Einführung: Der AVV als Kernfunktion der SaaS-Compliance
Wer Software-as-a-Service (SaaS) nutzt oder anbietet, kommt an ihm nicht vorbei: dem Vertrag zur Auftragsverarbeitung (AVV). Nach Art. 28 DSGVO ist er zwingend vorgeschrieben, wenn personenbezogene Daten im Auftrag verarbeitet werden. Doch was genau muss drinstehen? Wo lauern die juristischen Fallstricke? Und wie sieht eine praxistaugliche Checkliste aus?
Dieser Artikel bietet eine praxisnahe Anleitung für SaaS-Anbieter und deren Kunden. Er ergänzt unseren Grundlagenartikel zur AVV-Pflicht um konkrete Inhalte und eine detaillierte Checkliste für Ihre tägliche Compliance-Arbeit.
Die rechtliche Pflicht: Art. 28 DSGVO
Der AVV ist kein "Nice-to-have", sondern eine gesetzliche Notwendigkeit. Ohne wirksamen AVV ist die Weitergabe von personenbezogenen Daten an einen SaaS-Anbieter rechtswidrig. Dies kann zu empfindlichen Bußgeldern für beide Parteien führen.
Der Vertrag muss laut DSGVO in einem "Schriftformat" vorliegen, wobei die elektronische Form (E-Mail, Online-Zustimmung im Dashboard) ausreichend ist. Wichtig ist die Dokumentierbarkeit.
Inhaltliche Mindestanforderungen an einen SaaS-AVV
Art. 28 Abs. 3 DSGVO gibt präzise vor, welche Punkte zwingend geregelt sein müssen:
- Gegenstand und Dauer: Was wird wie lange verarbeitet?
- Art und Zweck: Warum werden die Daten verarbeitet (z.B. CRM-Hosting, Newsletter-Versand)?
- Art der Daten: Welche Datenkategorien (Namen, E-Mails, Gesundheitsdaten)?
- Kreis der Betroffenen: Wer ist betroffen (Kunden, Mitarbeiter, Interessenten)?
- Weisungsgebundenheit: Der Anbieter darf nur auf Weisung des Kunden handeln.
- Vertraulichkeit: Mitarbeiter des Anbieters müssen zur Geheimhaltung verpflichtet sein.
- TOM (Art. 32 DSGVO): Welche technischen und organisatorischen Maßnahmen werden zum Schutz der Daten getroffen? (siehe auch unseren Guide zu TOMs).
Typische Fehler in SaaS-Verträgen
In meiner täglichen Beratungspraxis sehe ich immer wieder dieselben Fehler, die im Ernstfall zu Haftungsproblemen führen können:
1. Zu unbestimmte TOMs
"Wir sichern die Daten nach dem Stand der Technik" reicht nicht aus. Die TOMs müssen konkret benannt und überprüfbar sein. Ein Verweis auf eine Zertifizierung wie ISO 27001 ist hilfreich, entbindet aber nicht von der detaillierten Auflistung.
2. Fehlende Regelung zu Sub-Auftragsverarbeitern
Moderne SaaS-Lösungen nutzen oft selbst andere Dienste (Hosting bei AWS, E-Mail über SendGrid). Diese Sub-Dienstleister müssen im AVV aufgeführt oder zumindest ein Verfahren zur Genehmigung neuer Sub-Dienstleister vereinbart werden.
Die ultimative AVV-Checkliste für SaaS
Nutzen Sie diese Checkliste, bevor Sie einen SaaS-Dienst buchen oder Ihren eigenen AVV an Kunden versenden:
- ✓ Sind alle beteiligten Parteien mit korrekter Rechtsform und Anschrift benannt?
- ✓ Sind die Kategorien der Daten (z.B. Stammdaten, Kontaktdaten) vollständig aufgelistet?
- ✓ Ist ein konkretes Verzeichnis der technischen und organisatorischen Maßnahmen (TOM) als Anlage beigefügt?
- ✓ Wurde eine Haftungsregelung getroffen, die mit dem Hauptvertrag (SLA) korrespondiert? (Beachten Sie dazu auch unseren Artikel zur SaaS-Haftung).
- ✓ Gibt es eine klare Regelung für die Löschung oder Rückgabe der Daten nach Vertragsende?
