SaaS Vertrag vom Fachanwalt – Software as a Service Vertrag

SaaS-Vertrag: das Wichtigste zu Software as a Service in Kürze:

1. Ein SaaS-Vertrag (Software as a Service) regelt die Bereitstellung von Software über die Cloud und unterscheidet sich rechtlich von PaaS und IaaS durch den Fokus auf die reine Software-Nutzung.
2. Die Rechtsnatur des SaaS-Vertrags ist überwiegend mietvertraglich, ergänzt durch dienst- und werkvertragliche Elemente.
3. Zentrale Vertragsbestandteile sind Leistungsbeschreibung, Service Level Agreements (SLAs), Haftungs- und Gewährleistungsregelungen sowie datenschutzrechtliche Vereinbarungen.
4. Die Datenschutzgrundverordnung (DSGVO) verlangt den Abschluss eines Auftragsverarbeitungsvertrags (AVV), der Pflichten zur Datensicherheit, Löschung und Rückgabe regelt.
5. Der EU Data Act (seit September 2025) stärkt Rechte zur Datenportabilität, verbietet unfaire Vertragsklauseln und verpflichtet Anbieter, einen einfachen Cloud-Wechsel zu ermöglichen.
6. Standardisierte Musterverträge sind unzureichend, da sie weder individuelle Leistungsmerkmale noch spezifische Datenschutz- oder Haftungsfragen abbilden.
7. Ein maßgeschneiderter SaaS-Vertrag ist daher für Anbieter und Unternehmen entscheidend, um Rechtssicherheit, Compliance und wirtschaftliche Flexibilität zu gewährleisten.

Was ist ein SaaS Vertrag (Software as a Service Vertrag)?

Ein SaaS-Vertrag (Software as a Service Vertrag) ist ein Vertrag, der die Bereitstellung von Software über das Internet regelt. Im Gegensatz zu herkömmlichen Softwarelizenzen wird die Software nicht lokal installiert, sondern über die Cloud bereitgestellt, was Vorteile wie Skalierbarkeit, Effizienz und ständige Aktualisierungen bietet. SaaS-Verträge sind in der Regel privatrechtliche Vereinbarungen, die die Nutzung von Softwarediensten regeln. Sie unterscheiden sich von PaaS (Platform as a Service) und IaaS (Infrastructure as a Service) dadurch, dass bei SaaS die Software selbst als Dienst bereitgestellt wird, während PaaS eine Plattform für die Entwicklung und Bereitstellung von Anwendungen bietet und IaaS die grundlegende IT-Infrastruktur bereitstellt.

Warum SaaS-Verträge immer wichtiger werden

Die Nutzung von Software as a Service (SaaS) ist in Unternehmen gang und gäbe. Das liegt vor allem an den Vorteilen, die cloudbasierte Softwarelösungen bieten: Unternehmen profitieren von einer geringeren Kapitalbindung und der stets aktuellen Version der eingesetzten Software. Sie ermöglichen je nach Vertragsgestaltung eine hohe Flexibilität, da neue Nutzer oder Funktionen schnell hinzugefügt werden können, ohne dass aufwendige lokale Installationen oder Infrastrukturänderungen notwendig sind.

Insbesondere ist die Kostenstruktur oft vorteilhaft, da Investitionen in Hardware, Softwarelizenzen und Wartung entfallen und stattdessen ein planbares Abonnementmodell genutzt wird. Ständige Updates und Verbesserungen der Software durch den Anbieter sorgen zudem dafür, dass Unternehmen stets aktuelle Funktionen und Sicherheitsstandards nutzen können, ohne selbst für die Implementierung verantwortlich zu sein.

Mit diesen Vorteilen gehen jedoch auch rechtliche und operative Herausforderungen einher. Die Abhängigkeit vom SaaS-Anbieter erfordert klare vertragliche Regelungen, um Risiken zu minimieren. Hierzu zählen insbesondere Service Level Agreements (SLAs), die Verfügbarkeit, Reaktionszeiten und Supportleistungen konkretisieren, sowie Haftungsregelungen für Ausfälle oder Sicherheitsverletzungen. Zusätzlich spielt der Datenschutz eine zentrale Rolle, da SaaS-Dienste häufig personenbezogene Daten verarbeiten, was strenge Compliance-Anforderungen nach der DSGVO mit sich bringt. Mit der zunehmenden Bedeutung von Datenportabilität und dem seit September geltenden EU-Data Act gewinnen entsprechende Regelungen zu Datenzugang und Nutzungsrechten weiter an Relevanz.

Insgesamt wird deutlich: Ein sorgfältig ausgearbeiteter SaaS-Vertrag ist nicht nur rechtliche Absicherung, sondern auch entscheidender Erfolgsfaktor für die digitale Transformation und den sicheren Betrieb cloudbasierter Geschäftsprozesse.

Ihr Anwalt für den rechtssicheren SaaS-Vertrag

SaaS, PaaS, IaaS – Was sind die Unterschiede?

Unter dem Begriff Cloud Computing werden unterschiedliche Servicemodelle zusammengefasst, die sich insbesondere durch den Grad der Verantwortlichkeit und den Umfang der vom Anbieter erbrachten Leistungen unterscheiden. Die gängigen Modelle sind Software as a Service (SaaS), Platform as a Service (PaaS) und Infrastructure as a Service (IaaS). Im Folgenden erläutern wir die Begriffe SaaS, PaaS und IaaS.

