SaaS-Vereinbarungen: Keynote

SaaS-Vereinbarungen: Wichtige Bestimmungen internationaler Technologieverträge. Praktische Anleitung für Technologieunternehmen und ihre Kunden

Mainstream

Ein internationaler SaaS-Vertrag ist kein Abonnement für ein Softwareprodukt. Es handelt sich um die Zuweisung von Risiken, Verantwortlichkeiten und Verantwortlichkeiten in einem sich ständig ändernden regulatorischen Umfeld.

Die Frage ist nicht, wie viel die Lizenzen kosten. Die Hauptfrage ist, ob der Vertrag auch nach zwei bis drei Betriebsjahren, wenn sich die Technologie, das geltende Recht oder das Modell der Datenverarbeitung ändert, seine wirtschaftliche Bedeutung behält.

Daher beginnt eine effektive Arbeit mit SaaS-Verträgen mit drei Kontrollen:

• Wer ist für was in der Datenkette und vor den Regulierungsbehörden verantwortlich?
• Was passiert, wenn ein Dienst eingestellt wird, Daten verloren gehen oder der Anbieter wechselt?
• Wo und nach welchen Regeln werden Streitigkeiten beigelegt, wenn der Vertrag nicht mehr funktioniert?

Wenn diese drei Probleme nicht in der Vertragserstellungsphase gelöst werden, kann das Unternehmen nicht nur Verluste erleiden, sondern auch den vollständigen Verlust des Zugangs zu kritischer Infrastruktur oder behördliche Sanktionen erleiden.

Wenn eine SaaS-Vereinbarung erforderlich ist

Eine eingehende Vertragsarbeit ist erforderlich, wenn:

• Das Technologieunternehmen bringt das SaaS-Produkt auf den EU-Markt;
• der Firmenkunde erwirbt eine Cloud-Lösung mit sensibler Datenverarbeitung;
• Der Dienst basiert auf einer öffentlichen Cloud mit grenzüberschreitender Übertragung personenbezogener Daten;
• Das Produkt verfügt über integrierte Komponenten der künstlichen Intelligenz, die unter das EU-KI-Gesetz fallen.
• SaaS unterliegt der Branchenregulierung (Finanzen, Gesundheitswesen, kritische Infrastruktur).
• Die Datenverarbeitung betrifft mehrere Gerichtsbarkeiten mit unterschiedlichen Rechtsordnungen;
• Die Datenverarbeitungsvereinbarung (DPA) wird als Teil des Hauptvertrags unterzeichnet.
• Ausstieg oder Migration von einem Cloud-Anbieter zu einem anderen
• die Haftungsbeschränkung, die dazu führen kann, dass der Kunde keinen wirksamen Rechtsbehelf einlegen kann, wird besprochen;
• Das SaaS-Projekt erfordert die Einhaltung von DORA-, NIS2- oder EU-Cyberstandards.

Ein Fehler, den die meisten Parteien machen

Viele Unternehmen beginnen mit der Frage:

Welche SLA kann verordnet werden?

Das ist die falsche erste Frage.

Die richtige Frage ist:

Welche Kombination vertraglicher Vereinbarungen gewährleistet die Geschäftskontinuität, die Rechtmäßigkeit der Datenverarbeitung und die tatsächliche Möglichkeit, ohne katastrophale Verluste zu einem anderen Anbieter zu wechseln?

Manchmal ist nicht der Prozentsatz der Betriebszeit ausschlaggebend, sondern die Verpflichtung zur Datenportierung. Manchmal geht es nicht um die Höhe der Strafpunkte für einen einfachen Fall, sondern um das Recht auf vorzeitigen Abbruch bei wiederholten Vorfällen. Teilweise nicht die Haftungsbeschränkung, sondern Ausnahmen bei Datenschutzverstößen. Ein internationaler SaaS-Vertrag erfordert keine Vorlage, sondern eine Risikoarchitektur.

