Abhängigkeit vom IT-Dienstleister vermeiden: eine Checkliste

Ein Dienstleister baut Ihnen eine Automatisierung, sie läuft, alle sind zufrieden. Zwei Jahre später wollen Sie den Anbieter wechseln, oder er stellt seinen Betrieb ein. Dann stellt sich heraus: Die Workflows laufen auf seinem Konto, der Code liegt in seinem Repository, und dokumentiert ist nichts. Wer Abhängigkeit vom IT-Dienstleister vermeiden will, muss das vor der Beauftragung regeln, nicht danach. Dieser Beitrag zeigt, was Ihnen gehören sollte und wie Sie das prüfen.

Wie Abhängigkeit entsteht

Selten steckt Absicht dahinter. Meist entsteht Abhängigkeit aus Bequemlichkeit, auf beiden Seiten:

• Der schnelle Start. Der Dienstleister richtet das Automatisierungswerkzeug in seinem eigenen Konto ein, weil das schneller geht, als auf Ihre Freigabe zu warten.
• Die Sammelrechnung. Lizenzen und API-Kosten laufen über den Dienstleister und werden weiterberechnet. Das ist übersichtlich, aber die Verträge mit den Anbietern hat er, nicht Sie.
• Das geteilte Passwort. Ihr Hauptzugang wurde per E-Mail weitergegeben. Niemand weiß mehr genau, wer ihn alles hat.
• Die fehlende Dokumentation. Solange es läuft, fragt niemand danach. Wenn es nicht mehr läuft, ist es zu spät.
• Der eine Mensch. Beim Dienstleister kennt genau eine Person Ihre Abläufe.

Keiner dieser Punkte ist für sich genommen dramatisch. Zusammen führen sie dazu, dass ein Wechsel praktisch einem Neubau gleichkommt.

Konten und Lizenzen auf Ihren Namen

Die wichtigste Regel: Jedes Werkzeug, auf dem Ihre Abläufe laufen, wird auf Ihr Unternehmen registriert und von Ihnen bezahlt. Das gilt für

• das Automatisierungswerkzeug, etwa n8n, Make, Zapier oder Power Automate,
• API-Schlüssel und Konten bei Drittanbietern, zum Beispiel für KI-Modelle, Texterkennung oder Versanddienste,
• Server oder Cloud-Konten, falls Abläufe selbst gehostet werden,
• Domains, E-Mail-Postfächer und Speicherorte, die von Abläufen genutzt werden.

Sie sind Inhaber und haben die höchste Rolle. Der Dienstleister bekommt einen eigenen Zugang mit den Rechten, die er für seine Arbeit braucht. Wenn er Ihnen sagt, das sei umständlich, ist das ein Hinweis, kein Gegenargument.

Workflows und Code im eigenen Zugriff

Konten allein reichen nicht, wenn die eigentliche Arbeit woanders liegt. Prüfen Sie:

• Workflows liegen in Ihrer Instanz oder Ihrem Arbeitsbereich, nicht in einer Instanz des Dienstleisters, auf die Sie keinen Zugriff haben.
• Code liegt in einem Repository Ihrer Organisation, etwa bei GitHub oder GitLab. Der Dienstleister arbeitet dort als Mitglied, nicht umgekehrt.
• Exporte sind möglich und werden regelmäßig gemacht. Die meisten Werkzeuge erlauben, Workflows als Datei zu exportieren. Eine solche Sicherung gehört an einen Ort, den Sie kontrollieren.
• Daten, die ein Ablauf speichert, etwa Protokolle oder Zwischentabellen, liegen ebenfalls in Ihren Systemen.

Wer schon einmal Code übernehmen musste, dessen Herkunft unklar war, weiß, wie viel Zeit das kostet. Der Beitrag Fremden Code übernehmen beschreibt, was in so einem Fall zu tun ist.

Zugänge per Einladung statt geteilter Passwörter

Der Dienstleister bekommt in jedem System einen eigenen Benutzer, gebunden an seine E-Mail-Adresse und mit eigenem zweiten Faktor. So ist nachvollziehbar, wer was geändert hat, und Sie können den Zugang jederzeit einzeln entziehen, ohne alle anderen Passwörter zu ändern.

Führen Sie eine einfache Liste: welches System, welcher Benutzer, welche Rolle, seit wann. Diese Liste brauchen Sie spätestens beim Ende der Zusammenarbeit. Wie die Einladung in gängigen Systemen funktioniert, steht im Beitrag Zugänge sicher teilen.

Wo sich ein Geheimnis nicht vermeiden lässt, etwa ein API-Schlüssel, wird es im Speicher für Zugangsdaten des Werkzeugs hinterlegt, nicht im Workflow selbst und nicht in einer Tabelle. Dann lässt es sich bei einem Wechsel austauschen, ohne jeden Ablauf anzufassen.

Dokumentation, die ein Dritter versteht

Der Maßstab für gute Dokumentation ist einfach: Könnte ein anderer Dienstleister den Ablauf mit dieser Beschreibung übernehmen, ohne den bisherigen anzurufen? Dafür muss pro Ablauf mindestens Folgendes festgehalten sein:

Inhalt	Beispiel
Zweck	Eingangsrechnungen aus dem Rechnungspostfach auslesen und zur Freigabe vorlegen
Auslöser	Neue E-Mail im Postfach, alle 15 Minuten geprüft
Beteiligte Systeme	Postfach, Automatisierungswerkzeug, Buchhaltungssoftware
Zugangsdaten	Wo sie hinterlegt sind, unter welchem Benutzer, nicht die Werte selbst
Regeln und Ausnahmen	Was in die Prüfliste geht und warum
Fehlerbehandlung	Wer Meldungen bekommt, wie ein Lauf wiederholt wird
Testanleitung	Wie man prüft, ob der Ablauf richtig arbeitet

Was genau in eine solche Beschreibung gehört, erläutert der Beitrag Workflows dokumentieren. Wichtig ist, dass die Dokumentation bei Ihnen liegt und bei jeder Änderung aktualisiert wird, nicht nur einmal zum Start.

