MCP-Server im SaaS-Vertrag: Zugriffsrechte, Datenflüsse und Verantwortung für KI-Integrationen regeln

Die Vertriebsleitung möchte, dass der KI-Assistent offene Angebote aus dem CRM zusammenfasst, Tickets im Supportsystem anlegt und passende Dokumente aus dem Projektlaufwerk findet. Technisch ist das über einen MCP-Server schnell umgesetzt. Vertraglich entstehen jedoch neue Risiken: Der Assistent erhält nicht nur Informationen, sondern kann je nach Konfiguration Aktionen in Unternehmenssystemen auslösen. Wer darf welche Tools verwenden? Welche Daten verlassen das System? Wer trägt die Verantwortung, wenn die KI einen Vertragseintrag überschreibt oder ein Ticket mit vertraulichen Daten anlegt?

MCP steht für „Model Context Protocol“. Das Protokoll ermöglicht es KI-Anwendungen, strukturierte Verbindungen zu Werkzeugen, Datenquellen und Unternehmenssystemen herzustellen. Ein MCP-Server kann etwa Funktionen eines CRM, einer Datenbank, eines Dateiablagesystems oder eines Ticketing-Systems bereitstellen. Die KI-Anwendung fragt diese Funktionen an, der MCP-Server prüft und vermittelt den Zugriff.

Damit wird der MCP-Server zur sicherheitsrelevanten Integrationsschicht. Im SaaS-Vertrag genügt es deshalb nicht, die KI-Funktion lediglich als Produktmerkmal zu beschreiben. Du solltest verbindlich festlegen, welche Systeme erreichbar sind, welche Aktionen erlaubt sind, wie Änderungen kontrolliert werden und wie der Anbieter Sicherheitsvorfälle behandelt.

Zuerst den tatsächlichen Integrationsfall einordnen

Die Vertragsanforderungen hängen stark davon ab, wo der MCP-Server betrieben wird und welche Parteien beteiligt sind. In der Praxis treten häufig drei Modelle auf:

Modell	Typische Konstellation	Vertraglicher Schwerpunkt
Anbieterbetrieb	Der SaaS-Anbieter stellt den MCP-Server als Teil seines Dienstes bereit.	Leistungsumfang, Sicherheit, Änderungen, Verantwortlichkeit des Anbieters
Kundenbetrieb	Dein Unternehmen betreibt den MCP-Server in der eigenen Infrastruktur.	Schnittstellendokumentation, Support, Sicherheitsvoraussetzungen, Mitwirkung
Drittanbieterbetrieb	Ein separater Integrationsanbieter oder ein Fachbereich betreibt den Server.	Verantwortungsgrenzen, Unterauftragnehmer, Datenflüsse, Incident-Prozess

Ein MCP-Server ist nicht automatisch eine harmlose technische Schnittstelle. Er kann Lesezugriffe auf vertrauliche Informationen ermöglichen, Aktionen in Fremdsystemen ausführen und Eingaben aus der KI-Anwendung an weitere Systeme weitergeben. Besonders kritisch sind sogenannte schreibende Tools: etwa „Kundendatensatz ändern“, „Rechnung freigeben“, „Benutzer anlegen“, „Datei löschen“ oder „Ticket schließen“.

Halte daher im Vertrag und in einer technischen Anlage fest, ob die Integration nur lesend arbeitet oder auch schreibende, freigebende oder löschende Aktionen ausführen darf. Eine pauschale Formulierung wie „Anbindung an Kundensysteme“ ist dafür nicht ausreichend.

