Ein mittelständisches Fertigungsunternehmen wechselt sein ERP-System in die Cloud. Der Anbieter legt einen vorformulierten SaaS-Vertrag vor – 47 Seiten, englischsprachige Klauseln, Schiedsgerichtsbarkeit in Dublin. Der Geschäftsführer unterzeichnet, weil der Betrieb drängt. Sechs Monate später werden Produktionsdaten in einem Rechenzentrum in den USA gespeichert, ohne dass jemals eine Auftragsverarbeitungsvereinbarung geschlossen wurde.
SaaS- und Cloud-Verträge sind komplexe Werkzeuge des IT-Vertragsrechts. Sie begründen regelmäßig eine Auftragsverarbeitung nach Art. 28 DSGVO, unterliegen der AGB-Inhaltskontrolle der §§ 305 ff. BGB und können bei unzureichender Ausgestaltung Haftungsrisiken für die Geschäftsführung, Bußgelder bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes sowie Betriebsunterbrechungen erzeugen. Wer SaaS- und Cloud-Verträge gestalten will, muss Lizenzmodell, Datenschutz, Verfügbarkeitsgarantien und Exit-Regelungen aufeinander abstimmen.
Dieses FAQ-Dossier beantwortet die zehn in der Mandatspraxis häufigsten Fragen zum Thema SaaS- und Cloud-Verträge gestalten – von der rechtlichen Einordnung über datenschutzrechtliche Pflichten bis zur Kündigung und Datenmigration.
1. Was ist ein SaaS-Vertrag rechtlich – und warum ist die Einordnung wichtig?
Ein SaaS-Vertrag (Software as a Service – Bereitstellung von Software über das Internet gegen laufende Vergütung) ist nach der überwiegenden Auffassung in Literatur und Rechtsprechung als Mietvertrag im Sinne der §§ 535 ff. BGB einzuordnen, soweit die dauerhafte Gebrauchsüberlassung im Vordergrund steht. Daneben kommen dienst- und werkvertragliche Elemente hinzu, etwa für Implementierungsleistungen oder individuelle Anpassungen. Die Einordnung entscheidet über die anwendbaren gesetzlichen Gewährleistungsregeln und damit darüber, welche Rechte Sie im Mängelfall haben.
Für die Praxis bedeutet das: Fehlt eine vertragliche Regelung zur Verfügbarkeit, gilt das dispositive Mietrecht – mit der Folge, dass Sie bei erheblichen Ausfällen die Miete mindern können, aber keinen Anspruch auf Schadensersatz für Folgeschäden haben, sofern der Anbieter das Gewährleistungsrecht durch AGB wirksam eingeschränkt hat. Die Inhaltskontrolle nach §§ 305 ff. BGB setzt dem jedoch Grenzen: Klauseln, die die Verfügbarkeit unter einen wirtschaftlich tragfähigen Wert senken oder die Haftung für Vorsatz vollständig ausschließen, sind unwirksam.
In der Mandatspraxis sehen wir regelmäßig, dass Anbieter ihre Verträge als „Lizenzverträge" bezeichnen, obwohl wirtschaftlich eine Dauerüberlassung vorliegt. Die Bezeichnung ist für die rechtliche Einordnung nicht maßgeblich – entscheidend ist der wirtschaftliche Gehalt der Vereinbarung.
2. Welche datenschutzrechtlichen Pflichten entstehen beim Einsatz von Cloud-Software?
Sobald personenbezogene Daten – Kundendaten, Mitarbeiterdaten, Lieferantendaten – über einen Cloud-Dienst verarbeitet werden, liegt regelmäßig eine Auftragsverarbeitung im Sinne von Art. 28 DSGVO vor. Vor Beginn der Verarbeitung ist ein schriftlicher Auftragsverarbeitungsvertrag (AVV) zu schließen; dieser muss die in Art. 28 Abs. 3 DSGVO vorgeschriebenen Pflichtinhalte enthalten: Gegenstand und Dauer, Art und Zweck, Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen.
