--- title: "SaaS-Vertrag prüfen lassen: Anwaltliche Prüfung & Beratung" description: "SaaS-Verträge rechtssicher prüfen: SLAs, Dateneigentum, Haftung und Ausstiegsklauseln nach deutschem Recht. Anwaltliche Prüfung für B2B-Unternehmen." image: "https://compound.law/assets/images/og-image-de.webp" source: "https://compound.law/de-DE/skills/saas-vertragspruefung/" language: "de" --- Vertragsrecht DEEU # SaaS-Vertrag prüfen lassen: Anwaltliche Prüfung & Beratung SaaS-Verträge rechtssicher prüfen: SLAs, Dateneigentum, Haftung und Ausstiegsklauseln nach deutschem Recht. Anwaltliche Prüfung für B2B-Unternehmen. — Aufrufe — Downloads Von Dr. Markus Dreißigacker 📄 Inhalt SKILL.md ├─ Warum SaaS-Verträge anwaltlich prüfen lassen? ├─ Überblick ├─ Systematische Prüfung ├─ Risikobewertung ├─ Besondere Szenarien ├─ Wie läuft eine SaaS-Vertragsprüfung bei Compound ab? ├─ Grenzen dieses Skills └─ Häufig gestellte Fragen zur SaaS-Vertragsprüfung Auf dieser Seite Eine **SaaS-Vertragsprüfung** analysiert die Allgemeinen Geschäftsbedingungen und Vertragsklauseln eines Software-as-a-Service-Anbieters aus der Perspektive des Kunden — und deckt Haftungsrisiken, Daten-Lock-in-Klauseln und DSGVO-Verstöße auf, bevor Sie unterzeichnen. Compound Law prüft SaaS-Verträge nach deutschem Recht (BGB §§ 305–310) sowie EU-Recht und gibt konkrete Empfehlungen für die Vertragsverhandlung. Das Ergebnis: ein strukturiertes Prüfgutachten mit Risikobewertung — in der Regel innerhalb von zwei bis drei Werktagen. **Aktueller Hinweis (2025/2026):** Seit dem 12. September 2025 gilt der **EU Data Act** (Verordnung (EU) 2023/2854). Er verpflichtet Cloud- und SaaS-Anbieter zu erleichtertem Anbieterwechsel, prohibitionsfreien Exportschnittstellen und maximalen Wechselgebühren (Abbaupfad bis Ende 2027 auf null). Zudem ist **DORA** (Digital Operational Resilience Act) seit dem 17. Januar 2025 für alle Finanzunternehmen verbindlich und stellt konkrete Anforderungen an ICT-Drittanbieterverträge. Beide Regelwerke verändern, was ein marktkonformer SaaS-Vertrag heute enthalten muss. ## Warum SaaS-Verträge anwaltlich prüfen lassen? Einen SaaS-Vertrag prüfen zu lassen lohnt sich für jedes Unternehmen, das cloudbasierte Software einsetzt. Die meisten Anbieter verwenden einseitig formulierte AGB, die Haftungsrisiken, Daten-Lock-in und automatische Verlängerungen zu ihren Gunsten regeln. Eine anwaltliche Prüfung deckt kritische Schwachstellen auf, bevor Sie unterzeichnen — nicht erst dann, wenn ein Streit entsteht. Compound prüft SaaS-Verträge nach deutschem und EU-Recht und identifiziert folgende Schlüsselrisiken: - **SLA-Lücken:** Unverbindliche Verfügbarkeitszusagen und fehlende Kündigungsrechte bei Dauerversagen - **Daten-Lock-in:** Proprietäre Exportformate, fehlende Löschpflichten, unklares Dateneigentum - **AGB-Unwirksamkeit:** Klauseln, die §§ 307–309 BGB verletzen — insbesondere Haftungsausschlüsse und einseitige Leistungsänderungen - **Automatische Verlängerung:** Kurze Kündigungsfristen und unbeschränkte Preiserhöhungsrechte - **DSGVO-Risiken:** Fehlender oder nicht Art.-28-konformer Auftragsverarbeitungsvertrag (AVV) *** ## Überblick Dieser Skill bietet eine strukturierte Prüfung von Software-as-a-Service (SaaS)-Abonnementverträgen aus der Perspektive des Kunden nach deutschem und EU-Recht. SaaS-Verträge werden nach deutschem Recht rechtlich entweder als Mietverträge (§§ 535 ff. BGB) für Standard-SaaS oder als Werk-/Dienstverträge eingeordnet, je nach Leistungsstruktur — der BGH hat keine abschließende Einordnung vorgenommen, und die herrschende Meinung behandelt Standard-SaaS als Miete von Softwarefunktionalität. Wesentliche Verbraucherschutz- und KMU-Schutzvorschriften greifen über die AGB-Kontrolle (**§§ 305-310 BGB**), insbesondere **§ 307** (unangemessene Benachteiligung), **§ 308** (Klauseln mit Wertungsmöglichkeit) und **§ 309** (strikte Verbote, einschließlich § 309 Nr. 7 zu Haftungsausschlüssen bei Personenschäden). Dieser Skill ist anzuwenden bei der Prüfung anbieterseitiger SaaS-Bedingungen für die Beschaffung, bei Nachverhandlung von Verlängerungsbedingungen oder bei der Bewertung von Datenschutz- und Ausstiegsrisiken. SaaS-Verträge bergen besondere Risiken hinsichtlich Daten-Lock-in, einseitiger Leistungsänderungen, intransparenter Unterbeauftragung und Haftungsbegrenzungen, die dem Kunden keinen angemessenen Rechtsschutz bieten. Eine gründliche Prüfung muss kommerzielle Bedingungen neben Datenschutz-, geistigen Eigentums- und regulatorischen Compliance-Aspekten adressieren. *** ## Systematische Prüfung ### Schritt 1: Leistungsbeschreibung und SLA-Zusagen Die Leistungsbeschreibung ist die Grundlage des gesamten Vertrags. Prüfen Sie, ob sie präzise genug ist, um die vertragliche Leistungspflicht zu begründen. - **Funktionaler Umfang:** Der Vertrag muss die enthaltenen Features, Module und Funktionalitäten spezifizieren. Vage Beschreibungen wie “Zugang zur Plattform” sind unzureichend — der Kunde muss wissen, wofür er bezahlt, und jede Funktionsreduzierung kann einen Mangel (Mangel) darstellen. - **Nutzerlimits und Zugriffsmodell:** Klären Sie, ob das Abonnement auf benannten Nutzern, gleichzeitigen Nutzern oder unternehmensweitem Zugang basiert. Prüfen Sie, ob API-Zugang, Integrationen und Administratorkonten eingeschlossen sind. - **Speicher- und Datenkontingente:** Prüfen Sie die enthaltenen Speichervolumina, Datenaufbewahrungsfristen und die Folgen einer Kontingentüberschreitung (automatisches Upgrade, Drosselung oder Datenlöschung). - **SLA-Verfügbarkeitszusage:** Das SLA sollte einen spezifischen monatlichen Verfügbarkeitsprozentsatz definieren (Marktstandard: 99,5 % bis 99,9 %). Prüfen Sie folgende Details: - **Messmethodik:** Wie wird Ausfallzeit berechnet? Wird auf Applikations- oder nur auf Infrastrukturebene gemessen? Infrastrukturseitige Verfügbarkeit kann applikationsseitige Ausfälle verdecken, die den Dienst für den Kunden unbrauchbar machen. - **Ausnahmen:** Geplante Wartungsfenster, höhere Gewalt und Ausfälle Dritter werden typischerweise ausgenommen. Prüfen Sie, ob Wartungsfenster angemessen sind und die gesamte ausgenommene Zeit pro Monat begrenzt ist. - **Rechtsfolgen bei SLA-Verletzung:** Service-Credits sind die Standardmaßnahme — typischerweise 5-10 % der monatlichen Vergütung je definierter Stufe der Nichtverfügbarkeit. Prüfen Sie, ob Credits automatisch oder nur auf Anfrage gewährt werden und ob eine Obergrenze für Credits besteht. - **Eskalation zur Kündigung:** Ab welchem Ausmaß dauerhaften Versagens kann