Was gehört in einen WordPress-Wartungsvertrag?

Ein Wartungsvertrag ist so eine Sache. Die meisten unterschreiben ihn einmal und schauen ihn dann erst wieder an, wenn irgendwas schiefgegangen ist. Genau in diesem Moment merkt man, ob das drinsteht, was man gerade gebraucht hätte.

Das Ärgerliche daran ist ja: Die Punkte, an denen es hinterher wirklich hakt, stehen selten im Angebot. Die stehen im Kleingedruckten, oder eben gar nicht. Deshalb hier der Reihe nach, was in einen WordPress-Wartungsvertrag gehört und woran Sie schon vor der Unterschrift merken, dass etwas fehlt.

Kurz vorweg: Wir sind keine Anwälte. Das hier ist Praxiswissen aus 14 Jahren Agenturarbeit und keine Rechtsberatung. Bei größeren Verträgen lohnt sich der Blick von einem Fachanwalt durchaus.

Warum viele „Wartungsverträge“ gar keine sind

In der Praxis besteht das, was Kunden ihren Wartungsvertrag nennen, oft aus drei Dokumenten: einem Angebot, einer Auftragsbestätigung und den AGB des Anbieters. Rechtlich ist das völlig in Ordnung, zusammen ergibt das einen wirksamen Vertrag. Ein eigenes Dokument mit „Vertrag“ in der Überschrift braucht es dafür nicht.

Das Problem liegt woanders. In diesen drei Dokumenten kommen die interessanten Fragen schlicht nicht vor. Im Angebot steht der Umfang, in den AGB stehen Haftung und Zahlungsziele, und dazwischen klafft eine Lücke: Wer macht was, wie schnell, und wer zahlt, wenn es schiefgeht. Wenn Sie also einen Vertrag prüfen, prüfen Sie nicht nur das Dokument mit der schönsten Überschrift, sondern alle drei zusammen.

Dienstvertrag oder Werkvertrag? Der Unterschied ist größer, als er klingt

Beim Werkvertrag nach § 631 BGB schuldet der Auftragnehmer ein Ergebnis. Bei einem Dienstvertrag nach § 611 BGB schuldet er die Tätigkeit, also das ernsthafte Bemühen. Ein Bemühen ohne Erfolg reicht beim Dienstvertrag aus, beim Werkvertrag eben nicht.

Wartung ist fast immer ein Dienstvertrag, und das ist auch sachlich richtig. Ein Dienstleister kann Updates einspielen, kontrollieren und sichern. Garantieren, dass eine Website ein Jahr lang störungsfrei läuft, kann niemand seriös. Genau deshalb sollten Sie skeptisch werden, wenn Ihnen jemand hundertprozentige Verfügbarkeit oder absolute Sicherheit verspricht.

Wichtig dabei: Es kommt überhaupt nicht darauf an, wie die Parteien den Vertrag nennen. Maßgeblich ist der tatsächliche Inhalt und was beide Seiten erkennbar gewollt haben. Ein Papier mit „Wartungsvertrag“ in der Überschrift kann durchaus werkvertragliche Teile enthalten, etwa wenn ein Relaunch oder eine neue Unterseite mit drinhängt. Solche Mischformen sind normal. Sie sollten nur sauber getrennt sein, weil für die werkvertraglichen Teile eigene Gewährleistungsrechte gelten und für die Wartung nicht.

Die Leistungsbeschreibung ist der eigentliche Vertrag

Wenn Sie nur einen einzigen Punkt prüfen wollen, dann diesen. „Regelmäßige Updates und Sicherung“ klingt nach einer Leistungsbeschreibung, ist aber keine. Vier Fragen bleiben offen: wie oft, was genau, wird das Ergebnis kontrolliert, und bekommen Sie davon etwas zu sehen.