Fehlt der AVV oder ist er unvollständig, liegt ein eigenständiger Datenschutzverstoß vor – unabhängig davon, ob tatsächlich Daten abgeflossen sind. Bußgelder nach Art. 83 DSGVO können bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes erreichen, je nachdem, welcher Betrag höher ist. Darüber hinaus trägt die Geschäftsführung persönliche Verantwortung für die Einhaltung der datenschutzrechtlichen Pflichten des Unternehmens.
Bei Drittstaaten-Transfers – etwa wenn Rechenzentren in den USA oder anderen Ländern ohne Angemessenheitsbeschluss der EU-Kommission genutzt werden – sind zusätzliche Garantien erforderlich, insbesondere Standardvertragsklauseln (SCC) nach Art. 46 DSGVO und ggf. ein Transfer Impact Assessment. Diese Anforderungen sollten bereits bei der Vertragsgestaltung und nicht erst nach Go-live geprüft werden.
3. Was müssen SaaS-Verträge zwingend regeln – und was wird häufig vergessen?
Ein rechtssicherer SaaS-Vertrag enthält nach unserer Erfahrung mindestens die folgenden Regelungsblöcke: Leistungsumfang und Verfügbarkeit, Vergütung und Preisanpassungsklauseln, Datenschutz (AVV als Anlage), Vertraulichkeit, Haftung, Laufzeit und Kündigung, Datenmigration und Exit, Änderungen am Dienst sowie anwendbares Recht und Gerichtsstand.
Am häufigsten fehlen in der Praxis drei Regelungen: Erstens eine SLA-Klausel (Service Level Agreement) mit messbarer Verfügbarkeitsgarantie und definierten Reaktionszeiten. Ohne SLA haben Sie bei Systemausfällen keine vertragliche Grundlage für Schadensersatzansprüche jenseits der Mietminderung. Zweitens eine Exit-Klausel, die sicherstellt, dass Sie Ihre Daten nach Vertragsende in einem standardisierten, maschinenlesbaren Format erhalten. Drittens eine Regelung zu Unterauftragsverarbeitern: Art. 28 Abs. 2 DSGVO verpflichtet den Cloud-Anbieter, Unterauftragnehmer nur mit Ihrer (allgemeinen oder spezifischen) Genehmigung einzusetzen – und Sie zu informieren, wenn neue Unterauftragnehmer hinzukommen.
Werden diese Punkte nicht vertraglich gesichert, entstehen Abhängigkeiten, die in der Praxis schwer aufzulösen sind. Wechseln Sie den Anbieter und erhalten Ihre Daten nicht oder nur in einem proprietären Format zurück, kann der Betriebsübergang erheblich verzögert oder verteuert werden.
4. Wie bewertet das BGB Preisanpassungsklauseln in SaaS-Verträgen?
Preisanpassungsklauseln sind in SaaS-Verträgen üblich, rechtlich aber heikel. Nach der Inhaltskontrolle gemäß §§ 307, 309 Nr. 1 BGB sind einseitige Preiserhöhungsklauseln unwirksam, wenn sie dem Anbieter erlauben, den Preis ohne sachlichen Grund und ohne angemessene Ankündigungsfrist zu erhöhen oder wenn sie keine Mindestlaufzeit schützen.
Wirksam sind Preisanpassungsklauseln nach gefestigter Rechtsprechung des Bundesgerichtshofs zur AGB-Kontrolle grundsätzlich dann, wenn sie an einen objektiven, für den Kunden nachvollziehbaren Maßstab anknüpfen (etwa einen anerkannten Index), eine angemessene Ankündigungsfrist vorsehen und dem Kunden ein Sonderkündigungsrecht einräumen, wenn die Preiserhöhung einen definierten Schwellenwert übersteigt. Klauseln ohne Sonderkündigungsrecht bei Preiserhöhungen werden regelmäßig als unangemessene Benachteiligung nach § 307 Abs. 1 BGB eingestuft.
