Ein Geschäftsführer eines mittelständischen Fertigungsunternehmens unterzeichnet einen SaaS-Vertrag mit einem US-amerikanischen Softwareanbieter – Laufzeit fünf Jahre, Datenhaltung auf Servern in Irland, Kündigung nur mit sechsmonatiger Vorlaufzeit, Haftungsbeschränkung auf die Jahreslizenzgebühr. Klingt handelsüblich. Doch nach einem Datenschutzvorfall stellt sich heraus: Die vereinbarten Vertragsklauseln genügen weder den Anforderungen des deutschen AGB-Rechts noch den Pflichten aus der Datenschutz-Grundverordnung (DSGVO). Die Folgen reichen von empfindlichen Bußgeldern bis zur persönlichen Haftung des Geschäftsführers.
SaaS- und Cloud-Verträge gestalten erfordert die Verzahnung von Vertragsrecht nach dem Bürgerlichen Gesetzbuch (BGB), AGB-Kontrolle gemäß §§ 305 ff. BGB, datenschutzrechtlichen Pflichten nach der DSGVO sowie IT-spezifischen Leistungsbeschreibungen. Fehlende oder unausgewogene Klauseln begründen erhebliche Haftungsrisiken für das Unternehmen und seine Geschäftsführung. Wer Cloud-Verträge ohne anwaltliche Prüfung schließt, setzt Betriebskontinuität, Datensicherheit und Liquidität aufs Spiel.
Dieser Beitrag analysiert die wesentlichen Rechtsfragen bei der Gestaltung von SaaS- und Cloud-Verträgen, erläutert typische Risikostellen, zeigt Gestaltungsoptionen und gibt konkrete Handlungsempfehlungen für den deutschen Mittelstand.
Welche Vertragstypen liegen SaaS- und Cloud-Vereinbarungen zugrunde?
Die zivilrechtliche Einordnung eines Cloud-Vertrags bestimmt, welche gesetzlichen Gewährleistungs-, Haftungs- und Kündigungsregeln des BGB greifen – und damit das gesamte Risikoprofil des Unternehmens. Eine einheitliche gesetzliche Definition des „SaaS-Vertrags" existiert im deutschen Recht nicht. Die höchstrichterliche Rechtsprechung sowie die herrschende Literatur ordnen Cloud-Dienste je nach Leistungsinhalt unterschiedlichen Vertragstypen zu.
Bei der Überlassung von Software auf Abruf (Software as a Service) liegt typischerweise ein Mietvertrag nach §§ 535 ff. BGB vor, sofern der Nutzer dauerhaften Zugang gegen laufende Vergütung erhält. Bietet der Anbieter hingegen infrastrukturelle Rechenkapazität (Infrastructure as a Service, IaaS) oder Plattformdienste (Platform as a Service, PaaS) an, kommen je nach Leistungsgestaltung Miet-, Dienst- oder Werkvertragsrecht in Betracht. Enthält der Vertrag Elemente der Softwareanpassung, Implementierung oder Datenmigration, gelten für diese Bestandteile werkvertragliche Regeln nach §§ 631 ff. BGB – einschließlich Abnahmepflicht und Mängelhaftung.
Die praktische Konsequenz dieser Typenvielfalt: Verträge, die Leistungen unterschiedlicher Art bündeln, müssen sorgfältig gemischt-typologisch gestaltet werden. In der Mandatspraxis sehen wir regelmäßig Vereinbarungen, bei denen die Parteien die werkvertraglichen Elemente übersehen und damit die Abnahmereife – und damit auch die Fälligkeit der Vergütung – ungeklärt lassen. Solche Lücken sind im Streitfall kostspielig.
Welche Konsequenzen hat es, wenn der Vertragstyp falsch eingeordnet wird? Entscheidend ist etwa, dass beim Mietvertrag keine förmliche Abnahme erforderlich ist und Mängel unmittelbar zur Minderung berechtigen, während beim Werkvertrag die Abnahme als Zäsur gilt und die Beweislast für Mängel auf den Besteller übergeht. Diese unterschiedlichen Rechtsfolgen müssen Geschäftsführer kennen, bevor sie unterzeichnen.
