Ein Softwareanbieter sendet Ihnen einen vorformulierten SaaS-Vertrag zu: dreißig Seiten, Rechtswahl Delaware, Haftungsobergrenze auf drei Monatsentgelte begrenzt, Datenspeicherung in einer US-amerikanischen Region – und die Dienstleistung soll in zwei Wochen starten. Viele Geschäftsführer mittelständischer Unternehmen unterschreiben solche Verträge ohne vertiefte Prüfung, weil der operative Druck überwiegt.
SaaS- und Cloud-Verträge unterliegen im deutschen Recht einem differenzierten Regime aus BGB-Mietrecht, Werkvertragsrecht und DSGVO-Anforderungen. Eine strukturierte Vertragsgestaltung schützt den Geschäftsführer vor persönlicher Haftung, sichert Datenschutz-Compliance und bewahrt das Unternehmen vor nachteiligen Klauseln zu Verfügbarkeit, Kündigung und Datenherausgabe.
Diese Checkliste führt Sie Schritt für Schritt durch die rechtlich kritischen Punkte eines SaaS- oder Cloud-Vertrags – von der Typenbestimmung über die Datenschutz-Anforderungen bis zur Exit-Strategie.
Schritt 1: Vertragstyp bestimmen – Miete, Dienstleistung oder Werkvertrag?
Die rechtliche Einordnung eines Cloud-Vertrags entscheidet über Gewährleistungsrechte, Kündigungsfristen und Haftungsregeln. Wer diesen Schritt überspringt, verhandelt auf falscher Grundlage.
Das BGB kennt keinen eigenständigen „Cloud-Vertrag". Die Rechtsprechung ordnet SaaS-Vereinbarungen, bei denen ein Anbieter dem Nutzer dauerhaft und gegen Entgelt Zugang zu einer Software gewährt, regelmäßig dem Mietvertragsrecht der §§ 535 ff. BGB zu. Relevant wird dies insbesondere beim Mängelrecht: Der Vermieter ist zur Erhaltung der Mietsache verpflichtet; Minderungsrechte entstehen kraft Gesetzes, ohne dass der Nutzer ausdrücklich mahnen muss. Handelt es sich hingegen um eine individuelle Entwicklungsleistung im Rahmen des Cloud-Vertrags, greifen die §§ 631 ff. BGB (Werkvertragsrecht) mit ihrer gesonderten Abnahme- und Gewährleistungssystematik.
In der Mandatspraxis sehen wir häufig Hybridverträge: laufende Softwarenutzung (Miete) kombiniert mit projektbezogener Implementierung (Werkvertrag) und fortlaufendem Support (Dienstvertrag). Jeder dieser Vertragsbestandteile folgt eigenen Regeln. Eine klare Abgrenzung im Vertragswerk ist deshalb keine Formalität, sondern praktische Notwendigkeit.
Prüfpunkt: Enthält der Vertrag eine eindeutige Typenzuordnung? Sind Implementierungsleistungen, laufende Nutzung und Support in getrennten Abschnitten geregelt?
Schritt 2: Leistungsbeschreibung und Service Level Agreements präzise verhandeln
Eine vage Leistungsbeschreibung ist das häufigste Einfallstor für Streitigkeiten – und für den Nutzer regelmäßig das schwächere Ende.
Leistungsumfang, Reaktionszeiten bei Störungen und vereinbarte Verfügbarkeit sollten numerisch und messbar im Vertrag stehen. Eine Verfügbarkeitsgarantie von „99,5 % pro Monat" klingt hoch, erlaubt aber rechnerisch rund 3,6 Stunden ungeplanten Ausfall je Monat. Für zeitkritische Geschäftsprozesse kann das erheblich sein. Verhandlungsziel ist daher nicht nur ein hoher Prozentwert, sondern eine klare Definition des Messfensters (Kalendermonat vs. rollierende 30 Tage), der Messmethode sowie der Rechtsfolgen bei Unterschreitung – üblicherweise Service Credits oder außerordentliches Kündigungsrecht.
