Ein B2B-SaaS-Anbieter ist in fast jedem Kundenverhältnis Auftragsverarbeiter. Sie hosten Kundendaten, betreiben die Verarbeitung in Ihrer eigenen Infrastruktur und folgen den Weisungen Ihres Kunden. Genau diese Rolle prüft jeder Enterprise-Einkauf im Rahmen seiner Lieferanten-Due-Diligence (Third Party Risk Management). Bevor ein Vertrag unterschrieben wird, kommt der Stapel: Sicherheitsfragebögen, die Forderung nach einem unterzeichneten Auftragsverarbeitungsvertrag (AVV), nach der Sub-Processor-Liste, nach Aussagen zu Datenresidenz und KI. Wer hier sofort liefert, gewinnt den Deal. Wer wochenlang im Procurement feststeckt, verliert ihn.

Dieser Beitrag behandelt die Auftragsverarbeitung aus der Perspektive des Anbieters, nicht des Kunden. Wir zeigen, welche Pflichten Sie als Auftragsverarbeiter unter Art. 28 DSGVO und Art. 9 nDSG selbst tragen, wie der AVV aussehen muss, den Ihre Kunden verlangen, und wie Sie das Verarbeitungsverzeichnis nach Art. 30 Abs. 2, die Sicherheit nach Art. 32, die Meldekette bei Datenpannen und die internationalen Transfers Ihrer Sub-Processor so aufstellen, dass die Antworten auf jede Vendor-Frage bereitliegen.

Der Leitfaden richtet sich an Gründer, Legal- und Compliance-Verantwortliche, CISOs und Head-of-Security in SaaS-Unternehmen von der Startup-Phase bis zum etablierten ISV. Am Ende finden Sie eine kompakte Checkliste, die Sie direkt gegen Ihren Status spiegeln können.

Die Rollenklärung ist der Ausgangspunkt jeder AVV-Konstellation. Als SaaS-Anbieter sind Sie Auftragsverarbeiter (Processor) im Sinne von Art. 4 Nr. 8 DSGVO bzw. Art. 5 lit. k nDSG: Sie verarbeiten Personendaten im Auftrag und nach Weisung Ihres Kunden, ohne autonom über Zwecke und Mittel der Verarbeitung zu entscheiden. Ihr Kunde ist der Verantwortliche (Controller). Diese Zuordnung gilt für die Kundendaten, die durch Ihre Plattform fliessen.

Wichtig ist die Abgrenzung von Daten, für die Sie selbst Verantwortlicher sind. Für Ihre eigenen Account-, Abrechnungs- und Marketingdaten, für die Nutzungsdaten Ihrer Mitarbeitenden und für aggregierte Produktanalytik entscheiden Sie über Zweck und Mittel selbst. Hier sind Sie Verantwortlicher mit eigenen Informations- und Rechtspflichten. Eine saubere Trennung dieser beiden Datenkategorien gehört in jeden AVV und in Ihr Verarbeitungsverzeichnis.

Heikel wird es bei Produktanalytik und Modelltraining. Sobald Sie Kundendaten zu eigenen Zwecken nutzen, etwa zur Verbesserung Ihres Produkts oder zum Training eines KI-Modells über alle Kunden hinweg, verlassen Sie die reine Auftragsverarbeitung. Dann werden Sie für diese Verarbeitung selbst Verantwortlicher, brauchen eine eigene Rechtsgrundlage und müssen das im AVV transparent regeln. Viele Enterprise-Kunden fragen genau danach. Eine klare, ehrliche Antwort ist hier ein Verkaufsvorteil.

Der Auftragsverarbeitungsvertrag ist nach Art. 28 Abs. 3 DSGVO zwingend und schriftlich (auch elektronisch) zu schliessen, bevor die Verarbeitung beginnt. Art. 9 nDSG verlangt funktional dasselbe, ist in der Form offener, in der Praxis ist die Schriftform aber unverzichtbar. Als Anbieter bringen Sie idealerweise Ihren eigenen, geprüften AVV mit. Das verkürzt die Verhandlung, signalisiert Reife und verhindert, dass Sie für jeden Kunden einen fremden Vertrag mit ungünstigen Klauseln unterschreiben.

