DSGVO im B2B-SaaS – Pflichten, Rollen und praktische Umsetzung

Einführung: Warum DSGVO auch im B2B uneingeschränkt gilt

Die Datenschutz-Grundverordnung (DSGVO) gilt für jedes Unternehmen, das personenbezogene Daten verarbeitet – unabhängig davon, ob es sich um B2B oder B2C handelt. Ein häufiger Irrtum ist die Annahme, dass die DSGVO nur für Verbrauchergeschäfte relevant sei. Diese Annahme ist falsch und kann zu erheblichen rechtlichen Risiken führen.

Für B2B-SaaS-Anbieter bedeutet das: Die DSGVO gilt uneingeschränkt, sobald personenbezogene Daten verarbeitet werden. Das betrifft nicht nur Kundendaten, sondern auch Daten von Mitarbeitern, Geschäftspartnern und anderen natürlichen Personen, deren Daten im Rahmen der SaaS-Nutzung verarbeitet werden.

Dieser Artikel erklärt die grundlegenden Pflichten, Rollen und praktischen Umsetzungsschritte für B2B-SaaS-Anbieter und ihre Kunden. Er dient als Grundlagenartikel, auf den spezifischere Artikel zu einzelnen Aspekten der DSGVO verlinken können.

Rechtlicher Rahmen: Wann gilt die DSGVO?

Die DSGVO gilt nach Art. 2 DSGVO für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für bestimmte nichtautomatisierte Verarbeitungen in Dateien. Für SaaS-Anbieter bedeutet das praktisch: Die DSGVO gilt immer, wenn:

• Personenbezogene Daten in einem System gespeichert, abgerufen oder verarbeitet werden
• Die Verarbeitung ganz oder teilweise automatisiert erfolgt (was bei SaaS praktisch immer der Fall ist)
• Es sich um Daten natürlicher Personen handelt (nicht um reine Unternehmensdaten ohne Personenbezug)

Wichtig: Reine Unternehmensdaten ohne Personenbezug (z.B. nur Firmenname ohne Ansprechpartner) fallen nicht unter die DSGVO. Sobald jedoch ein Ansprechpartner, eine E-Mail-Adresse oder andere personenbezogene Daten hinzukommen, greift die DSGVO vollständig.

Der räumliche Anwendungsbereich (Art. 3 DSGVO) umfasst:

• Unternehmen mit Niederlassung in der EU – unabhängig davon, wo die Server stehen
• Nicht-EU-Unternehmen, die Personen in der EU Waren oder Dienstleistungen anbieten
• Unternehmen, die das Verhalten von Personen in der EU beobachten

Rollenmodell: Verantwortlicher vs. Auftragsverarbeiter

Die korrekte Zuordnung der Rollen ist entscheidend für die Einhaltung der DSGVO. Im SaaS-Kontext gibt es typischerweise zwei Rollen:

Der Verantwortliche (Art. 4 Nr. 7 DSGVO)

Der Verantwortliche ist die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Im SaaS-Kontext ist der Kunde typischerweise der Verantwortliche für die Daten seiner Endnutzer und Mitarbeiter.

Der Kunde entscheidet:

• Welche Daten verarbeitet werden sollen
• Zu welchem Zweck die Daten verarbeitet werden
• Welche Personen betroffen sind
• Wie lange die Daten gespeichert werden

Der Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO)

Der Auftragsverarbeiter ist eine natürliche oder juristische Person, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Im SaaS-Kontext ist der SaaS-Anbieter typischerweise der Auftragsverarbeiter für die Kundendaten.

Der SaaS-Anbieter verarbeitet die Daten:

• Nach Weisung des Kunden (Verantwortlichen)
• Ohne eigene Entscheidungsbefugnis über Zweck und Mittel
• Im Rahmen eines Auftragsverarbeitungsvertrags (AVV)

Wichtig: Ein SaaS-Anbieter kann gleichzeitig Verantwortlicher (für eigene Daten wie Website-Tracking, eigene CRM-Daten) und Auftragsverarbeiter (für Kundendaten) sein. Die Rollen müssen klar getrennt und dokumentiert werden.