Sauber formuliert liest sich das eher so: Updates von WordPress selbst, der Erweiterungen und des Designs einmal im Monat. Vorher eine vollständige Sicherung. Danach eine Sichtkontrolle von Startseite, allen Formularen und, falls vorhanden, des Bestellvorgangs. Anschließend ein kurzer Bericht per E-Mail. Das ist prüfbar. Beim ersten Satz können Sie hinterher nicht belegen, dass etwas gefehlt hat.

Zwei kleine Begriffe dazu, weil sie ständig in solchen Verträgen auftauchen: Der Core ist WordPress selbst, also das Grundsystem. Plugins sind die Erweiterungen, die den Funktionsumfang ausbauen, etwa das Kontaktformular oder der Shop. Beide bekommen getrennt voneinander Updates, und beide können getrennt voneinander Ärger machen.

Reaktionszeiten gehören rein, und zwar mit Zahlen

Was Sie brauchen, sind zwei Angaben: bis wann jemand antwortet und in welchen Zeiten das gilt. Also zum Beispiel eine Reaktion innerhalb von vier Stunden werktags zwischen acht und achtzehn Uhr. Ob es Wochenendbereitschaft gibt, gehört genauso hinein, gerade wenn Ihre Seite am Wochenende Anfragen einsammelt.

Und trennen Sie im Kopf sauber zwischen Reaktionszeit und Lösungszeit. Die Reaktionszeit sagt, wann sich jemand meldet. Wie lange die Behebung dauert, hängt vom Problem ab und lässt sich meist gar nicht seriös zusagen. Wer Ihnen eine feste Lösungszeit für jeden Fall verspricht, hat entweder das Kleingedruckte voller Ausnahmen oder wenig Erfahrung.

Ohne AVV geht es rechtlich nicht

Der Punkt wird am häufigsten übersehen, und er ist einer der wenigen, bei denen wirklich ein Gesetz dranhängt. Sobald ein Dienstleister Zugriff auf Ihre WordPress-Installation hat, kommt er zwangsläufig an personenbezogene Daten: Formularanfragen, Kommentare, Kundenkonten, Serverprotokolle. Damit verarbeitet er Daten in Ihrem Auftrag, und dafür verlangt Artikel 28 DSGVO einen Auftragsverarbeitungsvertrag, kurz AVV.

Die Mindestinhalte stehen in Artikel 28 Absatz 3: Gegenstand und Dauer der Verarbeitung, Art und Zweck, welche Daten betroffen sind, welche Personengruppen, dazu die Pflichten beider Seiten. Ein Papierausdruck mit Unterschrift ist übrigens nicht nötig, die elektronische Form genügt.

Und jetzt der Teil, der viele überrascht: Die Pflicht trifft nicht nur den Dienstleister, sondern auch Sie als Auftraggeber. 2018 hat die Hamburger Datenschutzbehörde dem Versandunternehmen Kolibri Image genau deswegen 5.000 Euro Bußgeld aufgebrummt, plus 250 Euro Gebühren. Das Unternehmen hatte den eigenen Dienstleister mehrfach erfolglos um einen AVV gebeten und sich dann geweigert, selbst einen aufzusetzen. Die Behörde sah das anders. Wenn Ihr Anbieter Ihnen also keinen AVV vorlegt, ist das nicht nur sein Versäumnis, sondern am Ende auch Ihres.

Laufzeit und Kündigung: Als Firma haben Sie weniger Schutz

Hier gibt es ein weit verbreitetes Missverständnis. Seit März 2022 gilt das Gesetz für faire Verbraucherverträge. Danach dürfen sich Verträge nach der Mindestlaufzeit nur noch auf unbestimmte Zeit verlängern, und die Kündigungsfrist darf höchstens einen Monat betragen. Die stillschweigende Verlängerung um ein ganzes Jahr ist damit vom Tisch.