Fazit
Ein guter AVV schützt nicht nur die Daten der Nutzer, sondern auch die Reputation des Anbieters. Er ist das Fundament für die Einhaltung moderne Richtlinien wie NIS2 und sorgt für Transparenz im B2B-Geschäft. Bei BeLogical legen wir großen Wert auf saubere Vertragswerke – sie sind Teil unserer Compliance-DNA.
Die Realität der AVV-Pflicht
Der AVV ist nicht optional, er ist Pflicht. Ohne wirksamen AVV ist die Weitergabe von personenbezogenen Daten an einen SaaS-Anbieter rechtswidrig, das kann zu empfindlichen Bußgeldern führen – für beide Parteien, nicht nur für den Anbieter, sondern auch für den Kunden. Die meisten Unternehmen machen es falsch: Sie unterschreiben AVVs, ohne sie zu lesen, akzeptieren Standard-AVVs, ohne sie zu prüfen, und denken "das ist nur Papierkram". Das ist ein Fehler, ein großer Fehler. Der AVV ist euer Schutz, euer Risikomanagement, eure Compliance. Ohne ihn seid ihr nackt.
Die TOMs sind das Kernfunktion
Die technischen und organisatorischen Maßnahmen (TOMs) sind das Kernfunktion des AVVs. Sie zeigen, wie euer Anbieter eure Daten schützt – nicht "vielleicht", sondern sicher. Wenn die TOMs unbestimmt sind, ist der AVV wertlos. Wenn die TOMs fehlen, ist der AVV rechtswidrig. Verlangt konkrete TOMs, nicht "Stand der Technik", sondern konkret: Verschlüsselung? Welche? Wo? Zugriffskontrolle? Wie? Monitoring? Was? Alles muss konkret, überprüfbar und dokumentiert sein, sonst ist es wertlos.
Die Subprozessoren-Regelung
Moderne SaaS-Lösungen nutzen selbst andere Dienste. AWS. SendGrid. Stripe. Diese Subprozessoren müssen im AVV aufgeführt sein. Oder es muss ein Verfahren zur Genehmigung neuer Subprozessoren vereinbart werden. Beides ist möglich. Aber eines ist notwendig.
Prüft die Liste der Subprozessoren. Regelmäßig. Nicht nur einmal. Die Liste ändert sich. Neue Anbieter kommen. Alte gehen. Die Liste muss aktuell sein. Sonst ist sie wertlos. Sonst ist der AVV unvollständig. Sonst seid ihr nicht geschützt.
Die Haftungsregelung, die kritisch ist
Eine Haftungsregelung muss getroffen werden. Sie muss mit dem Hauptvertrag (SLA) korrespondieren. Wer haftet bei Datenverlust? Wer haftet bei Sicherheitsvorfällen? Alles muss geregelt sein. Nicht unbestimmt. Konkret.
Ich habe AVVs gesehen. AVVs ohne Haftungsregelung. AVVs mit unbestimmter Haftung. AVVs, die Probleme verursachen. Nicht absichtlich. Sondern aus Unwissenheit. Aus Gleichgültigkeit.
Regelt Haftung. Konkret. Nicht unbestimmt. Konkret. Korrespondiert mit SLA. Nicht widersprüchlich. Konsistent. Das ist notwendig. Nicht optional. Notwendig. Ohne Haftungsregelung ist der AVV unvollständig. Unvollständig.
Die Löschungsregelung, die notwendig ist
Es muss eine klare Regelung für die Löschung oder Rückgabe der Daten nach Vertragsende geben. Wann werden Daten gelöscht? Wie werden Daten gelöscht? Werden Daten zurückgegeben? Alles muss geregelt sein. Nicht unbestimmt. Konkret.
Ich habe AVVs gesehen. AVVs ohne Löschungsregelung. AVVs mit unbestimmter Löschung. AVVs, die Probleme verursachen. Nicht absichtlich. Sondern aus Unwissenheit.
Regelt Löschung. Konkret. Nicht unbestimmt. Konkret. Wann. Wie. Wer. Alles. Das ist notwendig. Nicht optional. Notwendig. Ohne Löschungsregelung ist der AVV unvollständig. Unvollständig.
Rechtlicher Hinweis: Dieser Artikel stellt keine Rechtsberatung dar. Er dient der allgemeinen Information. Vor Abschluss wichtiger Verträge sollten Sie immer einen spezialisierten Rechtsanwalt konsultieren.