der Kunde kündigen? Best Practice: Bei SLA-Verletzung in drei aufeinanderfolgenden Monaten oder vier Monaten in einem 12-Monats-Zeitraum sollte der Kunde ein außerordentliches Kündigungsrecht haben. - **Verbindliche Zusage vs. Best Effort:** Bestätigen Sie, ob das SLA eine **vertragliche Zusage** (Anbieter haftet bei Verletzung) oder lediglich eine **Zielvereinbarung** oder **Best-Effort-Verpflichtung** (keine Haftung) darstellt. Ein als “Ziel” bezeichnetes SLA bietet keinen vertraglichen Schutz. **Risikokennzeichnung:** - Leistungsbeschreibung zu vage, um den vertraglichen Leistungsstandard zu begründen - SLA definiert “Verfügbarkeit” nur auf Infrastrukturebene, verdeckt applikationsseitige Ausfälle - SLA-Rechtsfolgen auf Service-Credits beschränkt ohne Kündigungsrecht bei dauerhaftem Versagen - SLA als “Ziel” oder “Best Effort” statt als verbindliche Zusage bezeichnet - Keine Begrenzung der Wartungsfenster, die dem Anbieter unbegrenzte Wartungszeit erlauben ### Schritt 2: Leistungsstandards und Support-Level Über die reine Verfügbarkeit hinaus prüfen Sie, ob der Vertrag Leistungs- und Support-Zusagen enthält, die die praktische Nutzbarkeit des Dienstes sicherstellen. - **Antwortzeiten:** Der Vertrag sollte maximale Antwortzeiten für die Plattform definieren (z. B. Seitenladezeiten, API-Antwortzeiten unter Normallast). - **Support-Stufen und Reaktionszeiten:** Support sollte nach Schweregrad kategorisiert sein: | Priorität | Beschreibung | Reaktionszeit | Lösungsziel | | --------------- | ------------------------------------------------------------------- | ------------- | ------------- | | **P1 Kritisch** | Dienst komplett nicht verfügbar oder Kernfunktionalität ausgefallen | 1-4 Stunden | 8-24 Stunden | | **P2 Hoch** | Wesentliche Funktion beeinträchtigt, Workaround verfügbar | 4-8 Stunden | 1-3 Werktage | | **P3 Mittel** | Nicht-kritische Funktion beeinträchtigt | 1 Werktag | 5-10 Werktage | | **P4 Niedrig** | Geringfügiges Problem oder Feature-Anfrage | 2-5 Werktage | Best Effort | - **Support-Kanäle:** Prüfen Sie, ob Support per Telefon, E-Mail, Chat oder Ticketsystem verfügbar ist und zu welchen Zeiten (24/7 für P1 ist Standard bei Enterprise-SaaS). - **Berichtspflichten:** Der Anbieter sollte monatliche Verfügbarkeitsberichte und Incident-Post-Mortem-Berichte bei wesentlichen Ausfällen liefern. Ohne Berichterstattung kann der Kunde die SLA-Einhaltung nicht überprüfen. - **Mangel nach Mietrecht:** Nach den Grundsätzen des deutschen Mietrechts (§§ 535 ff. BGB) kann ein dauerhaftes Unterschreiten der vertraglichen Leistungsstandards einen Mangel darstellen, der zur **Mietminderung** (§ 536 BGB) oder, bei Erheblichkeit, zur **außerordentlichen Kündigung** (§ 543 BGB) berechtigt. Der SLA-Credit-Mechanismus schließt diese gesetzlichen Rechtsbehelfe nicht automatisch aus — eine entsprechende Klausel muss an § 307 BGB gemessen werden. **Risikokennzeichnung:** - Keine Support-Reaktionszeitenzusagen - P1-kritischer Support außerhalb der Geschäftszeiten nicht verfügbar - Keine monatliche Verfügbarkeitsberichterstattung, die SLA-Überprüfung verhindert - SLA-Credits schließen ausdrücklich weitere Ansprüche aus dem gesetzlichen Mängelrecht aus - Kein Eskalationsverfahren für ungelöste Probleme ### Schritt 3: Datenhoheit, Portabilität und Löschungsrechte Daten-Lock-in ist das strategisch gefährlichste Risiko bei SaaS-Verträgen. Stellen Sie sicher, dass der Kunde jederzeit die volle Kontrolle über seine Daten behält. - **Datenhoheit des Kunden:** Der Vertrag muss klar feststellen, dass der Kunde das volle Eigentum an allen auf die Plattform hochgeladenen oder dort generierten Daten (“Kundendaten”) behält. Der Anbieter sollte lediglich eine begrenzte, widerrufliche Lizenz zur Verarbeitung der Kundendaten zum alleinigen Zweck der Leistungserbringung erhalten. - **Datennutzungsrechte des Anbieters:** Prüfen Sie jede Klausel, die dem Anbieter Rechte einräumt, Kundendaten zu aggregieren, anonymisieren oder für Produktverbesserung, Benchmarking, Analytik, maschinelles Lernen oder Marketing zu nutzen. Nach **DSGVO Art. 6** erfordert jede Verarbeitung über den primären Dienstzweck hinaus eine eigenständige Rechtsgrundlage. - **Datenexport (Portabilität):** Der Kunde sollte alle Kundendaten jederzeit während der Vertragslaufzeit und für einen definierten Zeitraum nach Vertragsende (30-90 Tage sind Standard) in standardisierten, maschinenlesbaren Formaten (CSV, JSON, XML oder branchenspezifische Formate) exportieren können. Die Exportfunktion sollte als Selbstbedienungsfunktion ohne Zusatzkosten verfügbar sein. - **Datenlöschung nach Vertragsende:** Der Anbieter muss alle Kundendaten innerhalb einer festgelegten Frist nach Vertragsende löschen (30 Tage sind üblich) und die Löschung **schriftlich bestätigen**. Prüfen Sie, ob die Löschungspflicht auch Backups und Disaster-Recovery-Kopien erfasst — vollständige Löschung von Backups kann technisch unpraktikabel sein, in diesem Fall sollte der Vertrag eine maximale Aufbewahrungsfrist für Backup-Kopien (typischerweise 90-180 Tage) mit Zugangsbeschränkungen vorsehen. - **Verschlüsselung:** Prüfen Sie, ob der Vertrag Verschlüsselung bei der Übertragung (TLS 1.2+) und im Ruhezustand (AES-256 oder gleichwertig) vorsieht. Bring-your-own-key (BYOK) oder Hold-your-own-key (HYOK)-Verschlüsselung gibt dem Kunden Kontrolle über die Verschlüsselungsschlüssel. - **EU Data Act — Anbieterwechselpflichten (ab 12. September 2025):** Die EU-Datenwirtschaftsverordnung (Verordnung (EU) 2023/2854, Art. 23–31) verpflichtet Cloud- und SaaS-Anbieter ab September 2025 zu konkret ausgestalteten Wechselerleichterungen: - **Standardisierte Exportschnittstellen:** Anbieter müssen offene, interoperable Schnittstellen und Datenformate für den Wechsel zu einem anderen Anbieter bereitstellen. - **Maximale Wechselgebühren:** Wechselgebühren dürfen ab September 2025 nur die tatsächlichen Umstellungskosten decken; ab Ende 2027 sind Wechselgebühren vollständig untersagt. - **Mindestübergangsphase:** Anbieter müssen dem wechselwilligen Kunden eine Übergangsphase von mindestens 30 Tagen gewähren, in der alle Funktionalitäten und Daten zugänglich bleiben. - **Technische Mindestanforderungen:** Europäische Normungsgremien (ENISA, CEN/CENELEC) entwickeln harmonisierte Standards für Wechselschnittstellen; Anbieter müssen diese nach Verabschiedung einhalten. - **Praxisrelevanz:** Prüfen Sie, ob der SaaS-Vertrag die EU-DA-Anforderungen bereits abbildet oder ob der Anbieter für 2025/2026 einen Compliance-Fahrplan