Datenschutz-Beratung für SaaS-Unternehmen in Deutschland: Pflichten, Vorlagen, Officer

Seit dem 25. Mai 2018 gilt die Datenschutz-Grundverordnung 2016/679 unmittelbar in jedem Mitgliedstaat. SaaS-Unternehmen mit Sitz in Deutschland tragen dabei eine doppelte Last: Sie verarbeiten eigene Kundendaten als Verantwortlicher und treten gleichzeitig in fast jedem produktiven Kundenvertrag als Auftragsverarbeiter nach Art. 28 DSGVO auf. Wer mehr als 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt oder Daten in größerem Umfang verarbeitet, muss zudem einen Datenschutzbeauftragten benennen (§ 38 BDSG, Art. 37 DSGVO). Verstöße gegen diese Pflichten sind nach Art. 83 DSGVO mit Bußgeldern bis 20 Mio. Euro oder 4 % des weltweiten Konzernumsatzes bewehrt.

Dieser Leitfaden richtet sich an Geschäftsführung, Legal und CTOs deutscher und EU-naher SaaS-Anbieter. Er zeigt, welche Pflichten Sie wirklich treffen, wie ein Auftragsverarbeitungsvertrag (AVV) strukturiert sein muss, welche technisch-organisatorischen Maßnahmen (TOMs) ein Enterprise-Käufer im Sicherheitsfragebogen erwartet und wie die 72-Stunden-Meldepflicht nach Art. 33 DSGVO operativ funktioniert. Anschließend ordnen wir den Datenschutzbeauftragten als Rolle ein, beschreiben die DSFA-Pflicht nach Art. 35 DSGVO für KI-Funktionen, betrachten die TTDSG-Lage für Cookies und Tracking, und schließen mit den zwei Bezugsmodellen, die SaaS-Unternehmen heute typischerweise wählen: interner DSB mit Workspace-Lizenz oder externer DSB als Officer-as-a-Service.

Ein klassischer Mittelständler verarbeitet Mitarbeiter-, Bewerber- und Kundendaten in einer überschaubaren Anzahl von Systemen. Ein SaaS-Unternehmen tut dasselbe und übernimmt zusätzlich in jedem produktiven Kundenvertrag die Rolle des Auftragsverarbeiters nach Art. 28 DSGVO. Damit verändert sich die Datenschutz-Architektur grundlegend: Die Software selbst, der Tenant-Aufbau, das Logging, die Backups, die Subunternehmer-Kette und die Wiederherstellungsfähigkeit werden Teil des Datenschutzkonzepts. Wer auf einen DSGVO-Audit-Bericht von 2018 verweist, fällt in der Prüfung 2026 spätestens beim ersten Sicherheitsfragebogen durch.

Wer einem Enterprise-Käufer ein Whitepaper schickt, wird in Wochen 4 bis 8 mit einem Sicherheitsfragebogen konfrontiert. Üblich sind 80 bis 240 Fragen zu Hosting, Verschlüsselung, Zugriffskontrolle, Subprozessoren, Datenlöschung, Drittlandtransfers, ISO/IEC 27001:2022, SOC 2 Typ II, BSI C5 und der Rolle eines benannten Datenschutzbeauftragten. Ohne belastbare Dokumente bleibt der Vertrag liegen, oft mehrere Quartale, manchmal dauerhaft.

Der zweite Punkt ist die Skalierung. Ein SaaS-Produkt, das 50 Kunden onboardet, hat 50 separate AVV-Verhältnisse, 50 Listen verarbeiteter Datenkategorien und potenziell 50 Lösch-Logiken. Eine Datenschutz-Beratung, die nur Mustervorlagen reicht, deckt das nicht ab. Es braucht eine Plattform-Logik: zentrale TOMs, versionierte AVV, ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO, eine pflegbare Subprozessorliste, eine Eskalationsmatrix und eine dokumentierte Meldekette für Art. 33 DSGVO. Genau hier setzt der externe Datenschutzbeauftragte an und übersetzt diese Anforderungen in einen wiederholbaren Prozess, der mit jedem neuen Kunden mitwächst, statt mit jedem neuen Kunden neu erfunden zu werden. Der dritte und oft unterschätzte Punkt ist die Audit-Dokumentation. Wer in einer Series-A- oder Series-B-Runde Due Diligence durchläuft, wird nach genau dieser Dokumentation gefragt, mit Frist von 10 bis 14 Tagen. Wer hier eine Excel-Liste vorlegt, verliert Verhandlungsmacht; wer ein versioniertes Verzeichnis mit Audit-Trail vorlegt, gewinnt sie.

