Wartungsvertrag für eine Webseite: Leistungsumfang, Haftung und rechtssichere Vertragsgestaltung

Eine Webseite benötigt häufig auch nach ihrer Veröffentlichung technische Betreuung. Software muss aktualisiert, Sicherheitslücken müssen bewertet, Daten gesichert und Störungen bearbeitet werden. Welche Aufgaben eine Agentur oder ein IT-Dienstleister tatsächlich schuldet, ergibt sich jedoch nicht allein aus der Bezeichnung „Wartungsvertrag“. Rechtlich entscheidend sind die vereinbarten Leistungen und die Frage, ob fachgerechtes Tätigwerden oder ein bestimmter Erfolg versprochen wird.

Ein Wartungsvertrag für eine Webseite berührt unterschiedliche Rechtsgebiete: das allgemeine Vertragsrecht, das Dienst- und Werkvertragsrecht, den Datenschutz sowie gegebenenfalls das Urheberrecht und verbraucherschützende Vorschriften. Hinzu kommen gesetzliche Anforderungen an den Betrieb der Webseite selbst. Diese Anforderungen sind von den vertraglichen Pflichten des Wartungsdienstleisters zu unterscheiden.

Der folgende Beitrag erläutert die Einordnung nach deutschem Recht, typische Konflikte und wesentliche Gesichtspunkte einer nachvollziehbaren Vertragsgestaltung. Im Mittelpunkt steht die laufende Betreuung bereits bestehender Internetauftritte. Welche Rechte und Pflichten im konkreten Fall bestehen, hängt insbesondere vom Vertragsinhalt, der technischen Aufgabenverteilung und den Umständen einer möglichen Störung ab.

Begriffsklärung: Was umfasst die Wartung einer Webseite?

Wartung als vertraglich bestimmtes Leistungspaket

Einen allgemeinen gesetzlichen Leistungskatalog für die Webseitenwartung gibt es nicht. Üblicherweise bezeichnet sie Maßnahmen, die den technischen Zustand einer Webseite erhalten oder wiederherstellen sollen. Dazu können Aktualisierungen des Content-Management-Systems, Sicherheitsüberprüfungen, Datensicherungen und die Beseitigung technischer Fehler gehören.

Die Bezeichnung allein beantwortet nicht, ob auch Erweiterungen, redaktionelle Arbeiten oder rechtliche Prüfungen geschuldet sind. Ein Vertrag über „regelmäßige Wartung“ kann auf bestimmte Softwareaktualisierungen beschränkt sein. Er kann aber ebenso eine weitergehende Betriebsbetreuung einschließlich Überwachung, Störungsbeseitigung und Wiederherstellung nach Sicherheitsvorfällen vorsehen.

Maßgeblich ist die Auslegung der Vereinbarungen nach §§ 133, 157 BGB. Berücksichtigt werden insbesondere Leistungsbeschreibung, Angebot, Vertragszweck und die für die Parteien erkennbaren Umstände. Bei Allgemeinen Geschäftsbedingungen gelten ergänzende Auslegungsregeln, insbesondere § 305c Abs. 2 BGB für verbleibende Zweifel. Ein lediglich intern bestehendes, nicht erkennbar gewordenes Verständnis einer Vertragspartei ist nicht ohne Weiteres maßgeblich.

Abgrenzung zu Erstellung, Hosting und Weiterentwicklung

Die Erstellung einer Webseite ist von ihrer anschließenden Wartung zu unterscheiden. Bei der Erstellung steht regelmäßig die Herstellung eines vereinbarten, funktionsfähigen Ergebnisses im Vordergrund. Wartung betrifft dagegen Leistungen während des späteren Betriebs. Beide Aufgaben können in einem Vertrag verbunden sein, müssen aber nicht denselben rechtlichen Regeln unterliegen.

Hosting bezeichnet insbesondere die Bereitstellung technischer Ressourcen, auf denen eine Webseite gespeichert und erreichbar gehalten wird. Eine Agentur, die lediglich Anwendungssoftware aktualisiert, übernimmt damit nicht automatisch die Verantwortung für sämtliche Leistungen des Hostinganbieters. Umgekehrt schuldet ein Hostinganbieter nicht ohne entsprechende Vereinbarung die Aktualisierung jeder vom Kunden installierten Anwendung.

Weiterentwicklung umfasst beispielsweise neue Funktionen, zusätzliche Schnittstellen oder gestalterische Änderungen. Solche Maßnahmen gehen häufig über die Erhaltung des bisherigen Zustands hinaus. Vertraglich sollte deshalb bestimmt werden, ob sie ausgeschlossen, gesondert zu beauftragen oder innerhalb eines vereinbarten Leistungsbudgets enthalten sind. Abgrenzungsprobleme entstehen insbesondere, wenn eine technisch notwendige Anpassung zugleich neue Funktionen ermöglicht.

Wartungsfenster, Reaktionszeit und Wiederherstellungszeit

Eine Reaktionszeit beschreibt je nach Vereinbarung, wann der Dienstleister eine Störungsmeldung bestätigt, sie bewertet oder mit der Bearbeitung beginnt. Eine Wiederherstellungszeit betrifft dagegen den Zeitraum bis zur Rückkehr in einen vereinbarten Betriebszustand. Diese Zusagen sind nicht gleichwertig.

Ein Wartungsfenster legt Zeiten für planbare Eingriffe fest. Ob währenddessen eine Unterbrechung zulässig ist und wie sie bei einer Verfügbarkeitsberechnung berücksichtigt wird, muss gesondert bestimmt werden. Aus der bloßen Bezeichnung folgt keine Erlaubnis für beliebig lange oder vermeidbare Ausfälle.

