Ein Mittelständler führt sein ERP-System seit Jahren auf eigenen Servern – dann drängt der Markt auf eine Cloud-Migration. Der Anbieter legt einen 40-seitigen Mustervertrag vor, der Haftung weitgehend ausschließt, Daten in Rechenzentren auf drei Kontinenten verarbeitet und die Kündigung an Fristen knüpft, die im operativen Tagesgeschäft kaum überwacht werden können. Was auf den ersten Blick nach moderner Infrastruktur klingt, ist für den Geschäftsführer ein Geflecht rechtlicher Risiken, das anwaltlicher Prüfung bedarf.
SaaS- und Cloud-Verträge gestalten bedeutet, die rechtliche Qualifikation des Vertrags nach dem BGB zu klären, Datenschutzpflichten nach der DSGVO zu verankern und vertragliche Risikoverteilung so zu steuern, dass Haftungsschäden für das Unternehmen beherrschbar bleiben. Für Geschäftsführer im Mittelstand sind insbesondere Regelungen zu Verfügbarkeit, Datenlokation, Kündigung und Auftragsverarbeitung entscheidend. Dieser Beitrag analysiert die einschlägigen rechtlichen Grundlagen, zeigt typische Vertragsfallen und gibt eine strukturierte Handlungsempfehlung.
Die folgende Analyse gliedert sich in die rechtliche Qualifikation, zentrale Vertragsklauseln, DSGVO-Pflichten, Haftungsgestaltung, Besonderheiten für den Mittelstand sowie einen Leitfaden für die Vertragsverhandlung und die nächsten Schritte.
Wie werden SaaS- und Cloud-Verträge rechtlich eingeordnet?
Die rechtliche Einordnung eines SaaS- oder Cloud-Vertrags ist keine akademische Frage, sondern entscheidet über Gewährleistungsrechte, Kündigungsfristen und die Anwendbarkeit von AGB-Schranken nach dem BGB. Die Rechtsprechung hat sich zu einer differenzierten Betrachtung entwickelt, die sich an der vertraglichen Hauptleistung orientiert.
Für die typische Software-as-a-Service-Vereinbarung gilt: Stellt der Anbieter dem Kunden Software dauerhaft gegen laufendes Entgelt zur Nutzung bereit, qualifiziert die gefestigte Rechtsprechung den Vertrag als Mietvertrag nach § 535 BGB. Das hat weitreichende Konsequenzen – Gewährleistungsrechte, Minderung bei Schlechtleistung und Kündigungsrecht bei nachhaltiger Beeinträchtigung richten sich nach mietrechtlichen Grundsätzen. Schließt der Anbieter diese Rechte in seinen AGB aus, ist die Klausel nach §§ 307 ff. BGB der Inhaltskontrolle zugänglich.
Infrastrukturleistungen (Infrastructure as a Service, IaaS) und Plattformservices (Platform as a Service, PaaS) weisen dagegen werkvertragliche Elemente auf, wenn die Bereitstellung eines bestimmten Leistungserfolgs geschuldet wird. In der Praxis handelt es sich fast immer um gemischte Verträge: Speicherplatz plus Anwendungssoftware plus Supportleistung. Welcher Vertragstyp überwiegt, bestimmt das auf die Rechte des Nutzers anwendbare Recht.
Für Geschäftsführer im Mittelstand ist die Einordnung unmittelbar relevant, wenn es um Betriebsunterbrechungen geht. Nach unserer Erfahrung in der Mandatspraxis unterschätzen viele Unternehmen, dass eine Qualifikation als Mietvertrag ihnen das Recht gibt, bei erheblichem Verfügbarkeitsausfall die Vergütung zu mindern – selbst wenn der Anbieter pauschale Haftungsausschlüsse formuliert hat. Die Frage, ob diese Ausschlüsse der AGB-Kontrolle standhalten, ist dann die zweite, ebenso bedeutsame Weiche.
Welche Vertragsklauseln sind bei SaaS-Vereinbarungen besonders risikobehaftet?
