Verträge mit Cybersecurity Dienstleistern: AVV, Geheimhaltung, Haftung und Laufzeit

Im Vertrag mit einem Cybersecurity Dienstleister müssen fünf Dinge geregelt sein: Leistungsumfang, Datenschutz (meist als Auftragsverarbeitung nach Art. 28 DSGVO), Geheimhaltung, Haftung und die Beendigung der Zusammenarbeit. Dienstleister erhalten oft tiefen Einblick in Ihre Systeme. Deshalb ist der Vertrag nicht Formsache, sondern Teil Ihrer eigenen Sicherheit. Dieser Beitrag erklärt die Bausteine. Er ersetzt keine Rechtsberatung.

Vertragsbestandteile im Überblick

Baustein	Zweck	Worauf Sie achten sollten
Leistungsbeschreibung	Legt fest, was geschuldet ist	Umfang, Ausschlüsse, Ergebnisse, Termine, Mitwirkungspflichten
Auftragsverarbeitungsvertrag (AVV)	Datenschutzrechtliche Grundlage bei Zugriff auf personenbezogene Daten	Art. 28 DSGVO, Weisungsbindung, Unterauftragnehmer, Löschung
Geheimhaltungsvereinbarung (NDA)	Schutz von Geschäftsgeheimnissen und Testergebnissen	Dauer, Umfang, Rückgabe, Umgang mit Berichten
Haftung	Verteilung von Risiken bei Fehlern und Schäden	Höhe, Ausschlüsse, Versicherung
Service Level	Qualitätsmaßstäbe bei laufenden Diensten	Reaktions- und Wiederherstellungszeiten, Messung, Folgen bei Verfehlung
Laufzeit und Kündigung	Bindung und Ausstieg	Mindestlaufzeit, Verlängerung, Sonderkündigung

Auftragsverarbeitung nach Art. 28 DSGVO

Sobald der Dienstleister im Auftrag Zugriff auf personenbezogene Daten erhält oder erhalten kann, ist in der Regel ein Vertrag nach Art. 28 DSGVO nötig. Das gilt typischerweise für:

Managed Detection und Response: Es werden Telemetrie- und Protokolldaten von Arbeitsplätzen ausgewertet, die Rückschlüsse auf Mitarbeitende erlauben.
Penetrationstests an Produktivsystemen: Die Tester können Kundendaten einsehen.
Incident Response und Forensik: Zugriff auf Systeme und Datensicherungen.
Awareness-Plattformen: Daten über Teilnahme und Klickverhalten.

Der AVV muss unter anderem Gegenstand und Dauer der Verarbeitung, Art der Daten, Pflichten und Rechte des Verantwortlichen sowie Regelungen zu Unterauftragnehmern, technischen und organisatorischen Maßnahmen und zur Löschung nach Ende enthalten. Die Aufsichtsbehörden der Länder und der Bundesdatenschutzbeauftragte veröffentlichen Hinweise und Muster. Werden Daten in Länder außerhalb der EU übermittelt, sind zusätzliche Anforderungen an Drittlandübermittlungen zu beachten.

Wer Tests ausschließlich auf Testsystemen mit Dummy-Daten durchführt, kann den Zugriff auf personenbezogene Daten oft vermeiden. Ob dennoch ein AVV nötig ist, sollte Ihre Datenschutzbeauftragte bewerten.

Geheimhaltung und Berufsgeheimnisse

Ein NDA schützt Ihre Informationen. Beachten Sie besonders:

Berichte sind sensibel. Sie beschreiben Schwachstellen. Regeln Sie Aufbewahrung, Verschlüsselung der Übermittlung und Löschung.
Weitergabe an Kunden: Legen Sie fest, ob und in welcher Form ein Auszug oder eine Bestätigung an Ihre Kunden weitergegeben werden darf.
Berufsgeheimnisträger: Rechtsanwälte, Ärzte, Steuerberater und weitere Berufsgruppen unterliegen § 203 StGB. Dienstleister, die Zugang zu geschützten Informationen haben, sind nach den gesetzlichen Vorgaben zur Geheimhaltung zu verpflichten. Prüfen Sie das mit Ihrer Berufskammer oder Rechtsberatung.

