DSGVO für SaaS-Anbieter: 10 Pflichten 2026

Hauptartikel: VVT erstellen 2026 — wie Sie das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO Schritt für Schritt aufbauen.

Als SaaS-Anbieter verarbeiten Sie Kundendaten in aller Regel weisungsgebunden — Sie sind Auftragsverarbeiter nach Art. 28 DSGVO. Diese Rolle löst einen eigenen, klar abgegrenzten Pflichtenkreis aus, der sich vom Pflichtenkreis Ihrer Kunden unterscheidet. Die folgenden zehn Punkte trennen deshalb konsequent drei Ebenen: was eine Norm verlangt, was der Verantwortliche schuldet und was Ihre eigene Praxisentscheidung ist. Jeder Punkt macht kenntlich, ob er auf einer Norm, auf einer Pflicht Ihres Kunden oder auf Praxis beruht — und nennt die Fundstelle, wo es eine gibt.

1. Klarstellung Anbieter/Verantwortlicher-Rolle

Klären Sie die Rolle je Verarbeitungstätigkeit, nicht pauschal je Vertrag — ein Produkt kann beide Rollen gleichzeitig auslösen. Bei Standard-SaaS: Anbieter ist Auftragsverarbeiter. Bei Analytics/Pricing: oft eigenständige Verantwortlichkeit. Vertraglich klären.

Die DSGVO kennt drei Zuordnungen, die Sie auseinanderhalten müssen: Verantwortlicher (Art. 4 Nr. 7 DSGVO), Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO) und gemeinsam Verantwortliche (Art. 26 DSGVO). Ein wiederkehrender Dokumentationsfehler in der Praxis ist, Auftragsverarbeitung mit gemeinsamer Verantwortlichkeit zu verwechseln — die Folgepflichten sind andere.

Praktische Folge: Werten Sie Daten zu eigenen Zwecken aus — Produkttelemetrie für die eigene Roadmap, Preisbildung, Benchmarking über Mandanten hinweg —, kann für diese Verarbeitung eine eigene Verantwortlichkeit entstehen; dann brauchen Sie eine eigene Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO. Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der dort genannten sechs Bedingungen erfüllt ist (lit. a bis f), etwa Einwilligung (lit. a) oder Wahrung berechtigter Interessen (lit. f). Der AVV deckt diesen Fall nicht ab: Er regelt die Verarbeitung im Auftrag des Verantwortlichen (Art. 28 Abs. 1 DSGVO), während eine Verarbeitung zu eigenen Zwecken ihre eigene Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO braucht.

Praxisempfehlung: Führen Sie eine Rollen-Matrix je Verarbeitungstätigkeit (Kern-Service, Support, Telemetrie, Abrechnung, Marketing) und spiegeln Sie das Ergebnis in AVV, Datenschutzerklärung und Verzeichnis. Rollenwechsel entstehen typischerweise beim Ausrollen neuer Features, nicht beim Vertragsschluss.

2. Standard-AVV bereitstellen

Stellen Sie einen fertigen Auftragsverarbeitungsvertrag bereit, der den gesetzlichen Mindestinhalt vollständig abbildet — sonst wird jede Kundenprüfung zur Einzelverhandlung. Vorlage nach Art. 28 mit allen 8 Pflichtinhalten + Sub-Auftragsverarbeiter-Liste + Schrems-II-Anhang.

Zwei Normebenen greifen ineinander. Erstens dürfen Verantwortliche nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten (Art. 28 Abs. 1 DSGVO) — Ihre TOM-Beschreibung ist damit faktisch eine Vertriebsvoraussetzung. Zweitens erfolgt die Verarbeitung auf Grundlage eines Vertrags oder eines anderen Rechtsinstruments, in dem festgelegt sind (Art. 28 Abs. 3 DSGVO):

• Gegenstand und Dauer der Verarbeitung
• Art und Zweck der Verarbeitung
• Art der personenbezogenen Daten
• Kategorien betroffener Personen
• Pflichten und Rechte des Verantwortlichen

Diese Angaben sind der Rahmen; darin stehen die acht Einzelpflichten des Art. 28 Abs. 3 lit. a–h DSGVO, von denen drei in diesem Artikel gesondert behandelt werden: Unterstützung bei Betroffenenanträgen (lit. e, Punkt 10), Unterstützung bei Art. 32 bis 36 einschließlich DSFA (lit. f, Punkt 7) und Nachweise sowie Inspektionen (lit. h, Punkt 9).

Praxisempfehlung: Halten Sie den AVV als versioniertes Dokument im Kundenportal vor, mit Änderungshistorie und Datum. Wer den AVV nur auf Anfrage per E-Mail versendet, verliert bei jeder Vertragsänderung den Überblick, welche Fassung für welchen Kunden gilt.