Auch eine rund um die Uhr mögliche Störungsmeldung bedeutet nicht zwingend, dass jederzeit eine vollständige Fehlerbehebung geschuldet wird. Belastbare Vereinbarungen unterscheiden zwischen Meldebereitschaft, Bearbeitungszeiten und Wiederherstellung. Sie bestimmen außerdem, wann eine Frist beginnt, welche Informationen für ihre Berechnung erforderlich sind und wie fehlende Mitwirkung behandelt wird. Ein unverbindliches Ziel sollte sprachlich von einer verbindlichen Leistungszusage abgegrenzt werden.

Rechtlicher Rahmen und einschlägige Normen

Dienstvertrag, Werkvertrag oder gemischter Vertrag?

Das Bürgerliche Gesetzbuch kennt keinen eigenständigen Vertragstyp „Webseitenwartung“. Die rechtliche Einordnung richtet sich nach dem Inhalt der übernommenen Verpflichtungen.

Nach § 611 BGB schuldet der Dienstverpflichtete die vereinbarten Dienste. Im Mittelpunkt steht das geschuldete Tätigwerden, nicht notwendig ein bestimmtes Ergebnis. Eine laufende technische Beratung ohne Zusage eines konkreten Erfolgs kann dienstvertraglich einzuordnen sein.

Beim Werkvertrag nach § 631 BGB wird dagegen ein bestimmter Erfolg geschuldet. Die Verpflichtung, einen konkret beschriebenen Fehler zu beseitigen oder eine definierte Funktionsfähigkeit herzustellen beziehungsweise zu erhalten, kann werkvertraglichen Charakter haben. Ob ein Erfolg tatsächlich zugesagt wurde, ist durch Auslegung zu ermitteln. Weder eine monatliche Pauschale noch eine Abrechnung nach Arbeitsstunden entscheiden diese Frage allein.

Ein Wartungsvertrag kann unterschiedliche Leistungstypen kombinieren. Dann ist zu prüfen, ob einzelne Teile rechtlich getrennt behandelt werden können oder welche Regeln dem Schwerpunkt und der Eigenart des Gesamtvertrags entsprechen. Pauschale Aussagen, sämtliche Wartungsverträge seien Dienstverträge oder Werkverträge, sind deshalb nicht tragfähig.

Allgemeines Leistungsstörungsrecht und werkvertragliche Mängelrechte

Die allgemeinen Vorschriften über Schuldverhältnisse bilden einen wesentlichen Ausgangspunkt. Dazu gehören § 241 BGB über Leistungs- und Rücksichtnahmepflichten sowie §§ 280 ff. BGB über Schadensersatz wegen Pflichtverletzungen. Welche zusätzlichen Voraussetzungen erfüllt sein müssen, hängt vom geltend gemachten Anspruch ab.

Bei werkvertraglichen Leistungen kommen die Mängelrechte nach § 634 BGB in Betracht. Sie umfassen unter ihren jeweiligen Voraussetzungen Nacherfüllung, Selbstvornahme mit Aufwendungsersatz, Rücktritt oder Minderung sowie Schadensersatz oder Ersatz vergeblicher Aufwendungen. Ihre Anwendung setzt eine genaue Prüfung des Leistungsstadiums voraus. Vor der Abnahme steht grundsätzlich der Anspruch auf vertragsgemäße Herstellung im Vordergrund; die Anwendung einzelner Mängelrechte vor der Abnahme kommt nur unter besonderen Voraussetzungen in Betracht.

Beim Dienstvertrag besteht kein entsprechendes allgemeines werkvertragliches Mängelrecht. Schlechte oder unterbliebene Leistungen können dennoch Schadensersatzansprüche, Leistungsverweigerungsrechte oder Kündigungsrechte begründen. Eine Vergütungskürzung folgt jedoch nicht schon automatisch daraus, dass der Auftraggeber mit der Betreuung unzufrieden ist.

Allgemeine Geschäftsbedingungen

Viele Wartungsverträge beruhen auf vorformulierten Vertragsbedingungen. Ob Allgemeine Geschäftsbedingungen vorliegen und wirksam einbezogen wurden, richtet sich nach §§ 305 ff. BGB. Auch die Verwendung eines unterschriebenen Vertragsdokuments schließt den Charakter als Allgemeine Geschäftsbedingungen nicht aus.

Besonders bedeutsam ist § 307 BGB. Danach können unangemessen benachteiligende oder intransparente Klauseln unwirksam sein. Die Inhaltskontrolle hat allerdings Grenzen: Die eigentliche Beschreibung der Hauptleistung und des dafür geschuldeten Preises wird grundsätzlich nicht auf ihre wirtschaftliche Angemessenheit überprüft. Das Transparenzgebot bleibt nach Maßgabe des § 307 Abs. 3 BGB relevant.

Problematisch können versteckte Leistungsausschlüsse, weitreichende Haftungsbeschränkungen, unbestimmte Änderungsrechte oder schwer nachvollziehbare Zusatzentgelte sein.

Im Geschäftsverkehr zwischen Unternehmern gelten die Besonderheiten des § 310 Abs. 1 BGB. Die Klauselverbote der §§ 308, 309 BGB finden dort grundsätzlich keine unmittelbare Anwendung. Ihre Wertungen können jedoch bei der Prüfung nach § 307 BGB Bedeutung gewinnen. Eine uneingeschränkte Gestaltungsfreiheit besteht somit auch zwischen Unternehmen nicht.

