Ein SaaS-Produkt verarbeitet mehr als nur Kontaktdaten: Accounts, Nutzungsprotokolle und häufig Daten, die Kunden selbst über die Anwendung eintragen. Ein allgemeines Muster deckt diese Besonderheiten oft nicht ab. Diese vier Punkte übersieht eine generische Vorlage am häufigsten.
Doppelrolle: Verantwortlicher und Auftragsverarbeiter zugleich
Für die eigenen Account- und Abrechnungsdaten bist du als Anbieter Verantwortlicher. Trägt ein Geschäftskunde über deine Anwendung Daten Dritter ein, etwa Kontakte in einem CRM-Tool, wirst du für diese Daten zum Auftragsverarbeiter. Ein generisches Muster unterscheidet diese beiden Rollen selten, dabei gelten für jede Rolle andere Pflichten.
Auftragsverarbeitungsvertrag mit Geschäftskunden
Sobald du im Auftrag deiner Kunden Daten verarbeitest, brauchst du mit jedem betroffenen Kunden einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Ein einfaches Muster einer Datenschutzerklärung ersetzt diesen Vertrag nicht, beide Dokumente erfüllen unterschiedliche Zwecke und gehören getrennt bereitgestellt.
Unterauftragsverarbeiter transparent auflisten
Für Hosting, E-Mail-Versand oder Zahlungsabwicklung setzt fast jedes SaaS-Produkt weitere Dienstleister ein. Diese Unterauftragsverarbeiter gehören namentlich in die Datenschutzerklärung oder in eine separate, verlinkte Übersicht, nicht nur als vage Sammelformulierung.
Trial-Accounts und Testdaten nicht vergessen
Viele SaaS-Anbieter bieten kostenlose Testphasen an. Auch während eines Trials werden personenbezogene Daten verarbeitet, oft inklusive Nutzungsverhalten zur Produktanalyse auf Basis eines berechtigten Interesses. Ein generisches Muster erwähnt diesen Fall selten, dabei sollte klar sein, was mit den Daten passiert, wenn ein Trial ohne Umwandlung in ein Abo endet.
Löschung nach Vertragsende regeln
Endet ein Kundenvertrag, stellt sich die Frage, wie lange Daten danach noch aufbewahrt werden, etwa für Abrechnungszwecke oder eine mögliche Reaktivierung. Ein generisches Muster trifft dazu meist keine Aussage. Lege eine konkrete Frist fest und nenne sie in der Erklärung, statt nur allgemein von “solange erforderlich” zu sprechen.
Datenschutzfreundliche Voreinstellungen von Anfang an
Art. 25 DSGVO verlangt Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen. Für ein SaaS-Produkt heißt das konkret: Standardmäßig sollten nur die Daten erhoben werden, die für die Kernfunktion nötig sind, und optionale Auswertungen wie ausführliches Nutzertracking sollten aktiv zugeschaltet werden müssen, statt von Anfang an zu laufen. Ein generisches Muster erwähnt dieses Prinzip selten, dabei prägt es die gesamte Architektur einer Anwendung.
API-Zugriffe und Integrationen Dritter
Viele SaaS-Produkte bieten Schnittstellen an, über die Kunden eigene Tools anbinden, etwa ein CRM oder ein Buchhaltungsprogramm. Jede aktivierte Integration kann personenbezogene Daten an einen weiteren Dienstleister übertragen. Beschreibe in der Erklärung, dass solche Integrationen freiwillig sind, welche Datenarten dabei übertragen werden, und dass die Verantwortung für die jeweilige Integration teils beim Kunden selbst liegt, wenn er sie aktiv einrichtet.
Support-Anfragen und Bildschirmfreigaben
Bietet dein Support eine Bildschirmfreigabe oder Zugriff auf ein Kundenkonto an, um ein Problem zu lösen, ist das eine eigene Verarbeitung mit besonderer Nähe zu den Daten des Kunden. Beschreibe, dass ein solcher Zugriff nur nach ausdrücklicher Zustimmung im Einzelfall erfolgt und protokolliert wird, damit Kunden nachvollziehen können, wann jemand aus dem Support tatsächlich Einblick hatte.
Ein vollständiges Beispiel als Ausgangspunkt
Ein vollständiges Muster mit all diesen Abschnitten, von der Registrierung bis zu Unterauftragsverarbeitern, findest du im SaaS-Muster. Es unterscheidet klar zwischen den eigenen Nutzerdaten und den Daten, die Kunden über die Anwendung selbst verarbeiten.