Nur: Das gilt für Verbraucher. Auf Verträge zwischen Unternehmen ist die Regelung nicht unmittelbar anwendbar. Gerichte ziehen sie über die Generalklausel des § 307 BGB zwar gelegentlich heran, legen im geschäftlichen Verkehr aber deutlich großzügigere Maßstäbe an. Im Klartext: Als Kanzlei, Handwerksbetrieb oder Industrieunternehmen können Sie sich auf den Verbraucherschutz nicht verlassen. Eine zwölfmonatige Verlängerung mit drei Monaten Kündigungsfrist ist im B2B durchaus zulässig. Wenn Sie das nicht wollen, müssen Sie es vorher aushandeln.

Ist gar keine Laufzeit vereinbart, greift § 621 BGB. Bei monatlicher Vergütung können Sie dann spätestens am 15. eines Monats zum Monatsende kündigen. Das ist allerdings nur die Auffangregel für den Fall, dass im Vertrag nichts steht.

Wer zahlt, wenn es schiefgeht?

Das ist die Frage, an der sich in der Praxis der meiste Ärger entzündet, und sie zerfällt in zwei Fälle, die gern durcheinandergeworfen werden.

Fall eins: Ein Update beschädigt die Seite. Das passiert, wenn eine Erweiterung nach dem Update nicht mehr zur neuen WordPress-Version passt. Hier hat der Dienstleister gehandelt, also sollte er das auch geradebiegen, ohne dafür eine zusätzliche Rechnung zu schreiben. Fragen Sie nach, ob das so im Vertrag steht, und ob es eine Möglichkeit gibt, den Stand von vorher wiederherzustellen. Der Fachbegriff dafür ist Rollback.

Fall zwei: Die Seite wird gehackt. Der Angriff kommt von außen. Wartung senkt das Risiko deutlich, sie schließt es aber nicht aus, gerade bei Lücken, für die es noch gar kein Update gibt. Die Bereinigung ist deshalb bei den meisten Anbietern eine eigene Leistung mit eigenem Preis. Das ist auch in Ordnung, solange es vorher klar auf dem Tisch liegt und nicht erst im Notfall.

Was Sie sich in beiden Fällen nicht bieten lassen sollten, ist ein pauschaler Haftungsausschluss für alles. Wer die Wartung übernimmt, übernimmt auch ein Stück Verantwortung. Sonst kaufen Sie nur ein Gefühl.

Was passiert am Ende der Zusammenarbeit?

Dieser Punkt fehlt in fast jedem Vertrag, den ich in den letzten Jahren gesehen habe, und er kostet im Ernstfall die meisten Nerven. Drei Dinge gehören geregelt: Sie bekommen die letzte vollständige Sicherung ausgehändigt, die Zugänge werden übergeben oder auf Sie umgeschrieben, und die Werkzeuge des Dienstleisters werden von Ihrer Website entfernt.

Klingt selbstverständlich, ist es aber nicht. Wir haben schon mehrfach Websites übernommen, bei denen der Vorgänger auf den Zugangsdaten saß oder Lizenzen auf seinen eigenen Namen laufen ließ. Ein Anbieter, der Ihnen Ihre eigenen Sicherungen nicht herausgeben will, sollte gar nicht erst in die engere Auswahl kommen.

Wie wir es bei Siteprex halten

Weil ich Ihnen oben acht Fragen mitgebe, sollten Sie auch wissen, wie unsere eigenen Antworten darauf aussehen.

Die Leistungsbeschreibung steht bei uns doppelt: im Angebot und im Wartungsvertrag selbst. Den Auftragsverarbeitungsvertrag stellen wir Ihnen, Sie müssen ihn also nicht selbst aufsetzen oder bei uns anfordern. Er kostet nichts extra und liegt dem Vertrag als Anlage bei.