Die rechtliche Grundlage ist zweigeteilt. Art. 37 Abs. 1 DSGVO verpflichtet zur Benennung, wenn die Kerntätigkeit in einer umfangreichen regelmäßigen und systematischen Überwachung betroffener Personen besteht oder wenn besondere Datenkategorien nach Art. 9 DSGVO (Gesundheit, biometrische Daten, sexuelle Orientierung, politische Meinung) umfangreich verarbeitet werden. § 38 Abs. 1 BDSG ergänzt: Ab 20 Personen, die ständig automatisiert personenbezogene Daten verarbeiten, ist ein Datenschutzbeauftragter zu benennen, unabhängig vom Geschäftsmodell und unabhängig von der Branche.

Für SaaS-Anbieter bedeutet das in der Praxis: Ein Team aus 18 Entwicklern und zwei Ops-Personen, das Tickets, Logs und Telemetrie verarbeitet, erreicht die Schwelle. Ein HR-Tech-, Health-Tech- oder LegalTech-SaaS überschreitet sie typischerweise schon früher über Art. 37 DSGVO, weil Profiling, Tracking oder Gesundheitsdaten in den Kern des Produkts gehören. Auch AdTech, Customer-Analytics und Sales-Engagement-Plattformen werden regelmäßig als überwachungsintensiv eingestuft.

Die Benennung ist formell. Erforderlich sind eine schriftliche Bestellurkunde, die Veröffentlichung der Kontaktdaten in der Datenschutzerklärung und die Meldung an die zuständige Landesaufsicht (z. B. LfDI Baden-Württemberg, BlnBDI Berlin, LDI NRW, BayLDA für Bayern). Verstöße gegen die Benennungspflicht sind nach Art. 83 Abs. 4 DSGVO mit Bußgeldern bis 10 Mio. Euro oder 2 % des weltweiten Konzernumsatzes bewehrt. Der Datenschutzbeauftragte ist nach Art. 38 Abs. 3 DSGVO weisungsfrei zu stellen, untersteht direkt der höchsten Leitungsebene und darf wegen seiner Aufgabenerfüllung nicht abberufen oder benachteiligt werden. CIVAC stellt die Bestellurkunde, die Berichtslinie an die Geschäftsführung und das Meldeverfahren standardisiert bereit. Die Meldung an die Aufsicht erfolgt typischerweise binnen 2 Werktagen ab Mandatsannahme. Bestellurkunde, unterschrieben, abgelegt, belegbar.

Der Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO bildet das Rückgrat jeder B2B-SaaS-Beziehung. Er enthält Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Kategorien betroffener Personen und Daten, die TOMs nach Art. 32 DSGVO, die Regelung zu Unterauftragsverarbeitern, Kontrollrechte des Verantwortlichen, Mitteilungspflichten bei Datenschutzverletzungen und die Rückgabe oder Löschung der Daten am Vertragsende. Fehlt eine dieser Komponenten, ist der AVV unvollständig und der Käufer rechtlich auf wackligem Boden.

Operativ kommen für ein deutsches SaaS-Unternehmen drei Schichten zusammen: das eigene AVV-Template, das Sie Ihren Kunden anbieten, die AVV mit Hyperscalern (AWS Frankfurt, Microsoft Azure West Europe, Google Cloud europe-west3), und die AVV mit Subprozessoren wie Stripe, Twilio, HubSpot, Intercom, OpenAI oder Anthropic. Jede Schicht braucht eine pflegbare Subprozessorliste, eine Benachrichtigungsregel bei Wechsel mit Widerspruchsrecht des Verantwortlichen, eine Bewertung des Drittlandtransfers nach Art. 44 ff. DSGVO und ein Transfer Impact Assessment nach Schrems II.