Für die Vertragsgestaltung empfehlen wir, Preisanpassungsklauseln aktiv zu verhandeln und insbesondere auf einer definierten Ankündigungsfrist von mindestens 30 Tagen sowie einem Sonderkündigungsrecht zu bestehen. Bei mehrjährigen Verträgen sollten Preisanpassungen auf ein definiertes Maximum pro Jahr begrenzt werden.
5. Welche Haftungsregelungen sind in SaaS-Verträgen typisch – und was ist verhandelbar?
SaaS-Anbieter beschränken ihre Haftung in AGB regelmäßig auf den Betrag der in einem definierten Zeitraum gezahlten Vergütung – häufig drei oder zwölf Monatsentgelte. Für mittelständische Unternehmen mit hohem Datenwert oder kritischer Abhängigkeit vom SaaS-System ist diese Haftungsbegrenzung oft nicht ausreichend.
Die AGB-Inhaltskontrolle nach § 307 BGB setzt der Haftungsbeschränkung Grenzen: Die Haftung für Vorsatz kann nicht ausgeschlossen werden (§ 276 Abs. 3 BGB). Die Haftung für grobe Fahrlässigkeit kann in AGB gegenüber Unternehmern weitgehend eingeschränkt werden, nicht jedoch, wenn wesentliche Vertragspflichten (sogenannte Kardinalpflichten) verletzt werden. Klauseln, die auch die Haftung für die Verletzung von Kardinalpflichten ausschließen, sind nach § 307 Abs. 2 BGB unwirksam.
Verhandelbar sind in der Praxis insbesondere: die Haftungsobergrenze (als Vielfaches der Jahreslizenz), der Einschluss von Datenverlust als eigenem Haftungsfall, die Regelung zur indirekten Haftung (Folgeschäden, entgangener Gewinn) sowie die Freistellungspflichten des Anbieters bei Drittansprüchen wegen Datenschutzverletzungen. Verhandlungsmacht hängt dabei von der Vertragsgröße ab – ab einem bestimmten Lizenzvolumen sind die meisten Anbieter zu Individualvereinbarungen bereit.
6. Wie gestaltet man Exit-Klauseln und Datenmigrationsrechte richtig?
Die Exit-Klausel ist die am meisten unterschätzte Regelung in SaaS-Verträgen. Sie bestimmt, ob Sie nach Vertragsende handlungsfähig bleiben oder in einer Abhängigkeit gefangen sind. Nach unserer Erfahrung fehlt eine explizite Exit-Regelung in mehr als der Hälfte der von Mandanten vorgelegten SaaS-Standardverträge vollständig.
Eine wirksame Exit-Klausel sollte mindestens regeln: (1) den Zeitraum, in dem der Dienst nach Kündigung noch lesend zugänglich ist (Übergangsfrist, empfehlenswert: mindestens 90 Tage), (2) das Format, in dem Daten exportiert werden (offene, dokumentierte Standards wie CSV, JSON, XML – kein proprietäres Format), (3) die Vollständigkeit des Exports (alle Stammdaten, Transaktionsdaten, Konfigurationen) sowie (4) die Frist, innerhalb derer der Anbieter Daten nach Vertragsende löschen und dies bestätigen muss (DSGVO-Pflicht nach Art. 28 Abs. 3 lit. g).
Werden Daten nicht in einem standardisierten Format zur Verfügung gestellt, kann ein Anbieterwechsel Monate in Anspruch nehmen und erhebliche Migrationskosten verursachen. Verhandeln Sie die Exit-Klausel vor Vertragsschluss – nicht wenn Sie bereits wechseln wollen.
7. Was gilt bei Sicherheitsvorfällen und Datenschutzverletzungen – wer informiert wen?
Bei einem Datenschutzvorfall – etwa einem unbefugten Datenzugriff auf dem System des Cloud-Anbieters – gelten nach DSGVO klar definierte Meldepflichten. Der Auftragsverarbeiter (der Cloud-Anbieter) ist verpflichtet, den Verantwortlichen (Ihr Unternehmen) unverzüglich nach Bekanntwerden eines Vorfalls zu informieren. Ihr Unternehmen als Verantwortlicher hat dann 72 Stunden ab Kenntnis, um den Vorfall der zuständigen Datenschutzaufsichtsbehörde zu melden, sofern er voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt (Art. 33 DSGVO).