Bei der Laufzeit halten wir es so: Der Vertrag läuft zwölf Monate. Danach genügen vier Wochen zum Laufzeitende, um zu kündigen. Passiert nichts, verlängert er sich um weitere zwölf Monate. Zulässig wären uns gegenüber Unternehmen auch drei Monate Frist, wie oben beschrieben greift der Verbraucherschutz hier ja nicht. Wir wollen die vier Wochen trotzdem. Eine Frist, die man im Tagesgeschäft schlicht vergisst, ist nämlich kein Vertragsbestandteil, sondern eine Falle. Und wer bei uns bleibt, soll bleiben wollen und nicht bleiben müssen.

Beim Thema Schaden trennen wir die beiden Fälle so, wie oben beschrieben: Geht bei einem Update etwas kaputt, bringen wir das ohne zusätzliche Rechnung wieder in Ordnung. Die Bereinigung nach einem Hack bei Seiten, die nicht in unserer Wartung sind, ist eine eigene Leistung zum Festpreis. Bei Wartungskunden ist die Bereinigung der Website inklusive. Was die Wartung selbst kostet, steht offen auf der Preisseite.

Die Checkliste vor der Unterschrift

• Steht konkret drin, was gemacht wird, wie oft und ob das Ergebnis kontrolliert wird?
• Gibt es eine Reaktionszeit mit Zahl und Zeitfenster?
• Liegt ein AVV nach Artikel 28 DSGVO vor?
• Wo liegen die Sicherungen, wie viele Stände gibt es, und wurde die Wiederherstellung schon einmal getestet?
• Wer zahlt bei einem Update-Schaden, wer bei einem Hack?
• Wie lange läuft der Vertrag, wie verlängert er sich, und wie lange ist die Kündigungsfrist?
• Sind große Versionssprünge enthalten oder kosten die extra?
• Was passiert bei Vertragsende mit Sicherungen, Zugängen und Lizenzen?

Wenn Sie diese acht Punkte im Erstgespräch abfragen, merken Sie ziemlich schnell, mit wem Sie es zu tun haben. Nicht daran, ob alle Antworten Ihnen gefallen, sondern daran, ob sie ohne Zögern kommen.

Häufige Fragen

Brauche ich überhaupt einen schriftlichen Wartungsvertrag?

Rechtlich wirksam ist auch ein Vertrag aus Angebot, Auftragsbestätigung und AGB. Der AVV muss allerdings in Text- oder Schriftform vorliegen, da führt kein Weg dran vorbei. Und praktisch gesehen ist ein Dokument, in dem alles zusammensteht, im Streitfall einfach die bessere Grundlage.

Was kostet so ein Vertrag?

Der Vertrag selbst kostet nichts extra, auch der AVV nicht. Bezahlt wird die Leistung dahinter. Wie sich die Preise am Markt zusammensetzen, haben wir in einem eigenen Beitrag aufgeschlüsselt: Was kostet WordPress-Wartung?

Kann ich vorzeitig raus, wenn die Leistung nicht stimmt?

Eine fristlose Kündigung aus wichtigem Grund ist nach § 626 BGB immer möglich, dafür braucht es aber schon einen erheblichen Verstoß. Bevor Sie diesen Weg gehen, dokumentieren Sie die Mängel und setzen Sie schriftlich eine Frist zur Nachbesserung.

Mein Hoster macht die Updates schon. Reicht das nicht?

Das deckt den technischen Teil ab, aber niemand übernimmt die Verantwortung für das Ergebnis. Sie haben also Updates, aber keinen Ansprechpartner, wenn danach das Kontaktformular nicht mehr versendet.

Was ist mit Inhaltsänderungen, sind die dabei?

Mal so, mal so. Manche Anbieter geben ein Stundenkontingent dazu, andere rechnen jede Änderung einzeln ab. Fragen Sie nach, ob nicht genutztes Kontingent verfällt oder in den nächsten Monat wandert. Das ist ein häufiger Streitpunkt.

Wenn Sie vor einem Anbieterwechsel erst einmal wissen wollen, wie Ihre Website überhaupt dasteht: Unser kostenloser Website-Check prüft von außen und ohne Zugangsdaten, wie aktuell WordPress und die eingesetzten Erweiterungen sind.