SaaS über Cloud Marketplace kaufen: Vertragspartner, Private Offer und Support richtig regeln

Dein Einkauf hat mit dem SaaS-Hersteller ein Private Offer im AWS Marketplace abgestimmt. Der Preis passt, vorhandene Cloud-Credits können eingesetzt werden und die Bestellung soll noch vor Quartalsende ausgelöst werden. Erst bei der Vertragsprüfung zeigt sich die entscheidende Frage: Wer schuldet eigentlich die Softwareleistung, wer stellt die Rechnung, wer unterstützt bei einer Störung und gegen wen bestehen Ansprüche, wenn Daten verloren gehen oder der Dienst ausfällt?

Der Kauf von SaaS über AWS Marketplace, Azure Marketplace oder Google Cloud Marketplace kann Beschaffung, Freigaben und Konsolidierung deutlich vereinfachen. Die technische und rechtliche Vertragskette wird dadurch aber nicht automatisch einfacher. Im Gegenteil: Neben deinem Unternehmen treten regelmäßig der Cloud-Provider als Marketplace-Betreiber, der Softwarehersteller, gegebenenfalls ein Reseller und weitere Unterauftragnehmer auf.

Damit aus einem schnellen Beschaffungsvorgang kein unklarer Vertrag wird, müssen Einkauf, IT, Informationssicherheit, Datenschutz und Recht die Rollen sauber auseinanderhalten. Entscheidend ist nicht, wie der Bestellvorgang heißt, sondern welche Vertragsbedingungen im konkreten Angebot einbezogen werden und welche Partei welche Leistung verbindlich verspricht.

Infografik zu SaaS über Cloud Marketplace kaufen: Vertragspartner, Private Offer und Support richtig regeln (KI-generiert).

Die Vertragskette vor Annahme des Angebots prüfen

Ein Marketplace bündelt Bestellung und Abrechnung. Er ist jedoch nicht zwingend der Anbieter der SaaS-Leistung. Häufig stellt der Hersteller die Anwendung bereit, verantwortet Betrieb, Produktentwicklung und Support. Der Marketplace-Betreiber vermittelt die Bestellung oder verkauft die Nutzung weiter. Je nach Plattform, Angebotsmodell, Land und Vertragsdokumenten kann die Vertragsstruktur abweichen.

Prüfe daher vor dem Klick auf „Annehmen“ mindestens diese Dokumente:

• die Marketplace-Nutzungsbedingungen deines Cloud-Provider-Kontos
• die Bedingungen des konkreten Angebots, insbesondere des Private Offer
• den SaaS-Vertrag, die Nutzungsbedingungen oder das Master Agreement des Herstellers
• Leistungsbeschreibungen, SLA, Supportbedingungen und Datenschutzunterlagen
• gegebenenfalls Bedingungen eines Resellers oder Implementierungspartners
• Bestellbestätigung, Laufzeitangaben und Abrechnungsinformationen

Eine typische Aufteilung kann so aussehen:

Thema	Häufig zuständige Partei	Was du konkret klären solltest
Bestellabwicklung und Abrechnung	Marketplace-Betreiber oder Reseller	Wer zieht das Entgelt ein, in welcher Währung und nach welcher Abrechnungslogik?
Bereitstellung der SaaS-Anwendung	Hersteller	Welche Funktionen, Mandanten, Regionen und Nutzungsrechte sind geschuldet?
Produkt-Support und Fehlerbehebung	Hersteller	Welche Kontaktwege, Zeiten, Reaktionszeiten und Eskalationen gelten?
Marketplace-Zugang und technische Bestellung	Cloud-Provider	Wer hilft bei Fehlern bei Entitlement, Provisionierung oder Kreditverrechnung?
Verarbeitung personenbezogener Daten	Hersteller, teils weitere Unterauftragnehmer	Wer ist Auftragsverarbeiter, welche Subunternehmer und Regionen werden genutzt?
Haftung für den SaaS-Betrieb	Hersteller, begrenzt durch dessen Vertrag	Welche Haftungsgrenzen, Ausschlüsse und Rechtsbehelfe gelten?

Die Tabelle ist nur ein Ausgangspunkt. Maßgeblich sind die einbezogenen Vertragsdokumente. Gerade globale Hersteller verweisen im Marketplace-Angebot oft auf online abrufbare Standardbedingungen. Diese können sich ändern. Dokumentiere deshalb die bei Annahme gültige Fassung und speichere Angebot, Anhänge und Bestellbestätigung revisionssicher ab.