Wer einen Muster-SaaS-Vertrag eines großen Anbieters zeichnet, ohne ihn anwaltlich zu prüfen, übernimmt in der Regel Klauseln, die das Risiko einseitig auf den Kunden verlagern. Fünf Klauselgruppen verdienen besondere Aufmerksamkeit.
Verfügbarkeits- und Service-Level-Vereinbarungen (SLAs): Die meisten Anbieter versprechen eine Verfügbarkeit von 99 % oder 99,5 %. Was im Marketing nach Verlässlichkeit klingt, erlaubt bei 99 % rechnerisch rund 87 Stunden Ausfall pro Jahr. Ob eine Kreditierung der Vergütung (Service Credits) die einzige Sanktion bei Ausfall ist oder ob dem Kunden darüber hinaus Minderungsrechte nach § 536 BGB verbleiben, ist entscheidend. Klauseln, die Service Credits als abschließende Regelung ausgestalten und Minderungsrechte ausschließen, begegnen nach §§ 307, 309 BGB erheblichen Wirksamkeitsbedenken.
Preisanpassungsklauseln: Viele Verträge enthalten einseitige Änderungsvorbehalte, die dem Anbieter erlauben, das Entgelt mit einer Frist von 30 oder 60 Tagen zu erhöhen. Bei reinen Unternehmerverträgen (B2B) gilt die AGB-Kontrolle nach § 307 BGB abgeschwächt, ein vollständig unbegrenzt einseitiges Leistungsbestimmungsrecht ist jedoch auch hier problematisch. Verhandelt werden sollte eine Kopplung an einen objektiven Index oder ein Sonderkündigungsrecht bei Erhöhungen oberhalb eines definierten Schwellenwerts.
Datenexport und Rückgabe bei Vertragsende: Die Exportierbarkeit der im System gespeicherten Daten nach Kündigung ist für den Geschäftsbetrieb existenziell. In der Praxis sehen viele Verträge vor, dass Daten nach einer kurzen Frist nach Vertragsende unwiderruflich gelöscht werden. Eine explizite Regelung über das Format des Datenexports (maschinenlesbar, standardisiertes Format wie CSV oder XML), über die Exportfrist und über die Kosten für den Export ist daher keine optionale Verhandlungsposition, sondern Pflichtbestandteil.
Subauftragnehmer und Änderungsvorbehalte: Anbieter behalten sich regelmäßig vor, Subauftragnehmer auszutauschen oder hinzuzufügen, ohne individuelle Zustimmung des Kunden. Aus datenschutzrechtlicher Sicht ist dies nur zulässig, wenn die Anforderungen an Unterauftragsverarbeitung nach Art. 28 Abs. 2 und 4 DSGVO eingehalten werden. Der Vertrag muss dem Kunden ein Widerspruchsrecht und im Fall unbegründeter Ablehnung ein Sonderkündigungsrecht sichern.
Haftungsbeschränkungen und höhere Gewalt: Pauschale Haftungsbeschränkungen auf das in einem Jahr gezahlte Entgelt sind im B2B-Bereich grundsätzlich verhandlungsfähig, aber nicht immer hinzunehmen. Für grobe Fahrlässigkeit und Vorsatz ist eine Haftungsbeschränkung nach § 309 Nr. 7 BGB i. V. m. § 310 Abs. 1 BGB in AGB gegenüber Unternehmern zwar weniger streng, nach unserer Erfahrung hält eine vollständige Haftungsfreizeichnung für grobe Fahrlässigkeit einer Prüfung nach § 307 BGB jedoch nicht stand. Umfangreiche Force-Majeure-Klauseln, die Cyberangriffe generell einschließen, sind besonders kritisch zu hinterfragen.
DSGVO-Pflichten bei Cloud-Verträgen: Was müssen Geschäftsführer sicherstellen?
