So prüfen und gestalten wir Ihren SaaS-Vertrag
SaaS-Vertrag prüfen lassen? Wir prüfen AVV, SLA, Haftung, Data Act, DORA und Exit und verhandeln mit Ihrem SaaS-Anbieter oder Enterprise-Kunden.
Ein SaaS-Vertrag sieht aus wie ein Abonnement, ist aber der Vertrag mit der höchsten operativen Hebelwirkung in Ihrem Unternehmen. Er entscheidet darüber, ob ein achtstündiger Ausfall einen Schadensersatz auslöst oder nur eine Gutschrift über eine Monatsgebühr, ob Ihre Daten bei Vertragsende binnen 30 Tagen zurückfließen oder in proprietären Formaten versanden, und ob ein Datenschutzaudit eine Formalie bleibt oder ein sechsstelliges Bußgeld auslöst. Unsere IT-Recht-Beratung stellt sicher, dass solche Cloud-Verträge nicht isoliert, sondern im gesamten Compliance-Kontext geprüft werden.
Trotzdem werden die meisten SaaS-Verträge ungeprüft unterschrieben.
Dieser Leitfaden beantwortet vier Fragen:
- Welche Rechtsnatur hat ein SaaS-Vertrag nach deutschem Recht und warum ist die Einordnung als Mietvertrag für Einkäufer so wertvoll?
- Welche sieben Klauseln kippen in der Praxis regelmäßig zulasten des Kunden und mit welchen rechtlichen Hebeln lassen sie sich nachverhandeln?
- Welche neuen Pflichten bringen Data Act, DORA und NIS2 seit 2025 für SaaS-Verträge mit sich?
- Wie sieht eine belastbare Vertragsarchitektur auf Anbieterseite aus, die Enterprise-Deals nicht scheitern lässt?
Für KI-spezifische Systeme gelten teilweise andere Regeln - dazu unsere Seite zum KI-Vertrag. Klassische On-Premise-Lizenzen und Pflegeverträge behandeln wir auf der Seite zum Softwarevertrag. Für iterative Eigenentwicklung mit Scrum oder Kanban ist der agile Softwareentwicklungsvertrag der richtige Ort.
Rechtsnatur des SaaS-Vertrags: Warum die Einordnung als Mietvertrag für Sie Geld wert ist
Der häufigste Denkfehler bei SaaS-Verträgen ist die Annahme, es handele sich um einen “Dienstleistungsvertrag sui generis” ohne feste gesetzliche Leitplanken.
Der Bundesgerichtshof hat in seinem Urteil vom 15. November 2006 (Az. XII ZR 120/04) entschieden, dass ein Vertrag über die entgeltliche Gebrauchsüberlassung cloudbasierter Software als Mietvertrag gemäß §§ 535 ff. BGB zu qualifizieren ist, und klargestellt, dass für die Gebrauchsgewährung die Zugangsverschaffung online ausreicht.
Das OLG München hat in seinem Urteil vom 2. Februar 2024 (Az. 38 Sch 60/22 WG) Cloud-Computing als schuldrechtliche Überlassung eines Produkt- und Leistungspakets mit digitalem Online-Speicherplatz definiert und klargestellt, dass Cloud-Verträge keinen kaufrechtlichen Charakter haben.
Das Oberlandesgericht Düsseldorf hat mit Urteil vom 24. Mai 2022 (Az. I-24 U 368/20) entschieden, dass ein formularmäßiger Ausschluss der Mietminderung in gewerblichen Mietverträgen wirksam ist, wenn dem Mieter ein Rückzahlungsanspruch verbleibt.
Nicht alles im SaaS-Vertrag ist Miete: Die Schwerpunkttheorie
SaaS-Verträge sind selten reine Mietverträge.
Gerade in gemischten Verträgen (Softwarebereitstellung plus Implementierung plus Schulung plus Pflege) ist die saubere Abgrenzung der einzelnen Leistungsbestandteile die zentrale Vorarbeit. Wir sortieren Ihren Vertrag vor der Unterschrift nach diesen Kategorien, damit klar ist, welche Regeln zu welcher Leistung greifen und wo die Anbieter-AGB auf dünnem Eis stehen.
Hauptvertrag, AVV, SLA und Implementierungs-Statement - wir sortieren die Rechtsnatur und zeigen Risiken auf.