Verbraucherverträge über digitale Produkte

Beauftragt ein Verbraucher Leistungen für überwiegend private Zwecke, können die §§ 327 ff. BGB über digitale Produkte relevant werden. Entscheidend sind die gesetzlichen Voraussetzungen, insbesondere ob digitale Inhalte oder digitale Dienstleistungen bereitgestellt werden. Eine technische Unterstützungsleistung wird nicht allein deshalb zur digitalen Dienstleistung, weil sie eine Webseite betrifft oder über das Internet erbracht wird.

Soweit die Vorschriften anwendbar sind, bestehen besondere Anforderungen an die Vertragsmäßigkeit. § 327f BGB enthält eine Aktualisierungspflicht für Aktualisierungen, die zum Erhalt der Vertragsmäßigkeit erforderlich sind. Deren Dauer richtet sich nach den gesetzlichen Maßstäben und den Umständen des Vertrags. Eine allgemeingültige Aktualisierungsfrist für jede private Webseite lässt sich daraus nicht ableiten.

Bei Verträgen für unternehmerische Zwecke greifen diese besonderen Verbrauchervorschriften grundsätzlich nicht. Ansprüche aus einem vorausgehenden Erstellungs- oder Softwarevertrag können gleichwohl bestehen. Ein zusätzlicher Wartungsvertrag beseitigt solche Ansprüche nicht automatisch. Er sollte deshalb klar zwischen gesetzlichen Verpflichtungen und zusätzlich vergüteter Betreuung unterscheiden.

Rechtsprechungslinien zur rechtlichen Einordnung

Der Vertragsinhalt entscheidet, nicht die Überschrift

Ein wichtiger Orientierungspunkt ist das Urteil des Bundesgerichtshofs vom 4. März 2010, Az. III ZR 79/09. Der Bundesgerichtshof ordnete den dort untersuchten sogenannten Internet-System-Vertrag, der verschiedene Leistungen rund um eine Internetpräsenz bündelte, nach seinem Schwerpunkt als Werkvertrag ein.

Die Entscheidung betrifft ein bestimmtes Leistungsbündel und lässt sich nicht unterschiedslos auf eigenständige Wartungsverträge übertragen. Methodisch zeigt sie jedoch, dass der Inhalt und der Schwerpunkt der übernommenen Verpflichtungen maßgeblich sind. Eine Verbindung mehrerer Tätigkeiten schließt einen werkvertraglichen Schwerpunkt nicht aus.

Für die Prüfung eines Wartungsvertrags sind deshalb insbesondere Zusagen zur Funktionsfähigkeit, Fehlerbeseitigung und Bereitstellung des Internetauftritts auszuwerten. Eine erfolgsbezogene Pflicht kann auch dann vorliegen, wenn nach Zeitaufwand abgerechnet wird. Umgekehrt begründet eine feste Vergütung für sich genommen keine Erfolgspflicht.

Bedeutung konkreter Zusagen

Die rechtliche Bewertung unterscheidet zwischen Tätigkeitsbeschreibungen und Erfolgszusagen. „Prüfung verfügbarer Updates“ beschreibt zunächst eine Tätigkeit. „Beseitigung eines bezeichneten Fehlers“ spricht stärker für eine Erfolgspflicht. Entscheidend bleiben jedoch der vollständige Vertragsinhalt und der erkennbare Zweck der Vereinbarung.

Auch Formulierungen zur Beseitigung kritischer Sicherheitslücken benötigen eine Konkretisierung. Zu klären ist etwa, welche Komponenten erfasst sind und welche Ersatzmaßnahmen geschuldet werden, wenn der Hersteller noch keine Aktualisierung bereitstellt.

Bei gemischten Verträgen ist die wirtschaftliche Einheit der Leistungen zu berücksichtigen. Werden Hosting, Updates und Störungsbehebung als zusammenhängende Betriebsleistung angeboten, ist eine rechtliche Trennung nicht allein deshalb geboten, weil die einzelnen Tätigkeiten unterschiedliche Überschriften tragen. Ob eine getrennte Beurteilung sachgerecht ist, bleibt eine Frage der Vertragsauslegung.

Keine allgemeine Garantie gegen Angriffe

Aus dem Abschluss eines Wartungsvertrags folgt keine allgemeine Garantie, dass eine Webseite niemals ausfällt oder angegriffen wird. Maßgeblich sind die übernommenen Pflichten. Eine ausdrücklich vereinbarte Garantie oder eine andere besondere Risikozuweisung kann die Haftungsbeurteilung allerdings verändern.

Umgekehrt entlastet der Hinweis auf einen externen Angriff nicht automatisch. War die Behandlung bekannter Sicherheitsrisiken geschuldet, kann ein unterlassenes Update eine Pflichtverletzung darstellen. Ob daraus ein Schadensersatzanspruch folgt, erfordert zusätzlich die Prüfung von Schaden, Ursächlichkeit und Vertretenmüssen.

Der Angriff als solcher beweist weder ordnungsgemäße noch unzureichende Wartung. Auch ist zwischen verschuldensabhängigem Schadensersatz und anderen Ansprüchen zu unterscheiden. Bei werkvertraglichen Leistungen kann beispielsweise ein Nacherfüllungsanspruch bestehen, ohne dass dem Dienstleister ein Verschulden nachgewiesen werden muss.

Datenschutz und rechtliche Betreiberpflichten

Auftragsverarbeitung und Zugriff auf personenbezogene Daten

Wartungsarbeiten können Zugang zu Kontaktanfragen, Kundenkonten, Bestelldaten oder personenbezogenen Serverprotokollen eröffnen. Vor Beginn ist deshalb zu klären, ob und in welcher Rolle der Dienstleister personenbezogene Daten verarbeitet.

