SaaS-Verträge prüfen: 15-Punkte-Checkliste für KMU

Das Unterschreiben eines SaaS-Vertrags ist eine der am meisten unterschätzten finanziellen Entscheidungen in KMU. Du prüfst die Funktionen, testest die kostenlose Version, vergleichst vielleicht die Preise mit denen der Konkurrenz — und klickst dann auf „Unterschreiben“, ohne die 47 Seiten Nutzungsbedingungen zu lesen. Großer Fehler. Wir haben schon Unternehmen erlebt, die in Verträgen mit automatischer Verlängerung festhingen, Preiserhöhungen von 30 % pro Jahr hinnehmen mussten und nicht mehr wechseln konnten, weil ihre Daten im System eingesperrt waren.

Diese Checkliste zeigt dir 15 unverzichtbare Punkte, die du vor der Unterschrift überprüfen solltest. Manche Klauseln sind verhandelbar (besonders bei Jahresverträgen), andere sind absolute Warnsignale. Am Ende weißt du genau, welche Fragen du dem Anbieter stellen solltest und wann du besser die Finger davon lässt.

Die 15-Punkte-Checkliste für SaaS-Verträge

1. Datenverarbeitungsvertrag (AVV/DPA) – Unverzichtbar

Wenn deine SaaS-Software personenbezogene Daten verarbeitet (sogar nur E-Mail-Adressen von Mitarbeitern oder Kundennamen), verlangt Artikel 28 DSGVO einen unterzeichneten Datenverarbeitungsvertrag. Das ist nicht optional. Der Anbieter muss einen unterzeichneten AVV vorlegen, bevor du seinen Service nutzt. Falls nicht, ist das ein großes Warnsignal.

Achte auf diese 10 Pflichtklauseln im AVV: Gegenstand und Dauer, Art der Verarbeitung, Datenkategorien, Verpflichtungen des Auftragsverarbeiters, Weisungen von dir, Vertraulichkeit, technische und organisatorische Maßnahmen (TOMs), Regeln zu Unterauftragsverarbeitern und Prüfrechte.

Erfahre mehr über die notwendigen Inhalte eines AVV in unserem ausführlichen Leitfaden zu Datenverarbeitungsverträgen und DSGVO-Compliance.

2. Speicherort der Daten

Wo sind deine Daten physisch gespeichert? Auf EU-Servern, US-Servern oder anderswo? Das ist wichtig für Compliance und Leistung. Daten im EU-Raum genießen stärkeren rechtlichen Schutz nach der DSGVO. Daten, die in die USA übertragen werden, benötigen entweder eine Zertifizierung nach dem EU-U.S. Data Privacy Framework oder Standardvertragsklauseln (SCCs).

Frage den Anbieter: Kannst du den Standort des Rechenzentrums wählen? Werden Daten über mehrere Regionen repliziert? Nutzen sie Unterauftragsverarbeiter, die Daten außerhalb der EU speichern?

3. Datenportabilität und Exportoptionen

Was passiert, wenn du gehen möchtest? Kannst du alle deine Daten in standardisierten Formaten exportieren (CSV, XML, API)? Wie lange dauert der Export? Kostet das extra? Manche Anbieter machen das technisch einfach, berechnen aber ein kleines Vermögen für den Vorgang, in der Hoffnung, dass du bleibst.

Idealklausel: „Der Nutzer kann jederzeit alle Daten in Standardformaten ohne zusätzliche Kosten innerhalb von 30 Tagen nach Anfrage exportieren.“

4. Verfügbarkeitsgarantien im Service Level Agreement (SLA)

Der Unterschied zwischen 99,5 % und 99,9 % Verfügbarkeit ist echtes Geld. So sieht die Rechnung aus:

Prüfe, ob die SLA 24/7 oder nur während der Geschäftszeiten gilt. Eine 99,9-%-SLA, die nicht an Wochenenden gilt, ist wertlos, wenn deine Buchhaltungssoftware am Samstagmorgen ausfällt.

5. Automatische Verlängerung und Kündigungsfrist

Hier entstehen versteckte Abrechnungs-Albträume. Viele SaaS-Verträge verlängern sich automatisch jedes Jahr, es sei denn, du schickst 30-60 Tage vor Ablauf eine schriftliche Kündigung. Falls du das vergisst (und das wirst du, weil du beschäftigt bist), wird dir automatisch ein weiteres Jahr berechnet.

Was du überprüfen solltest: Wie lange ist die Kündigungsfrist? Kannst du per E-Mail kündigen oder muss es beglaubigt sein? Versendet der Anbieter Erinnerungen? Gibt es nach der automatischen Verlängerung eine Rückgabefrist, wenn du sofort kündigst?

