SaaS-Vertrag: Verantwortlicher oder Auftragsverarbeiter?

Ein SaaS-Vertrag beantwortet die datenschutzrechtliche Rollenfrage nicht allein durch seine Überschrift. Entscheidend ist, wer für den jeweiligen Verarbeitungsvorgang über Zweck und wesentliche Mittel entscheidet. Ein Anbieter kann deshalb für Kundendaten als Auftragsverarbeiter handeln und bei Kontoabrechnung, Sicherheit oder eigenen Produktanalysen zugleich Verantwortlicher sein.

Für Unternehmen ist diese Trennung praktisch wichtig. Sie bestimmt, welche Vereinbarung nach Art. 28 DSGVO erforderlich ist, wer Betroffenenanfragen beantwortet, wie Unterauftragnehmer eingebunden werden und welche Daten der Anbieter für eigene Zwecke verwenden darf. Einen allgemeinen Überblick zu AV-Verträgen und Haftungsrisiken finden Sie im Leitfaden zur DSGVO-Auftragsverarbeitung für KMU. Der Vertrag sollte die tatsächliche SaaS-Nutzung abbilden, nicht nur eine pauschale Rollenbezeichnung enthalten.

Art. 4 Z 7 DSGVO bezeichnet als Verantwortlichen jene Stelle, die allein oder gemeinsam mit anderen über Zwecke und Mittel der Verarbeitung entscheidet. Auftragsverarbeiter nach Art. 4 Z 8 DSGVO verarbeitet personenbezogene Daten dagegen im Auftrag des Verantwortlichen. Die Begriffe beschreiben die tatsächliche Entscheidungsmacht bei einer bestimmten Verarbeitung.

Ein SaaS-Vertrag kann diese Einordnung erleichtern, wenn er die Realität richtig wiedergibt. Er kann sie aber nicht beliebig festlegen. Nennt der Vertrag den Anbieter Auftragsverarbeiter, entscheidet dieser in der Praxis jedoch selbst über einen eigenen Zweck, bleibt die Bezeichnung für diesen Vorgang ohne ausreichende Wirkung.

Beginnen Sie deshalb nicht mit dem Mustervertrag, sondern mit einer Verarbeitungskarte. Welche Daten werden in welchem Modul verwendet? Wer legt fest, warum sie verarbeitet werden, wie lange sie gespeichert bleiben und wer Zugriff erhält? Erst danach lässt sich die passende Vertragsstruktur bestimmen.

Ein Unternehmen nutzt ein SaaS-System typischerweise für einen eigenen Geschäftsprozess, etwa Kundenverwaltung, Personaladministration, Support oder Terminorganisation. Für die darin enthaltenen personenbezogenen Daten legt das Unternehmen meist Zweck und wesentliche Parameter fest. Der Anbieter stellt die technische Plattform bereit und verarbeitet die Daten nach Weisung. In diesem Bereich spricht viel für eine Auftragsverarbeitung. Die Grundlagen finden Sie auf der Seite zu Auftragsverarbeitung und Dienstleistern.

Der Anbieter verarbeitet aber oft weitere Daten. Dazu gehören etwa Vertrags- und Abrechnungsdaten, Zugangsdaten, Protokolle zur Systemsicherheit oder Informationen zur Missbrauchsbekämpfung. Ob er dafür Auftragsverarbeiter oder Verantwortlicher ist, hängt vom jeweiligen Zweck und der tatsächlichen Entscheidungsmacht ab. Eine einzige Rollenangabe für die gesamte Geschäftsbeziehung kann diese Unterschiede verdecken.

Auch ein einzelner Datensatz kann in mehrere Verarbeitungen einfließen. Ein Name kann für den Kundenauftrag im Auftrag verarbeitet werden, für die Rechnungslegung des Anbieters aber einem eigenen Zweck dienen. Diese Bereiche sollten in Verzeichnis, Datenschutzinformation, Vertrag und Produktkonfiguration zusammenpassen.

Der Zweck beantwortet die Frage, warum die Verarbeitung stattfindet. Bei einer Personalsoftware kann der Zweck etwa die Abwicklung der Lohnverrechnung durch den Arbeitgeber sein. Bei einem Ticketsystem kann es um die Bearbeitung von Kundenanfragen gehen. Diese Zwecke kommen in der Regel aus dem Unternehmen, das die SaaS-Lösung einsetzt.

Bei den Mitteln ist zwischen wesentlichen und nicht wesentlichen Entscheidungen zu unterscheiden. Datenarten, betroffene Personengruppen, Zugriffskategorien und Aufbewahrungsdauer sind eng mit Rechtmäßigkeit, Erforderlichkeit und Verhältnismäßigkeit verbunden. Über technische Details wie eine bestimmte Softwarebibliothek oder die interne Verteilung von Zugriffsrechten darf der Auftragsverarbeiter innerhalb der Weisungen häufig selbst entscheiden.