Verarbeitet er diese Daten im Auftrag des Verantwortlichen, sind die Anforderungen des Art. 28 DSGVO zu beachten. Die Verarbeitung muss auf einem Vertrag oder einem anderen nach dieser Vorschrift zulässigen Rechtsinstrument beruhen. Dieses muss die gesetzlich vorgegebenen Inhalte enthalten.

Nicht jeder technische Kontakt ist automatisch Auftragsverarbeitung. Eine lediglich theoretische Zugriffsmöglichkeit lässt sich jedoch auch nicht pauschal als datenschutzrechtlich bedeutungslos behandeln. Entscheidend sind die konkrete Aufgabe, die vorgesehenen Zugriffe und die tatsächliche Entscheidungsverteilung.

Bei Auftragsverarbeitung sind insbesondere Weisungsbindung, Vertraulichkeit, weitere Auftragsverarbeiter, Sicherheitsmaßnahmen, Unterstützungspflichten sowie Löschung oder Rückgabe personenbezogener Daten zu regeln. Ein eigenständiges Dokument mit einer bestimmten Überschrift ist nicht zwingend; die erforderlichen Regelungen können in die Vertragsunterlagen integriert werden.

Technische und organisatorische Maßnahmen

Art. 32 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter zu einem dem Risiko angemessenen Sicherheitsniveau. Zu berücksichtigen sind unter anderem der Stand der Technik, Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung.

Als Maßnahmen kommen etwa Zugriffsbeschränkungen, Verschlüsselung, Datensicherungen und Verfahren zur Wiederherstellung der Verfügbarkeit in Betracht. Welche Maßnahmen erforderlich sind, ist risikobezogen zu beurteilen. Nicht jede technisch verfügbare Sicherheitsmaßnahme ist ausnahmslos für jede Webseite gesetzlich vorgeschrieben.

Bei einer Verletzung des Schutzes personenbezogener Daten verlangt Art. 33 Abs. 1 DSGVO grundsätzlich eine unverzügliche Meldung des Verantwortlichen an die zuständige Aufsichtsbehörde, möglichst binnen 72 Stunden nach Bekanntwerden. Die Meldepflicht entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Erfolgt die Meldung später, ist die Verzögerung zu begründen.

Der Auftragsverarbeiter muss den Verantwortlichen nach Art. 33 Abs. 2 DSGVO unverzüglich nach Bekanntwerden informieren. Für ihn gilt insoweit keine eigenständige 72-stündige Wartefrist. Zusätzlich kann eine Benachrichtigung betroffener Personen nach Art. 34 DSGVO erforderlich sein.

Technische Wartung ist keine umfassende Rechtsprüfung

Die gesetzlichen Pflichten des Webseitenbetreibers entfallen nicht allein durch die Einschaltung eines Wartungsunternehmens. Je nach Angebot sind insbesondere die Informationspflichten des § 5 DDG, datenschutzrechtliche Informationspflichten und § 25 TDDDG zu prüfen.

§ 25 TDDDG betrifft die Speicherung von Informationen in Endeinrichtungen und den Zugriff auf dort gespeicherte Informationen. Eine Einwilligung ist nicht ausnahmslos erforderlich; die Vorschrift enthält Ausnahmen. Unabhängig davon ist eine damit verbundene Verarbeitung personenbezogener Daten gesondert nach der DSGVO zu beurteilen.

Eine technisch funktionierende Einwilligungsplattform gewährleistet daher noch nicht die Rechtmäßigkeit aller eingebundenen Dienste. Ebenso umfasst ein Updateauftrag nicht ohne Weiteres die juristische Prüfung von Datenschutzhinweisen, Anbieterkennzeichnungen oder Werbeaussagen.

Das Barrierefreiheitsstärkungsgesetz erfasst seit dem 28. Juni 2025 bestimmte Produkte und Dienstleistungen. Daraus folgt keine allgemeine Pflicht, jede Webseite nach diesem Gesetz barrierefrei zu gestalten. Anwendungsbereich, Ausnahmen und Übergangsregelungen sind gesondert zu prüfen. Soll die Wartung auch die technische Barrierefreiheit betreffen, sollte dieser Leistungsbereich ausdrücklich beschrieben werden.

Typische Fallkonstellationen

Ein Update führt zum Ausfall der Webseite

Aktualisierungen können Konflikte zwischen dem Content-Management-System, Erweiterungen und individuellen Anpassungen auslösen. Ob eine Pflichtverletzung vorliegt, hängt nicht allein vom eingetretenen Ausfall ab.

Relevant sind unter anderem geschuldete Tests, erkennbare Kompatibilitätsprobleme und erforderliche Sicherungsmaßnahmen. Bei einer rein dienstvertraglichen Tätigkeit steht die fachgerechte Durchführung im Vordergrund. Ist dagegen ein funktionsfähiges Ergebnis geschuldet, kann dessen Ausbleiben auch bei sorgfältigem Vorgehen eine nicht vertragsgemäße Leistung darstellen. Ob zusätzlich Schadensersatz verlangt werden kann, ist gesondert zu prüfen.

Der Vertrag sollte Testumgebung, Sicherung vor Änderungen, Freigabeprozesse und die Rückkehr zum vorherigen Zustand regeln. Dabei ist zu berücksichtigen, dass ein Zurücksetzen zwischenzeitlich eingegangene Bestellungen oder Anfragen beeinträchtigen kann. Auch eine Freigabe des Kunden entlastet den Dienstleister nicht automatisch von eigenen Fach- und Hinweispflichten.

