrlich. Ein Handwerksbetrieb, dessen Anfragen überwiegend telefonisch kommen, braucht keine Premiumstufe. Ein Softwareanbieter, dessen gesamter Leadfluss über die Website läuft, in aller Regel schon.

Wie ist es mit Stundenkontingenten und Mehraufwand?

Ein Stundenkontingent ist eine feste Stundenzahl pro Monat oder Quartal für kleine Anpassungen, und genau dort sitzen die meisten Überraschungen. Ein Kontingent ist praktisch, weil Sie nicht für jede Kleinigkeit ein Angebot anfordern müssen. Ob es fair ist, entscheiden die Details. Stellen Sie deshalb vor der Unterschrift ein paar Fragen.

Verfallen ungenutzte Stunden am Ende der Periode, oder dürfen Sie sie mitnehmen? Viele Verträge lassen Stunden verfallen, was bedeutet, dass Sie für Kapazität zahlen, die Sie nicht nutzen. Was passiert, wenn Sie das Kontingent überschreiten: Gilt dann ein vorab vereinbarter Stundensatz oder ein höherer Satz für Mehraufwand? Und wie wird Zeit erfasst und berichtet, damit Sie nachvollziehen können, wohin Ihre Stunden gehen? Ein Kontingent ohne transparente Erfassung ist ein Blankoscheck.

Ziehen Sie außerdem eine klare Grenze zwischen Wartung und Neuentwicklung. Einen Text anzupassen ist Wartung. Einen vollständig neuen Bereich zu bauen oder eine Migration durchzuführen ist Projektarbeit mit eigenem Angebot. Ein Vertrag, der diese Grenze unscharf lässt, endet regelmäßig in Auseinandersetzungen.

Wem gehören Website, Code und Zugänge?

Das Eigentum ist der Fallstrick, der am wenigsten sichtbar ist und am meisten wehtut. Sie zahlen für eine Website, aber daraus folgt nicht automatisch, dass alles Ihnen gehört. Halten Sie deshalb ausdrücklich fest, wem der Quellcode, das Design, die Inhalte und, mindestens ebenso wichtig, die Konten und Domains drumherum gehören.

Konkret gehören diese Dinge auf Ihren Namen oder müssen für Sie zugänglich sein: Ihre Domain, Ihr Hosting, Ihre Lizenzen, Ihre Analysekonten und die Zugänge zu Diensten Dritter. Zu oft ist die Domain auf den Namen des Dienstleisters registriert, oder nur die Agentur hat Zugriff auf das Hosting. Das wirkt harmlos, bis die Zusammenarbeit endet und Sie Ihre eigene Website nicht mitnehmen können.

Fragen Sie außerdem, ob die Website auf verbreiteter Standardtechnologie oder auf einem eigenen, geschlossenen System der Agentur gebaut ist. Letzteres macht Sie abhängig: Niemand sonst kann damit weiterarbeiten. Das ist kein Ausschlusskriterium, aber ein Preisfaktor, den Sie kennen sollten, bevor Sie sich binden.

Zum Urheberrecht ein Hinweis, der im deutschsprachigen Raum regelmäßig übersehen wird: Das Urheberrecht an einem Werk verbleibt beim Urheber und ist nicht übertragbar. Was Sie vertraglich erhalten, sind Nutzungsrechte. Achten Sie darauf, dass diese ausschließlich, zeitlich und räumlich unbeschränkt und übertragbar eingeräumt werden, einschließlich des Rechts zur Bearbeitung. Ohne das Bearbeitungsrecht dürfen Sie Ihre eigene Website später nicht durch einen anderen Dienstleister verändern lassen.

Das Prinzip ist einfach: Sie sollen die Schlüssel zu Ihrem eigenen Haus haben. Ein fairer Anbieter sorgt dafür, dass Sie Eigentümer sind und bleiben, auch wenn Sie eines Tages gehen.

Was gehört in die Ausstiegsklausel?

Eine Ausstiegsklausel beschreibt, was geschieht, wenn die Zusammenarbeit endet, und ihr Fehlen ist ein Warnzeichen. Niemand schließt einen Vertrag mit der Absicht zu gehen, aber genau deshalb prüft ein guter Ausstieg, wie fair die Vereinbarung ist. Ein Anbieter, der seiner Arbeit sicher ist, macht das Gehen leicht.

Achten Sie auf diese Punkte:

• Laufzeit und Kündigungsfrist: wie lange im Voraus Sie kündigen müssen und ob Sie sich nicht ungewollt für eine lange Periode stillschweigend verlängern. Automatische Verlängerungsklauseln unterliegen im deutschsprachigen Raum Grenzen, insbesondere in Verbraucherverträgen. Im Geschäftsverkehr gilt weitgehend Vertragsfreiheit, weshalb Sie hier selbst genau lesen müssen.
• Übergabe: ob Sie alle Dateien, den Code, die Inhalte und die Zugänge geordnet übergeben bekommen, und in welcher Form. Verlangen Sie ein benanntes Übergabepaket, keine Zusage im Konjunktiv.
• Mitwirkung bei der Migration: ob der Anbieter beim Wechsel unterstützt und zu welchem Satz.
• Keine Geiselnahme: es darf keine technischen oder vertraglichen Konstruktionen geben, die Ihre Website oder Ihre Daten zurückhalten, bis gezahlt ist.
• Datenschutz beim Ausstieg: ein Auftragsverarbeitungsvertrag muss regeln, was mit personenbezogenen Daten nach Vertragsende geschieht, gelöscht oder herausgegeben. Das ist keine Formalität, sondern eine Pflicht aus der DSGVO.

