Ein Klick auf Akzeptieren, und schon läuft die Buchhaltungs-Software, das CRM oder die HR-Plattform über einen fremden Server. Genau in diesem Moment entstehen die Risiken, die Geschäftsführer und CFOs Monate später teuer zu stehen kommen: unklare Verfügbarkeits-Zusagen, ein fehlender Auftragsverarbeitungsvertrag oder eine Exit-Klausel, die den Wechsel zum Anbieter-Geiseldrama macht.
SaaS-Verträge sind in Deutschland überwiegend mietrechtlich einzuordnen. Der Anbieter schuldet dauerhaft die Gebrauchstauglichkeit der Software, nicht nur die einmalige Bereitstellung. Wer das bei der Vertragsprüfung ignoriert, akzeptiert stillschweigend Haftungslücken, die im Streitfall zulasten des Kunden gehen.
Seit September 2025 verändert der EU Data Act die Ausgangslage zusätzlich: Anbieter müssen den Wechsel technisch und vertraglich erleichtern, Kündigungsfristen begrenzen und Wechselgebühren schrittweise abbauen. Wer seinen SaaS-Vertrag jetzt prüft, verhandelt aus einer deutlich stärkeren Position als noch vor zwei Jahren.
Was ist ein SaaS-Vertrag rechtlich – und welche Klauseln gehören zwingend hinein?
Ein SaaS-Vertrag ist überwiegend Mietrecht: Der Anbieter schuldet die dauerhafte Gebrauchstauglichkeit der Software über die gesamte Vertragslaufzeit, nicht nur eine einmalige Installation. Das unterscheidet SaaS grundlegend vom klassischen Software-Lizenzkauf und hat direkte Konsequenzen für Gewährleistung, Minderung und Kündigungsrechte.
Ein vollständiger SaaS-Vertrag regelt mindestens acht Kernpunkte: die Leistungsbeschreibung, die Verfügbarkeit mit Messmethodik und Service Credits, Laufzeit und Kündigungsmodalitäten, Preisanpassungsmechanismen, die Haftungsarchitektur, die Auftragsverarbeitung mit TOM- und Subprozessor-Liste, Regelungen zum Drittlandtransfer sowie eine Exit-Klausel mit Datenrückgabe. Ein vollständiger SaaS-Vertrag regelt Leistungsbeschreibung, Verfügbarkeit mit Messmethodik und Service Credits, Laufzeit und Kündigung, Preisanpassung mit Index und Deckel, Haftungsarchitektur, Auftragsverarbeitung mit TOM und Subprozessor-Liste, Drittlandtransfer über SCC oder DPF, Exit-Klausel mit Datenrückgabe nach Data Act, Geheimhaltung und Gerichtsstand. Fehlt eines dieser Elemente, entstehen im Streitfall...
Große SaaS-Anbieter arbeiten meist mit standardisierten AGB, die kaum verhandelbar wirken. Das täuscht: Dennoch bestehen häufig Verhandlungsspielräume, insbesondere bei Enterprise-Verträgen oder wenn es um geschäftskritische Anwendungen geht. Verhandlungserfolge sind besonders bei SLAs, Support-Levels, Exit-Management und datenschutzrechtlichen Themen möglich. Wer als Einkäufer ein Mindest-Auftragsvolumen oder eine mehrjährige Bindung anbietet, hat oft mehr Hebel als erwartet.
Besondere Vorsicht gilt bei Haftungsbeschränkungen. Eine Freistellung für leichte Fahrlässigkeit bei Kardinalpflichten ist nur zulässig, wenn sie die vertragstypischen, vorhersehbaren Schäden abdeckt. Klauseln, die jede Haftung pauschal ausschließen, scheitern regelmäßig an der AGB-Inhaltskontrolle nach § 307 BGB, weil sie den Vertragspartner unangemessen benachteiligen.
Wie verhandeln Sie ein belastbares SLA für Verfügbarkeit und Support?
Ein Service-Level-Agreement ist erst dann belastbar, wenn Verfügbarkeit, Messmethodik und Konsequenzen bei Unterschreitung schriftlich und eindeutig festgelegt sind – reine Prozentangaben ohne Messfenster sind wertlos. Üblich sind Zusagen zwischen 99,5 und 99,9 Prozent im Monatsdurchschnitt, gemessen über definierte Zeitfenster und mit klar benannten Ausnahmen für geplante Wartungsfenster.