SaaS (Software as a Service) beschreibt die Bereitstellung fertiger Softwareanwendungen über das Internet. Die Nutzer greifen in der Regel per Browser oder App auf die Anwendung zu, ohne diese lokal installieren oder warten zu müssen. Der Anbieter übernimmt sämtliche Aufgaben rund um Betrieb, Wartung, Updates und Sicherheit. Typische Beispiele sind CRM-Systeme, ERP-Lösungen, Buchhaltungssoftware oder Collaboration-Tools wie Microsoft 365. Vertragsrechtlich handelt es sich bei SaaS-Angeboten meist um Mietverträge mit dienstleistungsähnlichem Charakter. Wichtig sind dabei eine präzise Leistungsbeschreibung, Service Level Agreements (SLAs) zur Verfügbarkeit, Regelungen zur Datenverarbeitung (häufig Auftragsverarbeitung nach Art. 28 DSGVO) sowie Haftungs- und Kündigungsklauseln. SaaS eignet sich vor allem für Unternehmen, die standardisierte Softwarelösungen nutzen möchten, ohne eigene IT-Infrastruktur aufzubauen.

PaaS (Platform as a Service) stellt eine Plattform zur Verfügung, die Entwickler für die Erstellung, das Testen und den Betrieb von Anwendungen nutzen können. Neben Middleware werden häufig auch Datenbanken, Frameworks und Tools angeboten, die eine schnelle und effiziente Entwicklung ermöglichen. Bekannte Plattformen sind etwa App Engine, Microsoft Azure App Service oder Heroku. Vertraglich sind PaaS-Angebote häufig Mischformen aus Miet- und Dienstleistungsverträgen. Von Bedeutung sind hier die Beschreibung der bereitgestellten Plattformdienste, SLAs zu Verfügbarkeit und Antwortzeiten, Regelungen zur Datensicherheit sowie Vorgaben zur Kompatibilität und Skalierbarkeit. PaaS richtet sich an Entwickler und Unternehmen, die Anwendungen entwickeln möchten, ohne eigene Serverlandschaften und Middleware betreiben zu müssen.

IaaS (Infrastructure as a Service) schließlich stellt die grundlegende Infrastruktur bereit, d.h. virtuelle Server, Speicherplatz und Netzwerke. Kunden erhalten so eine flexibel skalierbare Umgebung, die sie weitgehend selbst konfigurieren können. Während der Anbieter für die Bereitstellung und Verfügbarkeit der Infrastruktur verantwortlich ist, obliegt es dem Kunden, Betriebssysteme, Anwendungen und Datensicherheit zu organisieren. Bekannte Anbieter sind etwa Amazon Web Services (AWS), Microsoft Azure oder Google Cloud. Vertraglich ähneln IaaS-Verträge am ehesten klassischen Mietverträgen, ergänzt durch SLAs zur Verfügbarkeit und Leistungsfähigkeit. Datenschutzregelungen spielen auch hier eine zentrale Rolle, insbesondere wenn personenbezogene Daten verarbeitet oder gespeichert werden. IaaS wird typischerweise von IT-Abteilungen, Systemadministratoren und Unternehmen genutzt, die ein hohes Maß an Flexibilität und Kontrolle über ihre IT-Umgebung benötigen.

Die Modelle SaaS, PaaS und IaaS sind unterschiedliche Ausprägungen des Cloud Computings und variieren vor allem im Umfang der Anbieterleistungen und der Nutzerverantwortung. Während SaaS vollständige Softwarelösungen „aus der Cloud“ bietet, ermöglicht PaaS die Entwicklung eigener Anwendungen auf einer bereitgestellten Plattform und IaaS die flexible Nutzung virtueller IT-Infrastrukturen. Für Unternehmen ist es entscheidend, das passende Modell zu wählen und die vertraglichen sowie datenschutzrechtlichen Rahmenbedingungen sorgfältig zu gestalten.

Was ist die Rechtsnatur beim SaaS-Vertrag?

Ein zentraler Punkt ist die rechtliche Einordnung beim SaaS-Vertrag nach deutschem Zivilrecht.

Rechtlich betrachtet wird ein SaaS-Vertrag überwiegend wie ein Mietvertrag behandelt. Die zentrale Leistung des Anbieters besteht darin, die Software dem Kunden zur Nutzung „auf Zeit“ bereitzustellen und deren Funktionsfähigkeit sicherzustellen. Der Kunde erwirbt keinen Besitz an der Software, sondern lediglich das Recht, sie während der Vertragsdauer zu nutzen. Damit verbunden sind klare Rechte und Pflichten: Der Anbieter muss die Software in einem vertragsgemäßen Zustand halten, während der Kunde Anspruch auf funktionsfähige Nutzung und gegebenenfalls auf Schadensersatz bei Ausfällen hat.

Andere Vertragstypen wie Dienst- oder Werkverträge greifen hier nur eingeschränkt: Ein Dienstvertrag würde nur die „Bemühungen“ des Anbieters absichern, nicht jedoch die tatsächliche Funktionsfähigkeit der Software. Ein Werkvertrag scheitert bereits daran, dass keine Werkerstellung bzw. dessen Erfolg geschuldet ist. Die Einordnung als Werkvertrag würde außerdem eine Erfolgshaftung für den SaaS-Anbieter begründen, was dieser in der Regel vermeiden möchte. Auch Pachtverträge kommen nicht in Betracht, da es bei SaaS nicht um die Erzielung von „Früchten“ der Software, sondern ausschließlich um die Nutzbarkeit der Anwendung geht.

