Hosting Contract: Hosting-Vertrag richtig aufsetzen

Wichtigste Erkenntnisse

• Die Laufzeitklausel aus den gängigen Mustern trägt gegenüber Verbrauchern nicht mehr. Zwölf Monate Laufzeit, stille Verlängerung um weitere zwölf, drei Monate Kündigungsfrist: genau diese Kombination ist nach § 309 Nr. 9 BGB seit dem 1. März 2022 unwirksam. Viele im Umlauf befindliche Vorlagen wurden nie angepasst.
• Es gibt keinen Vertragstyp "Hosting". Das BGB kennt ihn nicht. Je nachdem, was du schreibst, landest du im Miet-, Dienst- oder Werkvertragsrecht, und damit bei völlig unterschiedlichen Kündigungs- und Mängelrechten.
• Verfügbarkeit ohne Rechengrundlage ist eine Falle. 99,9 Prozent klingen nach Sicherheit und erlauben rund 43 Minuten Ausfall pro Monat. Wer 99,99 Prozent zusagt, hat vier Minuten, und zwar inklusive aller Wartungsfenster, die nicht ausdrücklich herausgenommen sind.
• Der Hosting-Vertrag ersetzt den AVV nicht. Sobald auf dem Server personenbezogene Daten liegen, braucht es zusätzlich einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Das sind zwei Dokumente mit zwei verschiedenen Zwecken.
• Formvorschriften gibt es keine, Beweisprobleme schon. Hosting-Verträge sind formfrei wirksam. Die Unterschrift brauchst du nicht für die Gültigkeit, sondern dafür, dass du zwei Jahre später noch belegen kannst, welche Fassung gilt.

Wer als Agentur Hosting weitergibt, kopiert meist eine Vorlage, die seit Jahren im Umlauf ist. Das Problem sind nicht die fehlenden Klauseln, sondern die drei oder vier, die drinstehen und nicht halten.

Dieser Leitfaden geht die Bausteine in der Reihenfolge durch, in der sie im Streitfall geprüft werden: Einordnung, Leistung, Verfügbarkeit, Zuständigkeiten, Laufzeit, Datenschutz, Unterschrift. Alle Paragrafen und Entscheidungen sind am 09.11.2026 an der Quelle geprüft. Eine Rechtsberatung ist das nicht: wer Managed Hosting mit Haftung für Ausfälle verkauft, sollte den Entwurf einmal anwaltlich prüfen lassen.

Warum die Einordnung vor der ersten Klausel steht

Es gibt kein Hosting-Vertragsrecht. Der Bundesgerichtshof behandelt Provider-Verträge als atypische oder gemischte Verträge und zerlegt sie in ihre Bestandteile, von denen jeder nach seinem eigenen Vertragstyp beurteilt wird.

Für die reine Überlassung von Speicherplatz auf dem Server des Anbieters hat der BGH Mietrecht angewendet (Urteil vom 15.11.2006, XII ZR 120/04). Dass der Kunde keinen Besitz erlangt, steht dem nicht entgegen, weil Miete nur eine Gebrauchsüberlassung gegen Entgelt voraussetzt.

Anders fällt es aus, wenn der Vertragszweck auf einem Erfolg liegt. In der Entscheidung zum Internet-System-Vertrag (Urteil vom 04.03.2010, III ZR 79/09) schuldete der Anbieter die Abrufbarkeit der von ihm erstellten und betreuten Website über die vereinbarte Zeit. Das hat der Senat als Werkvertrag eingeordnet.

Die letzte Spalte der dritten Zeile ist der Punkt, den Agenturen regelmäßig übersehen. Beim Werkvertrag kann der Kunde nach § 648 BGB (bis 2017 § 649 BGB) jederzeit bis zur Vollendung kündigen. Dir bleibt die vereinbarte Vergütung abzüglich ersparter Aufwendungen, und das ist bei einem laufenden Hosting mit geringen Grenzkosten deutlich mehr als nichts, aber eben auch keine feste Laufzeit.

Wer eine garantierte Verfügbarkeit verkauft, kommt am werkvertraglichen Einschlag also nicht vorbei und sollte die Kündigungsfolgen gleich mitregeln. Wie sich Dienst- und Werkvertrag im Text unterscheiden, zeigt der Beitrag zur Vertragsvorlage für Dienstleistungen.

