Anbieterübernahme im SaaS-Vertrag: Change-of-Control, Datenzugriff und Kündigungsrechte richtig regeln

Am Montag informiert dein SaaS-Anbieter per E-Mail über seine Übernahme durch einen internationalen Konzern. Die Nachricht klingt beruhigend: Das Produkt werde weitergeführt, für Kunden ändere sich zunächst nichts. Gleichzeitig bleiben zentrale Fragen offen. Werden Preise angepasst? Bleibt dein bisheriger Support erreichbar? Greift der neue Konzern auf Kundendaten zu? Und was geschieht, wenn die gekaufte Anwendung in die Plattform des Erwerbers integriert oder langfristig eingestellt wird?

Eine Anbieterübernahme ist kein theoretisches Risiko. Gerade bei spezialisierten SaaS-Lösungen für Personal, Vertrieb, Sicherheit, Finanzprozesse oder Entwicklung kann sie den operativen Betrieb kurzfristig beeinflussen. Vertraglich entscheidend ist deshalb nicht allein, ob ein Eigentümerwechsel stattfindet. Du musst regeln, welche Folgen dieser Wechsel für Leistung, Daten, Sicherheit, Preis und Vertragsbindung haben darf.

Infografik zu Anbieterübernahme im SaaS-Vertrag: Change-of-Control, Datenzugriff und Kündigungsrechte richtig regeln (KI-generiert).

Warum eine Übernahme den SaaS-Vertrag verändert

Bei einem Share Deal wechseln die Gesellschafter des Anbieters, während die Vertragspartnerin rechtlich zunächst dieselbe Gesellschaft bleibt. Viele Standardverträge behandeln diesen Fall deshalb gar nicht. Für dich kann sich dennoch praktisch alles verändern: Geschäftsleitung, Produktstrategie, Unterauftragnehmer, Hosting-Standorte, Supportorganisation und Sicherheitsprozesse.

Bei einem Asset Deal oder einer Verschmelzung kann die Vertragsbeziehung selbst auf einen anderen Rechtsträger übergehen. Dann ist besonders wichtig, ob der Erwerber die Pflichten vollständig übernimmt und ob du dem Übergang zustimmen musst.

Typische Folgen einer Übernahme sind:

• Die Produkt-Roadmap wird verändert, Funktionen werden priorisiert, zusammengelegt oder eingestellt.
• Preislisten, Rabattmodelle und Abrechnungslogiken ändern sich.
• Support wird zentralisiert, sodass bekannte Ansprechpartner und Reaktionszeiten wegfallen.
• Daten werden in eine andere technische Umgebung migriert.
• Neue Konzernunternehmen erhalten Zugriff auf Daten oder übernehmen einzelne Betriebsleistungen.
• Die Lösung wird mit anderen Produkten gekoppelt, wodurch neue Datenflüsse entstehen.
• Der neue Eigentümer verfolgt eine andere Marktstrategie und kündigt kleinere Kundensegmente oder ältere Tarife.

Die Aussage „Der Vertrag bleibt unverändert“ genügt daher nicht. Sie schützt dich nur, wenn Leistungsbeschreibung, SLA, Datenschutzvereinbarung, Preisanhänge und Sicherheitsanlagen tatsächlich ausreichend konkret sind.

Change of Control präzise definieren

Eine Change-of-Control-Klausel beschreibt, welches Ereignis als Kontrollwechsel gilt und welche Folgen daran anknüpfen. Ohne Definition entstehen später Streitfragen, etwa wenn nicht der Anbieter selbst, sondern seine Muttergesellschaft verkauft wird.

Die Klausel sollte mindestens folgende Fälle erfassen:

Regelungsbereich	Was du konkret vereinbaren solltest
Kontrollwechsel	Erwerb der unmittelbaren oder mittelbaren Kontrolle über den Anbieter
Mehrheitswechsel	Übergang der Mehrheit von Stimmrechten oder Kapitalanteilen
Verschmelzung	Fusion, Spaltung oder sonstige Umwandlung mit Auswirkungen auf die Leistungserbringung
Verkauf wesentlicher Vermögenswerte	Übertragung des Produkts, der Plattform, des Betriebs oder wesentlicher Vertragspflichten
Konzerninterne Änderungen	Einbeziehung, soweit sich Betriebsmodell, Zugriffsmöglichkeiten oder Vertragspartner ändern
Teilverkauf	Regelung für den Verkauf von Geschäftsbereichen, die das von dir genutzte Produkt betreffen

„Kontrolle“ sollte nicht nur an eine formale Beteiligungsquote anknüpfen. Praktisch sinnvoll ist eine Orientierung an der Möglichkeit, die Geschäftsführung oder strategische Entscheidungen zu bestimmen. Bei börsennotierten Konzernen kann eine starre Prozentgrenze allerdings unpassend sein. Hier braucht es eine Formulierung, die auch faktische Kontrollwechsel berücksichtigt, ohne jede normale Streubesitzänderung auszulösen.