Zusätzlich können SaaS-Verträge weitere Leistungen enthalten, etwa Service-Level-Vereinbarungen (SLAs), Support, Wartung, Datensicherung oder individuelle Anpassungen. Diese Elemente können teilweise dienst- oder werkvertragliche Aspekte aufweisen.

In der Praxis handelt es sich daher um vertragliche Mischformen mit miet-, dienst- und werkvertraglichen Elementen, wobei die mietvertraglichen Komponenten des SaaS-Vertrags in aller Regel überwiegen.

Für Unternehmen bedeutet dies: Ein sorgfältig gestalteter SaaS-Vertrag schafft Rechtssicherheit, regelt die Nutzung der Software klar und schützt vor Ausfallrisiken. Er legt fest, welche Leistungen der Anbieter schuldet, wie Haftungsfragen geregelt sind und wie Support- oder Exit-Szenarien im Falle einer Vertragsbeendigung aussehen.

Was ist im SaaS-Vertrag zu regeln?

Vertragsbedingungen/Allgemeine Geschäftsbedingungen (AGB)

Bei SaaS-Verträgen kommt den Vertragsbedingungen besondere Bedeutung zu. Zu beachten ist, dass alle vorformulierten Vertragsklauseln rechtlich als Allgemeine Geschäftsbedingungen im Sinne der §§ 305 ff. BGB gelten. Entscheidend ist allein, dass die Bedingungen vom Anbieter für eine Vielzahl von Verträgen vorformuliert wurden.

Ebenso wichtig ist deren wirksame Einbeziehung in den Vertrag. Hierzu ist erforderlich, dass der Anbieter klar auf die Geltung der Vertragsbedingungen hinweist und dem Kunden eine zumutbare Möglichkeit zur Kenntnisnahme einräumt. Nur dann werden die AGB Bestandteil des Vertrags.

Schließlich müssen die Vertragsbedingungen auch inhaltlich den Anforderungen der AGB-Kontrolle standhalten. Unangemessene Benachteiligungen oder intransparente Klauseln können zur Unwirksamkeit einzelner Bestimmungenführen und damit das Vertragsgefüge insgesamt schwächen. Eine sorgfältige, transparente und rechtssichere Gestaltung der Vertragsbedingungen ist daher für SaaS-Anbieter unerlässlich.

Leistungsbeschreibung im Software as a Service Vertrag

Die Leistungsbeschreibung stellt das Fundament eines SaaS-Vertrags dar, da sie klar definiert, welche Funktionen, Services und Eigenschaften der Anbieter dem Kunden vertraglich schuldet. Sie schafft Transparenz darüber, welche Leistungen im Rahmen des Vertrags enthalten sind, und bildet damit die Grundlage für ein gemeinsames Verständnis zwischen Anbieter und Nutzer.

Eine präzise Leistungsbeschreibung dient nicht nur der Klarheit, sondern auch der Risikominimierung: Sie legt den Rahmen für die Haftung des Anbieters fest und verhindert Streitigkeiten über den Umfang der geschuldeten Leistung. Insbesondere bei SaaS-Produkten, die fortlaufend weiterentwickelt werden, ist es wichtig, dass die Dokumentation und Funktionsbeschreibungen regelmäßig aktualisiert werden, um den aktuellen Stand der Software korrekt abzubilden.

Da Änderungen oft plattformweit und für eine große Nutzerbasis erfolgen, müssen Verträge flexibel gestaltet werden, um nicht mit den laufenden Anpassungen in Konflikt zu geraten. Eine gängige Praxis ist die dynamische Einbindung der Leistungsbeschreibung über AGB-konforme Mechanismen, etwa durch referenzierte Links. Auf diese Weise bleibt die Leistungsbeschreibung stets aktuell, rechtskonform und verbindlich, ohne dass der Vertrag selbst bei jeder Softwareänderung angepasst werden muss.

Service Level Agreements (SLA) im SaaS-Vertrag

In SaaS-Verträgen dienen Service Level Agreements (SLA) bzw. sogenannte Key Performance Indicators (KPI) dazu, die Qualitätsanforderungen an die SaaS-Anwendung konkret zu definieren. Sie präzisieren die vertraglichen Pflichten des Anbieters. Typische Regelungsinhalte in SLA betreffen insbesondere die Verfügbarkeit der Anwendung, Reaktions- und Wiederherstellungszeiten, Service-Hotlines sowie Pönalen für Leistungsabweichungen. Präzise Formulierungen sind entscheidend, um Streitigkeiten zu vermeiden.

Regelungen über Verfügbarkeit

Die Verfügbarkeit einer SaaS-Anwendung stellt ein zentrales Leistungsmerkmal dar. Nach der Rechtsprechung des BGH schuldet ein Anbieter beim Online-Banking beispielsweise den Zugang zu seinem Online-Service grundsätzlich „rund um die Uhr“. Eine 100 %-ige Verfügbarkeit ist jedoch kaum zu erreichen, da temporäre Abschaltungen für Wartungsarbeiten oder Fehlerbehebungen kaum vermeidbar sind.