AGB-Recht und Inhaltskontrolle: Wann sind Standardklauseln unwirksam?
Die meisten Cloud- und SaaS-Anbieter verwenden vorformulierte Allgemeine Geschäftsbedingungen (AGB). Nach deutschem Recht unterliegen diese der strengen Inhaltskontrolle der §§ 305 ff. BGB, auch wenn beide Vertragsparteien Kaufleute sind. Für unternehmerische Kunden gilt zwar ein erweiterter Gestaltungsspielraum – dennoch sind Klauseln, die den Vertragspartner unangemessen benachteiligen, unwirksam (§ 307 BGB).
In der Praxis begegnen uns dabei immer wieder dieselben problematischen Klauseltypen. Erstens: Haftungsbeschränkungen auf die Jahreslizenzgebühr, die auch grobe Fahrlässigkeit und Datenverlust erfassen sollen. Solche Klauseln sind bei der Beschränkung auf Vorsatz und grobe Fahrlässigkeit grundsätzlich unwirksam. Zweitens: Einseitige Preisanpassungsklauseln, die dem Anbieter erlauben, Preise ohne sachliche Bindung und ohne Kündigungsrecht des Kunden anzuheben. Drittens: Klauseln, die dem Anbieter gestatten, den Leistungsumfang (etwa Speicherkapazität, Nutzeranzahl, API-Limits) jederzeit einseitig zu verändern, ohne dem Kunden ein Sonderkündigungsrecht einzuräumen.
Nach unserer Erfahrung ist insbesondere die Klausel zur Datenlöschung nach Vertragsende eine unterschätzte Risikostelle: Viele Standard-AGB sehen vor, dass Kundendaten nach Ablauf einer kurzen Frist – oft nur 30 Tage – unwiederbringlich gelöscht werden. Für Unternehmen, die gesetzlichen Aufbewahrungspflichten unterliegen, kann dies zu erheblichen Compliance-Problemen führen. § 307 BGB schützt hier nur, wenn die Klausel durch Individualvereinbarung korrigiert oder wirksam einbezogen wurde.
Praktischer Hinweis: Jede wesentliche Abweichung vom gesetzlichen Leitbild – sei es beim Haftungsregime, bei Kündigungsfristen oder beim Leistungsumfang – sollte im Rahmen der Vertragsverhandlung als Individualvereinbarung fixiert werden. Individualvereinbarungen gehen AGB vor (§ 305b BGB).
Datenschutzrecht und Auftragsverarbeitung: Was Geschäftsführer zwingend regeln müssen
Jede Nutzung eines SaaS- oder Cloud-Dienstes, bei der personenbezogene Daten verarbeitet werden, verpflichtet das Unternehmen als Verantwortlichen (Art. 4 Nr. 7 DSGVO) zum Abschluss eines Auftragsverarbeitungsvertrags (AVV) mit dem Anbieter gemäß Art. 28 DSGVO. Fehlt dieser Vertrag oder ist er unvollständig, liegt ein eigenständiger Datenschutzverstoß vor – unabhängig davon, ob tatsächlich ein Datenschutzvorfall eingetreten ist.
Die DSGVO sieht für Verstöße gegen Art. 28 Bußgelder von bis zu 20 Millionen Euro oder bis zu 4 % des gesamten weltweiten Jahresumsatzes des Unternehmens vor (Art. 83 Abs. 4 DSGVO), je nachdem, welcher Betrag höher ist. Hinzu kommt: Bei einem Datenschutzvorfall muss die zuständige Aufsichtsbehörde binnen 72 Stunden nach Bekanntwerden informiert werden (Art. 33 DSGVO) – eine Frist, die in der Praxis ohne vorab installiertes Meldesystem kaum einzuhalten ist.
Für Geschäftsführer mittelständischer Unternehmen bedeutet dies konkret: Der AVV muss nicht nur formal vorhanden, sondern inhaltlich vollständig sein. Er muss unter anderem Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Kategorien personenbezogener Daten, die Pflichten und Rechte des Verantwortlichen sowie Weisungsbefugnisse regeln. Darüber hinaus muss sichergestellt sein, dass Subunternehmen des Anbieters (Subauftragsverarbeiter) ebenfalls vertraglich verpflichtet sind.