Die Grenze verläuft nicht erst dort, wo der Anbieter den Inhalt der Daten lesen kann. Auch ein Unternehmen ohne unmittelbaren Datenzugriff kann Verantwortlicher bleiben, wenn es Zweck und wesentliche Mittel bestimmt. Umgekehrt wird ein Anbieter nicht allein deshalb Verantwortlicher, weil er die technische Infrastruktur auswählt.

Wenn der SaaS-Anbieter personenbezogene Daten für die Zwecke des Kunden verarbeitet, braucht es eine Vereinbarung oder ein anderes Rechtsinstrument nach Art. 28 DSGVO. Gegenstand und Dauer, Art und Zweck der Verarbeitung, Datenarten, betroffene Personengruppen sowie Rechte und Pflichten des Verantwortlichen müssen nachvollziehbar festgelegt werden.

Die Vereinbarung muss dokumentierte Weisungen, Vertraulichkeit, angemessene technische und organisatorische Maßnahmen und Regeln für Unterauftragnehmer abbilden. Der AV-Vertragscheck hilft bei einer ersten Ordnung dieser Punkte. Der Anbieter unterstützt den Verantwortlichen außerdem bei Betroffenenrechten, bei Sicherheits- und Meldepflichten sowie bei Datenschutz-Folgenabschätzungen, soweit dies nach der Art der Verarbeitung erforderlich ist.

Am Ende der Leistung müssen Löschung oder Rückgabe der Daten nach Wahl des Verantwortlichen geregelt sein, sofern keine gesetzliche Aufbewahrungspflicht besteht. Ebenso wichtig sind Informationen zum Nachweis der Pflichten und angemessene Prüf- und Kontrollmöglichkeiten. Ein Link auf allgemeine Standardbedingungen ersetzt diese Prüfung nicht automatisch.

Ein Anbieter kann personenbezogene Daten für die Bereitstellung des beauftragten Dienstes verarbeiten und daneben eigene Zwecke verfolgen. Beispiele sind die Abrechnung des eigenen Vertrags, die Absicherung der Plattform oder die Bearbeitung von Missbrauch. Für jeden Zweck ist zu prüfen, ob der Anbieter die Entscheidung selbst trifft und welche Rechtsgrundlage und Information erforderlich sind.

Besonders sorgfältig ist mit Produktverbesserung, Nutzungsanalyse, Werbung und Profilbildung umzugehen. Eine pauschale Klausel, wonach der Anbieter alle Kundendaten zur Optimierung seiner Dienste verwenden darf, sagt noch nicht, ob die Verarbeitung mit der ursprünglichen Beauftragung vereinbar ist. Zweck, Datenumfang, Empfängerkreis, Speicherdauer und Wahlmöglichkeiten müssen konkret betrachtet werden.

Wird derselbe Anbieter für einen Bereich eigener Verantwortlichkeit und für einen Bereich als Auftragsverarbeiter tätig, sollten Datenflüsse und Zuständigkeiten technisch und organisatorisch trennbar sein. Die Schwerpunktseite zu Compliance und Datenschutz-Governance ordnet die organisatorische Verantwortung ein. Das erleichtert Auskunft, Löschung, Sicherheitsprüfungen und die Beantwortung von Fragen betroffener Personen.

SaaS-Anbieter arbeiten häufig mit Hosting-, Support-, Analyse- oder Sicherheitsdienstleistern. Setzt der Anbieter diese für die Verarbeitung im Auftrag ein, handelt es sich regelmäßig um weitere Auftragsverarbeiter. Der Kunde braucht einen nachvollziehbaren Genehmigungs- und Informationsmechanismus sowie die Möglichkeit, relevante Änderungen zu prüfen.

Die Liste sollte nicht nur Firmennamen enthalten. Wichtig sind die konkrete Funktion, der Verarbeitungsort, die betroffenen Daten und die Frage, ob ein Drittlandtransfer stattfindet. Bei Übermittlungen außerhalb des Europäischen Wirtschaftsraums sind die zusätzlichen Anforderungen des Kapitel V DSGVO gesondert zu prüfen. Eine Zertifizierung oder ein Standortlabel ersetzt die rechtliche Einordnung nicht.

Die Kette muss auch bei Supportzugriffen, Fernwartung und Notfallwiederherstellung stimmen. Die Checkliste für Auftragsverarbeiter unterstützt bei der praktischen Kontrolle. Vereinbaren Sie, wie Sicherheitsvorfälle gemeldet, Anfragen betroffener Personen unterstützt und Daten nach Ende des Vertrags gelöscht oder zurückgegeben werden. Prüfen Sie die Angaben erneut, wenn sich das Produkt oder die Unterauftragnehmer ändern.

Verarbeitungskarte: Erfassen Sie Module, Datenarten, betroffene Personengruppen, Zwecke, Systeme und Aufbewahrungsfristen. Trennen Sie produktbezogene Verarbeitung von Abrechnung, Sicherheit und eigenen Analysen.

Rollenmatrix: Ordnen Sie jedem Vorgang Verantwortlicher, Auftragsverarbeiter oder gegebenenfalls gemeinsam Verantwortliche zu. Begründen Sie die Zuordnung anhand der tatsächlichen Entscheidung über Zweck und wesentliche Mittel.