Art. 28 Abs. 3 listet die zwingenden Inhalte: Gegenstand, Dauer, Art und Zweck der Verarbeitung, Art der Personendaten und Kategorien betroffener Personen, Pflichten und Rechte des Verantwortlichen. Hinzu kommen acht Verpflichtungen des Auftragsverarbeiters: Verarbeitung nur auf dokumentierte Weisung, Vertraulichkeitsverpflichtung der eingesetzten Personen, Sicherheit nach Art. 32, Bedingungen für Sub-Processor, Unterstützung bei Betroffenenrechten, Unterstützung bei Sicherheit, Datenpannen und Datenschutz-Folgenabschätzung, Rückgabe oder Löschung der Daten am Ende, sowie der Nachweis und die Ermöglichung von Audits.

Für eine CH/EU-Konstellation gestalten Sie den AVV nach DSGVO-Standard und ergänzen die Schweizer Besonderheiten (Verweis auf das nDSG, Schweizer Anpassung der Standardvertragsklauseln nach EDÖB-Leitlinie). Ein reiner nDSG-AVV reicht für Kunden mit EU-Bezug nicht aus. Ein gut gebauter Anbieter-AVV deckt beide Rechtsräume in einem Dokument ab.

Kaum ein SaaS-Anbieter kommt ohne Sub-Processor aus: Cloud-Hosting, E-Mail-Versand, Monitoring, Support-Tools, Zahlungsabwicklung, zunehmend auch KI-Inferenz-Provider. Jeder dieser Dienstleister, der Kundendaten verarbeitet, ist ein weiterer Auftragsverarbeiter im Sinn von Art. 28 Abs. 2 und 4 DSGVO. Drei Pflichten treffen Sie als Anbieter.

Genehmigung: Sie dürfen einen Sub-Processor nur mit vorheriger spezifischer oder allgemeiner schriftlicher Genehmigung des Kunden einsetzen. In der Praxis arbeiten SaaS-Anbieter mit der allgemeinen Genehmigung plus Änderungsverfahren: Sie führen eine aktuelle Sub-Processor-Liste, kündigen neue oder ersetzte Sub-Processor mit angemessener Vorlaufzeit an (typisch 30 Tage) und räumen dem Kunden ein Einspruchsrecht ein.

Flow-Down: Sie müssen jedem Sub-Processor vertraglich dieselben Datenschutzpflichten auferlegen, die Sie gegenüber Ihrem Kunden tragen (Art. 28 Abs. 4). Diese Pass-Through-Pflicht ist kein Formsatz: Sie haften gegenüber dem Kunden für die Einhaltung durch Ihre Sub-Processor.

Transparenz: Eine vollständige, gepflegte Sub-Processor-Liste mit Name, Sitz, Verarbeitungszweck und betroffenen Datenkategorien ist eines der ersten Dokumente, die der Enterprise-Einkauf verlangt. Veröffentlichen Sie diese Liste im Trust Center, halten Sie sie aktuell und richten Sie einen Benachrichtigungskanal ein, über den Kunden Änderungen abonnieren können. Das beantwortet eine ganze Reihe von Fragebogen-Fragen, bevor sie gestellt werden.

