# SaaS-Tools auswählen: Checkliste für kleine Unternehmen

> Wer Software im Abo einkauft, legt sich oft für Jahre fest. Diese Checkliste führt kleine Unternehmen durch Anforderungen, Datenschutz, Ausstieg, Kosten und Testphase.

- Adresse: https://saascolumn.com/blog/saas-tools-auswaehlen-checkliste/
- Autor: [Redaktion SaaS Column](https://saascolumn.com/autor/redaktion/), Redaktion
- Veröffentlicht: 13. November 2026
- Andere Sprachen: EN https://saascolumn.com/en/blog/how-to-choose-saas-tools-checklist/

## Kurz gesagt

Ein SaaS-Tool wählen Sie in fünf Schritten: Anforderungen schriftlich festhalten, Datenschutz mit Auftragsverarbeitungsvertrag und Serverstandort prüfen, den Ausstieg samt Datenexport vorab klären, die Kosten über drei Jahre rechnen und die Testphase mit echten Abläufen nutzen. Entscheiden Sie anhand vorab gewichteter Kriterien, nicht nach dem Eindruck aus der Demo.

- **Anforderungen zuerst:** Muss- und Kann-Kriterien schriftlich festhalten, bevor Sie Produkte vergleichen.
- **Datenschutz prüfen:** Auftragsverarbeitungsvertrag, Serverstandort, Unterauftragsverarbeiter und Drittlandtransfer klären.
- **Ausstieg vorab regeln:** Exportformate und Löschung vor Vertragsschluss prüfen. Der EU Data Act stärkt seit September 2025 den Anbieterwechsel.
- **Kosten über drei Jahre rechnen:** Plan-Sprünge für SSO oder EU-Datenhaltung einplanen.
- **Testphase planen:** echte Abläufe mit Testdaten, feste Beteiligte, ein Enddatum.

Ein SaaS-Abo ist in fünf Minuten abgeschlossen. Die Folgen tragen Sie oft jahrelang: Ihre Daten liegen beim Anbieter, das Team gewöhnt sich an Abläufe, und die Kosten wachsen mit jeder neuen Lizenz. Diese Checkliste ordnet die Auswahl in fünf Schritte. Sie ist für kleine Unternehmen ohne eigene IT-Abteilung gedacht.

## Welche Anforderungen gehören auf die Liste?

**Beginnen Sie mit Aufgaben, nicht mit Produkten.** Schreiben Sie auf, welche Abläufe das Tool tragen soll und wer damit arbeitet. Eine Seite reicht. Diese Punkte gehören hinein:

- **Muss-Kriterien:** Funktionen, ohne die das Tool nicht infrage kommt.
- **Kann-Kriterien:** Funktionen, die angenehm sind, aber verzichtbar.
- **Nutzerzahl:** heute und in zwei Jahren.
- **Schnittstellen:** zu E-Mail, Kalender, Buchhaltung oder CRM.
- **Rahmen:** Sprache der Oberfläche, Support-Zeiten, mobile Apps.

Trennen Sie Muss und Kann strikt. Ein Tool, das ein Muss-Kriterium verfehlt, scheidet aus (das spart lange Diskussionen). Für einzelne Kategorien helfen unsere Vergleiche, etwa zu [CRM-Systemen](https://saascolumn.com/vergleich/crm-vergleich-kleine-unternehmen/) oder [Projektmanagement-Tools](https://saascolumn.com/vergleich/projektmanagement-software-vergleich/). Bei Buchhaltungssoftware kommen gesetzliche Pflichten hinzu, zum Beispiel die [E-Rechnung](https://saascolumn.com/blog/e-rechnungspflicht-fristen-formate/).

## Wie prüfen Sie den Datenschutz?

**Verarbeitet ein SaaS-Anbieter personenbezogene Daten in Ihrem Auftrag, ist er in der Regel Auftragsverarbeiter.** Die Datenschutzkonferenz nennt in ihrem [Kurzpapier Nr. 13](https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_13.pdf) Cloud-Computing ausdrücklich als typischen Fall. Dann brauchen Sie einen Vertrag nach Art. 28 DSGVO. Prüfen Sie vor dem Kauf diese Punkte:

- **Auftragsverarbeitungsvertrag (AVV):** Stellt der Anbieter einen AVV bereit, etwa als Download oder im Kundenkonto? Worauf es im Vertrag ankommt, erklärt unser Beitrag zum [AVV bei SaaS](https://saascolumn.com/blog/auftragsverarbeitungsvertrag-saas/).
- **Serverstandort:** Wo liegen die Daten und wo die Backups? Manche Anbieter bieten EU-Datenhaltung nur in teureren Plänen an.
- **Unterauftragsverarbeiter:** Gibt es eine öffentliche Liste, und informiert der Anbieter über Änderungen?
- **Drittlandtransfer:** Fließen Daten in die USA, braucht es eine Grundlage wie das [EU-US Data Privacy Framework](https://saascolumn.com/blog/eu-us-data-privacy-framework-saas/) oder Standardvertragsklauseln.
- **Nachweise:** ISO/IEC 27001, ein SOC-2-Bericht oder ein C5-Testat zeigen, dass Dritte die Sicherheit geprüft haben.

Der [Kriterienkatalog C5](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/kriterienkatalog-c5_node.html) des BSI legt Mindestanforderungen an sicheres Cloud Computing fest. Wirtschaftsprüfer prüfen die Kriterien und erteilen ein Testat. Das BSI selbst ist an der Prüfung nicht beteiligt.

> **Hinweis:**
>
> Dieser Beitrag ist keine Rechtsberatung. Er gibt den Stand vom November 2026 wieder. Bei sensiblen Daten wie Gesundheits- oder Personaldaten ziehen Sie Ihre Datenschutzbeauftragte oder Ihren Datenschutzbeauftragten hinzu.

## Wie kommen Sie wieder heraus?

**Klären Sie den Ausstieg vor dem Einstieg.** Fragen Sie, in welchen Formaten Sie Ihre Daten exportieren können. Prüfen Sie, ob Anhänge, Kommentare und Verläufe dabei sind. Gängig sind CSV für Tabellen sowie JSON oder XML für strukturierte Inhalte.

Seit dem 12. September 2025 gilt der [EU Data Act](https://digital-strategy.ec.europa.eu/en/policies/data-act). Er regelt unter anderem den Wechsel zwischen Cloud-Diensten und erfasst ausdrücklich auch SaaS. Laut einer Übersicht der Kanzlei Eubelius darf die Frist für die Einleitung eines Wechsels höchstens zwei Monate betragen. Ab dem 12. Januar 2027 dürfen Anbieter für den Wechsel keine Entgelte mehr verlangen.

- Ist der Export dokumentiert, und können Sie ihn selbst auslösen?
- Bestätigt der Anbieter die Löschung nach Vertragsende?
- Welche Laufzeit und welche Kündigungsfrist gelten?
- Lässt sich ein Parallelbetrieb für die Umstellung buchen?

## Was kostet das Tool wirklich?

**Der Preis pro Nutzer und Monat ist nur ein Teil der Rechnung.** Rechnen Sie die Kosten über drei Jahre. Dieser Zeitraum zeigt, wie Preisstufen und Wachstum zusammenwirken.

| Kostenart | Worauf Sie achten sollten |
| --- | --- |
| Lizenzen | Abrechnung pro Nutzer, pro aktivem Nutzer oder pauschal, Rabatt bei Jahreszahlung |
| Plan-Sprünge | SSO, Admin-Rechte oder EU-Datenhaltung oft erst in höheren Plänen |
| Einführung | Datenmigration, Einrichtung, Schulung |
| Integrationen | Konnektoren oder Automatisierungsdienste mit eigenem Abo |
| Ausstieg | Export, Parallelbetrieb, Kündigungsfristen |

Ein Beispiel aus dem Team-Chat: Bei Slack ist die [Datenhaltung in einer Region](https://slack.com/help/articles/360035633934-Data-residency-for-Slack) wie Frankfurt erst ab dem Plan Business+ verfügbar. Single Sign-on per SAML gibt es laut Preisseite ebenfalls erst ab diesem Plan. Solche Sprünge verändern die Rechnung deutlich. Mehr dazu im [Team-Chat-Vergleich](https://saascolumn.com/vergleich/team-chat-tools-vergleich/).

