Wie werden Dateneigentum und Nutzungsrechte in SaaS-Verträgen geregelt?

Eine der wichtigsten rechtlichen Fragen bei SaaS-Diensten ist, klar zu bestimmen, wem die in das System hochgeladenen Daten gehören und in welchem Umfang sie genutzt werden dürfen.

Cloudbasierte Softwaredienste (Software as a Service – SaaS) sind heute für viele Unternehmen ein fester Bestandteil ihrer Geschäftsprozesse. Bei der Ausgestaltung von SaaS-Verträgen liegt der Fokus jedoch häufig auf Preisgestaltung, Service-Level-Vereinbarungen (SLA) oder technischem Support, während die Regelungen zu Dateneigentum und Nutzungsrechten nicht hinreichend detailliert behandelt werden.

Dabei können Fragen wie das Eigentum an den vom Kunden hochgeladenen Daten, die Zwecke, zu denen der Dienstleister diese Daten nutzen darf, und der Umgang mit den Daten nach Vertragsende erhebliche rechtliche und geschäftliche Folgen für die Parteien haben. Die Regelungen zum Datenmanagement sollten daher als einer der kritischsten Vertragsbestandteile betrachtet werden.

Warum muss das Dateneigentum ausdrücklich geregelt werden?

Bei einem SaaS-Dienst stellt der Softwareanbieter die Infrastruktur bereit, während der Kunde meist eigene geschäftliche Daten in das System einpflegt. Bei diesen Daten kann es sich um wertvolle Unternehmensinformationen handeln, etwa;

• Kundendaten,
• Beschäftigtendaten,
• Finanzdaten,
• Projektunterlagen,
• Handelsdokumente,
• betriebliche Daten

Wird das Dateneigentum im Vertrag nicht klar geregelt, kann dies zu Streitigkeiten darüber führen, welche Rechte die Parteien an den Daten haben.

In der Praxis wird üblicherweise ausdrücklich festgelegt, dass das Eigentum an den vom Kunden in das System hochgeladenen Daten beim Kunden verbleibt. Der Dienstleister erhält lediglich das für die Erbringung des Dienstes erforderliche Maß an Verarbeitungs- oder Zugriffsbefugnis.

Wie sollte die Nutzungsbefugnis des Dienstleisters bestimmt werden?

Dateneigentum und Datennutzungsrecht sind nicht dasselbe. Dass die Daten im Eigentum des Kunden stehen, bedeutet nicht, dass der Dienstleister überhaupt keinen Zugriff auf diese Daten haben darf. Im Vertrag sollten insbesondere folgende Punkte klar geregelt werden:

• Zu welchen Zwecken auf die Daten zugegriffen werden darf,
• die Grenzen der Zugriffsbefugnis im Rahmen des technischen Supports,
• der Umfang der Datennutzung bei Wartungs- und Update-Prozessen,
• ob anonymisierte Daten zu Zwecken der Leistungsanalyse oder Systementwicklung genutzt werden dürfen,
• ob Unterauftragsverarbeiter (Sub-Processors) in die Datenverarbeitungsprozesse eingebunden werden.

Unklare Formulierungen können später zu unterschiedlichen Auslegungen zwischen den Parteien führen.

Nutzung anonymisierter Daten

Viele SaaS-Anbieter möchten anonymisierte Daten nutzen, um die Servicequalität zu verbessern oder Produkte weiterzuentwickeln. Dies sollte im Vertrag ausdrücklich geregelt werden, wobei;

• der Umfang der Anonymisierung,
• welche Daten genutzt werden dürfen,
• der Nutzungszweck,
• die Grenzen der Weitergabe an Dritte

klar festgelegt werden müssen. Insbesondere bei Systemen mit personenbezogenen Daten ist die Einhaltung der einschlägigen Datenschutzvorschriften von großer Bedeutung.

Was geschieht mit den Daten bei Vertragsende?

Dies ist in der Praxis einer der Punkte mit den meisten Streitigkeiten. Der Vertrag sollte klare Antworten auf folgende Fragen enthalten:

• In welchem Format kann der Kunde seine Daten erhalten?
• Wie lange werden die Daten aufbewahrt?
• Wann löscht der Dienstleister die Daten?
• Was geschieht mit Sicherungskopien?
• Wie wird die Löschung dokumentiert?

Werden diese Punkte nicht geregelt, kann dies nach Vertragsende zu erheblichen Streitigkeiten zwischen den Parteien führen.

Datenschutzpflichten

In SaaS-Verträgen müssen neben den Regelungen zum Dateneigentum auch die Pflichten zur Datensicherheit und zum Schutz personenbezogener Daten klar geregelt werden. Besonders wichtig ist die Aufnahme folgender Punkte in den Vertrag:

• technische und organisatorische Sicherheitsmaßnahmen,
• Geheimhaltungspflichten,
• Verfahren zur Meldung von Datenschutzverletzungen,
• internationale Datenübermittlung,
• Einsatz von Unterauftragsverarbeitern,
• Einhaltung der einschlägigen Datenschutzvorschriften.

Diese Regelungen sind nicht nur zur Verringerung rechtlicher Risiken wichtig, sondern auch für die Wahrung des Vertrauensverhältnisses zwischen den Parteien.

Häufigste Fehler in SaaS-Verträgen

Zu den in der Praxis häufig anzutreffenden Fehlern zählen unter anderem:

• Das Dateneigentum wird nicht klar bestimmt,
• dem Dienstleister werden zu weitreichende Nutzungsrechte eingeräumt,
• der Prozess der Datenrückgabe bei Vertragsende wird nicht geregelt,
• Unklarheiten bei der Nutzung anonymisierter Daten,
• Datensicherheitsregelungen werden nur allgemein formuliert,
• Pflichten aus dem Datenschutzrecht werden unvollständig geregelt.

Diese Lücken können insbesondere bei internationalen Dienstleistungsbeziehungen erhebliche rechtliche Risiken begründen.

Fazit

SaaS-Verträge sind nicht nur Dokumente, die den Umfang der Softwaredienstleistung festlegen. Sie sind zugleich grundlegende Rechtstexte, die die Rechte der Parteien an den Daten, die Nutzungsgrenzen und die Verantwortlichkeiten regeln.

Eine klare, ausgewogene und dem konkreten Fall angemessene Regelung von Dateneigentum, Nutzungsrechten und Datenschutzpflichten trägt sowohl für den Dienstleister als auch für den Kunden zur Rechtssicherheit bei. Diese Klauseln bewahren zugleich die Kontrolle des Kunden über seine Daten und schaffen für den Anbieter einen vorhersehbaren Verantwortungsrahmen.

Häufig gestellte Fragen