Leistungsumfang: was geschuldet ist, und was ausdrücklich nicht

Die Leistungsbeschreibung ist der einzige Teil des Vertrags, den kein Gesetz für dich ausfüllt. Was offen bleibt, wird im Zweifel zu deinen Lasten ausgelegt, weil du den Text gestellt hast. Trenne die Aufzählung in messbare Ressourcen und Tätigkeiten.

Ressourcen, mit Zahl statt Adjektiv:

• Speicherplatz in GB, und was bei Überschreitung gilt: Aufpreis, Drosselung oder Stopp
• Datentransfer pro Monat samt Regelung für Lastspitzen
• Anzahl der Domains, Subdomains, Postfächer und Datenbanken
• PHP- oder Runtime-Versionen und wie lange veraltete Versionen weiterlaufen
• TLS-Zertifikat: wer beschafft, wer erneuert, was bei Ablauf gilt

Tätigkeiten, mit Frequenz statt Absicht:

• Backups: Intervall, Aufbewahrungsdauer, Speicherort und vor allem die Wiederherstellungszeit
• Updates: getrennt nach Betriebssystem, Webserver, CMS-Kern und Erweiterungen
• Monitoring: was überwacht wird und wer bei Alarm reagiert
• Support: Kanäle, Erreichbarkeitszeiten, Reaktionszeit je Störungsklasse

Mindestens so wichtig ist der Ausschlusskatalog: Entwicklung neuer Funktionen, Inhaltspflege, Datenwiederherstellung nach Fehlern des Kunden, Lizenzkosten für Premium-Erweiterungen, Postfächer über die vereinbarte Zahl hinaus. Ein fehlender Ausschluss wird zur kostenlosen Leistung, sobald der Kunde das Gegenteil behauptet.

Verkaufst du neben dem Hosting auch die Erstellung, gehören beide Teile nicht in dasselbe Dokument. Was in das Projektangebot davor gehört, behandelt der Beitrag zum Angebot für Webdesign, und ab wann es bindet, der Text über das verbindliche Angebot.

Verfügbarkeit: erst rechnen, dann zusagen

Eine Verfügbarkeitszusage ist eine Rechenaufgabe, keine Marketingaussage. Ein Monat hat 43.200 Minuten, ein Jahr 525.600. Daraus ergibt sich, wie viel Ausfall du dir mit jeder Nachkommastelle erlaubst.

Drei Dinge entscheiden, ob die Zahl haltbar ist: die Bezugsgröße, weil ein einzelner langer Ausfall im Jahresmittel untergeht und im Monatsmittel nicht; die ausdrücklich benannten Ausnahmen für Wartungsfenster, Störungen außerhalb deines Einflussbereichs und vom Kunden verursachte Ausfälle; und die Rechtsfolge bei Unterschreitung, typischerweise eine nach Ausfalldauer gestaffelte Gutschrift auf die Monatsgebühr.

Die praktische Grenze zieht dein eigener Vorlieferant: Nennt sein SLA 99,9 Prozent, ist jede höhere Zahl in deinem Vertrag ein Risiko, das du allein trägst. Angekündigte Wartung gehört in ein festes Fenster, etwa sonntags zwischen 2 und 4 Uhr, mit Vorlaufzeit für die Ankündigung. Ohne diese Klausel zählt jede geplante Wartung als Ausfall.

Zuständigkeiten: die Lücke zwischen Server und CMS

Der häufigste Streit im Hosting-Verhältnis entsteht nicht am Server, sondern an der Software darüber. Der Kunde geht davon aus, dass "Hosting" das Aktualisieren seines CMS einschließt. Du hast Betriebssystem und Webserver gemeint.

Lege die Grenze deshalb in einer Tabelle fest statt in Prosa. Vier Spalten reichen: Gegenstand, zuständig, Intervall, Folge bei Untätigkeit.

Zu jeder Zeile mit dem Kunden als Zuständigem gehört eine Mitwirkungspflicht im Vertragstext. Kommt er ihr nicht nach, musst du entweder nachbessern dürfen und abrechnen können oder von der Haftung frei sein, wenn ein veraltetes Plugin zur Kompromittierung führt. Ohne diese Klausel landet der Schaden bei dem, der den Server betreibt.

