Was ist ein SaaS-Vertrag?
Bei Software as a Service stellt ein Anbieter Software typischerweise über das Internet zur Nutzung bereit. Der Kunde betreibt die Anwendung nicht selbst, sondern bezahlt für den vereinbarten Zugang und Leistungsumfang. Gerade deshalb reicht es nicht, nur Funktionen und Monatspreis zu vergleichen.
Dieser Beitrag betrifft Verträge zwischen Unternehmen unter deutschem Recht. Verbraucherrechtliche Sonderregeln, branchenspezifische Anforderungen und Besonderheiten internationaler Verträge sind gesondert zu prüfen. „Wirtschaftsrecht“ ist hier kein einzelnes Gesetz: Vertragsrecht, AGB-Recht, Datenschutz und gegebenenfalls europäische Vorgaben greifen ineinander.
„SaaS“ ist noch kein Vertragstyp.
Die Bezeichnung auf dem Angebot entscheidet nicht, welches Recht gilt. Für die zeitweise Online-Nutzung von Software hat der Bundesgerichtshof bei einem Application-Service-Providing-Vertrag das Mietrecht herangezogen. Ein heutiger SaaS-Vertrag kann daneben Implementierung, Beratung, Support oder individuell geschuldete Ergebnisse enthalten. Diese Bausteine müssen jeweils eingeordnet werden.
Der Unterschied wird bei Störungen relevant: Was ist ein Mangel? Muss nur eine Tätigkeit erbracht oder ein bestimmtes Ergebnis erreicht werden? Wann ist eine Abnahme sinnvoll? Ein pauschaler Verweis auf „die Plattform“ lässt diese Fragen offen.
Vor Unterschrift klären: Funktionen, Nutzerzahl, Schnittstellen, Speicher, Support, Implementierung und ausdrücklich ausgeschlossene Leistungen in einer verbindlichen Leistungsbeschreibung festhalten.
Auch im B2B sind AGB nicht grenzenlos.
„Der Kunde ist Unternehmer“ macht eine vorformulierte Klausel nicht automatisch wirksam. § 307 BGB schützt auch im unternehmerischen Geschäftsverkehr vor unangemessener Benachteiligung und intransparenten Regelungen. § 309 BGB gilt dort nicht unmittelbar; seine Wertungen können bei der Prüfung nach § 307 BGB dennoch Bedeutung haben. Bei § 308 BGB ist zu differenzieren: § 310 Abs. 1 nimmt die Nummern 1a und 1b zu Zahlungs-, Überprüfungs- und Abnahmefristen nicht von der unmittelbaren Anwendung aus. Die Besonderheiten des Geschäftsverkehrs sind ebenfalls zu berücksichtigen.
Individuelle Vereinbarungen haben nach § 305b BGB Vorrang vor AGB. Eine Unterschrift oder die Überschrift „individuell vereinbart“ beweist aber für sich genommen noch kein tatsächliches Aushandeln.
Vor Unterschrift klären: Eine klare Rangfolge zwischen Bestellformular, Leistungsbeschreibung, SLA, Datenschutzvereinbarung und AGB vereinbaren. Änderungsrechte nicht als unbegrenzten Freibrief formulieren.
99,9 Prozent sagen wenig ohne Messregeln.
Ein Service Level Agreement ist nur so belastbar wie seine Definitionen. Gilt die Verfügbarkeit pro Monat oder pro Jahr? Wo wird gemessen? Zählen angekündigte Wartungen als Ausfall? Werden Probleme bei Unterauftragnehmern ausgeschlossen? Bezieht sich die Zusage auf die gesamte Anwendung oder nur auf einzelne Komponenten?
Support-Reaktionszeit ist außerdem nicht gleich Wiederherstellungszeit. Ein Anbieter kann auf eine Meldung schnell antworten, ohne den Ausfall schnell zu beheben. Service Credits können einen wirtschaftlichen Ausgleich schaffen; ob sie andere Rechte wirksam begrenzen, ist gesondert zu prüfen.
Vor Unterschrift klären: Messmethode, Wartungsfenster, Störungsklassen, Eskalation, Wiederherstellung und Folgen wiederholter Ausfälle ausdrücklich regeln.
Der Haftungsdeckel muss zum Risiko passen.
Eine Begrenzung auf wenige Monatsgebühren kann bei einem geschäftskritischen System weit hinter dem denkbaren Schaden zurückbleiben. Umgekehrt trägt ein Anbieter ohne nachvollziehbare Begrenzung schwer kalkulierbare Risiken. Entscheidend sind nicht nur die Höhe, sondern auch der Zeitraum, erfasste Ansprüche, Ausnahmen und das Zusammenspiel mehrerer Klauseln.
Die Haftung wegen Vorsatzes kann nach § 276 Abs. 3 BGB nicht im Voraus erlassen werden. Vorformulierte Haftungsklauseln unterliegen außerdem der AGB-Kontrolle. Insbesondere Regelungen zu grober Fahrlässigkeit, Schäden an Leben, Körper oder Gesundheit und wesentlichen Vertragspflichten brauchen eine sorgfältige Prüfung. Eine aus einem US-Vertrag übernommene Standardklausel ist deshalb kein verlässlicher Ersatz für die Prüfung nach deutschem Recht.
Vor Unterschrift klären: Haftungsobergrenzen, Ausnahmen, Datenverlust, Wiederherstellung und Versicherungsdeckung anhand des konkreten Einsatzes bewerten.
Ein AV-Vertrag löst nicht jede Datenfrage.