Ebenso wichtig: eine präzise Beschreibung von Wartungsfenstern, geplanten Ausfallzeiten und dem Verfahren bei Notfall-Patches. Was nicht im Vertrag steht, gilt im Zweifel als nicht geschuldet.
Prüfpunkt: Sind Verfügbarkeit, Reaktionszeiten und Eskalationsstufen konkret vereinbart? Welche Rechtsfolgen löst eine SLA-Unterschreitung aus?
Schritt 3: DSGVO-konforme Auftragsverarbeitungsvereinbarung abschließen
Verarbeitet der Cloud-Anbieter personenbezogene Daten im Auftrag Ihres Unternehmens, ist eine Auftragsverarbeitungsvereinbarung (AVV) nach Art. 28 DSGVO zwingend – ohne Wenn und Aber.
Die DSGVO verpflichtet den Verantwortlichen (also Ihr Unternehmen als Auftraggeber) sicherzustellen, dass der Auftragsverarbeiter hinreichende Garantien für die datenschutzkonforme Datenverarbeitung bietet. Ein fehlender oder unvollständiger AVV kann Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes auslösen (Art. 83 DSGVO). Die Haftung trifft zunächst das Unternehmen als juristische Person, kann aber über §§ 43 GmbHG, 93 AktG auf den Geschäftsführer oder Vorstand durchschlagen, wenn eine hinreichende Compliance-Struktur fehlte.
Kritische Punkte im AVV: Gegenstand und Dauer der Verarbeitung, Art und Zweck, Kategorie der betroffenen Personen, Pflichten und Rechte des Verantwortlichen, Unterauftragsverhältnisse (Sub-Processor-Liste). Vorsicht bei Anbietern, die ihre Sub-Processor-Liste nur auf einer Webseite pflegen und sich eine jederzeitige Änderung vorbehalten – das entspricht regelmäßig nicht den Anforderungen des Art. 28 Abs. 2 DSGVO.
Findet eine Datenübermittlung in Drittstaaten außerhalb der EU/EWR statt, sind geeignete Garantien nach Art. 46 DSGVO erforderlich, insbesondere Standardvertragsklauseln (SCC) in der aktuellen Fassung der Europäischen Kommission oder ein Angemessenheitsbeschluss. Datenschutzverletzungen müssen der zuständigen Aufsichtsbehörde binnen 72 Stunden gemeldet werden (Art. 33 DSGVO); der AVV muss regeln, wie der Anbieter Sie dabei unterstützt.
Prüfpunkt: Liegt ein vollständiger AVV nach Art. 28 DSGVO vor? Sind Sub-Processor-Änderungen mit Widerspruchsrecht ausgestaltet? Ist die Drittstaaten-Übermittlung durch aktuelle SCCs oder einen Angemessenheitsbeschluss abgedeckt?
Schritt 4: Haftungsklauseln und Haftungsobergrenzen kritisch prüfen
Haftungsbeschränkungen auf wenige Monatsentgelte sind Marktstandard – aber marktüblich bedeutet nicht angemessen oder rechtlich unangreifbar.
Nach deutschem AGB-Recht (§§ 305 ff. BGB) sind Klauseln, die die Haftung für vorsätzliche oder grob fahrlässige Pflichtverletzungen sowie für Personenschäden ausschließen, unwirksam (§ 309 Nr. 7 BGB). Für mittelständische Unternehmen als Unternehmer gilt ein etwas weiterer Gestaltungsspielraum, doch auch hier ist die Kernhaftung für grobe Pflichtverletzungen nicht abdingbar. Praxisnah bedeutet das: Bei einem erheblichen Datenverlust oder einem mehrtägigen Systemausfall, der den Betrieb des Kunden lahmlegt, kann eine Haftungsobergrenze von drei Monatsentgelten die tatsächliche Schadenshöhe um ein Vielfaches unterschreiten.