Kostenlose Anfrage- Kostenlos beraten
- Kein Risiko, 100% vertraulich
Die sieben Klauseln, in denen SaaS-Verträge regelmäßig kippen
Aus rund zehn Jahren SaaS-Mandaten sehen wir immer wieder dieselben Schwachstellen. Sie sind kein Anbieter-Zufall, sondern strukturelle Konstanten der Branche. Wer einen SaaS-Vertrag prüfen lässt, muss diese sieben Klauselgruppen konkret adressieren.
| Klausel | Typische Schwachstelle | Rechtlicher Hebel |
|---|---|---|
| Verfügbarkeit / SLA | 99,9 % ohne Definition; Wartungsfenster zählen nicht; Service Credits kappen alle Ansprüche | AGB-Kontrolle nach § 307 Abs. 2 Nr. 2 BGB, wenn Service Credits Mängelrechte unangemessen beschränken; Verfügbarkeitsquoten als Leistungsbeschreibung nach § 307 Abs. 3 Satz 1 BGB |
| Preisanpassung | Jährliche Erhöhung an Inflation + X % ohne Obergrenze und ohne Kündigungsrecht | § 307 BGB, BGH XI ZR 78/08, BGH VIII ZR 249/22 |
| Laufzeit & Kündigung | 24-Monats-Mindestlaufzeit mit unklarer Berechnung des Laufzeitbeginns | § 309 Nr. 9 lit. a BGB, BGH VIII ZR 14/12 und BGH III ZR 142/08 zur Berechnung der bindenden Laufzeit |
| Haftungsbegrenzung | Haftungsdeckel auf eine Monatsgebühr; entgangener Gewinn pauschal ausgeschlossen | § 307 Abs. 2 Nr. 2 BGB, § 309 Nr. 7 BGB, Kardinalpflichten-Dogmatik |
| Auftragsverarbeitung | Kein eigener AVV, nur Bezug auf Standard-AGB; TOM oberflächlich; keine Subprozessor-Liste | Art. 28, Art. 32 DSGVO, Art. 83 DSGVO (Bußgeld) |
| Drittlandtransfer | Daten können in die USA übermittelt werden ohne SCC 2021, ohne DPF-Zertifizierung, ohne TIA | Art. 44 ff. DSGVO, EuGH Schrems II, Beschluss 2021/914, Beschluss 2023/1795 |
| Exit & Datenrückgabe | Format proprietär; Exportkosten vierstellig; keine Fristen; keine Migrations-Unterstützung | Art. 20 DSGVO, Art. 28 Abs. 3 lit. g DSGVO, Art. 23 und 25 Data Act |
Jede dieser Schwachstellen lässt sich in der Vertragsprüfung identifizieren und in aller Regel nachverhandeln. Wer den Anbieter geschickt auf die rechtliche Angreifbarkeit seiner Klausel anspricht, erhält fast immer Zugeständnisse - kein seriöser Anbieter will einen Prozess über die Wirksamkeit seiner Standard-AGB führen.
Verfügbarkeit und SLA: Wenn 99,9 Prozent plötzlich 98 Prozent bedeuten
Der Klassiker der SaaS-Verträge ist die Verfügbarkeitszusage. 99,9 Prozent klingen beruhigend, entsprechen rechnerisch aber rund 8,8 Stunden Ausfall pro Jahr. Entscheidend ist aber nicht die Prozentzahl, sondern die Definition. In schlecht verhandelten Verträgen zählen geplante Wartungsfenster, DNS-Ausfälle, Angriffe Dritter und Force-Majeure-Ereignisse nicht mit. Gemessen wird die Server-Verfügbarkeit, nicht die Verfügbarkeit aus Sicht Ihrer Nutzer. Das Ergebnis: Eine dreistündige Komplettstörung während der Monatsabschluss-Buchung ist vertraglich eingehalten, operativ eine Katastrophe.
Wir bestehen in der Verhandlung auf vier Elementen: einer Messmethodik, die auch die End-User-Verfügbarkeit erfasst; einer abschließenden Liste zulässiger Ausschlüsse, die Wartungsfenster zeitlich und quantitativ begrenzt; einem Service-Credit-Regime mit kaskadierenden Stufen, bei dem die Gutschrift ab 98 Prozent spürbar ansteigt; und einem außerordentlichen Kündigungsrecht bei wiederholter oder erheblicher Unterschreitung.
Preisanpassungsklauseln: Zwischen Inflationsausgleich und verdeckter Gewinnsteigerung
Preisanpassungsklauseln sind in Dauerschuldverhältnissen zulässig, aber nicht grenzenlos.