Haftung

Die Haftungsregelung entscheidet, wer zahlt, wenn etwas schiefgeht, etwa wenn ein Test ein System lahmlegt oder ein Betreiber einen Angriff übersieht. Anbieter begrenzen ihre Haftung häufig auf bestimmte Summen oder auf das Honorar. Im Geschäftsverkehr zwischen Unternehmen ist das in Grenzen möglich, aber nicht unbegrenzt. Allgemeine Geschäftsbedingungen unterliegen der Inhaltskontrolle, und die Haftung für Vorsatz lässt sich nicht ausschließen.

Wichtige Fragen:

Wie hoch ist die Haftungsgrenze im Verhältnis zum möglichen Schaden?
Besteht eine Berufshaftpflichtversicherung, und in welcher Höhe? Lassen Sie sich einen Nachweis zeigen.
Gibt es Ausschlüsse, etwa für Betriebsunterbrechung bei Tests?
Wer trägt Kosten, wenn ein Test trotz Vorbereitung Daten beschädigt?

Eine Faustregel gibt es nicht. Je kritischer das System, desto sorgfältiger sollten Sie verhandeln.

Pentest: Dienstvertrag oder Werkvertrag?

Bei Tests wird juristisch diskutiert, ob geschuldet ist, ein Tätigwerden mit sorgfältiger Methodik (Dienstvertrag) oder ein bestimmter Erfolg wie ein vollständiger Bericht (Werkvertrag). Die Einordnung hängt von der Vertragsgestaltung ab. Stellen Sie deshalb klar, was geschuldet ist: eine Prüfung im vereinbarten Umfang, ein Bericht in bestimmter Form, eine Abnahme. Ein Test kann nie beweisen, dass keine Schwachstellen existieren, und kein seriöser Anbieter verspricht das.

Service Level bei laufenden Diensten

Bei Managed Services sind Service Level zentral:

Definition: Was gilt als Reaktionszeit, was als Lösung?
Messung: Wer misst wie, und ist die Messung für Sie nachvollziehbar?
Folgen: Gutschriften, Sonderkündigungsrecht bei wiederholter Verfehlung.
Wartungsfenster und Ausnahmen: Nicht alles zählt zur Verfügbarkeit.

Unterauftragnehmer und Einsatzort

Fragen Sie, ob Unterauftragnehmer eingesetzt werden und wo Mitarbeitende und Daten sich befinden. Verlangen Sie eine Information vor jedem Wechsel und ein Widerspruchsrecht. Bei Diensten rund um die Uhr („Follow the Sun“) können Daten Länder außerhalb der EU berühren.

Laufzeit und Beendigung

Mindestlaufzeit: Beginnen Sie bei neuen Anbietern mit kurzer Laufzeit oder einer Pilotphase.
Automatische Verlängerung: Prüfen Sie Fristen und halten Sie Kündigungstermine im Kalender fest.
Rückgabe und Löschung: Berichte, Zugangsdaten, Agenten-Software und Logdaten müssen bei Ende zurückgegeben oder gelöscht werden, mit schriftlicher Bestätigung.
Übergang: Bei Managed Services sollte der Anbieter bei einem Wechsel mitwirken.

Wann Sie sich beraten lassen sollten

Lassen Sie Verträge mit hohem Auftragswert, internationalen Bezügen oder Zugriff auf besonders sensible Daten rechtlich prüfen. Bei Datenschutzfragen hilft Ihre oder Ihr Datenschutzbeauftragter. Weitere Orientierung bietet die Checkliste vor der Beauftragung.

Häufige Fragen

Brauche ich bei jedem Pentest einen AVV?

Nicht automatisch. Entscheidend ist, ob der Dienstleister Zugriff auf personenbezogene Daten erhält oder erhalten kann. Bei Tests von Produktivsystemen ist das häufig der Fall.

Kann ich die Haftung des Dienstleisters unbegrenzt verlangen?

Verhandeln können Sie viel, Anbieter begrenzen ihre Haftung aber meist. Prüfen Sie, ob die Grenze zu Ihrem Risiko passt, und lassen Sie sich die Versicherung nachweisen.

Reicht das Muster des Anbieters?

Anbieter-Muster sind oft ein guter Start, aber einseitig. Lassen Sie sie prüfen, besonders bei Haftung, Laufzeit und Unterauftragnehmern.

Quellen und weiterführende Stellen

Bundesbeauftragte für den Datenschutz und die Informationsfreiheit — Hinweise zu Auftragsverarbeitung und DSGVO
Gesetze im Internet — Texte von BGB, StGB und BDSG
EUR-Lex — Wortlaut der Datenschutz-Grundverordnung