SaaS-Verträge, AVV und Datenschutz

Die Fachabteilung möchte eine neue SaaS-Lösung kurzfristig einsetzen, der Anbieter sendet einen Standardvertrag und einen Link zu seinem Datenschutzanhang. Im Projekt herrscht oft die Annahme, dass mit diesem Anhang alles erledigt sei. Das ist riskant: Ob ein Auftragsverarbeitungsvertrag, kurz AVV, erforderlich ist, entscheidet nicht die Überschrift des Dokuments. Entscheidend ist, wer welche personenbezogenen Daten zu welchem Zweck verarbeitet und wer tatsächlich über diese Verarbeitung bestimmt.

Warum bei SaaS häufig Auftragsverarbeitung vorliegt

Bei einer SaaS-Lösung nutzt dein Unternehmen Software über die Infrastruktur des Anbieters. Dabei gelangen typischerweise personenbezogene Daten in dessen Systeme: Namen, geschäftliche Kontaktdaten, Nutzerkennungen, Zugriffsprotokolle, Inhalte von Tickets, Dokumente, Personalinformationen oder Kundendaten.

Der Anbieter verarbeitet diese Daten meist, damit dein Unternehmen die gebuchte Anwendung nutzen kann. Er speichert, überträgt, sichert, analysiert bei Fehlern und löscht Daten nach deinen vertraglichen Vorgaben. Er handelt damit regelmäßig als Auftragsverarbeiter. Dein Unternehmen bleibt Verantwortlicher, weil es entscheidet, warum und in welchem Rahmen die Daten verarbeitet werden.

Ein AVV ist deshalb bei vielen SaaS-Verträgen erforderlich. Typische Beispiele sind:

• CRM-Systeme, in denen Kundenkontakte und Vertriebsaktivitäten verarbeitet werden
• HR-Software für Bewerbungen, Personalakten oder Zeitwirtschaft
• Kollaborationsplattformen mit Nutzerkonten, Chats, Dateien und Besprechungsdaten
• Ticket- und Supportsysteme mit Ansprechpartnern und Fehlerbeschreibungen
• Buchhaltungs- und Reisekostenlösungen
• Analyse- und Monitoringdienste, sofern sie personenbezogene Nutzungs- oder Protokolldaten im Auftrag verarbeiten

Die bloße Aussage des Anbieters, Daten würden verschlüsselt oder ausschließlich in der EU gespeichert, ersetzt keinen AVV. Diese Aspekte können wichtig sein, beantworten aber nicht die Rollenfrage und regeln auch nicht die erforderlichen Weisungs-, Kontroll- und Löschpflichten.

Nicht jede Datenweitergabe ist Auftragsverarbeitung

Die Rollen müssen für jeden Dienst nach der tatsächlichen Leistung bestimmt werden. Drei Konstellationen sind besonders wichtig.

Konstellation	Kennzeichen	Vertragliche Folge
Auftragsverarbeitung	Der Anbieter verarbeitet Daten für deine festgelegten Zwecke und nach deinen Weisungen.	AVV erforderlich
Eigenständige Verantwortlichkeit	Der Anbieter bestimmt eigene Zwecke und wesentliche Mittel der Verarbeitung selbst.	Kein AVV, aber transparente Verantwortlichkeiten und gegebenenfalls weitere Datenschutzinformationen
Gemeinsame Verantwortlichkeit	Beide Seiten entscheiden gemeinsam über Zwecke und wesentliche Mittel.	Vereinbarung über gemeinsame Verantwortlichkeit erforderlich

Ein SaaS-Anbieter ist nicht allein deshalb eigenständig Verantwortlicher, weil er seine Plattform technisch betreibt oder Sicherheitsmaßnahmen festlegt. Technische Entscheidungen zur stabilen und sicheren Bereitstellung sind mit einer Auftragsverarbeitung vereinbar.

Anders kann es aussehen, wenn der Anbieter die Daten für eigene, von deiner Nutzung unabhängige Zwecke verwenden möchte. Beispiele sind die dauerhafte Bildung eigener Nutzungsprofile, die eigenständige Vermarktung von Kontaktdaten oder die Entwicklung allgemeiner Produkte auf Basis identifizierbarer Kundendaten. Dann genügt die Bezeichnung als Auftragsverarbeiter nicht mehr. Prüfe genau, ob der Anbieter dafür eine eigene Rechtsgrundlage beansprucht und ob dein Unternehmen diese Nutzung überhaupt zulassen will.

Besondere Aufmerksamkeit verdienen Klauseln zu Produktverbesserung, Telemetrie und Statistik. Anonymisierte Daten können für solche Zwecke anders zu bewerten sein als personenbezogene oder lediglich pseudonymisierte Daten. Der Vertrag sollte Begriffe nicht vermischen. Frage konkret: Welche Daten werden verwendet, wer kann sie wieder einer Person zuordnen und für welchen Zweck geschieht das?