Zur Vermeidung von Unsicherheiten wird daher häufig in einem SLA ein konkreter Verfügbarkeitswert festgelegt. Üblich ist die Angabe eines durchschnittlichen Prozentsatzes über einen definierten Zeitraum, meist ein Monat oder ein Jahr, ergänzt durch Regelungen zu Wartungsfenstern, während derer Ausfallzeiten nicht als Nichterfüllung gelten. So kann beispielsweise eine Verfügbarkeit von 98 % pro Kalenderjahr vereinbart werden, was bedeutet, dass die SaaS-Anwendung höchstens 2 % des Jahres (ca. 7 Tage und 7 Stunden) nicht verfügbar sein darf, ohne dass der Anbieter seine Leistungspflichten verletzt. Wartungsfenster außerhalb der üblichen Geschäftszeiten der Nutzer, bspw. an Wochenenden oder in den Nachtstunden, ermöglichen dem Anbieter die Durchführung notwendiger Wartungsarbeiten, ohne die vereinbarte Verfügbarkeit zu beeinträchtigen.

Darüber hinaus ist klarzustellen, auf welchen Leistungsbereich sich die Verfügbarkeit bezieht. Bei SaaS-Anwendungen umfasst dies regelmäßig nur den Betrieb der SaaS-Lösung auf der IT-Infrastruktur des Anbieters bis zum Übergabepunkt, der i.d.R. der Routerausgang des Rechenzentrums, in dem der Server des Anbieters steht, da dieser Bereich im Einflussbereich des Anbieters liegt. Für die Anbindung des Kunden an das Internet trägt dieser selbst Verantwortung.

Reaktions- und Wiederherstellungszeiten

Ein weiteres zentrales Element von SLA sind Reaktions- und Wiederherstellungszeiten. Reaktionszeiten legen fest, innerhalb welchen Zeitraums der Anbieter nach Eingang einer Fehlermeldung mit der Bearbeitung beginnen und den Kunden darüber informieren muss. Die Zeiten beginnen  ab Eingang der Meldung über die vertraglich vorgesehenen Kommunikationswege, wie Telefon-, E-Mail-Hotline oder Ticket-System, zu laufen.

Für besonders kritische Anwendungen werden häufig zudem Wiederherstellungszeiten vereinbart, die definieren, innerhalb welchen Zeitraums eine ausgefallene Funktionalität wiederhergestellt oder ein gemeldeter Fehler behoben sein muss. Die Vorgaben orientieren sich in der Regel an der Schwere der Fehler, die im SLA definiert und in Fehlerklassen eingeteilt werden. Je nach Schweregrad des Fehlers werden konkrete Servicezeiträume festgelegt, innerhalb derer der Anbieter den Fehler bearbeiten und die Funktionalität wiederherstellen muss.

Service-Hotline im Software as a Service Vertrag

Betreibt der Anbieter eine telefonische oder E-Mail-Hotline, regelt das SLA üblicherweise deren Erreichbarkeit sowie die Servicezeiten. Dies ermöglicht dem Kunden, Supportanfragen gezielt einzureichen und eine schnelle Bearbeitung sicherzustellen.

Sanktionen

Schließlich enthalten SLA häufig Sanktionen für die Nichteinhaltung der vereinbarten Service Levels. Diese können in Form von Gutschriften auf die Vergütung (sog. Service Level Credits), Vertragsstrafen oder pauschalierten Schadensersatzansprüchen ausgestaltet sein. Bei erheblichen Abweichungen kann dem Kunden zudem ein Recht zur Kündigung aus wichtigem Grund zustehen. Es empfiehlt sich, im SaaS-Vertrag den wichtigen Grund gemäß § 314 BGB ausdrücklich in Bezug auf die Service Levels zu konkretisieren.

Haftung, Mängelrechte und Gewährleistung

Die vertraglichen Haftungsregelungen in SaaS-Verträgen orientieren sich an den allgemeinen gesetzlichen Vorgaben. In Individualverträgen kann die Haftung nur für Vorsatz (§ 276 Abs. 3 BGB) sowie im Fall des arglistigen Verschweigens eines Mangels (§ 536d BGB) nicht ausgeschlossen oder beschränkt werden. Zudem ist § 14 ProdHaftG zu beachten: Die Ersatzpflicht des Herstellers nach dem Produkthaftungsgesetz darf vertraglich weder im Voraus ausgeschlossen noch beschränkt werden; entsprechende Klauseln wären daher nichtig. Vor diesem Hintergrund enthalten Individualverträge vielfach Regelungen zur Haftungsbegrenzung des Anbieters, insbesondere bei leichter Fahrlässigkeit.

Handelt es sich bei den SaaS-Verträgen um vorformulierte Vertragsbedingungen, d.h. insbesondere in Form von Allgemeinen Geschäftsbedingungen im Sinne des § 305 BGB, darf weder gegenüber Verbrauchern noch gegenüber Unternehmern durch vertragliche Haftungsbeschränkungen gegen das gesetzliche Leitbild des Mietrechts verstoßen werden. Wesentliche Rechte oder Pflichten dürfen nicht derart eingeschränkt werden, dass die Erreichung des Vertragszwecks gefährdet ist (§ 307 Abs. 2 BGB).