Nenne außerdem einen Eskalationsweg mit Namen und Rolle, nicht nur eine Sammeladresse. Statt einer Telefonkette lohnt ein buchbarer Termin für die Störungsaufnahme, wie ihn die Übersicht für Dienstleister beschreibt.

Laufzeit und Kündigung: die Klausel mit dem Altbestandsproblem

Seit dem 1. März 2022 gilt § 309 Nr. 9 BGB in neuer Fassung. Für Verträge mit Verbrauchern bedeutet das drei harte Grenzen in Formularklauseln:

• Die Erstlaufzeit darf den Kunden nicht länger als zwei Jahre binden.
• Eine stille Verlängerung ist nur wirksam, wenn sie in ein unbefristetes Verhältnis führt und der Kunde dann mit einer Frist von höchstens einem Monat kündigen kann.
• Die Kündigungsfrist zum Ende der Erstlaufzeit darf höchstens einen Monat betragen, früher waren drei Monate zulässig.

Die verbreitete Musterklausel mit zwölf Monaten Laufzeit, automatischer Verlängerung um weitere zwölf Monate und dreimonatiger Kündigungsfrist verstößt gegen Punkt 2 und 3. Die Folge ist nicht, dass eine mildere Frist gilt, sondern dass die Klausel ersatzlos entfällt und der Vertrag mit Monatsfrist kündbar wird.

Im Geschäft zwischen Unternehmen gilt der Katalog nach § 310 Abs. 1 BGB nicht unmittelbar. Vollständig frei bist du dort aber nicht, weil die Angemessenheitsprüfung nach § 307 BGB bleibt und die Wertungen des § 309 in sie einfließen. Beim Zuschnitt auf Firmenkunden sind längere Laufzeiten vertretbar, pauschale Dreijahresbindungen mit automatischer Festverlängerung sind es nicht.

Zwei weitere Punkte, die in kaum einer Vorlage stehen:

• Kündigungsschaltfläche. Wer Verbrauchern Dauerverträge online anbietet, braucht nach § 312k BGB eine Kündigungsmöglichkeit auf der Website. Das betrifft Agenturen mit öffentlichem Hosting-Bestellformular.
• Exit-Regelung. Lege fest, in welchem Format und innerhalb welcher Frist der Kunde nach Vertragsende Daten, Datenbank-Dumps, DNS-Zugänge und Domain-Auth-Codes bekommt, und ob der Transfer gesondert vergütet wird. Diese Klausel kostet dich nichts und erspart die unangenehmste Phase der Zusammenarbeit.

Der zweite Vertrag: Auftragsverarbeitung nach Art. 28 DSGVO

Auf dem Server deines Kunden liegen Kontaktformulardaten, Kundenkonten, Bestellungen oder Logfiles mit IP-Adressen. Damit verarbeitest du personenbezogene Daten im Auftrag, und der Hosting-Vertrag allein genügt nicht.

Art. 28 DSGVO verlangt einen eigenen Vertrag mit festem Pflichtinhalt: Gegenstand und Dauer, Art und Zweck der Verarbeitung, Kategorien betroffener Personen, Weisungsbindung, Vertraulichkeit, technische und organisatorische Maßnahmen, Unterauftragsverarbeiter, Unterstützung bei Betroffenenrechten, Löschung oder Rückgabe am Ende und Prüfrechte.

Für Agenturen ist die Kette der kritische Teil. Du hostest meist nicht selbst, sondern bei einem Rechenzentrumsbetreiber, der damit dein Unterauftragsverarbeiter ist. Du brauchst beides: dessen Genehmigung in deinem AVV mit dem Kunden und einen AVV mit ihm. Fehlt ein Glied, haftet die Mitte der Kette, und das bist du.

Zur Form: Art. 28 Abs. 9 DSGVO verlangt, dass der Vertrag schriftlich abzufassen ist, "was auch in einem elektronischen Format erfolgen kann". Diese Schriftlichkeit ist ein Begriff des Unionsrechts und nicht die Schriftform des § 126 BGB. Eine eigenhändige Unterschrift ist also nicht erforderlich, ein dauerhaftes elektronisches Format genügt nach überwiegender Auffassung, in der Praxis regelmäßig ein PDF. Wie der AVV im Zusammenspiel mit Buchungs- und Formulardaten aussieht, erklärt der Beitrag zur Auftragsverarbeitung bei der Terminbuchung.