Typische SaaS-Daten: Was wird verarbeitet?

In einem typischen B2B-SaaS-System werden verschiedene Kategorien personenbezogener Daten verarbeitet:

CRM-Daten

CRM-Systeme wie CrmLogical verarbeiten typischerweise:

• Kontaktdaten (Name, E-Mail, Telefon, Adresse)
• Geschäftliche Informationen (Position, Unternehmen, Branche)
• Kommunikationshistorie (E-Mails, Anrufe, Meetings)
• Verkaufsdaten (Deals, Pipeline, Umsätze)
• Notizen und Dokumente

Log-Daten und Systemdaten

Systeme wie SecureLogical erfassen typischerweise:

• Zugriffslogs (IP-Adressen, Zeitstempel, Benutzeraktionen)
• Authentifizierungsdaten (Login-Versuche, Session-Daten)
• Fehlerlogs und Systemereignisse
• Performance-Metriken

Nutzerkonten

Für jedes Nutzerkonto werden verarbeitet:

• Account-Daten (Benutzername, E-Mail, Passwort-Hash)
• Profilinformationen (Name, Position, Abteilung)
• Berechtigungen und Rollen
• Nutzungsstatistiken

Art. 28 DSGVO: Der Auftragsverarbeitungsvertrag (AVV)

Art. 28 DSGVO verlangt, dass zwischen Verantwortlichem (Kunde) und Auftragsverarbeiter (SaaS-Anbieter) ein Auftragsverarbeitungsvertrag (AVV) geschlossen wird. Dieser Vertrag ist nicht optional, sondern gesetzlich zwingend vorgeschrieben.

Pflichtinhalt des AVV (Art. 28 Abs. 3 DSGVO)

Der AVV muss mindestens folgende Punkte enthalten:

1. Gegenstand und Dauer der Verarbeitung: Was wird verarbeitet und wie lange?
2. Art und Zweck der Verarbeitung: Welche Verarbeitungstätigkeiten werden durchgeführt?
3. Art der personenbezogenen Daten: Welche Datenkategorien werden verarbeitet?
4. Kategorien betroffener Personen: Wer ist betroffen (Mitarbeiter, Kunden, etc.)?
5. Weisungsbindung: Der Auftragsverarbeiter verarbeitet nur auf dokumentierte Weisung des Verantwortlichen
6. Vertraulichkeit: Verpflichtung zur Vertraulichkeit, insbesondere für Mitarbeiter
7. Technische und organisatorische Maßnahmen (TOM): Welche Sicherheitsmaßnahmen werden umgesetzt?
8. Unterstützung bei Betroffenenrechten: Wie wird der Kunde bei Auskunftsersuchen unterstützt?
9. Datenpannen: Meldepflichten und Verfahren bei Verletzungen des Schutzes personenbezogener Daten
10. Löschung und Rückgabe: Was passiert nach Vertragsende mit den Daten?
11. Sub-Auftragsverarbeiter: Welche Drittanbieter werden eingesetzt und wie werden sie kontrolliert?
12. Audit-Rechte: Wie kann der Kunde die Einhaltung prüfen?

Praktische Umsetzung

Ein AVV kann als:

• Eigener Vertrag zwischen Kunde und SaaS-Anbieter
• Anlage zu den AGB oder zum Service Level Agreement (SLA)
• Online-Akzeptanz im Rahmen der Registrierung

Wichtig: Ein AVV muss vor Beginn der Datenverarbeitung geschlossen werden. Eine nachträgliche Vereinbarung ist rechtlich problematisch.

