Der Deal ist mündlich zugesagt, dann übernimmt der Einkauf des Konzerns und plötzlich entscheiden Fragebogen, Redlining und Datenschutzprüfung über Ihre Unterschrift. Dieser Leitfaden zeigt, worauf große Kunden prüfen und wie Sie vorbereitet in die Verhandlung gehen. Für Entscheider, nicht für Juristen.
◆Stand: Juli 2026 · 250+ Vertragserstellungen · 100+ Vertragsverhandlungen
In größeren Unternehmen kauft nicht die Fachabteilung, die Ihr Produkt will, sondern ein eigener Einkauf, der Risiken für das gesamte Haus abwägt. Sobald das Fachteam überzeugt ist, wandert Ihr Angebot in einen strukturierten Freigabeprozess, in dem Recht, Datenschutz und IT-Sicherheit unabhängig voneinander prüfen. Genau an dieser Stelle scheitern viele technisch hervorragende Anbieter, weil sie den kommerziellen Teil vorbereitet haben, den rechtlichen aber nicht.
Für Sie heißt das: Der Vertrag ist kein Formalakt am Ende, sondern der eigentliche Engpass. Wer hier vorbereitet ist, verkürzt die Zeit bis zur Unterschrift, statt den Deal über Wochen in der Rechtsabteilung des Kunden liegen zu lassen.
Hinter dem Wort „Procurement“ stehen meist mehrere Rollen, die parallel arbeiten und jeweils ihre eigene Freigabe erteilen müssen. Wenn Sie wissen, wer was prüft, können Sie die passenden Antworten liefern, bevor die Frage gestellt wird.
Diese Rollen sprechen unterschiedliche Sprachen und haben unterschiedliche Sorgen. Ein Angebot, das alle vier bedient, kommt spürbar schneller durch als eines, das nur die Fachabteilung überzeugt.
Fast jeder größere Kunde schickt vor der Vertragsverhandlung einen Fragebogen, oft als Vendor Security Assessment bezeichnet. Darin geht es um Ihre Sicherheitsarchitektur, den Standort der Datenverarbeitung, Ihre Subdienstleister, Zertifizierungen und Ihren Notfallprozess bei Vorfällen. Rechtlich ist der Fragebogen mehr als eine Lästigkeit, denn Ihre Antworten werden regelmäßig zur Vertragsgrundlage und binden Sie später.
Deshalb gehören die Antworten abgestimmt zwischen dem, was technisch tatsächlich gilt, und dem, was Sie vertraglich zusagen wollen. Wer hier zu großzügig antwortet, verspricht ein Sicherheitsniveau, das er im Ernstfall halten muss. Ein einmal sauber aufgesetzter Antwortkatalog lässt sich bei jedem neuen Deal wiederverwenden und spart erheblich Zeit.
Ab einer gewissen Größe akzeptiert der Kunde Ihre AGB nicht mehr, sondern legt seinen eigenen Rahmenvertrag oder seine Einkaufsbedingungen vor. Diese Papiere sind aus Sicht des Kunden geschrieben und verlagern Risiken bewusst auf den Anbieter, etwa bei Haftung, Freistellung, Verfügbarkeit und Vertragsstrafen. Sie ungeprüft zu unterschreiben, kann teurer werden als der gesamte Deal wert ist.
Die Antwort darauf ist ein strukturiertes Redlining: eine markierte Fassung, die zeigt, welche Punkte Sie akzeptieren, welche Sie anpassen und welche Sie nicht mittragen. Dabei kommt es darauf an, die wenigen wirklich kritischen Klauseln von den vielen verhandelbaren zu trennen und jede Änderung sachlich zu begründen. So verhandeln Sie auf Augenhöhe, ohne den Deal durch Prinzipienreiterei an unwichtiger Stelle zu gefährden.
Quer durch alle Enterprise-Verhandlungen sind es immer wieder dieselben Stellen, an denen sich die Fronten verhärten:
Großkunden fordern gern unbegrenzte Haftung. Ausgewogen ist eine Begrenzung, die nach Schadensart differenziert und Ihr Geschäftsrisiko kalkulierbar hält, statt es unbegrenzt zu öffnen.
Die Pflicht, den Kunden von Ansprüchen Dritter freizustellen, kann weit gefasst sein. Sie gehört auf das begrenzt, was Sie wirklich verantworten, etwa Schutzrechtsverletzungen an Ihrer Software.
Ohne saubere Auftragsverarbeitung nach Art. 28 DSGVO kommt kein großer Deal durch die Datenschutzprüfung. Subprozessoren und Drittland-Transfer sind die typischen Streitpunkte.
Kunden verlangen Nachweise, Meldepflichten bei Vorfällen und teils Audit-Rechte. Diese gehören so gefasst, dass sie prüfbar sind, ohne Ihren Betrieb lahmzulegen.
SLA-Zusagen mit pauschalen Strafen können teuer werden. Belastbar sind klare Messgrößen und Rechtsfolgen, die im Verhältnis zum Schaden stehen.