Aufgrund des mietvertraglichen Charakters des SaaS-Vertrags ist zudem § 536a Abs. 1 Alt. 1 BGB relevant: Danach steht dem Kunden ein Schadensersatzanspruch auch dann zu, wenn der Mangel bereits bei Vertragsschluss vorlag. Hierbei handelt es sich um eine gesetzliche Garantie des Anbieters, die auch ohne Verschulden greift. Eine vertragliche Abbedingung dieser verschuldensunabhängigen Haftung, selbst in AGB, wird als zulässig angesehen, da dieser eher untypischen Regelung im System des BGB keine Leitbildfunktion zukommt.

Inhalt eines SaaS-Vertrags: Zusammenfassung:

1. Vertragsbedingungen/Allgemeine Geschäftsbedingungen (AGB)
2. Leistungsbeschreibung im Software as a Service Vertrag
3. Service Level Agreements (SLA) im SaaS-Vertrag
4. Regelungen über Verfügbarkeit
5. Reaktions- und Wiederherstellungszeiten
6. Service-Hotline im Software as a Service Vertrag
7. Sanktionen
8. Haftung, Mängelrechte und Gewährleistung

Welchen Einfluss hat der Datenschutz im SaaS-Vertrag?

Rolle der DSGVO bei SaaS-Diensten

Bei der Nutzung von SaaS-Diensten werden regelmäßig personenbezogene Daten der Kunden oder deren Endnutzer verarbeitet. Diese Verarbeitung umfasst typischerweise die Erhebung, Speicherung, Nutzung, Übermittlung und ggf. Löschung von Daten, die für die Bereitstellung der Software erforderlich sind. Im datenschutzrechtlichen Sinne handelt es sich dabei häufig um eine Auftragsverarbeitung gemäß Art. 28 DSGVO, da der SaaS-Anbieter die Daten im Auftrag des Kunden verarbeitet und der Kunde die datenschutzrechtliche Verantwortung für die Rechtmäßigkeit der Verarbeitung trägt.

Mit der Beendigung eines SaaS-Vertrags stellt sich regelmäßig die Frage, wie mit den beim Anbieter gespeicherten Kundendaten umzugehen ist. Dabei ist zunächst zwischen den datenschutzrechtlichen Vorgaben der DSGVO und den interoperabilitäts- und portabilitätsbezogenen Anforderungen des Data Act (Verordnung (EU) 2023/2854) zu unterscheiden.

Aus datenschutzrechtlicher Sicht handelt es sich bei den auf den Servern des SaaS-Anbieters gespeicherten personenbezogenen Daten weiterhin um Daten, für deren Rechtmäßigkeit der Kunde als Verantwortlicher gemäß Art. 4 Nr. 7 DSGVO einzustehen hat. Der SaaS-Anbieter fungiert insoweit als Auftragsverarbeiter im Sinne des Art. 4 Nr. 8, Art. 28 DSGVO. Nach Vertragsbeendigung ist er daher verpflichtet, die vom Verantwortlichen überlassenen Daten entweder zu löschen oder zurückzugeben. Diese Pflicht ergibt sich unmittelbar aus Art. 28 Abs. 3 lit. g DSGVO. Dabei sind klare Fristen, Formate und Übertragungsmodalitäten festzulegen. Der Anbieter darf personenbezogene Daten nur in dem Umfang aufbewahren, wie dies zur Erfüllung gesetzlicher Aufbewahrungspflichten (z. B. nach Handels- oder Steuerrecht) erforderlich ist.

Unabhängig von diesen datenschutzrechtlichen Vorgaben sind im Rahmen des Data Act zusätzliche Anforderungen zu beachten, soweit es um den Anbieterwechsel (Cloud Switching) und die technische Datenportabilität geht. Der Data Act verpflichtet Anbieter von Datenverarbeitungsdiensten sicherzustellen, dass Nutzer ihre Daten nach Vertragsende in einem strukturierten, gängigen und interoperablen Format exportieren und an einen anderen Dienstleister übertragen können. Zudem müssen Anbieter geeignete technische und vertragliche Maßnahmen treffen, um einen Wechsel zu einem anderen Cloud- oder SaaS-Anbieter ohne unzumutbare Behinderung zu ermöglichen (Art. 23 ff. Data Act). Hierzu gehören etwa Verpflichtungen zur Bereitstellung von Export-Schnittstellen, die Festlegung transparenter Fristen und Kostenregelungen sowie die schrittweise Abschaffung von Wechselentgelten.

Ist der Abschluss eines Auftragsverarbeitungsvertrags beim SaaS Vertrag nötig?

Nach der DSGVO muss jedes Unternehmen, das personenbezogene Daten im Auftrag durch einen Dienstleister verarbeiten lässt, einen Auftragsverarbeitungsvertrag (AVV) abschließen. Die Rechte und Pflichten von Verantwortlichem und Auftragsverarbeiter werden in Art. 28 DSGVO geregelt. Ein AVV muss die dort aufgeführten Mindestanforderungen enthalten, kann jedoch einzelfallbezogen ausgestaltet und an die konkrete Tätigkeit des Dienstleisters angepasst werden. Hierzu gehören insbesondere die Festlegung von Gegenstand, Art, Zweck und Dauer der Verarbeitung, die Beschreibung der verarbeitetedatan personenbezogenen Daten und des Kreises betroffener Personen sowie die Regelung der Weisungsbefugnisse und Pflichten des Verantwortlichen.