Der Bundesgerichtshof hat in seinem Urteil vom 21. April 2009 (Az. XI ZR 78/08) entschieden, dass eine Preisanpassungsklausel gegen § 307 BGB verstößt, wenn sie dem Verwender nicht nur die Abwälzung konkreter Kostensteigerungen erlaubt, sondern auch die Erzielung zusätzlichen Gewinns.
Der Bundesgerichtshof hat mit Urteilen vom 27. September 2023 (Az. VIII ZR 249/22 und VIII ZR 263/22) klargestellt, dass Preisanpassungsklauseln wirksam sein können, wenn sie nachvollziehbar an objektive Kostenfaktoren anknüpfen und nicht lediglich pauschale Margensteigerungen ermöglichen.
Für SaaS-Verträge bedeutet das: Eine Klausel, die dem Anbieter jährliche Erhöhungen “entsprechend der allgemeinen Preisentwicklung” oder “bis zu sieben Prozent” ohne Koppelung an nachvollziehbare Kostenindizes erlaubt, ist rechtlich angreifbar. Genauso angreifbar sind Klauseln ohne außerordentliches Kündigungsrecht bei überdurchschnittlichen Sprüngen. Wir verhandeln in der Regel drei Sicherungen hinein: eine Koppelung an einen objektiven Index wie den Verbraucherpreisindex des Statistischen Bundesamts oder einen vergleichbaren Kostenindex, eine Obergrenze pro Anpassungsperiode im Bereich von fünf bis sieben Prozent, und ein Sonderkündigungsrecht oberhalb dieser Grenze.
Laufzeit und Kündigung: Der 24-Monats-Sprengsatz
Der Bundesgerichtshof hat in seinem Urteil vom 12. Dezember 2012 (Az. VIII ZR 14/12) entschieden, dass die bindende Laufzeit eines Dauerschuldverhältnisses im Sinne von § 309 Nr. 9 lit. a BGB bereits mit Vertragsschluss beginnt und nicht erst mit Beginn der Leistungserbringung.
Die Entscheidung ist für Einkäufer unmittelbar praktisch. In vielen SaaS-Verträgen steht sinngemäß: “Der Vertrag läuft ab Unterzeichnung für 24 Monate.” Die Implementierung dauert aber drei Monate, die produktive Nutzung beginnt also erst später. Die Klausel ist nach der BGH-Entscheidung angreifbar, selbst wenn sie im B2B-Kontext über § 307 BGB geprüft wird. In Mandaten, in denen wir die Unwirksamkeit feststellen, haben wir in der Vergangenheit entweder eine Anpassung des Laufzeitbeginns erwirkt oder ein Sonderkündigungsrecht ausgehandelt.
Haftungsbegrenzung: Warum der “Monatsgebühr-Cap” fast immer zu niedrig ist
Nach § 309 Nr. 7 BGB sind Haftungsausschlüsse oder -begrenzungen für Schäden aus der Verletzung von Leben, Körper und Gesundheit sowie für grobe Fahrlässigkeit und Vorsatz unwirksam; nach § 307 Abs. 2 Nr. 2 BGB sind Klauseln unwirksam, die wesentliche Vertragspflichten so einschränken, dass die Erreichung des Vertragszwecks gefährdet ist.
Die Dogmatik der Kardinalpflichten stammt aus ständiger BGH-Rechtsprechung und wird auf SaaS-Verträge direkt übertragen. Kardinalpflichten sind bei SaaS typischerweise die Bereitstellung der Software, die vereinbarte Verfügbarkeit, die Datensicherheit und die Ermöglichung des Datenexports. Wird die Haftung für leichte Fahrlässigkeit bei diesen Pflichten auf eine Monatsgebühr gedeckelt, obwohl der vorhersehbare vertragstypische Schaden um ein Vielfaches höher liegt, ist die Klausel angreifbar.
Die Kardinalpflichten-Dogmatik bei Haftungsbegrenzungen in IT-Verträgen folgt aus § 307 Abs. 2 Nr. 2 BGB und der ständigen BGH-Rechtsprechung, wonach Haftungsbegrenzungen bei Verletzung vertragstypischer Kardinalpflichten die Erreichung des Vertragszwecks nicht gefährden dürfen.