Praktisch hilft ein zentrales Verzeichnis im Workspace: dort liegen AVV-Versionen mit Versionsnummer und Stand-Datum, Subprozessor-Listen mit Geltungsbereich, Standardvertragsklauseln 2021/914 mit den passenden Modulen, das Transfer Impact Assessment und die unterzeichneten Side-Letter. Wer als SaaS-Anbieter einen großen DAX-Kunden gewinnen will, wird genau nach diesem Verzeichnis gefragt, oft mit Frist von 5 Werktagen für die vollständige Lieferung. Die parallel laufende ISO/IEC 27001:2022-Logik liefert die Kontrollebene mit 93 Controls, der AVV liefert die vertragliche Ebene. Beide gehören zusammengeführt in ein System, das Audits und Käufer-Fragebögen aus einer Quelle bedient. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. Der Workspace liefert Versionsstände, Diff-Ansicht zwischen AVV-Versionen und eine Übersicht offener Käufer-Fragebögen mit Frist und Status.

Technisch-organisatorische Maßnahmen nach Art. 32 DSGVO sind kein Anhang, sondern der gelebte Sicherheitszustand. Eine belastbare TOM-Liste für SaaS-Anbieter deckt acht Felder ab: Vertraulichkeit (Zugangs-, Zutritts-, Zugriffskontrolle), Integrität (Eingabe-, Weitergabekontrolle), Verfügbarkeit (Backup, Recovery, RPO und RTO), Belastbarkeit (Kapazität, Skalierung, DDoS-Schutz), Wiederherstellbarkeit nach physischen oder technischen Zwischenfällen, Verfahren zur regelmäßigen Überprüfung der Wirksamkeit, Verschlüsselung in transit und at rest sowie Pseudonymisierung. Jede dieser acht Kategorien muss konkret beschrieben, nicht abstrakt aufgezählt werden.

Enterprise-Käufer prüfen konkret: TLS 1.2 oder 1.3 für Transport, AES-256 oder vergleichbar für Storage, Multi-Faktor-Authentifizierung für alle Admin-Zugänge, rollenbasierte Berechtigungen mit Least-Privilege-Prinzip, Audit-Logs mit mindestens 12 Monaten Aufbewahrung, Penetration-Tests jährlich durch unabhängige Anbieter, getrennte Test- und Produktivumgebungen ohne echte Personendaten in Test, definierte Patch-Zyklen mit Service-Level für kritische CVEs, EU-Datenresidenz und ein dokumentiertes Incident-Response-Verfahren mit Übungen. Wer ISO/IEC 27001:2022 zertifiziert ist, hat 93 Controls abgebildet und kann den Großteil dieser Fragen mit Verweis auf das Statement of Applicability und das Risk Treatment Plan beantworten.

CIVAC betreibt diese Kontrollebene als Compliance-Plattform und Officer-as-a-Service: 93 Controls strukturiert, 490 einsatzbereite Audit-Vorlagen, Berichtslinie an die Geschäftsführung dokumentiert, EU-Datenresidenz im Workspace selbst. Damit liefern Sie auf einen Käufer-Fragebogen nicht 80 freie Antworten, sondern 80 Verweise in ein versioniertes Verzeichnis mit Belegen. Der Prüfer ruft an, der Nachweis liegt bereit. Das verkürzt typische Vendor-Risk-Bewertungen von 6 bis 8 Wochen auf 2 bis 3 Wochen und beschleunigt den Vertragsschluss, weil Procurement und InfoSec parallel arbeiten können. Für die Geschäftsführung wird damit ein bisher schwer planbarer Engpass im Sales-Zyklus zu einer kalkulierbaren Größe.