Diese Punkte gehören in einen belastbaren AVV

Ein AVV soll nicht nur formell vorhanden sein. Er muss zur konkreten SaaS-Leistung passen und die Verarbeitung nachvollziehbar beschreiben. Die Datenschutz-Grundverordnung gibt dafür einen verbindlichen Rahmen vor. In der Praxis sollte dein AVV mindestens die folgenden Punkte enthalten.

Gegenstand, Dauer und Zweck der Verarbeitung

Der Vertrag muss klar beschreiben, welche SaaS-Leistung erbracht wird und welche Verarbeitung damit verbunden ist. Allgemeine Formulierungen wie „Bereitstellung von Cloud-Diensten“ sind oft zu unbestimmt.

Besser ist eine Beschreibung, die etwa Nutzerverwaltung, Hosting, Datensicherung, Fehleranalyse, Support und die vereinbarte Datenlöschung erfasst. Auch die Laufzeit sollte zum Hauptvertrag passen. Läuft der Hauptvertrag aus, muss klar sein, was mit den Daten geschieht.

Datenarten und betroffene Personengruppen

Benenne nicht nur abstrakt „personenbezogene Daten“. Liste die realistisch verarbeiteten Kategorien auf, etwa Stammdaten, Kontaktdaten, Vertragsdaten, Kommunikationsinhalte, Nutzungsdaten oder Protokolldaten.

Genauso wichtig sind die betroffenen Personen: Beschäftigte, Kunden, Interessenten, Lieferanten, externe Ansprechpartner oder Nutzer deines Portals. Wenn besondere Kategorien personenbezogener Daten vorkommen können, etwa Gesundheitsdaten oder Daten zur Gewerkschaftszugehörigkeit, muss das ausdrücklich berücksichtigt werden. Ein Standardanhang ohne Bezug zur tatsächlichen Nutzung ist kein belastbarer Nachweis.

Weisungsrecht und Umgang mit Anfragen

Dein Unternehmen muss dem Anbieter Weisungen zur Verarbeitung erteilen können. Der AVV sollte festlegen, in welcher Form Weisungen erfolgen, wer dazu berechtigt ist und wie der Anbieter dokumentiert, dass er Weisungen umgesetzt hat.

Wichtig ist auch der Fall, dass eine Weisung aus Sicht des Anbieters gegen Datenschutzrecht verstößt. Der Anbieter soll dich darauf hinweisen, soweit ihm dies rechtlich möglich ist. Für den Alltag braucht ihr außerdem einen geregelten Prozess für Anfragen betroffener Personen, Behördenanfragen und Datenschutzvorfälle.

Technische und organisatorische Maßnahmen

Die technischen und organisatorischen Maßnahmen, oft als TOM bezeichnet, sollten als Anlage oder nachvollziehbarer Bestandteil des AVV dokumentiert sein. Prüfe nicht nur, ob eine lange Sicherheitsliste existiert. Prüfe, ob sie für die gebuchte Leistung plausibel und ausreichend konkret ist.

Relevant sind insbesondere:

• Zugriffs- und Berechtigungskonzepte
• Verschlüsselung bei Übertragung und Speicherung
• Mandantentrennung bei Mehrmandantenumgebungen
• Protokollierung sicherheitsrelevanter Zugriffe
• Sicherung, Wiederherstellung und Verfügbarkeit
• Umgang mit Sicherheitslücken und Änderungen
• Verpflichtung und Schulung der Beschäftigten des Anbieters
• Verfahren zur regelmäßigen Überprüfung der Maßnahmen

Wenn dein Unternehmen besondere Anforderungen hat, etwa an Identitätsmanagement, Protokollaufbewahrung oder Verschlüsselungsverwaltung, gehören diese nicht nur in interne Sicherheitsvorgaben. Sie müssen im Hauptvertrag, im Leistungsverzeichnis oder in verbindlichen Anlagen abgebildet werden.

Unterauftragsverarbeiter und Datenübermittlungen

SaaS-Anbieter setzen häufig weitere Dienstleister ein, etwa für Hosting, Support, E-Mail-Versand, Fehleranalyse oder Content Delivery. Diese Unterauftragsverarbeiter müssen im AVV geregelt sein. Du solltest erkennen können, welche Unternehmen eingesetzt werden, welche Leistungen sie erbringen und in welchen Ländern sie Daten verarbeiten.

Achte auf ein Verfahren für neue Unterauftragsverarbeiter. Der Anbieter sollte Änderungen rechtzeitig ankündigen und dir eine realistische Möglichkeit geben, begründete Einwände zu erheben. Eine Klausel, nach der du bei jeder Änderung nur kündigen darfst, kann wirtschaftlich unzureichend sein, insbesondere wenn ein Wechsel der SaaS-Lösung aufwendig ist.

Bei Datenverarbeitungen außerhalb des Europäischen Wirtschaftsraums reicht die Angabe eines Serverstandorts nicht aus. Prüfe die tatsächlichen Zugriffe, etwa durch Supportteams oder Konzernunternehmen. Der Vertrag muss die eingesetzten Übermittlungsmechanismen und zusätzlichen Schutzmaßnahmen für Drittländer nachvollziehbar abbilden.

