Auftragsverarbeitungsvertrag bei SaaS: Was Unternehmen prüfen müssen

Fast jedes Business-Tool verarbeitet personenbezogene Daten: Namen im Chat, Kontakte im CRM, Rechnungsadressen in der Buchhaltung. Liegen diese Daten bei einem SaaS-Anbieter, braucht es einen Auftragsverarbeitungsvertrag (AVV). Dieser Beitrag zeigt, was im AVV stehen muss und wie Sie das Angebot eines Anbieters prüfen.

Wann brauchen Sie einen AVV?

Sie brauchen einen AVV, wenn ein Dienstleister personenbezogene Daten weisungsgebunden in Ihrem Auftrag verarbeitet. Das definiert Art. 4 Nr. 8 DSGVO. Die Datenschutzkonferenz (DSK) nennt in ihrem Kurzpapier Nr. 13 typische Fälle. Dazu gehören:

• Cloud-Computing ohne inhaltlichen Datenzugriff des Betreibers

• Auslagerung von E-Mail-Verwaltung oder Backups

• Fernwartung und externer Support, wenn ein Zugriff auf personenbezogene Daten nicht ausgeschlossen ist

• Datenerfassung, Datenkonvertierung oder Einscannen von Dokumenten

Keine Auftragsverarbeitung liegt laut DSK in der Regel vor, wenn Sie fremde Fachleistungen in Anspruch nehmen. Beispiele sind Steuerberater, Rechtsanwälte oder Banken für den Zahlungsverkehr. Diese handeln als eigene Verantwortliche. Für SaaS-Tools wie Team-Chat, CRM oder Projektmanagement gilt dagegen fast immer: Der Anbieter ist Auftragsverarbeiter.

Was muss im AVV stehen?

Art. 28 Abs. 3 DSGVO legt die Mindestinhalte fest. Der Vertrag beschreibt Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Datenarten und die Kategorien betroffener Personen. Dazu kommen acht Pflichten des Anbieters:

Der Vertrag muss nach Art. 28 Abs. 9 DSGVO schriftlich abgefasst sein, ein elektronisches Format genügt. Viele SaaS-Anbieter stellen ihren AVV deshalb als Klick-Vereinbarung oder Download bereit. Den Wortlaut von Art. 28 finden Sie zum Beispiel bei dsgvo-gesetz.de.

Worauf achten Sie bei Standard-AVVs?

Große Anbieter verhandeln ihren AVV selten. Sie können ihn trotzdem prüfen und eine bewusste Entscheidung treffen. Achten Sie besonders auf diese Punkte:

• Unterauftragsverarbeiter: Art. 28 Abs. 2 erlaubt eine allgemeine Genehmigung. Dann muss der Anbieter Sie über Änderungen informieren, damit Sie widersprechen können. Prüfen Sie, wie er das tut, etwa per E-Mail oder RSS.

• Drittländer: Steht im AVV, in welche Länder Daten fließen und auf welcher Grundlage? Für die USA kommen das EU-US Data Privacy Framework oder Standardvertragsklauseln infrage.

• TOM-Anhang: Allgemeine Sätze wie „Daten werden sicher gespeichert“ genügen nicht. Gute Anhänge nennen Verschlüsselung, Zugriffskontrollen und Zertifizierungen.

• Kontrollrechte: Viele Anbieter verweisen auf Prüfberichte wie ISO/IEC 27001 oder SOC 2 statt auf Vor-Ort-Kontrollen. Art. 28 Abs. 5 erlaubt genehmigte Verhaltensregeln und Zertifizierungen als Faktor für hinreichende Garantien.

• Haftung und Meldefristen: Wann meldet der Anbieter eine Datenpanne? Art. 33 Abs. 2 verlangt eine unverzügliche Meldung an Sie.

Was gilt bei selbst betriebener Software?

Auch bei Self-Hosting kann ein AVV nötig sein. Betreiben Sie Open-Source-Software wie Mattermost auf eigenen Servern, ist der Hersteller zunächst kein Auftragsverarbeiter. Anders sieht es aus, wenn ein Hosting-Dienstleister die Server betreibt oder ein externer Support auf die Daten zugreifen kann. Die DSK hält in ihrer Orientierungshilfe Videokonferenzsysteme fest, dass eine solche Zugriffsmöglichkeit auch bei selbst betriebenen Systemen bestehen kann. Dann ist mit dem Dienstleister ein AVV zu schließen. Prüfen Sie deshalb auch Rechenzentrum, Managed-Hosting-Anbieter und Wartungsverträge.

Welche Folgen hat ein fehlender AVV?

Ein fehlender oder unvollständiger AVV ist ein Verstoß gegen Art. 28 DSGVO. Die DSK weist im Kurzpapier Nr. 13 auf mögliche Geldbußen nach Art. 83 Abs. 4 hin.

Die Verantwortung für die Verarbeitung bleibt bei Ihnen, auch wenn ein Anbieter sie ausführt. Die DSK betont, dass sich der Verantwortliche davon nicht durch Beauftragung befreien kann. Verarbeitet ein Anbieter Daten weisungswidrig für eigene Zwecke, gilt er nach Art. 28 Abs. 10 insoweit selbst als Verantwortlicher.

So prüfen Sie einen AVV in fünf Schritten

1. AVV und TOM-Anhang des Anbieters herunterladen oder im Kundenkonto abschließen.

2. Pflichtinhalte nach Art. 28 Abs. 3 mit der Tabelle oben abgleichen.

3. Liste der Unterauftragsverarbeiter und Drittländer prüfen.

4. Nachweise wie ISO/IEC 27001, SOC 2 oder ein C5-Testat anfordern oder einsehen.

5. AVV ablegen und im Verzeichnis von Verarbeitungstätigkeiten vermerken.

Diese Prüfung gehört in jede Softwareauswahl. Unsere Checkliste für die SaaS-Auswahl zeigt, wo sie im Ablauf steht. Kurzdefinitionen finden Sie im Glossar unter AVV und DSGVO. Prüfen Sie zuerst die Tools, die Kunden- oder Personaldaten enthalten.