Schritt 1. Bestimmen Sie die Rechtsnatur der vorgelegten Entscheidung

Zunächst ist es notwendig, klar zu verstehen: Was genau bereitgestellt wird – eine Dienstleistung, eine Lizenz oder eine Mischung daraus. Dies hängt ab von:

• geistiges Eigentum;
• Verantwortung für Qualität;
• Garantien;
• Steuerfolgen;
• die Möglichkeit, das Eigentum zu behalten.

Die Qualifizierung von SaaS als Dienstleistung in den meisten EU-Rechtsordnungen bedeutet, dass der Kunde keine Kopie des Programms erhält, sondern die Funktionalität aus der Ferne nutzt. Dies verringert die mit der Erschöpfung von Rechten verbundenen Risiken, verlagert jedoch den Schwerpunkt auf Qualitätssicherung und Kontinuität des Zugriffs.

Schritt 2. Bereitstellungsmodell und grenzüberschreitende Datenübertragung

Die SaaS-Lösung kann wie folgt bereitgestellt werden:

• Öffentliche Cloud (AWS, Azure, GCP)
• in der privaten Cloud des Kunden;
• In hybrider Infrastruktur.

Bei jeder Option ist es wichtig, Folgendes zu bestimmen:

• wo sich die Daten physisch befinden (Datenresidenz);
• wer und von welcher Gerichtsbarkeit aus technischer Support bereitgestellt wird;
• Ob die Übermittlung personenbezogener Daten in Drittländer Schutzmechanismen nach der DSGVO erfordert (Standardvertragsklauseln, verbindliche Unternehmensregeln, Angemessenheitsbeschluss).

Europäische Regulierungsbehörden analysieren grenzüberschreitende Datenströme genau und das Fehlen einer klaren Beschreibung der Datenarchitektur im Vertrag stellt ein eigenständiges Compliance-Risiko dar.

Schritt 3. Erstellen Sie ein funktionierendes Service Level Agreement (SLA)

Beim SLA in einem internationalen Vertrag geht es nicht nur um Verfügbarkeitsnummern. Es sollte Folgendes umfassen:

• Methoden zur Berechnung der Verfügbarkeit (ausgenommen geplante Wartung);
• Reaktionszeit, Beseitigungszeit, Eskalation;
• Servicegutschriften, bei denen es sich um eine echte Entschädigung und nicht um einen nominellen Rabatt handeln sollte;
• das Recht auf Kündigung bei chronisch schlechter Qualität;
• Messbare Leistungsindikatoren (Latenz, Durchsatz)
• Transparenz der Überwachung und das Recht des Kunden auf ein unabhängiges Qualitätsaudit.

Ohne das Recht auf Notausstieg und ohne die Verpflichtung des Anbieters, die Migration zu ermöglichen, schützt das SLA das Geschäft des Kunden nicht.

Schritt 4: Bewerten Sie die Rollen und Pflichten der DSGVO und der Datenverarbeitungsvereinbarung

Der SaaS-Anbieter, der personenbezogene Daten verarbeitet, ist fast immer ein Auftragsverarbeiter. Der Kunde ist Verantwortlicher (Verantwortlicher). Der Vertrag sollte:

• Betreff, Zweck, Art und Zeitpunkt der Verarbeitung klar festlegen;
• eine Liste von Datentypen und Themenkategorien enthalten;
• dem Anbieter die Verpflichtung aufzuerlegen, Daten nur nach dokumentierten Weisungen zu verarbeiten;
• der Einbeziehung von Unterauftragsverarbeitern vorab zustimmen;
• Gewährleistung der Unterstützung bei der Erfüllung der Anfragen der betroffenen Personen und der Benachrichtigung über Lecks;
• eine Löschung bzw. Rückgabe der Daten nach Vertragsende vorsehen.

In der EU handelt es sich bei der DPA nicht um eine optionale Anwendung – sie ist ein obligatorischer Bestandteil eines SaaS-Vertrags, eine Verzerrung, die eine gemeinsame Verwaltungshaftung nach sich ziehen kann.

