DSGVO für SaaS-Unternehmen
Datenschutz-Pflichten beim Bauen und Betreiben einer Software-as-a-Service
Als SaaS-Anbieter sind Sie Auftragsverarbeiter für Ihre Kunden (Verantwortliche). Dieser Leitfaden zeigt, was deutsche SaaS-Unternehmen praktisch tun müssen, um DSGVO-konform zu arbeiten: AVV-Verträge, Verzeichnis der Verarbeitungstätigkeiten, Datenschutz-Folgenabschätzung, technische und organisatorische Maßnahmen (TOM), sowie Auskunfts- und Löschungs-Workflows.
Auftragsverarbeitung vs. eigene Verantwortung
Bei klassischem SaaS sind Sie Auftragsverarbeiter — Ihre Kunden bleiben datenschutzrechtlich verantwortlich. Sie verarbeiten deren Kundendaten nur 'im Auftrag'. Sonderfall: eigene Marketing-Daten (Newsletter-Abos, Verkaufs-Leads) — hier sind Sie selbst Verantwortlicher und brauchen eigene Rechtsgrundlage (Einwilligung oder berechtigtes Interesse).
AVV-Vertrag — Pflicht und Inhalt
Der Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO regelt die Verarbeitung im Detail: Zweck, Dauer, Art der Daten, Kategorien betroffener Personen, technische Maßnahmen, Sub-Auftragsverarbeiter und Pflichten beider Seiten. Bieten Sie standardmäßig einen AVV zum elektronischen Signieren beim Onboarding an.
Verzeichnis der Verarbeitungstätigkeiten (VVT)
Grundsätzlich für jedes Unternehmen Pflicht; die Ausnahme für Betriebe unter 250 Beschäftigten greift nur bei gelegentlicher, risikoarmer Verarbeitung ohne besondere Datenkategorien. Das Verzeichnis dokumentiert pro Verarbeitungstätigkeit: Zweck, Datenkategorien, Empfänger, Drittlandstransfers, Löschfristen, TOMs. Wird bei Datenschutzbehörden-Anfragen verlangt.
Technische und organisatorische Maßnahmen (TOM)
Verschlüsselung in Übertragung (TLS) und Speicherung (AES-256), regelmäßige Sicherheits-Updates, Pseudonymisierung wo möglich, rollenbasierter Zugriff, Backup-Strategie, Incident-Response-Plan, Mitarbeiter-Schulungen. Dokumentieren Sie diese Maßnahmen — sie sind Teil des AVV.
Auskunfts- und Löschungs-Workflows
Betroffene haben das Recht auf Auskunft (Art. 15) und Löschung (Art. 17) — Sie müssen innerhalb eines Monats reagieren. Automatisieren Sie diese Workflows: Ein-Klick-Auskunft als JSON/PDF-Export aller Daten zur Person, Löschungs-Workflow der alle Datenbanken, Backups und Logs einbezieht. Tests vor Produktivnahme — vorbereiten Sie Vorlagen für die Antworten.
Wie 4b2b dabei unterstützt
Häufig gestellte Fragen
Brauche ich einen Datenschutzbeauftragten?
Pflicht ab 20 Personen, die regelmäßig personenbezogene Daten verarbeiten ODER bei besonderen Datenkategorien (Gesundheit, Religion) ODER bei Profiling/Scoring. Kann intern oder extern sein. Für SaaS oft sinnvoll: externer DSB als Dienstleister.
Was ist mit US-Cloud-Anbietern?
Daten-Transfers in die USA sind seit Schrems II problematisch. EU-US Data Privacy Framework (seit 2023) bietet eine Lösung, aber nur für zertifizierte Empfänger. Best Practice: ausschließlich EU-Hosting wo möglich, ansonsten Standard Contractual Clauses + Risiko-Assessment.
Wie lange muss ich Daten aufbewahren?
So lange wie nötig — danach löschen. Buchhaltungs-Daten 10 Jahre (steuerlich), Vertragsdaten 6 Jahre, Marketing-Daten typisch 3 Jahre nach letztem Kontakt (Einwilligungs-Verlängerung). Definieren Sie Löschfristen pro Datenkategorie im VVT.
Müssen wir eine Datenschutz-Folgenabschätzung (DSFA) machen?
Pflicht bei hohem Risiko: Profiling/Scoring, große Mengen besonderer Daten, Video-Überwachung. SaaS für Standard-Geschäftsdaten (Rechnungen, CRM) brauchen typisch keine DSFA. Im Zweifel: dokumentiertes Risiko-Assessment macht sicher.
Welche Strafen drohen bei Verstößen?
Bis zu 20 Mio € oder 4% des weltweiten Jahresumsatzes (je nachdem was höher ist). Praktisch werden Strafen je nach Schwere zugemessen — bei kleineren Verstößen sind Warnungen und Auflagen häufiger als hohe Bußgelder.
Passende Lösungen & Branchen
Setzen Sie die Inhalte dieses Leitfadens direkt um — mit konkreten 4b2b-Lösungen und branchenspezifischen Beispielen.