Nenne im AVV außerdem den konkreten Serverstandort. Bleibt die Verarbeitung in der EU, entfällt die Prüfung eines Drittlandtransfers vollständig. Welche Gesetze dabei greifen, ordnet die Seite zu Datenschutzgesetzen ein.

Unterschrift: welche Signaturstufe der Hosting-Vertrag braucht

Hosting-Verträge sind formfrei. Es gibt keine Vorschrift, die Schriftform oder eine qualifizierte elektronische Signatur verlangt, und auch der AVV braucht nach Art. 28 Abs. 9 DSGVO keine eigenhändige Unterschrift. Damit ist jede elektronische Signatur ausreichend, um den Vertrag wirksam zu schließen.

Die Frage ist nicht die Wirksamkeit, sondern der Beweis. Bei einem Dauervertrag, der über Jahre läuft und zwischendurch angepasst wird, willst du zwei Jahre später belegen können, wer welche Fassung wann akzeptiert hat. Eine einfache elektronische Signatur (SES) dokumentiert das Zeichnen. Eine fortgeschrittene Signatur (FES) verknüpft die Unterschrift zusätzlich mit einer verifizierten Identität. Die Unterschiede zwischen den eIDAS-Stufen erklärt der Beitrag dazu, wann eine elektronische Signatur rechtsgültig ist, und die Details zur mittleren Stufe stehen im Text über die fortgeschrittene elektronische Signatur. Eine qualifizierte elektronische Signatur brauchst du hier nicht, sie ist nur dort Pflicht, wo das Gesetz Schriftform fordert.

In meetergo läuft das im selben Dokumentenfluss wie die Terminbuchung. Du lädst den Hosting-Vertrag als PDF-Vorlage hoch, platzierst die Signaturzone visuell und schickst ihn an den Kunden. Aktivierst du für das Signaturfeld die E-Mail-Verifikation, bestätigt der Unterzeichner seine Adresse vor dem Zeichnen mit einem sechsstelligen Einmalcode, der zehn Minuten gültig ist. Das ist die FES-Stufe und verknüpft die verifizierte Adresse mit dem Dokument.

Jedes signierte PDF erhält einen SHA-256-Hash, der zusammen mit dem Dokument gespeichert wird. Weicht das PDF später ab, passt der Hash nicht mehr. Protokolliert werden Zeitstempel, verifizierte E-Mail-Adresse, IP-Adresse, Browser und Dokument-Hash je Einreichung. Die signierten PDFs liegen auf EU-Servern bei Hetzner in Nürnberg, was bei einem Dokument, das selbst eine Auftragsverarbeitung regelt, kein Nebenaspekt ist.

Das einfache Signaturfeld ist im kostenlosen Tarif enthalten, mit drei Signaturen pro Monat, ab Suite unbegrenzt. Die fortgeschrittene Signatur mit E-Mail-Verifikation gibt es ab Suite mit 50 Signaturen pro Monat und ab Premium unbegrenzt; Suite liegt bei 29,90 Euro pro Monat (geprüft am 09.11.2026 auf der Preisseite). Wird aus dem unterschriebenen Vertrag die erste Rechnung, übernimmt das der Weg vom Termin zur Rechnung.

Die Grenze gehört dazu: Wo das Gesetz Schriftform fordert, reicht diese Stufe nicht. Dort brauchst du die elektronische Form nach § 126a BGB mit qualifizierter Signatur, und bei einigen Erklärungen wie der Bürgschaft schließt das Gesetz auch die aus. Für Hosting-Verträge und AVV ist das keine Einschränkung, weil beide formfrei sind.

Server in Nürnberg

Hosting-Vertrag und AVV in einem Durchgang unterschreiben lassen.

PDF-VorlageE-Mail-OTPSHA-256-Protokoll

Ersten Vertrag versenden

Sarah NowakGeschäftsführerin · Erstgespräch · 30 Min09:0010:3014:00

Server in Nürnberg

Hosting-Vertrag und AVV in einem Durchgang unterschreiben lassen.