Ein sauberer Ausstieg schützt Sie vor dem Fall, in dem Sie bei einem Anbieter feststecken, der nicht mehr liefert. Zusammen mit dem Eigentum ist es der Teil, den Sie am schärfsten prüfen sollten.

Der Auftragsverarbeitungsvertrag gehört dazu

Ein Punkt, der in vielen Wartungsverträgen fehlt und im DACH-Raum verpflichtend ist: Sobald Ihr Dienstleister Zugriff auf personenbezogene Daten hat, und den hat er praktisch immer, sobald er an Formularen, Datenbank oder Analysekonten arbeitet, brauchen Sie einen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO.

Darin gehören: Gegenstand und Dauer der Verarbeitung, die Art der Daten, die technischen und organisatorischen Maßnahmen, die Regelung zu Unterauftragnehmern, und was am Ende mit den Daten geschieht. Der Punkt zu den Unterauftragnehmern ist praktisch der wichtigste: Ihr Dienstleister nutzt fast sicher einen Hosting-Anbieter, vielleicht ein Werkzeug zur Fehlerüberwachung und einen Anbieter für die Sicherungen. Sie sollten wissen, wer das ist und wo diese Daten liegen. Bei einem Anbieter außerhalb des Europäischen Wirtschaftsraums brauchen Sie zusätzlich eine tragfähige Grundlage für die Übermittlung.

Verlangen Sie diesen Vertrag aktiv. Ein Anbieter, der ihn ohne Nachfrage mitliefert, hat seine Hausaufgaben gemacht.

Die kurze Zusammenfassung

Ein starker Website-Wartungsvertrag deckt den Leistungsumfang, ein konkretes SLA mit Reaktionszeiten und Verfügbarkeit, klares Eigentum an Code und Zugängen sowie einen fairen Ausstieg ab, ergänzt um einen Auftragsverarbeitungsvertrag. Die Fallstricke liegen in unscharfen Stundenkontingenten, unklarem Eigentum und einer fehlenden Ausstiegsklausel. Stimmen Sie die Support-Stufe darauf ab, wie geschäftskritisch Ihre Website ist, und lassen Sie alles, was mündlich zugesagt wird, auch schriftlich festhalten.

Wie sich die Frage stellt, ob Sie die Wartung überhaupt abgeben sollten, behandelt der Beitrag zur WordPress-Wartung auslagern.

Häufige Fragen

Was ist der Unterschied zwischen Wartungsvertrag und SLA?

Der Wartungsvertrag beschreibt, was gemacht wird. Das SLA beschreibt, wie gut und wie schnell, also Reaktionszeiten, Behebungszeiten, Verfügbarkeit und Erreichbarkeit. In der Praxis ist das SLA häufig ein Anhang zum Wartungsvertrag. Ein Vertrag ohne SLA lässt genau den Teil offen, der im Störfall zählt.

Welche Verfügbarkeit ist realistisch?

Für eine gewöhnliche geschäftliche Website ist ein Wert um 99,9 Prozent gebräuchlich und erreichbar. Höhere Zusagen verlangen redundante Infrastruktur und kosten entsprechend. Wichtiger als die Zahl ist die Frage, was Ausfälle ausklammert: geplante Wartungsfenster, Störungen beim Hosting-Anbieter, Ausfälle bei angebundenen Diensten.

Kann ich einen Wartungsvertrag jederzeit kündigen?

Das hängt von der vereinbarten Laufzeit ab. Übliche Modelle sind monatlich kündbar oder eine Mindestlaufzeit von zwölf Monaten mit anschließender Verlängerung. Prüfen Sie besonders die stillschweigende Verlängerung und die Frist, weil beide zusammen eine kurze Kündigungsmöglichkeit praktisch aufheben können.

Was, wenn der Dienstleister das SLA nicht einhält?

Dann greift, was der Vertrag dafür vorsieht, meist gestaffelte Gutschriften. Fehlt eine Regelung, haben Sie faktisch nur die allgemeinen Rechtsbehelfe, deren Durchsetzung aufwendig ist. Deshalb gehört die Rechtsfolge in den Vertrag, nicht nur die Zusage.

Brauchen wir einen Auftragsverarbeitungsvertrag mit unserer Agentur?

Sobald die Agentur Zugriff auf personenbezogene Daten hat, ja. Das ist praktisch immer der Fall, wenn sie an Formularen, Datenbank oder Analysekonten arbeitet. Der Vertrag muss unter anderem Unterauftragnehmer und den Umgang mit den Daten nach Vertragsende regeln.

Bereit, das sauber zu regeln?

Sie wollen, dass Ihre Website nach dem Start weiter leistet und konvertiert, ohne Überraschungen im Kleingedruckten? Sehen Sie sich an, wie wir Websites bauen und betreuen, oder vereinbaren Sie Ihr kostenloses Erstgespräch, und wir schauen gemeinsam, was zu Ihrer Situation passt.