Sobald personenbezogene Daten – Mitarbeiterdaten, Kundendaten, Lieferanteninformationen – in einer Cloud-Umgebung verarbeitet werden, ist der Abschluss eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO keine Kür, sondern Pflicht. Der Geschäftsführer als Vertreter des verantwortlichen Unternehmens haftet persönlich für die Einhaltung datenschutzrechtlicher Anforderungen.
Die DSGVO sieht bei Verstößen Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Dieser Rahmen gilt für Unternehmen jeder Größe. Für mittelständische Unternehmen bedeutet das: Die Auswahl eines Anbieters, der keine ausreichenden Garantien nach Art. 28 Abs. 1 DSGVO bietet, ist selbst ein Verstoß – unabhängig davon, ob es tatsächlich zu einem Datenschutzvorfall kommt.
Folgende Kernpunkte müssen im Auftragsverarbeitungsvertrag geregelt sein:
- Gegenstand, Dauer und Art der Verarbeitung sowie Zweck und Kategorien der Daten
- Pflicht des Auftragsverarbeiters, Daten ausschließlich auf Weisung des Verantwortlichen zu verarbeiten
- Geeignete technische und organisatorische Maßnahmen (TOMs) nach Art. 32 DSGVO
- Regelung zur Unterbeauftragung (Art. 28 Abs. 2 und 4 DSGVO) mit Widerspruchs- und Kündigungsrecht
- Unterstützungspflichten des Auftragsverarbeiters bei Betroffenenanfragen und bei der Meldung von Datenpannen
- Löschung oder Rückgabe der Daten nach Vertragsende
Besondere Sorgfalt ist bei Drittstaatentransfers geboten. Verarbeitet der Anbieter Daten in Rechenzentren außerhalb des Europäischen Wirtschaftsraums – etwa in den USA – müssen geeignete Garantien nach Kapitel V DSGVO vorliegen. Die EU-Standardvertragsklauseln (SCCs, Fassung 2021) sind derzeit das gebräuchlichste Instrument; ein Transfer Impact Assessment (Risikofolgenabschätzung) ist für US-Transfers nach dem Fall des Privacy Shield Standard. Meldepflichten bei Datenpannen sind eng zu beachten: Der Verantwortliche hat gegenüber der Aufsichtsbehörde eine Meldefrist von 72 Stunden ab Kenntniserlangung (Art. 33 DSGVO). Der Cloud-Anbieter muss vertraglich verpflichtet sein, den Kunden unverzüglich zu informieren.
In der Mandatspraxis sehen wir regelmäßig, dass Unternehmen Auftragsverarbeitungsverträge akzeptieren, die der Anbieter als Anlage zum Hauptvertrag beifügt, ohne den Inhalt kritisch zu prüfen. Diese Verträge sind häufig auf die eigene Infrastruktur des Anbieters zugeschnitten und lassen Spielräume offen, die bei einem Datenschutzvorfall zu Lasten des Kunden ausgelegt werden.
Haftungsgestaltung und Vertragsstrafe: Welche Instrumente schützen das Unternehmen?
Die Haftungsgestaltung in SaaS-Verträgen folgt einem Muster: Anbieter beschränken ihre Haftung auf einen klar definierten Höchstbetrag, schließen mittelbare Schäden und entgangenen Gewinn aus und formulieren weitreichende Regelungen zur höheren Gewalt. Für den Kunden ist das problematisch, wenn die eigene Betriebsunterbrechung ein Vielfaches des jährlichen Softwareentgelts kostet.
Verhandelt werden sollten folgende Positionen:
Haftungshöchstbetrag: Anstelle der Begrenzung auf das einjährige Entgelt sollte ein ausreichender Deckungsbetrag vereinbart werden, der die realistischen Betriebsunterbrechungsschäden des Kunden abbildet. Soweit Anbieter auf eine Haftungsbeschränkung bestehen, kann die Einbeziehung einer Berufshaftpflicht oder Cyber-Versicherung des Anbieters als Gegenleistung vereinbart werden.