6. Preiserhöhungsklauseln

Anbieter behalten sich oft das Recht vor, deine Preise jedes Jahr ohne Zustimmung zu erhöhen. Standardformulierungen lauten vielleicht „Preise können um bis zu 5 % pro Jahr erhöht werden“, aber wir haben Verträge ohne Obergrenze gesehen.

Bessere Klausel: „Die Preise sind für den Vertragszeitraum festgelegt. Preiserhöhungen bei darauffolgenden Verlängerungen übersteigen nicht den europäischen Verbraucherpreisindex plus 2 %, und wir benachrichtigen Sie mindestens 60 Tage im Voraus. Sie können ohne Strafe kündigen, wenn Sie der neuen Preisgestaltung nicht zustimmen.“

7. Kosten für Benutzer- und Lizenzausweitung

Manche Tools berechnen pro Nutzer, pro Lizenz, pro Transaktion oder nach einer Kombination. Frage nach: Gibt es Mindestlizenzanforderungen? Was passiert, wenn du Benutzer temporär reduzierst (um zu sparen)? Kannst du monatlich skalieren oder ist es auf Quartale begrenzt?

Für wachsende Teams solltest du Mengenrabatte oder pauschale Preise für eine bestimmte Anzahl von Benutzern aushandeln.

8. Überschreitungsgebühren

Wenn dein Plan 1.000 API-Aufrufe pro Monat enthält, aber du 1.500 nutzt, was passiert? Wirst du automatisch pro Überschreitung berechnet? Wie hoch ist die Überschreitungsgebühr? Manche Anbieter haben vernünftige Preise, andere berechnen das 10fache, um dich zu drängen zu upgraden.

Gute Praxis: Harte Grenzen setzen und vor Überschreitungsgebühren die Zustimmung des Anbieters einholen oder Überschreitungskosten in die jährliche Planung einbeziehen.

9. Haftungsbegrenzung

Falls das System des Anbieters dir Schaden zufügt (Ausfallzeiten, Datenverlust, Sicherheitsverletzung), wie viel kannst du von ihm fordern? Viele SaaS-Verträge begrenzen die Haftung auf „eine Monatsgebühr“ oder „den Jahresvertragswert“, je nachdem, welcher Wert niedriger ist. Das ist anbieterfreundlich und käuferunfreundlich.

Besser: Die Haftung für Datenverletzungen oder Sicherheitsfehler sollte unbegrenzt oder auf ein vernünftiges Vielfaches der Jahresgebühren (12-24 Monate) begrenzt sein. Für geschäftskritische Tools lohnt sich diese Verhandlung.

10. Datenlöschung nach Vertragsende

Wenn dein Vertrag endet, was passiert mit deinen Daten? Der Anbieter sollte sie innerhalb von 30 Tagen nach Anfrage löschen (laut DSGVO). Aber manche Verträge enthalten Formulierungen wie „Daten können für Backups bis zu 90 Tage aufbewahrt werden“ oder noch länger. Bei sensiblen Daten ist das ein Compliance-Problem.

Überprüfe: Verspricht der Vertrag vollständige Löschung oder nur „beste Bemühungen“? Gibt es eine Löschfrist? Bescheinigt der Anbieter die Löschung schriftlich?

11. Liste der Unterauftragsverarbeiter und Benachrichtigungsrechte

Dein SaaS-Anbieter verarbeitet Daten nicht allein. Er nutzt Unterauftragsverarbeiter (Zahlungsabwickler, Cloud-Infrastruktur, Analytik, Support-Tools). Du hast das Recht zu wissen, wer sie sind, und kannst Einspruch erheben, wenn neue hinzukommen.

Prüfe im Vertrag: Stellt der Anbieter eine aktuelle Liste der Unterauftragsverarbeiter bereit? Benachrichtigt er dich, bevor er neue hinzufügt? Kannst du Einspruch erheben? Falls er sich weigert, das offenzulegen, ist das ein DSGVO-Compliance-Warnsignal.

12. Support-SLA und Servicezeiten

Wie schnell antworten sie auf Support-Anfragen? Ist Support 24/7 oder nur während Geschäftszeiten verfügbar? Was ist bei Notfällen? Manche bieten nur E-Mail-Support (langsam), andere haben Telefon und Chat (schnell). Für geschäftskritische Tools solltest du ausreichende Support-Abdeckung sichern.

Gute SLA: E-Mail-Antwort innerhalb von 4 Stunden, Notfälle innerhalb von 1 Stunde, dedizierter Account Manager für Jahresverträge.