Freigegebene Tools und Zugriffsbereiche konkret festlegen

Der Vertrag sollte eine aktuelle Liste der freigegebenen MCP-Tools enthalten. Ein Tool ist dabei nicht nur ein Systemname, sondern eine klar umrissene Funktion. „Zugriff auf das CRM“ beschreibt den Umfang zu grob. Besser ist es, einzelne Funktionsgruppen zu benennen:

• Suche nach Kundendaten anhand definierter Suchfelder
• Lesen ausgewählter Datensätze und Felder
• Erstellen von Entwürfen ohne automatische Veröffentlichung
• Anlegen von Tickets in einem festgelegten Projektbereich
• Aktualisieren bestimmter Felder nach zusätzlicher Freigabe
• Ausschluss von Löschungen, Berechtigungsänderungen und Massendatenexporten

Lege außerdem fest, welche Datenobjekte erreichbar sind. Bei einem CRM können dies beispielsweise Kontakte, Verkaufschancen und Supportfälle sein, nicht aber Personalnotizen, Bonitätsinformationen oder interne Rechtsbewertungen. Bei Dateiablagen sollten erlaubte Bereiche, ausgeschlossene Verzeichnisse und zulässige Dateitypen dokumentiert sein.

Wichtig ist die Trennung zwischen der Identität des Nutzers, der KI-Anwendung und des technischen Dienstkontos. Der MCP-Server sollte nicht pauschal mit Administrationsrechten laufen. Stattdessen braucht jede Verbindung minimal erforderliche Berechtigungen. Dieses Prinzip der geringsten Rechte gehört nicht nur in die technische Konfiguration, sondern auch als verbindliche Pflicht in den Vertrag.

Wenn KI-Agenten selbstständig Tool-Aufrufe auslösen können, kommen zusätzliche Kontrollanforderungen hinzu. Welche Vertragsmechanismen dafür sinnvoll sind, erläutern wir auch in unserem Beitrag zu KI-Agenten im SaaS-Vertrag.

Datenflüsse nicht nur als Schnittstelle, sondern als Verarbeitung beschreiben

Viele Vertragsunterlagen beschränken sich auf eine API-Beschreibung. Für MCP-Integrationen reicht das nicht. Du solltest den Datenfluss vom Prompt bis zur Rückgabe nachvollziehbar dokumentieren. Relevant sind insbesondere diese Fragen:

• Welche Daten übermittelt die KI-Anwendung an den MCP-Server?
• Welche Daten ruft der MCP-Server aus angebundenen Systemen ab?
• Werden Inhalte an das KI-Modell, weitere Cloud-Dienste oder Unterauftragnehmer weitergegeben?
• Werden Prompts, Tool-Aufrufe oder Tool-Ergebnisse gespeichert?
• Erfolgt eine Nutzung für Training, Produktverbesserung oder Missbrauchserkennung?
• In welchen Regionen werden Daten verarbeitet und gespeichert?
• Wie lange bleiben Protokolle, Zwischenspeicher und Sicherungskopien erhalten?

Besondere Aufmerksamkeit verdienen Inhalte, die das Modell aus dem Unternehmenssystem abruft und in seine Antwort einbezieht. Auch wenn der MCP-Server selbst nur vermittelt, können personenbezogene Daten, Geschäftsgeheimnisse oder vertrauliche Vertragsinhalte in Protokollen oder in der Verarbeitungskette auftauchen.

Soweit der Anbieter personenbezogene Daten im Auftrag verarbeitet, müssen der SaaS-Vertrag und der Auftragsverarbeitungsvertrag zusammenpassen. Der Beitrag SaaS-Verträge, AVV und Datenschutz zeigt, welche Punkte du bei Rollen, Weisungen und Unterauftragnehmern sauber abgrenzen solltest. Wichtig ist dabei: Die datenschutzrechtliche Rollenverteilung folgt der tatsächlichen Verarbeitung und nicht allein der Überschrift eines Vertragsdokuments.

Schreibende Aktionen brauchen Freigaben und technische Grenzen

Bei lesenden Tools steht meist der Schutz vor unberechtigter Einsichtnahme im Vordergrund. Bei schreibenden Tools kommt die Integrität der Daten hinzu. Eine fehlerhafte KI-Aktion kann falsche Kundendaten erzeugen, Tickets fehlleiten, Fristen verändern oder unerwünschte Nachrichten vorbereiten.