Nach unserer Erfahrung lassen sich Haftungsobergrenzen in B2B-Verhandlungen deutlich aufstocken – etwa auf den Jahreswert des Vertrags, mit Ausnahmen für Datenschutzverletzungen. Verhandeln lohnt sich, besonders wenn das Unternehmen stark von der Verfügbarkeit des Systems abhängt.
Wichtig ist auch die Haftungsverteilung bei Datenschutzverletzungen: Gemäß Art. 82 DSGVO haften Verantwortlicher und Auftragsverarbeiter gesamtschuldnerisch gegenüber betroffenen Personen; im Innenverhältnis greift die Verteilung nach Verschulden. Klauseln, die diese Haftung einseitig auf den Auftraggeber abwälzen, sind im Lichte des Art. 82 Abs. 3 DSGVO mit Vorsicht zu bewerten.
Prüfpunkt: Ist die Haftungsobergrenze wirtschaftlich angemessen? Sind DSGVO-Haftungsszenarien gesondert adressiert? Enthält der Vertrag einen Ausschluss für vorsätzliches Handeln des Anbieters?
Welche Regelungen zu Dateneigentum und Datenherausgabe sind unbedingt nötig?
Ihre Unternehmensdaten in der Cloud gehören Ihnen – aber ohne ausdrückliche Vertragsklauseln gestaltet sich der Zugriff im Streitfall schwierig.
Das deutsche Recht kennt kein „Dateneigentum" im sachenrechtlichen Sinne. Der Zugang zu Daten wird daher ausschließlich durch vertragliche Regelungen gesichert. Im Vertrag sollte ausdrücklich festgelegt sein, dass alle vom Nutzer eingebrachten und im Rahmen der Nutzung generierten Daten (Betriebsdaten, Nutzungsdaten, abgeleitete Daten) ausschließlich dem Nutzer gehören und der Anbieter kein Recht hat, diese für eigene Zwecke, insbesondere das Training von KI-Modellen, zu verwenden.
Datenzugang im laufenden Betrieb ist die eine Seite. Die andere: Was passiert bei Vertragsende, Insolvenz des Anbieters oder technischem Ausfall? Eine Datenherausgabeklausel sollte regeln, in welchem Format (strukturiert, maschinenlesbar), innerhalb welcher Frist und zu welchen Kosten die Daten herausgegeben werden. Fehlt diese Klausel, kann der Anbieter die Rückgabe von der Zahlung aller ausstehenden Entgelte oder sogar einer Herausgabegebühr abhängig machen.
Prüfpunkt: Enthält der Vertrag eine ausdrückliche Regelung zum Dateneigentum? Ist das Datenherausgabeverfahren bei Vertragsende – Format, Frist, Kosten – konkret vereinbart?
Schritt 5: Kündigungsrechte, Laufzeit und Exit-Strategie absichern
Lange Laufzeiten und automatische Verlängerungsklauseln sind für Anbieter attraktiv. Für den Nutzer bedeuten sie Flexibilitätsverlust – und können im Wandel des Unternehmens zur Falle werden.
In der Mandatspraxis beraten wir regelmäßig Unternehmen, die einen Cloud-Vertrag mit dreijähriger Laufzeit und automatischer Verlängerung um weitere zwei Jahre abgeschlossen hatten – und deren Anforderungen sich durch eine Akquisition fundamental geändert haben. Die Kündigungsfrist für eine Nicht-Verlängerung betrug sechs Monate vor Ablauf; wer diese Frist verpasste, war für weitere zwei Jahre gebunden.