Der Auftragsverarbeiter ist verpflichtet, die Daten ausschließlich nach dokumentierter Weisung zu verarbeiten, Vertraulichkeit zu wahren, angemessene technische und organisatorische Maßnahmen zur Datensicherheit zu ergreifen, Subunternehmer nur rechtmäßig hinzuzuziehen, den Verantwortlichen bei der Beantwortung von Betroffenenanfragen zu unterstützen und ihn bei der Einhaltung der DSGVO-Pflichten nach Art. 32 bis 36 zu begleiten. Dazu gehören unter anderem die Meldung von Datenschutzverletzungen an die Aufsichtsbehörde, die Benachrichtigung betroffener Personen, die Durchführung von Datenschutz-Folgenabschätzungen sowie die Konsultation der Aufsichtsbehörde bei Verarbeitungen mit hohem Risiko.

Weiterhin muss der AVV Regelungen zur Löschung oder Rückgabe der Daten nach Beendigung des Auftrags sowie zur Zurverfügungstellung von Informationen und Überprüfungsmöglichkeiten enthalten. Ein wesentlicher Bestandteil ist zudem eine Anlage zu den technischen und organisatorischen Maßnahmen, die gewährleisten, dass Datenschutz und Datensicherheit der überlassenen Daten jederzeit eingehalten werden.

Er kann entweder zusammen mit dem SaaS-Vertrag abgeschlossen oder direkt in diesen integriert werden, beispielsweise als Anlage. Auf diese Weise sind die datenschutzrechtlichen Pflichten transparent geregelt und für beide Parteien verbindlich.

Datenübertragungen in Drittstaaten

Bei SaaS-Angeboten werden personenbezogene Daten oft nicht nur in der EU, sondern auch in anderen Ländern verarbeitet: z.B., wenn ein Anbieter Server in den USA nutzt. Für solche Datenübermittlungen in Drittstaaten gelten besondere Datenschutzregeln.

Der Europäische Gerichtshof hat 2020 mit dem Schrems-II-Urteil den früheren EU-US Privacy Shield gekippt, weil er keinen ausreichenden Schutz für personenbezogene Daten bot. Als Nachfolger gilt seit Juli 2023 das EU-U.S. Data Privacy Framework. US-Unternehmen, die nach diesem Rahmen zertifiziert sind, dürfen Daten aus der EU empfangen. Ist ein Anbieter jedoch nicht zertifiziert, müssen andere Schutzmechanismen greifen – in der Praxis sind das meist die sogenannten Standardvertragsklauseln (SCCs).

Diese Standardvertragsklauseln sind von der EU-Kommission vorgegebene Mustertexte, die seit September 2021 in allen Verträgen verpflichtend verwendet werden müssen, wenn Daten in unsichere Drittstaaten fließen. Darin verpflichtet sich der Anbieter, ein mit der EU vergleichbares Datenschutzniveau einzuhalten.

Neu ist, dass Anbieter im Drittland behördliche Datenzugriffe offenlegen und Betroffene informieren müssen. Außerdem ist eine Risikoprüfung vorgeschrieben, bei der Unternehmen bewerten und dokumentieren müssen, ob die Übermittlung rechtlich vertretbar ist (sog. Transfer Impact Assessment).

Für Unternehmen, die SaaS-Dienste nutzen, heißt das:

• Serverstandorte prüfen: Wo werden die Daten gespeichert und verarbeitet?
• Zertifizierung checken: Ist der US-Anbieter nach dem EU-U.S. Data Privacy Framework zertifiziert?
• Verträge kontrollieren: Sind erforderlichenfalls die aktuellen Standardvertragsklauseln Bestandteil des SaaS-Vertrags?
• Zusätzliche Maßnahmen einfordern: z. B. Verschlüsselung oder klare Informationspflichten bei Behördenanfragen.

Welchen Einfluss hat der EU Data Act auf den SaaS-Vertrag?

Der EU Data Act ist im Juni 2023 in Kraft getreten. Die Hauptpflichten des Data Act gelten seit dem 12. September 2025 unionsweit. Er ist ein zentrales Element der europäischen Datenstrategie und verfolgt das Ziel, den Zugang zu Daten fairer zu gestalten, Innovation zu fördern und Abhängigkeiten von einzelnen Anbietern zu verringern. Besonders deutlich werden die Auswirkungen bei Cloud-Diensten, die in der Praxis häufig in Form von SaaS-, PaaS- oder IaaS-Angeboten genutzt werden.

Ein Schwerpunkt des Data Act liegt auf der sogenannten Datenportabilität, welches durch das sog. Cloud Switching sichergestellt werden soll. Unternehmen sollen künftig leichter den Cloud-Anbieter wechseln können, ohne durch technische oder vertragliche Hürden blockiert zu werden. Cloud-Anbieter werden daher verpflichtet, standardisierte Schnittstellen und maschinenlesbare Formate bereitzustellen und den Export von Daten so zu gestalten, dass er zügig und ohne übermäßige Zusatzkosten erfolgen kann. Übergangsweise dürfen Anbieter zwar noch Wechselgebühren verlangen, diese müssen jedoch bis Januar 2027 schrittweise reduziert und danach vollständig abgeschafft werden. Damit sollen sogenannte Lock-in-Effekte, also eine Abhängigkeit von einem bestimmten Anbieter, vermieden werden.