3. Sub-Auftragsverarbeiter dokumentieren

Führen Sie eine vollständige, versionierte Liste aller Sub-Auftragsverarbeiter — und für jeden einen eigenen AVV. Hosting (AWS/Azure/GCP), Mail (SendGrid/Postmark), Analytics, Support-Tools — alle mit AVV.

Ihre Kunden dürfen nach Art. 28 Abs. 1 DSGVO nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Nach demselben Maßstab wählen Sie in der Praxis Ihre Unterauftragnehmer aus. Parallel dazu verlangt Art. 30 Abs. 2 lit. c DSGVO, dass Sie Übermittlungen in Drittländer im eigenen Verzeichnis dokumentieren, einschließlich der Dokumentation geeigneter Garantien.

Zwei Fehler tauchen nach Praxiserfahrung immer wieder auf und betreffen genau diese Liste: veraltete Empfänger-Listen, in denen abgelöste Dienste noch stehen, und fehlende Drittland-Hinweise bei US-Tools. Beides fällt sofort auf, sobald ein Kunde Ihre Liste gegen sein eigenes Verzeichnis abgleicht.

Praxisempfehlung: Je Eintrag mindestens Firmierung, Sitz, Verarbeitungszweck, Datenkategorien, Region und Garantie-Grundlage bei Drittlandbezug. Änderungen mit zeitlichem Vorlauf ankündigen und die Liste öffentlich versionieren — das erspart Ihren Kunden die Rückfrage und Ihnen den Einzelnachweis.

4. Datenschutz by Design + Default

Setzen Sie datenschutzfreundliche Voreinstellungen technisch durch, statt sie in der Dokumentation zu beschreiben. Default-Off für Tracking/Werbung, Pseudonymisierung in Logs, Verschlüsselung at-rest + in-transit.

Die folgenden Anforderungen ergeben sich aus Art. 32 und Art. 34 Abs. 3 DSGVO sowie aus dem nationalen Telemedien- und TK-Recht.

Verschlüsselung wirkt zweifach. Sie ist Teil der geeigneten technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Wurden geeignete Schutzmaßnahmen — insbesondere Verschlüsselung — angewandt, kann die Benachrichtigung nach Art. 34 Abs. 1 DSGVO entfallen (Art. 34 Abs. 3 DSGVO); die Bewertung trifft der Verantwortliche. Schlüsselhoheit auf Kundenseite ist dafür in der Praxis die belastbarste Ausgangslage.

Tracking-Defaults sind national geregelt. In Deutschland sind die Speicherung von Informationen in der Endeinrichtung des Endnutzers und der Zugriff auf bereits gespeicherte Informationen nur zulässig, wenn der Endnutzer auf Grundlage klarer und umfassender Informationen eingewilligt hat; keine Einwilligung ist erforderlich, wenn der alleinige Zweck die Durchführung der Nachrichtenübertragung ist oder der Zugriff unbedingt erforderlich ist, damit ein vom Nutzer ausdrücklich gewünschter digitaler Dienst bereitgestellt werden kann (§ 25 Abs. 1 und 2 TDDDG). In Österreich folgt das Opt-In für Tracking-Cookies aus § 165 TKG 2021. Kommt es auf eine Einwilligung an, muss der Verantwortliche sie nachweisen können (Art. 7 Abs. 1 DSGVO) und der Widerruf muss so einfach sein wie die Erteilung (Art. 7 Abs. 3 DSGVO) — im Produkt heißt das: Der Ausschalter liegt an derselben Stelle wie der Einschalter.

Rechnen Sie damit, dass Kunden besondere Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO in Ihr System einstellen (etwa Gesundheitsdaten in HR- oder Praxis-Software), gehört das in die Risikoeinschätzung Ihrer Voreinstellungen und Ihrer TOM. Die Rechtsgrundlage für eine solche Verarbeitung schuldet der Verantwortliche.

5. Customer-Lockbox-Funktion

Support-Zugriffe auf Kundendaten sollten pro Zugriff genehmigt, zeitlich befristet und protokolliert sein — das ist eine Praxisempfehlung und Best-Practice für Enterprise-Kunden. Bei Support-Zugriff auf Kundendaten: Genehmigung pro Zugriff erforderlich.

Die Anknüpfung an die DSGVO ist mittelbar: Art. 28 Abs. 1 DSGVO verlangt hinreichende Garantien für geeignete technische und organisatorische Maßnahmen, und Zugriffskontrolle auf Produktivdaten ist der Punkt, an dem Kundenprüfungen erfahrungsgemäß am detailliertesten nachfragen. Ein Lockbox-Verfahren macht diese Garantie prüfbar, statt sie zu behaupten.