zugesagt hat. Ältere Vertragswerke erfüllen diese Anforderungen typischerweise nicht. **Risikokennzeichnung:** - Anbieter beansprucht Eigentum an oder umfassende Lizenz an Kundendaten - Anbieter nutzt Kundendaten für KI-Training, Benchmarking oder Produktverbesserung ohne ausdrückliche Einwilligung - Keine Datenexportfunktion oder Export nur in proprietären Formaten - Keine Löschungspflicht oder keine schriftliche Löschbestätigung - Löschungspflicht schließt Backup-Kopien ohne Aufbewahrungsfrist aus - Keine Verschlüsselung im Ruhezustand oder bei der Übertragung für Kundendaten - Wechselgebühren über tatsächliche Umstellungskosten hinaus (EU Data Act ab September 2025 unzulässig) - Keine standardisierten Exportschnittstellen für Anbieterwechsel trotz EU-DA-Anwendbarkeit ### Schritt 4: Haftungsbegrenzungen und -ausschlüsse (§§ 305-310 BGB) Das deutsche AGB-Recht setzt zwingende Grenzen für Haftungsausschlüsse in Allgemeinen Geschäftsbedingungen (→ vertiefend: [AGB-Check](https://compound.law/de-DE/skills/agb-check/)). SaaS-Anbieter treiben Haftungsobergrenzen häufig auf das Minimum — der Kunde muss prüfen, ob die Obergrenzen angemessenen Schutz bieten. - **Zwingende unbeschränkte Haftung:** Nach deutschem Recht können folgende Haftungskategorien in AGB **nicht ausgeschlossen oder begrenzt** werden: - **Personenschäden durch Fahrlässigkeit (§ 309 Nr. 7 lit. a BGB):** Jede Klausel, die die Haftung für Tod oder Körperverletzung durch Fahrlässigkeit ausschließt oder begrenzt, ist per se unwirksam. - **Grobe Fahrlässigkeit und Vorsatz (§ 309 Nr. 7 lit. b BGB):** Haftung für sonstige Schäden durch grobe Fahrlässigkeit oder vorsätzliches Handeln kann nicht ausgeschlossen werden. - **Produkthaftungsgesetz:** Strikte Haftung nach dem ProdHaftG kann vertraglich nicht ausgeschlossen werden. - **Wesentliche Vertragspflichten (Kardinalpflichten):** Nach § 307 BGB kann die Haftung für die Verletzung wesentlicher Vertragspflichten — Pflichten, deren Erfüllung für die ordnungsgemäße Vertragsdurchführung wesentlich ist und auf deren Einhaltung der Kunde regelmäßig vertrauen darf — begrenzt werden, aber nur auf den **vertragstypisch vorhersehbaren Schaden**. Eine Obergrenze unterhalb dieses Niveaus ist unwirksam. Bei SaaS umfassen Kardinalpflichten: Bereitstellung des Dienstes gemäß der Leistungsbeschreibung, Wahrung der Datenintegrität und Einhaltung der Datenschutzpflichten. - **Zulässige Haftungsklauselstruktur:** 1. Haftung für Vorsatz und grobe Fahrlässigkeit: **unbeschränkt** 2. Haftung für Verletzung wesentlicher Vertragspflichten bei leichter Fahrlässigkeit: begrenzt auf den **vertragstypisch vorhersehbaren Schaden** (häufig quantifiziert als 100 % der jährlichen Vergütung) 3. Haftung für Personenschäden: **unbeschränkt** 4. Haftung nach ProdHaftG: **unbeschränkt** 5. Allgemeine Obergrenze für sonstige Ansprüche: üblicherweise 100 % der in den letzten 12 Monaten gezahlten Vergütung - **Haftung für Datenverlust:** Klauseln, die die Haftung für Datenverlust verschuldensunabhängig ausschließen, sind problematisch. Der Anbieter sollte mindestens für die Wiederherstellung der Daten aus dem letzten Backup haften. - **Mittelbare und Folgeschäden:** Viele SaaS-Verträge schließen “mittelbare, Folge-, Sonder- oder Begleitschäden” aus. Im deutschen Recht ist diese Unterscheidung unüblich und mehrdeutig — das deutsche Schadensersatzkonzept differenziert nicht zwischen direkten und indirekten Schäden im Common-Law-Sinne. Ein pauschaler Ausschluss kann nach § 307 BGB unwirksam sein, wenn er die Haftung für vorhersehbare vertragstypische Schäden faktisch beseitigt. **Risikokennzeichnung:** - Pauschaler Haftungsausschluss ohne Differenzierung nach Verschuldensgrad (“Die Haftung ist im gesetzlich zulässigen Umfang ausgeschlossen”) - Obergrenze auf eine Monatsvergütung oder einen ähnlich geringen Betrag festgelegt - Haftung für Datenverlust verschuldensunabhängig ausgeschlossen - Mittelbare/Folgeschäden ohne Differenzierung nach Verschuldensgrad ausgeschlossen - Kardinalpflichthaftung unterhalb des vertragstypisch vorhersehbaren Schadens gedeckelt - Kein Ausschluss des Ausschlusses für Personenschäden, grobe Fahrlässigkeit oder Vorsatz ### Schritt 5: Automatische Verlängerung, Laufzeit und Preisänderungen SaaS-Verträge sind auf wiederkehrende Einnahmen ausgelegt. Prüfen Sie, ob die Verlängerungs- und Preismechanismen ausgewogen sind. - **Erstlaufzeit:** Übliche Spannen sind 12 Monate (Standard), 24 Monate oder 36 Monate (Enterprise). Längere Laufzeiten bieten typischerweise Mengenrabatte, reduzieren aber die Flexibilität. - **Automatische Verlängerung:** Die meisten SaaS-Verträge verlängern sich automatisch, sofern der Kunde nicht rechtzeitig die Nichtverlängerung erklärt. Nach deutschem AGB-Recht (§ 307 BGB) sind automatische Verlängerungsklauseln in B2B-AGB zulässig, müssen aber verhältnismäßig sein. Verlängerungszeiträume über ein Jahr oder Kündigungsfristen unter drei Monaten können angreifbar sein. Bei B2C (§ 309 Nr. 9 BGB) darf die Erstlaufzeit zwei Jahre nicht überschreiten, und nach der Erstlaufzeit kann der Verbraucher jederzeit mit einer Frist von einem Monat kündigen (seit 01.03.2022). - **Kündigungsfrist für Nichtverlängerung:** Prüfen Sie den genauen Stichtag (z. B. 90, 60 oder 30 Tage vor Ende der laufenden Laufzeit). Verpasst der Kunde die Frist, ist er für eine weitere Laufzeit gebunden. - **Preiserhöhung bei Verlängerung:** Prüfen Sie, ob der Anbieter bei Verlängerung Preise erhöhen darf und unter welchen Bedingungen. Best Practice: Preiserhöhungen auf einen bestimmten Prozentsatz gedeckelt (z. B. VPI + 3 %) oder dem Kunden ein Kündigungsrecht bei Überschreitung eines Schwellenwerts eingeräumt. Unbegrenztes Ermessen bei Preiserhöhungen ist nach § 307 BGB problematisch. - **Unterjährige Preisänderungen:** Prüfen Sie, ob sich der Anbieter das Recht vorbehält, Preise während einer laufenden Laufzeit zu ändern. Falls ja, sollte dem Kunden ein außerordentliches Kündigungsrecht zustehen. - **Downgrade und Nutzungsreduzierung:** Prüfen Sie, ob der Kunde Nutzerzahl, Module oder Speicher während der Laufzeit oder erst bei Verlängerung reduzieren kann. “Ratchet”-Klauseln, die eine Reduzierung verhindern, binden den Kunden an den jemals höchsten Nutzungsumfang. **Risikokennzeichnung:** - Automatischer Verlängerungszeitraum übersteigt ein Jahr in B2B-AGB - Kündigungsfrist für Nichtverlängerung unter drei Monaten (leicht zu versäumen) - Unbegrenztes Ermessen bei Preiserhöhungen bei Verlängerung ohne Kündigungsrecht - Unterjährige Preisänderungen zulässig ohne Kündigungsrecht des Kunden - Ratchet-Klausel verhindert jede Umfangsreduzierung während oder am Ende der Laufzeit - B2C-Bedingungen mit Erstlaufzeit über zwei Jahre oder automatischer Verlängerung über einen Monat ### Schritt 6: Ausstiegsregelungen, Migrationsunterstützung und AVV-Erfordernis Das Vertragsende ist häufig der Zeitpunkt, an dem sich die gravierendsten Risiken materialisieren. Prüfen Sie, ob die Ausstiegsregelungen die Geschäftskontinuität des Kunden schützen. - **Übergangsphase nach Vertragsende:** Der Vertrag sollte eine Übergangsphase vorsehen (60-180 Tage sind bei Enterprise-SaaS Standard), während der der Kunde Zugriff auf den Dienst und die Datenexportfunktionalität behält, entweder zum bestehenden Abonnementpreis oder zu einem definierten Übergangstarif. - **Migrationsunterstützung:** Bei komplexen SaaS-Implementierungen sollte der Anbieter Migrationshilfe anbieten — Datenmapping, API-Zugang für Migrationstools und technischen Support für den Übergang zu einem Ersatzdienst. Prüfen Sie die Kosten und ob sie gedeckelt sind. - **Datenportabilität beim Ausstieg:** Bestätigen Sie, dass die Datenexportregelungen (Schritt 3) während der Übergangsphase gelten und dass alle Daten, einschließlich historischer Daten, Protokolle und Konfigurationen, exportiert werden können. - **DSGVO Art. 28 AVV-Erfordernis:** Verarbeitet der SaaS-Anbieter personenbezogene Daten im Auftrag des Kunden, ist ein **[Auftragsverarbeitungsvertrag (AVV)](https://compound.law/de-DE/skills/auftragsverarbeitung/)** nach Art. 28 DSGVO zwingend erforderlich. Der AVV sollte separat geprüft werden. Stellen Sie sicher, dass der SaaS-Hauptvertrag den AVV referenziert oder einbezieht und dass die Beendigung des SaaS-Vertrags die Löschungspflichten des AVV auslöst. - **Insolvenz oder Diensteinstellung des Anbieters:** Bei geschäftskritischem SaaS sollte der Kunde Schutzregelungen verhandeln: - **Quellcode-Escrow:** Ein Dritter verwahrt den Quellcode, der bei auslösenden Ereignissen (Insolvenzantrag des Anbieters, dauerhafte wesentliche SLA-Verletzung, Diensteinstellung) an den Kunden freigegeben wird. Die Escrow-Vereinbarung sollte das Recht umfassen, den Code zu hosten und zu modifizieren. - **Daten-Escrow:** Getrennt vom Quellcode sollten die Kundendaten auch bei Ausfall der Anbieterinfrastruktur zugänglich sein. - **Eintrittsrechte:** Das Recht des Kunden oder eines beauftragten Dritten, den Betrieb des Dienstes auf der Anbieterinfrastruktur bei Anbieterausfall zu übernehmen. - **Insolvenzbehandlung (§ 103 InsO):** Wird der Anbieter insolvent, kann der Insolvenzverwalter gegenseitige Verträge ablehnen. Die vertraglichen Ansprüche des Kunden auf Datenrückgabe werden zu einfachen Insolvenzforderungen, sofern die Daten nicht eindeutig Eigentum des Kunden sind. Dies macht vorinsolvenzliche Schutzmaßnahmen (Escrow, Datenexport) unverzichtbar. **Risikokennzeichnung:** - Keine Übergangsphase nach Vertragsende — Zugang sofort gesperrt - Keine Datenexportmöglichkeit oder Export nur in proprietären Formaten - AVV fehlt oder ist nicht Art.-28-konform - Kein Quellcode-Escrow oder Kontinuitätsregelungen bei geschäftskritischem SaaS - Migrationsunterstützung nicht geregelt oder prohibitiv teuer - Insolvenz des Anbieters nicht adressiert, Kunde mit einfachen Insolvenzforderungen auf Datenrückgabe *** ## Risikobewertung ### Risikomatrix für den Kunden | Risiko | Auswirkung | Abhilfe | | ---------------------------------------------- | ------------------------------------------------------------------ | ------------------------------------------------------------------------------ | | SLA unter 99,5 % ohne Rechtsfolge | Dienstunzuverlässigkeit ohne Rechtsschutz | Verbindliches SLA mit Credits und Kündigungsrecht verhandeln | | Daten-Lock-in (proprietäre Formate) | Migration zu Alternativanbieter unmöglich | Standardformat-Export jederzeit verlangen | | Haftungsobergrenze bei einer Monatsvergütung | Schäden übersteigen Obergrenze bei jedem ernsthaften Vorfall | Mindestens 100 % Jahresvergütung, unbeschränkt bei Datenschutzverstoß | | Kein AVV oder nicht-konformer AVV | DSGVO-Verstoß und Bußgeldrisiko | Art.-28-konformen AVV vor Go-live verlangen | | Automatische Verlängerung mit kurzer Frist | Ungewollte Verlängerung | Kündigungsfrist im Kalender eintragen; mindestens 90 Tage verhandeln | | Einseitige Leistungsänderungen | Kernfunktionalität während der Laufzeit entfernt | Keine wesentliche Verschlechterung + Kündigungsrecht bei wesentlicher Änderung | | Anbieterinsolvenz | Verlust des Zugangs zu Daten und Dienst | Quellcode-Escrow + Datenexport + Übergangsphase | | Keine Löschbestätigung | Daten nach Vertragsende aufbewahrt | Schriftliche Bestätigung innerhalb von 30 Tagen verlangen | | Fehlende EU-DA-Wechselklauseln (ab Sept. 2025) | Prohibition überhöhter Wechselgebühren nicht vertraglich gesichert | EU-Data-Act-konforme Portabilitäts- und Wechselregelungen explizit einbeziehen | | DORA-Nichtkonformität (Finanzunternehmen) | Aufsichtsrechtliche Sanktionen durch BaFin, EBA | DORA-Pflichtklauseln nach Art. 30 vor nächster Verlängerung nachverhandeln | *** ## Besondere Szenarien ### Einseitige Leistungsänderungen Eine der umstrittensten Klauseln in SaaS-Verträgen. Nach deutschem AGB-Recht (§ 308 Nr. 4 BGB bei B2C; § 307 BGB bei B2B) unterliegen einseitige Leistungsänderungsklauseln strenger Prüfung: - **Zulässige Änderungen:** Die Änderung muss einem berechtigten Zweck dienen (Rechtskonformität, Sicherheitsupdate, technische Verbesserung), darf den Kerncharakter des Dienstes (Kernleistung) nicht verändern, und der Kunde muss angemessene Vorankündigung und ein Kündigungsrecht bei wesentlichen Änderungen erhalten. - **Unzulässige Änderungen:** Eine Klausel, die dem Anbieter erlaubt, “den Dienst jederzeit aus beliebigem Grund zu ändern”, ist unwirksam (BGH, III ZR 169/19). Ebenso das Entfernen von Features, die Teil der vereinbarten Leistungsbeschreibung waren, ohne gleichwertigen Ersatz. - **Rechtsfolge für den Kunden:** Der Kunde sollte das Recht haben, innerhalb einer definierten Frist (30-60 Tage) nach Wirksamwerden einer wesentlichen Änderung ohne Vertragsstrafe zu kündigen. ### SaaS für regulierte Branchen Finanzdienstleistungen, Gesundheitswesen und öffentlicher Sektor unterliegen zusätzlichen Anforderungen: - **DORA — Digital Operational Resilience Act (ab 17. Januar 2025):** Die Verordnung (EU) 2022/2554 gilt verbindlich für Banken, Versicherungen, Wertpapierfirmen, Zahlungsdienstleister, Krypto-Dienstleister und weitere Finanzunternehmen. SaaS-Verträge mit ICT-Drittanbietern müssen nach Art. 30 DORA zwingend folgende Punkte enthalten: - **Vollständige Leistungsbeschreibung** mit Angabe aller Datenspeicherorte (einschließlich Backup- und Disaster-Recovery-Standorte) und verarbeiteten Datenkategorien - **Audit- und Inspektionsrechte** für das Finanzunternehmen, seine Auftragnehmer und zuständige Aufsichtsbehörden (EBA, BaFin), einschließlich unangekündigter Vor-Ort-Prüfungen - **Unterstützungspflichten bei ICT-Vorfällen:** Der Anbieter muss Vorfälle melden, bei der Ursachenanalyse mitwirken und den DORA-Meldeprozess des Finanzunternehmens gegenüber den Behörden unterstützen - **Exit-Strategie und Übertragbarkeit:** Dokumentierter Ausstiegsplan, der einen geordneten Übergang zur eigenen Infrastruktur oder einem Alternativanbieter ohne Unterbrechung der Dienste ermöglicht - **Subdienstleister-Kaskade:** Transparenz über alle wesentlichen Unterauftragnehmer; Änderungen bedürfen der vorherigen Zustimmung oder Notifizierung - **Kritische IKT-Drittanbieter** (CTPP): SaaS-Anbieter, die von den europäischen Aufsichtsbehörden als kritisch eingestuft werden, unterliegen zusätzlichen aufsichtlichen Anforderungen und Penetrationstests. - **Praxisrelevanz:** Ältere SaaS-Musterverträge enthalten keine DORA-konformen Klauseln. Finanzunternehmen sind verpflichtet, bestehende Verträge bis spätestens zur nächsten Verlängerung anzupassen. - **BaFin-Auslagerungsanforderungen (MaRisk AT 9):** Finanzinstitute müssen vor Auslagerung an einen SaaS-Anbieter eine Risikoanalyse durchführen, Audit- und Zugangsrechte für die BaFin vereinbaren und sicherstellen, dass der Dienst ohne Unterbrechung übertragen werden kann. MaRisk bleibt neben DORA anwendbar, soweit strengere nationale Anforderungen bestehen. - **Gesundheitsdaten (§ 203 StGB):** SaaS-Anbieter, die dem Berufsgeheimnis unterliegende Daten (medizinisch, anwaltlich, steuerlich) verarbeiten, müssen formell befugt werden. Ein AVV allein genügt nicht — eine gesonderte Einwilligung nach § 203 StGB ist erforderlich. - **Öffentliche Beschaffung:** Cloud-Dienste müssen den BSI C5 Cloud-Sicherheitsstandard (oder gleichwertig) und die EVB-IT Cloud-Bedingungen der Bundesregierung einhalten. ### Open-Source-Komponenten SaaS-Anbieter verwenden häufig Open-Source-Softwarekomponenten. Der Vertrag sollte: - Gewährleisten, dass alle Open-Source-Nutzungen lizenzkonform sind - Copyleft-lizenzierte Komponenten (GPL, AGPL) offenlegen, die Pflichten für den Kunden begründen können - Den Kunden gegen Ansprüche Dritter aus der Open-Source-Nutzung des Anbieters freistellen *** ## Wie läuft eine SaaS-Vertragsprüfung bei Compound ab? Wenn Sie uns Ihren SaaS-Vertrag einreichen, folgt Compound einem strukturierten Ablauf: 1. **Einreichung:** Laden Sie den SaaS-Vertrag, die AGB und alle Service-Schedules hoch. Je vollständiger die Unterlagen, desto präziser die Prüfung. 2. **Triage:** Wir bewerten zunächst die kritischsten Klauseln — Haftungsdeckelung, Dateneigentum und SLA-Verbindlichkeit — und kennzeichnen sofort handlungsbedürftige Risiken. 3. **Vollständige Prüfung:** Alle sechs Prüfungsschritte (Leistungsbeschreibung, Support, Datenhoheit, Haftung, Verlängerung, Ausstieg) werden systematisch durchgearbeitet. 4. **Gutachten:** Sie erhalten ein strukturiertes Prüfgutachten mit Risikomatrix, Bewertung nach BGB und DSGVO sowie konkreten Verhandlungsempfehlungen für jede problematische Klausel. 5. **Nachgespräch:** Optional besprechen wir Verhandlungsstrategien für die Nachverhandlung mit dem Anbieter. Der Gesamtprozess dauert in der Regel **zwei bis fünf Werktage** — bei Standard-AGB schneller, bei komplexen Enterprise-Verträgen mit umfangreichen Anlagen entsprechend länger. *** ## Grenzen dieses Skills Dieser Skill bietet eine strukturierte Erstbewertung. In folgenden Fällen ist die Einschaltung eines Rechtsanwalts erforderlich: - **Verhandlung von Enterprise-SaaS-Verträgen** mit individuellen Bedingungen, insbesondere für kritische Infrastruktur oder regulierte Branchen - **DSGVO-Compliance** einschließlich AVV-Prüfung, Transfer Impact Assessments und grenzüberschreitende Datenflussanalyse - **Streitigkeiten über geistiges Eigentum** an Kundendaten, generierten Outputs oder KI-Training mit Kundendaten - **Insolvenzschutzmaßnahmen** einschließlich Quellcode-Escrow-Vereinbarungen und Eintrittsrechte - **Regulatorische Compliance** für Finanzdienstleistungen (MaRisk, DORA), Gesundheitswesen (§ 203 StGB) und öffentliche Beschaffung - **Rechtsstreitigkeiten** aus SLA-Verletzungen, Datenverlust oder einseitiger Dienstbeendigung Compound unterstützt gerne bei der Prüfung, Verhandlung und Strukturierung von SaaS-Verträgen, die die Interessen des Kunden nach deutschem und EU-Recht schützen. *** ## Häufig gestellte Fragen zur SaaS-Vertragsprüfung ### Was wird bei einer SaaS-Vertragsprüfung geprüft? Bei einer professionellen SaaS-Vertragsprüfung werden alle wesentlichen Vertragsbereiche analysiert: Leistungsbeschreibung und SLA-Zusagen, Dateneigentum und Portabilität, Haftungsbegrenzungen nach §§ 307–309 BGB, automatische Verlängerungsklauseln, Preisänderungsrechte, Ausstiegsregelungen sowie DSGVO-Konformität einschließlich AVV nach Art. 28 DSGVO. ### Welche Klauseln sind in SaaS-Verträgen besonders kritisch? Besonders kritisch sind Haftungsobergrenzen (häufig auf eine Monatsvergütung reduziert), einseitige Leistungsänderungen ohne Kündigungsrecht, Datennutzungsrechte des Anbieters (insbesondere für KI-Training oder Benchmarking), automatische Verlängerungen mit kurzen Kündigungsfristen sowie fehlende oder unvollständige AVVs. ### Ist ein Auftragsverarbeitungsvertrag (AVV) beim SaaS-Vertrag Pflicht? Ja. Verarbeitet ein SaaS-Anbieter personenbezogene Daten im Auftrag des Kunden, ist ein [AVV nach Art. 28 DSGVO](https://compound.law/de-DE/skills/auftragsverarbeitung/) zwingend erforderlich. Das gilt für nahezu alle SaaS-Anwendungen, die Mitarbeiter- oder Kundendaten verarbeiten. Fehlt der AVV oder entspricht er nicht den Anforderungen, drohen Bußgelder nach Art. 83 DSGVO. ### Kann ich einen SaaS-Vertrag selbst prüfen? Eine erste Einschätzung können Sie mit diesem strukturierten Prüfrahmen selbst vornehmen. Für eine rechtssichere Bewertung — insbesondere bei Enterprise-SaaS, kritischer Infrastruktur oder regulierten Branchen — empfiehlt sich die anwaltliche Prüfung durch auf IT- und Vertragsrecht spezialisierte Anwälte. ### Welche Klauseln sollte ich bei einem SaaS-Vertrag nachverhandeln? Die