Schritt 5. Umgang mit Datenrechten und geistigem Eigentum

Die Verwirrung in diesem Block ist die Quelle der schwersten Handelsstreitigkeiten. Im Vertrag muss klar angegeben sein:

• Wem gehören die vom Kunden hochgeladenen Daten (normalerweise der Kunde);
• Wem gehören die abgeleiteten Daten, Analysen und Metadaten?
• Ob der Anbieter anonymisierte Daten nutzen kann, um das Produkt zu verbessern oder KI-Modelle zu trainieren
• welche Lizenzen der Kunde für die Schnittstelle, Integrationsmodule und Dokumentation erhält;
• Die Verpflichtung des Anbieters, Kundendaten nicht für Konkurrenzprodukte zu verwenden.

Mit der Weiterentwicklung des EU-Datengesetzes wird das Recht eines Kunden, Daten zwischen Cloud-Anbietern zu portieren, bald zu einer zwingenden Anforderung, und der Vertrag muss dies entweder berücksichtigen oder die Parteien auf die unvermeidliche Änderung vorbereiten.

Schritt 6. Überprüfen Sie die Haftungsbeschränkung und deren Ausschlüsse

Bei SaaS liegt die typische Haftungsgrenze des Anbieters bei einer 12-monatigen Servicegebühr. Das könnte katastrophal niedrig sein. Die Parteien sollten sich darauf einigen:

• Ausnahmen von der Beschränkung: Verstöße gegen die Vertraulichkeit, den Datenschutz, Vorsatz, grobe Fahrlässigkeit, Verletzung von Rechten des geistigen Eigentums;
• die Haftungsregelung für die Handlungen von Subunternehmern;
• Freistellung zugunsten des Kunden von Ansprüchen Dritter;
• Haftung für Bußgelder, die die Aufsichtsbehörden aufgrund eines Verschuldens des Anbieters verhängen.

Die Schwäche vieler SaaS-Verträge besteht darin, dass die Verluste des Kunden durch Ausfallzeiten tausendmal höher sind als die Kosten der Dienstleistung und er aufgrund des Limits keine Rückerstattung erhält. Es erfordert eine individuelle Architektur, keine Vorlage.

Schritt 7. Überprüfung des Ausstiegsplans und des Ausstiegsplans

Der Vertrag sollte nicht nur den Beginn der Arbeiten, sondern auch deren Fertigstellung beschreiben. Zu den Ausstiegsmechanismen gehören:

• Zeitpunkt und Format der Rückgabe aller Kundendaten;
• Die Verpflichtung des Anbieters, die Portierung in einem gängigen maschinenlesbaren Format bereitzustellen;
• Übergangshilfe – in der Regel 3-12 Monate nach der Kündigung
• das Verfahren zur Datenvernichtung durch den Anbieter und die Löschbescheinigung;
• Kosten für Übergangsdienste: Viele Anbieter verstecken sie in undurchsichtigen Tarifen.

In regulierten Sektoren wird das Recht auf ungehinderte Migration bald zu einer regulatorischen Verpflichtung und nicht mehr zu einem Wunsch.

Schritt 8. Bewältigen Sie neue regulatorische Anforderungen für Technologie in der EU

Ein moderner SaaS-Vertrag kann die schnell wachsende Zahl europaweiter Normen nicht außer Acht lassen.

• KI-Gesetz – Wenn SaaS KI-Komponenten enthält, müssen die Risikokategorie, Transparenz und menschliche Aufsichtspflichten sowie die Möglichkeit verbotener Praktiken definiert werden.
• Digital Services Act (DSA) – wenn der Anbieter als Vermittlerplattform auftritt, ergeben sich zusätzliche Pflichten.
• Cyber Resilience Act – Anforderungen an Cybersicherheitssoftwareprodukte mit Zugang zum EU-Markt;
• Datengesetz – verpflichtende Bereitstellung des Wechsels zwischen Cloud-Anbietern und des Zugriffs auf von Geräten generierte Daten.