Entscheidend ist die Definition von Downtime. Manche Anbieter-AGB zählen nur den vollständigen Totalausfall, nicht aber eingeschränkte Performance oder Teilausfälle einzelner Module. Für ein geschäftskritisches CRM oder ERP-System macht das einen erheblichen Unterschied: Ein System, das nur zu 60 Prozent funktioniert, gilt vertraglich womöglich als verfügbar.
Service Credits – also Gutschriften bei Unterschreitung der SLA-Werte – sind der übliche Kompensationsmechanismus. Problematisch wird es, wenn die AGB festschreiben, dass Service Credits die einzige und ausschließliche Rechtsfolge sind und die gesetzliche Minderung ausschließen. Klauseln, die die gesetzliche Minderung bei Ausfällen vollständig ausschließen, halten der AGB-Kontrolle häufig nicht stand. Für Einkäufer bedeutet das: Eine solche Klausel im Vertrag ist kein Grund zur Beruhigung, sondern ein Ansatzpunkt für die Verhandlung.
Ein mittelständischer Logistik-Dienstleister aus dem Ruhrgebiet hatte in der Praxis das typische Problem: Das gebuchte Warenwirtschafts-SaaS fiel während der Kernarbeitszeit wiederholt für wenige Minuten aus, blieb aber unterhalb der vertraglich definierten Ausfall-Schwelle. Erst eine Nachverhandlung der Messmethodik – Umstellung von Tages- auf Stundenfenster – machte die Ausfälle vertraglich sichtbar und Service Credits erstmals durchsetzbar.
Für Support-Level gilt dasselbe Prinzip wie für Verfügbarkeit: Reaktionszeiten ohne Eskalationsstufen sind wenig wert. Verhandeln Sie gestaffelte Reaktionszeiten nach Schweregrad, eine benannte Eskalationskette und Konsequenzen, wenn diese Zeiten wiederholt gerissen werden.
Praxis-Tipp
SaaS-Verträge gelten in Deutschland überwiegend als Mietverträge, weshalb der Anbieter die dauerhafte Gebrauchstauglichkeit der Software schuldet und nicht nur die einmalige Bereitstellung.
Welche Inhalte muss der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO abdecken?
Ein Auftragsverarbeitungsvertrag ist bei jeder SaaS-Nutzung mit personenbezogenen Daten gesetzlich zwingend – ohne AVV verarbeitet der Anbieter Daten ohne Rechtsgrundlage. Bei SaaS-Verträgen, die die Verarbeitung personenbezogener Daten umfassen, ist ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO zwingend erforderlich. Das betrifft praktisch jede Cloud-Anwendung mit Kunden-, Bewerber- oder Mitarbeiterdaten – vom CRM über die Personalakte bis zum Newsletter-Tool.
Der AVV muss zehn Pflichtinhalte nach Art. 28 Abs. 3 DSGVO enthalten: Zehn Pflichtinhalte nach Art. 28 Abs. 3 DSGVO: Gegenstand, Dauer, Art, Zweck, Datenkategorien, Betroffene, Verantwortlicher-Pflichten, Weisungsbindung, Vertraulichkeit, Sicherheitsmaßnahmen, Sub-Processors, Datenrückgabe. Viele Standard-AVVs großer Anbieter bilden diese Punkte nur oberflächlich ab, insbesondere bei der Subprozessor-Genehmigung und bei technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.
Besonders die Löschpflicht nach Vertragsende wird häufig zu vage geregelt. Laut DSGVO muss jeder Vertrag über Auftragsverarbeitung eine Regelung enthalten, die folgendes sicherstellt: Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten oder gibt sie dem Verantwortlichen zurück, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht. Prüfen Sie, ob der Vertrag eine schriftliche Löschbestätigung vorsieht – ohne diese fehlt der Nachweis gegenüber der Aufsichtsbehörde.
Die Konsequenzen eines fehlenden oder mangelhaften AVV sind erheblich. Ein fehlender Auftragsverarbeitungsvertrag stellt einen Verstoß gegen Art. 28 DSGVO dar. Dies kann zu Bußgeldern von bis zu 10 Mio. Euro oder 2 % des Jahresumsatzes führen. Zudem können betroffene Personen Schadensersatz verlangen. Bei internationalen SaaS-Anbietern kommt regelmäßig die Frage nach Drittlandtransfers hinzu, etwa über Standard Contractual Clauses oder das EU-US Data Privacy Framework – auch das gehört zwingend in den AVV geregelt, nicht nur in eine separate Datenschutzerklärung.
Wichtig zu wissen
Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist bei jeder SaaS-Nutzung mit personenbezogenen Daten zwingend erforderlich, sonst drohen Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des Jahresumsatzes.