In der Verhandlung arbeiten wir meist mit einem zweistufigen Modell: ein absoluter Cap auf zwölf Monatsgebühren für leichte Fahrlässigkeit bei Kardinalpflichten, der die vertragstypischen Schäden realistisch abbildet, und unberührte Haftung für Vorsatz, grobe Fahrlässigkeit, Leben, Körper, Gesundheit und Produkthaftung. Ein Cap von einer Monatsgebühr, wie ihn viele Anbieter-AGB enthalten, halten wir für angreifbar.
AGB, SLA oder Haftungsanlage vor der Unterschrift - wir prüfen die Angreifbarkeit und formulieren einen Redline-Entwurf.
Kostenlose Anfrage- Kostenlos beraten
- Kein Risiko, 100% vertraulich
DSGVO-Compliance im SaaS-Vertrag: Die drei Pflichtebenen
Kein SaaS-Vertrag, der personenbezogene Daten verarbeitet, funktioniert ohne DSGVO-Compliance. Drei Ebenen müssen stehen: der Auftragsverarbeitungsvertrag, die Absicherung des Drittlandtransfers und die Verwaltung der Subprozessoren.
Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO
Nach Art. 28 DSGVO darf eine personenbezogene Datenverarbeitung durch einen Auftragsverarbeiter nur auf Grundlage eines schriftlichen Vertrags erfolgen, der insbesondere Gegenstand und Dauer, Art und Zweck, Art der Daten, Kategorien der betroffenen Personen sowie die Pflichten des Auftragsverarbeiters in Absatz 3 lit. a bis h regelt.
In der Praxis bedeutet das: Ein SaaS-Vertrag, der nur in den AGB einen Halbsatz zu “datenschutzkonformer Verarbeitung” enthält, erfüllt Art. 28 DSGVO nicht. Fehlt der Auftragsverarbeitungsvertrag, ist die gesamte Datenverarbeitung formal rechtswidrig, und die Aufsichtsbehörden können nach Art. 83 DSGVO Bußgelder bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes verhängen. Hintergrund für die DSGVO-Compliance in SaaS-Konstellationen und die konkrete Ausgestaltung des Auftragsverarbeitungsvertrags haben wir in unseren Ratgebern vertieft.
Für Sie als Einkäufer heißt das: Bestehen Sie auf einem eigenen AVV-Dokument oder einem Data Processing Addendum, das die Mindestinhalte nach Art. 28 Abs. 3 DSGVO abbildet. Standardformulare der großen Anbieter sind eine brauchbare Ausgangsbasis, müssen aber auf Ihren Anwendungsfall angepasst werden, insbesondere hinsichtlich der technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und der Subprozessor-Listen.
Drittlandtransfer: SCC 2021, DPF und die Schrems-II-Realität
Der Klassiker der SaaS-Compliance ist der Drittlandtransfer. Fast alle global aufgestellten SaaS-Anbieter verarbeiten Daten auch in den USA, sei es über Subprozessoren in AWS, Microsoft Azure oder Google Cloud, sei es über Support-Teams in den USA.
Der Europäische Gerichtshof hat in seinem Urteil vom 16. Juli 2020 (Az. C-311/18, “Schrems II”, ECLI:EU:C:2020:559) das Privacy-Shield-Abkommen für ungültig erklärt und für Standardvertragsklauseln klargestellt, dass sie nur dann tragen, wenn im Einzelfall ein im Wesentlichen gleichwertiges Schutzniveau gewährleistet ist, wozu ein dokumentiertes Transfer Impact Assessment gehört.
Die Europäische Kommission hat mit dem Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021 neue Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer erlassen, die modular aufgebaut sind und in den Klauseln 14 und 15 das Transfer Impact Assessment sowie staatliche Zugriffspflichten adressieren.
Mit dem Durchführungsbeschluss (EU) 2023/1795 vom 10. Juli 2023 hat die Europäische Kommission dem EU-US Data Privacy Framework Angemessenheit zuerkannt; das Europäische Gericht hat diesen Beschluss mit Urteil vom 3. September 2025 (Az. T-553/23) bestätigt.
Für die Vertragsprüfung heißt das: Prüfen Sie, ob der Anbieter unter dem DPF zertifiziert ist. Ist er zertifiziert, ist der Transfer einfacher handhabbar. Ist er nicht zertifiziert, müssen Sie auf SCC 2021 und einem Transfer Impact Assessment bestehen. Das politische Restrisiko bleibt: Die Trump-Administration hat bereits die Executive Order 14086, auf der das DPF beruht, zur Überprüfung angekündigt. Vorsichtige Mandanten arbeiten deshalb auch bei DPF-zertifizierten Anbietern zusätzlich mit SCC als Auffanglösung.
Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder hat in ihrer Festlegung vom 24. November 2022 festgestellt, dass der Nachweis einer datenschutzkonformen Nutzung von Microsoft 365 durch öffentliche Stellen auf Grundlage des damaligen Datenschutz-Nachtrags nicht geführt werden kann.
Die Datenschutzkonferenz hat mit ihrer Entschließung vom 16. Juni 2025 gewarnt, dass auch Confidential-Cloud-Computing-Technologien datenschutzrechtliche Probleme nicht alleine lösen können, solange der Cloud-Betreiber Manipulationsmöglichkeiten behält.
Subprozessoren: Wie Sie Kontrolle behalten
Art. 28 Abs. 2 und 4 DSGVO verlangen, dass ein Auftragsverarbeiter keine Unterauftragsverarbeiter ohne vorherige schriftliche Genehmigung des Verantwortlichen einsetzt. In SaaS-Verträgen steht dazu meist eine Generalgenehmigung: “Der Anbieter darf weitere Subprozessoren einsetzen und informiert den Kunden darüber.” Das ist grundsätzlich zulässig, wenn drei Voraussetzungen erfüllt sind: eine aktuelle Liste der eingesetzten Subprozessoren, eine angemessene Ankündigungsfrist bei Wechseln (typischerweise 30 Tage) und ein Widerspruchsrecht mit anschließendem außerordentlichem Kündigungsrecht, wenn der Widerspruch nicht gegenstandslos gemacht wird.
In vielen Verträgen fehlt genau dieses Kündigungsrecht. Dann entsteht die Erpressungslage, die viele Mandanten schildern: Wer dem Subprozessor-Wechsel widerspricht, wird aus dem Vertrag gedrängt und soll die Restlaufzeit bezahlen. Mit einer klaren Exit-Klausel verhindern Sie diese Konstellation.
Data Act, DORA und NIS2: Die neuen Pflichten ab 2025
Drei regulatorische Wellen haben seit Januar 2025 die Anforderungen an SaaS-Verträge spürbar verändert. Wer jetzt prüft oder gestaltet, muss alle drei berücksichtigen.
Data Act: Exit-Regime seit 12. September 2025, kostenloser Wechsel ab 12. Januar 2027
Nach Art. 23 und 25 der Verordnung (EU) 2023/2854 (Data Act), deren Kernpflichten seit dem 12. September 2025 gelten, müssen Anbieter von Datenverarbeitungsdiensten Hindernisse beim Wechsel zu anderen Anbietern oder zur On-Premise-Rückführung beseitigen, schriftliche Verträge mit maximal zweimonatiger Kündigungsfrist, anschließend 30 Tagen Portierungsfrist und mindestens 30 Tagen Datenspeicherung nach Wechsel vorsehen und eine vollständige Aufzählung exportierbarer Daten und digitaler Assets bereitstellen.
Nach Art. 29 der Verordnung (EU) 2023/2854 sind Wechselentgelte schrittweise abzuschaffen; ab dem 12. Januar 2027 sind jegliche Wechselentgelte einschließlich Data-Egress-Charges verboten, davor dürfen sie die tatsächlich anfallenden Kosten nicht überschreiten.
Für Einkäufer ist das ein hervorragendes Verhandlungsargument. Klauseln, die Exportgebühren im vierstelligen Bereich oder proprietäre Formate ohne Migrationsunterstützung vorsehen, verstoßen seit September 2025 gegen direkt anwendbares EU-Recht. In mehreren Mandaten hat bereits der Verweis auf Art. 25 Data Act dazu geführt, dass Anbieter ihre Export-Klauseln neu geschrieben haben. Für SaaS-Anbieter bedeutet das umgekehrt: Wer seine AGB nicht angepasst hat, verstößt gegen die Verordnung und riskiert behördliche Maßnahmen.
DORA: Pflichtinhalte für Verträge mit Finanzdienstleistern seit 17. Januar 2025
Wenn einer Ihrer Kunden Finanzinstitut, Zahlungsinstitut oder E-Geld-Institut ist, gilt für den SaaS-Vertrag die Verordnung (EU) 2022/2554 (DORA) direkt.