## Wie nutzen Sie die Testphase?

**Planen Sie den Test wie ein kleines Projekt.** Ohne Aufgaben und Enddatum endet eine Testphase meist mit einem Bauchgefühl. So gehen Sie vor:

1. Zwei bis drei Personen benennen, die später täglich mit dem Tool arbeiten.
2. Drei echte Arbeitsabläufe durchspielen, mit Testdaten statt Kundendaten.
3. Den Support einmal mit einer konkreten Frage kontaktieren und die Antwort bewerten.
4. Einen vollständigen Datenexport auslösen und das Ergebnis öffnen.
5. Alle Ergebnisse in derselben Bewertungsmatrix festhalten.

Verwenden Sie im Test keine echten personenbezogenen Daten, solange kein AVV geschlossen ist. Kostenlose Pläne eignen sich gut, um die Bedienung zu prüfen. Sie zeigen aber oft nicht alle Funktionen des späteren Plans.

## Wie treffen Sie die Entscheidung?

**Gewichten Sie die Kriterien, bevor Sie Demos ansehen.** Wer erst danach gewichtet, rechtfertigt oft nur den Favoriten. Unseren Kriterienkatalog mit Gewichtung finden Sie auf der Seite [So bewerten wir Software](https://saascolumn.com/so-bewerten-wir-software/). Sie können ihn als Vorlage übernehmen.

Halten Sie die Entscheidung kurz schriftlich fest: Kriterien, Punkte, offene Risiken. Das hilft beim Nachweis gegenüber der Datenschutzaufsicht und bei der nächsten Vertragsverlängerung. Ihr nächster Schritt: die Anforderungsliste schreiben, bevor Sie die erste Demo buchen.

## Häufige Fragen

### Wie viele Tools sollte ich vergleichen?

Für kleine Unternehmen reichen meist zwei bis vier Kandidaten auf der Shortlist. Mehr Tools verlängern die Testphase, ohne die Entscheidung besser zu machen.

### Brauche ich für jedes SaaS-Tool einen AVV?

Einen Auftragsverarbeitungsvertrag brauchen Sie, wenn der Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet. Das ist bei fast allen Business-Tools der Fall, etwa bei Chat, CRM oder Buchhaltung.

### Was regelt der EU Data Act beim Anbieterwechsel?

Der Data Act gilt seit dem 12. September 2025 und verpflichtet Cloud- und SaaS-Anbieter, den Wechsel zu unterstützen. Ab dem 12. Januar 2027 dürfen sie dafür keine Entgelte mehr verlangen.

### Reicht ein kostenloser Plan zum Testen?

Für die Bedienung ja. Funktionen wie SSO, Admin-Rechte oder EU-Datenhaltung fehlen in Gratisplänen aber oft. Prüfen Sie diese Punkte in einer Testversion des Plans, den Sie kaufen wollen.

## Quellen

1. [Kurzpapier Nr. 13: Auftragsverarbeitung, Art. 28 DS-GVO](https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_13.pdf), Datenschutzkonferenz (DSK), 2018-12-17
2. [Kriterienkatalog C5 (Cloud Computing Compliance Criteria Catalogue)](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/kriterienkatalog-c5_node.html), Bundesamt für Sicherheit in der Informationstechnik (BSI)
3. [Data Act](https://digital-strategy.ec.europa.eu/en/policies/data-act), Europäische Kommission
4. [The EU Data Act in force: What changes on 12 September 2025?](https://www.eubelius.com/en/news/the-eu-data-act-in-force-what-changes-on-12-september-2025), Eubelius, 2025
5. [Data residency for Slack](https://slack.com/help/articles/360035633934-Data-residency-for-Slack), Slack
6. [Slack pricing](https://slack.com/pricing), Slack