13. API-Zugang und Integrationsrechte

Kannst du Integrationen mit anderen Tools über die API des Anbieters erstellen? Gibt es Einschränkungen bei der API-Nutzung? Manche Verträge erlauben API-Zugang, verbieten aber Wiederverkauf oder den Bau konkurrierender Produkte.

Überprüfe: Gibt es Rate-Limits für API-Aufrufe? Berechnen sie den API-Zugang separat? Können sie die API ändern oder einstellen? Für Integrationen mit deiner Buchhaltungssoftware oder CRM musst du ausreichenden API-Zugang sichern.

14. Eigentum an deinen Daten

Das sollte offensichtlich sein, aber es lohnt sich, schriftlich zu bestätigen: Deine Daten gehören dir. Der Anbieter speichert und verarbeitet sie nur. Manche schlecht formulierten Verträge suggerieren, dass der Anbieter ein Urheberrecht an abgeleiteten Werken oder weitreichende IP-Rechte an deinen Geschäftsdaten hat.

Standardklausel: „Alle vom Kunden bereitgestellten Daten bleiben Eigentum des Kunden. Der Anbieter darf Daten nur soweit nutzen, wie es zur Erbringung der Dienstleistung notwendig ist.“

15. Austrittshilfe und Übergangszeitraum

Wenn du gehst: Unterstützt dich der Anbieter beim Wechsel? Bietet er Unterstützung beim Datenexport, API-Dokumentation oder einen Übergangszeitraum an, in dem du beide Systeme parallel nutzen kannst?

Bessere Klausel: „Bei Vertragsende stellt der Anbieter angemessene Migrationshilfe ohne zusätzliche Kosten für bis zu 30 Tage bereit. Dies umfasst API-Zugang, Dokumentation und technische Unterstützung während des Übergangszeitraums.“

Datenschutz-Frameworks verstehen

EU-U.S. Data Privacy Framework und Standardvertragsklauseln

Falls dein SaaS-Anbieter Daten in den USA speichert, brauchst du rechtliche Mechanismen, um sicherzustellen, dass die Daten angemessenen Schutz erhalten. Das EU-U.S. Data Privacy Framework (angenommen im Juli 2023) ist der wichtigste Mechanismus. Falls dein Anbieter nicht nach diesem Framework zertifiziert ist, müssen Standardvertragsklauseln (SCCs) verwendet werden.

Prüfe auf der Website des Anbieters, welchen Mechanismus er für Datenübermittlungen nutzt. Er sollte klar angeben: „Wir sind nach dem EU-U.S. Data Privacy Framework zertifiziert“ oder „Wir verwenden Standardvertragsklauseln für Datenübermittlungen in die USA.“

Tabelle der Warnsignale: Was diese Klauseln wirklich bedeuten

Praxisbeispiel: Die Buchhaltungssoftware-Falle

Sarahs Beratungsfirma nutzte drei Jahre lang ein beliebtes Buchhaltungs-SaaS-Tool. Die Preise waren angemessen, die Features waren solide, und es ließ sich in ihr CRM integrieren. Dann, bei der Vertragsverlängerung, kündigte der Anbieter eine Preiserhöhung um 35 % an.

Sarah beschloss zu wechseln. Doch dabei erwies sich der Vertrag als Albtraum: Der bisherige Anbieter bot keine klare Datenexport-Option. Um die Finanzunterlagen aller drei Jahre herauszubekommen, brauchte Sarah einen Berater, der CSV-Dateien aus der API rekonstruierte. Die Migration kostete 4.000 Euro und dauerte drei Wochen.

Lektion: Das Einsperren von Daten ist real. Prüfe vor der Unterschrift immer die Exportoptionen. Falls ein Anbieter das schwierig oder teuer macht, ist das ein bewusster Vendor Lock-in, und du solltest weiterziehen.

Was in SaaS-Verträgen wirklich verhandelbar ist

Du denkst vielleicht, SaaS-Verträge seien Friss-oder-stirb, aber Anbieter sind oft flexibler als gedacht. Das ist normalerweise verhandelbar, besonders bei Jahres- oder Mehrjahresverträgen:

• Preis und Mengenrabatte (5-20 % bei jährlicher Bindung)
• Datenspeicherort (EU vs. USA)
• SLA-Verfügbarkeitsgarantien (besonders bei geschäftskritischen Tools)
• Haftungsobergrenzen (unbegrenzt für Datenverletzungen)
• Preiserhöhungslimits (Obergrenze 5-10 % statt unbegrenzt)
• Kündigungsfristen (von 60 auf 30 Tage verkürzen)
• Support-SLA (Telefon-Support oder schnellere Reaktionszeiten hinzufügen)
• Datenlöschfrist (von 90 auf 30 Tage verkürzen)
• Automatische Verlängerungsbedingungen (Zustimmung per E-Mail statt automatisch)
• Benachrichtigung über Unterauftragsverarbeiter (Einspruchsrechte bei neuen Unterauftragsverarbeitern)

Was normalerweise NICHT verhandelbar ist: Kernfunktionen, zugrunde liegende Nutzungsbedingungen oder grundlegende Compliance-Anforderungen.