Eine Sicherheitslücke bleibt unbehandelt

Ist laufende Sicherheitswartung vereinbart, muss zunächst geklärt werden, welche Software erfasst wird und wie relevante Risiken festgestellt werden sollen. Geschuldet sein können aktive Beobachtung, bestimmte Prüfintervalle oder die Bearbeitung eingehender Sicherheitsmeldungen.

Ein monatlicher Wartungstermin beantwortet nicht abschließend, wie mit einer zwischenzeitlich bekannt gewordenen kritischen Lücke umzugehen ist. Entscheidend sind Vertragsinhalt, erkennbares Risiko und gegebenenfalls ergänzende Schutz- oder Informationspflichten. Aus einem bestimmten Wartungsintervall lässt sich allerdings auch keine unbegrenzte Pflicht zur dauernden Überwachung ableiten.

Verweigert der Betreiber ein erforderliches Update, sollte der Dienstleister die erkennbaren Folgen und mögliche Alternativen erläutern. Die dokumentierte Ablehnung kann für die Verantwortungsverteilung bedeutsam sein. Sie ersetzt jedoch nicht jede weitere geschuldete Maßnahme, etwa einen vereinbarten Warnhinweis oder die Umsetzung einer freigegebenen vorläufigen Absicherung.

Datensicherungen existieren, lassen sich aber nicht wiederherstellen

Die Erstellung von Sicherungsdateien gewährleistet noch keine erfolgreiche Wiederherstellung. Unvollständige Datenbanken, beschädigte Archive oder gemeinsam mit dem Produktivsystem kompromittierte Sicherungen können den Sicherungszweck verfehlen.

Welche Qualität geschuldet ist, ergibt sich aus Vertrag und Auslegung. Zu unterscheiden sind Sicherungshäufigkeit, Umfang, Aufbewahrungsdauer, Speicherort und Wiederherstellungstests. Der vereinbarte Sicherungszweck darf bei dieser Auslegung nicht außer Betracht bleiben. Eine ausdrücklich übernommene Datensicherung lässt sich nicht ohne Weiteres auf die bloße Erzeugung beliebiger Dateien reduzieren.

Der mögliche Zeitraum eines Datenverlusts sollte ebenso beschrieben werden wie das Wiederherstellungsziel. Fehlt eine ausdrückliche Sicherungsvereinbarung, können vor risikobehafteten Eingriffen dennoch Schutzpflichten bestehen. Umgekehrt darf der Betreiber nicht ohne vertragliche Grundlage annehmen, eine allgemeine Wartungspauschale erfasse eine vollständige, dauerhaft verfügbare Notfallwiederherstellung.

Der Kunde verändert eigenständig das System

Installiert der Betreiber zusätzliche Erweiterungen oder verändert Konfigurationen, kann dies die Wartung beeinträchtigen. Solche Eingriffe rechtfertigen nicht automatisch einen vollständigen Haftungsausschluss zugunsten des Dienstleisters.

Zu prüfen ist insbesondere, ob die Änderung für den Schaden ursächlich war, welche Mitteilungspflichten bestanden und ob der Dienstleister die Veränderung bei geschuldeter Prüfung hätte erkennen müssen. Ein zurechenbarer eigener Beitrag des Betreibers zur Schadensentstehung oder Schadensausweitung kann nach § 254 BGB anspruchsmindernd wirken.

Abgestufte Berechtigungen und eine Änderungsdokumentation können die Verantwortungszuordnung erleichtern. Der Vertrag kann vorsehen, dass zusätzliche Komponenten zunächst geprüft werden, bevor sie in den Wartungsumfang aufgenommen werden. Eine entsprechende Regelung sollte zugleich erkennen lassen, welche Auswirkungen die Änderung auf bereits vereinbarte Leistungen hat und ob hierfür eine zusätzliche Vergütungsvereinbarung erforderlich ist.

Rechtsfolgen, Haftung und wirtschaftliche Risiken

Schadensersatz und Nachweis der Pflichtverletzung

Bei einem Anspruch aus § 280 Abs. 1 BGB sind grundsätzlich ein Schuldverhältnis, eine Pflichtverletzung und ein dadurch verursachter Schaden erforderlich. Das Vertretenmüssen wird nach § 280 Abs. 1 Satz 2 BGB vermutet; der Schuldner kann sich entlasten. Für Verzögerungsschäden oder Schadensersatz statt der Leistung gelten zusätzliche Voraussetzungen.

Der Betreiber muss regelmäßig mehr darlegen als einen zeitlichen Zusammenhang zwischen Wartung und Ausfall. Wer welche Tatsachen beweisen muss, kann allerdings vom Anspruch und vom Leistungsstadium abhängen. Besonders bei werkvertraglichen Leistungen ist die Bedeutung der Abnahme zu berücksichtigen.

Protokolle, Versionsstände, Fehlermeldungen und sachverständige Untersuchungen können die Ursachenzuordnung unterstützen. Erstattungsfähig können insbesondere erforderliche Wiederherstellungskosten oder andere zurechenbare Vermögensschäden sein.

Entgangener Gewinn richtet sich nach § 252 BGB. Die Vorschrift erleichtert den Nachweis anhand des gewöhnlichen Verlaufs der Dinge oder besonderer Umstände. Sie ersetzt aber nicht jede tatsächliche Grundlage. Hypothetische Umsätze sind außerdem nicht ohne Weiteres mit entgangenem Gewinn gleichzusetzen.