Nach Art. 30 der Verordnung (EU) 2022/2554 müssen IKT-Verträge mit Finanzunternehmen klare Beschreibungen der Funktionen, Verarbeitungsstandorte mit Notifizierungspflicht bei Änderungen, Datenrückgabe- und Exit-Rechte, Unterstützungspflichten bei IKT-Vorfällen, Kooperation mit Aufsichtsbehörden sowie für kritische oder wichtige Funktionen zusätzlich quantitative Service-Level-Ziele, Notfallpläne, Sicherheitstests und risikobasierte Auditrechte enthalten.
Die Europäischen Aufsichtsbehörden stufen nach Art. 31 DORA kritische IKT-Drittdienstleister ein und veröffentlichen jährlich eine Liste; anschließend unterstehen diese Dienstleister der direkten Aufsicht durch die federführende ESA.
Für SaaS-Anbieter mit Finanzkunden bedeutet das: Ohne DORA-konforme Klauseln sind die Finanzunternehmen compliance-bedingt gezwungen, Verträge zu kündigen. Wir gestalten hier in der Regel ein eigenständiges DORA-Addendum, das die Art.-30-Pflichtinhalte abbildet und sich modular an jeden Bestandsvertrag anheften lässt. Für bestehende SLA-Regelungen prüfen wir, ob die quantitativen Ziele DORA-tauglich sind oder nachgeschärft werden müssen.
NIS2 und das deutsche NIS2UmsuCG: Lieferketten-Sicherheit in SaaS-Verträgen
Nach Art. 21 der Richtlinie (EU) 2022/2555 (NIS2) müssen wichtige und besonders wichtige Einrichtungen Mindestmaßnahmen für das Risikomanagement ergreifen, die ausdrücklich auch Sicherheitsaspekte der Lieferkette sowie vertragliche Verpflichtungen gegenüber Dienstleistern umfassen.
Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (BSIG 2025) verpflichtet rund 30.000 Unternehmen in 18 Sektoren zur Einhaltung von Mindestsicherheitsanforderungen, zu dreistufigem Meldewesen an das Bundesamt für Sicherheit in der Informationstechnik und zur vertraglichen Absicherung der Lieferkette.
Für SaaS-Kunden mit NIS2-Betroffenheit bedeutet das: Der SaaS-Vertrag muss spezielle Klauseln zu Audit- und Meldepflichten enthalten, damit der Kunde seine eigenen regulatorischen Pflichten erfüllen kann. Für SaaS-Anbieter bedeutet es, dass sie als “wichtige Einrichtung” selbst unter NIS2 fallen, wenn sie Cloud-Computing-Dienste anbieten, und ihre internen Sicherheitsstandards auf den neuen Pflichtkatalog heben müssen.
Altverträge laufen nicht automatisch mit
Data Act, DORA und NIS2 wirken in Bestandsverträge hinein, ohne dass die Parteien dem zugestimmt hätten. Wer seine SaaS-Verträge seit 2024 nicht überprüft hat, arbeitet in vielen Fällen bereits außerhalb der geltenden Rechtslage - mit Haftungs- und Bußgeldrisiken, die in der ursprünglichen Vertragsfassung nicht erkennbar waren.
Was ein ungeprüft unterschriebener SaaS-Vertrag konkret kosten kann
Schlechte SaaS-Verträge kosten selten einen einzelnen großen Betrag. Sie kosten in Schichten - operativ, finanziell und rechtlich - und die teuersten Folgen zeigen sich oft Jahre nach der Unterschrift.
Operativ bedeutet das: Der CRM-Anbieter ist acht Stunden offline, die Vertriebsmannschaft steht still, der Monatsabschluss verzögert sich. Der HR-Anbieter stellt auf ein neues Lizenzmodell um, die Payroll-Prozesse müssen eilig umgebaut werden. Der Analytics-Anbieter wechselt den Subprozessor von AWS zu Google Cloud, der Datenschutzbeauftragte widerspricht, der Anbieter droht mit Vertragskündigung bei Widerspruch. Jedes dieser Szenarien ist ein eigener Verhandlungs- oder Eskalationsfall.
Finanziell schlägt das typischerweise in drei Richtungen zu: Preiserhöhungen von 15 bis 40 Prozent innerhalb der Laufzeit, Datenschutz-Bußgelder nach Art. 83 DSGVO bei fehlender oder mangelhafter Auftragsverarbeitung, und Migrationskosten im fünf- bis sechsstelligen Bereich, wenn Exit-Klauseln unklar oder Datenformate proprietär sind. Die Summe kann schnell ein Vielfaches der ursprünglichen Jahresgebühr erreichen.