Weisungen: Legen Sie fest, wer Einstellungen, Datenzugriffe, Löschung, Export und Aufbewahrung anordnet. Dokumentieren Sie auch, wie neue Weisungen erteilt und Änderungen freigegeben werden.

Unterauftragnehmer: Prüfen Sie Liste, Funktionen, Standorte, Genehmigungsmodell, Drittlandbezug und Reaktionsmöglichkeiten bei Änderungen.

Nachweise: Halten Sie technische und organisatorische Maßnahmen, Auditinformationen, Vorfallprozesse, Löschbestätigung und Rückgabeformat in einer Form fest, die im Unternehmen tatsächlich auffindbar ist.

Die Vertragsüberschrift entscheidet: Ein „AV-Vertrag“ macht nicht jede Verarbeitung des Anbieters zur Auftragsverarbeitung. Eigene Zwecke müssen getrennt geprüft werden.

Der Kunde wird als Verantwortlicher für alles behandelt: Dass der Kunde das SaaS-Produkt auswählt, bedeutet nicht, dass er auch über die Zwecke des Anbieters entscheidet. Die eigene Verarbeitung des Anbieters bleibt ein eigener Prüfbereich.

Standardbedingungen werden ungeprüft übernommen: Ein Produkt kann Einstellungen, Datenflüsse oder Unterauftragnehmer enthalten, die in der Vertragsanlage nicht ausreichend beschrieben sind.

Unterauftragnehmer bleiben unsichtbar: Eine allgemeine Erlaubnis ohne Liste, Änderungsinformation und praktikable Reaktionsmöglichkeit erschwert die Kontrolle der Verarbeitungskette.

Die Produktkonfiguration wird nicht dokumentiert: Rollen und Risiken können sich ändern, wenn neue Module, Analysefunktionen oder Integrationen aktiviert werden. Die Vertragsprüfung muss deshalb mit der tatsächlichen Nutzung verbunden bleiben.

Cloud-Speicher: Ein Unternehmen entscheidet, welche Kundendaten für welchen Geschäftsprozess gespeichert werden. Der standardisierte Anbieter speichert sie für diesen Zweck und nach Weisung. Für diese Speicherung spricht viel für eine Auftragsverarbeitung. Nutzt der Anbieter eigene Nutzungsdaten hingegen für einen unabhängigen Zweck, ist dieser Teil getrennt zu beurteilen.

Support-Plattform: Der Kunde legt fest, welche Anfragen bearbeitet und welche Personengruppen erfasst werden. Der Anbieter darf die technische Umsetzung bestimmen, bleibt aber bei den Kundendaten an die Weisungen gebunden. Für Abrechnung, Kontoverwaltung und Plattformschutz können daneben eigene Verarbeitungen bestehen.

Gemeinsame Kampagne: Zwei Unternehmen legen gemeinsam Zielgruppe, Zwecke und Mittel einer gemeinsamen Kundenaktion fest. Dann kann gemeinsame Verantwortlichkeit näherliegen als einseitige Auftragsverarbeitung. Die Aufgaben für Information und Betroffenenrechte sollten transparent vereinbart werden.

Ist ein SaaS-Anbieter immer Auftragsverarbeiter? Nein. Für die Verarbeitung von Kundendaten nach Weisung kann er Auftragsverarbeiter sein. Für eigene Zwecke wie Vertragsabrechnung oder bestimmte Sicherheitsaufgaben kann er Verantwortlicher sein. Die Antwort ist je Verarbeitungsvorgang zu geben.

Reicht ein AV-Vertrag als Anlage zu den AGB? Ein Vertrag kann in Standardbedingungen eingebettet sein. Er muss die Anforderungen des Art. 28 DSGVO inhaltlich erfüllen und zur tatsächlichen Nutzung passen. Eine pauschale Rollenbezeichnung ohne Zwecke, Datenarten, Weisungen und Kontrollmechanismen reicht nicht zuverlässig aus.

Wer haftet bei einem Fehler des SaaS-Anbieters? Die datenschutzrechtlichen Pflichten und Verantwortlichkeiten richten sich nach Rolle, Verarbeitung und konkretem Verstoß. Der Vertrag sollte Unterstützung, Meldung, Nachweise und Zuständigkeiten regeln, ersetzt aber keine Prüfung des tatsächlichen Vorfalls.

Bei SaaS-Lösungen liegen die entscheidenden Fragen oft nicht in einer einzelnen Klausel, sondern im Zusammenspiel von Produkt, Einstellungen, Unterauftragnehmern und tatsächlicher Nutzung. Wir prüfen die Verarbeitungsvorgänge, ordnen die Rollen zu und zeigen, welche Regelungen und Nachweise für Ihr Unternehmen fehlen. Kontaktieren Sie uns mit Vertrag, Produktbeschreibung, Datenfluss und den vorgesehenen Modulen, damit die nächsten Schritte konkret festgelegt werden können.