Art. 33 DSGVO verpflichtet den Verantwortlichen, eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde zu melden. Art. 33 Abs. 2 DSGVO verpflichtet den Auftragsverarbeiter, also den SaaS-Anbieter, den Verantwortlichen unverzüglich nach Bekanntwerden zu informieren, damit dieser seine Meldepflicht erfüllen kann. Frist läuft ab Kenntnis, nicht ab abgeschlossener Untersuchung. Bei hohem Risiko für die Rechte und Freiheiten betroffener Personen kommt nach Art. 34 DSGVO zusätzlich die Pflicht zur Benachrichtigung der betroffenen Personen hinzu.

In der SaaS-Realität entsteht eine Datenpanne selten am Wochenende um 9 Uhr morgens. Sie entsteht durch fehlgeleitete E-Mail-Exporte, kompromittierte API-Token, Fehlkonfigurationen in einem S3-Bucket, durch einen verlorenen Mitarbeiter-Laptop, durch einen Subprozessor-Vorfall, der bei Stripe oder Mailchimp gemeldet wird, oder durch einen Phishing-Erfolg im Support-Team. Ohne klaren Meldepfad verstreichen 24 bis 48 Stunden mit Klärungs-E-Mails, und die 72-Stunden-Uhr ist abgelaufen. Eine verspätete Meldung wird von den Aufsichtsbehörden regelmäßig als eigenständige Pflichtverletzung verfolgt, mit Bußgeldern im sechsstelligen Bereich.

Ein operativer Meldepfad enthält drei Komponenten: eine eindeutige Eintrittsstelle (Security-Mail, Hotline, Ticket-Queue mit Severity-Tag), eine 24-Stunden-Triage durch den Datenschutzbeauftragten und eine vorbereitete Meldemaske für die jeweilige Aufsichtsbehörde inklusive Mustertext und Anlagenliste. CIVAC stellt diesen Pfad im Workspace bereit, inklusive Eskalationsmatrix, Mustermeldung, Kommunikationsentwurf an betroffene Kunden und Logbuch für die Beweissicherung. Bei NIS-2-betroffenen SaaS-Anbietern kommt zusätzlich der 24-Stunden-Frühwarnpfad an das BSI hinzu, der parallel zum DSGVO-Pfad läuft, mit 72-Stunden-Folgemeldung und Abschlussbericht. Beide Pfade greifen ineinander, müssen aber sauber getrennt dokumentiert werden, damit jede Behörde den für sie relevanten Beleg in der richtigen Form erhält.

Das Schrems-II-Urteil des EuGH vom 16. Juli 2020 hat das EU-US Privacy Shield gekippt. Seitdem ist jeder Transfer personenbezogener Daten in ein Drittland nach Art. 44 ff. DSGVO einzeln zu prüfen. Für die USA gilt seit 10. Juli 2023 der EU-US Data Privacy Framework als Angemessenheitsbeschluss der EU-Kommission, der jedoch politisch fragil ist, in laufenden Verfahren angefochten wird und in der Praxis durch ergänzende Standardvertragsklauseln 2021/914 abgesichert wird. Wer sich allein auf den DPF stützt und das Verzeichnis nicht für einen möglichen Wegfall vorbereitet, riskiert binnen Tagen einen unzulässigen Transferzustand.

Für SaaS-Anbieter bedeutet das: Jeder Subprozessor mit Sitz oder Verarbeitung außerhalb des EWR braucht eine dokumentierte Rechtsgrundlage. Dazu gehören die SCC-Module 2 (Verantwortlicher zu Auftragsverarbeiter) oder 3 (Auftragsverarbeiter zu Auftragsverarbeiter), ein Transfer Impact Assessment mit Bewertung des Rechtsumfelds und der Zugriffsbefugnisse von Behörden, und ggf. ergänzende Maßnahmen wie Verschlüsselung mit Schlüsselhoheit im EWR oder Bring-Your-Own-Key-Architekturen. Wer Hyperscaler-Regionen Frankfurt, Amsterdam oder Dublin nutzt, reduziert die Komplexität, eliminiert sie aber nicht, weil der US Cloud Act US-Mutterkonzerne weiterhin trifft, unabhängig vom physischen Speicherort.