Art. 32 DSGVO: Technische und organisatorische Maßnahmen (TOM)

Art. 32 DSGVO verlangt, dass Verantwortliche und Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen umsetzen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

Die vier Grundprinzipien (Art. 32 Abs. 1 DSGVO)

Die TOM müssen folgende Grundprinzipien berücksichtigen:

1. Pseudonymisierung und Verschlüsselung: Daten sollten pseudonymisiert oder verschlüsselt werden, wo technisch möglich und angemessen
2. Vertraulichkeit: Zugriff nur für berechtigte Personen, die zur Vertraulichkeit verpflichtet sind
3. Integrität: Schutz vor unbefugter oder unbeabsichtigter Änderung oder Löschung
4. Verfügbarkeit: Schutz vor Verlust und Sicherstellung der Verfügbarkeit bei Bedarf

Typische TOM für SaaS-Anbieter

Für B2B-SaaS-Anbieter gelten folgende TOM als "Stand der Technik":

Zugangskontrolle

• Rollenbasierte Zugriffssteuerung (RBAC)
• Multi-Faktor-Authentifizierung (MFA) für alle Nutzerkonten
• Just-in-Time-Zugriffe für Administratoren
• Passwortrichtlinien mit Komplexitätsanforderungen
• Automatisierte Deaktivierung inaktiver Konten (z.B. nach 90 Tagen)
• Protokollierung aller Zugriffe

Verschlüsselung

• TLS 1.3 oder höher für Datenübertragung
• AES-256-Verschlüsselung für ruhende Daten
• Schlüsselmanagement mit Hardware-Sicherheitsmodulen (HSM)
• Schlüsselrotation und Trennung von Schlüsseln pro Mandant (Tenant-Isolation)

Physische Sicherheit

• Biometrische Zugangskontrollen für Serverräume
• 24/7-Überwachung und Redundanz in mehreren Rechenzentren
• Klare Verträge mit Cloud-Providern zu deren ISO 27001-Compliance
• Einhaltung von C5-Kriterien (Deutschland) oder vergleichbaren Standards

Betriebsicherheit

• Kontinuierliches Monitoring mit SIEM-Systemen
• Automatisierte Vulnerability-Scans
• Patch-Management innerhalb von 30 Tagen nach Veröffentlichung
• Incident-Response-Pläne mit definierten SLAs (Erkennung < 1 Stunde, Meldung < 24 Stunden)
• Regelmäßige Penetrationstests (jährlich)

Systemakquise und Wartung

• Secure-SDLC mit Code-Reviews
• Statische Analyse (SAST) und dynamische Tests (DAST)
• Container-Image-Scanning (z.B. Trivy)
• Verschlüsselte Backups, getestet (jährlich)
• Geografisch verteilte Backups mit RPO < 1 Stunde, RTO < 4 Stunden

Lieferantenbeziehungen

• Auditrechte für Sub-Provider (z.B. Hosting, CDN)
• Regelmäßige Sicherheitsbescheinigungen (SOC 2 Type II, ISO 27001)
• AVV nach Art. 28 DSGVO mit allen Sub-Auftragsverarbeitern
• Jährliche Risikobewertung aller Drittanbieter
• Exit-Strategien für den Fall eines Anbieterwechsels

Pflichten des SaaS-Anbieters (Auftragsverarbeiter)

Als Auftragsverarbeiter hat der SaaS-Anbieter folgende Pflichten:

Abschluss eines AVV

Der SaaS-Anbieter muss mit jedem Kunden, der personenbezogene Daten zur Verarbeitung überlässt, einen AVV abschließen. Dieser muss alle in Art. 28 Abs. 3 DSGVO geforderten Punkte enthalten.

Nachweis und Umsetzung von TOM

Der SaaS-Anbieter muss geeignete TOM nach Art. 32 DSGVO umsetzen und deren Wirksamkeit nachweisen können. Dies erfolgt typischerweise durch:

• Detaillierte TOM-Listen im AVV
• Zertifizierungen (ISO 27001, SOC 2 Type II)
• Protokolle zu Zugriffssteuerung und Verschlüsselung
• Audit-Berichte

Verzeichnis der Verarbeitungstätigkeiten

Als Auftragsverarbeiter muss der SaaS-Anbieter ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO führen. Dieses muss enthalten:

• Name und Kontaktdaten des Verantwortlichen
• Kategorien der Verarbeitung
• Kategorien betroffener Personen
• Kategorien personenbezogener Daten
• Empfänger (Sub-Auftragsverarbeiter)
• Übermittlungen in Drittländer
• Löschfristen
• Allgemeine Beschreibung der technischen und organisatorischen Maßnahmen

