SaaS-Vertragscheck
SaaS-, Cloud- und Softwareverträge rechtlich einordnen
Dieser interaktive Check hilft Unternehmen, Anbieter, Kunden und Einkaufsteams dabei, typische Vertragsrisiken bei SaaS, Cloud, Software, APIs und digitalen B2B-Produkten strukturiert vorzubereiten: Leistungsumfang, SLA, Haftung, IP, Datenschutz, Subprozessoren, Security, Data Act, NIS2-/CRA-Schnittstellen und Exit.
Wofür der SaaS-Vertragscheck gedacht ist
Der Check ist eine erste Orientierung vor Vertragsschluss, Verhandlung, Go-live, Streit, Incident oder Exit. Er ersetzt keine Einzelfallprüfung, hilft aber, Unterlagen, Risikosignale und Prioritäten für eine rechtliche Prüfung durch ITMR vorzubereiten.
- Für SaaS-Anbieter, Cloud-Provider, Softwarekunden, Reseller, Integratoren und digitale Produktteams.
- Für B2B-Verträge, Enterprise Procurement, Standard-Templates, Projektverträge und regulierte Kundensegmente.
- Mit Schnittstellen zu DSGVO/TDDDG, Data Act, DSA, NIS2/BSIG, Cyber Resilience Act, Open Source, KI und Produkthaftung.
Vertragsarchitektur
Ein SaaS-Vertrag ist meist ein Dokumentenverbund
In der Praxis entscheidet nicht nur eine Klausel. Entscheidend ist, ob Hauptvertrag, Leistungsbeschreibung, Datenschutz, Security-Anlage, SLA, IP-Regeln und Exit-Prozess zusammenpassen.
Ablauf
So ordnet der Check Ihr Vertragsrisiko ein
Rolle klären
Anbieter, Kunde, Reseller, Integrator oder Plattformkonstellation.
Phase bestimmen
Template, Verhandlung, laufender Betrieb, Incident, Streit oder Exit.
Risikosignale sammeln
Datenschutz, Security, Haftung, IP, KI, Data Act, NIS2 oder CRA.
Priorität ableiten
Kritisch, hoch, erhöht oder niedrig mit passenden Prüfpunkten.
Anfrage vorbereiten
Unterlagen, Kurzüberblick und nächste sinnvolle Schritte exportieren.
Erstorientierung
Was dieser Check leistet
Der SaaS-Vertragscheck übersetzt typische rechtliche und operative Risikotreiber in eine vorläufige Einordnung. Er prüft nicht den konkreten Vertragstext, zeigt aber, welche Vertragsbausteine wahrscheinlich entscheidend sind und welche Unterlagen für eine anwaltliche Prüfung sinnvoll vorbereitet werden sollten.
Wann ist ein SaaS-Vertrag rechtlich besonders prüfungsbedürftig?
Besonders prüfungsbedürftig ist ein SaaS-Vertrag regelmäßig bei personenbezogenen Daten, Drittlandtransfer, Enterprise-Kunden, hohem Vertragswert, regulierten Kunden, kritischen Geschäftsprozessen, KI-Funktionen, Open-Source-Abhängigkeiten, Security-Zusagen, strengen SLA oder geplanter Datenmigration.
Welche Rolle spielen DSGVO, AVV und Subprozessoren?
Wenn der Anbieter personenbezogene Daten im Auftrag des Kunden verarbeitet, sind Rollen, AVV/DPA, TOMs, Subprozessoren, Drittlandtransfers, Löschung, Supportzugriffe und Incident-Prozesse zentral. Bei gemeinsamer Verantwortlichkeit oder eigener Anbieteranalyse kann eine andere Vertragsstruktur erforderlich sein.
Welche aktuellen Regulierungen können SaaS- und Cloud-Verträge zusätzlich prägen?
Je nach Produkt und Kunde können Data Act, DSA, NIS2/BSIG, DORA, Cyber Resilience Act, BFSG, Produkthaftung, AI Act, TDDDG und Verbraucherrecht relevant werden. Unsichere oder politisch noch nicht finalisierte Entwicklungen sollten als Monitoring-Punkt behandelt werden.
Warum sind Exit, Datenexport und Cloud-Switching so wichtig?
Exit-Regeln entscheiden, ob Daten rechtzeitig, vollständig, nutzbar und beweissicher herausgegeben oder gelöscht werden können. Bei Cloud- und Datenverarbeitungsdiensten sind zudem Portabilität, Wechselunterstützung, Datenformate und Sperr-/Zurückbehaltungsrisiken besonders zu prüfen.
Interaktiver Check
SaaS-Vertragsrisiko einschätzen
Beantworten Sie die folgenden Fragen. Das Ergebnis ist eine vorläufige Orientierung für die weitere Prüfung und kann anschließend als Kurzüberblick kopiert werden.
Vorläufiges Ergebnis
Ergebnis
Warum dieses Ergebnis?
Empfohlene nächste Prüfpunkte
Sinnvoll vorzubereitende Unterlagen
Risiken & Fristen
Typische SaaS-Prüfpunkte mit Zeit- und Risikobezug
| Thema | Typischer Prüfpunkt | Zeit-/Risikohinweis |
|---|---|---|
| DSGVO/AVV | Rollen, AVV, TOMs, Subprozessoren, Drittlandtransfer, Löschung, Betroffenenrechte. | Datenpannen können Meldepflichten binnen 72 Stunden auslösen. |
| Data Act | Datenzugang, Cloud-Switching, Portabilität, unfaire B2B-Datenklauseln. | Allgemeine Anwendung seit 12.09.2025; Designpflichten für neue vernetzte Produkte ab 12.09.2026 prüfen. |
| NIS2/BSIG/DORA | Betroffenheit, Lieferantenklauseln, Incident-Prozess, Audit- und Nachweispflichten. | Bei regulierten oder kritischen Kunden regelmäßig früh in Procurement und Vertragsanlage klären. |
| Cyber Resilience Act | Secure SDLC, SBOM, Vulnerability Handling, Update- und Meldeprozesse bei Produkten mit digitalen Elementen. | Meldepflichten ab 11.09.2026 und Hauptpflichten ab 11.12.2027 operativ vorbereiten. |
| KI-Funktionen | Rollen, Risikoklasse, Transparenz, Trainingsdaten, Output, Datenschutz und Vendor-Klauseln. | AI-Act-Pflichten gestaffelt prüfen; politisch geplante Änderungen als Monitoring behandeln. |
| Exit & Migration | Datenexport, Formate, Löschung, Übergangsleistungen, Wechselunterstützung, Zurückbehaltung. | Vor Vertragsabschluss regeln, nicht erst bei Kündigung oder Streit. |
Nächste sinnvolle Schritte
Verwandte ITMR-Checker und Anschlussprüfungen
SaaS-Vertrag rechtlich prüfen lassen?
Wenn Sie einen Entwurf, eine Redline, ein Vendor Assessment, eine AVV/DPA, SLA-Anlage, Security-Anforderungen oder eine Exit-Situation vorbereiten möchten, können Sie den Kurzüberblick aus dem Checker zusammen mit den relevanten Dokumenten an ITMR übermitteln.
Kontakt aufnehmenHinweis: Dieser SaaS-Vertragscheck bietet eine strukturierte Erstorientierung. Er ersetzt keine anwaltliche Prüfung des konkreten Vertrags, der technischen Umsetzung, der Rollenverteilung oder der aktuellen Rechtslage im Einzelfall.