Darüber hinaus enthält der Data Act auch Vorgaben zur Fairness von Vertragsklauseln. Bestimmungen, die kleine und mittlere Unternehmen unangemessen benachteiligen, sind künftig unzulässig. Dazu zählen etwa einseitige Haftungsbeschränkungen zugunsten des Anbieters, missbräuchliche Einschränkungen des Datenzugangs oder Vertragsklauseln, die dem Anbieter einseitige Preis- oder Leistungsänderungen ermöglichen. Unternehmen sollen dadurch besser geschützt werden und in eine stärkere Verhandlungsposition rücken.

Ein weiterer wichtiger Baustein sind Transparenzpflichten. Cloud-Anbieter müssen ihre Kunden künftig bereits vor Vertragsabschluss umfassend und verständlich darüber informieren, welche Möglichkeiten ein Anbieterwechsel bietet, welche Kosten und welcher zeitliche Aufwand damit verbunden sind und unter welchen technischen Bedingungen eine Datenmigration erfolgen kann. Dies soll Unternehmen in die Lage versetzen, eine bewusste Entscheidung für oder gegen einen Anbieter zu treffen und mögliche Risiken besser einzuschätzen.

Schließlich schreibt der Data Act auch technische Mindeststandards fest. Cloud-Dienste müssen so ausgestaltet sein, dass ein sicherer und vollständiger Export von Daten gewährleistet ist und Anwendungen möglichst reibungslos in andere Cloud-Umgebungen integriert werden können. Ziel ist eine stärkere Interoperabilität, die nicht nur den Datenaustausch betrifft, sondern auch die Nutzbarkeit von Anwendungen in unterschiedlichen Systemen sicherstellt.

Warum ein standardisiertes SaaS-Vertragsmuster nicht ausreicht

Ein einfaches SaaS Vertragsmuster ersetzt keinesfalls eine individuelle Vertragsgestaltung. Solche Muster sind in der Regel nur allgemein gehalten und berücksichtigen nicht die konkreten rechtlichen und technischen Besonderheiten der jeweiligen Software. Sie erfassen typischerweise nicht den tatsächlichen Leistungsumfang, einschließlich Funktionsumfang, Verfügbarkeit, Wartung, Supportleistungen oder Updates, und lassen individuelle Service-Level-Agreements unberücksichtigt. Zudem enthalten sie oft unzureichende oder zu pauschale Regelungen zu Haftung, Gewährleistung, Nutzungsrechten an der Software und an Kundendaten sowie zu Vertragsstrafen, Kündigungsfristen oder Preisgestaltung. Wesentliche datenschutzrechtliche Anforderungen, insbesondere im Hinblick auf Auftragsverarbeitung, Datenübermittlung, Datensicherheit und Auskunfts- bzw. Löschpflichten, werden in Standardvorlagen häufig nicht hinreichend abgebildet. Auch internationale oder branchenspezifische Besonderheiten, wie etwa Hosting im Ausland oder regulatorische Anforderungen, bleiben regelmäßig unberücksichtigt.

Deshalb ist individuelle Rechtsberatung unerlässlich: Nur so lässt sich ein SaaS-Vertrag erstellen, der den tatsächlichen Leistungsumfang klar regelt, Risiken minimiert und die Interessen beider Parteien wirksam schützt.

Welche Rolle spielt das Urheberrecht im SaaS-Vertrag?

Bei der Gestaltung von SaaS-Verträgen spielt auch das Urheberrecht eine wichtige Rolle. Zentral ist dabei die Frage, ob der Anbieter dem Kunden ein Nutzungsrecht an der Software einräumen muss. Hintergrund dieser Überlegung ist, dass nach § 69c Nr. 1 UrhG das Vervielfältigungsrecht des Urhebers betroffen sein kann. Denn bereits das bloße Bereitstellen einer Software führt häufig dazu, dass beim Kunden eine – wenn auch nur kurzfristige – Kopie der Software im Arbeitsspeicher seines Endgeräts entsteht.

Demgegenüber wird argumentiert, dass die eigentliche technische Vervielfältigung nicht beim Kunden, sondern ausschließlich auf den Servern des Anbieters stattfindet. Die reine Nutzung einer webbasierten Anwendung durch den Kunden reiche danach nicht aus, um ein urheberrechtlich relevantes Vervielfältigungsrecht auszulösen.

Welche rechtliche Einordnung zutrifft, hängt entscheidend von der technischen Umsetzung und Nutzung der Software ab. Wird die Anwendung ausschließlich im Browser des Kunden ausgeführt, liegt ein anderes Szenario vor, als wenn zusätzliche Software-Elemente oder Zugriffstools lokal installiert werden müssen. Stellt der Anbieter dem Kunden z. B. eine Client-Software oder App bereit, kann darin bereits die konkludente Übertragung eines Vervielfältigungsrechts gesehen werden.

Unabhängig von dieser Differenzierung empfiehlt es sich in der Vertragspraxis dringend, klare Regelungen zu den Nutzungsrechten in den SaaS-Vertrag aufzunehmen. Auf diese Weise wird Rechtssicherheit sowohl für Anbieter als auch für Kunden geschaffen und Streitigkeiten über den Umfang der erlaubten Nutzung können von vornherein vermieden werden.