Für SaaS-Anbieter: Saubere AGB, belastbare Haftung, verhandlungsfähige Templates
Wenn Sie selbst SaaS anbieten, sieht die Perspektive spiegelbildlich aus. Ihre AGB sind Ihr wichtigster Verkaufsfilter: Sie müssen Enterprise-Kunden durchlassen, ohne Sie im Ernstfall existenziell zu gefährden. Die typischen Fragen unserer Anbieter-Mandanten lauten: Wo dürfen wir Haftung realistisch begrenzen? Welche Mindest-AVV-Anforderungen müssen wir bedienen? Wie bauen wir eine Verhandlungsstrategie auf, die Enterprise-Deals nicht scheitern lässt, aber auch nicht jedes Mal die Rechtsabteilung tagelang blockiert?
- Modulare AGB mit Enterprise-Rider – Ihre Standard-AGB bilden den Massenmarkt ab; Enterprise-Kunden bekommen einen vorformulierten Rider, der Zusatzwünsche an zentraler Stelle bündelt, statt jeden Vertrag individuell neu zu schreiben.
- Haftungsarchitektur mit drei Stufen – Unbegrenzte Haftung für Vorsatz, grobe Fahrlässigkeit, Leben, Körper, Gesundheit und Produkthaftung; Cap auf zwölf Monatsgebühren für leichte Fahrlässigkeit bei Kardinalpflichten; Ausschluss für nicht-typische Folgeschäden.
- DORA- und NIS2-Module – Vorformulierte Addenda, die Sie gezielt an Finanz- und KRITIS-Kunden anheften, ohne die Standard-AGB zu sprengen.
- AVV-Paket nach Art. 28 DSGVO – Eigenes Dokument mit TOM, Subprozessor-Liste als versionierter Anhang und klarem Genehmigungsverfahren. Das spart in jedem Kundendeal Tage an Rücksprache.
- Exit- und Datenrückgabe-Klausel Data-Act-konform – Klare Formate, Fristen und Übergangsunterstützung. Seit September 2025 ohnehin Pflicht - Sie gewinnen Zeit, wenn Sie es proaktiv aufsetzen.
- Preisanpassungsklausel mit objektivem Index und Deckel – Wirksam nach § 307 BGB, durchsetzbar in der Verhandlung, weil die Begründung transparent ist.
- Subprozessor-Management – Definierte Prozesse für Ankündigung, Widerspruch und außerordentliche Kündigung - rechtlich sauber, operativ skalierbar.
Viele SaaS-Anbieter unterschätzen, wie viel Deal-Geschwindigkeit eine saubere AGB-Architektur bringt. Wer Enterprise-Kunden mit einem vorgeprüften DORA-Modul empfängt, spart pro Deal zwischen 20 und 60 Verhandlungsstunden und steigert die Abschlussquote spürbar. Genau diese Architektur bauen wir mit Ihnen auf.
Tipp von Rechtsanwalt Dr. Sener Dincer:
“Die größte Schwachstelle im SaaS-Anbieter-Vertrag ist nicht die Haftungsklausel, sondern die fehlende Klarheit zwischen AGB, AVV und Rider. Wer diese drei Schichten sauber trennt, verhandelt mit jedem Enterprise-Kunden deutlich schneller und souveräner. Einmal drei Wochen in die Architektur investiert, und in jedem folgenden Deal profitieren Sie davon.”
Sie sind SaaS-Anbieter und möchten Ihre AGB, den AVV und den Enterprise-Rider modular neu aufsetzen? Sprechen Sie uns an.
Kostenlose Anfrage- Kostenlos beraten
- Kein Risiko, 100% vertraulich
Wenn der Vertrag bereits im Streit steht: Unsere juristischen Hebel
Die meisten Konflikte rund um SaaS-Verträge erreichen uns nicht vor der Unterschrift, sondern wenn der Ausfall, die Preiserhöhung oder die Kündigungsdrohung bereits im Haus ist. Auch dort gibt es klare Hebel.
Prüfung und Abwehr von Ausfällen und SLA-Verstößen
Rückabwicklung unzulässiger Preiserhöhungen
Durchsetzung von Datenrückgabe und Exit
DSGVO-Bußgeld-Abwehr und Audit-Begleitung
Wenn die Aufsichtsbehörde Auskunft zur Auftragsverarbeitung oder zum Drittlandtransfer verlangt, unterstützen wir bei der Antwort, prüfen die gesamte Verarbeitungskette und verhandeln gegebenenfalls mit der Behörde. Unser Ziel ist, das Verfahren ohne Bußgeld oder mit einer deutlich reduzierten Sanktion abzuschließen.