Kündigung und Übergabe vertraglich klären

Die meisten Verträge regeln ausführlich, was geliefert wird, und kaum, was beim Ende passiert. Diese Punkte sollten schriftlich festgehalten sein:

1. Nutzungsrechte: Welche Rechte Sie an Code und Workflows erhalten, und ob sie auch nach dem Ende der Zusammenarbeit gelten. Fehlt eine klare Regelung, richtet sich der Umfang der Nutzungsrechte nach dem Vertragszweck. Das kann enger sein, als Sie erwarten.
2. Kündigungsfrist: Wie lange läuft der Vertrag nach einer Kündigung noch, und was leistet der Dienstleister in dieser Zeit?
3. Übergabe: Was wird am Ende übergeben, in welchem Format, und unterstützt der Dienstleister bei der Einarbeitung eines Nachfolgers?
4. Daten: Nach der DSGVO muss ein Auftragsverarbeiter nach Ende der Leistung personenbezogene Daten nach Wahl des Auftraggebers löschen oder zurückgeben. Das sollte im Auftragsverarbeitungsvertrag stehen.
5. Zugänge: Der Dienstleister bestätigt, dass er keine Kopien von Zugangsdaten behält, und Sie entziehen seine Benutzer.

Bei der Formulierung von Nutzungsrechten und Kündigungsregeln lohnt sich eine kurze anwaltliche Prüfung, vor allem bei größeren Vorhaben.

Abhängigkeit vom IT-Dienstleister vermeiden: Checkliste vor der Beauftragung

• Alle Werkzeuge und Konten laufen auf unser Unternehmen, wir sind Inhaber.
• Lizenzen und API-Kosten zahlen wir direkt beim Anbieter.
• Workflows liegen in unserer Instanz, Code in unserem Repository.
• Der Dienstleister arbeitet mit eigenem Benutzer, nicht mit unseren Zugangsdaten.
• Zugangsdaten liegen im Speicher des Werkzeugs, nicht in Workflows oder Tabellen.
• Zu jedem Ablauf gibt es eine Dokumentation, die bei uns liegt.
• Nutzungsrechte, Kündigung und Übergabe sind im Vertrag geregelt.
• Ein Auftragsverarbeitungsvertrag regelt Löschung und Rückgabe der Daten.
• Wir kennen alle Abläufe, die für uns laufen, auch die, die Mitarbeitende selbst gebaut haben.

Der letzte Punkt geht über den Dienstleister hinaus. Abhängigkeit entsteht auch intern, wenn ein Mitarbeiter Abläufe baut, die nur er versteht. Für solche Abläufe gelten dieselben Regeln: Konto des Unternehmens statt privatem Konto, eine Beschreibung, die ein anderer versteht, und eine benannte Vertretung.

Gehen Sie die Liste am besten schon im Angebotsgespräch durch. Ein seriöser Anbieter beantwortet diese Punkte ohne Zögern, oft hat er sie selbst schon in seinem Angebot geregelt. Welche weiteren Fragen Sie vor dem Auftrag stellen sollten, beschreibt der Beitrag Automatisierungs-Dienstleister finden.

Häufige Fragen

Wem gehört eine Automatisierung, die ein Dienstleister gebaut hat?

Das hängt davon ab, was im Vertrag steht. Entscheidend sind die eingeräumten Nutzungsrechte und die Frage, auf wessen Konto die Abläufe laufen. Regeln Sie beides vor der Beauftragung und lassen Sie die Vertragsklauseln im Zweifel anwaltlich prüfen.

Ist es ein Problem, wenn der Dienstleister die Lizenzen für mich bezahlt?

Nicht zwingend, aber es erschwert einen Wechsel. Der Vertrag mit dem Werkzeuganbieter liegt dann beim Dienstleister, und bei einer Trennung müssen Konten und Abläufe erst übertragen werden. Wenn Sie Lizenzen direkt bezahlen, bleibt alles in Ihrer Hand.

Was sollte ich beim Ende einer Zusammenarbeit sofort tun?

Entziehen Sie die Benutzerzugänge des Dienstleisters in allen Systemen und tauschen Sie Zugangsdaten aus, die er kannte, etwa API-Schlüssel. Lassen Sie sich die aktuelle Dokumentation und Exporte übergeben, falls sie nicht ohnehin bei Ihnen liegen. Fordern Sie außerdem die Löschung oder Rückgabe personenbezogener Daten nach dem Auftragsverarbeitungsvertrag an.

---

Im Prozess-Abo arbeiten wir nach genau dieser Liste. Sie verbinden Ihre eigenen Konten, indem Sie uns einladen – ins Repository, ins Automatisierungswerkzeug, in den Shop oder in einen geteilten Ordner –, nie per Passwort, API-Schlüssel oder Token. Werkzeuge und Lizenzen bleiben auf Ihren Namen, und Sie zahlen sie direkt beim Anbieter. Jede Lieferung landet in Ihren Systemen: als Pull Request, auf einer Staging-Seite, als Theme-Kopie oder als deaktivierter Workflow, mit Dokumentation. Das Abo ist monatlich zum Ende des Abrechnungsmonats kündbar. Danach entziehen Sie unsere Einladungen, und was wir geliefert haben, liegt ohnehin bei Ihnen. Wie das im Alltag aussieht, zeigt Ihre erste Aufgabe, die wir kostenlos erledigen (eine pro Unternehmen). Fragen vorab klären wir gern in einem kostenlosen Projekt-Check.