wichtigsten Verhandlungspunkte sind: Erhöhung der Haftungsobergrenze auf mindestens 100 % der Jahresvergütung (unbeschränkt bei Datenschutzverstößen), Aufnahme einer verbindlichen SLA mit Kündigungsrecht bei Dauerversagen, Absicherung des Datenexports in Standardformaten, Verlängerung der Kündigungsfrist auf mindestens 90 Tage sowie Begrenzung von Preiserhöhungsrechten. Bei regulierten Unternehmen kommen Audit-Rechte und branchenspezifische Compliance-Anforderungen hinzu. ### Wie lange dauert eine SaaS-Vertragsprüfung beim Anwalt? Eine strukturierte SaaS-Vertragsprüfung dauert je nach Vertragsumfang in der Regel zwei bis fünf Werktage. Bei standardisierten AGB kann eine Erstbewertung schneller erfolgen; individuelle Enterprise-Verträge mit umfangreichen Anlagen und Service-Schedules erfordern mehr Zeit. ### Welche deutschen Gesetze gelten für SaaS-Verträge? SaaS-Verträge unterliegen primär dem deutschen BGB: Mietrecht (§§ 535 ff. BGB) für Standard-SaaS, AGB-Kontrolle (§§ 305–310 BGB), Datenschutzrecht (DSGVO, BDSG) sowie branchenspezifische Regelungen (MaRisk AT 9 für Finanzdienstleister, § 203 StGB für berufsgeheimnistragende Berufe). Bei Datenverarbeitung in Drittländern greifen zusätzlich die Vorgaben zu internationalem Datentransfer (Art. 44 ff. DSGVO). ### Was ändert der EU Data Act für SaaS-Verträge ab September 2025? Der EU Data Act (Verordnung (EU) 2023/2854, Art. 23–31) verpflichtet Cloud- und SaaS-Anbieter ab dem 12. September 2025, den Anbieterwechsel aktiv zu erleichtern. Konkret müssen Anbieter: standardisierte Exportschnittstellen bereitstellen, Wechselgebühren auf die tatsächlichen Umstellungskosten begrenzen (ab Ende 2027 vollständig kostenfrei) und eine Übergangsphase von mindestens 30 Tagen gewähren. Ältere SaaS-Verträge enthalten diese Klauseln typischerweise nicht — bei der nächsten Verlängerung oder Neuverhandlung sollten EU-DA-konforme Portabilitäts- und Wechselregelungen ausdrücklich vereinbart werden. ### Was kostet eine SaaS-Vertragsprüfung? Die Kosten hängen vom Umfang des Vertrags und dem erforderlichen Prüfungsaufwand ab. Nehmen Sie Kontakt mit Compound auf — wir besprechen Ihren konkreten Bedarf und unterbreiten ein transparentes Angebot für die anwaltliche Prüfung Ihres SaaS-Vertrags. — Aufrufe — Downloads ![Dr. Markus Dreißigacker](https://compound.law/assets/images/team/markusdreissigacker.webp) Dr. Markus Dreißigacker Rechtsgebiet Vertragsrecht Jurisdiktion DE, EU Aktualisiert Mai 2026 Tags saassoftwaresubscriptioncloud #### Hilfe benötigt? Lesen Sie unseren Leitfaden zur Installation und Nutzung von Skills in Ihrem bevorzugten KI-Agenten. [Zum Leitfaden →](https://compound.law/de-DE/learn/what-is-a-skill/) ## Weitere Skills [Vertragsrecht](https://compound.law/de-DE/skills/agb-check/) [DE](https://compound.law/de-DE/skills/agb-check/) ### [AGB prüfen lassen: Anwaltliche Prüfung für Ihr Unternehmen](https://compound.law/de-DE/skills/agb-check/) [Lassen Sie Ihre AGB von spezialisierten Anwälten prüfen. Unwirksame Klauseln nach §§ 307–309 BGB erkennen und rechtssicher gestalten. Jetzt anfragen.](https://compound.law/de-DE/skills/agb-check/) [![Dr. Markus Dreißigacker](https://compound.law/assets/images/team/markusdreissigacker.webp)](https://compound.law/de-DE/skills/agb-check/) [Dr. Markus Dreißigacker](https://compound.law/de-DE/skills/agb-check/) [— —](https://compound.law/de-DE/skills/agb-check/) [agbgeschaeftsbedingungenverbraucherschutz](https://compound.law/de-DE/skills/agb-check/) [Arbeitsrecht](https://compound.law/de-DE/skills/arbeitszeugnis/) [DE](https://compound.law/de-DE/skills/arbeitszeugnis/) ### [Arbeitszeugnis-Bewertung](https://compound.law/de-DE/skills/arbeitszeugnis/) [Arbeitszeugnis prüfen lassen: Versteckte Negativformulierungen in der deutschen Zeugnissprache (§ 109 GewO) entschlüsseln und bewerten — für Arbeitnehmer und HR-Abteilungen.](https://compound.law/de-DE/skills/arbeitszeugnis/) [![Julian Jantze](https://compound.law/assets/images/team/julianjantze.webp)](https://compound.law/de-DE/skills/arbeitszeugnis/) [Julian Jantze](https://compound.law/de-DE/skills/arbeitszeugnis/) [— —](https://compound.law/de-DE/skills/arbeitszeugnis/) [arbeitszeugnisarbeitsrechtzeugnissprache](https://compound.law/de-DE/skills/arbeitszeugnis/) [Arbeitsrecht](https://compound.law/de-DE/skills/arbeitsvertragspruefung/) [DE](https://compound.law/de-DE/skills/arbeitsvertragspruefung/) ### [Arbeitsvertragsprüfung mit KI — Klauseln, Fristen, Rechte prüfen](https://compound.law/de-DE/skills/arbeitsvertragspruefung/) [Prüfrahmen für Arbeitsverträge nach deutschem Recht. Probezeit, Kündigungsfristen, nachvertragliches Wettbewerbsverbot und Urlaubsanspruch nach BGB, KSchG und BUrlG.](https://compound.law/de-DE/skills/arbeitsvertragspruefung/) [![Julian Jantze](https://compound.law/assets/images/team/julianjantze.webp)](https://compound.law/de-DE/skills/arbeitsvertragspruefung/) [Julian Jantze](https://compound.law/de-DE/skills/arbeitsvertragspruefung/) [— —](https://compound.law/de-DE/skills/arbeitsvertragspruefung/) [employmentcontract-reviewgerman-employment-law](https://compound.law/de-DE/skills/arbeitsvertragspruefung/) [Datenschutz](https://compound.law/de-DE/skills/datenschutz-folgenabschaetzung/) [DEEU](https://compound.law/de-DE/skills/datenschutz-folgenabschaetzung/) ### [Datenschutz-Folgenabschätzung (DPIA) nach Art. 35 DSGVO](https://compound.law/de-DE/skills/datenschutz-folgenabschaetzung/) [DSFA/DPIA: Wann die Folgenabschätzung nach Art. 35 DSGVO Pflicht ist, wie sie durchgeführt und dokumentiert wird — mit Prüfrahmen für Deutschland.](https://compound.law/de-DE/skills/datenschutz-folgenabschaetzung/) [![Julian Jantze](https://compound.law/assets/images/team/julianjantze.webp)](https://compound.law/de-DE/skills/datenschutz-folgenabschaetzung/) [Julian Jantze](https://compound.law/de-DE/skills/datenschutz-folgenabschaetzung/) [— —](https://compound.law/de-DE/skills/datenschutz-folgenabschaetzung/) [dpiadsfaart-35](https://compound.law/de-DE/skills/datenschutz-folgenabschaetzung/) ## Mitmachen ### Expertise teilen? Wir bauen einen Hub, in dem Rechtsexperten ihre Workflows erstellen und verteilen können. Seien Sie unter den ersten Mitwirkenden. [Skill einreichen →](mailto:contact@compound.law) ## Structured data ```json [ { "@context": "https://schema.org", "@type": [ "Organization", "LegalService" ], "@id": "https://compound.law/#organization", "name": "Compound Law", "alternateName": "Compound Law — AI Law