Ein Geschäftsführer unterzeichnet einen Rahmenvertrag mit einem US-amerikanischen Cloud-Anbieter für die gesamte Unternehmens-IT — ohne SLA-Mindestgarantien, ohne Ausstiegsklausel, ohne Regelung zur Datenlöschung nach Vertragsende. Sechs Monate später möchte er den Anbieter wechseln. Die Daten sind gesperrt, ein Abzug kostet fünfstellig, und die bestellte Verfügbarkeit von „99 %" ist nirgends rechtlich bindend definiert. Diese Konstellation ist in der Mandatspraxis von BRANDT & FALK keine Ausnahme — sie ist die Regel.
SaaS- und Cloud-Verträge sind IT-Verträge eigener Art, die sich weder bruchlos dem Mietrecht noch dem Werkvertragsrecht des BGB zuordnen lassen. Entscheidend für Geschäftsführer im Mittelstand sind drei Elemente: eine sorgfältige Qualifikation des Vertragstyps, die Verankerung messbarer Service-Level-Agreements sowie datenschutzrechtlich konforme Auftragsverarbeitungsklauseln nach Art. 28 DSGVO. Fehlen diese Bausteine, haftet das Unternehmen für Datenschutzverstöße und verliert im Streitfall wesentliche Gewährleistungsrechte.
Der folgende Beitrag erläutert den Rechtsrahmen, die typischen Risikostellen und die Gestaltungsoptionen für mittelständische Unternehmen — von der Vertragstypqualifikation über SLA und Datenschutz bis zur Exit-Strategie.
Warum die Vertragstypqualifikation über Ihre Rechte entscheidet
Der Vertragstypus bestimmt, welches gesetzliche Regelwerk greift, wenn der Cloud-Dienst ausfällt, Daten verloren gehen oder der Anbieter insolvent wird. Das ist keine akademische Frage — sie entscheidet darüber, ob Sie Mängelrechte, Minderung oder Schadensersatz geltend machen können.
Für SaaS-Verträge (Software-as-a-Service, also die dauerhafte Bereitstellung von Software über das Internet) sprechen die Gerichte je nach Ausgestaltung miet-, werk- oder dienstvertragliche Züge zu. Überwiegt die dauernde Nutzungsüberlassung — typisch bei standardisierten Business-Applikationen wie CRM- oder ERP-Systemen — ordnet die herrschende Rechtsprechung das Verhältnis dem Mietrecht (§§ 535 ff. BGB) zu. Die praktische Konsequenz: Der Nutzer kann bei erheblichem Leistungsrückstand mindern oder außerordentlich kündigen, soweit das AGB-rechtlich nicht wirksam abbedungen ist.
Bei Cloud-Services mit starkem Individualisierungsgrad — etwa einem Hosting für eine kundenspezifisch entwickelte Plattform — kann das Werkvertragsrecht (§§ 631 ff. BGB) eingreifen. Das verschiebt die Risikoverteilung erheblich: Abnahme, Mängelgewährleistungsfristen und Vergütungsrisiken gelten anders. In der Mandatspraxis sehen wir regelmäßig, dass Anbieter-AGB die gesetzliche Mängelhaftung auf „best efforts"-Klauseln reduzieren — ohne dass die Gegenseite die Tragweite erkennt.
Für die Vertragsgestaltung gilt deshalb als erster Schritt: ausdrücklich festlegen, welcher Vertragstyp gelten soll — und diese Festlegung mit dem tatsächlichen Leistungsinhalt in Einklang bringen. Eine Typenklausel, die mit dem operativen Leistungsinhalt kollidiert, ist vor Gericht wenig wert.
Welche SLA-Klauseln wirklich Schutz bieten
Service-Level-Agreements (SLAs, Dienstgütevereinbarungen) sind das Herzstück jedes Cloud-Vertrags. Nur wenn Verfügbarkeit, Reaktionszeiten und Wartungsfenster rechtlich verbindlich definiert sind, können Sie bei Unterschreitung Minderung oder Vertragsstrafe geltend machen. Eine „angestrebte Verfügbarkeit" ohne Rechtsfolgenanknüpfung ist rechtlich wertlos.
Praxisrelevante Klauselbausteine umfassen:
- Verfügbarkeitsgarantie: Prozentualer Wert mit Messmethode und Bezugszeitraum (Monat/Jahr), ausdrückliche Definition, welche Ausfallzeiten angerechnet werden (Wartungsfenster, geplante Downtime).
- Reaktions- und Lösungszeiten: Differenzierung nach Störungsklassen (kritisch, hoch, mittel), mit Eskalationspfad und Messbeginn.
- Rechtsfolgenregime: Automatische Gutschriften oder Minderungsrecht ab definierter Unterschreitung — ohne vorherige Mahnung.
- Reportingpflicht: Monatliche Verfügbarkeitsberichte als Beweismittel.
- Wartungsfenster: Ankündigungspflicht (mind. X Werktage), Begrenzung auf Zeiten geringer Nutzung, Kumulationsverbot.
Nach unserer Erfahrung akzeptieren professionelle SaaS-Anbieter Nachverhandlungen auf Klauseleben — wenn die eigene Marktposition es erlaubt. Bei kleineren Mittelständlern gegenüber Hyperscalern (etwa AWS, Azure, Google Cloud) ist die Verhandlungsmacht gering. Hier kommt es darauf an, die Mindest-SLAs im Auftrag als Zugangsvoraussetzung festzulegen und notfalls einen anderen Anbieter zu wählen, der diese akzeptiert.
Datenschutz und Auftragsverarbeitung: Was DSGVO und BGB verlangen
Verarbeitet der Cloud-Dienst personenbezogene Daten — und das ist bei nahezu jedem Unternehmenseinsatz der Fall —, ist der Abschluss eines Auftragsverarbeitungsvertrags (AVV) nach Art. 28 DSGVO keine Option, sondern eine gesetzliche Pflicht. Fehlt der AVV, drohen Bußgelder bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes (Art. 83 DSGVO). Verantwortlich ist das Unternehmen als Auftraggeber — nicht der Cloud-Anbieter.
Der AVV muss nach Art. 28 Abs. 3 DSGVO folgende Mindestinhalte abdecken: Gegenstand und Dauer der Verarbeitung, Art und Zweck, Kategorien der Daten und betroffenen Personen, Pflichten und Rechte des Verantwortlichen. Hinzu kommen Weisungsrechte, Vertraulichkeitsverpflichtungen, Sicherheitsmaßnahmen nach Art. 32 DSGVO, Regelungen zu Unterauftragnehmern (Sub-Processoren), Unterstützungspflichten bei Betroffenenrechten und Datenpannen sowie eine Löschungspflicht binnen 72 Stunden nach Vertragsende oder auf Weisung — analog Art. 33 DSGVO, der eine Meldepflicht bei Datenschutzverletzungen binnen 72 Stunden vorschreibt.
Besonderes Augenmerk verdienen Drittlandtransfers: Speichert der Anbieter Daten in den USA oder in anderen Nicht-EWR-Staaten, bedarf es eines Transfermechanismus — entweder Standardvertragsklauseln (SCCs) nach Art. 46 DSGVO oder eines Angemessenheitsbeschlusses der EU-Kommission. Der EU-US Data Privacy Framework (seit Juli 2023) ermöglicht Transfers an zertifizierte US-Unternehmen; seine langfristige Stabilität ist jedoch politisch kontrovers, weshalb eine Fallback-Klausel auf SCCs sinnvoll bleibt.
Ein weiterer Stolperstein: Sub-Prozessoren. Viele Cloud-Anbieter nutzen ihrerseits Unterauftragnehmer für Infrastruktur, Support oder KI-Analyse. Der Hauptvertrag muss sicherstellen, dass diese Sub-Prozessoren denselben Datenschutzstandards unterliegen und dass Wechsel vorab angezeigt werden — mit Widerspruchsrecht.
Haftungsbegrenzungen und AGB-Kontrolle: Wo Anbieterklauseln unwirksam sind
Standard-AGB großer Cloud-Anbieter beschränken die Haftung regelmäßig auf das Jahresentgelt oder schließen Folgeschäden vollständig aus. Für Mittelständler, deren Geschäftsbetrieb an einem Cloud-Dienst hängt, ist das eine erhebliche Risikoexposition — insbesondere wenn ein mehrtägiger Ausfall einen Produktionsstillstand bedeutet.
Die AGB-Inhaltskontrolle nach §§ 305 ff. BGB setzt solchen Klauseln im deutschen Recht Grenzen. Insbesondere gilt: Der Ausschluss der Haftung für Vorsatz und grobe Fahrlässigkeit ist im unternehmerischen Verkehr in AGB unwirksam (§ 309 Nr. 7 lit. b BGB findet im B2B-Bereich über § 307 BGB Anwendung, wenn der Klauselinhalt eine unangemessene Benachteiligung darstellt). Auch die vollständige Ausklammerung von Körper- und Gesundheitsschäden wäre unwirksam.
Wie weit Haftungsobergrenzen im B2B-Verkehr reichen dürfen, ist von den Umständen des Einzelfalls abhängig. Als Faustformel gilt: Eine Haftungsdeckelung auf das Jahresentgelt ist bei Standardleistungen regelmäßig zulässig; bei Datenverlust und Datenschutzverstößen ist die Gestaltungsfreiheit enger, weil hier externe Bußgeldrisiken drohen, die der Nutzer nicht intern begrenzen kann.
In der Mandatspraxis empfehlen wir, AGB nicht nur auf Wirksamkeit zu prüfen, sondern im Verhandlungsweg individuelle Regelungen (Individualvertrag) zu vereinbaren, die die gesetzlichen Mindeststandards anheben. Auch ein scheinbar nicht verhandelbares „Click-Through"-Agreement kann durch schriftlichen Nachtrag ergänzt werden, der im Kollisionsfall vorgeht.
Exit-Strategie und Portabilität: Was passiert, wenn Sie wechseln möchten?
Vendor Lock-in (Abhängigkeit von einem einzigen Anbieter) ist das strategische Risiko schlechthin im Cloud-Bereich. Technische Lock-ins entstehen durch proprietäre Datenformate, API-Abhängigkeiten und fehlende Exportfunktionen. Vertragliche Lock-ins entstehen durch lange Mindestlaufzeiten, automatische Verlängerungen und fehlende Portabilitätsrechte.
Aus rechtlicher Sicht ist die Datenmitnahme bei SaaS-Verträgen häufig unzureichend geregelt. Art. 20 DSGVO gewährt zwar ein Recht auf Datenportabilität für betroffene Personen — also Mitarbeiter oder Kunden — in einem strukturierten, maschinenlesbaren Format; ein entsprechendes Recht des Unternehmens als Vertragspartner ergibt sich daraus nicht automatisch. Es muss vertraglich begründet werden.
Empfehlenswerte Vertragsklauseln zur Exit-Absicherung:
- Datenexportrecht: Recht zur vollständigen Datenextraktion im Standardformat (z. B. CSV, JSON, SQL-Dump) jederzeit während der Laufzeit und für mindestens 90 Tage nach Vertragsende.
- Löschungspflicht: Bestätigung der vollständigen Löschung aller Unternehmensdaten nach Abzug, schriftlich dokumentiert.
- Migrationssupport: Technische Unterstützung des Anbieters bei der Migration zu einem anderen System — auch gegen angemessenes Entgelt.
- Kündigungsfristen: Maximale ordentliche Kündigungsfrist vertraglich begrenzen; automatische Verlängerungsklauseln auf höchstens einen Verlängerungszeitraum beschränken.
- Insolvenzklausel: Regelung für den Fall, dass der Anbieter insolvent wird — mit Treuhandlösung oder sofortigem Herausgabeanspruch.
Wer den Exit-Punkt vertraglich nicht verankert, riskiert — wie im Eingangsbeispiel — faktische Datengeiselschaft. Nach unserer Erfahrung sind viele Anbieter bereit, Portabilitätsklauseln zu akzeptieren, wenn sie keinen Aufwand bedeuten. Was sie selten akzeptieren: kostenlose Migrationshilfe. Diese muss verhandelt werden.
Besonderheiten bei internationalen Cloud-Verträgen und Rechtswahl
Hyperscaler wie große US-amerikanische Cloud-Plattformen verwenden standardmäßig US-amerikanisches Recht — häufig den Staat Delaware oder Irland für den EU-Raum. Für mittelständische Unternehmen mit Sitz in Deutschland ist das relevant, weil die Anwendung deutschen Rechts sicherstellt, dass die AGB-Inhaltskontrolle nach §§ 305 ff. BGB greift und das DSGVO-Schutzniveau nicht durch Rechtswahl unterschritten werden kann.