Ausschluss mittelbarer Schäden: Im B2B-Bereich ist der formularmäßige Ausschluss mittelbarer Schäden grundsätzlich möglich. Ob er im Einzelfall auch entgangenen Gewinn umfasst, der aus Systemausfällen des Cloud-Anbieters resultiert, sollte individuell verhandelt werden. Bei geschäftskritischer Software ist dieser Ausschluss nicht hinnehmbar.
Vertragsstrafen für SLA-Unterschreitungen: Eine wirksam vereinbarte Vertragsstrafe (§ 339 BGB) bietet gegenüber reinen Service Credits den Vorteil, dass sie ohne Schadensnachweis fällig wird und als Druckmittel wirkt. Die Höhe muss angemessen und auf den konkreten Vertragsgegenstand abgestimmt sein; ein pauschal als Vertragsstrafe deklariertes Kleinstentgelt ist kein wirksames Instrument.
Business-Continuity-Klauseln: Für den Fall der Insolvenz des Anbieters oder eines Unternehmensverkaufs sollte der Vertrag ein Sonderkündigungsrecht sowie eine Verpflichtung des Anbieters enthalten, eine Übergangsfrist für die Datenmigration zu gewährleisten. Ein Escrow-Arrangement (Hinterlegung des Quellcodes oder der Datenbankstruktur bei einem Treuhänder) kann für geschäftskritische Anwendungen erwogen werden.
Mittelstandsspezifische Risiken: Was unterscheidet kleine und mittlere Unternehmen von Großunternehmen?
Große Konzerne verhandeln mit Cloud-Anbietern auf Augenhöhe – sie erhalten individuelle Verträge, dedizierte Infrastruktur und SLAs, die auf ihre Geschäftsprozesse abgestimmt sind. Der Mittelstand dagegen schließt häufig Standardverträge ab, die für ein Massenpublikum konzipiert wurden. Das schafft spezifische Risiken.
Erstens fehlt es mittelständischen Unternehmen häufig an interner IT-Kompetenz, um Vertragsklauseln zu technischen Anforderungen – etwa zur Datenverschlüsselung, zu Backup-Zyklen oder zu Penetrationstests – eigenständig zu bewerten. Der Vertrag verpflichtet den Kunden aber nicht selten dazu, selbst für die Sicherheitskonfiguration auf Applikationsebene zu sorgen, während der Anbieter nur die Infrastruktur absichert. Wird diese Aufteilung nicht verstanden, entstehen ungesicherte Lücken.
Zweitens geraten Geschäftsführer mittelständischer Unternehmen in ein persönliches Haftungsrisiko, wenn Cloud-Verträge datenschutzrechtliche Anforderungen nicht erfüllen oder Compliance-Anforderungen aus Branchenregulierung – etwa im Finanz- oder Gesundheitsbereich – nicht abgebildet werden. Die Pflicht, für gesetzeskonforme Datenverarbeitung zu sorgen, trifft die Geschäftsführung persönlich.
Drittens unterschätzen inhabergeführte Unternehmen die Wechselkosten. Ein Cloud-Vertrag, der keine Datenportabilität in einem Standardformat sichert und Migrationshilfen ausschließt, bindet das Unternehmen faktisch an den Anbieter (Vendor Lock-in). Nach unserer Erfahrung erkennen viele Unternehmen dieses Risiko erst, wenn ein Wechselwunsch besteht – zu einem Zeitpunkt, an dem die Verhandlungsposition gering ist.
Viertens sind laufzeitbezogene Regelungen bei Mittelstandsverträgen oft unzureichend. Automatische Verlängerungsklauseln (Evergreen-Klauseln) mit kurzen Widerspruchsfenstern und langen Laufzeiten führen dazu, dass sich Unternehmen unbeabsichtigt für mehrere Jahre binden. Die Grundkündigungsfrist des BGB greift nur, wenn der Vertrag nicht abweichendes regelt – und er regelt es regelmäßig.