Der Vertrag sollte daher festlegen, ob Aktionen automatisiert ausgeführt werden dürfen oder ob eine menschliche Bestätigung erforderlich ist. Für risikoreiche Vorgänge empfiehlt sich ein Freigabemodell. Die KI kann einen Vorschlag erstellen, die tatsächliche Änderung wird jedoch erst nach Bestätigung durch einen berechtigten Nutzer ausgeführt.

Sinnvolle Vertragsvorgaben sind:

• keine automatischen Löschungen oder Berechtigungsänderungen
• keine Sammeländerungen ohne gesonderte Freigabe
• Bestätigungspflicht für externe Kommunikation und rechtsverbindliche Erklärungen
• Begrenzung der Anzahl von Tool-Aufrufen innerhalb eines Zeitraums
• Abbruchmöglichkeit für auffällige oder unplausible Aktionsfolgen
• getrennte Freigaben für produktive und Testumgebungen
• sofortige Sperrmöglichkeit einzelner Tools oder der gesamten MCP-Verbindung

Diese Vorgaben sollten mit den Störungsklassen und Eskalationswegen des Supportvertrags abgestimmt sein. Wie du Prioritäten und Verantwortlichkeiten für kritische Fälle strukturierst, behandeln wir im Beitrag Support-Level und Störungsklassen abgrenzen.

Protokollierung als Kontroll- und Beweismittel vereinbaren

Ohne aussagekräftige Protokolle lässt sich später kaum klären, warum eine KI-Aktion ausgelöst wurde. Der Vertrag sollte deshalb Mindestinhalte für die Protokollierung nennen. Dazu gehören je nach Integrationsfall:

• Zeitpunkt und eindeutige Kennung des Tool-Aufrufs
• aufrufende KI-Anwendung, Nutzerkonto oder Dienstkonto
• verwendetes Tool und ausgeführte Aktion
• Zielsystem sowie betroffene Datenobjekte
• Ergebnis, Fehlermeldung oder abgelehnte Berechtigung
• Freigabeentscheidung, sofern ein Bestätigungsschritt vorgesehen ist
• Änderungen an Berechtigungen, Tools und Serverkonfigurationen

Die Protokollierung muss ihrerseits datensparsam gestaltet sein. Vollständige Prompts oder sensible Tool-Ergebnisse gehören nicht automatisch in jedes Log. Der Anbieter sollte nur die Informationen speichern, die für Betrieb, Sicherheit, Nachvollziehbarkeit und vereinbarte Fehleranalyse erforderlich sind. Zugriffsrechte auf Protokolle, Aufbewahrungsfristen und Löschverfahren müssen ebenfalls geregelt sein.

Für dein Unternehmen ist entscheidend, dass du die für Sicherheitsuntersuchungen und interne Prüfungen notwendigen Informationen zeitnah erhältst. Vereinbare ein Exportformat, Zugriffsmöglichkeiten und eine angemessene Unterstützungspflicht bei der Auswertung.

Änderungen am MCP-Server kontrollierbar machen

MCP-Integrationen verändern sich schnell. Der Anbieter kann neue Tools bereitstellen, Tool-Beschreibungen anpassen, Authentifizierungsverfahren umstellen oder bestehende Funktionen erweitern. Schon eine scheinbar kleine Änderung kann den Umfang der zulässigen Datenverarbeitung oder die Reichweite von Berechtigungen erheblich verändern.

Der Vertrag sollte zwischen gewöhnlichen Wartungsmaßnahmen und sicherheits- oder funktionsrelevanten Änderungen unterscheiden. Für die zweite Gruppe brauchst du ein geregeltes Änderungsverfahren. Dazu zählen insbesondere:

• neue oder erweiterte Tools
• zusätzliche Datenquellen oder Zielsysteme
• neue Unterauftragnehmer in der Verarbeitungskette
• geänderte Speicherorte oder Log-Aufbewahrungen
• Anpassungen der Authentifizierung und Berechtigungslogik
• Aktivierung autonomer oder schreibender Aktionen

Vereinbare rechtzeitige Information, nachvollziehbare Release Notes und eine Testmöglichkeit vor dem Produktiveinsatz. Für wesentliche Änderungen sollte deine vorherige Zustimmung erforderlich sein, zumindest wenn sie zu weitergehenden Zugriffsrechten, neuen Datenflüssen oder erhöhten Sicherheitsrisiken führen.