Haftungsbegrenzungen und Mitverantwortung

Haftungsbegrenzungen unterliegen gesetzlichen Grenzen. Die Haftung für eigenes vorsätzliches Verhalten kann nach § 276 Abs. 3 BGB nicht im Voraus erlassen werden. Für Allgemeine Geschäftsbedingungen sind zusätzlich insbesondere §§ 307 ff. BGB maßgeblich.

Gegenüber Verbrauchern enthält § 309 Nr. 7 BGB besondere Verbote für bestimmte Haftungsausschlüsse und Haftungsbegrenzungen. Diese betreffen insbesondere Schäden aus der Verletzung von Leben, Körper oder Gesundheit sowie sonstige Schäden bei grobem Verschulden. Im unternehmerischen Geschäftsverkehr ist die Wirksamkeit insbesondere nach § 307 BGB zu beurteilen.

Auch ein Ausschluss der Haftung für wesentliche Vertragspflichten oder ein unangemessen niedriger Höchstbetrag kann unwirksam sein. Nicht jede betragsmäßige Begrenzung ist jedoch ausgeschlossen. Maßgeblich sind Wortlaut, Vertragszweck und die rechtlich zulässige Risikoverteilung.

Auf Betreiberseite können fehlende Mitwirkung, verspätete Störungsmeldungen oder vermeidbare Schadensausweitungen nach § 254 BGB relevant werden. Nach einem Vorfall sollten deshalb Beweissicherung und Schadensbegrenzung aufeinander abgestimmt werden.

Vergütung, Zusatzleistungen und Nutzungsrechte

Eine Wartungspauschale sollte erkennen lassen, welche Leistungen sie abgilt. Ob zusätzliche Vergütung verlangt werden kann, hängt von der vereinbarten Leistung und einer möglichen Zusatzbeauftragung ab. Eine Vergütung kann unter den Voraussetzungen der §§ 612, 632 BGB auch ohne ausdrücklich bezifferten Preis als stillschweigend vereinbart gelten. Daraus folgt aber kein allgemeines Recht, den Vertragsumfang einseitig gegen Aufpreis zu erweitern.

Bei eingebundenen Erweiterungen können Lizenz- und Abonnementkosten hinzukommen. Es sollte feststehen, wer Vertragspartner des jeweiligen Anbieters ist und welche Nutzungsbefugnisse nach Vertragsende fortbestehen.

Soweit urheberrechtlich geschützte Programme oder andere geschützte Bestandteile betroffen sind, sind die eingeräumten Nutzungsrechte maßgeblich. § 31 UrhG ist hierfür eine wesentliche Grundlage. Bei Computerprogrammen sind ergänzend die besonderen Regelungen der §§ 69a ff. UrhG zu berücksichtigen. Laufende Zahlungen an die Wartungsagentur vermitteln nicht automatisch sämtliche Rechte an den verwendeten Komponenten oder einen Anspruch auf Herausgabe jedes Quellcodes.

Verfahren, Fristen und Vertragsbeendigung

Mängelanzeige und Gelegenheit zur Abhilfe

Störungen sollten möglichst konkret und nachweisbar gemeldet werden. Hilfreich sind Zeitpunkt, betroffene Funktionen, Fehlermeldungen und vorausgegangene Änderungen. Eine technische Diagnose durch den Betreiber ist nicht stets erforderlich; die Beschreibung nachvollziehbarer Fehlersymptome kann genügen.

Soweit gesetzlich erforderlich, muss eine angemessene Frist zur Leistung oder Nacherfüllung gesetzt werden. Ihre Länge hängt insbesondere von Dringlichkeit, Fehlerbild und technisch erforderlichem Aufwand ab. Eine allgemeingültige gesetzliche Reparaturfrist für Webseiten besteht nicht.

Bei werkvertraglichen Mängeln setzt eine Selbstvornahme mit Aufwendungsersatz nach § 637 BGB grundsätzlich den erfolglosen Ablauf einer angemessenen Nacherfüllungsfrist voraus. Die Vorschrift enthält Ausnahmen, etwa bei fehlgeschlagener oder unzumutbarer Nacherfüllung. Auch sonstige gesetzliche Voraussetzungen bleiben zu prüfen.

Wer sofort einen anderen Dienstleister beauftragt, kann daher ein Kostenrisiko eingehen. Bei dringenden Sicherheitsvorfällen sind die Voraussetzungen einer sofortigen Maßnahme anhand der konkreten Gefahrenlage zu beurteilen; eine pauschale Antwort ist nicht möglich.

Verjährung und Beweissicherung

Die Verjährung lässt sich nicht allein aus der Vertragsüberschrift ableiten. Bei werkvertraglichen Mängelansprüchen ist § 634a BGB zu prüfen. Für andere Ansprüche kann die regelmäßige Verjährung nach §§ 195, 199 BGB maßgeblich sein.

Die regelmäßige Verjährungsfrist beträgt nach § 195 BGB drei Jahre. Ihr Beginn richtet sich grundsätzlich nach § 199 Abs. 1 BGB und setzt insbesondere die Anspruchsentstehung sowie Kenntnis oder grob fahrlässige Unkenntnis der maßgeblichen Umstände voraus. Daneben bestehen gesetzliche Sonder- und Höchstfristen. Diese Regeln dürfen nicht ungeprüft auf jeden Wartungsanspruch übertragen werden.

Ein bloßes Beschwerdeschreiben hemmt die Verjährung grundsätzlich nicht. Verhandlungen können unter den Voraussetzungen des § 203 BGB eine Hemmung bewirken. Maßnahmen der Rechtsverfolgung sind insbesondere in § 204 BGB geregelt.

Bei technischen Ursachenfragen kann ein selbständiges Beweisverfahren nach §§ 485 ff. ZPO in Betracht kommen, wenn dessen Voraussetzungen vorliegen. Unabhängig davon sollten Beweismittel gesichert werden, ohne durch unnötige Datensammlungen Datenschutz- oder Vertraulichkeitspflichten zu verletzen.

Kündigung und geordneter Übergang

Laufzeit, Verlängerung und ordentliche Kündigung sollten ausdrücklich geregelt werden. Je nach Vertragstyp können unterschiedliche gesetzliche Vorschriften eingreifen. Bei Dienstverhältnissen kann § 621 BGB Bedeutung haben. Bei werkvertraglichen Gestaltungen sind insbesondere §§ 648, 648a BGB zu prüfen.

Diese Vorschriften lassen sich nicht schematisch auf jeden langfristigen Wartungsvertrag übertragen. Insbesondere ist zu unterscheiden zwischen einem abgrenzbaren Einzelwerk und einem auf Dauer angelegten Vertragsverhältnis. Eine freie Kündigung nach § 648 BGB ist zudem nicht grundsätzlich vergütungsneutral.

Für Dauerschuldverhältnisse ist § 314 BGB bedeutsam. Eine Kündigung aus wichtigem Grund setzt eine Bewertung der konkreten Umstände und Interessen voraus. Bei behebbaren Pflichtverletzungen ist grundsätzlich zunächst eine Abhilfefrist oder Abmahnung erforderlich, soweit keine gesetzliche Ausnahme eingreift. Verbraucherschützende Anforderungen an Laufzeit- und Kündigungsklauseln sind gegebenenfalls zusätzlich zu beachten.

Zum Vertragsende sollten Zugänge, Sicherungen, Dokumentationen und herauszugebende Daten geordnet übergeben werden. Der genaue Umfang folgt aus Vertrag und Gesetz. Eine allgemeine unbegrenzte Pflicht zur kostenlosen Migration besteht nicht.

Praktische Handlungsschritte für Betreiber und Dienstleister

Vor Vertragsabschluss: Bestand und Verantwortlichkeiten erfassen

Eine technische Bestandsaufnahme schafft eine nachvollziehbare Grundlage für den Wartungsumfang. Dazu gehören eingesetzte Software, individuelle Anpassungen, Hostingstruktur, Schnittstellen, vorhandene Lizenzen und erkennbare Sicherheitsprobleme. Eine solche Bestandsaufnahme ist nicht in jedem Vertrag automatisch als gesonderte Leistung geschuldet; ihr Umfang sollte vereinbart werden.

Anschließend sollten die Verantwortlichkeiten zugeordnet werden. Wer aktualisiert das Betriebssystem? Wer betreut Datenbank und Anwendung? Wer überwacht Zertifikate, Speicherplatz und Erreichbarkeit? Bei mehreren Unternehmen können sonst Betreuungslücken entstehen.

Ein Übergabeprotokoll kann bekannte Fehler, fehlende Zugänge und nicht mehr unterstützte Komponenten dokumentieren. Es erleichtert die Abgrenzung zwischen übernommenen Altproblemen und späteren Pflichtverletzungen. Die Dokumentation eines bestehenden Mangels stellt allerdings nicht automatisch einen wirksamen Haftungsausschluss oder einen Verzicht des Betreibers auf bestehende Ansprüche dar.

Im Vertrag: überprüfbare Leistungen vereinbaren

Eine nachvollziehbare Leistungsbeschreibung sollte insbesondere folgende Punkte erfassen:

• einbezogene Systeme, Schnittstellen und ausdrücklich ausgeschlossene Leistungen;
• Prüfintervalle und Behandlung dringender Sicherheitsprobleme;
• Servicezeiten, Meldewege und Störungsklassen;
• verbindliche Reaktionszeiten und gegebenenfalls Wiederherstellungsziele;
• Umfang, Aufbewahrung und Prüfung von Datensicherungen;
• Freigaben, Mitwirkungspflichten und Verfahren bei Zusatzaufwand;
• Datenschutz, weitere Dienstleister und Übergabe bei Vertragsende.

Unbestimmte Begriffe wie „zeitnah“, „umfassend“ oder „nach Bedarf“ sollten durch nachvollziehbare Kriterien ergänzt werden. Nicht jede Tätigkeit muss minutengenau festgelegt sein. Erkennbar sein sollte jedoch, woran die ordnungsgemäße Erfüllung gemessen wird.

Wichtig ist außerdem die Rangfolge widersprüchlicher Vertragsunterlagen. Angebot, Leistungsbeschreibung und Allgemeine Geschäftsbedingungen sollten nicht unterschiedliche Servicezeiten oder Sicherungsumfänge vorsehen. Individualvereinbarungen haben nach § 305b BGB Vorrang vor Allgemeinen Geschäftsbedingungen. Ob eine echte Individualvereinbarung vorliegt, ist gegebenenfalls gesondert zu prüfen.

Im laufenden Betrieb: dokumentieren und kontrollieren

Wartungsberichte können wesentliche Änderungen, erledigte Aufgaben und offene Risiken dokumentieren. Dazu gehören beispielsweise installierte Versionen, fehlgeschlagene Updates, durchgeführte Sicherungen und erforderliche Entscheidungen des Betreibers. Ob ein Bericht geschuldet ist und welchen Umfang er haben muss, richtet sich nach den vereinbarten beziehungsweise ergänzend bestehenden Pflichten.

Der Betreiber muss seinerseits erforderliche und vereinbarte Mitwirkung erbringen. Dazu können Freigaben, aktuelle Ansprechpartner und funktionsfähige Zugänge gehören. Nicht jede Mitwirkung ist rechtlich eine selbständig einklagbare Pflicht; je nach Gestaltung kann sie auch eine Obliegenheit mit nachteiligen Folgen bei Nichtbeachtung sein.

Werden Entscheidungen verzögert, sollten die Auswirkungen auf Termine und Sicherheit festgehalten werden. Wiederherstellungstests und Überprüfungen der Zugriffsberechtigungen ermöglichen eine Kontrolle der vereinbarten Maßnahmen. Dokumentation ersetzt technische Qualität nicht, kann aber die Nachvollziehbarkeit der Leistung und die spätere Beweisführung wesentlich verbessern.

Offene Streitfragen und Grenzen standardisierter Verträge

Sicherheitsniveau und technische Entwicklung

Welche Schutzmaßnahmen im Einzelfall geschuldet sind, lässt sich nicht dauerhaft durch eine unveränderliche Liste beantworten. Risiken, verfügbare Aktualisierungen und technische Abhängigkeiten verändern sich. Vertragliche Pflichten und gesetzliche Sicherheitsanforderungen sind dabei getrennt, aber in ihrem Zusammenhang zu prüfen.

Auslegungsbedürftig bleibt häufig, wie weit eine allgemeine Wartungspflicht ohne ausdrückliche Sicherheitszusage reicht. Entscheidend können Vertragszweck, Leistungsbeschreibung, erkennbare Risiken und die berechtigten Erwartungen der Parteien sein. Aus dem Begriff „Wartung“ folgt weder stets umfassende Sicherheitsüberwachung noch deren vollständiger Ausschluss.

Besonders konfliktträchtig sind Systeme, für die keine Sicherheitsaktualisierungen mehr angeboten werden. Dann ist zu klären, welche Hinweise oder vorläufigen Schutzmaßnahmen geschuldet sind und ob eine Migration gesondert beauftragt werden muss. Der technische Unterstützungsstopp eines Herstellers begründet für sich genommen weder eine allgemeine kostenlose Migrationspflicht noch die Erlaubnis, erkennbare Gefahren kommentarlos bestehen zu lassen.

Abhängigkeit von Drittanbietern

Webseiten bestehen häufig aus Komponenten verschiedener Anbieter. Deren Fehler, Änderungen oder Leistungsunterbrechungen liegen nicht vollständig im Einflussbereich des Wartungsdienstleisters. Dies schließt eigene Prüfungs-, Informations- oder Abhilfepflichten nicht aus. Ebenso kann eine vertraglich übernommene Erfolgspflicht über das bloße Weiterleiten einer Fehlermeldung hinausgehen.

Ob ein Drittanbieter Erfüllungsgehilfe im Sinne von § 278 BGB ist, hängt von seiner Einbindung in die geschuldete Leistung ab. Maßgeblich ist insbesondere, ob er mit Wissen und Wollen des Schuldners in dessen Pflichtenkreis tätig wird. Nicht jeder Hersteller einer verwendeten Software wird allein durch deren Einsatz zum Erfüllungsgehilfen.

Standardverträge sollten deshalb konkrete Zuständigkeiten und Verfahren für nicht unmittelbar behebbare Störungen vorsehen. Pauschale Hinweise auf „Fremdsoftware“ beantworten die Verantwortungsfrage nicht abschließend. Auch eine allgemeine Freizeichnung von sämtlichen Drittanbieterrisiken kann insbesondere bei Allgemeinen Geschäftsbedingungen rechtlich problematisch sein.

Zusammenfassung

Ein Wartungsvertrag für eine Webseite ist kein gesetzlich feststehender Vertragstyp. Seine Einordnung hängt davon ab, ob Tätigkeiten, bestimmte Erfolge oder ein gemischtes Leistungspaket geschuldet werden. Daraus ergeben sich Unterschiede bei Mängelrechten, Vergütung, Kündigung und Verjährung. Die Vertragsüberschrift und das Abrechnungsmodell reichen für die rechtliche Bewertung nicht aus.

Zentral sind eine nachvollziehbare Leistungsbeschreibung und eine klare Abgrenzung zwischen Wartung, Hosting, Weiterentwicklung und rechtlicher Prüfung. Sicherheitsupdates, Datensicherungen und Bearbeitungszeiten sollten anhand überprüfbarer Kriterien beschrieben werden. Verbindliche Zusagen sind von bloßen Zielvorstellungen zu unterscheiden.

Datenschutzpflichten und gesetzliche Betreiberpflichten bleiben eigenständig relevant. Bei Auftragsverarbeitung müssen die Anforderungen des Art. 28 DSGVO erfüllt sein. Sicherheitsvorfälle können kurzfristige Informations- und Meldepflichten auslösen. Die Beauftragung eines Dienstleisters beseitigt die eigene datenschutzrechtliche Verantwortung des Betreibers nicht.

Bei Störungen sind konkrete Meldungen, gesetzlich erforderliche Abhilfemöglichkeiten, Schadensbegrenzung und Beweissicherung aufeinander abzustimmen. Zum Vertragsende sollten Zugänge, Daten und Dokumentationen nach Maßgabe der bestehenden Pflichten übergeben werden. Eine vorausschauende Vertragsgestaltung kann Streitpunkte reduzieren, ersetzt aber nicht die Prüfung der tatsächlichen Leistungen und des konkreten Schadensverlaufs.