Mikro-Fall aus der Mandatspraxis
In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Handelsunternehmen mit rund 150 Mitarbeitern, das seine Warenwirtschaft auf eine SaaS-Lösung migrieren wollte. Ausgangslage: Der Anbieter legte einen Standardvertrag vor, der die Haftung auf das Jahresentgelt begrenzte, Datenspeicherung in US-amerikanischen Rechenzentren vorsah und keinen expliziten Auftragsverarbeitungsvertrag enthielt. Die Exportfunktion für Stammdaten war vertraglich nicht geregelt. Vorgehen: Die Kanzlei analysierte die Risikoverteilung, verhandelte mit dem Anbieter eine Haftungsobergrenze in Höhe des dreifachen Jahresentgelts, den Abschluss eines AV-Vertrags mit EU-SCCs für den US-Transfer und eine explizite Datenexportklausel in maschinenlesbarem Format mit einer Frist von 30 Tagen nach Kündigung. Ergebnis: Das Unternehmen konnte den Vertrag zu deutlich verbesserten Konditionen abschließen; das verbleibende Transferrisiko wurde in einem Transfer Impact Assessment dokumentiert.
Rechtliche Qualifikation im europäischen Kontext: Was bedeutet der Data Act für Cloud-Verträge?
Das europäische Rechtsumfeld für Cloud-Dienste entwickelt sich dynamisch. Der EU Data Act (Verordnung über harmonisierte Vorschriften für den fairen Datenzugang und die Datennutzung), der ab September 2025 schrittweise Anwendung findet, bringt neue Anforderungen an Datenportabilität und Wechsel zwischen Cloud-Anbietern. Für Geschäftsführer im Mittelstand ist relevant, dass der Data Act Anbieter vernetzter Produkte und damit auch bestimmter Cloud-Dienste verpflichtet, Nutzerdaten auf Anfrage bereitzustellen und den Wechsel zu erleichtern.
Ergänzt wird dieser Rahmen durch den European Chips Act, den Cyber Resilience Act (CRA) und den AI Act, die je nach Einsatzzweck der Cloud-Lösung zusätzliche Anforderungen an Sicherheit, Transparenz und Risikomanagement stellen. Wer Cloud-Dienste einsetzt, in denen KI-Komponenten integriert sind – etwa für Sprachverarbeitung, Bilderkennung oder Entscheidungsunterstützung –, muss prüfen, ob die eingesetzten Systeme unter die Kategorien des AI Act fallen und ob besondere Dokumentations- oder Kennzeichnungspflichten bestehen.
Für die Vertragsgestaltung bedeutet das: Zukünftige regulatorische Änderungen sollten durch eine Anpassungsklausel (Change-in-Law-Klausel) adressiert werden, die beide Parteien verpflichtet, den Vertrag bei wesentlichen gesetzlichen Änderungen nachzuverhandeln, ohne dass der Anbieter die Kosten vollständig auf den Kunden abwälzen kann.
Vertragsverhandlung in der Praxis: Wie geht man strategisch vor?
Wer einen SaaS- oder Cloud-Vertrag verhandelt, steht vor einer asymmetrischen Ausgangslage: Der Anbieter hat den Vertrag entworfen, kennt seine Formulierungen in- und auswendig und verfügt über Erfahrung aus Tausenden von Vertragsabschlüssen. Der Kunde – insbesondere im Mittelstand – handelt oft unter Zeitdruck und ohne vergleichbares Vertragsexpertise.
Die anwaltliche Begleitung ab dem Zeitpunkt der Vertragsübergabe, nicht erst bei Streitigkeiten, ist daher keine überflüssige Vorsichtsmaßnahme, sondern wirtschaftlich rationale Risikosteuerung. Folgende Phasen strukturieren eine sachgerechte Verhandlung:
- Bestandsaufnahme und Priorisierung: Welche Daten werden verarbeitet? Welche Systeme sind geschäftskritisch? Welche regulatorischen Anforderungen gelten für das Unternehmen? Diese Grundfragen bestimmen, welche Klauseln nicht verhandelbar sind.