Werden Daten in Länder außerhalb der EU oder des EWR übertragen – etwa auf Server in den USA – ist zudem ein geeignetes Datenschutzniveau sicherzustellen. Nach dem Schrems-II-Urteil des Europäischen Gerichtshofs und der aktuellen Datenschutzpraxis kommt hierfür vor allem der Abschluss der EU-Standardvertragsklauseln (Standard Contractual Clauses, SCC) in Betracht, ergänzt um ein Transfer Impact Assessment (TIA). Diese Anforderungen sind in der Mandatspraxis mit US-amerikanischen Anbietern regelmäßig aufwendig, aber unverzichtbar.
Leistungsbeschreibung und Service Level Agreements: Wie präzise muss die Formulierung sein?
Ein zentrales Risiko in Cloud-Verträgen liegt in unzureichend definierten Leistungspflichten. Service Level Agreements (SLA – Vereinbarungen über Qualitäts- und Verfügbarkeitsniveaus) sind das vertragliche Herzstück jeder belastbaren Cloud-Vereinbarung. Fehlen SLAs oder sind sie zu unbestimmt, ist die Geltendmachung von Mängelansprüchen oder Schadenersatz in der Praxis erheblich erschwert.
Mindestinhalte, die jeder SaaS- oder Cloud-Vertrag definieren sollte, umfassen: die vertraglich zugesicherte Verfügbarkeit des Systems (typischerweise in Prozent auf monatlicher Basis), die Definition von Ausfall und geplanten Wartungsfenstern, Reaktions- und Behebungszeiten bei Störungen unterschiedlicher Schwere sowie Verfahren zur Eskalation und Störungsmeldung. Entscheidend ist zudem, welche Konsequenzen eine Unterschreitung der vereinbarten Verfügbarkeit hat – ob also automatisch Gutschriften oder Minderungsansprüche entstehen oder ob der Kunde aktiv vorgehen muss.
Aus rechtlicher Sicht ist die Einordnung der SLA-Unterschreitung als Sachmangel (§ 536 BGB bei mietrechtlicher Einordnung) von Bedeutung: Ein erheblicher Mangel berechtigt zur Minderung, und bei dauerhafter Nichterfügbarkeit kann sogar ein Recht zur außerordentlichen Kündigung entstehen. Die Schwelle zur „Erheblichkeit" des Mangels wird von der Rechtsprechung nicht schematisch gezogen und ist stets im Einzelfall zu bewerten.
In der Mandatspraxis berät die Kanzlei regelmäßig Unternehmen, die nach einem mehrstündigen Systemausfall feststellen, dass ihr Vertrag zwar eine „99,5-Prozent-Verfügbarkeit" verspricht, aber die Berechnungsmethode so gestaltet ist, dass Wartungsfenster und geplante Downtimes herausgerechnet werden – was die tatsächlich garantierte Verfügbarkeit erheblich absenkt. Solche Klauseln sind nicht per se unwirksam, aber sie stellen eine substanzielle Schlechterstellung dar, die bei sorgfältiger Vertragsgestaltung vermeidbar ist.
Kündigung, Exit-Strategie und Datenmigration: Was passiert bei Vertragsende?
Die Exit-Regelung ist in Cloud-Verträgen häufig die am stärksten vernachlässigte Klauselgruppe – und zugleich diejenige mit den gravierendsten operativen Konsequenzen. Kann ein Unternehmen seine Daten nach Vertragsende nicht vollständig und in einem nutzbaren Format zurückerhalten, droht ein faktischer Vendor-Lock-in (Bindung an einen einzigen Anbieter ohne realistische Wechselmöglichkeit).
Vertraglich sollte daher zwingend geregelt sein: erstens das Recht des Kunden, vor und nach Vertragsbeendigung alle gespeicherten Daten in einem standardisierten, maschinenlesbaren Format (z. B. CSV, XML, JSON) zu exportieren; zweitens eine ausreichend lange Übergangsfrist – in der Praxis empfehlen sich mindestens 90 Tage nach Vertragsende –, während derer der Anbieter den Lesezugriff auf die Daten aufrechterhält; drittens klare Pflichten des Anbieters zur Unterstützung der Datenmigration auf ein Folgesystem.