Der praktische Ausweg ist EU-Datenresidenz mit klarer Architekturentscheidung: Storage in EU-Region, Backups in EU-Region, Logs in EU-Region und für AI-Funktionen idealerweise Modelle mit EU-Hosting oder europäischen Anbietern wie Mistral, Aleph Alpha oder OVHcloud. CIVAC selbst betreibt den Workspace mit EU-Datenresidenz und macht das in der AVV ausdrücklich zusagefähig. Für SaaS-Unternehmen mit DACH-Fokus ist EU-Datenresidenz heute kein Premium-Feature mehr, sondern Mindestanforderung für Banken, Versicherungen, Energieversorger, Behörden und Gesundheitsdienstleister. Wer das nicht liefert, bleibt in diesen Segmenten ausgeschlossen.

Art. 35 DSGVO verlangt eine Datenschutz-Folgenabschätzung, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen birgt. Die Aufsichtsbehörden haben Listen veröffentlicht (Art. 35 Abs. 4 DSGVO), in Deutschland die DSK-Liste und die jeweilige Landes-Liste. Typische DSFA-pflichtige Konstellationen im SaaS-Kontext sind Profiling-Funktionen, Scoring-Modelle, biometrische Erkennung, umfangreiche Standortverfolgung, Verarbeitung von Gesundheits- oder Finanzdaten, automatisierte Personalauswahl und der Einsatz von Künstlicher Intelligenz zur Entscheidungsunterstützung mit Personenbezug.

Eine DSFA ist kein einmaliger Akt, sondern eine Bewertung, die je Feature, je Roll-out und je größerer Produktentscheidung neu angesetzt wird. Sie enthält eine systematische Beschreibung der Verarbeitung mit Datenflussdiagramm, eine Bewertung der Notwendigkeit und Verhältnismäßigkeit, eine Risikobewertung für die betroffenen Personen (Wahrscheinlichkeit und Schwere des Schadens) und die geplanten Abhilfemaßnahmen mit verantwortlicher Person und Termin. Der Datenschutzbeauftragte ist nach Art. 35 Abs. 2 DSGVO einzubeziehen, die Empfehlung ist zu dokumentieren und bei Abweichung der Geschäftsleitung schriftlich zu begründen.

Für SaaS-Produkte mit KI-Komponenten wird die DSFA zur Verbindung zwischen DSGVO und EU AI Act: Art. 27 EU AI Act verlangt für Hochrisiko-Systeme eine Fundamental Rights Impact Assessment, die mit der DSFA inhaltlich teilweise überlappt. CIVAC hält für beide Bewertungen Vorlagen im Workspace bereit, sodass Produktteams nicht parallel zwei Bewertungsstränge führen, sondern eine integrierte Bewertung mit zwei Sichten erzeugen. Das spart pro Feature typischerweise 8 bis 16 Personen-Stunden in Legal und Engineering. Audit-fest, dokumentiert, Art. 35-fest. Sobald ein Produktteam diesen Rhythmus einmal eingeübt hat, wird die DSFA Teil des Definition-of-Done und nicht mehr eine Sonderaufgabe vor einem Release.

Neben der DSGVO gilt seit 1. Dezember 2021 das Telekommunikation-Telemedien-Datenschutzgesetz (TTDSG), inzwischen TDDDG genannt. § 25 TDDDG fordert eine vorherige Einwilligung des Endnutzers für jeden nicht strikt notwendigen Zugriff auf Endgeräte. Das betrifft praktisch jedes Marketing-Tracking, Heatmaps, Session-Replay-Tools, A/B-Testing-Plattformen, werbebezogene Cookies und Server-Side-Tracking, sofern es das Endgerät adressiert. Streng notwendige Cookies (Login-Session, Warenkorb, Lastverteilung) sind weiterhin ohne Einwilligung zulässig, sind aber sauber abzugrenzen.