- Technische Due Diligence: SLAs, Backup-Konzept, Rechenzentrumsstandorte, Zertifizierungen des Anbieters (ISO 27001, SOC 2 Type II) – diese Informationen sollten vor der Vertragsunterzeichnung schriftlich vorliegen.
- Rechtliche Analyse des Vertragsentwurfs: Identifikation von Klauseln, die nach §§ 307 ff. BGB angreifbar sind, datenschutzrechtlichen Anforderungen nicht entsprechen oder einseitige Risikoverteilung produzieren.
- Verhandlung kritischer Klauseln: Nicht alle Klauseln sind gleich wichtig. Die Reihenfolge der Verhandlungsgegenstände sollte priorisiert sein: Haftung und SLAs vor Preisanpassungen, Datenschutz und Datenexport vor Laufzeit- und Verlängerungsklauseln.
- Dokumentation des Verhandlungsergebnisses: Erzielte Abweichungen vom Mustervertrag müssen in einer individuell ausgehandelten Ergänzungsvereinbarung oder einem Änderungsprotokoll schriftlich fixiert werden. Mündliche Zusagen des Anbieters sind im Streitfall wertlos.
- Laufendes Vertragsmanagement: Nach Unterzeichnung beginnt das Vertragsmanagement. SLA-Berichte müssen regelmäßig ausgewertet, Verlängerungsfristen überwacht und Änderungen des Anbieters (z. B. an Subunternehmerlisten oder Preisen) rechtlich bewertet werden.
Ist die Cloud-Lösung für den Geschäftsbetrieb unverzichtbar und sind alle Verhandlungsoptionen ausgeschöpft, kann ein Vertragsabschluss gleichwohl wirtschaftlich sinnvoll sein – dann aber mit vollständigem Bewusstsein für das verbleibende Restrisiko und entsprechenden internen Gegenmaßnahmen (Backup-Strategie, Versicherungsschutz, Notfallplan).
Gestaltungsoptionen im Vergleich: Welches Vertragsmodell passt zum Unternehmen?
SaaS, PaaS und IaaS unterscheiden sich nicht nur technisch, sondern auch rechtlich in der Risikoverteilung zwischen Anbieter und Kunden. Ein Überblick über gängige Konstellationen:
Konstellation A – Standard-SaaS-Vertrag (Public Cloud): Der Anbieter erbringt eine vollständig vorkonfigurierte Softwarelösung für viele Kunden auf gemeinsamer Infrastruktur. Der Kunde hat wenig Konfigurationsspielraum, profitiert aber von einfacher Implementierung und niedrigen Einstiegskosten. Risiken: maximale Abhängigkeit vom Anbieter, eingeschränkte Verhandlungsmacht, potenzielle Datenlokationsprobleme. Vertragstyp: Mietvertrag nach § 535 BGB.
Konstellation B – Private Cloud (dedizierte Infrastruktur): Der Anbieter stellt eine ausschließlich für den Kunden reservierte Infrastruktur bereit. Höhere Kosten, aber bessere Kontrolle über Datenlokation, Sicherheitskonfiguration und SLAs. Verhandlungsmacht ist größer; individuelle Vertragsbedingungen sind realistischer erreichbar. Vertragstyp: Miet- oder Werkvertrag, je nach Leistungsbeschreibung.
Konstellation C – Hybrid-Cloud-Modell: Kombination aus On-Premises-Systemen und Cloud-Diensten. Erhöhte Komplexität der Vertragsgestaltung, da Schnittstellen, Verantwortlichkeiten und Datentransfers zwischen eigenen und fremden Systemen klar geregelt sein müssen. Vertragstyp: Mehrere überlagerte Vertragsverhältnisse; Gesamtvertrag mit klarer Leistungsabgrenzung empfehlenswert.
