Datenexport und Löschung beim SaaS-Vertragsende (Art. 28 DSGVO)

Kurz beantwortet: Verarbeiten Sie als SaaS-Anbieter personenbezogene Daten im Auftrag Ihres Kunden, müssen Sie diese nach Vertragsende auf dessen Wahl löschen oder zurückgeben (Art. 28 Abs. 3 lit. g DSGVO). Für einen reibungslosen Exit gehören Exportformat, -zeitraum, Löschnachweis und Aufbewahrungsausnahmen zusätzlich in Ihren Vertrag.

Warum entscheidet sich der Vertragswert oft erst beim Exit?

Der Anfang eines SaaS-Vertrags ist gut geregelt, das Ende selten. Dabei entscheidet sich beim Exit oft der eigentliche Wert: Kommt der Kunde sauber an seine Daten? Werden sie bei Ihnen als Anbieter zuverlässig gelöscht? Wer Datenexport und -löschung nicht im Vertrag verankert, riskiert beim Wechsel einen teuren Stillstand für den Kunden und für sich selbst den Vorwurf einer Datenschutzverletzung. Der Exit beginnt dabei mit der Kündigung: Welche Laufzeit- und Verlängerungsklauseln im B2B zulässig sind, ordnet der Beitrag zu automatischer Vertragsverlängerung und Kündigungsfristen ein.

Was verlangt die DSGVO von Ihnen als Auftragsverarbeiter?

Verarbeiten Sie als SaaS-Anbieter personenbezogene Daten im Auftrag des Kunden, sind Sie Auftragsverarbeiter, und Ihr Vertrag muss den Vorgaben des Art. 28 DSGVO genügen. Für das Vertragsende ist Art. 28 Abs. 3 lit. g DSGVO entscheidend: Sie müssen nach Abschluss der Verarbeitungsleistung alle personenbezogenen Daten nach Wahl des Kunden entweder löschen oder zurückgeben und vorhandene Kopien löschen, es sei denn, eine gesetzliche Speicherpflicht steht entgegen. Der Kunde als Verantwortlicher hat also ein Wahlrecht zwischen Rückgabe und Löschung, das Sie erfüllen müssen. Unabhängig vom Vertragsende können Betroffene schon während der Laufzeit tätig werden, dazu Auskunft, Löschung und Datenübertragbarkeit im laufenden Vertrag.

Was sollte Ihr Vertrag über die DSGVO hinaus regeln?

Die DSGVO deckt die personenbezogenen Daten ab. Für einen reibungslosen Exit braucht es aber mehr, gerade für nicht-personenbezogene Betriebsdaten und die praktische Abwicklung:

• Exportformat: in welchem strukturierten, gängigen Format und über welche Schnittstelle Sie die Daten herausgeben.
• Exportzeitraum: wie lange nach Vertragsende der Zugang zum Export noch besteht, bevor Sie löschen. Sind Sie Anbieter eines Datenverarbeitungsdienstes im Sinne des Data Act, muss Ihr Vertrag unter anderem eine Kündigungsfrist für die Einleitung des Wechsels von höchstens zwei Monaten, einen Übergangszeitraum von grundsätzlich höchstens 30 Kalendertagen und eine Frist für den Datenabruf von mindestens 30 Kalendertagen vorsehen (Art. 25 Abs. 2 lit. a, d und g Verordnung (EU) 2023/2854).
• Migrationsunterstützung: ob und in welchem Umfang Sie beim Umzug helfen, und zu welchen Konditionen; seit Geltung des Data Act ist das kein reiner Verhandlungspunkt mehr, dazu der Beitrag zum Data Act für SaaS-Anbieter.
• Löschnachweis: eine Bestätigung, dass und wann Sie die Daten inklusive Backups gelöscht haben.
• Aufbewahrungsausnahmen: welche Auftragsdaten Sie nicht löschen, weil Sie selbst gesetzlich zur Speicherung verpflichtet sind. Handels- oder steuerrechtliche Aufbewahrungspflichten des Kunden sind dagegen ein Grund für ihn, die Rückgabe zu wählen; eigene Geschäftsunterlagen wie Rechnungen bewahren Sie als Verantwortlicher auf.

Wie lösen Sie den Konflikt zwischen Löschung und Aufbewahrung?

Löschen und Aufbewahren geraten am Vertragsende scheinbar in Konflikt. Einerseits verlangt Art. 28 Abs. 3 lit. g DSGVO die Löschung oder Rückgabe, andererseits bestehen für bestimmte Unterlagen gesetzliche Aufbewahrungsfristen. Entscheidend ist, wen die Pflicht trifft: Aufbewahrungspflichten des Kunden sind ein Grund, die Rückgabe zu wählen; Auftragsdaten behalten Sie nur, soweit Sie selbst gesetzlich zur Speicherung verpflichtet sind, und eigene Geschäftsunterlagen wie Rechnungen bewahren Sie als Verantwortlicher auf. Für das, was bei Ihnen bleibt, gilt ein differenziertes Löschkonzept: Was gelöscht werden muss, wird gelöscht. Was Sie aufbewahren müssen, wird eingeschränkt weiterverarbeitet und für den Aufbewahrungszeitraum gesperrt. Diese Differenzierung gehört ausdrücklich in Ihren Vertrag, nicht in Ihr Belieben als Anbieter.