Verarbeitet der Anbieter personenbezogene Daten im Auftrag des Kunden, ist regelmäßig eine Vereinbarung nach Art. 28 DSGVO erforderlich. Die tatsächlichen Zwecke und Entscheidungsbefugnisse bestimmen die Rollen – nicht allein das Etikett im Vertrag. Eigene Verarbeitungszwecke des Anbieters können eine andere Einordnung erfordern.
Prüfen Sie technische und organisatorische Maßnahmen, Unterauftragsverarbeiter, Unterstützung bei Betroffenenrechten, Vorfällen und Löschung. Ein Rechenzentrum in der EU schließt mögliche Drittlandübermittlungen, etwa durch Zugriffe außerhalb des EWR, nicht automatisch aus. Für solche Übermittlungen sind die Voraussetzungen der Art. 44 ff. DSGVO separat zu prüfen.
Vor Unterschrift klären: Welche Daten werden zu welchen Zwecken verarbeitet, wer kann darauf zugreifen, wo und durch wen? Produktvertrag und Datenschutzvereinbarung müssen zusammenpassen.
Der günstige Einstieg kann teuer werden.
Der Listenpreis ist nicht immer der Gesamtpreis. Nutzerstaffeln, Mindestabnahmen, API-Aufrufe, Speicher, Zusatzfunktionen und Implementierungsaufwand können die Kosten erheblich verändern. Auch automatische Verlängerungen, Kündigungsfristen und Preisänderungsmechanismen gehören in die wirtschaftliche Prüfung.
Für B2B-SaaS-Verträge gelten nicht automatisch dieselben Laufzeit- und Kündigungsregeln wie für Verbraucherverträge. Dennoch müssen vorformulierte Regelungen insbesondere dem Transparenzgebot und der Inhaltskontrolle standhalten.
Vor Unterschrift klären: Kosten bei Wachstum und Rückgang der Nutzung, Verlängerung, Kündigungsweg und Preisänderungen anhand realistischer Szenarien durchrechnen.
Den Anbieterwechsel am Anfang verhandeln.
Ein Download-Knopf garantiert noch keinen brauchbaren Exit. Exportformate, Metadaten, Anhänge, Schnittstellen, Unterstützung und die Zeit bis zur endgültigen Löschung entscheiden, ob Daten im Nachfolgesystem tatsächlich nutzbar bleiben. Auch eine Übergangsphase mit parallelem Betrieb kann erforderlich sein.
Für erfasste Datenverarbeitungsdienste enthält der europäische Data Act zusätzliche Vorgaben zum Anbieterwechsel. Ob und in welchem Umfang sie auf die konkrete SaaS-Leistung anwendbar sind, muss anhand des Dienstes und möglicher Ausnahmen geprüft werden. Datenschutzrecht und vertragliche Schutzpflichten gelten daneben weiter.
Stand 9. November 2026 dürfen bei erfassten Diensten Wechselentgelte grundsätzlich höchstens unmittelbar wechselbezogene Kosten abdecken. Ab 12. Januar 2027 verbietet Art. 29 Data Act Wechselentgelte; die begrenzten Ausnahmen des Art. 31 sind zu beachten. Laufende Dienstentgelte und mögliche Kosten einer vorzeitigen Vertragsbeendigung sind davon zu unterscheiden. Daraus folgt kein pauschales Recht, jeden SaaS-Vertrag unabhängig von seiner Laufzeit kostenlos zu beenden.
Vor Unterschrift klären: Exportumfang, Formate, Fristen, Unterstützung, Entgelte, sichere Löschung und die Behandlung von Backups verbindlich regeln. Den Export möglichst vor dem Ernstfall testen.
Die kurze Checkliste für den nächsten Vertrag.
- Ist die geschuldete Leistung konkret und vollständig beschrieben?
- Ist die Rangfolge aller Vertragsdokumente eindeutig?
- Sind Verfügbarkeit, Störungsbehebung und Rechtsfolgen messbar?
- Passt die Haftungsregelung zum tatsächlichen Geschäftsrisiko?
- Sind Datenschutzrollen, Unterauftragnehmer und Drittlandzugriffe geklärt?
- Sind Gesamtkosten, Verlängerung und Preisänderungen nachvollziehbar?
- Ist ein praktisch nutzbarer Exit einschließlich Datenexport abgesichert?
Für Anbieter und Kunden gilt: Ein guter SaaS-Vertrag verbindet rechtliche Belastbarkeit mit einem Ablauf, der im Betrieb funktioniert. Risiken sollten dort geregelt werden, wo sie entstehen – nicht erst, wenn ein Deal stockt oder die Plattform ausfällt.
Rechtsgrundlagen & Quellen.
- BGB: § 305b – Vorrang der Individualabrede, § 307 – Inhaltskontrolle, § 310 – Anwendungsbereich, § 276 – Verantwortlichkeit.
- BGH, Urteil vom 15. November 2006 – XII ZR 120/04, zur mietrechtlichen Einordnung eines ASP-Vertrags.
- DSGVO, Verordnung (EU) 2016/679, insbesondere Art. 28 und Art. 44 ff.
- Data Act, Verordnung (EU) 2023/2854, insbesondere Kapitel VI zum Wechsel zwischen Datenverarbeitungsdiensten.
Allgemeine Information, keine Rechtsberatung für einen Einzelfall. Die Beurteilung hängt von den konkreten Leistungen, Vertragsunterlagen und Umständen ab. Rechtsstand: 9. November 2026.