Private Offer: Preisvorteil ist keine vollständige Vertragsregelung

Ein Private Offer enthält meist individuell verhandelte Preise, Laufzeiten, Mengen, Zahlungsmodalitäten oder besondere Abrechnungsparameter. Es kann auch den Bezug bestimmter Produkte, Pakete oder Verbrauchskontingente festlegen. Daraus folgt aber nicht automatisch, dass der Herstellervertrag in allen Punkten individuell angepasst ist.

Besonders häufig wird übersehen, dass ein Private Offer zwar den Preis ersetzt, aber die übrigen Standardbedingungen des Herstellers fortgelten. Das betrifft etwa:

• automatische Vertragsverlängerungen
• Preisanpassungsrechte nach Ende der Erstlaufzeit
• Messregeln für verbrauchsabhängige Leistungen
• Einschränkungen von Gewährleistung und Haftung
• zulässige Nutzung und Nutzerzahlen
• Kündigungs- und Suspendierungsrechte
• Gerichtsstand und anwendbares Recht

Halte daher ausdrücklich fest, welche Regelungen das Private Offer abändert und welche Vertragsdokumente daneben gelten. Eine Formulierung wie „abweichend von den Standardbedingungen gelten die folgenden kommerziellen Konditionen“ kann sinnvoll sein, wenn die Abweichungen präzise bezeichnet werden. Noch besser ist eine klare Rangfolge der Dokumente.

Beispielsweise kann vereinbart werden, dass erst das Private Offer, dann ein individuell verhandelter SaaS-Vertrag, danach die Leistungsbeschreibung und zuletzt die allgemeinen Standardbedingungen gelten. Ohne solche Rangfolge kann offenbleiben, ob eine Klausel des Marketplace, des Herstellers oder des Angebots Vorrang hat.

Achte außerdem auf die Annahmefrist. Ein abgelaufenes oder technisch geändertes Angebot darf nicht stillschweigend als unverändert gelten. Wenn Einkauf und Fachbereich unterschiedliche Screenshots oder Angebotsstände verwenden, entstehen unnötige Diskussionen über Preis, Umfang und Laufzeit.

Cloud-Credits und Abrechnung nicht mit Zahlungsaufschub verwechseln

Cloud-Credits sind für viele Unternehmen ein zentraler Grund, SaaS über einen Marketplace zu beziehen. Sie können ungenutzte Commitments wirtschaftlich verwerten oder Budgets bündeln. Rechtlich und kaufmännisch sind sie aber kein Ersatz für eine belastbare Preis- und Vertragsregelung.

Kläre insbesondere diese Punkte:

• Können die vorhandenen Credits tatsächlich für das konkrete Angebot, Produkt und Konto eingesetzt werden?
• Gelten Credits für einmalige Gebühren, wiederkehrende Gebühren und nutzungsabhängige Mehrverbräuche gleichermaßen?
• Was passiert, wenn Credits während der Laufzeit verfallen oder nicht ausreichen?
• Welcher Preis gilt nach Verbrauch der Credits?
• Werden Steuern, Gebühren oder Währungsumrechnungen zusätzlich berechnet?
• Kann der Hersteller zusätzliche Leistungen außerhalb des Marketplace direkt abrechnen?
• Wie werden Rückerstattungen, Gutschriften und fehlerhafte Verbrauchsmessungen abgewickelt?

Wichtig ist auch die zeitliche Logik. Eine Jahresbindung im Private Offer kann bestehen bleiben, selbst wenn die Zahlung wirtschaftlich über Cloud-Credits erfolgt. Sind die Credits erschöpft, wird der Restbetrag häufig nach den Vorgaben des Cloud-Kontos abgerechnet. Wer nur auf den aktuellen Credit-Saldo schaut, übersieht schnell die finanzielle Verpflichtung aus der Mindestlaufzeit.