Warum profitieren Sie als Anbieter selbst von einer klaren Exit-Regelung?

Für den Kunden sichert eine klare Exit-Regelung die Datenhoheit und die Fähigkeit, den Anbieter zu wechseln, ohne erpressbar zu sein. Für Sie als Anbieter schafft sie Rechtssicherheit: Sie wissen, wann Sie löschen dürfen und müssen, und vermeiden den Vorwurf, Daten unrechtmäßig weiter vorzuhalten. Ein sauberer Exit ist damit kein Misstrauensvotum, sondern Zeichen eines professionell aufgesetzten Vertrags, gerade im Enterprise-Sales ein Argument, kein Risiko. Was bei einer Insolvenz statt eines regulären Vertragsendes gilt, ordnet der Beitrag zu Anbieter-Insolvenz und Quellcode-Escrow ein.

Wie das in der Praxis aussieht

Ein Beispiel, wie es in dieser Form häufig vorkommt: Ein SaaS-Anbieter für die Dienstplanung ambulanter Pflegedienste mit rund 45 Mitarbeitenden erhält die Kündigung eines Kunden mit mehreren Standorten. Der Kunde verlangt einen vollständigen Export in einem Format, das sein neuer Anbieter einlesen kann, und eine Bestätigung, dass danach alles gelöscht ist, auch in den Backups. Der Vertrag sagt zum Ende wenig, und der Kunde muss einzelne Unterlagen gesetzlich aufbewahren. Geklärt wird, welche Daten im Auftrag verarbeitet werden, wofür der Kunde zwischen Rückgabe und Löschung wählen kann und welche eigenen Geschäftsunterlagen der Anbieter behält.

Danach trennen sich die Wege. Für diesen Exit werden Exportformat, Abrufzeitraum und Löschnachweis jetzt schriftlich vereinbart, und was der Kunde aufbewahren muss, erhält er mit dem Export zurück; beim Anbieter bleiben nur eigene Geschäftsunterlagen wie Rechnungen und der Vertrag, die er als Verantwortlicher aufbewahrt. Für künftige Verträge erhalten Vertrag und AVV eine Exit-Regelung. Ist der Dienst ein Datenverarbeitungsdienst im Sinne des Data Act, muss diese Regelung zusätzlich dessen Fristen für Wechsel und Datenabruf abbilden. Am Ende stehen eine Vereinbarung für den laufenden Wechsel mit Löschnachweis und eine Vertragsgrundlage für die nächsten. Ob Ihre Verträge den Exit regeln, prüft das Rechtliche Audit.

Häufige Fragen

Was muss ich als SaaS-Anbieter mit den Daten meines Kunden nach Vertragsende tun?

Als Auftragsverarbeiter müssen Sie nach Abschluss der Verarbeitungsleistung alle personenbezogenen Daten nach Wahl des Kunden entweder löschen oder zurückgeben und vorhandene Kopien löschen, sofern keine gesetzliche Speicherpflicht entgegensteht. Diese Pflicht folgt aus Art. 28 Abs. 3 lit. g DSGVO.

Wer entscheidet, ob die Daten gelöscht oder zurückgegeben werden?

Das Wahlrecht liegt beim Kunden als Verantwortlichem. Er entscheidet zwischen Rückgabe und Löschung, und Sie als Auftragsverarbeiter müssen die getroffene Wahl umsetzen.

Reicht die DSGVO aus, um den Exit vertraglich zu regeln?

Nein. Die DSGVO deckt die personenbezogenen Daten ab, doch für einen reibungslosen Exit braucht es mehr. In den Vertrag gehören zusätzlich das Exportformat, der Exportzeitraum, der Umfang der Migrationsunterstützung, ein Löschnachweis sowie die Ausnahmen für Daten, die Sie selbst gesetzlich speichern müssen.

Wie löse ich den Konflikt zwischen Löschpflicht und Aufbewahrungsfristen?

Über die Frage, wen die Pflicht trifft. Aufbewahrungspflichten des Kunden sind ein Grund, die Rückgabe zu wählen; Auftragsdaten behalten Sie nur, soweit Sie selbst gesetzlich zur Speicherung verpflichtet sind, und eigene Geschäftsunterlagen wie Rechnungen bewahren Sie als Verantwortlicher auf. Was danach bei Ihnen bleibt und aufbewahrt werden muss, wird eingeschränkt weiterverarbeitet und für den Aufbewahrungszeitraum gesperrt. Diese Differenzierung gehört ausdrücklich in den Vertrag.

Den größeren Zusammenhang, von der Vorbereitung über die Prüfung bis zur Integration nach dem Closing, ordnet der Leitfaden zu M&A für Softwareunternehmen ein.

Sie wollen Datenexport und Löschung beim Vertragsende sauber regeln? In einem 60-minütigen Strategiegespräch bringen wir Ihre Exit- und Löschklauseln in Form.

Vertiefung: Der SaaS-Verträge-Leitfaden · Software- & Enterprise-Verträge (Leistung)

Ob Ihre SaaS-Verträge den Exit regeln, zeigt sich meist erst, wenn ein Kunde kündigt und die Geschäftsführung schnell antworten muss. Das Rechtliche Audit prüft Ihre Vertragsdokumente vorher und benennt, welche Lücken zuerst zu schließen sind. Rechtliches Audit: Ihre Verträge vor dem Ernstfall prüfen