Aus datenschutzrechtlicher Perspektive besteht nach Art. 28 Abs. 3 lit. g DSGVO außerdem die Pflicht des Auftragsverarbeiters, nach Abschluss der Auftragsverarbeitung alle personenbezogenen Daten nach Wahl des Verantwortlichen zu löschen oder zurückzugeben. Diese Pflicht muss im Vertrag konkret ausgestaltet werden – eine pauschale Verweisung auf die DSGVO genügt in der Regel nicht.
Für Geschäftsführer, die gesetzliche Aufbewahrungspflichten zu beachten haben – etwa nach Handelsgesetzbuch oder Abgabenordnung –, ergibt sich ein zusätzlicher Aspekt: Die Pflicht zur Aufbewahrung von Geschäftsunterlagen endet nicht mit dem Ende des Cloud-Vertrags. Daher muss sichergestellt sein, dass relevante Daten entweder lokal archiviert oder beim Anbieter für die gesetzlich vorgeschriebene Dauer verfügbar bleiben. Die genaue Aufbewahrungsfrist ist im Einzelfall zu prüfen.
Haftung und Risikoallokation: Welche Grenzen sind wirksam?
Haftungsklauseln in Cloud-Verträgen bewegen sich im Spannungsfeld zwischen dem berechtigten wirtschaftlichen Interesse des Anbieters an Haftungsbegrenzung und dem zwingenden deutschen Recht, das bestimmte Haftungsbeschränkungen für unwirksam erklärt. Nach § 309 Nr. 7 BGB – der auch im unternehmerischen Verkehr als Indiz für eine unangemessene Benachteiligung nach § 307 BGB herangezogen wird – ist die Haftung für Schäden aus der Verletzung von Leben, Körper oder Gesundheit sowie für grob fahrlässig oder vorsätzlich verursachte Schäden grundsätzlich nicht wirksam ausschließbar.
In der Praxis begegnen uns Klauseln, die jede Haftung des Anbieters auf die in den letzten zwölf Monaten gezahlten Lizenzgebühren deckeln – und dies für alle Schadenskategorien ohne Ausnahme. Solche pauschalen Deckelungen sind bei Vorsatz und grober Fahrlässigkeit nach herrschender Auffassung unwirksam. Für Datenverluste, die aus dem Verletzung von Kardinalpflichten (wesentliche Vertragspflichten) resultieren, besteht ebenfalls ein deutlich eingeschränkter Spielraum für Haftungsbeschränkungen.
Was bedeutet das für die Vertragsgestaltung? Die Haftungsklausel sollte klar differenzieren: nach Verschuldensgrad (Vorsatz, grobe Fahrlässigkeit, einfache Fahrlässigkeit), nach Art des Schadens (Datenverlust, Betriebsunterbrechung, mittelbare Schäden) und nach Schadensursache (Kardinalpflichtverletzung oder sonstige Pflichtverletzung). Nur eine differenzierte Regelung ist AGB-rechtlich belastbar und bildet zugleich eine sachgerechte Risikoverteilung ab.
Aus der Perspektive des Geschäftsführers gilt darüber hinaus: Schließt das Unternehmen einen Cloud-Vertrag mit offensichtlich unausgewogenen Haftungsklauseln und entsteht daraus ein Schaden, kann unter Umständen eine gesellschaftsrechtliche Organhaftung in Betracht kommen, wenn der Geschäftsführer seine Sorgfaltspflichten verletzt hat. Die Sorgfaltspflicht des Geschäftsführers schließt die rechtliche Prüfung wesentlicher Verträge ein.
Mikro-Fall: SaaS-Vertrag in der Praxis
Ausgangslage: In einem aktuellen Mandat beriet die Kanzlei ein inhabergeführtes Software-Unternehmen aus dem Bereich B2B-Logistik mit rund 120 Mitarbeitern. Das Unternehmen hatte einen mehrjährigen SaaS-Vertrag mit einem europäischen Anbieter für seine ERP-Kernsoftware geschlossen. Nach einem Servervorfall beim Anbieter waren Produktionsdaten für mehrere Tage nicht verfügbar. Der AVV fehlte, die SLA-Klausel enthielt keine Definition des Begriffs „Verfügbarkeit", und die Haftungsklausel beschränkte alle Ansprüche pauschal auf die Monatsgebühr.