So arbeiten wir an SaaS-Verträgen
Jedes Mandat beginnt mit einer klaren Bestandsaufnahme - egal, ob Sie einen neuen Vertrag gestalten lassen, einen bestehenden prüfen lassen oder bereits in einer Eskalation stehen.
So läuft die Zusammenarbeit ab
- Kostenfrei
1. Ersteinschätzung
Wir sichten Hauptvertrag, AGB, AVV, SLA und Anlagen und markieren die kritischen Stellen.
-
2. Analyse und Strategie
Wir bewerten Rechtsnatur, Risiken und Verhandlungsspielraum und stimmen mit Ihnen das Ziel ab - Gestaltung, Nachverhandlung oder Abwehr.
-
3. Umsetzung
Wir erstellen den Redline-Entwurf, verhandeln mit dem Anbieter oder Enterprise-Kunden oder übernehmen die außergerichtliche und gerichtliche Durchsetzung.
-
4. Ergebnis
Sie erhalten einen belastbaren Vertrag oder eine klare Lösung im Streit - mit dokumentierter Argumentation, die Sie auch in späteren Audits nutzen können.
Warum Eigenversuche bei SaaS-Verträgen regelmäßig in die Irre führen
Viele Mandanten haben vor uns versucht, den Vertrag intern zu lösen - im direkten Austausch mit dem Account Manager, per E-Mail mit dem Anbieter-Legal oder mit einem nicht-spezialisierten Hausanwalt. Das Ergebnis ist in der Mehrzahl der Fälle dasselbe: Die entscheidenden juristischen Hebel (AGB-Inhaltskontrolle nach § 307 BGB, Mietrechts-Minderung, Data Act Art. 25, DORA Art. 30, Schrems-II-Dogmatik) werden nicht gezogen, weil sie den Beteiligten nicht vertraut sind. Gleichzeitig entsteht in den ersten Gesprächen Kommunikation, die später nicht mehr zurückgenommen werden kann.
| Kriterium | Eigenversuch | Mit unserer Kanzlei |
|---|---|---|
| Vertragsprüfung | Fokus auf Preis, Lizenzanzahl und Laufzeit | Prüfung aller Bausteine: SLA, AVV, Haftung, Exit, Data Act, DORA, NIS2 |
| SLA- und Ausfall-Abwehr | Akzeptanz der pauschalen Service-Credit-Gutschrift | Unter Umständen gesetzliche Minderungsansprüche und Schadensersatz über den Cap nur bei Vorsatz, grober Fahrlässigkeit oder Kardinalpflichtverletzung |
| Preisanpassung | Zahlung ohne Prüfung der Klauselwirksamkeit | Prüfung gegen § 307 BGB und BGH-Linie, Rücknahme oder Sonderkündigungsrecht |
| Datenschutz und Drittlandtransfer | Formular-AVV des Anbieters wird ungeprüft akzeptiert | Eigener AVV mit TOM, SCC 2021, TIA und Subprozessor-Kontrolle |
| Kommunikation mit dem Anbieter | Häufig selbstkompromittierend - E-Mails werden später gegen Sie verwendet | Strukturierte, prozessual belastbare Korrespondenz |
Die Ersteinschätzung ist kostenfrei. Auf Basis Ihrer Unterlagen prüfen wir den Sachverhalt und unterbreiten Ihnen anschließend ein transparentes Angebot mit klar abgegrenzten Leistungsbausteinen, damit Sie die Kostenseite planen können, bevor Sie uns mandatieren.
Nächste Schritte
Ein SaaS-Vertrag ist ein operatives Werkzeug, kein juristisches Beiwerk. Er entscheidet über Verfügbarkeit, Datenschutz, Kostenstabilität und Exit-Fähigkeit für die nächsten drei bis sieben Jahre. Genau deshalb lohnt sich der Blick auf die Klauseln vor der Unterschrift, genauso wie die strukturierte Überarbeitung bestehender Verträge.
Wenn Sie einen Vertrag vor sich haben oder als SaaS-Anbieter Ihre AGB modular neu aufsetzen wollen, sprechen Sie uns an. Wir liefern die Einordnung, den Redline-Entwurf und - auf Wunsch - die direkte Verhandlung mit der Rechtsabteilung des Anbieters oder Ihres Enterprise-Kunden. Sie behalten in jedem Schritt die Kontrolle.