Der Vertrag muss sich nicht nur auf die Einhaltung des geltenden Rechts berufen, sondern auch die Last teilen, sich an neue Anforderungen anzupassen, andernfalls entstehen für eine der Parteien unerwartete Kosten.

Schritt 9. Wählen Sie das anwendbare Recht und den Streitbeilegungsmechanismus aus

Für internationales SaaS gibt es mehrere Ansätze:

• Ausschließliche Zuständigkeit sind die Gerichte im Land des Anbieters;
• Schiedsverfahren (ICC, LCIA, SCC, DIS);
• Hybridklauseln.

Die Wahl hängt ab von:

• Verhandlungspositionen der Parteien;
• Standort von Vermögenswerten und Rechenzentren;
• das Bedürfnis nach Vertraulichkeit;
• Aussichten auf Durchsetzung in den Gerichtsbarkeiten, in denen der Mandant ansässig ist.

Es ist wichtig, sich daran zu erinnern: Die DSGVO und das DSA gelten extraterritorial, sodass die Wahl von Nicht-EU-Recht nicht von der europäischen öffentlichen Regulierung ausgenommen ist.

Schritt 10: Entwickeln Sie eine Vertragsmanagementstrategie für die gesamte Laufzeit

Der SaaS-Vertrag ist nicht statisch. Er fordert:

• regelmäßige Überprüfung der Übereinstimmung der Datenverarbeitung mit den angegebenen Zwecken;
• Aktualisierung der Liste der Unterauftragsverarbeiter;
• Überwachung von Änderungen in der Regulierungslandschaft;
• Ein Plan zur Überprüfung des SLA, wenn die Kritikalität des Dienstes zunimmt;
• Eskalieren Sie betriebliche Probleme in rechtlich relevante Meldungen.

Ein schwaches Vertragsmanagement macht selbst einen gut geschriebenen Vertrag mit der Zeit unbrauchbar.

Interessenabwägung: Anbieter vs. Kunde

So stärken Sie Ihre Position, bevor Sie einen SaaS-Vertrag unterzeichnen

Der beste Schutz beginnt in der Phase der Due Diligence und der Angebotsanfrage (RFP).

• Erfragen und analysieren Sie den typischen DPA-Anbieter vor kommerziellen Verhandlungen.
• Nehmen Sie spezifische Datenport- und Sicherheitszertifizierungsanforderungen in die Ausschreibung auf (ISO 27001, SOC 2);
• Klassifizieren Sie Daten intern und bestimmen Sie, welche Daten für die Übertragung in die Cloud akzeptabel sind.
• Überprüfen Sie das Land der Gründung des Anbieters und seiner Endbegünstigten auf Sanktionsrisiken.
• Simulieren Sie das Szenario einer Notabschaltung und bewerten Sie, wie die vertraglichen Vereinbarungen die Kontinuität gewährleisten.
• die Verpflichtung des Anbieters festzulegen, die Berufshaftpflicht in der vereinbarten Höhe zu versichern.

Häufige Fehler in SaaS-Verträgen

1. Die Verwendung einer Vorlage ohne Anpassung an DSGVO und Datenschutzgesetz führt bei tatsächlichen Verstößen zur Illusion der Rechtmäßigkeit.
2. Die Vermischung der Konzepte von Lizenz und Dienstleistung in einem Vertrag führt zu Unsicherheit hinsichtlich der Rechte an Software und Daten.
3. Wenn die Kette der Unterauftragsverarbeiter nicht überprüft wird, besteht die Gefahr eines Datenlecks durch einen nicht überprüften Unterauftragnehmer.
4. Das Missachten der Meldepflicht stellt einen Verstoß gegen die DSGVO-Frist (72 Stunden) dar.
5. Akzeptieren Sie bei der Verarbeitung kritischer Daten eine Haftungsgrenze von „monatlichen Gebühren“.
6. Vergessen Sie das Recht auf Audit – ohne dieses ist es unmöglich, die tatsächliche Einhaltung der Sicherheitsbedingungen zu überprüfen.
7. Keine Einigung über den Ausstiegsmechanismus – der Kunde steckt in einer technologischen Falle.
8. Eine Missachtung des Rechts des Anbieters zur einseitigen Änderung der AGB ist nur mit einer klaren Kündigungsfrist und einem Kündigungsrecht zulässig.
9. Ohne Berücksichtigung der KI-Spezifität – Modelle können ohne ausdrückliche Zustimmung auf Kundendaten trainiert werden.
10. Der Mechanismus zur Anpassung an die neuen Rechtsakte der EU ist nicht vorgesehen – der Vertrag wird zum Zeitpunkt des Inkrafttretens der neuen Verordnung hinfällig.