PDF-VorlageE-Mail-OTPSHA-256-Protokoll

Ersten Vertrag versenden

Häufige Fehler

Die Verfügbarkeit höher ansetzen als der eigene Vorlieferant. Wer 99,99 Prozent verkauft und selbst bei 99,9 Prozent eingekauft hat, trägt die Differenz allein. Die Zusage im eigenen Vertrag muss unter oder auf dem Wert des Rechenzentrumsanbieters liegen.

Den AVV in die AGB packen. Eine Erwähnung der Datenverarbeitung in den Geschäftsbedingungen erfüllt Art. 28 DSGVO nicht. Gefordert ist ein eigenständiges, dokumentiertes Vertragswerk mit dem vollständigen Pflichtinhalt.

Updates pauschal zusagen. "Wir halten Ihre Website aktuell" umfasst im Zweifel auch Premium-Plugins, Theme-Updates und die Fehlerbehebung danach. Trenne Betriebssystem, CMS-Kern und Erweiterungen in getrennten Zeilen mit getrennter Zuständigkeit.

Die alte Laufzeitklausel weiterschleppen. Zwölf plus zwölf Monate mit drei Monaten Kündigungsfrist war bis Februar 2022 zulässig. In Verbraucherverträgen führt sie heute dazu, dass monatlich gekündigt werden kann, also genau zum Gegenteil des Gewollten.

Den Ausstieg erst beim Ausstieg klären. Ohne Regelung zu Datenexport, Auth-Code und Fristen verhandelst du die Übergabe in dem Moment, in dem der Kunde schon gekündigt hat. Die Klausel gehört in den Vertrag, nicht in die letzte E-Mail.

Häufige Fragen

Ist ein Hosting-Vertrag ohne Unterschrift wirksam?

Ja. Es gibt keine gesetzliche Form, der Vertrag kommt auch per E-Mail-Bestätigung oder über ein Bestellformular zustande. Die Unterschrift sichert den Beweis, nicht die Wirksamkeit. Bei Dauerverträgen mit mehreren Anpassungen ist sie trotzdem sinnvoll, weil sonst unklar bleibt, welche Fassung gilt. Wie der Ablauf digital aussieht, beschreibt die Anleitung zum Vertrag online unterschreiben.

Brauche ich für jeden Hosting-Kunden einen eigenen AVV?

Ja, sobald auf dem Server personenbezogene Daten liegen, und das ist bei einem Kontaktformular schon der Fall. Der AVV wird zwischen dir und deinem Kunden geschlossen. Zusätzlich brauchst du einen AVV mit deinem Rechenzentrumsanbieter, weil dieser dein Unterauftragsverarbeiter ist.

Welche Laufzeit darf ich mit Firmenkunden vereinbaren?

Der Katalog des § 309 BGB gilt im B2B-Geschäft nicht unmittelbar, die Prüfung nach § 307 BGB bleibt aber. Praktisch sind Erstlaufzeiten von zwölf bis vierundzwanzig Monaten mit Verlängerung auf unbestimmte Zeit gut vertretbar. Feste Mehrjahresverlängerungen in Formularklauseln sind auch hier angreifbar.

Haftet die Agentur, wenn der Kunde ein Plugin nicht aktualisiert?

Nur, wenn der Vertrag die Zuständigkeit offenlässt. Steht in der Zuständigkeitstabelle, dass Erweiterungen beim Kunden liegen, und ist die Mitwirkungspflicht formuliert, trägst du die Folgen einer dadurch verursachten Kompromittierung nicht. Ohne diese Zeile ist die Verteilung Auslegungssache.

Ist ein Hosting-Vertrag ein Mietvertrag oder ein Werkvertrag?

Das hängt am Schwerpunkt dessen, was du zusagst. Reine Speicherplatzüberlassung hat der BGH mietrechtlich beurteilt, die zugesagte Abrufbarkeit einer betreuten Website werkvertraglich. Weil die meisten Verträge gemischt sind, schreibe Kündigung und Mängelrechte ausdrücklich hin.

Reicht eine einfache elektronische Signatur für den AVV?

Ja. Art. 28 Abs. 9 DSGVO verlangt Schriftlichkeit im unionsrechtlichen Sinn, nicht die Schriftform des § 126 BGB. Ein dauerhaftes elektronisches Format genügt, ein verifizierter Signaturvorgang mit Protokoll macht die Nachweisführung nur bequemer. Welche Daten beim Signieren selbst anfallen, behandelt der Beitrag zu elektronischer Signatur und DSGVO.