Vorgehen: Die Kanzlei analysierte zunächst die AGB-Konformität der Haftungsklausel und stellte die unwirksame Begrenzung für grob fahrlässig verursachte Schäden fest. Parallel wurde ein vollständiger AVV nach Art. 28 DSGVO verhandelt. Die SLA wurde mit einer klaren Verfügbarkeitsdefinition, gestuften Gutschriften und einem Sonderkündigungsrecht bei wiederholter Unterschreitung neu gefasst. Für die Datenmigration wurde eine strukturierte Exit-Regelung mit 90-tägiger Übergangsfrist vereinbart.
Ergebnis: Der überarbeitete Vertrag schützte das Unternehmen sowohl haftungsrechtlich als auch datenschutzrechtlich erheblich besser als die ursprüngliche Fassung. Konkrete Schadensbeträge werden aus berufsrechtlichen Gründen nicht genannt; das Ergebnis lässt sich als deutliche Verbesserung der Risikoposition des Unternehmens qualifizieren.
Gestaltungsoptionen im Überblick: Konstellationen und Empfehlungen
Die nachfolgende Übersicht zeigt, wie unterschiedliche Vertragskonstellationen unterschiedliche Handlungsoptionen erfordern. Sie ersetzt keine Einzelfallprüfung, gibt aber eine Orientierung für die Entscheidungsfindung in der Praxis.
Konstellation A – Standardisierter SaaS-Vertrag mit Global Player: Der Anbieter bietet ausschließlich seine vorformulierten AGB an. Verhandlungsspielraum ist begrenzt. Empfehlung: Kritische Klauseln zu Haftung, AVV und Exit anwaltlich prüfen lassen; wo keine Verhandlung möglich ist, alternatives Produkt oder Anbieter in Betracht ziehen. Frist: Keine starre gesetzliche Frist, aber Handlungsbedarf vor Unterzeichnung.
Konstellation B – Individuell verhandelter Cloud-Vertrag mit mittelständischem Anbieter: Verhandlungsspielraum besteht. Prioritäten: SLA-Definition, differenzierte Haftungsklausel, vollständiger AVV, Exit-Regelung. Die Norm § 307 BGB setzt den inhaltlichen Rahmen; Individualvereinbarungen nach § 305b BGB sind zu bevorzugen. Ergebnis: Erheblich stärkere Rechtsposition des Kunden.
Konstellation C – Multi-Cloud-Umgebung mit mehreren Anbietern: Die Komplexität steigt exponentiell. Datenschutzrechtlich müssen mehrere AVVs abgeschlossen werden, und die Interoperabilität der Exit-Klauseln ist zu koordinieren. Empfehlung: Übergreifendes Cloud-Governance-Dokument erstellen, das alle Anbieter, Datenflüsse und Verantwortlichkeiten abbildet.
Konstellation D – Datenverarbeitung außerhalb der EU: Zusätzlicher Handlungsbedarf durch internationalen Datentransfer. Vor Unterzeichnung ist ein Transfer Impact Assessment (TIA) durchzuführen und der Abschluss der EU-Standardvertragsklauseln zu sicherzustellen. Die zuständige Datenschutzbehörde kann im Einzelfall konsultiert werden.
Checkliste: Mindestanforderungen an rechtssichere SaaS- und Cloud-Verträge
Die folgenden Punkte bilden die rechtliche Mindestanforderung an jeden SaaS- oder Cloud-Vertrag für ein mittelständisches Unternehmen ab. Sie erheben keinen Anspruch auf Vollständigkeit und ersetzen die anwaltliche Einzelfallprüfung nicht.
- Vertragstyp-Klarheit: Miet-, Dienst- oder Werkvertragsrecht eindeutig bestimmt und gemischt-typologische Elemente gesondert geregelt.
- AGB-Prüfung: Haftungsklauseln, Preisanpassungsklauseln und Leistungsänderungsvorbehalte auf AGB-Konformität (§§ 305 ff. BGB) geprüft.