Checkliste für die Parteien des SaaS-Vertrags

Bevor Sie unterschreiben, müssen Sie 15 Fragen beantworten:

1. Sind die Rollen des Verantwortlichen und des Auftragsverarbeiters in der DSGVO definiert?
2. Wo befinden sich die Daten und alle ihre Backups physisch?
3. Gibt es eine schriftliche Genehmigung für den grenzüberschreitenden Transfer?
4. Was ist das tatsächliche SLA und wie wird es berechnet?
5. Gibt es ein Verfahren zur Meldung von Sicherheitsverstößen?
6. Welche Daten gelten als vertraulich und wie werden sie geschützt?
7. Wem gehören die aggregierten und analytischen Daten?
8. Welche Ausnahmen von der Haftungsbeschränkung werden vereinbart?
9. Gibt es ein Recht auf Prüfung und wer zahlt dafür?
10. Was passiert mit den Daten bei Vertragsbeendigung?
11. Ist der Anbieter verpflichtet, die Migration zu ermöglichen und wie hoch sind die Kosten dafür?
12. Sind die Anforderungen des AI Act, des DSA, des Data Act und anderer relevant?
13. Welches Gericht wird sich mit dem Streit befassen?
14. Kann ich den Vertrag im Rahmen einer Unternehmensumstrukturierung übertragen?
15. Was ist der Mechanismus zur Änderung des DPA und des Hauptvertrags?

Wie eine starke Vertragsstrategie aussieht

Eine starke Strategie umfasst normalerweise fünf Ebenen:

1. Geschäfts- und Datenzuordnung: Verständnis von Geschäftsprozessen, Datenflüssen und Servicekritikalität vor Beginn der Verhandlungen.
2. Regulatory Mapping definiert alle heute und in absehbarer Zukunft geltenden EU-Regeln, von der DSGVO bis zum Cyber Resilience Act.
3. Vertragsarchitektur: Ein klares, konsistentes SLA, DPA, Lizenzbedingungen, Haftung und Ausstiegsplan.
4. Operative Integration: Einbindung vertraglicher Anforderungen in die Arbeitsabläufe beider Parteien (Sicherheitshinweise, Bekanntmachungen).
5. Pre-Konflikt- und Streitstrategie Vordefinierte Abfolge von Maßnahmen im Falle eines Vorfalls, einer SLA-Verletzung oder einer behördlichen Überprüfung, einschließlich Eskalation und Mediation.

Ohne Stufe fünf kann selbst ein perfekt geschriebener Vertrag ein Unternehmen in einer Krise möglicherweise nicht schützen.

FAQ

Gemäß DSGVO – ja, wenn der Anbieter personenbezogene Daten im Auftrag des Kunden verarbeitet. Die DSGVO kann Bestandteil des Hauptvertrages sein, muss jedoch rechtlich selbständig sein und den Anforderungen des Art. I. 28 DSGVO genügen.

Darf der Anbieter die Daten des Kunden zum Trainieren von KI verwenden? Nur mit ausdrücklicher, gesonderter Einwilligung, wie im Vertrag festgehalten. Ohne dies stellt die Nutzung der Daten für eigene Zwecke des Anbieters, einschließlich der Modelschulung, einen Verstoß gegen die Zwecke der Verarbeitung dar.