Auftragsverarbeiter haben ein eigenes Verzeichnis von Verarbeitungstätigkeiten zu führen (Records of Processing Activities, ROPA). Art. 30 Abs. 2 DSGVO definiert dessen Inhalt eigenständig und schlanker als das Controller-Verzeichnis nach Art. 30 Abs. 1. Es muss enthalten: Name und Kontaktdaten der Auftragsverarbeiter (also Ihres Unternehmens), aller Verantwortlichen, in deren Auftrag Sie tätig sind, gegebenenfalls des Vertreters und des Datenschutzbeauftragten; die Kategorien der Verarbeitungen, die Sie im Auftrag jedes Verantwortlichen durchführen; gegebenenfalls Drittlandübermittlungen mit Angabe des Landes und der Garantien; sowie eine allgemeine Beschreibung der technischen und organisatorischen Sicherheitsmassnahmen nach Art. 32 Abs. 1.

Das nDSG kennt in Art. 12 ebenfalls die Verzeichnispflicht. Kleine Unternehmen unter 250 Mitarbeitenden sind nach nDSG teilweise befreit, die Ausnahme greift jedoch nicht bei umfangreicher Bearbeitung besonders schützenswerter Personendaten oder bei hohem Risiko. Ein SaaS-Anbieter, der für viele Kunden grosse Datenmengen verarbeitet, kann sich auf die Ausnahme in der Regel nicht verlassen.

Praktischer Nutzen über die Pflicht hinaus: Ein gepflegtes Art.-30(2)-Verzeichnis ist die Quelle, aus der Sie Sicherheitsfragebögen, Datenflussdiagramme und Sub-Processor-Listen speisen. Wer das Verzeichnis strukturiert hält, etwa in der Priverion-Plattform, beantwortet Vendor-Fragen aus einer einzigen, aktuellen Datenbasis statt aus verstreuten Tabellen.

Art. 32 DSGVO und Art. 8 nDSG mit der Verordnung VDSG verlangen technische und organisatorische Massnahmen, die dem Risiko angemessen sind: Pseudonymisierung und Verschlüsselung, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, Wiederherstellbarkeit nach einem Zwischenfall sowie ein Verfahren zur regelmässigen Überprüfung der Wirksamkeit. Als Auftragsverarbeiter tragen Sie diese Pflicht unmittelbar, nicht nur vertraglich. Genau hier setzen Fragebögen, ISO-27001-Evidenz, SOC-2-Berichte und Penetrationstest-Nachweise an, die Ihre Kunden sehen wollen.

Bei einer Verletzung des Schutzes personenbezogener Daten gilt für Sie als Auftragsverarbeiter eine wichtige Besonderheit: Die Frist von 72 Stunden für die Meldung an die Aufsichtsbehörde nach Art. 33 Abs. 1 trifft den Verantwortlichen, nicht Sie. Ihre Pflicht nach Art. 33 Abs. 2 ist, den Verantwortlichen unverzüglich nach Bekanntwerden zu benachrichtigen, damit dieser seine 72-Stunden-Frist einhalten kann. In der Praxis bedeutet unverzüglich für den Anbieter eine sehr kurze, vertraglich oft auf 24 bis 48 Stunden ab Kenntnis konkretisierte Frist.

Bauen Sie eine klare Meldekette: Detektion, interne Triage, Einstufung als meldepflichtige Verletzung, Benachrichtigung jedes betroffenen Verantwortlichen mit den Informationen, die dieser für seine Meldung braucht (Art der Verletzung, betroffene Datenkategorien und Personenzahl, wahrscheinliche Folgen, ergriffene Massnahmen), und Unterstützung bei dessen Aufsichts- und Betroffenenmeldung. Das nDSG kennt in Art. 24 eine eigene Meldelogik an den EDÖB, ausgelöst durch den Verantwortlichen bei hohem Risiko, der Auftragsbearbeiter meldet dem Verantwortlichen. Halten Sie die Meldekette einsatzbereit, bevor der erste Vorfall eintritt. SIDD ist als governance- und beratungsorientierter Partner aufgestellt und betreibt kein eigenes 24/7-SOC und keinen Managed-Incident-Response-Dienst.