Wichtig ist außerdem der räumliche und organisatorische Blick. Wird dein europäischer SaaS-Anbieter von einem Konzern übernommen, der Leistungen außerhalb des bisherigen Betriebsmodells erbringt, kann dies Datenschutz, Zugriffsschutz und regulatorische Anforderungen verändern. Bei besonders sensiblen Daten solltest du die Vereinbarung zu Datenresidenz, Betreiberzugriff und Weisungsrechten gesondert prüfen. Für entsprechende Konstellationen vertieft unser Beitrag zum Sovereign-Cloud-Vertrag: Datenresidenz, Betreiberzugriff und CLOUD Act verbindlich regeln die entscheidenden Vertragspunkte.

Informationspflichten vor und nach dem Vollzug regeln

Ein Kündigungsrecht hilft wenig, wenn du erst nach Abschluss der Transaktion von wesentlichen Änderungen erfährst. Deshalb braucht die Change-of-Control-Klausel klare Informationspflichten.

Der Anbieter sollte dich informieren:

• unverzüglich nach Bekanntwerden eines konkret beabsichtigten Kontrollwechsels, soweit rechtlich zulässig
• spätestens zu einem festgelegten Zeitpunkt vor Vollzug, wenn die Transaktion zustimmungspflichtig oder öffentlich ist
• unverzüglich nach Vollzug mit Benennung des neuen kontrollierenden Unternehmens
• vor jeder Änderung von Hosting, Unterauftragnehmern, Datenflüssen, Sicherheitsmaßnahmen oder Supportorganisation
• vor der Migration von Daten in eine andere technische Umgebung
• über geplante Änderungen der Produkt-Roadmap, soweit sie vereinbarte Funktionen, Schnittstellen oder zugesagte Integrationen betreffen

Die Pflicht sollte nicht durch einen bloßen Hinweis auf einer Statusseite erfüllt sein. Verlange eine Mitteilung an deine vertraglich benannten Ansprechpartner, etwa Einkauf, IT-Vertragsmanagement und Datenschutz. Bei kritischen Anwendungen kann zusätzlich ein Abstimmungstermin innerhalb einer kurzen Frist vereinbart werden.

Achte auf den Vorbehalt „soweit rechtlich zulässig“. Er ist bei vertraulichen M&A-Verhandlungen verständlich, darf aber nicht dazu führen, dass du erst informiert wirst, wenn bereits irreversible Tatsachen geschaffen wurden. Eine praxistaugliche Lösung ist eine zweistufige Regelung: Vor Vollzug eine Mitteilung über die Tatsache des bevorstehenden Kontrollwechsels, nach Vollzug detaillierte Informationen zu Auswirkungen auf Leistung, Datenverarbeitung und Vertragserfüllung.

Sonderkündigungsrecht an konkrete Risiken koppeln

Nicht jede Übernahme rechtfertigt automatisch eine Beendigung. Ein pauschales Sonderkündigungsrecht allein wegen eines Eigentümerwechsels wird ein Anbieter häufig ablehnen. Für dich ist es meist wirksamer, Kündigungsrechte an objektive nachteilige Veränderungen zu knüpfen.

Ein Sonderkündigungsrecht sollte insbesondere entstehen, wenn:

• der Anbieter wesentliche Leistungen nicht mehr selbst oder im vereinbarten Betriebsmodell erbringt
• sich Hosting-Regionen, Datenzugriffe oder Unterauftragnehmer wesentlich ändern
• vereinbarte Sicherheitsmaßnahmen oder Zertifizierungen wegfallen
• die Funktionalität erheblich eingeschränkt oder das Produkt abgekündigt wird
• sich Preise, Nutzungsmetriken oder Verbrauchskosten außerhalb der vereinbarten Anpassungsmechanismen verändern
• der neue Eigentümer ein unmittelbarer Wettbewerber ist und dadurch ein berechtigtes Schutzinteresse besteht
• der Anbieter die vereinbarten Support-Level dauerhaft nicht mehr einhält
• die Migration auf ein Nachfolgeprodukt deine berechtigten Anforderungen nicht erfüllt

Definiere eine angemessene Ausübungsfrist. Sie sollte beginnen, sobald du die vollständigen Informationen über das auslösende Ereignis erhalten hast. Andernfalls kann der Anbieter argumentieren, dein Recht sei verfallen, obwohl du die Folgen noch nicht bewerten konntest.

Vor einer außerordentlichen Kündigung ist eine Abhilfefrist sinnvoll, wenn der Mangel behebbar ist. Bei unzulässigem Datenzugriff, einem Wegfall zentraler Sicherheitsvorkehrungen oder einer unmittelbaren Einstellung der Lösung muss die Kündigung hingegen ohne Abhilfefrist möglich sein.

Preisanpassungen verdienen besondere Aufmerksamkeit. Eine Übernahme kann zum Anlass genommen werden, Rabatte zu streichen, Tarife zusammenzuführen oder neue KI- und Verbrauchskosten einzuführen. Wie du Preisänderungen, Mehrkosten und Anpassungsrechte kontrollierbar formulierst, zeigen wir in SaaS-Vertrag: Preiserhöhungen, KI-Zuschläge und Verbrauchskosten wirksam regeln.