Verhandlungsempfehlung: Laufzeiten von maximal einem Jahr mit jährlichem Verlängerungsoptionsrecht für den Nutzer. Alternativ: Staffelpreise für längere Laufzeiten, verbunden mit einem außerordentlichen Kündigungsrecht bei wesentlicher Leistungsverschlechterung, Change-of-Control beim Anbieter oder erheblicher Preiserhöhung. Das ordentliche Kündigungsrecht sollte – soweit AGB-rechtlich zulässig – für den Nutzer nicht ausgeschlossen werden.
Außerordentliche Kündigungsgründe sollten vertraglich aufgelistet sein. Praktisch relevant sind: anhaltende SLA-Unterschreitungen über eine definierte Periode, Insolvenz des Anbieters, wesentliche Änderung der Leistungsbeschreibung und Verstöße gegen den AVV. Ein automatisches Sonderkündigungsrecht bei Änderungen der Datenschutzklauseln oder der Sub-Processor-Liste ist bei DSGVO-relevanten Diensten besonders wichtig.
Prüfpunkt: Wie lang ist die Laufzeit? Wie lange die Frist zur Verhinderung der automatischen Verlängerung? Welche außerordentlichen Kündigungsgründe sind zugunsten des Nutzers vereinbart?
Wann haftet der Geschäftsführer persönlich für einen mangelhaften Cloud-Vertrag?
Die persönliche Haftung des Geschäftsführers für Vertragsgestaltungsfehler ist kein theoretisches Risiko, sondern ein Feld, in dem die Gerichte zunehmend klare Maßstäbe setzen.
Gemäß § 43 Abs. 2 GmbHG haftet der Geschäftsführer der Gesellschaft für Schäden, die durch die Verletzung seiner Sorgfaltspflicht entstehen. Diese Sorgfaltspflicht umfasst die Pflicht, für rechtskonforme Verträge zu sorgen – insbesondere bei DSGVO-Anforderungen, die kraft Gesetzes dem Unternehmen als Verantwortlichem obliegen. Unterbleibt der Abschluss eines AVV, und verhängt die Datenschutzbehörde ein erhebliches Bußgeld, kann der Gesellschaft ein Regressanspruch gegen den Geschäftsführer zustehen, wenn dieser die DSGVO-Pflicht kannte oder kennen musste.
Ein weiterer Haftungsansatz ergibt sich aus dem Kartellrecht: Werden in Cloud-Verträgen wettbewerbsrechtlich problematische Klauseln vereinbart – etwa exklusive Nutzungsdatenrechte zugunsten des Anbieters –, kann dies das Unternehmen und im Einzelfall auch verantwortliche Organe belasten. Nach unserer Erfahrung unterschätzen Geschäftsführer dieses Risiko, weil es selten explizit im Vertrag erkennbar ist.
Absicherung durch Prozess: Standardisierte Prüfchecklisten für Cloud-Verträge, Einbindung des Datenschutzbeauftragten und anwaltliche Prüfung vor Unterzeichnung sind keine übertriebenen Vorkehrungen, sondern Mindeststandard für Unternehmen ab einer gewissen Größe.
Prüfpunkt: Ist die Vertragsunterzeichnung dokumentiert? Wurde der Datenschutzbeauftragte eingebunden? Liegt eine anwaltliche Stellungnahme für wesentliche Cloud-Verträge vor?
Mandatsbeispiel (anonymisiert): Die Kanzlei beriet ein mittelständisches Logistikunternehmen, das eine cloudbasierte Telematikplattform für seine Fahrzeugflotte einsetzte. Ausgangslage: Der Anbieter hatte einseitig seine Sub-Processor-Liste geändert und dabei einen Anbieter mit Serverstandort in einem Drittstaat ohne Angemessenheitsbeschluss eingebunden. Der AVV sah keine Widerspruchsmöglichkeit vor; eine aktuelle SCC-Basis fehlte. Vorgehen: Analyse der bestehenden Vertragsstruktur, Nachverhandlung des AVV mit Widerspruchsrecht bei Sub-Processor-Änderungen und Pflicht zur Bereitstellung aktueller SCCs, Befristung der Übergangszeit auf vier Wochen. Ergebnis: Das Unternehmen erreichte eine vertragsrechtlich gesicherte DSGVO-Compliance und konnte dem Betriebsrat gegenüber nachweisen, dass die Datenverarbeitung der Belegschaft rechtlich abgesichert war. Konkrete Schadensbeträge wurden nicht vereinbart; die Lösung war struktureller Natur.
