Wissen · Enterprise & Procurement
Recht. Klar. Erklärt.

Enterprise-Deals: Wie SaaS die Procurement-Prüfung besteht

Der Deal ist mündlich zugesagt, dann übernimmt der Einkauf des Konzerns und plötzlich entscheiden Fragebogen, Redlining und Datenschutzprüfung über Ihre Unterschrift. Dieser Leitfaden zeigt, worauf große Kunden prüfen und wie Sie vorbereitet in die Verhandlung gehen.

◆Stand: September 2026 · 250+ Vertragserstellungen · 100+ Vertragsverhandlungen

Inhalt

1. Warum große Deals an der Rechtsprüfung hängen

In größeren Unternehmen kauft nicht die Fachabteilung, die Ihr Produkt will, sondern ein eigener Einkauf, der Risiken für das gesamte Haus abwägt. Sobald das Fachteam überzeugt ist, wandert Ihr Angebot in einen strukturierten Freigabeprozess, in dem Recht, Datenschutz und IT-Sicherheit unabhängig voneinander prüfen. Genau an dieser Stelle scheitern viele technisch hervorragende Anbieter, weil sie den kommerziellen Teil vorbereitet haben, den rechtlichen aber nicht.

Für Sie heißt das: Der Vertrag ist kein Formalakt am Ende, sondern der eigentliche Engpass. Wer hier vorbereitet ist, verkürzt die Zeit bis zur Unterschrift, statt den Deal über Wochen in der Rechtsabteilung des Kunden liegen zu lassen.

2. Wer im Konzern prüft und worauf

Hinter dem Wort „Procurement“ stehen meist mehrere Rollen, die parallel arbeiten und jeweils ihre eigene Freigabe erteilen müssen. Wenn Sie wissen, wer was prüft, können Sie die passenden Antworten liefern, bevor die Frage gestellt wird.

  • Einkauf / Procurement: steuert den Prozess, verhandelt Preis, Laufzeit und die kommerziellen Bedingungen.
  • Rechtsabteilung (Legal): prüft Haftung, Freistellung, geistiges Eigentum, Kündigung und anwendbares Recht.
  • Datenschutz: prüft die Auftragsverarbeitung, Subprozessoren und einen etwaigen Drittland-Transfer.
  • IT-Sicherheit: prüft technische und organisatorische Maßnahmen, Zertifikate und den Umgang mit Vorfällen.

Diese Rollen sprechen unterschiedliche Sprachen und haben unterschiedliche Sorgen. Ein Angebot, das alle vier bedient, kommt spürbar schneller durch als eines, das nur die Fachabteilung überzeugt.

3. Der Vendor-Fragebogen und das Security Assessment

Fast jeder größere Kunde schickt vor der Vertragsverhandlung einen Fragebogen, oft als Vendor Security Assessment bezeichnet. Darin geht es um Ihre Sicherheitsarchitektur, den Standort der Datenverarbeitung, Ihre Subdienstleister, Zertifizierungen und Ihren Notfallprozess bei Vorfällen. Rechtlich ist der Fragebogen mehr als eine Lästigkeit, denn Ihre Antworten werden regelmäßig zur Vertragsgrundlage und binden Sie später.

Deshalb gehören die Antworten abgestimmt zwischen dem, was technisch tatsächlich gilt, und dem, was Sie vertraglich zusagen wollen. Wer hier zu großzügig antwortet, verspricht ein Sicherheitsniveau, das er im Ernstfall halten muss. Ein einmal sauber aufgesetzter Antwortkatalog lässt sich bei jedem neuen Deal wiederverwenden und spart erheblich Zeit.

4. Wenn der Kunde sein eigenes Papier schickt

Ab einer gewissen Größe akzeptiert der Kunde Ihre AGB nicht mehr, sondern legt seinen eigenen Rahmenvertrag oder seine Einkaufsbedingungen vor. Diese Papiere sind aus Sicht des Kunden geschrieben und verlagern Risiken bewusst auf den Anbieter, etwa bei Haftung, Freistellung, Verfügbarkeit und Vertragsstrafen. Sie ungeprüft zu unterschreiben, kann teurer werden als der gesamte Deal wert ist.

Die Antwort darauf ist ein strukturiertes Redlining: eine markierte Fassung, die zeigt, welche Punkte Sie akzeptieren, welche Sie anpassen und welche Sie nicht mittragen. Dabei kommt es darauf an, die wenigen wirklich kritischen Klauseln von den vielen verhandelbaren zu trennen und jede Änderung sachlich zu begründen. So verhandeln Sie aus einer klaren Position, ohne den Deal durch Prinzipienreiterei an unwichtiger Stelle zu gefährden.

5. Die fünf Punkte, an denen es hakt

Quer durch alle Enterprise-Verhandlungen sind es immer wieder dieselben Stellen, an denen sich die Fronten verhärten:

◆

Haftung & Haftungshöhe

Großkunden fordern gern unbegrenzte Haftung. Ausgewogen ist eine Begrenzung, die nach Schadensart differenziert und Ihr Geschäftsrisiko kalkulierbar hält, statt es unbegrenzt zu öffnen.

◆

Freistellung (Indemnification)

Die Pflicht, den Kunden von Ansprüchen Dritter freizustellen, kann weit gefasst sein. Sie gehört auf das begrenzt, was Sie wirklich verantworten, etwa Schutzrechtsverletzungen an Ihrer Software.

◆

Datenschutz & AVV

Ohne saubere Auftragsverarbeitung nach Art. 28 DSGVO kommt kein großer Deal durch die Datenschutzprüfung. Subprozessoren und Drittland-Transfer sind die typischen Streitpunkte.

◆

Sicherheit & Audit-Rechte

Kunden verlangen Nachweise, Meldepflichten bei Vorfällen und teils Audit-Rechte. Diese gehören so gefasst, dass sie prüfbar sind, ohne Ihren Betrieb lahmzulegen.

◆

Verfügbarkeit & Vertragsstrafen

SLA-Zusagen mit pauschalen Strafen können teuer werden. Belastbar sind klare Messgrößen und Rechtsfolgen, die im Verhältnis zum Schaden stehen.

Grundlagen dazu: Der SaaS-Vertrags-Leitfaden

6. Die DPA-Verhandlung mit Enterprise-Kunden

Sobald Ihr Dienst personenbezogene Daten im Auftrag des Kunden verarbeitet, verlangt Art. 28 DSGVO eine Auftragsverarbeitungsvereinbarung, im internationalen Geschäft häufig Data Processing Agreement genannt. Großkunden bringen dazu ihre eigene Vorlage mit, die oft strengere Pflichten enthält, als das Gesetz verlangt. Kritisch sind vor allem die Zustimmung zu Ihren Subprozessoren, die Regelung des Drittland-Transfers bei US-Diensten und der Umfang von Audit- und Informationsrechten.

Eine gute Verhandlung sorgt dafür, dass die AVV zu Ihrer tatsächlichen technischen Landschaft passt und Sie nicht Pflichten zusagen, die Sie im Betrieb nicht abbilden können. Wer hier eine geprüfte eigene Fassung bereithält, verhandelt schneller und muss nicht bei jeder Vorlage von vorne beginnen. Was eine AVV nach Art. 28 DSGVO inhaltlich zwingend regeln muss, wenn Sie sie von Grund auf aufsetzen, ordnet der Beitrag zu den AVV-Grundlagen ein; hier auf dieser Seite geht es um die Verhandlung des Kundenpapiers selbst.

7. Pilot, POC und Letter of Intent

Viele Enterprise-Deals beginnen mit einer Testphase, einem Proof of Concept oder einer Absichtserklärung (Letter of Intent). Diese Vorstufen wirken unverbindlich, können aber rechtlich mehr Gewicht haben, als beide Seiten meinen. Deshalb sollte von Anfang an klar geregelt sein, was in der Pilotphase gilt: Wem gehören die Ergebnisse, wie steht es um Vertraulichkeit, wer haftet, und was passiert mit den Daten, wenn aus dem Pilot kein Vertrag wird.

Ein sauber aufgesetzter Pilot schafft Vertrauen und hält zugleich fest, dass die eigentliche Leistungspflicht erst mit dem Hauptvertrag beginnt. Eine Absichtserklärung sollte deutlich machen, welche Teile bindend sind, etwa Vertraulichkeit, und welche nur den Verhandlungswillen ausdrücken.

8. Freigabeprozesse, die Deals nicht ausbremsen

Je größer Ihr eigenes Unternehmen wird, desto mehr braucht auch Ihre Seite einen geordneten Freigabeprozess. Sonst hängt jeder Vertrag an einer einzelnen Person, und Verhandlungen ziehen sich, weil intern niemand entscheiden darf. Ein belastbarer Prozess legt fest, welche Zugeständnisse ohne Rückfrage möglich sind, ab welcher Schwelle jemand mitzeichnen muss und wer im Zweifel entscheidet.

Das Ziel ist das Gegenteil von mehr Bürokratie: klare Leitplanken, innerhalb derer Ihr Vertrieb schnell zusagen kann, ohne jedes Mal auf eine rechtliche Einzelprüfung zu warten. Genau diese Leitplanken lassen sich einmal aufsetzen und dann bei jedem Deal nutzen.

9. Alle Vertiefungs-Beiträge nach Anlass

Die zwölf Beiträge dieses Clusters vertiefen einzelne Stationen der Procurement-Prüfung. Am schnellsten finden Sie den passenden, wenn Sie ihn nach Ihrem aktuellen Anlass wählen:

Der Fragebogen des Kunden liegt auf dem Tisch

Der Kunde schickt sein eigenes Vertragspapier (Redlines kommen)

Ein Pilot, POC oder LOI steht vor dem eigentlichen Vertrag

Konditionen und Durchsetzung des laufenden Deals

Betrifft die Prüfung Ihres Kunden vor allem die Haftungs- und AGB-Grundlagen des laufenden SaaS-Betriebs statt der Enterprise-Verhandlung selbst, ordnet der SaaS-Verträge-Leitfaden das ein. Geht es speziell um die Auftragsverarbeitung Ihres eigenen SaaS-Angebots als Anbieter, unabhängig von einer konkreten Kundenverhandlung, ist der DSGVO-Leitfaden für SaaS-Unternehmen die richtige Grundlage; dieser Leitfaden hier bleibt bei der Verhandlungssituation mit dem Großkunden.

Ein Enterprise-Deal hängt gerade an der Rechtsprüfung? Ob Vendor-Fragebogen, Redlining des Kundenpapiers, DPA-Verhandlung oder ein Freigabeprozess, der mitwachsen soll, das setzen wir konkret um.

Software- & Enterprise-Verträge (Leistung)Grundlagen: Der SaaS-Vertrags-LeitfadenLaufende Begleitung als externe Rechtsabteilung
Fragen aus der Praxis

Häufige Fragen

In aller Regel nicht. Unbegrenzte Haftung ist ein Verhandlungspunkt. Üblich und ausgewogen ist eine Begrenzung, die nach Schadensart differenziert und Ihr Risiko kalkulierbar hält, sofern Sie die wenigen Fälle kennen, in denen eine Begrenzung nicht trägt, und den Rest sachlich verhandeln.
Ein Fragebogen des Kunden zu Ihrer IT-Sicherheit, Datenverarbeitung, Ihren Subdienstleistern und Ihrem Notfallprozess. Er ist mehr als eine Formalie, weil Ihre Antworten oft zur Vertragsgrundlage werden. Deshalb sollten Technik und Recht die Antworten gemeinsam abstimmen, damit Sie nur zusagen, was Sie im Ernstfall auch halten können.
Ja. Große Kunden legen ihr eigenes Papier vor, das Risiken bewusst auf den Anbieter verlagert. Ein strukturiertes Redlining trennt die wenigen kritischen Klauseln von den vielen verhandelbaren und begründet jede Änderung. So verhandeln Sie die wichtigen Punkte, ohne den Deal an unwichtiger Stelle zu gefährden.
Das hängt vom Inhalt ab, nicht vom Titel. Manche Teile sind bewusst bindend, etwa Vertraulichkeit oder Exklusivität, andere drücken nur den Verhandlungswillen aus. Entscheidend ist deshalb, im Dokument klar zu kennzeichnen, was gelten soll und was nicht. Sonst entsteht eine Bindung, die niemand geplant hat.
CH

Bereiten wir Haftung, Datenschutz und Freigaben für Ihre nächste Enterprise-Verhandlung vor.

Ich ordne den Kundenvertrag ein, beantworte den Sicherheitsfragebogen mit, verhandle die AVV und zeige Ihnen, wo Ihr Risiko liegt.

Erstgespräch anfragen

Das Formular ist der erste Schritt. Ich melde mich innerhalb von 48 Stunden an Werktagen persönlich. Wenn es passt, vereinbaren wir danach den Termin.

Erstgespräch anfragen