- AVV nach Art. 28 DSGVO: Vollständig und inhaltlich korrekt abgeschlossen, Subauftragsverarbeiter erfasst.
- Internationaler Datentransfer: Bei Drittstaatentransfer EU-Standardvertragsklauseln und TIA vorhanden.
- SLA-Regelung: Verfügbarkeit, Ausfallzeit, Wartungsfenster, Reaktionszeiten und Konsequenzen bei Unterschreitung klar definiert.
- Haftungsdifferenzierung: Getrennte Regelung nach Verschuldensgrad und Schadensart; keine pauschale Ausschlussklausel für Vorsatz/grobe Fahrlässigkeit.
- Exit-Regelung: Datenexport in standardisiertem Format, Übergangsfrist, Lösch- oder Rückgabepflicht nach Art. 28 Abs. 3 lit. g DSGVO.
- Aufbewahrungspflichten: Gesetzliche Aufbewahrungsfristen mit Vertragsende und Datenlöschungspflicht koordiniert.
- Kündigungsrechte: Ordentliche Kündigung, Sonderkündigungsrecht bei SLA-Unterschreitung und wesentlicher Vertragsänderung geregelt.
- Subunternehmer: Recht zur Genehmigung oder zumindest Widerspruchsrecht bei Wechsel wesentlicher Subauftragsverarbeiter verankert.
Praktische Schritte für Geschäftsführer: Von der Prüfung zur Unterzeichnung
Welche konkreten Schritte sollte ein Geschäftsführer unternehmen, bevor er einen SaaS- oder Cloud-Vertrag unterzeichnet? Die Antwort hängt vom Einzelfall ab – aber der strukturelle Ablauf ist in der Mandatspraxis weitgehend standardisierbar.
Schritt 1: Interne Bedarfsanalyse. Klären Sie zunächst, welche Daten – insbesondere personenbezogene Daten – im Cloud-System verarbeitet werden sollen und welche gesetzlichen Anforderungen für diese Daten gelten. Ohne diese Grundlage lässt sich kein Vertrag sachgerecht prüfen.
Schritt 2: Anbieterauswahl und Vorabprüfung. Prüfen Sie, ob der Anbieter einen vollständigen AVV-Entwurf vorlegt, seine Subauftragsverarbeiter offenlegt und nachweislich geeignete technische und organisatorische Maßnahmen (TOMs) nach Art. 32 DSGVO implementiert hat. Anbieter, die diese Grunddokumente verweigern, sind in der Regel nicht akzeptabel.
Schritt 3: Rechtliche Prüfung des Vertragswerks. Der Vertrag einschließlich AGB, AVV, SLA und ggf. Standardvertragsklauseln sollte anwaltlich geprüft werden. Schwerpunkte sind AGB-Konformität, Haftungsregime, Datenschutzrecht und Exit-Strategie.
Schritt 4: Verhandlung und Anpassung. Identifizierte Problempunkte werden im Verhandlungswege als Individualvereinbarungen korrigiert. Wo keine Verhandlung möglich ist, ist der wirtschaftliche Nutzen gegen das rechtliche Risiko abzuwägen – eine Entscheidung, die die Geschäftsführung mit anwaltlicher Begleitung treffen sollte.
Schritt 5: Implementierung und laufende Kontrolle. Nach Vertragsschluss muss sichergestellt sein, dass die internen Prozesse zur Meldung von Datenschutzvorfällen (72-Stunden-Frist nach Art. 33 DSGVO) funktionieren und die SLA-Einhaltung kontinuierlich überwacht wird.
Die vorstehende Darstellung betrifft die Regelfälle bei der Gestaltung von SaaS- und Cloud-Verträgen. Ihr konkreter Fall erfordert die Prüfung Ihrer Unterlagen, der relevanten Anbieter-AGB und der einschlägigen datenschutzrechtlichen Anforderungen. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zu SaaS- und Cloud-Verträgen
Welches Vertragsrecht gilt für SaaS-Verträge in Deutschland?
