Ein SaaS-Produkt speichert dauerhaft Nutzerkonten und läuft selten auf einer einzigen, selbst betriebenen Infrastruktur. Hosting, E-Mail-Versand, Zahlungsabwicklung und Support laufen oft über mehrere externe Anbieter, von denen einige außerhalb der EU sitzen. Diese Kette an Subunternehmern korrekt zu erklären, ist einer der komplexesten Teile einer SaaS-Datenschutzerklärung.
Warum eine einzelne AV-Vertrag-Klausel nicht reicht
Viele SaaS-Anbieter schreiben lediglich “wir haben mit allen Dienstleistern einen Auftragsverarbeitungsvertrag abgeschlossen” in die Erklärung und lassen es dabei. Das ist ein guter Anfang, reicht aber nicht: Nutzer sollen nachvollziehen können, welche Kategorien von Subunternehmern eingesetzt werden und wofür. Eine Auftragsverarbeitung ohne diese Transparenz wirkt schnell wie eine Blackbox, gerade für sicherheitsbewusste Kunden, die vor dem Vertragsabschluss genau nachfragen.
Typische Subunternehmer-Kategorien
| Kategorie | Beispiel | Worauf achten |
|---|---|---|
| Hosting/Infrastruktur | Cloud-Anbieter für Server und Datenbank | Serverstandort, Subunternehmer-Kette |
| E-Mail-Versand | Transaktions- und Marketing-Mails | Getrennte Zwecke benennen |
| Zahlungsabwicklung | Abo-Verwaltung, Rechnungsstellung | Eigenständige Verantwortlichkeit prüfen |
| Support/Ticketing | Kundenservice-Software | Zugriff auf Nutzerdaten dokumentieren |
| Analyse/Monitoring | Fehlertracking, Nutzungsstatistiken | Cookiefreie Alternativen prüfen |
Wann liegt ein Drittlandtransfer vor?
Sobald einer dieser Subunternehmer Daten außerhalb der EU oder des EWR verarbeitet, entsteht ein Drittlandtransfer, der zusätzlich abgesichert werden muss, meist über Standardvertragsklauseln. Das betrifft besonders US-Anbieter für Hosting, Analyse oder Support, auch wenn diese eine EU-Niederlassung haben: Entscheidend ist, wo die Daten tatsächlich verarbeitet werden, nicht nur, wo der Anbieter seinen Sitz hat.
Wann kommt eine Datenschutz-Folgenabschätzung ins Spiel?
Verarbeitet dein SaaS-Produkt in großem Umfang Nutzungsdaten oder setzt es systematisches Profiling ein, kann eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich werden, unabhängig von der Größe des Unternehmens. Diese Prüfung gehört zwar nicht direkt in die Datenschutzerklärung, sollte aber vor dem Start einer risikoreichen neuen Funktion durchgeführt werden.
Testkonten und Free-Trials nicht vergessen
Neben zahlenden Kunden verarbeiten viele SaaS-Produkte auch Daten aus kostenlosen Testphasen. Diese Konten werden häufig nie aktiv gelöscht, sondern bleiben nach Ablauf des Trials einfach inaktiv liegen. Lege eine klare Speicherdauer für ungenutzte Testkonten fest, etwa sechs Monate nach der letzten Anmeldung, und erwähne diese Frist in der Datenschutzerklärung.
API-Zugriffe und Integrationen Dritter
Bietet dein SaaS-Produkt eine offene Schnittstelle oder Integrationen mit anderen Tools an, können darüber zusätzliche personenbezogene Daten fließen, teils an Anbieter, die der Nutzer selbst ausgewählt hat. Erkläre in der Datenschutzerklärung, dass bei aktiven Integrationen Daten an die vom Nutzer gewählten Drittanbieter übertragen werden können, und verweise auf deren jeweilige Datenschutzerklärung.
Was gehört konkret in die Erklärung?
Nenne für jede Subunternehmer-Kategorie den Zweck, die Rechtsgrundlage und, bei Drittlandtransfer, den Absicherungsmechanismus. Eine aktuelle, öffentlich zugängliche Liste der Subunternehmer, oft als eigene Unterseite, ist bei größeren SaaS-Produkten inzwischen Standard und schafft zusätzliches Vertrauen bei sicherheitsbewussten Kunden. Aktualisiere diese Liste, sobald sich an der Subunternehmer-Kette etwas ändert, nicht erst bei der nächsten jährlichen Überarbeitung der gesamten Erklärung.
Praxisbeispiel
Ein SaaS-Anbieter für Projektmanagement-Software setzte für Hosting einen europäischen Cloud-Anbieter ein, nutzte aber für den E-Mail-Versand ein US-Tool. In der Datenschutzerklärung ergänzte das Unternehmen eine eigene Tabelle mit allen Subunternehmern, deren Standort und dem jeweiligen Absicherungsmechanismus. Für das US-Tool wurden zusätzlich Standardvertragsklauseln dokumentiert. Ein vollständiges Muster für diesen Website-Typ findest du unter Datenschutzerklärung für SaaS und Apps.