Auch Updates und Sicherheitskorrekturen müssen klar zugeordnet sein. Welche Regelungen für Pflegeleistungen, Patch-Fristen und Verantwortlichkeiten in Betracht kommen, haben wir unter Updates, Patches und Pflege vertraglich regeln zusammengefasst.

Sicherheitsvorfälle und fehlerhafte KI-Aktionen trennen

Ein Sicherheitsvorfall liegt etwa vor, wenn Zugangsdaten kompromittiert werden, ein Tool unbefugt aufgerufen wird oder Daten an einen nicht autorisierten Empfänger gelangen. Eine fehlerhafte KI-Aktion kann dagegen auch ohne Angriff entstehen, etwa weil das Modell eine Anweisung missversteht oder unvollständige Daten falsch bewertet.

Beide Fälle müssen vertraglich erfasst werden, aber mit unterschiedlichen Pflichten. Für Sicherheitsvorfälle sollten Meldewege, Ansprechpartner, Informationsinhalte, Sofortmaßnahmen, Beweissicherung und Unterstützung bei der Ursachenanalyse geregelt sein. Der Anbieter sollte insbesondere unverzüglich Gegenmaßnahmen ergreifen, betroffene Zugänge sperren und relevante Protokolle sichern.

Für fehlerhafte KI-Aktionen brauchst du zusätzlich klare Verantwortungsgrenzen. Der Anbieter sollte nicht pauschal jede inhaltliche Entscheidung der KI garantieren. Umgekehrt darf er sich nicht vollständig von Verantwortung freizeichnen, wenn seine Plattform vereinbarte Berechtigungsgrenzen missachtet, Protokolle fehlen oder technische Schutzmechanismen nicht funktionieren.

Die Haftungsregelung sollte deshalb unterscheiden zwischen Bedienfehlern auf Kundenseite, fehlerhaften Datenquellen, nicht vorhersehbaren Modellausgaben und Pflichtverletzungen des Anbieters. Für die grundsätzliche Gestaltung von Haftungsgrenzen findest du weitere Hinweise in unserem Beitrag Haftung im IT-Vertrag sinnvoll begrenzen.

Checkliste für die Vertragsprüfung

Prüfe vor der Freigabe einer MCP-Integration mindestens diese Punkte:

• Sind alle erlaubten Tools, Aktionen und Zielsysteme konkret dokumentiert?
• Ist für jedes Tool klar, ob es nur liest, schreibt, freigibt oder löscht?
• Gelten minimale Berechtigungen und getrennte technische Konten?
• Sind sensible Datenbereiche und ausgeschlossene Systeme ausdrücklich benannt?
• Ist der Datenfluss einschließlich Logs, Zwischenspeichern und Unterauftragnehmern beschrieben?
• Bestehen Freigabepflichten für risikoreiche oder externe Aktionen?
• Werden Tool-Aufrufe, Freigaben und Konfigurationsänderungen nachvollziehbar protokolliert?
• Gibt es ein Verfahren für neue Tools und wesentliche Änderungen?
• Kannst du einzelne Tools oder die gesamte Verbindung kurzfristig sperren?
• Sind Melde-, Unterstützungs- und Verantwortlichkeitspflichten bei Vorfällen klar geregelt?

MCP-Server machen KI-Anwendungen im Unternehmen deutlich nützlicher, weil sie den Weg zu operativen Systemen öffnen. Genau diese Nähe zu produktiven Daten und Aktionen verlangt jedoch präzise Vertragsarbeit. Wir empfehlen, Technik, IT-Sicherheit, Fachbereich, Datenschutz, Einkauf und Recht früh gemeinsam an den Tisch zu holen. Passende Seminare und Termine findest du bei uns auf cmt.de.