Kurz beantwortet: Verarbeiten Sie als SaaS-Anbieter personenbezogene Daten im Auftrag Ihres Kunden, müssen Sie diese nach Vertragsende auf dessen Wahl löschen oder zurückgeben (Art. 28 Abs. 3 lit. g DSGVO). Für einen reibungslosen Exit gehören Exportformat, -zeitraum, Löschnachweis und Aufbewahrungsausnahmen zusätzlich in Ihren Vertrag.

Das Wichtigste in Kürze

  • Verarbeiten Sie personenbezogene Daten im Auftrag des Kunden, müssen Sie diese nach Vertragsende nach dessen Wahl löschen oder zurückgeben und vorhandene Kopien löschen (Art. 28 Abs. 3 lit. g DSGVO).
  • Das Wahlrecht zwischen Rückgabe und Löschung liegt beim Kunden als Verantwortlichem; Sie als Auftragsverarbeiter müssen es erfüllen.
  • Über die DSGVO hinaus gehören Exportformat, Exportzeitraum, Migrationsunterstützung, Löschnachweis und Aufbewahrungsausnahmen ausdrücklich in den Vertrag.
  • Den Konflikt zwischen Löschpflicht und gesetzlichen Aufbewahrungsfristen löst ein differenziertes Löschkonzept, das aufbewahrungspflichtige Daten sperrt und nur eingeschränkt weiterverarbeitet.

Warum entscheidet sich der Vertragswert oft erst beim Exit?

Der Anfang eines SaaS-Vertrags ist gut geregelt, das Ende selten. Dabei entscheidet sich beim Exit oft der eigentliche Wert: Kommt der Kunde sauber an seine Daten? Werden sie bei Ihnen als Anbieter zuverlässig gelöscht? Wer Datenexport und -löschung nicht im Vertrag verankert, riskiert beim Wechsel einen teuren Stillstand für den Kunden und für sich selbst den Vorwurf einer Datenschutzverletzung.

Was verlangt die DSGVO von Ihnen als Auftragsverarbeiter?

Verarbeiten Sie als SaaS-Anbieter personenbezogene Daten im Auftrag des Kunden, sind Sie Auftragsverarbeiter, und Ihr Vertrag muss den Vorgaben des Art. 28 DSGVO genügen. Für das Vertragsende ist Art. 28 Abs. 3 lit. g DSGVO entscheidend: Sie müssen nach Abschluss der Verarbeitungsleistung alle personenbezogenen Daten nach Wahl des Kunden entweder löschen oder zurückgeben und vorhandene Kopien löschen, es sei denn, eine gesetzliche Speicherpflicht steht entgegen. Der Kunde als Verantwortlicher hat also ein Wahlrecht zwischen Rückgabe und Löschung, das Sie erfüllen müssen.

Was sollte Ihr Vertrag über die DSGVO hinaus regeln?

Die DSGVO deckt die personenbezogenen Daten ab. Für einen reibungslosen Exit braucht es aber mehr, gerade für nicht-personenbezogene Betriebsdaten und die praktische Abwicklung:

  • Exportformat: in welchem strukturierten, gängigen Format und über welche Schnittstelle Sie die Daten herausgeben.
  • Exportzeitraum: wie lange nach Vertragsende der Zugang zum Export noch besteht, bevor Sie löschen.
  • Migrationsunterstützung: ob und in welchem Umfang Sie beim Umzug helfen, und zu welchen Konditionen.
  • Löschnachweis: eine Bestätigung, dass und wann Sie die Daten inklusive Backups gelöscht haben.
  • Aufbewahrungsausnahmen: welche Daten aufgrund gesetzlicher Pflichten, etwa handels- oder steuerrechtlich, vorerst nicht gelöscht werden dürfen.

Wie lösen Sie den Konflikt zwischen Löschung und Aufbewahrung?

Löschen und Aufbewahren geraten am Vertragsende regelmäßig in Konflikt. Einerseits verlangt Art. 28 Abs. 3 lit. g DSGVO die Löschung, andererseits bestehen für bestimmte Unterlagen gesetzliche Aufbewahrungsfristen. Die Lösung liegt in einem differenzierten Löschkonzept: Was gelöscht werden muss, wird gelöscht. Was aufbewahrt werden muss, wird eingeschränkt weiterverarbeitet und für den Aufbewahrungszeitraum gesperrt. Diese Differenzierung gehört ausdrücklich in Ihren Vertrag, nicht in Ihr Belieben als Anbieter.

Warum profitieren Sie als Anbieter selbst von einer klaren Exit-Regelung?

Für den Kunden sichert eine klare Exit-Regelung die Datenhoheit und die Fähigkeit, den Anbieter zu wechseln, ohne erpressbar zu sein. Für Sie als Anbieter schafft sie Rechtssicherheit: Sie wissen, wann Sie löschen dürfen und müssen, und vermeiden den Vorwurf, Daten unrechtmäßig weiter vorzuhalten. Ein sauberer Exit ist damit kein Misstrauensvotum, sondern Zeichen eines professionell aufgesetzten Vertrags, gerade im Enterprise-Sales ein Argument, kein Risiko. Was bei einer Insolvenz statt eines regulären Vertragsendes gilt, ordnet der Beitrag zu Anbieter-Insolvenz und Quellcode-Escrow ein.

Häufige Fragen

Was muss ich als SaaS-Anbieter mit den Daten meines Kunden nach Vertragsende tun?

Als Auftragsverarbeiter müssen Sie nach Abschluss der Verarbeitungsleistung alle personenbezogenen Daten nach Wahl des Kunden entweder löschen oder zurückgeben und vorhandene Kopien löschen, sofern keine gesetzliche Speicherpflicht entgegensteht. Diese Pflicht folgt aus Art. 28 Abs. 3 lit. g DSGVO.

Wer entscheidet, ob die Daten gelöscht oder zurückgegeben werden?

Das Wahlrecht liegt beim Kunden als Verantwortlichem. Er entscheidet zwischen Rückgabe und Löschung, und Sie als Auftragsverarbeiter müssen die getroffene Wahl umsetzen.

Reicht die DSGVO aus, um den Exit vertraglich zu regeln?

Nein. Die DSGVO deckt die personenbezogenen Daten ab, doch für einen reibungslosen Exit braucht es mehr. In den Vertrag gehören zusätzlich das Exportformat, der Exportzeitraum, der Umfang der Migrationsunterstützung, ein Löschnachweis sowie die Aufbewahrungsausnahmen für gesetzlich vorgehaltene Daten.

Wie löse ich den Konflikt zwischen Löschpflicht und Aufbewahrungsfristen?

Über ein differenziertes Löschkonzept. Was gelöscht werden muss, wird gelöscht; was gesetzlichen Aufbewahrungspflichten unterliegt, wird eingeschränkt weiterverarbeitet und für den Aufbewahrungszeitraum gesperrt. Diese Differenzierung gehört ausdrücklich in den Vertrag.

Quellen & Rechtsgrundlagen

Den größeren Zusammenhang, von der Vorbereitung über die Prüfung bis zur Integration nach dem Closing, ordnet der Leitfaden zu M&A für Softwareunternehmen ein.

Sie wollen Datenexport und Löschung beim Vertragsende sauber regeln? In einem 30-minütigen Erstgespräch bringen wir Ihre Exit- und Löschklauseln in Form.

→ Vertiefung: Der SaaS-Verträge-Leitfaden · Software- & Enterprise-Verträge (Leistung)

→ Erstgespräch anfragen