Diese Meldepflicht trifft Ihr Unternehmen – nicht den Anbieter. Deshalb ist es entscheidend, dass der SaaS-Vertrag bzw. der AVV eine klare Benachrichtigungspflicht des Anbieters mit einer definierten Reaktionszeit enthält, die Ihnen die Einhaltung der 72-Stunden-Frist ermöglicht. Branchenüblich sind Benachrichtigungsfristen von 24 bis 48 Stunden nach Entdeckung des Vorfalls auf Anbieterseite.
Ist die Benachrichtigungspflicht im Vertrag nicht geregelt oder hält der Anbieter sie nicht ein, erfahren Sie von dem Vorfall möglicherweise zu spät, um die gesetzliche Meldefrist einzuhalten. Die Folge: ein eigenständiger Datenschutzverstoß mit entsprechendem Bußgeldrisiko für Ihr Unternehmen.
8. Welche Besonderheiten gelten für Cloud-Verträge in regulierten Branchen?
Unternehmen in regulierten Branchen – etwa Finanzdienstleistungen, Gesundheitswesen oder kritische Infrastruktur – unterliegen zusätzlichen Anforderungen an Cloud-Verträge, die über das allgemeine IT-Vertragsrecht hinausgehen. Für Finanzunternehmen enthält die DORA-Verordnung (Digital Operational Resilience Act, EU 2022/2554, anwendbar seit Januar 2025) spezifische Anforderungen an Drittanbieterverträge für IKT-Dienste: Mindestvertragsinhalte, Prüfungsrechte, Exit-Strategien und Informationspflichten sind zwingend vorgeschrieben.
Auch außerhalb regulierter Branchen gilt: Wenn Ihr Unternehmen als Auftraggeber von Behörden oder Großunternehmen selbst Compliance-Anforderungen unterliegt (etwa TISAX im Automobilbereich), werden diese Anforderungen an Ihre Cloud-Lieferanten weitergereicht. Prüfen Sie, ob Ihre bestehenden Kundenverträge Cloud-Einsatz einschränken oder besondere Zertifizierungen des Anbieters vorschreiben.
In der Mandatspraxis sehen wir zunehmend, dass Einkaufs-AGB großer Auftraggeber Klauseln enthalten, die den Einsatz bestimmter Cloud-Dienste oder Drittstaaten-Transfers ohne explizite Genehmigung untersagen. Wer dies bei der Auswahl seines SaaS-Systems nicht prüft, riskiert Vertragsverletzungen gegenüber seinen eigenen Kunden.
9. Wie gestaltet man die Kündigung und Vertragslaufzeit sicher?
SaaS-Verträge werden häufig mit automatischer Verlängerung (Auto-Renewal) gestaltet: Kündigt das Unternehmen nicht bis zu einem definierten Datum vor Laufzeitende, verlängert sich der Vertrag automatisch um ein weiteres Jahr. Diese Klauseln sind nach §§ 305 ff. BGB grundsätzlich zulässig, setzen aber eine transparente Gestaltung voraus – die Verlängerungsregel muss im Vertrag klar und deutlich hervorgehoben sein.
Für die Praxis bedeutet das: Führen Sie ein Vertragsmanagementsystem, das Kündigungsfristen und Auto-Renewal-Daten automatisch meldet. Versäumte Kündigungsfristen binden Ihr Unternehmen an ein weiteres Vertragsjahr – bei einem mittelgroßen ERP-System können das sechsstellige Beträge sein.
Außerordentliche Kündigungsrechte sollten im Vertrag explizit geregelt sein: etwa bei anhaltenden Verfügbarkeitsunterschreitungen unterhalb der SLA-Schwelle, bei wesentlichen Sicherheitsvorfällen, bei Insolvenz des Anbieters oder bei Verstößen gegen datenschutzrechtliche Pflichten. Fehlt eine solche Regelung, sind Sie auf die gesetzlichen Rechte verwiesen – die im Mietrecht enger gefasst sind als in einem ausgehandelten Individualvertrag.