Datenzugriff und Datenschutz auch bei Konzernwechsel absichern

Eine Übernahme ändert nicht automatisch die datenschutzrechtlichen Rollen. Dennoch können neue Empfänger, weitere Konzerngesellschaften oder andere technische Dienstleister hinzukommen. Dein Auftragsverarbeitungsvertrag muss deshalb mit dem SaaS-Hauptvertrag und der Change-of-Control-Klausel zusammenpassen.

Regle ausdrücklich:

• Welche Gesellschaften auf Kunden- und Nutzerdaten zugreifen dürfen.
• Zu welchen Zwecken ein Zugriff zulässig ist.
• Ob der Erwerber oder andere Konzerngesellschaften als Unterauftragsverarbeiter eingesetzt werden.
• Wie du über neue Unterauftragsverarbeiter informiert wirst und ob dir ein Widerspruchsrecht zusteht.
• Dass Daten nicht allein aufgrund der Übernahme für Produktentwicklung, Analysen oder Training anderer Systeme genutzt werden dürfen.
• Welche technischen und organisatorischen Maßnahmen bei einer Migration gelten.
• Wie Zugriffsrechte ausgeschiedener oder neu hinzukommender Administratoren kontrolliert werden.

Gerade bei SaaS-Lösungen mit Single Sign-on und automatisierter Benutzerverwaltung ist ein Übergang in eine neue Konzernumgebung auch ein Berechtigungsthema. Prüfe, ob Identitäten, Rollen, Protokolle und Offboarding-Prozesse unverändert sicher funktionieren. Konkrete Regelungsansätze findest du in SSO, SCIM und Passkeys im SaaS-Vertrag: Identitätsverwaltung, Offboarding und Haftung regeln.

Exit nicht erst bei der Kündigung planen

Wenn eine Übernahme dein Vertrauen in den Anbieter erschüttert, brauchst du eine realistische Wechselmöglichkeit. Ein Sonderkündigungsrecht ohne Datenexport, Migrationsunterstützung und Übergangsleistung kann den Betrieb gefährden.

Die Exit-Klausel sollte festlegen:

• vollständiger Export deiner Daten in einem dokumentierten, gängigen und maschinenlesbaren Format
• Herausgabe von Metadaten, Konfigurationen, Protokollen und Anhängen, soweit sie für die Weiterführung erforderlich sind
• Zugang zu Exportfunktionen während der gesamten Übergangsphase
• Unterstützung bei Datenmigration und Wissenstransfer zu vorher vereinbarten Konditionen
• Fortführung des Betriebs für eine ausreichende Übergangszeit, falls du das Sonderkündigungsrecht ausübst
• Löschung oder Rückgabe verbleibender Daten mit nachvollziehbarer Bestätigung
• keine zusätzlichen Egress-Gebühren oder sonstigen Wechselhürden, soweit vertraglich ausgeschlossen

Bei geschäftskritischen Anwendungen lohnt sich ein Exit-Test. Dabei prüfst du nicht nur, ob eine Export-Schaltfläche vorhanden ist, sondern ob sich die Daten tatsächlich vollständig lesen, zuordnen und in ein Zielsystem übernehmen lassen. Weitere Hinweise bietet unser Beitrag zur Exit-Strategie und Datenrückgabe beim Cloud-Anbieter.

Checkliste für die Vertragsverhandlung

Nutze vor Vertragsabschluss oder bei einer Verlängerung diese Prüffragen:

• Ist der Change of Control umfassend und verständlich definiert?
• Muss der Anbieter vor und nach dem Kontrollwechsel schriftlich informieren?
• Sind Datenzugriffe durch neue Konzerngesellschaften und Unterauftragnehmer begrenzt?
• Gibt es ein Sonderkündigungsrecht bei konkreten nachteiligen Auswirkungen?
• Sind Preis-, Leistungs-, Sicherheits- und Supportänderungen kontrolliert?
• Ist der Übergang auf ein Nachfolgeprodukt nur unter klaren Voraussetzungen zulässig?
• Funktioniert der Datenexport ohne unverhältnismäßige Kosten und technische Hürden?
• Sind Übergangsleistungen, Migration und Löschbestätigung verbindlich geregelt?
• Passen Hauptvertrag, SLA, AVV und Sicherheitsanhang inhaltlich zusammen?

Bei uns behandeln wir solche Verhandlungssituationen anhand typischer Vertragsklauseln und Fallkonstellationen. Passende Seminare und Termine findest du bei uns auf cmt.de.

Eine Anbieterübernahme muss nicht zum Problem werden. Sie wird es aber, wenn dein Vertrag Veränderungen nur als interne Angelegenheit des Anbieters behandelt. Mit klaren Informationspflichten, risikobezogenen Kündigungsrechten und belastbaren Exit-Regeln behältst du die Handlungsfähigkeit, die dein Unternehmen im Ernstfall braucht.