Bei verbrauchsabhängigen SaaS-Angeboten solltest du die Messgröße definieren lassen. Begriffe wie „aktive Nutzer“, „Transaktionen“, „API-Aufrufe“ oder „verarbeitete Datenmenge“ reichen ohne technische Abgrenzung nicht aus. Vereinbare Reporting, Prüfungsrechte bei Abrechnungsfehlern, Warnschwellen und nach Möglichkeit Kostenobergrenzen. Wie Preiserhöhungen und Verbrauchskosten vertraglich eingegrenzt werden können, erläutern wir auch in unserem Beitrag „SaaS-Vertrag: Preiserhöhungen, KI-Zuschläge und Verbrauchskosten wirksam regeln“.

Laufzeit, Verlängerung und Kündigung aus drei Perspektiven betrachten

Marketplace-Bestellung, SaaS-Nutzung und Support können unterschiedliche Laufzeiten aufweisen. Das ist problematisch, wenn zum Beispiel die Marketplace-Bestellung endet, der Hersteller aber eine Mindestlaufzeit oder Kündigungsfrist nach seinem Direktvertrag verlangt.

Prüfe deshalb die Laufzeit auf drei Ebenen:

• Kommerzielle Bindung: Wie lange bist du zur Zahlung verpflichtet?
• Nutzungsrecht: Bis wann darf dein Unternehmen die SaaS-Lösung verwenden?
• Technische Bereitstellung: Wann wird der Zugang deaktiviert und wann beginnt die Datenrückgabe?

Eine automatische Verlängerung sollte nicht nur im Kleingedruckten stehen. Sie muss zu deinen Beschaffungsprozessen passen. Lege Kündigungsfristen, zuständige Rollen und Erinnerungen im Vertragsmanagement fest. Bei einer langfristigen Bindung sind auch Sonderkündigungsrechte wichtig, etwa bei wesentlichen Leistungsverschlechterungen, erheblichen Sicherheitsmängeln oder nicht akzeptablen Änderungen der Datenverarbeitung.

Ein Marketplace kann das technische Kündigen vereinfachen. Er garantiert aber nicht, dass sämtliche Pflichten gegenüber dem Hersteller enden. Stelle sicher, dass die Kündigung über die Plattform und die Kündigung nach dem SaaS-Vertrag rechtlich und zeitlich zusammenpassen.

SLA und Support getrennt nach Störungsursache regeln

Bei einer Störung beginnt oft ein gegenseitiges Verweisen: Der Hersteller sieht ein Problem im Cloud-Konto, der Cloud-Provider verweist auf die Anwendung, und der interne Service Desk wartet auf eine qualifizierte Fehlerbeschreibung. Diese Lücke lässt sich nur schließen, wenn Supportzuständigkeiten vorab geregelt sind.

Der Hersteller sollte für Anwendungsfehler, Sicherheitsupdates, Konfiguration seiner Plattform und die vereinbarte Verfügbarkeit einstehen. Der Marketplace-Betreiber kann dagegen für Probleme beim Kauf, bei Entitlements, beim Billing oder beim Zugriff auf Marketplace-Funktionen zuständig sein. Dein Unternehmen benötigt einen klaren Erstkontakt und verbindliche Eskalationswege.

Definiere im SLA mindestens:

• betroffene Services und ausdrücklich ausgenommene Komponenten
• Messmethode, Messzeitraum und Wartungsfenster
• Störungsklassen anhand geschäftlicher Auswirkungen
• Reaktionszeit, Wiederherstellungsziel und Statuskommunikation
• Supportzeiten, Sprache und Kontaktkanäle
• Eskalation bis zur Managementebene
• Servicegutschriften und deren Geltendmachung
• Ursachenanalyse bei schweren Störungen

Eine Verfügbarkeitszusage hilft wenig, wenn sie zahlreiche Ausnahmen enthält oder nur eine geringe Gutschrift auslöst. Für kritische Geschäftsprozesse müssen Wiederanlauf, Datenwiederherstellung und Kommunikation gesondert geprüft werden. Unser Beitrag „Disaster-Recovery-Tests im Cloud-Vertrag: RTO, RPO und Wiederanlauftests verbindlich regeln“ zeigt, welche Nachweise und Testpflichten dabei sinnvoll sind.

Datenschutz und Informationssicherheit entlang der tatsächlichen Datenflüsse prüfen

Die Beschaffung über einen Marketplace ändert nichts daran, dass die datenschutzrechtlichen Rollen sauber bestimmt werden müssen. Verarbeitet der Hersteller personenbezogene Daten im Auftrag deines Unternehmens, benötigst du regelmäßig eine passende Vereinbarung zur Auftragsverarbeitung. Der Marketplace-Betreiber ist nicht allein deshalb Auftragsverarbeiter, weil er die Bestellung und Abrechnung ermöglicht.