Grundlagen dazu: Der SaaS-Vertrags-Leitfaden →
Sobald Ihr Dienst personenbezogene Daten im Auftrag des Kunden verarbeitet, verlangt Art. 28 DSGVO eine Auftragsverarbeitungsvereinbarung, im internationalen Geschäft häufig Data Processing Agreement genannt. Großkunden bringen dazu ihre eigene Vorlage mit, die oft strengere Pflichten enthält, als das Gesetz verlangt. Kritisch sind vor allem die Zustimmung zu Ihren Subprozessoren, die Regelung des Drittland-Transfers bei US-Diensten und der Umfang von Audit- und Informationsrechten.
Eine gute Verhandlung sorgt dafür, dass die AVV zu Ihrer tatsächlichen technischen Landschaft passt und Sie nicht Pflichten zusagen, die Sie im Betrieb nicht abbilden können. Wer hier eine geprüfte eigene Fassung bereithält, verhandelt schneller und muss nicht bei jeder Vorlage von vorne beginnen. Was eine AVV nach Art. 28 DSGVO inhaltlich zwingend regeln muss, wenn Sie sie von Grund auf aufsetzen, ordnet der Beitrag zu den AVV-Grundlagen ein; hier auf dieser Seite geht es um die Verhandlung des Kundenpapiers selbst.
Viele Enterprise-Deals beginnen mit einer Testphase, einem Proof of Concept oder einer Absichtserklärung (Letter of Intent). Diese Vorstufen wirken unverbindlich, können aber rechtlich mehr Gewicht haben, als beide Seiten meinen. Deshalb sollte von Anfang an klar geregelt sein, was in der Pilotphase gilt: Wem gehören die Ergebnisse, wie steht es um Vertraulichkeit, wer haftet, und was passiert mit den Daten, wenn aus dem Pilot kein Vertrag wird.
Ein sauber aufgesetzter Pilot schafft Vertrauen und hält zugleich fest, dass die eigentliche Leistungspflicht erst mit dem Hauptvertrag beginnt. Eine Absichtserklärung sollte deutlich machen, welche Teile bindend sind, etwa Vertraulichkeit, und welche nur den Verhandlungswillen ausdrücken.
Je größer Ihr eigenes Unternehmen wird, desto mehr braucht auch Ihre Seite einen geordneten Freigabeprozess. Sonst hängt jeder Vertrag an einer einzelnen Person, und Verhandlungen ziehen sich, weil intern niemand entscheiden darf. Ein belastbarer Prozess legt fest, welche Zugeständnisse ohne Rückfrage möglich sind, ab welcher Schwelle jemand mitzeichnen muss und wer im Zweifel entscheidet.
Das Ziel ist nicht mehr Bürokratie, sondern das Gegenteil: klare Leitplanken, innerhalb derer Ihr Vertrieb schnell zusagen kann, ohne jedes Mal auf eine rechtliche Einzelprüfung zu warten. Genau diese Leitplanken lassen sich einmal aufsetzen und dann bei jedem Deal nutzen.
Die zwölf Beiträge dieses Clusters vertiefen einzelne Stationen der Procurement-Prüfung. Am schnellsten finden Sie den passenden, wenn Sie ihn nach Ihrem aktuellen Anlass wählen:
Der Fragebogen des Kunden liegt auf dem Tisch
Der Kunde schickt sein eigenes Vertragspapier (Redlines kommen)
Ein Pilot, POC oder LOI steht vor dem eigentlichen Vertrag
Konditionen und Durchsetzung des laufenden Deals
Betrifft die Prüfung Ihres Kunden vor allem die Haftungs- und AGB-Grundlagen des laufenden SaaS-Betriebs statt der Enterprise-Verhandlung selbst, ordnet der SaaS-Verträge-Leitfaden das ein. Geht es speziell um die Auftragsverarbeitung Ihres eigenen SaaS-Angebots als Anbieter, unabhängig von einer konkreten Kundenverhandlung, ist der DSGVO-Leitfaden für SaaS-Unternehmen die richtige Grundlage; dieser Leitfaden hier bleibt bei der Verhandlungssituation mit dem Großkunden.
Ein Enterprise-Deal hängt gerade an der Rechtsprüfung? Ob Vendor-Fragebogen, Redlining des Kundenpapiers, DPA-Verhandlung oder ein Freigabeprozess, der mitwachsen soll, das setzen wir konkret um.
Software- & Enterprise-Verträge (Leistung) →
Grundlagen: Der SaaS-Vertrags-Leitfaden →
Laufende Begleitung als externe Rechtsabteilung →
Ich ordne den Kundenvertrag ein, beantworte den Sicherheitsfragebogen mit, verhandle die AVV und zeige Ihnen, wo Ihr Risiko liegt. Konkret, fundiert, vertraulich (§ 43a BRAO) und ohne Juristendeutsch. Erstreaktion innerhalb von 48 Stunden (werktags).
Erstgespräch vereinbarenoder
info@caroline-herrmann.com