Unterstützung bei Betroffenenrechten

Der SaaS-Anbieter muss den Kunden bei der Erfüllung von Betroffenenrechten unterstützen (Art. 28 Abs. 3 lit. e DSGVO). Dazu gehören:

• Auskunftsersuchen (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)

Meldung von Datenpannen

Bei Verletzungen des Schutzes personenbezogener Daten muss der SaaS-Anbieter den Kunden ohne unangemessene Verzögerung informieren (Art. 33, 34 DSGVO). Typischerweise wird eine Meldung innerhalb von 24-48 Stunden erwartet, sobald der Vorfall bekannt wird.

Unterstützung bei Datenschutz-Folgenabschätzung

Der SaaS-Anbieter muss den Kunden nach Möglichkeit bei der Durchführung einer Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO unterstützen, insbesondere durch:

• Bereitstellung technischer Informationen über die Verarbeitung
• Beschreibung der implementierten Sicherheitsmaßnahmen
• Einschätzung von Risiken aus technischer Sicht

Zusammenarbeit mit Aufsichtsbehörden

Der SaaS-Anbieter muss den Kunden bei der Zusammenarbeit mit Aufsichtsbehörden unterstützen (Art. 28 Abs. 3 lit. f DSGVO), insbesondere durch:

• Bereitstellung von Dokumentationen
• Teilnahme an Audits
• Beantwortung von Anfragen

Pflichten des Kunden (Verantwortlicher)

Als Verantwortlicher hat der Kunde folgende Pflichten:

Auswahlpflicht

Der Kunde muss den SaaS-Anbieter sorgfältig nach Eignung, Sicherheit und Zuverlässigkeit auswählen (Art. 28 Abs. 1 DSGVO). Dies umfasst:

• Prüfung der technischen und organisatorischen Maßnahmen
• Prüfung von Zertifizierungen und Bescheinigungen
• Risikobewertung des Anbieters
• Dokumentation der Auswahlentscheidung

Abschluss und Dokumentation eines AVV

Der Kunde muss einen AVV mit dem SaaS-Anbieter abschließen und dokumentieren. Der AVV muss alle in Art. 28 Abs. 3 DSGVO geforderten Punkte enthalten.

Informationspflichten gegenüber Betroffenen

Der Kunde muss seine eigenen Betroffenen (z.B. Mitarbeiter, Kunden) über die Nutzung des SaaS-Dienstes informieren (Art. 13, 14 DSGVO). Dies umfasst:

• Name und Kontaktdaten des Verantwortlichen
• Kontaktdaten des Datenschutzbeauftragten (falls vorhanden)
• Zwecke der Verarbeitung
• Rechtsgrundlage
• Empfänger (inkl. SaaS-Anbieter als Auftragsverarbeiter)
• Übermittlungen in Drittländer
• Speicherdauer
• Betroffenenrechte
• Widerspruchsrecht

Eigenes Verzeichnis der Verarbeitungstätigkeiten

Der Kunde muss ein eigenes Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 1 DSGVO führen, das auch die Nutzung des SaaS-Dienstes umfasst.

Risikoanalyse und Datenschutz-Folgenabschätzung

Der Kunde muss eine Risikoanalyse durchführen und gegebenenfalls eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO durchführen, wenn die Verarbeitung ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge haben kann.

Sicherstellung rechtmäßiger Daten

Der Kunde muss sicherstellen, dass nur rechtmäßig erhobene Daten in das SaaS-System eingegeben werden und dass Weisungen an den SaaS-Anbieter datenschutzkonform sind.

Typische Fehler von SaaS-Anbietern

In der Praxis gibt es einige häufige Fehler, die SaaS-Anbieter bei der DSGVO-Umsetzung machen:

Fehlender oder unvollständiger AVV

Viele SaaS-Anbieter bieten keinen AVV an oder haben einen unvollständigen AVV, der nicht alle in Art. 28 Abs. 3 DSGVO geforderten Punkte enthält. Dies ist ein schwerwiegender Fehler, der zu erheblichen rechtlichen Risiken führt.