Gestaltungstipps für Unternehmen und Anbieter

Vertragsgestaltung im Software as a Service Vertrag aus Sicht des Anbieters

Bei der Erstellung von SaaS-Verträgen sollten Anbieter insbesondere darauf achten, ihre Risiken klar zu steuern:

Klare Haftungsbegrenzungen: Anbieter sollten Haftungsklauseln so formulieren, dass sie im Falle von Schäden, die nicht vorsätzlich oder grob fahrlässig verursacht wurden, begrenzt sind. Dies schützt vor finanziell existenzbedrohenden Forderungen, insbesondere bei Cloud-Lösungen, bei denen die Verantwortung für Datenverluste oder Systemausfälle streitig sein könnte.

Präzise SLA-Regelungen (Service Level Agreements): SLA-Klauseln sollten die Verfügbarkeit, Reaktionszeiten und Supportleistungen eindeutig definieren. Klare Regeln vermeiden Missverständnisse und potenzielle Streitigkeiten über die vertraglich geschuldete Leistung.

Datenschutzkonforme AV-Verträge: Anbieter müssen sicherstellen, dass Auftragsverarbeitungsverträge gemäß DSGVO vorliegen und die Pflichten zur Datenverarbeitung, -sicherheit und -löschung klar geregelt sind. Dies erhöht die Rechtssicherheit und stärkt das Vertrauen der Kunden.

Vertragsgestaltung im Software as a Service Vertrag aus Sicht des Kunden

Für Kunden ist es entscheidend, die angebotenen Leistungen genau zu prüfen und die eigene Position bei Vertragsende abzusichern:

Prüfung der Leistungsbeschreibung: Kunden sollten zunächst ihre Anforderungen anhand der unternehmerischen Bedürfnisse bewerten und genau prüfen, welche Funktionen, Services und Leistungsstandards vertraglich zugesichert werden, um spätere Diskrepanzen zu vermeiden.

Sicherstellung von Exit-Strategien und Datenportabilität: Der Vertrag sollte klare Regelungen enthalten, wie Daten bei Vertragsende zurückgegeben oder exportiert werden können, um einen reibungslosen Anbieterwechsel zu gewährleisten.

Kontrolle der AGB-Klauseln: Kunden sollten die Vertragsbedingungen wie Allgemeine Geschäftsbedingungen (AGB) kritisch prüfen, insbesondere in Bezug auf Haftungsbeschränkungen, Kündigungsfristen und Leistungsänderungen. So lässt sich verhindern, dass nachteilige Regelungen unbemerkt übernommen werden.

Häufige Fehler beim SaaS-Vertrag und wie man sie vermeidet

Unklare Leistungsbeschreibungen:

Viele Verträge enthalten vage Formulierungen wie „die Software wird regelmäßig aktualisiert“. Präzise SLA-Definitionen und konkrete Leistungsbeschreibungen vermeiden spätere Streitigkeiten über Umfang und Qualität der Leistung.

Fehlende Datenschutzregelungen:

Ohne klare Vereinbarungen zur Verarbeitung, Speicherung und Löschung personenbezogener Daten kann es schnell zu DSGVO-Verstößen kommen. Anbieter und Kunden sollten daher standardisierte AV-Verträge einbinden.

Keine ausreichende Regelung der Datenübertragung bei Vertragsende:

Fehlt eine Regelung zur Datenportabilität beim Cloud Switching, kann der Kunde bei Vertragsende Schwierigkeiten haben, seine Daten in ein anderes System zu überführen, und nebenbei liegt auch ein Verstoß gegen den Data Act vor. Verträge sollten daher klar definieren, in welchem Format, innerhalb welcher Fristen und unter welchen Bedingungen die Daten an einen anderen Anbieter übertragen werden.

Übermäßig weitgehende Haftungsausschlüsse:

Anbieter neigen manchmal dazu, sich umfassend von jeglicher Haftung freizustellen. Solche Klauseln können unwirksam sein oder im Streitfall zu erheblichen rechtlichen und finanziellen Risiken führen. Eine ausgewogene Haftungsregelung schützt beide Parteien und erhöht die Akzeptanz des Vertrages.

Rechtssicherer SaaS-Vertrag als Erfolgsfaktor

SaaS ist ein strategisches Werkzeug, das Unternehmen hilft, schneller, flexibler und effizienter zu arbeiten. Mit Cloud-Lösungen lassen sich Prozesse optimieren, Teams vernetzen und Innovationen deutlich schneller umsetzen, ohne dass hohe Investitionen in Infrastruktur notwendig sind.

Unsere langjährige Erfahrung und tiefgehende Expertise in der Gestaltung von SaaS-Verträgen ermöglicht es uns, Unternehmen zielgerichtet und effizient durch die Erstellung rechtlich belastbarer Vertragswerke zu führen. Wir wissen: Kein SaaS-Produkt gleicht dem anderen, und daher kann ein Standardvertrag niemals die individuellen Anforderungen eines Geschäftsmodells vollständig abbilden.

Durch unsere rechtliche Beratung passen wir den vertraglichen Rahmen Ihres SaaS-Angebots exakt an die spezifischen Bedürfnisse Ihres Unternehmens an. Im Vergleich zu vorgefertigten Musterverträgen oder veralteten Vorlagen gewährleisten unsere individuell gestalteten Verträge ein deutlich höheres Maß an Rechtssicherheit und Aktualität. Sie decken sämtliche relevanten Anforderungen präzise ab und berücksichtigen die verschiedensten denkbaren Szenarien, die während der Vertragslaufzeit auftreten können. Gerne beraten und vertreten wir Sie zu allen Fragen rund um den SaaS-Vertrag, melden Sie sich bei unseren IT-Fachanwälten: