Was SaaS- und Cloud-Verträge regeln müssen
Bei Software as a Service (SaaS) wird Software nicht mehr installiert, sondern über das Internet bereitgestellt. Der Kunde zahlt meist eine laufende Gebühr, der Anbieter betreibt Infrastruktur, Updates und Datensicherung. Damit verschieben sich die rechtlichen Risiken: Statt um Mängel einer gelieferten Software geht es um Verfügbarkeit, Datensicherheit, Leistungsänderungen und den geordneten Ausstieg.
Die Rechtsprechung ordnet die Bereitstellung von Software zur Online-Nutzung überwiegend dem Mietrecht zu. Daraus folgen unter anderem eine Pflicht zur Erhaltung der Gebrauchstauglichkeit während der gesamten Laufzeit und Minderungsrechte bei Ausfällen. Viele Anbieter-AGB weichen davon ab – nicht jede Abweichung hält einer Kontrolle stand.
Die wichtigsten Regelungspunkte
- Leistungsbeschreibung und Änderungen: Was ist Teil des Dienstes, was kostet extra, und darf der Anbieter Funktionen einseitig ändern oder abschalten?
- Service-Level: Verfügbarkeit, Messzeitraum, Wartungsfenster, Support-Reaktionszeiten und Service-Credits.
- Daten: Wem gehören Kunden- und Nutzungsdaten, wo werden sie gespeichert, wer darf sie auswerten – auch für das Training von KI-Modellen?
- Datenschutz und Sicherheit: Auftragsverarbeitung, Unterauftragnehmer, Drittlandübermittlungen, technische und organisatorische Maßnahmen.
- Haftung: Begrenzungen, Ausschlüsse und das Verhältnis zu Service-Credits.
- Laufzeit und Exit: Kündigung, Datenrückgabe in einem nutzbaren Format, Unterstützung beim Anbieterwechsel und Löschung.
Der EU Data Act und der Anbieterwechsel
Seit dem 12. September 2025 gilt der EU Data Act. Für Datenverarbeitungsdienste – dazu zählen SaaS-, PaaS- und IaaS-Angebote – schreibt er vor, dass Kunden den Anbieter wechseln oder Daten zu einer eigenen Infrastruktur übertragen können. Verträge müssen Kündigungs- und Übergangsfristen, Exportformate und Unterstützungspflichten regeln. Wechselentgelte werden schrittweise begrenzt und entfallen ab dem 12. Januar 2027 grundsätzlich. Anbieter sollten ihre Muster daher jetzt anpassen; Kunden können sich auf die neuen Rechte berufen.
Anbieter oder Kunde – unterschiedliche Perspektiven
Als Anbieter brauchen Sie ein skalierbares Vertragswerk: Hauptvertrag oder Nutzungsbedingungen, Leistungsbeschreibung, SLA, AV-Vertrag und Preisliste – AGB-fest, verständlich und für den Vertrieb handhabbar. Als Kunde geht es meist um wenige, aber entscheidende Punkte: Datenzugriff, Exit, Haftung, Sicherheit und Preissteigerungen. Wir kennen beide Seiten und wissen, welche Forderungen im Markt durchsetzbar sind.
Praxisbeispiele: SaaS & Cloud
SaaS-Anbieter baut sein Vertragswerk auf
Mittelständler prüft Cloud-ERP
Längerer Ausfall einer Plattform
Nutzung von Kundendaten für KI-Training
Die Beispiele sind typische, anonymisierte und vereinfachte Konstellationen aus der Beratungspraxis. Jeder Fall ist anders – das Ergebnis hängt von den Umständen des Einzelfalls ab.
Unsere Leistungen: SaaS & Cloud
- SaaS-Vertragswerke für Anbieter
- Prüfung von Cloud-Verträgen vor der Unterschrift
- SLA- und Support-Regelungen
- Auftragsverarbeitung und Drittlandtransfer
- Data-Act-Anpassung und Exit-Management
- Vertretung bei Ausfällen und Datenverlust
So läuft die Zusammenarbeit ab
Häufige Fragen: SaaS & Cloud
Ist ein SaaS-Vertrag ein Mietvertrag?
Nach überwiegender Auffassung ja, jedenfalls soweit es um die Bereitstellung der Software zur Nutzung geht. Zusatzleistungen wie Einrichtung oder Schulung können anderen Vertragstypen folgen. Die Einordnung beeinflusst Gewährleistung, Minderung und Kündigung.
Was bedeutet der Data Act für bestehende Cloud-Verträge?
Die Wechselregeln des Data Act gelten seit dem 12. September 2025 und erfassen grundsätzlich auch bestehende Verträge. Anbieter müssen Wechsel- und Exportmöglichkeiten bieten; Hindernisse und überhöhte Wechselentgelte sind unzulässig. Bestehende Muster sollten überprüft werden.
Brauche ich einen AV-Vertrag mit meinem SaaS-Anbieter?
Wenn der Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet – etwa Kunden- oder Mitarbeiterdaten –, ja. Der Vertrag muss die Mindestinhalte des Art. 28 DSGVO enthalten. Bei Anbietern außerhalb der EU kommen Regeln für Drittlandübermittlungen hinzu.
Was passiert mit meinen Daten, wenn der Anbieter insolvent wird?
Ohne vertragliche Vorsorge kann der Zugriff schnell verloren gehen. Sinnvoll sind regelmäßige Exporte, ein Recht auf Herausgabe in einem nutzbaren Format und gegebenenfalls Escrow-Lösungen für kritische Anwendungen.
Ihre Anfrage an uns
Alle Felder sind freiwillig. Geben Sie nur an, was Sie möchten.