Für den Mittelstand ist die Wahl des Modells keine rein technische Entscheidung. Wer geschäftskritische Daten oder personenbezogene Daten in erheblichem Umfang verarbeitet, sollte Private-Cloud- oder Hybrid-Modelle ernsthaft prüfen – auch wenn die initialen Kosten höher sind. Die Gesamtkosten eines Datenschutzvorfalls oder einer Betriebsunterbrechung übersteigen erfahrungsgemäß die Mehrkosten einer besser gesicherten Architektur erheblich.
Die vorstehende Darstellung betrifft die rechtlichen Grundstrukturen und typischen Risiken. Ihr konkreter Vertragsfall erfordert die Prüfung der spezifischen Klauseln, der eingesetzten Datenarten und der für Ihr Unternehmen geltenden regulatorischen Anforderungen. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Häufige Fehler und wie man sie vermeidet
In der Mandatspraxis begegnen uns wiederkehrende Muster, bei denen Unternehmen rechtliche Risiken eingehen, die mit anwaltlicher Begleitung vermeidbar gewesen wären. Drei dieser Muster stechen heraus.
Der erste Fehler ist die Unterschätzung des Schriftformerfordernisses bei individuell ausgehandelten Änderungen. Mündliche Zusagen des Vertriebsmitarbeiters des Anbieters, etwa zur Datenlokation oder zur garantierten Verfügbarkeit, entfalten keine Vertragswirkung, wenn der schriftliche Vertrag eine sogenannte Entire-Agreement-Klausel (Vollständigkeitsklausel) enthält. Diese Klausel erklärt den schriftlichen Vertrag zur einzigen verbindlichen Regelung und schließt vorvertragliche Erklärungen aus. Im Streitfall ist die mündliche Zusage damit wertlos.
Der zweite Fehler betrifft die Vernachlässigung des laufenden Vertragsmanagements. SaaS-Verträge werden geschlossen und dann nicht mehr aktiv überwacht. Anbieter nutzen einseitige Änderungsvorbehalte, die im Vertragstext angelegt waren, um Leistungen zu reduzieren, Preise zu erhöhen oder Drittlandtransfers neu einzuführen. Das Unternehmen bemerkt die Änderungen erst, wenn Widerspruchsfristen verstrichen sind.
Der dritte Fehler ist die fehlende Abstimmung zwischen rechtlicher und technischer Ebene. Der Vertrag regelt die Leistung auf einem Abstraktionsniveau, das von der technischen Wirklichkeit des Systems abweicht. Was der Vertrag als „Backup" bezeichnet, entspricht möglicherweise nicht dem, was der IT-Leiter als Recovery-Point-Objective (RPO) für die Wiederherstellung nach einem Systemausfall benötigt. Die rechtliche Vertragsgestaltung muss mit den technischen Anforderungen des Unternehmens synchronisiert werden.
Wie stellen Geschäftsführer sicher, dass sie nicht erst im Schadensfall feststellen, welche Risiken im Vertrag enthalten sind? Die Antwort liegt in einem strukturierten Vertragsreview vor Unterzeichnung – verbunden mit der Bereitschaft, Verhandlungsrunden einzuplanen, auch wenn das den Projektplan verzögert.
Verwandte Leistungen
Häufige Fragen zu SaaS- und Cloud-Verträgen
Brauche ich bei jedem Cloud-Vertrag einen Auftragsverarbeitungsvertrag nach der DSGVO?
Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist immer dann erforderlich, wenn der Cloud-Anbieter personenbezogene Daten im Auftrag Ihres Unternehmens verarbeitet. Das ist bei nahezu jedem betrieblichen Cloud-Einsatz der Fall – sobald auch nur Mitarbeiterdaten, Kundendaten oder Lieferantendaten in der Cloud gespeichert oder verarbeitet werden. Das Fehlen eines solchen Vertrags ist bereits für sich genommen ein bußgeldbewehrter Datenschutzverstoß, unabhängig davon, ob ein Datenschutzvorfall eintritt.
Gilt das BGB-Mietrecht für SaaS-Verträge, und kann der Anbieter das vertraglich ausschließen?