Was tun, wenn ein SaaS-Anbieter sich weigert, sein Template zu ändern? Risiken einzustufen und kritische unzulässige Positionen zu identifizieren ist notwendig. Manchmal ist es klüger, ein Standarddokument zu akzeptieren, aber zusätzliche Garantien durch Versicherungen, Zertifizierungen und Prüfungsrechte zu erhalten, als einen Vertrag zu verlieren, ohne einen echten Einfluss zu haben.

Wie kann die Erfüllung der Ausstiegsverpflichtungen sichergestellt werden, wenn sich der Anbieter in einem Zustand vor der Insolvenz befindet? Schließen Sie in den Vertrag das Recht ein, den Quellcode (falls zutreffend) treuhänderisch zu hinterlegen oder regelmäßig Daten in einem Standardformat im Voraus zu erhalten. Berücksichtigen Sie in kritischen Fällen die Anforderung einer Bankgarantie für die Übergangszeit.

Wenn der Kunde ein EU-Finanzinstitut ist, regelt der Digital Operational Resilience Act (DORA) direkt Verträge mit IKT-Dienstleistern, einschließlich SaaS. Der Vertrag muss die von DORA vorgeschriebenen Bestimmungen enthalten und eine direkte Prüfung durch die Regulierungsbehörde ermöglichen.

Vorzuschreiben, dass Änderungen, die den Verarbeitungsgegenstand, das SLA, den Preis oder die Datenrechte betreffen, erst nach schriftlicher Zustimmung des Kunden wirksam werden oder dem Kunden ein unbedingtes Kündigungsrecht ohne Vertragsstrafen und bei voller Unterstützung der Migration einräumen.

Verwandte Dienstleistungen

• Technologie, digitales Geschäft und Datenschutz
• Internationale Handels- und Technologieverträge
• Künstliche Intelligenz, KI-Gesetz und Regulierung neuer Technologien
• Grenzüberschreitende Datenübertragungen und DSGVO-Konformität
• IT-Streitigkeiten, Cloud- und Software-Rechtsstreitigkeiten
• Cybersicherheit, DORA- und NIS2-Konformität
• Kommerzielles geistiges Eigentum und Lizenzierung

Verwandtes Material

• So schaffen Sie einen rechtlichen Rahmen für grenzüberschreitende Datenübermittlungen in der EU
• Datenschutz-Grundverordnung (DSGVO): 12 Fehler, die den Vertrag ungültig machen
• EU-KI-Gesetz: Was sich für SaaS-Produkte mit KI-Komponenten ändert
• Datengesetz und Recht zum Wechsel zwischen Cloud-Anbietern
• Haftungsbeschränkung in IT-Verträgen: Was in Europa funktioniert
• Ausstiegsplan in SaaS: So stellen Sie sicher, dass Sie eine echte Chance zum Ausstieg haben
• SLA in einem internationalen Cloud-Vertrag: kommerzielles Instrument, keine Formalität
• Steuerliche und regulatorische Risiken von SaaS-Modellen in verschiedenen EU-Rechtsräumen
• So überprüfen Sie einen Technologiepartner vor der Integration

Fazit

Bei der SaaS-Vereinbarung handelt es sich nicht um ein Abonnement, sondern um einen komplexen Organismus, in dem sich Datenschutzverpflichtungen, neue technologische Vorschriften, kommerzielle Risiken und Exit-Architektur überschneiden.

Eine starke Position basiert nicht auf dem Versuch, einen Deal in ein Standardmuster einzupassen, sondern darauf, genau zu verstehen, welche Bestimmungen in einem bestimmten Projekt von entscheidender Bedeutung sind, wie sie in zwei oder drei Jahren funktionieren werden und was passieren wird, wenn die Beziehung in einem Konflikt enden sollte.

Der Gewinner bei internationalen Technologieverträgen ist nicht derjenige, der auf seiner Redaktion bestand, sondern derjenige, der im Voraus vorhergesehen hat, wie sich der Vertrag im Moment einer behördlichen Überprüfung, eines Sicherheitsvorfalls oder einer Notfallmigration verhalten wird.