Die Rom-I-Verordnung (EU) Nr. 593/2008 regelt das auf Verträge anwendbare Recht im europäischen Raum. Für B2B-Verträge ist Rechtswahlfreiheit grundsätzlich möglich; jedoch schützen zwingende Bestimmungen des deutschen Rechts — darunter wesentliche Teile des DSGVO-Regimes — den deutschen Vertragspartner auch bei Wahl ausländischen Rechts.
Praktisch bedeutet das: Versuchen Sie stets, deutsches Recht als Vertragsstatut zu vereinbaren. Gelingt das nicht vollständig, ist zumindest eine Gerichtsstandklausel für deutsche Gerichte (§ 38 ZPO) zu verhandeln — was bei US-Anbietern mit EU-Tochtergesellschaft häufig erreichbar ist. Bei grenzüberschreitenden Sachverhalten und konkreten Rechtswahlproblemen arbeitet BRANDT & FALK mit qualifizierten Berufsträgern in der jeweiligen Jurisdiktion zusammen.
Praktische Checkliste für Geschäftsführer: Worauf Sie vor Vertragsschluss achten müssen
In der Mandatspraxis sehen wir, dass Geschäftsführer Cloud-Verträge häufig ohne strukturierte Vorabprüfung zeichnen — unter dem Druck schneller Digitalisierungsprojekte. Die folgende Prüfmatrix soll dem entgegenwirken.
- Vertragstypqualifikation: Ist der Vertrag als Miet-, Werk- oder Dienstvertrag ausgewiesen? Stimmt die Qualifikation mit dem Leistungsinhalt überein?
- SLA-Verbindlichkeit: Sind Verfügbarkeitswerte rechtlich bindend mit Rechtsfolgen verknüpft — oder nur als Zielwerte beschrieben?
- AVV nach Art. 28 DSGVO: Liegt ein vollständiger Auftragsverarbeitungsvertrag vor? Sind Sub-Prozessoren und Drittlandtransfers geregelt?
- Haftungsregime: Ist die Haftungsobergrenze für Datenverlust und Datenschutzverstöße angemessen? Greift deutsches AGB-Recht?
- Exit-Klauseln: Gibt es ein vertragliches Datenexportrecht, eine Löschungsbestätigung und eine begrenzte Verlängerungsautomatik?
- Rechtswahl und Gerichtsstand: Gilt deutsches Recht? Ist ein deutscher Gerichtsstand vereinbart?
- Insolvenzschutz: Besteht eine Regelung für den Fall der Anbieterinsolvenz (Datenzugang, Herausgabeanspruch)?
- Änderungsrechte des Anbieters: Hat der Anbieter das Recht, Leistungsumfang oder Preise einseitig zu ändern? Wenn ja: mit welcher Ankündigungsfrist und welchem Widerspruchsrecht?
Keine dieser Fragen lässt sich pauschal beantworten. Sie hängen vom konkreten Anbieter, dem Leistungsumfang und der Branche ab. Was diese Liste leistet: Sie strukturiert die anwaltliche Prüfung und stellt sicher, dass kein Risikofeld übersehen wird.
Aus der Mandatspraxis: In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Produktionsunternehmen aus dem Maschinenbau. Ausgangslage: Das Unternehmen hatte einen SaaS-Vertrag für seine Fertigungsplanungssoftware abgeschlossen. Nach 14 Monaten wollte der Geschäftsführer auf ein anderes System wechseln; der Anbieter verweigerte den Datenexport im erforderlichen Format und berief sich auf seine AGB. Vorgehen: BRANDT & FALK prüfte die AGB auf Wirksamkeit nach §§ 305 ff. BGB, analysierte den fehlenden AVV nach Art. 28 DSGVO und identifizierte die Datenpannen-Meldepflicht als zusätzlichen Hebel. Im Ergebnis konnte durch außergerichtliche Korrespondenz eine Einigung erzielt werden, die den vollständigen Datenexport und eine schriftliche Löschungsbestätigung sicherstellte. Ergebnis: Das Unternehmen wechselte den Anbieter ohne Datenverlust. Für neue Verträge wurde ein überarbeitetes Vertragsmuster mit vollständigen Exit-Klauseln und AVV erarbeitet.
Die vorstehende Darstellung betrifft die Regelfälle des SaaS- und Cloud-Vertragsrechts. Ihr konkreter Fall erfordert die Prüfung der spezifischen Vertragsunterlagen, der genutzten Dienste und der datenschutzrechtlichen Ausgangslage. Für eine fachliche Einschätzung Ihrer Situation schreiben Sie an info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zu SaaS- und Cloud-Verträgen
Was ist beim Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO zu beachten?
Jeder Cloud-Dienst, der personenbezogene Daten für Ihr Unternehmen verarbeitet, setzt einen AVV voraus. Dieser muss Gegenstand und Dauer der Verarbeitung, Datenkategorien, Pflichten des Anbieters, Weisungsrechte sowie Regelungen zu Sub-Prozessoren und Drittlandtransfers enthalten. Fehlt der AVV, drohen Bußgelder bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes. Verantwortlich ist Ihr Unternehmen als Auftraggeber — nicht der Cloud-Anbieter.
Welches Recht gilt für SaaS-Verträge mit US-amerikanischen Anbietern?
Viele US-Anbieter wählen in ihren AGB US-Recht oder irisches Recht. Für deutsche Unternehmen empfiehlt sich die Vereinbarung deutschen Rechts als Vertragsstatut, da nur so die AGB-Inhaltskontrolle nach §§ 305 ff. BGB vollständig greift. Zwingende Vorschriften des DSGVO-Regimes gelten allerdings unabhängig von der Rechtswahl. Ein verhandelter Gerichtsstand in Deutschland ist ebenfalls anzustreben.
Was bedeutet Vendor Lock-in rechtlich, und wie schützt man sich?
Vendor Lock-in beschreibt die faktische Abhängigkeit von einem Cloud-Anbieter durch technische oder vertragliche Bindung. Rechtlichen Schutz bieten explizite Datenportabilitätsklauseln (Exportrecht im Standardformat), begrenzte Verlängerungsautomatiken und eine Löschungsbestätigung nach Vertragsende. Art. 20 DSGVO gewährt ein Portabilitätsrecht nur für betroffene Personen — nicht für das Unternehmen als Vertragspartei. Dieses Recht muss daher vertraglich begründet werden.
Sind Haftungsausschlüsse in Cloud-AGB wirksam?
Nicht uneingeschränkt. Der vollständige Ausschluss der Haftung für Vorsatz und grobe Fahrlässigkeit ist in AGB auch im B2B-Verkehr nach deutschem Recht unwirksam. Haftungsobergrenzen auf das Jahresentgelt sind bei Standardleistungen regelmäßig zulässig; bei Datenverlust und Datenschutzverstößen ist die Gestaltungsfreiheit enger. Im Einzelfall ist die Wirksamkeit der jeweiligen Klausel anwaltlich zu prüfen.
Wie ist ein SaaS-Vertrag rechtlich einzuordnen — Miete, Werk oder Dienstleistung?
Die Einordnung hängt vom Leistungsinhalt ab. Standardisierte Business-Software, die dauerhaft bereitgestellt wird, ist regelmäßig mietrechtlich zu qualifizieren (§§ 535 ff. BGB), was dem Nutzer Minderungs- und Kündigungsrechte bei erheblichen Leistungsrückständen gibt. Stark individualisierte Hosting-Leistungen können dem Werkvertragsrecht unterliegen. Die Qualifikation sollte im Vertrag ausdrücklich festgelegt werden.
Welche Kündigungsfristen gelten bei Cloud-Verträgen?
Gesetzliche Sonderkündigungsfristen für Cloud-Verträge existieren nicht. Es gelten die vertraglich vereinbarten Fristen. Bei mietrechtlicher Qualifikation können bei fehlender Vereinbarung die allgemeinen BGB-Vorschriften herangezogen werden. In der Praxis sind Vertragslaufzeiten von einem bis drei Jahren mit automatischer Verlängerung üblich. Empfehlenswert ist eine vertragliche Begrenzung der automatischen Verlängerung auf maximal einen Verlängerungszeitraum mit angemessener Kündigungsfrist.
Die vorstehende Darstellung betrifft die wesentlichen Regelfälle der SaaS- und Cloud-Vertragsgestaltung. Ihr konkreter Vertrag erfordert die Prüfung des vollständigen Vertragswerks, der AGB-Klauseln und der datenschutzrechtlichen Ausgangslage Ihres Unternehmens. Zur Klärung, wie die dargestellten Gestaltungsinstrumente auf Ihre Vertragsbeziehungen wirken, wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.