Firm", "url": "https://compound.law/", "logo": { "@type": "ImageObject", "url": "https://compound.law/press/logos/PNG/Compound_Law_Icon.png", "width": 1024, "height": 1024 }, "image": "https://compound.law/assets/images/og-image.webp", "description": "Die KI-native Kanzlei in Berlin für Start-ups, Mittelstand und Konzerne: Commercial und Vertragsrecht, Datenschutz, KI-Verordnung, Marken, Gesellschaftsrecht sowie Sanierung und Insolvenz. Jedes Ergebnis prüft ein Anwalt, abgerechnet zum Festpreis.", "foundingDate": "2026", "founder": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] } ], "employee": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Marc Schuba", "jobTitle": "Founding Partner, Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/marc-schuba/", "sameAs": [ "https://www.linkedin.com/in/marcschuba/" ], "knowsAbout": [ "IP- und IT-Recht", "SaaS- und IT-Verträge, IT-Outsourcing", "Software- und Open-Source-Lizenzen", "Datenschutzrecht (DSGVO)", "KI-Recht und KI-Verordnung (AI Act)" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] }, { "@type": "Person", "name": "Philipp Brandt", "jobTitle": "Partner, Rechtsanwalt, Fachanwalt für gewerblichen Rechtsschutz", "url": "https://compound.law/de-DE/lawyers/philipp-brandt/", "sameAs": [ "https://www.linkedin.com/in/philipp-brandt-81b446a/" ], "knowsAbout": [ "Sanierungs- und Insolvenzrecht (Krisenberatung der Geschäftsführung, Schutzschirm- und Planverfahren, Insolvenzverwaltung)", "Gewerblicher Rechtsschutz (Marken, Wettbewerbsrecht, Urheberrecht, Geschäftsgeheimnisse, Lizenzverträge)", "Datenschutzrecht (Datenpannen, Bußgeldverfahren, Auskunft und Schadensersatz)", "Vertriebs- und Handelsrecht (Vertriebsverträge, Kauf und Verkauf von Industrieanlagen)" ] }, { "@type": "Person", "name": "Dr. Markus Dreißigacker", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/markus-dreissigacker/", "sameAs": [ "https://www.linkedin.com/in/markusdreissigacker" ], "knowsAbout": [ "M&A (Due Diligence, Post-Merger-Integration, IPO-Readiness)", "Gesellschaftsrecht (Governance, Gremienarbeit, Restrukturierung)", "Handelsrecht (Kundenverträge, Lieferantenvereinbarungen, NDAs)", "IP (Markenmanagement, IP-Übertragungsverträge)", "Compliance & ESG (Globale Compliance-Programme, Menschenrechte, Nachhaltigkeit)", "Datenschutz (DSGVO-Strategie, DPO-Erfahrung, Datenschutzprogramme)" ] } ], "address": { "@type": "PostalAddress", "addressLocality": "Berlin", "addressCountry": "DE" }, "areaServed": [ "Germany", "Austria", "Switzerland", "European Union", "United Kingdom", "United States", "Singapore" ], "availableLanguage": [ "de", "en" ], "serviceType": [ "AI law firm", "AI-native legal services", "legal counsel for start-ups and growth companies", "legal counsel for mid-sized companies and corporates", "Commercial Law", "Corporate Law", "Employment Law", "Regulatory & Compliance", "Intellectual Property", "Insolvency & Restructuring" ], "hasOfferCatalog": { "@type": "OfferCatalog", "name": "Compound Law services", "itemListElement": [ { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Commercial Contracts", "description": "Battle-tested contracts for your sales process", "serviceType": [ "enterprise contracts", "MSA", "DPA", "sales contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "International Employment", "description": "Compliant hiring across borders", "serviceType": [ "international employment", "hiring abroad", "employment contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "VSOP/ESOP Setup", "description": "Employee participation that actually works", "serviceType": [ "VSOP", "ESOP", "employee stock options", "equity incentives" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Funding Round Support", "description": "Clean legal for your next raise", "serviceType": [ "funding round", "term sheet", "SHA", "due diligence", "cap table" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Corporate Housekeeping", "description": "Get your legal house in order", "serviceType": [ "corporate governance", "board resolutions", "shareholder register" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Data Protection & Privacy", "description": "GDPR compliance that doesn't slow you down", "serviceType": [ "GDPR", "data protection", "privacy", "DPA", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "AI Act Compliance", "description": "Navigate EU AI regulation", "serviceType": [ "AI Act", "AI compliance", "AI governance", "EU AI regulation" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "IP & Competition", "description": "Protect and enforce what you've built", "serviceType": [ "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Fractional General Counsel", "description": "In-house legal without the full-time cost", "serviceType": [ "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "FinTech Compliance", "description": "Navigate financial regulation", "serviceType": [ "fintech compliance", "BaFin", "banking regulation", "AML", "KYC" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Legal Retainer", "description": "Predictable legal support when you need it", "serviceType": [ "legal retainer", "legal subscription", "ongoing legal support" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "M&A Preparation", "description": "Get ready for acquisition interest", "serviceType": [ "M&A preparation", "acquisition", "due diligence", "exit" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Restructuring & Insolvency", "description": "From the first liquidity check to the restructuring itself", "serviceType": [ "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } } ] }, "contactPoint": { "@type": "ContactPoint", "contactType": "sales", "email": "contact@compound.law", "availableLanguage": [ "English", "German" ], "areaServed": [ "DE", "AT", "CH", "EU", "GB", "US", "SG" ] }, "email": "contact@compound.law", "sameAs": [ "https://www.linkedin.com/company/compoundlawfirm", "https://x.com/CompoundLawFirm" ], "knowsAbout": [ "Commercial Contracts", "enterprise contracts", "MSA", "DPA", "sales contracts", "International Employment", "international employment", "hiring abroad", "employment contracts", "VSOP/ESOP Setup", "VSOP", "ESOP", "employee stock options", "equity incentives", "Funding Round Support", "funding round", "term sheet", "SHA", "due diligence", "cap table", "Corporate Housekeeping", "corporate governance", "board resolutions", "shareholder register", "Data Protection & Privacy", "GDPR", "data protection", "privacy", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR", "AI