Für SaaS-Unternehmen heißt das: Die Marketing-Website (typischerweise www.firma.com) ist getrennt vom Produkt (app.firma.com) zu betrachten. Auf der Marketing-Website muss ein Consent-Management-Banner mit echter Wahlfreiheit, Granularität auf Anbieter-Ebene, gleichberechtigtem Akzeptieren und Ablehnen und einer dokumentierten Einwilligungs-Logik stehen. Im Produkt selbst gelten die Maßstäbe der Auftragsverarbeitung: Hier ist der Kunde Verantwortlicher, der SaaS-Anbieter ist Auftragsverarbeiter, und Tracking-Cookies werden in der Regel nicht zusätzlich vom SaaS-Anbieter eingebunden, sondern nur produktnotwendige technische Cookies gesetzt.

Die Aufsichtsbehörden prüfen seit 2024 verstärkt. Die DSK hat in mehreren Beschlüssen klargestellt, dass Cookie-Banner mit nur Akzeptieren-Button, mit versteckter Ablehnen-Option, mit irreführenden Farbkontrasten oder mit Nudging-Texten keine wirksame Einwilligung erzeugen. Bußgelder im sechsstelligen Bereich gegen DAX-Unternehmen und große SaaS-Anbieter sind dokumentiert. CIVAC begleitet die Auswahl des Consent-Tools (Usercentrics, Cookiebot, OneTrust, Cookiehub), die Konfiguration der Kategorien nach Zweck, die Integration in den Tag-Manager und die Dokumentation der Einwilligungs-Logs in einer Form, die der Aufsichtsbehörde standhält. Inklusive monatlicher Stichprobe und Screenshot-Archiv, damit der Stand zu jedem Zeitpunkt belegbar ist. Der Prüfer ruft an, der Nachweis liegt bereit. Für SaaS-Anbieter mit internationaler Reichweite kommt zusätzlich die regionale Konfiguration hinzu, weil die Anforderungen in Frankreich (CNIL) oder Italien (Garante) strenger ausgelegt werden als in einigen anderen EU-Staaten.

SaaS-Unternehmen wählen ihre Datenschutz-Architektur typischerweise zwischen zwei Polen. Auf der einen Seite das interne Modell: Eine Person aus Legal, Operations oder Engineering übernimmt die DSB-Rolle, hat aber weder Werkzeug noch Zeit für 80 Käufer-Fragebögen pro Jahr und keine spezialisierte Fortbildung nach Art. 37 Abs. 5 DSGVO. Auf der anderen Seite die klassische Kanzlei: rechtlich fundiert, aber selten in der operativen Tagesarbeit eines Produkt-Teams präsent. Stundensätze von 280 bis 450 Euro skalieren nicht mit 50 Kunden-AVVs pro Quartal.

CIVAC ist als Compliance-Plattform und Officer-as-a-Service genau auf den Zwischenraum gebaut. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, dann arbeitet Ihr interner DSB mit 490 Audit-Vorlagen, dem 72-Stunden-Meldepfad, dem AVV-Generator, der Subprozessor-Liste und dem Verzeichnis der Verarbeitungstätigkeiten in einem versionierten System mit EU-Datenresidenz. Oder lassen Sie unsere Beauftragten bestellen, dann übernimmt CIVAC die DSB-Rolle nach § 38 BDSG inklusive Bestellurkunde, Berichtslinie an die Geschäftsführung, Meldung an die Aufsichtsbehörde und Vertretung im Streitfall. SLA: 2 Werktage statt 2 bis 6 Wochen klassisch.

Beide Modelle laufen im selben Workspace. Sie können jederzeit von extern bestellt auf intern lizenziert wechseln, ohne das Verzeichnis neu aufzubauen, und umgekehrt. Für die meisten SaaS-Unternehmen zwischen 20 und 400 Mitarbeitern hat sich das hybride Modell durchgesetzt: extern bestellter DSB für Rolle und Haftung, internes Produkt-Team mit Workspace-Zugang für die tägliche Arbeit, monatliches Officer-Meeting zur Berichtslinie. Bestellurkunde, unterschrieben, abgelegt, belegbar. Aus dem Lesen einen Auftrag machen: info@civac.de oder das Kontaktformular auf civac.de. Eine erste Einschätzung Ihres Schutzbedarfs erhalten Sie in der Regel innerhalb von 2 Werktagen, gemeinsam mit einem Vorschlag für Workspace-Lizenz oder bestellten DSB.