Hauptvertrag und AVV müssen zusammenpassen

Der AVV regelt die Datenschutzbeziehung. Er ersetzt aber nicht den Hauptvertrag. Gerade bei SaaS entstehen Probleme, wenn beide Dokumente unterschiedliche Aussagen treffen.

Ein Beispiel: Der AVV sieht eine Löschung nach Vertragsende vor, die Leistungsbedingungen erlauben dem Anbieter aber eine lange Aufbewahrung für interne Zwecke. Oder der AVV begrenzt die Verarbeitung auf Weisungen, während der Hauptvertrag dem Anbieter umfassende Rechte zur Datennutzung für Analysen und Produktentwicklung einräumt. Solche Widersprüche musst du vor der Unterschrift auflösen.

Prüfe insbesondere diese Schnittstellen:

• Leistungsbeschreibung: Welche Datenverarbeitungen sind technisch erforderlich und vertraglich vereinbart?
• Support: Darf der Anbieter auf Produktivdaten zugreifen? Unter welchen Freigaben und wie wird der Zugriff protokolliert?
• Löschung und Rückgabe: In welchem Format erhältst du Daten zurück, welche Fristen gelten und wie wird die Löschung bestätigt?
• Verfügbarkeit und Sicherheit: Passen SLA, Backup-Konzept, Meldewege und TOM zusammen?
• Haftung: Der AVV darf Haftungsregelungen des Hauptvertrags nicht unbemerkt verändern oder entwerten.
• Änderungsrechte: Können Anbieter AGB, Datenschutzanhang oder Sicherheitsmaßnahmen einseitig ändern? Dann brauchst du klare Grenzen und Informationspflichten.

Wenn der Anbieter auf einen online veröffentlichten AVV verweist, sichere die geprüfte Fassung als Vertragsanlage. Bei bloß verlinkten Dokumenten kann sonst später unklar sein, welche Version bei Vertragsschluss gegolten hat.

Typische Schwachstellen in SaaS-AVV

In Vertragsprüfungen begegnen uns regelmäßig ähnliche Probleme. Ein häufiger Fehler ist ein AVV, der nur als generisches Muster vorliegt und weder Produkt noch Datenkategorien konkret benennt. Ebenso kritisch sind Listen von Unterauftragsverarbeitern ohne Leistungen, Standorte oder Änderungsverfahren.

Achte auch auf Klauseln, die Sicherheits- oder Datenschutzpflichten pauschal auf den Kunden verlagern. Natürlich trägt dein Unternehmen Verantwortung für Nutzerberechtigungen, Konfigurationen und die rechtmäßige Datenerhebung. Der Anbieter bleibt aber für seinen eigenen Verantwortungsbereich zuständig, etwa für die Sicherheit seiner Plattform und die Verpflichtung seiner Mitarbeitenden.

Nicht ausreichend sind außerdem bloße Prüfberichte ohne Einordnung. Zertifikate und Auditberichte können die Bewertung unterstützen. Sie ersetzen jedoch nicht die Frage, ob der konkrete Dienst eure Anforderungen erfüllt. Du musst wissen, welche Teile der Plattform geprüft wurden, wie aktuell der Nachweis ist und welche offenen Risiken bleiben.

Checkliste vor der Freigabe

Bevor du einen SaaS-Vertrag freigibst, solltest du diese Fragen mit IT, Einkauf, Fachbereich und Datenschutz klären:

1. Welche personenbezogenen Daten werden in der Lösung tatsächlich verarbeitet?
2. Welche Rolle hat der Anbieter für jede relevante Verarbeitung?
3. Liegt bei Auftragsverarbeitung ein zum Dienst passender AVV vor?
4. Sind Datenarten, Personengruppen, Zwecke und Verarbeitungsschritte konkret beschrieben?
5. Sind TOM, Supportzugriffe und Sicherheitsmeldungen nachvollziehbar geregelt?
6. Kennst du alle Unterauftragsverarbeiter und mögliche Drittlandzugriffe?
7. Passen Hauptvertrag, SLA, AVV und Datenschutzinformationen widerspruchsfrei zusammen?
8. Sind Rückgabe, Löschung, Exportformate und Fristen nach Vertragsende praktisch umsetzbar?
9. Gibt es klare Regeln für Änderungen des Dienstes, der Unterauftragnehmer und der Datenschutzdokumente?
10. Ist dokumentiert, wer den Vertrag, den AVV und die Sicherheitsbewertung intern freigegeben hat?

Die Vertragsprüfung ist keine reine Datenschutzroutine. Bei SaaS entscheidet sie mit darüber, ob dein Unternehmen Daten kontrolliert nutzen, Anbieterwechsel realistisch planen und Vorfälle geordnet bearbeiten kann. Passende Seminare und Termine findest du bei uns auf cmt.de.