Fehlende Dokumentation der TOM

Viele SaaS-Anbieter setzen zwar technische Maßnahmen um, dokumentieren diese aber nicht ausreichend. Ohne Dokumentation kann die Einhaltung von Art. 32 DSGVO nicht nachgewiesen werden.

Unzureichende Sub-Auftragsverarbeiter-Kontrolle

Viele SaaS-Anbieter setzen Sub-Auftragsverarbeiter (z.B. Hosting-Provider, CDN) ein, ohne diese ausreichend zu kontrollieren oder ohne AVV mit diesen abzuschließen. Dies verstößt gegen Art. 28 Abs. 2, 4 DSGVO.

Fehlende oder unzureichende Datenpannen-Prozeduren

Viele SaaS-Anbieter haben keine klaren Prozeduren für die Meldung von Datenpannen. Dies kann zu verspäteten Meldungen führen, die gegen Art. 33, 34 DSGVO verstoßen.

Fehlende Audit-Rechte

Viele SaaS-Anbieter gewähren keine oder nur unzureichende Audit-Rechte. Dies erschwert es dem Kunden, die Einhaltung der DSGVO zu prüfen, und verstößt gegen Art. 28 Abs. 3 lit. h DSGVO.

Unzureichende Lösch- und Rückgabeprozeduren

Viele SaaS-Anbieter haben keine klaren Prozeduren für die Löschung oder Rückgabe von Daten nach Vertragsende. Dies kann zu Problemen bei der Einhaltung von Art. 17, 28 Abs. 3 lit. g DSGVO führen.

Verantwortung Kunde vs. Anbieter: Wer haftet wofür?

Eine häufige Frage ist, wer für welche Aspekte der DSGVO-Compliance verantwortlich ist. Die Antwort hängt von der Rolle ab:

Verantwortung des Kunden (Verantwortlicher)

Der Kunde ist verantwortlich für:

• Die Rechtmäßigkeit der Datenverarbeitung (Rechtsgrundlage, Einwilligung, etc.)
• Die Informationspflichten gegenüber Betroffenen (Art. 13, 14 DSGVO)
• Die Erfüllung von Betroffenenrechten (Art. 15-22 DSGVO)
• Die Durchführung von Datenschutz-Folgenabschätzungen (Art. 35 DSGVO)
• Die Meldung von Datenpannen an Aufsichtsbehörden (Art. 33 DSGVO)
• Die Benachrichtigung von Betroffenen bei Datenpannen (Art. 34 DSGVO)
• Die Auswahl eines geeigneten Auftragsverarbeiters (Art. 28 Abs. 1 DSGVO)
• Die Kontrolle des Auftragsverarbeiters (Art. 28 Abs. 3 lit. h DSGVO)

Verantwortung des SaaS-Anbieters (Auftragsverarbeiter)

Der SaaS-Anbieter ist verantwortlich für:

• Die Einhaltung der Weisungen des Kunden
• Die Umsetzung geeigneter technischer und organisatorischer Maßnahmen (Art. 32 DSGVO)
• Die Vertraulichkeit der verarbeiteten Daten
• Die Meldung von Datenpannen an den Kunden (Art. 33, 34 DSGVO)
• Die Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 lit. e DSGVO)
• Die Unterstützung bei Datenschutz-Folgenabschätzungen (Art. 28 Abs. 3 lit. f DSGVO)
• Die Kontrolle von Sub-Auftragsverarbeitern (Art. 28 Abs. 2, 4 DSGVO)
• Die Löschung oder Rückgabe von Daten nach Vertragsende (Art. 28 Abs. 3 lit. g DSGVO)

Gemeinsame Verantwortung

Einige Aspekte erfordern die Zusammenarbeit beider Parteien:

• Die Dokumentation der Verarbeitungstätigkeiten (Art. 30 DSGVO)
• Die Durchführung von Audits (Art. 28 Abs. 3 lit. h DSGVO)
• Die Behandlung von Betroffenenanfragen (Art. 15-22 DSGVO)
• Die Meldung von Datenpannen (Art. 33, 34 DSGVO)

Praxisbeispiele

Die folgenden Praxisbeispiele verdeutlichen die Anwendung der DSGVO im B2B-SaaS-Kontext:

Beispiel 1: CRM-System

Ein Unternehmen nutzt ein CRM-System wie CrmLogical zur Verwaltung von Kundenkontakten. In diesem Fall:

• Kunde = Verantwortlicher: Entscheidet über Zweck und Mittel der Verarbeitung
• SaaS-Anbieter = Auftragsverarbeiter: Verarbeitet die Daten nach Weisung des Kunden
• AVV erforderlich: Muss vor Beginn der Datenverarbeitung geschlossen werden
• TOM erforderlich: Verschlüsselung, Zugriffskontrolle, Backups, etc.
• Informationspflichten: Kunde muss seine Kunden über die Nutzung des CRM-Systems informieren

Beispiel 2: Security-Monitoring

Ein Unternehmen nutzt ein Security-Monitoring-System wie SecureLogical zur Überwachung von Systemzugriffen. In diesem Fall:

• Kunde = Verantwortlicher: Entscheidet über Zweck und Mittel der Verarbeitung
• SaaS-Anbieter = Auftragsverarbeiter: Verarbeitet Log-Daten nach Weisung des Kunden
• AVV erforderlich: Muss alle in Art. 28 Abs. 3 DSGVO geforderten Punkte enthalten
• TOM erforderlich: Besonders hohe Anforderungen aufgrund der Sensibilität von Log-Daten
• Speicherdauer: Muss im AVV festgelegt werden (z.B. 90 Tage, 1 Jahr)
• Informationspflichten: Kunde muss seine Mitarbeiter über die Nutzung des Systems informieren

Beispiel 3: Datenpanne

Ein SaaS-Anbieter entdeckt einen Sicherheitsvorfall, bei dem unbefugte Personen auf Kundendaten zugegriffen haben könnten. In diesem Fall:

• SaaS-Anbieter: Muss den Kunden ohne unangemessene Verzögerung (typischerweise innerhalb von 24-48 Stunden) informieren
• Kunde: Muss die Aufsichtsbehörde innerhalb von 72 Stunden nach Bekanntwerden informieren (Art. 33 DSGVO)
• Kunde: Muss betroffene Personen informieren, wenn ein hohes Risiko besteht (Art. 34 DSGVO)
• Beide: Müssen den Vorfall dokumentieren und Maßnahmen zur Schadensbegrenzung ergreifen

Fazit

Die DSGVO gilt auch im B2B-SaaS-Kontext uneingeschränkt. SaaS-Anbieter und ihre Kunden müssen die Rollen (Verantwortlicher vs. Auftragsverarbeiter) klar definieren und die entsprechenden Pflichten erfüllen.

Die wichtigsten Punkte im Überblick:

• AVV ist zwingend: Ein Auftragsverarbeitungsvertrag muss vor Beginn der Datenverarbeitung geschlossen werden
• TOM sind erforderlich: Technische und organisatorische Maßnahmen müssen umgesetzt und dokumentiert werden
• Rollen müssen klar sein: Kunde = Verantwortlicher, SaaS-Anbieter = Auftragsverarbeiter
• Verantwortung ist geteilt: Beide Parteien haben spezifische Pflichten, die erfüllt werden müssen
• Dokumentation ist entscheidend: Ohne Dokumentation kann Compliance nicht nachgewiesen werden

Für weitere Informationen zu spezifischen Aspekten der DSGVO im B2B-SaaS-Kontext verweisen wir auf unsere weiteren Artikel zu Auftragsverarbeitungsverträgen, technischen und organisatorischen Maßnahmen und Datenschutzrichtlinien.

Hinweis: Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Bei spezifischen rechtlichen Fragen sollten Sie einen qualifizierten Datenschutzberater oder Rechtsanwalt konsultieren.