Gesamtcheckliste: Kritische Klauseln im Überblick
Die folgende Übersicht fasst die wesentlichen Prüfpunkte zusammen. Sie ersetzt keine anwaltliche Einzelfallprüfung, strukturiert aber die Verhandlung und schützt vor dem Übersehen typischer Risiken.
- Vertragstyp: Klare Zuordnung zu Miet-, Werk- oder Dienstvertragsrecht; Hybridstrukturen gesondert abschnittsbezogen regeln.
- Leistungsbeschreibung: Messbare Verfügbarkeits- und Leistungskennzahlen; definierte Messperiode und Messverfahren; Rechtsfolgen bei SLA-Unterschreitung (Service Credits, Sonderkündigung).
- AVV nach Art. 28 DSGVO: Vollständiger Abschluss vor Datenverarbeitungsbeginn; Sub-Processor-Liste mit Widerspruchsrecht; SCCs oder Angemessenheitsbeschluss für Drittstaaten; Unterstützungspflicht bei Betroffenenanfragen (Art. 15 DSGVO: grds. binnen einem Monat) und bei Meldung von Verletzungen (72-Stunden-Frist Art. 33 DSGVO).
- Dateneigentum und Herausgabe: Ausdrückliche Regelung; Verbot der Nutzung für Anbieter-eigene Zwecke (insbesondere KI-Training); Herausgabe bei Vertragsende in strukturiertem Format, ohne Herausgabegebühr.
- Haftung: Wirtschaftlich angemessene Obergrenzen; Ausnahmen für Vorsatz, grobe Fahrlässigkeit, DSGVO-Verletzungen, Datenverlust; keine AGB-rechtlich unwirksamen Pauschalausschlüsse (§ 309 Nr. 7 BGB).
- Gewährleistung und Mängelrechte: Anpassung an vereinbarte Laufzeit; Minderungs- und Nacherfüllungsansprüche klar geregelt; keine vollständige Abbedingung bei dauerhafter Fehlfunktion.
- Laufzeit und Kündigung: Laufzeit maximal ein Jahr mit jährlicher Verlängerungsoption; Frist zur Verhinderung der Verlängerung nicht länger als drei Monate; außerordentliche Kündigungsrechte bei SLA-Dauerverstößen, Insolvenz des Anbieters, AVV-Verstößen, Change-of-Control.
- Preisanpassungsklauseln: Deckelung der jährlichen Erhöhung auf einen definierten Indexwert oder festen Prozentsatz; Sonderkündigungsrecht bei Überschreitung der Deckelung.
- Interoperabilität und Portabilität: Klare Schnittstellendokumentation; Exportformate für alle Datenkategorien; Unterstützung bei Migration zu einem Nachfolgesystem.
- Gerichtsstand und Rechtswahl: Deutsches Recht und deutscher Gerichtsstand für inländische Unternehmen dringend vereinbaren; Anwendbarkeit des UN-Kaufrechts (CISG) ausdrücklich ausschließen, soweit nicht gewünscht.
Welches dieser zehn Punkte in Ihrem aktuellen Vertrag bereits vollständig geregelt ist – und welches nicht? Eine Lückenanalyse vor der Unterschrift kostet wenige Stunden anwaltlicher Prüfung. Eine Nachverhandlung nach Vertragsschluss ist regelmäßig deutlich aufwändiger.
