Datenschutzgesetze, die Ihre SaaS-Verträge tatsächlich regeln

# Datenschutzgesetze, die Ihre SaaS-Verträge tatsächlich regeln

Ein Procurement Manager bei einem mittelgroßen Logistikunternehmen gibt einen neuen SaaS-Anbieter für Routenoptimierung frei. Der Anbieter sitzt in Irland, die Daten umfassen Standorthistorien von Fahrern, und der Kundenstamm reicht von Kalifornien über São Paulo bis Berlin. Niemand hat den Auftragsverarbeitungsvertrag (Data Processing Agreement, DPA) zur Prüfung markiert. Sechs Monate später geht ein Auskunftsersuchen einer betroffenen Person ein, und die Rechtsabteilung stellt fest: Der DPA enthält keine Liste der Subunternehmer, keine Klausel zur Meldung von Datenschutzverletzungen und keinen rechtmäßigen Übermittlungsmechanismus. Das ist kein Gedankenspiel. Es ist der häufigste Fehlermodus im SaaS-Procurement, und ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → passiert, weil die meisten Einkäufer ohne juristischen Hintergrund nie lernen, was diese Gesetze im Vertrag konkret verlangen.

Diese Lektion führt durch die drei Regulierungsregime, die nahezu jeden SaaS-DPA prägen, dem Sie begegnen werden: DSGVO (Europa), CCPA/CPRA (Kalifornien) und LGPD (Brasilien). Sie lernen, welche Klauseln jedes davon in einen Vertrag zwingt, damit Sie eine Lücke erkennen, bevor sie zum Haftungsrisiko wird.

Warum Datenschutzrecht in Ihren Verträgen lebt, nicht nur in Ihrem Compliance-Ordner

Datenschutzvorschriften sagen Unternehmen nicht nur „schützt Daten". Sie schreiben konkrete vertragliche Mechanik zwischen dem Unternehmen, das Daten erhebt (dem Verantwortlichen, in der CCPA-Terminologie „business"), und dem SaaS-Anbieter, der sie in dessen Auftrag verarbeitet (dem Auftragsverarbeiter oder „service provider"), vor.

Diese Mechanik ist der DPA: ein Vertragszusatz zum Master Service Agreement (MSA), der festlegt, wie der Anbieter personenbezogene Daten nutzen, speichern und weitergeben darf. Wenn Ihr SaaS-Anbieter keinen DPA vorlegen kann oder einen Boilerplate-DPA liefert, der das für Ihre Kunden geltende Recht ignoriert, ist das Ihr erstes Warnsignal.

DSGVO: die Vorlage, bei der alle anderen Gesetze abgeschrieben haben

Die Datenschutz-Grundverordnung (DSGVO), seit 2018 im gesamten Europäischen Wirtschaftsraum in Kraft, wird von den nationalen Datenschutzbehörden (Data Protection Authorities, DPAs) der einzelnen EU-Mitgliedstaaten durchgesetzt (zum Beispiel der CNIL in Frankreich, dem Garante in Italien), koordiniert durch den Europäischen Datenschutzausschuss (EDPB).

Die DSGVO verlangt, dass jeder Vertrag zwischen Verantwortlichem und Auftragsverarbeiter mindestens Folgendes enthält (Artikel 28):

• Gegenstand und Dauer der Verarbeitung: welche Daten, wie lange.
• Genehmigung von Subunternehmern: Der Anbieter muss alle nachgelagerten Dienstleister offenlegen (oder eine Zustimmung dafür einholen), etwa AWS für Hosting oder Twilio für Benachrichtigungen.
• Unterstützung bei Betroffenenrechten: Der Anbieter muss dem Verantwortlichen helfen, Auskunfts-, Lösch- und Portabilitätsanfragen innerhalb der gesetzlichen Fristen (in der Regel ein Monat) zu beantworten.
• Meldung von Datenschutzverletzungen: Der Anbieter muss den Verantwortlichen „unverzüglich" nach Kenntnisnahme einer Verletzung informieren, da für den Verantwortlichen selbst eine 72-Stunden-Frist zur Meldung an die zuständige Aufsichtsbehörde läuft.
• Mechanismus für internationale Übermittlungen: Verlassen Daten den EWR, braucht der Vertrag eine Rechtsgrundlage wie die Standardvertragsklauseln (Standard Contractual Clauses, SCCs), die von der EU-Kommission genehmigte Vorlage für grenzüberschreitende Übermittlungen.

