Beispieldaten – kein echter Kundenvertrag

SaaS-Vertrag mit SLA und AVV – Beispielreport

Beim SaaS-Vertrag steht das Entscheidende meist nicht im Vertrag, sondern im SLA und im Auftragsverarbeitungsvertrag. Dieser Beispielbericht liest alle drei zusammen.

So sieht das Ergebnis einer Prüfung aus: 5 Befunde, davon 3 als kritisch eingestuft. Jeder Befund nennt die Fundstelle im Wortlaut, die Einordnung und einen Prüfhinweis. Alle Klauseln sind erfunden.

Eigenen Vertrag kostenlos prüfen SaaS-Vertrag prüfen

Risikoübersicht

kritische Befunde

Punkte zum Prüfen

SaaS-Vertrag (B2B)

erkannte Vertragsart

kritisch

Preisanpassung nach billigem Ermessen

„Der Anbieter ist berechtigt, die Vergütung einmal jährlich nach billigem Ermessen anzupassen. Die Anpassung wird mit der nächsten Rechnung wirksam.“

Kein Anlass, keine Obergrenze, kein Sonderkündigungsrecht. Die Klausel legt das Kalkulationsrisiko beim Kunden ab; Preisanpassungsklauseln dieser Art sind erfahrungsgemäß häufig Gegenstand von Auseinandersetzungen.

Prüfhinweis: Klärung mit dem Anbieter, woran sich Preisanpassungen orientieren und ob eine Obergrenze gilt.

kritisch

Kein Datenexport nach Vertragsende

„Mit Beendigung des Vertrages erlischt der Zugang. Der Anbieter löscht die Kundendaten nach Ablauf von 14 Tagen.“

Der Vertrag enthält keine Zusage zu Format, Umfang oder Ausleitung der Daten. Ohne Exportregelung ist ein Anbieterwechsel praktisch erschwert.

Prüfhinweis: Klärung mit dem Anbieter, in welchem Format und bis wann Daten nach Vertragsende exportiert werden können.

Diese Klauseln stehen selten so offen im Vertrag. Meist verteilen sie sich über mehrere Abschnitte, und erst zusammengelesen ergeben sie ein Risiko.

Diese Punkte im eigenen Vertrag finden

kritisch

Unterauftragsverarbeiter pauschal genehmigt

„Der Kunde erteilt seine allgemeine Genehmigung zur Beauftragung weiterer Unterauftragsverarbeiter.“

Art. 28 Abs. 2 DSGVO sieht bei allgemeiner Genehmigung eine vorherige Information über Änderungen und eine Einspruchsmöglichkeit vor. Beides ist hier nicht geregelt. Hier besteht erhöhter Prüfbedarf.

Prüfhinweis: Abgleich mit Art. 28 DSGVO sinnvoll; bei Bedarf datenschutzrechtlich beraten lassen.

prüfen

Verfügbarkeit im Jahresmittel

„Der Anbieter gewährleistet eine Verfügbarkeit von 99 % im Jahresmittel, gemessen am Rechenzentrumsausgang.“

99 Prozent im Jahr entsprechen 3,65 Tagen Ausfall. Die Jahresbetrachtung verdeckt, dass ein einzelner mehrtägiger Ausfall die Quote kaum bewegt. Der Messpunkt am Rechenzentrumsausgang lässt die eigene Anbindung außen vor.

Prüfhinweis: Vergleich mit marktüblichen Konditionen sinnvoll, insbesondere zu Messzeitraum und Messpunkt.

prüfen

Reaktionszeit ohne Wiederherstellungszeit

„Bei Störungen der Priorität 1 reagiert der Support innerhalb von 4 Stunden während der Servicezeiten.“

Eine Reaktionszeit sagt, wann jemand antwortet, nicht wann der Dienst wieder läuft. Eine Wiederherstellungszeit ist nicht vereinbart.

Prüfhinweis: Klärung mit dem Anbieter, welche Wiederherstellungszeiten je Priorität gelten.

Wo die KI-Prüfung nicht reicht

Die Datenschutz-Folgenabschätzung: Ob Ihre Verarbeitung eine DSFA nach Art. 35 DSGVO braucht, hängt an Ihrem Anwendungsfall, nicht am Vertragstext.
Die technische Prüfung des Anbieters: Ob die zugesagten technischen und organisatorischen Maßnahmen tatsächlich umgesetzt sind, zeigt ein Audit oder ein Zertifikat, kein Dokument.
Die Verhandlung selbst: Bei Standardverträgen großer Anbieter ist die eigentliche Frage, was sich überhaupt ändern lässt. Das ist eine Frage der Verhandlungsmacht.

Alles zur Prüfung dieser Vertragsart

Beispieldaten zu Demonstrationszwecken. Die Klauseln sind erfunden und stammen aus keinem Kundenvertrag. CheckVertrag ist eine KI-gestützte Vorprüfung und ersetzt keine Rechtsberatung und keine Rechtsdienstleistung (Deutschland: RDG, Österreich: RAO).