SaaS-Verträge werden in Deutschland in der Regel als Mietverträge nach §§ 535 ff. BGB eingeordnet, sofern der Nutzer dauerhaften Zugang zu Software gegen laufende Vergütung erhält. Enthält der Vertrag Implementierungs- oder Anpassungsleistungen, kommen für diese Teile werkvertragliche Regeln nach §§ 631 ff. BGB hinzu. Die genaue Einordnung beeinflusst Mängelrechte, Abnahmepflichten und Kündigungsmöglichkeiten und sollte vor Vertragsschluss anwaltlich geklärt werden.
Muss bei jedem SaaS-Vertrag ein Auftragsverarbeitungsvertrag abgeschlossen werden?
Ja, sofern personenbezogene Daten im Rahmen des SaaS-Dienstes verarbeitet werden, ist der Abschluss eines Auftragsverarbeitungsvertrags (AVV) nach Art. 28 DSGVO zwingend erforderlich. Das gilt unabhängig davon, ob es sich um Kundendaten, Mitarbeiterdaten oder sonstige personenbezogene Informationen handelt. Fehlt der AVV, liegt ein eigenständiger Datenschutzverstoß vor, der mit Bußgeldern von bis zu 20 Millionen Euro oder bis zu 4 % des weltweiten Jahresumsatzes geahndet werden kann.
Wie lange muss ich Cloud-Daten nach Vertragsende aufbewahren?
Die Aufbewahrungspflicht richtet sich nach dem jeweiligen Rechtsgebiet und der Art der Daten. Handels- und steuerrechtliche Aufbewahrungspflichten bleiben unabhängig vom Ende des Cloud-Vertrags bestehen. Gleichzeitig verpflichtet Art. 28 Abs. 3 lit. g DSGVO den Auftragsverarbeiter, Daten nach Abschluss der Verarbeitung zu löschen oder zurückzugeben. Diese gegenläufigen Pflichten müssen im Vertrag koordiniert werden; die genaue Frist ist im Einzelfall anwaltlich zu prüfen.
Sind Haftungsbeschränkungen auf die Jahreslizenzgebühr in SaaS-AGB wirksam?
Pauschale Haftungsbeschränkungen, die auch Schäden aus Vorsatz und grober Fahrlässigkeit erfassen, sind nach deutschem AGB-Recht in der Regel unwirksam. § 307 BGB verlangt, dass Klauseln den Vertragspartner nicht unangemessen benachteiligen. Selbst im unternehmerischen Verkehr ist eine vollständige Ausschlussklausel für grob fahrlässig verursachte Schäden und Kardinalpflichtverletzungen regelmäßig nicht durchsetzbar. Die Haftungsklausel sollte nach Verschuldensgrad und Schadensart differenzieren.
Was versteht man unter Vendor-Lock-in und wie lässt er sich vertraglich begrenzen?
Vendor-Lock-in bezeichnet die faktische Abhängigkeit eines Unternehmens von einem einzigen Anbieter, die einen Wechsel zu einem anderen System wirtschaftlich oder technisch unmöglich oder unverhältnismäßig teuer macht. Vertraglich lässt sich Vendor-Lock-in durch Klauseln zum Datenexport in standardisierten Formaten, angemessene Übergangsfristen nach Vertragsende (in der Praxis empfehlenswert: mindestens 90 Tage) sowie Migrationshilfepflichten des Anbieters begrenzen. Diese Regelungen sollten vor Vertragsschluss als Individualvereinbarungen verhandelt werden.
Welche Pflichten bestehen bei einem Datenschutzvorfall in einem Cloud-System?
Bei einem Datenschutzvorfall in einem Cloud- oder SaaS-System muss das verantwortliche Unternehmen die zuständige Datenschutzbehörde grundsätzlich binnen 72 Stunden nach Bekanntwerden informieren (Art. 33 DSGVO). Ist der Vorfall voraussichtlich mit einem hohen Risiko für die Rechte betroffener Personen verbunden, sind auch diese zu benachrichtigen (Art. 34 DSGVO). Der Cloud-Anbieter ist als Auftragsverarbeiter verpflichtet, den Verantwortlichen unverzüglich zu informieren. Ohne funktionierendes Meldesystem ist die 72-Stunden-Frist kaum einzuhalten.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.