Nach der gefestigten Rechtsprechung qualifiziert ein SaaS-Vertrag mit dauerhafter Gebrauchsüberlassung gegen laufendes Entgelt als Mietvertrag nach § 535 BGB. Anbieter können mietrechtliche Gewährleistungsrechte in AGB gegenüber Unternehmern einschränken, jedoch nicht vollständig ausschließen, soweit dies gegen § 307 BGB verstößt. Ein vollständiger Ausschluss des Minderungsrechts bei dauerhaften Verfügbarkeitsausfällen ist in der Regel AGB-rechtlich unwirksam und sollte anwaltlich geprüft werden.
Was ist Vendor Lock-in, und wie lässt er sich vertraglich adressieren?
Vendor Lock-in bezeichnet die faktische Abhängigkeit von einem Anbieter durch technische oder vertragliche Hürden, die einen Wechsel schwierig oder kostspielig machen. Vertraglich lässt sich dem entgegenwirken durch eine explizite Datenportabilitätsklausel mit definiertem Exportformat, eine angemessene Übergangsfrist nach Kündigung, die Pflicht des Anbieters zur Migrationshilfe sowie ein Sonderkündigungsrecht bei wesentlichen Änderungen des Dienstes. Der EU Data Act stärkt ab 2025 schrittweise die Rechte von Kunden in Bezug auf Datenportabilität und Anbieterwechsel.
Welche Zertifizierungen sollte ein Cloud-Anbieter nachweisen können?
Als Mindeststandard sollten Anbieter eine Zertifizierung nach ISO 27001 für ihr Informationssicherheits-Managementsystem nachweisen. Für US-Anbieter ist ein SOC 2 Type II-Bericht ein wichtiges Indiz für die Reife der Sicherheitsprozesse. Für regulierte Branchen – etwa Finanzdienstleistungen oder Gesundheitswesen – können darüber hinaus spezifische Nachweise erforderlich sein, etwa eine BSI C5-Testatierung. Der Vertrag sollte den Anbieter zur regelmäßigen Vorlage aktueller Zertifikate verpflichten.
Was passiert mit meinen Daten, wenn der Cloud-Anbieter insolvent wird?
Bei Insolvenz des Anbieters hängt der Zugang zu gespeicherten Daten davon ab, ob der Insolvenzverwalter den Betrieb vorläufig fortführt und welche vertraglichen Regelungen gelten. Aus Vorsichtsgründen sollte der Vertrag ein Sonderkündigungsrecht bei Insolvenzantragstellung des Anbieters, eine sofortige Datenmigrationspflicht und für geschäftskritische Anwendungen ein Escrow-Arrangement vorsehen. Ohne vertragliche Vorsorge können Unternehmen in einem Insolvenzverfahren wochenlang ohne Zugang zu betriebskritischen Daten sein.
Können Cloud-Anbieter ihre Preise einseitig erhöhen, und was kann ich dagegen tun?
Einseitige Preisanpassungsklauseln sind in Cloud-Standardverträgen weit verbreitet. Im B2B-Bereich sind solche Klauseln zwar weniger strengen AGB-Schranken ausgesetzt als im Verbraucherbereich, ein vollständig unbegrenzt einseitiges Leistungsbestimmungsrecht des Anbieters begegnet jedoch nach § 307 BGB erheblichen Wirksamkeitsbedenken. Verhandeln sollten Sie eine Kopplung der Preisanpassung an einen objektiven Index sowie ein Sonderkündigungsrecht, wenn die Erhöhung einen vereinbarten Schwellenwert überschreitet.
Die vorstehende Darstellung betrifft die Regelfälle der SaaS- und Cloud-Vertragsgestaltung. Ihr konkretes Vorhaben erfordert die Prüfung der spezifischen Vertragsdokumente, der verarbeiteten Datenarten und Ihrer individuellen regulatorischen Ausgangslage. Für eine erste Durchsicht Ihrer Vertragsunterlagen wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.