Unterscheide daher Daten aus dem Beschaffungsvorgang, etwa Ansprechpartner- und Rechnungsdaten, von Daten, die innerhalb der SaaS-Anwendung verarbeitet werden. Prüfe für beide Datenarten, wer welche Informationen erhält und zu welchem Zweck.

Bei der SaaS-Anwendung sind besonders wichtig:

• Hosting- und Supportregionen
• Unterauftragnehmer und deren Änderungsverfahren
• Fernzugriffe des Herstellers
• Protokollierung administrativer Zugriffe
• Verschlüsselung und Schlüsselverwaltung
• Meldefristen bei Sicherheitsvorfällen
• Löschung, Export und Rückgabe nach Vertragsende

Wenn du zentrale Identitätsdienste einbindest, entstehen zusätzliche Abhängigkeiten. SSO und SCIM erleichtern zwar das Onboarding, aber ein fehlerhaftes Offboarding kann weiterhin Zugriffe ermöglichen. Was dazu vertraglich gehört, behandeln wir in „SSO, SCIM und Passkeys im SaaS-Vertrag: Identitätsverwaltung, Offboarding und Haftung regeln“.

Haftung und Exit nicht dem Standardvertrag überlassen

SaaS-Standardbedingungen begrenzen die Haftung oft auf die in einem kurzen Zeitraum gezahlten Entgelte. Bei einem Bezug über Cloud-Credits ist zusätzlich zu klären, welcher Betrag überhaupt als Haftungsbasis zählt. Wenn der Hersteller seine Leistung nicht direkt abrechnet, darf die Haftungsgrundlage nicht unklar bleiben.

Prüfe, ob für Datenschutzverstöße, Verletzung von Vertraulichkeit, Schutzrechtsverletzungen, grobe Pflichtverletzungen oder Datenverlust abweichende Regelungen erforderlich sind. Ebenso wichtig ist die Frage, ob Ansprüche gegenüber dem Hersteller, dem Marketplace-Betreiber oder beiden bestehen. Der wirtschaftlich naheliegende Ansprechpartner ist nicht immer dein Vertragspartner für die konkrete Pflicht.

Der Exit braucht einen eigenen Plan: Datenexportformat, Exportfrist, technische Unterstützung, Kosten, Löschbestätigung und Übergangsunterstützung. Gerade wenn die SaaS-Lösung tief integriert ist, genügt ein Download-Link nicht. Weitere Hinweise findest du in „Exit-Strategie und Datenrückgabe beim Cloud-Anbieter“.

Checkliste für die Freigabe eines Marketplace-Angebots

Vor der Annahme solltest du diese Punkte abhaken:

• Vertragspartner und Leistungsrollen sind je Dokument eindeutig benannt.
• Private Offer, SaaS-Vertrag, SLA und Supportbedingungen sind vollständig gesichert.
• Die Rangfolge widersprüchlicher Vertragsdokumente ist geregelt.
• Preis, Mindestabnahme, Credits, Mehrverbräuche und Steuerlogik sind nachvollziehbar.
• Laufzeit, Verlängerung, Kündigung und Deaktivierung des Zugangs passen zusammen.
• Supportzuständigkeiten und Eskalationen decken Hersteller- und Marketplace-Probleme ab.
• Datenschutz, Unterauftragnehmer, Regionen und Sicherheitsmaßnahmen sind geprüft.
• Haftungsgrenzen und Rechtsbehelfe passen zum geschäftlichen Risiko.
• Datenexport, Rückgabe und Löschung sind für den Vertragsausstieg umsetzbar.
• Einkauf, IT, Informationssicherheit, Datenschutz und Recht haben die Freigabe dokumentiert.

Ein Cloud Marketplace ist ein leistungsfähiger Beschaffungskanal, aber kein eigener Vertragstyp mit automatisch ausgewogenen Risikoregeln. Wenn du die Vertragskette, das konkrete Private Offer und die operativen Schnittstellen gemeinsam prüfst, nutzt du die Vorteile der Plattform, ohne bei Support, Haftung oder Exit in eine Zuständigkeitslücke zu geraten. Passende Seminare und Termine findest du bei uns auf cmt.de.