MSP-Vertrag: die Klauseln zu Ausstieg, Zugängen und Daten

• Eigentum an den Zugängen Jedes Administratorkonto gehört dem Kunden; der Dienstleister ist nie alleiniger Inhaber.
• Technisches Dossier Inventar, Netzplan, Konfiguration von Firewall und Backups, stets aktuell und beim Abschluss übergeben.
• Personenbezogene Daten Besteht Zugriff darauf, verlangt die DSGVO (Artikel 28) eine schriftliche Vereinbarung, die Rückgabe oder Vernichtung der Daten am Ende umfasst.
• Ausstieg Umsetzbare Kündigungsfrist, ohne Mindestlaufzeit und ohne Strafen bei Kündigung.

Wochen der Abhängigkeit. Niemand fragt nach den Zugangsdaten, solange alles gut läuft; die Frage kommt an dem Tag, an dem das Unternehmen wechseln will, sei es wegen des Preises, der Qualität oder weil es gewachsen ist. Dann tauchen Fälle wie diese auf:

• Microsoft 365 Der globale Administrator ist die private Adresse eines Technikers des früheren Dienstleisters.
• Domain Die Website-Adresse ist mit dem Anbieter als Inhaber registriert.
• Firewall Niemand kennt das Passwort, und der einzige Weg ist, alles zu löschen und neu zu konfigurieren.
• Sicherungskopien Liegen in einem Cloud-Abonnement eines Dritten.

Unehrlichkeit braucht es dafür nicht. Es genügt ein Dienstleister, der der Einfachheit halber alles auf seinen Namen gestellt hat. Das Ergebnis wiederholt sich: Der Kunde ist gefangen. Lesen Sie vorher unseren Leitfaden zum sicheren Wechsel des IT-Dienstleisters.

Immer dem Kunden. Der MSP arbeitet mit persönlichen Konten, die das Unternehmen anlegt und am letzten Servicetag deaktiviert.

In der Praxis: Der Administratorzugang öffnet alle Türen eines Systems. Eine Kopie jedes dieser Zugänge muss an einem Ort liegen, den die Geschäftsleitung kontrolliert, zum Beispiel in einem Business-Passworttresor.

Verlangen Sie schriftlich:

• Notfallzugang Ein Konto des Unternehmens in jedem kritischen System: Microsoft 365, Firewall, Server, WLAN und Backups.
• Korrekter Inhaber Domains, Abonnements und Lizenzen mit dem Unternehmen als Eigentümer registriert.
• Gemeinsamer Tresor Mit direktem Zugang für die Geschäftsleitung. So richten Sie einen Business-Passwortmanager ein.

Die, mit der ein anderer Techniker am nächsten Tag übernehmen kann. Ohne sie braucht der neue Dienstleister Wochen, um den Plan der Installation zu rekonstruieren, und der Kunde bezahlt diese Stunden. Der Vertrag sollte ein lebendes Dossier verlangen mit:

• Geräten Arbeitsplätze, Server, Switches, Access Points, Firewall und USV, alle aufgelistet.
• Netzdesign Topologie, IP-Adressplan und getrennte VLANs für Team, Besucher und Videoüberwachung.
• Schutz Firewall-Richtlinien und zugelassene VPN-Verbindungen.
• Backups Die Backup-Strategie: was, wohin, in welchem Abstand und das Datum der letzten geprüften Wiederherstellung.
• Lizenzierung Software, zugehörige Verträge und Verlängerungstermine.

Dass er Auftragsverarbeiter ist und eine schriftliche Vereinbarung braucht. Bei der Verwaltung Ihrer Server und Arbeitsplätze kommt der MSP mit personenbezogenen Daten in Berührung, von Kunden, Team, Patienten oder Gästen. Das Unternehmen ist der Verantwortliche; der Dienstleister verarbeitet in seinem Auftrag. Artikel 28 verlangt, dass die Vereinbarung unter anderem sicherstellt, dass der Dienstleister:

1. die Daten nur nach schriftlichen Weisungen des Kunden verarbeitet;
2. sein Team zur Vertraulichkeit verpflichtet;
3. die in Artikel 32 vorgesehenen Sicherheitsmaßnahmen erfüllt;
4. keinen weiteren Auftragsverarbeiter ohne vorherige Genehmigung einbindet;
5. den Kunden bei Anfragen Betroffener sowie bei Sicherheits- und Meldepflichten bei Datenpannen unterstützt;
6. nach Ende des Service die personenbezogenen Daten zurückgibt oder vernichtet, nach Wahl des Kunden, sofern keine gesetzliche Aufbewahrungspflicht besteht;
7. die Nachweise der Einhaltung bereitstellt und Audits ermöglicht.

DataRoad setzt die technischen Maßnahmen um; wir leisten keine Rechtsberatung. Der endgültige Text der Vereinbarung sollte vom Juristen des Unternehmens oder vom Datenschutzbeauftragten geprüft werden.

Eine, die einen geordneten Übergang ermöglicht, ohne den Kunden festzuhalten. Mehrjährige Mindestlaufzeiten, Strafen für vorzeitigen Ausstieg und unpraktikable Kündigungsfristen sind Warnsignale. Ein seriöser MSP hält Kunden mit Service, nicht mit Kleingedrucktem.

Der IT-Unlimited-Vertrag läuft ein Jahr, verlängert sich automatisch und hat keine Mindestlaufzeit. Zwei Monate genügen, um den Betrieb in Ruhe zu übergeben, ohne das Unternehmen ungeschützt zu lassen. Wir erklären auch, warum wir nur per Vertrag arbeiten, nie mit Einzeleinsätzen.

1. Übergabe des Dossiers: geprüfte und aktuelle Dokumentation.
2. Zugänge: alle Administrator-Zugangsdaten übertragen oder bestätigt.
3. Übergabesitzung: beide Dienstleister setzen sich an einen Tisch.
4. Abschaltung: der scheidende Dienstleister verliert den Zugang erst, wenn der neue bestätigt, dass er überall hineinkommt.
5. Daten: zurückgegeben oder vernichtet, mit schriftlicher Erklärung.

Zu den Zusagen während der Vertragslaufzeit, Zeiten und Vertragsstrafen, siehe die SLA-Klauseln, die den Unterschied machen.

Die Gruppe France Affiches (Großformatdruck, Sitz bei Paris und Betrieb in Frankreich, Spanien und Portugal) beauftragte DataRoad mit einem vollständigen IT-Audit vor Ort. Das Team analysierte das Netz, wie es tatsächlich bestand, Lebenszyklus und Support jedes Geräts, die Firewall, privilegierte Konten, den Schutz der Arbeitsplätze und die Backups, einschließlich Wiederherstellungstests.

Jeder Punkt wurde in drei Stufen eingeordnet: sofort zu behandelndes Risiko, einzuplanende technische Schulden oder akzeptabler Zustand. Genau diese Bestandsaufnahme sollte das Unternehmen in der Hand haben, bevor es den MSP wechselt. Lernen Sie das Audit für France Affiches kennen.

Wir prüfen, wer Inhaber der Administratorkonten, Domains, Lizenzen und Backups Ihres Unternehmens ist, und liefern die Liste dessen, was zu korrigieren ist, damit Sie von keinem Dienstleister abhängig sind. Fordern Sie ein unverbindliches Angebot an.

Ab 10 Arbeitsplätzen · Servicevertrag · Support remote, vor Ort und telefonisch. Rufen Sie an: +351 211 459 950 * oder schreiben Sie an sales@dataroad.pt.

*Anruf ins portugiesische Festnetz.

• Offizieller DSGVO-Text auf EUR-Lex (Artikel 28 und 32)