Act Compliance", "AI Act", "AI compliance", "AI governance", "EU AI regulation", "IP & Competition", "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance", "Fractional General Counsel", "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer", "FinTech Compliance", "fintech compliance", "BaFin", "banking regulation", "AML", "KYC", "Legal Retainer", "legal subscription", "ongoing legal support", "M&A Preparation", "M&A preparation", "acquisition", "exit", "Restructuring & Insolvency", "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ] }, { "@context": "https://schema.org", "@type": "Article", "headline": "SaaS-Vertrag prüfen lassen: Anwaltliche Prüfung & Beratung", "description": "SaaS-Verträge rechtssicher prüfen: SLAs, Dateneigentum, Haftung und Ausstiegsklauseln nach deutschem Recht. Anwaltliche Prüfung für B2B-Unternehmen.", "image": "https://compound.law/assets/images/og-image-de.webp", "datePublished": "2026-05-01T00:00:00.000Z", "dateModified": "2026-05-01T00:00:00.000Z", "author": { "@type": "Person", "name": "Dr. Markus Dreißigacker", "image": "https://compound.law/assets/images/team/markusdreissigacker.webp" }, "publisher": { "@type": "Organization", "@id": "https://compound.law/#organization", "name": "Compound Law" }, "mainEntityOfPage": { "@type": "WebPage", "@id": "https://compound.law/de-DE/skills/saas-vertragspruefung/" } }, { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Startseite", "item": "https://compound.law/de-DE/" }, { "@type": "ListItem", "position": 2, "name": "Skills", "item": "https://compound.law/de-DE/skills/" }, { "@type": "ListItem", "position": 3, "name": "SaaS-Vertrag prüfen lassen: Anwaltliche Prüfung & Beratung", "item": "https://compound.law/de-DE/skills/saas-vertragspruefung/" } ] }, { "@context": "https://schema.org", "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "name": "Was wird bei einer SaaS-Vertragsprüfung geprüft?", "acceptedAnswer": { "@type": "Answer", "text": "Bei einer professionellen SaaS-Vertragsprüfung werden alle wesentlichen Vertragsbereiche analysiert: Leistungsbeschreibung und SLA-Zusagen, Dateneigentum und Portabilität, Haftungsbegrenzungen nach §§ 307–309 BGB, automatische Verlängerungsklauseln, Preisänderungsrechte, Ausstiegsregelungen sowie DSGVO-Konformität einschließlich AVV nach Art. 28 DSGVO." } }, { "@type": "Question", "name": "Welche Klauseln sind in SaaS-Verträgen besonders kritisch?", "acceptedAnswer": { "@type": "Answer", "text": "Besonders kritisch sind Haftungsobergrenzen (häufig auf eine Monatsvergütung reduziert), einseitige Leistungsänderungen ohne Kündigungsrecht, Datennutzungsrechte des Anbieters (insbesondere für KI-Training oder Benchmarking), automatische Verlängerungen mit kurzen Kündigungsfristen sowie fehlende oder unvollständige AVVs." } }, { "@type": "Question", "name": "Ist ein Auftragsverarbeitungsvertrag (AVV) beim SaaS-Vertrag Pflicht?", "acceptedAnswer": { "@type": "Answer", "text": "Ja. Verarbeitet ein SaaS-Anbieter personenbezogene Daten im Auftrag des Kunden, ist ein [AVV nach Art. 28 DSGVO](/de-DE/skills/auftragsverarbeitung/) zwingend erforderlich. Das gilt für nahezu alle SaaS-Anwendungen, die Mitarbeiter- oder Kundendaten verarbeiten. Fehlt der AVV oder entspricht er nicht den Anforderungen, drohen Bußgelder nach Art. 83 DSGVO." } }, { "@type": "Question", "name": "Kann ich einen SaaS-Vertrag selbst prüfen?", "acceptedAnswer": { "@type": "Answer", "text": "Eine erste Einschätzung können Sie mit diesem strukturierten Prüfrahmen selbst vornehmen. Für eine rechtssichere Bewertung — insbesondere bei Enterprise-SaaS, kritischer Infrastruktur oder regulierten Branchen — empfiehlt sich die anwaltliche Prüfung durch auf IT- und Vertragsrecht spezialisierte Anwälte." } }, { "@type": "Question", "name": "Welche Klauseln sollte ich bei einem SaaS-Vertrag nachverhandeln?", "acceptedAnswer": { "@type": "Answer", "text": "Die wichtigsten Verhandlungspunkte sind: Erhöhung der Haftungsobergrenze auf mindestens 100 % der Jahresvergütung (unbeschränkt bei Datenschutzverstößen), Aufnahme einer verbindlichen SLA mit Kündigungsrecht bei Dauerversagen, Absicherung des Datenexports in Standardformaten, Verlängerung der Kündigungsfrist auf mindestens 90 Tage sowie Begrenzung von Preiserhöhungsrechten. Bei regulierten Unternehmen kommen Audit-Rechte und branchenspezifische Compliance-Anforderungen hinzu." } }, { "@type": "Question", "name": "Wie lange dauert eine SaaS-Vertragsprüfung beim Anwalt?", "acceptedAnswer": { "@type": "Answer", "text": "Eine strukturierte SaaS-Vertragsprüfung dauert je nach Vertragsumfang in der Regel zwei bis fünf Werktage. Bei standardisierten AGB kann eine Erstbewertung schneller erfolgen; individuelle Enterprise-Verträge mit umfangreichen Anlagen und Service-Schedules erfordern mehr Zeit." } }, { "@type": "Question", "name": "Welche deutschen Gesetze gelten für SaaS-Verträge?", "acceptedAnswer": { "@type": "Answer", "text": "SaaS-Verträge unterliegen primär dem deutschen BGB: Mietrecht (§§ 535 ff. BGB) für Standard-SaaS, AGB-Kontrolle (§§ 305–310 BGB), Datenschutzrecht (DSGVO, BDSG) sowie branchenspezifische Regelungen (MaRisk AT 9 für Finanzdienstleister, § 203 StGB für berufsgeheimnistragende Berufe). Bei Datenverarbeitung in Drittländern greifen zusätzlich die Vorgaben zu internationalem Datentransfer (Art. 44 ff. DSGVO)." } }, { "@type": "Question", "name": "Was ändert der EU Data Act für SaaS-Verträge ab September 2025?", "acceptedAnswer": { "@type": "Answer", "text": "Der EU Data Act (Verordnung (EU) 2023/2854, Art. 23–31) verpflichtet Cloud- und SaaS-Anbieter ab dem 12. September 2025, den Anbieterwechsel aktiv zu erleichtern. Konkret müssen Anbieter: standardisierte Exportschnittstellen bereitstellen, Wechselgebühren auf die tatsächlichen Umstellungskosten begrenzen (ab Ende 2027 vollständig kostenfrei) und eine Übergangsphase von mindestens 30 Tagen gewähren. Ältere SaaS-Verträge enthalten diese Klauseln typischerweise nicht — bei der nächsten Verlängerung oder Neuverhandlung sollten EU-DA-konforme Portabilitäts- und Wechselregelungen ausdrücklich vereinbart werden." } }, { "@type": "Question", "name": "Was kostet eine SaaS-Vertragsprüfung?", "acceptedAnswer": { "@type": "Answer", "text": "Die Kosten hängen vom Umfang des Vertrags und dem erforderlichen Prüfungsaufwand ab. Nehmen Sie Kontakt mit Compound auf — wir besprechen Ihren konkreten Bedarf und unterbreiten ein transparentes Angebot für die anwaltliche Prüfung Ihres SaaS-Vertrags." } } ] } ] ```