Bußgelder nach der DSGVO kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen bis zu 4 % des weltweiten Jahresumsatzes oder 20 Millionen Euro erreichen, je nachdem, welcher Betrag höher ist. Stand 2025 werden die kumulierten DSGVO-Bußgelder in der EU (laut GDPR Enforcement Tracker, einer kostenlosen öffentlichen Datenbank) auf deutlich über 5 Milliarden Euro seit 2018 geschätzt, wobei Meta, Amazon und Google zu den größten Einzelstrafen zählen.

Praktisches Erkennungsmerkmal: Wenn der DPA eines SaaS-Anbieters keinen Bezug auf SCCs enthält und der Anbieter Daten in den USA hostet, ist das eine Lücke beim Übermittlungsmechanismus. Seit das *Schrems II*-Urteil von 2020 das frühere Privacy-Shield-Framework für ungültig erklärt hat, sind SCCs (oder das neuere, 2023 verabschiedete EU-US Data Privacy Framework) der wesentliche rechtmäßige Weg.

CCPA/CPRA: Kaliforniens Vertragsansatz unter anderem Namen

Der California Consumer Privacy Act (CCPA), später erweitert durch den California Privacy Rights Act (CPRA) mit Wirkung ab 2023, wird von der California Privacy Protection Agency (CPPA) durchgesetzt, der ersten US-Behörde, die sich ausschließlich mit Datenschutz befasst.

CCPA/CPRA verwendet nicht die Begriffe „Verantwortlicher/Auftragsverarbeiter". Stattdessen: Das „business" erhebt Daten, und jeder SaaS-Anbieter ist ein „service provider" (oder, wenn ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → Daten für eigene Zwecke nutzt, eine „third party", was strengere Regeln auslöst).

Verträge mit service providern müssen enthalten:

• Eine Beschränkung, dass der Anbieter Daten ausschließlich für den im Vertrag festgelegten Zweck nutzt, nicht für eigene Produktverbesserung oder Ad-Targeting, sofern nicht gesondert offengelegt.
• Ein Verbot für den Anbieter, personenbezogene Daten im Sinne des Gesetzes zu verkaufen oder zu teilen (die CPRA-Definition von „sharing" erfasst nun ausdrücklich kontextübergreifende verhaltensbasierte Werbung).
• Auditrechte, die dem business erlauben, die Compliance des Anbieters zu überprüfen.
• Die Pflicht des Anbieters, das business zu informieren, wenn ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → seine Verpflichtungen nicht mehr erfüllen kann.

Praktisches Erkennungsmerkmal: Die Standardbedingungen vieler SaaS-Anbieter sagen „wir dürfen aggregierte Daten nutzen, um unsere Dienste zu verbessern". Berührt diese Aggregation unter CPRA personenbezogene Daten, ohne nach dem gesetzlichen Standard ordnungsgemäß de-identifiziert zu sein, steht die Klausel im Widerspruch zu den Beschränkungen für service provider. Das ist einer der häufigsten Redline-Streitpunkte in SaaS-Verträgen der Jahre ab 2026.

Anders als die DSGVO gibt CCPA/CPRA Einwohnern Kaliforniens bei bestimmten Datenschutzverletzungen zudem ein eigenes Klagerecht, das heißt Verbraucher kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen klagen, nicht nur die Aufsichtsbehörde. Das erhöht den Einsatz bei den sicherheitsbezogenen Klauseln in Ihrem DPA (Verschlüsselungsstandards, Reaktionszeiten bei Vorfällen).

LGPD: Brasiliens DSGVO-inspiriertes Gesetz mit eigenen Zähnen

Die Lei Geral de Proteção de Dados (LGPD), seit 2020 in Kraft, wird von Brasiliens Autoridade Nacional de Proteção de Dados (ANPD) durchgesetzt. Sie spiegelt die Struktur der DSGVO weitgehend (Verantwortlicher/Auftragsverarbeiter, Rechtsgrundlagen, Betroffenenrechte), hat aber brasilienspezifische Anforderungen:

• Verarbeitungsverträge müssen die herangezogene Rechtsgrundlage benennen (die LGPD kennt zehn Rechtsgrundlagen, nahe an den sechs der DSGVO, aber nicht identisch).
• Die ANPD kann Bußgelder von bis zu 2 % des brasilianischen Umsatzes eines Unternehmens verhängen, begrenzt auf rund 50 Millionen R$ pro Verstoß (etwa 10 Millionen USD, Schätzung, wechselkursabhängig).
• Die Regeln für internationale Übermittlungen reifen noch; die ANPD hat ihre Leitlinien zu Standardvertragsklauseln später als die EU veröffentlicht, weshalb die Template-DPAs vieler Anbieter bei LGPD-spezifischer Übermittlungssprache komplett hinterherhängen.