Die vorstehende Darstellung betrifft die typischen Risikokonstellationen beim Abschluss von SaaS- und Cloud-Verträgen. Ihr konkreter Vertrag erfordert die Prüfung der spezifischen Klauseln, der geplanten Datenverarbeitung und der einschlägigen DSGVO-Anforderungen. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zu SaaS- und Cloud-Verträgen
Welches Recht gilt für einen SaaS-Vertrag in Deutschland?
Grundsätzlich gilt das von den Parteien gewählte Recht. Fehlt eine Rechtswahl, ist bei einem deutschen Nutzerunternehmen in der Regel deutsches Recht anwendbar. Nach deutschem Recht werden SaaS-Verträge mit dauerhafter Nutzungsüberlassung überwiegend dem Mietvertragsrecht der §§ 535 ff. BGB zugeordnet, was dem Nutzer gesetzliche Gewährleistungsrechte sichert. Eine ausdrückliche Vereinbarung deutschen Rechts ist für Mittelstandsunternehmen dringend empfehlenswert, um von AGB-Schutzvorschriften der §§ 305 ff. BGB zu profitieren.
Ist ein Auftragsverarbeitungsvertrag (AVV) bei jedem Cloud-Dienst Pflicht?
Ja, sofern der Anbieter im Rahmen der Leistungserbringung personenbezogene Daten für Ihr Unternehmen verarbeitet. Art. 28 DSGVO verpflichtet den Verantwortlichen, dies vertraglich zu regeln. Betroffen sind nahezu alle geschäftlichen SaaS-Anwendungen, die Mitarbeiterdaten, Kundendaten oder sonstige personenbezogene Informationen verarbeiten. Ein fehlender AVV stellt eine Datenschutzverletzung dar und kann Bußgelder nach Art. 83 DSGVO nach sich ziehen.
Kann eine Haftungsbeschränkung im SaaS-Vertrag wirksam vereinbart werden?
Ja, im B2B-Verhältnis sind Haftungsbeschränkungen grundsätzlich zulässig. Grenzen setzt § 309 Nr. 7 BGB: Haftungsausschlüsse für Vorsatz, grob fahrlässig verursachte Körper- oder Gesundheitsschäden sowie für grobe Fahrlässigkeit des Verwenders bei wesentlichen Vertragspflichten (Kardinalpflichten) sind unwirksam. Als Nutzer sollten Sie sicherstellen, dass DSGVO-Szenarien und Datenverlust ausdrücklich von etwaigen Haftungsobergrenzen ausgenommen sind oder zumindest mit einer angemessenen eigenen Obergrenze versehen werden.
Was passiert mit meinen Daten, wenn der Cloud-Anbieter insolvent wird?
Ohne ausdrückliche vertragliche Regelung ist der Datenzugang bei Insolvenz des Anbieters erheblich gefährdet. Der Insolvenzverwalter ist grundsätzlich nicht verpflichtet, Daten kostenfrei herauszugeben; das Geschäft kann auch eingestellt werden. Empfehlenswert sind: eine Datenherausgabeklausel mit definierter Frist und Format, ein Escrow-Arrangement für kritische Systeme sowie eine regelmäßige Sicherung der eigenen Daten außerhalb der Cloud-Plattform des Anbieters.
Darf der Cloud-Anbieter meine Daten für das Training von KI-Modellen nutzen?
Nur wenn Sie dem ausdrücklich zugestimmt haben. Viele Anbieter nehmen entsprechende Klauseln in ihre Nutzungsbedingungen auf; ohne aktives Widerspruchsrecht kann die Zustimmung als erteilt gelten. Im Vertragswerk sollte ausdrücklich vereinbart sein, dass alle vom Nutzer eingebrachten und generierten Daten ausschließlich zur Vertragserfüllung verarbeitet werden und eine Nutzung für eigene Zwecke des Anbieters, insbesondere das Training maschineller Lernmodelle, ausgeschlossen ist.
Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter Vertrag erfordert die Prüfung von Unterlagen, Fristen und der einschlägigen Rechtsprechung. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.