Sobald ein Sub-Processor ausserhalb der Schweiz, der EU/des EWR und der Länder mit anerkannt angemessenem Datenschutzniveau sitzt, brauchen Sie eine zusätzliche Transfergarantie. Standard sind heute die EU-Standardvertragsklauseln (SCC, Durchführungsbeschluss 2021/914), für Schweizer Sachverhalte ergänzt um die Anpassungen gemäss EDÖB. Für Übermittlungen in die USA können Sie sich auf das EU-US Data Privacy Framework (für EU-Daten) bzw. das Swiss-US DPF (vom EDÖB anerkannt) stützen, sofern der Empfänger zertifiziert und der relevante Datentyp vom Framework gedeckt ist. Prüfen Sie die Zertifizierung des konkreten Sub-Processors, nicht nur des Konzerns.

Zu den SCC gehört ein Transfer Impact Assessment (TIA): eine dokumentierte Einschätzung, ob das Recht und die Praxis im Zielland den Schutz der übermittelten Daten beeinträchtigen, und welche ergänzenden Massnahmen (Verschlüsselung mit kundenseitig oder im EU/CH-Raum gehaltenen Schlüsseln, Pseudonymisierung, strikte Zugriffskontrollen, Transparenz über Behördenanfragen) das Schutzniveau sichern. Das TIA ist keine Formalie, sondern materieller Bestandteil der Transferentscheidung und ein Dokument, das anspruchsvolle Enterprise-Kunden sehen wollen.

Datenresidenz wird zunehmend zum Kaufkriterium. Viele Kunden in der Schweiz und der EU fragen explizit nach EU- oder CH-Hosting. Wenn Sie Regionen-Wahl, EU/CH-Datenresidenz oder Schlüsselverwaltung beim Kunden anbieten können, dokumentieren Sie das klar im Trust Center. Das verkürzt die Transferdiskussion und entschärft viele Fragebogen-Punkte.

Spiegeln Sie Ihren Status gegen diese Punkte:

• Rollen sauber getrennt: Kundendaten (Auftragsverarbeiter) vs. eigene Daten (Verantwortlicher), inklusive Produktanalytik und Modelltraining.
• Eigener, geprüfter Anbieter-AVV nach Art. 28 DSGVO und Art. 9 nDSG, einsatzbereit ohne Einzelverhandlung.
• Aktuelle Sub-Processor-Liste mit Sitz, Zweck und Datenkategorien, im Trust Center veröffentlicht, mit Änderungsbenachrichtigung und Einspruchsrecht.
• Flow-Down-AVV mit jedem Sub-Processor abgeschlossen.
• Verarbeitungsverzeichnis nach Art. 30 Abs. 2 DSGVO und Art. 12 nDSG, gepflegt und als Quelle für Fragebögen nutzbar.
• Art.-32-Massnahmen dokumentiert, mit ISO-27001-, SOC-2- und Pentest-Evidenz hinterlegt.
• Meldekette an den Verantwortlichen definiert, mit konkreter Frist (24 bis 48 Stunden) und Mustertext.
• SCC plus TIA für jeden Sub-Processor ausserhalb EU/CH, DPF-Zertifizierung geprüft.
• Datenresidenz-Aussage und KI-Feature-Governance vorbereitet.

SIDD baut diese Schicht als juristisch geführte Beratung auf. Wir gestalten Ihren Anbieter-AVV, das ROPA nach Art. 30 Abs. 2, die Sub-Processor- und Flow-Down-Verträge, die SCC samt TIA und die Meldekette. Als externer Datenschutzberater (nDSG) und externer Datenschutzbeauftragter (DSGVO Art. 37) übernehmen wir die laufende Pflege, und über ein ISO-27001/ISMS-Mandat sowie Penetrationstests liefern wir die Sicherheits-Evidenz, die Ihre Kunden verlangen. So wird Datenschutz vom Kostenpunkt zum Verkaufsargument. Fordern Sie eine Offerte an oder schreiben Sie uns über das Kontaktformular.