Praktisches Erkennungsmerkmal: Ein DPA, der DSGVO und CCPA detailliert behandelt, aber nur eine generische Zeile wie „wir halten außerdem geltendes brasilianisches Recht ein" enthält, zeigt, dass der Anbieter keine LGPD-spezifische Mechanik aufgebaut hat. Wenn Sie brasilianische Kunden haben oder Daten brasilianischer Mitarbeiter verarbeiten, ist diese Lücke relevant.

Einen DPA lesen wie ein Einkäufer, nicht wie ein Anwalt

Sie brauchen kein Jurastudium, um die großen Lücken zu finden. Gehen Sie diese Checkliste bei jedem SaaS-DPA durch:

1. Benennt er die anwendbaren Gesetze ausdrücklich (DSGVO, CCPA/CPRA, LGPD), oder bleibt ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → vage („geltende Datenschutzgesetze")? Vage Formulierungen bedeuten oft ungetestete Compliance.

2. Gibt es eine Liste der Subunternehmer, und verpflichtet sich der Anbieter, Sie vor der Aufnahme neuer zu informieren? (Prüfen Sie, ob Unternehmen wie Snowflake, Stripe oder Twilio als eingebettete Subunternehmer auftauchen, das ist normal, muss aber offengelegt werden.)

3. Wie lang ist die Frist zur Meldung von Datenschutzverletzungen? Der DSGVO-Druck schiebt Anbieter Richtung 24 bis 72 Stunden; alles Vage („zeitnah") sollte markiert werden.

4. Gibt es einen Mechanismus für grenzüberschreitende Übermittlungen, wenn die Infrastruktur des Anbieters außerhalb der Jurisdiktion Ihrer Kunden liegt?

5. Sind Auditrechte echt oder symbolisch? Manche DPAs erlauben Audits nur über die eigene Drittzertifizierung des Anbieters (etwa SOC 2 oder ISO 27001) statt über direkte Prüfung. Das ist verbreitet und oft akzeptabel, aber Sie sollten wissen, welches Modell Sie bekommen.

Eine nützliche öffentliche Referenz zum Benchmarking von Klauselformulierungen ist das Resource Center der IAPP (International Association of Privacy Professionals), das kostenlose Erklärstücke zur DPA-Struktur und zu Mechanismen grenzüberschreitender Übermittlungen veröffentlicht.

Key Takeaways

• DSGVO, CCPA/CPRA und LGPD verhängen nicht nur Bußgelder, sie diktieren konkrete Klauseln (Offenlegung von Subunternehmern, Meldefristen bei Datenschutzverletzungen, Übermittlungsmechanismen, Nutzungsbeschränkungen), die in SaaS-DPAs auftauchen müssen.
• Artikel 28 DSGVO ist die Vorlage, um die herum die meisten globalen DPAs gebaut sind; suchen Sie nach SCCs oder einem gleichwertigen Übermittlungsmechanismus, wann immer Daten den EWR verlassen.
• CCPA/CPRA definiert die Beziehung als business/service provider neu und beschränkt Anbieter ausdrücklich darin, Kundendaten für eigene Zwecke zu nutzen oder sie für verhaltensbasierte Werbung zu „teilen".
• Die LGPD spiegelt die Struktur der DSGVO, hat aber eigene Rechtsgrundlagen und ein neueres, weniger ausgereiftes Übermittlungsframework; generische Formulierungen wie „wir halten brasilianisches Recht ein" sind ein Warnsignal.
• Nicht konforme DPAs erkennt man meist an Auslassungen, nicht an Fehlern: fehlende Listen von Subunternehmern, vage Meldefristen und kein benannter Übermittlungsmechanismus sind die drei schnellsten Erkennungsmerkmale.