10. Wann lohnt sich anwaltliche Begleitung – und was leistet sie konkret?
Die Frage ist nicht, ob Sie anwaltliche Begleitung beim Abschluss von SaaS- und Cloud-Verträgen benötigen, sondern ab welchem Vertragsvolumen und welcher Kritikalität der Aufwand gerechtfertigt ist. Nach unserer Erfahrung lohnt sich eine professionelle Vertragsprüfung bereits bei einem Jahresvolumen ab etwa 20.000 €, wenn kritische Geschäftsprozesse oder besondere Kategorien personenbezogener Daten betroffen sind.
Was anwaltliche Begleitung konkret leistet: erstens eine strukturierte Risikobewertung der vorgelegten Vertragsdokumentation entlang der Regelungsblöcke Haftung, Datenschutz, Verfügbarkeit und Exit; zweitens die Formulierung konkreter Verhandlungsanforderungen, die wirtschaftlich verhältnismäßig und rechtlich tragfähig sind; drittens die Prüfung des AVV auf Konformität mit Art. 28 DSGVO und die Identifikation fehlender Pflichtinhalte; viertens die Abstimmung der Cloud-Lösung mit bestehenden Kundenverträgen und Compliance-Anforderungen Ihres Unternehmens.
Die Alternative – den Anbietervertrag ungeprüft zu unterzeichnen – ist keine Zeitersparnis, sondern eine Risikoverlagerung: Die Kosten entstehen dann bei der ersten ernsthaften Vertragsstörung, einem Datenschutzvorfall oder dem gescheiterten Anbieterwechsel.
Häufige Fragen zu SaaS- und Cloud-Verträgen im Mittelstand
Ist ein SaaS-Vertrag immer auch ein Auftragsverarbeitungsvertrag?
Nicht zwingend – aber regelmäßig dann, wenn über die SaaS-Plattform personenbezogene Daten verarbeitet werden. Sobald Mitarbeiter-, Kunden- oder Lieferantendaten in das System eingepflegt werden, liegt nach Art. 4 Nr. 8 DSGVO eine Auftragsverarbeitung vor, und Art. 28 DSGVO verpflichtet Sie, vor Beginn der Verarbeitung einen schriftlichen AVV mit dem Anbieter zu schließen. Reine Buchhaltungssoftware ohne Personenbezug kann anders zu beurteilen sein – im Zweifel ist der Einzelfall zu prüfen.
Darf ein SaaS-Anbieter den Dienst einseitig verändern oder einstellen?
Einseitige Leistungsänderungen sind in SaaS-AGB häufig vorgesehen und nach BGB-Inhaltskontrolle nicht per se unwirksam, sofern der Kernleistungsgegenstand erhalten bleibt und ein Sonderkündigungsrecht besteht. Die vollständige Einstellung des Dienstes ohne Übergangsfrist und Datenmigrationsmöglichkeit stellt dagegen regelmäßig eine schwerwiegende Verletzung der Hauptleistungspflicht dar. Ein vertragliches Recht auf Service Discontinuation sollte stets mit einer Mindestkündigungsfrist von zwölf Monaten und einer Datenmigrationspflicht verknüpft sein.
Was passiert mit meinen Daten, wenn der Cloud-Anbieter insolvent wird?
Ohne explizite Vertragsregelung sind Ihre Daten im Insolvenzfall des Anbieters zunächst Teil der Insolvenzmasse. Ein Zugangsrecht ist nicht selbstverständlich – der Insolvenzverwalter kann den Zugang einschränken. Schützen können Sie sich durch eine Escrow-Vereinbarung (Hinterlegung von Daten und ggf. Quellcode bei einem neutralen Dritten), durch regelmäßige eigene Datensicherungen und durch eine vertragliche Exit-Regelung, die auch den Insolvenzfall als Kündigungsgrund definiert.