Wie du verhandelst

Beginne mit einer E-Mail an den Anbieter: „Wir sind an einem 2-Jahres-Vertrag mit Ihrer Plattform interessiert. Bevor wir weitermachen, haben wir ein paar Standardanforderungen bezüglich Datensicherheit, SLA-Garantien und Preisgestaltung. Könnten wir einen Anruf vereinbaren?“

Anbieter sind bei längeren Vertragslaufzeiten viel verhandlungsbereiter. Ein einjähriges monatliches Abonnement ist ihnen die Verhandlung nicht wert. Aber ein 3-Jahres-Vertrag mit 50 Benutzern? Da hast du einen Hebel.

Nimm einen Kollegen aus deinem Finanz- oder Rechtsteam zu den Verhandlungen mit. Zwei Stimmen werden ernster genommen als eine.

Wichtige Tools und Services für die Prüfung von SaaS-Verträgen

Kombiniere für ein umfassendes SaaS-Management die Vertragsprüfung mit robuster Finanzsoftware. Viele moderne Buchhaltungs- und Abrechnungsplattformen lassen sich in SaaS-Tools integrieren und bieten SLA-Überwachung und Kostenanalyse.

Beliebte Optionen für KMU sind Cloud-basierte Abrechnungs- und Buchhaltungssoftware, die alle deine SaaS-Abos an einem Ort erfassen. Das gibt dir Transparenz darüber, welche Tools am meisten kosten und wann die Verlängerungen anstehen.

Für datenintensive SaaS-Tools (besonders CRM oder HR-Systeme) stelle sicher, dass deine Buchhaltungs- und Finanzplattform sich per API integrieren lässt. Das verhindert Vendor Lock-in und macht einen späteren Wechsel einfacher.

Die Checkliste zum Ausdrucken und Verwenden

Hier findest du eine einfache Version zum Ausdrucken oder Speichern:

• [ ] DPA/AVV vorhanden und von beiden Parteien unterzeichnet
• [ ] Speicherort(e) der Daten offengelegt und akzeptabel
• [ ] Datenexport ist kostenlos, einfach und in Standardformaten verfügbar
• [ ] SLA-Verfügbarkeitsgarantie erfüllt deine Anforderungen (fordere 99,9 % oder besser)
• [ ] Automatische Verlängerungsfristen sind 30-60 Tage, per E-Mail kündbar
• [ ] Jährliche Preiserhöhungen sind auf 5-10 % begrenzt
• [ ] Kosten für Benutzer-/Lizenzausweitung sind klar und vorhersehbar
• [ ] Überschreitungsgebühren sind offengelegt mit Preisen pro Einheit
• [ ] Haftungsgrenzen sind vernünftig (nicht nur eine Monatsgebühr)
• [ ] Datenlöschung garantiert innerhalb von 30 Tagen nach Anfrage
• [ ] Liste der Unterauftragsverarbeiter vorhanden; du hast Benachrichtigungsrechte
• [ ] Support-Reaktionszeiten erfüllen deine Anforderungen an Geschäftszeiten
• [ ] API-Zugang enthalten, mit vernünftigen Rate-Limits
• [ ] Dein Dateneigentum ist ausdrücklich anerkannt
• [ ] Übergangshilfe bei Vertragsende angeboten

Nächste Schritte

Bevor du deinen nächsten SaaS-Vertrag unterschreibst, drucke diese Checkliste aus und arbeite alle 15 Punkte durch. Für geschäftskritische Tools (Buchhaltung, HR, CRM) erwäge, den Vertrag von einem Anwalt oder Vertragsexperten prüfen zu lassen. Die Kosten einer 1-2-Stunden-Überprüfung werden oft innerhalb des ersten Jahres durch bessere Verhandlungsbedingungen ausgeglichen.

Wichtigste Regel: Unterschreibe niemals einen SaaS-Vertrag ohne ordnungsgemäßen AVV, falls personenbezogene Daten verarbeitet werden. Das ist eine gesetzliche Verpflichtung, keine Option. Falls ein Anbieter das ablehnt, finde einen anderen.

Hast du Fragen zu bestimmten SaaS-Verträgen? Brauchst du Hilfe bei der Prüfung einer Vereinbarung mit einem Anbieter? Unser Netzwerk von Vertragsexperten kann helfen.