Muss der Gerichtsstand in Deutschland liegen?
Für Kaufleute gilt nach § 38 ZPO die weitgehende Freiheit der Gerichtsstandsvereinbarung; ein ausländischer Gerichtsstand ist damit rechtlich zulässig. Praktisch bedeutet ein Gerichtsstand in Dublin, London oder den USA für ein mittelständisches Unternehmen jedoch erheblichen Mehraufwand und Kostenrisiken. In den meisten Fällen ist eine Verhandlung auf deutschen Gerichtsstand möglich – insbesondere wenn das Vertragsvolumen verhandelbar ist. Alternativ kann eine Schiedsklausel mit Schiedsort Deutschland eine akzeptable Lösung darstellen.
Wie lange sind Gewährleistungsansprüche bei SaaS-Verträgen?
Da SaaS-Verträge als Dauerschuldverhältnis (Mietrecht) eingeordnet werden, gilt keine klassische Gewährleistungsfrist wie im Kauf- oder Werkvertragsrecht. Mängel sind während der gesamten Vertragslaufzeit rügefähig; die allgemeine Verjährungsfrist nach § 195 BGB beträgt drei Jahre ab Schluss des Jahres, in dem der Anspruch entstanden ist und Sie davon Kenntnis erlangt haben. Bei Schadenersatzansprüchen aus Datenschutzverletzungen können abweichende Verjährungsfristen nach DSGVO relevant werden.
Was sind typische Fehler beim Abschluss von Cloud-Verträgen?
In der Mandatspraxis begegnen uns wiederholt dieselben Fehler: (1) Kein AVV oder ein unvollständiger AVV vor Go-live; (2) fehlende SLA mit definierten Verfügbarkeitswerten und Reaktionszeiten; (3) keine Exit-Klausel, die ein standardisiertes Datenformat garantiert; (4) ungeprüfte Auto-Renewal-Klauseln führen zu ungewollten Vertragsverlängerungen; (5) Haftungsausschlüsse werden nicht auf ihre AGB-Konformität geprüft. Jeder dieser Fehler kann im Einzelfall erhebliche wirtschaftliche Folgen haben, die weit über die Lizenzkosten hinausgehen.
Darf ich SaaS-Software für die Verarbeitung von Gesundheitsdaten nutzen?
Gesundheitsdaten sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO und unterliegen erhöhten Schutzanforderungen. Der Einsatz von SaaS-Software für deren Verarbeitung ist nicht grundsätzlich ausgeschlossen, erfordert aber eine explizite Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO, technisch-organisatorische Maßnahmen auf höchstem Schutzniveau, einen sorgfältig ausgearbeiteten AVV sowie regelmäßig eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO. Die genaue Anforderungslage ist im Einzelfall anwaltlich zu prüfen.
Kann ich einen bestehenden SaaS-Vertrag nachträglich anpassen?
Nachträgliche Anpassungen bestehender SaaS-Verträge sind möglich, aber von der Verhandlungsposition des Unternehmens abhängig. Realistisch verhandelbar sind insbesondere der AVV (gesetzliche Pflicht, die auch nachträglich erfüllbar ist), Sicherheitsanforderungen und Prüfungsrechte. Preisanpassungsklauseln und Haftungsregelungen sind schwieriger nachzuverhandeln, wenn der Vertrag bereits läuft. Eine anwaltliche Begleitung kann helfen, realistische Verhandlungsziele zu definieren und die richtigen Hebelstellen zu identifizieren.
Verwandte Leistungen
Die vorstehende Darstellung betrifft die Regelfälle des SaaS- und Cloud-Vertragsrechts. Ihr konkreter Vertrag erfordert die Prüfung der spezifischen Klauseln, der datenschutzrechtlichen Ausgangslage und der für Ihre Branche geltenden Sonderanforderungen. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com. Zur Klärung, wie einzelne Regelungsblöcke auf Ihr Unternehmen wirken, wenden Sie sich ebenfalls an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.