Österreich-Besonderheit: Nach § 6 DSG sind Verantwortliche, Auftragsverarbeiter und ihre Mitarbeiter zur Geheimhaltung verpflichtet (Datengeheimnis). Praxisempfehlung: Setzen Sie das für Support-Teams mit Zugriff auf Daten österreichischer Kunden über eine dokumentierte Verpflichtungserklärung je Mitarbeitendem um.

Praxisempfehlung: Genehmigung durch den Kunden statt durch den eigenen Vorgesetzten, automatische Rechteentziehung nach Ablauf, Protokoll für den Kunden einsehbar, und ein dokumentiertes Break-Glass-Verfahren für Störungsfälle, dessen Nutzung nachträglich begründet wird.

6. EU-Datenboundary aktivieren

Legen Sie Primär-Hosting und jeden Sub-Auftragsverarbeiter auf eine EU-Region fest — und prüfen Sie, ob die Zusage auch für Backups, Logs und Support-Zugriffe trägt. Hosting in EU + Sub-Auftragsverarbeiter mit EU-Region. Bei Hyperscalern: aktivierbar.

Rechtliche Einordnung: EU-Hosting ist keine DSGVO-Pflicht. Eine Übermittlung in ein Drittland ist zulässig, wenn Verantwortlicher und Auftragsverarbeiter die Bedingungen des Kapitels V einhalten (Art. 44 DSGVO), also insbesondere auf Basis eines Angemessenheitsbeschlusses (Art. 45 DSGVO) oder geeigneter Garantien wie Standardvertragsklauseln (Art. 46 DSGVO). EU-Datenboundary ist damit eine Risiko- und Vertriebsentscheidung, die Ihren Kunden Prüfaufwand erspart — kein gesetzliches Muss.

Was Sie unabhängig von der Entscheidung dokumentieren müssen: Übermittlungen in Drittländer gehören einschließlich der Dokumentation geeigneter Garantien in Ihr eigenes Verzeichnis nach Art. 30 Abs. 2 lit. c DSGVO. Das gilt auch dann, wenn Sie das Primär-Hosting in der EU betreiben, aber ein einzelner Sub-Auftragsverarbeiter — Mailversand, Fehler-Telemetrie, Support-Tooling — außerhalb sitzt.

Praxisempfehlung: Führen Sie die Regionen-Zuordnung je Sub-Auftragsverarbeiter als eigene Spalte Ihrer Liste (Punkt 3) und nicht als Fließtext im AVV. Verkaufen Sie „EU-Region" nur dann als Zusage, wenn sie für die gesamte Kette gilt — auch für Backups, Logs und Support-Zugriffe.

7. DSFA für Hochrisiko-Funktionen

Die Datenschutz-Folgenabschätzung schuldet Ihr Kunde, Ihre Aufgabe ist die Zuarbeit — auslösend sind Produktfunktionen mit voraussichtlich hohem Risiko. z.B. KI-Features, Profilbildung, automatisierte Entscheidung. Vorlage 7-Schritte.

Rollenklarstellung: Die Datenschutz-Folgenabschätzung schuldet der Verantwortliche (Art. 35 Abs. 1 DSGVO). Als Auftragsverarbeiter treffen Sie die Pflicht, ihn dabei zu unterstützen — der AVV sieht vor, dass Sie den Verantwortlichen bei der Einhaltung der Art. 32 bis 36 DSGVO unterstützen (Art. 28 Abs. 3 lit. f DSGVO).

Wann die Schwelle erreicht ist: Eine DSFA ist vorab durchzuführen, wenn eine Form der Verarbeitung — insbesondere bei Verwendung neuer Technologien — aufgrund von Art, Umfang, Umständen und Zwecken voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat (Art. 35 Abs. 1 DSGVO). Art. 35 Abs. 3 DSGVO nennt drei Regelfälle, die sich unmittelbar auf Produktfunktionen abbilden lassen:

• Scoring- und Profilbildungs-Features: systematische umfassende Bewertung persönlicher Aspekte mit Rechtswirkung
• Gesundheits-, Biometrie- oder vergleichbare Module: umfangreiche Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO
• Überwachungsfunktionen: systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche

Praxisempfehlung: Liefern Sie Ihren Kunden ein DSFA-Zuarbeitspaket statt einer fertigen DSFA — Datenflussdiagramm, Datenkategorien, Speicherorte, Löschlogik, TOM-Auszug und die Beschreibung der eingesetzten Modelle. Die Bewertung und Entscheidung bleibt beim Verantwortlichen; Ihr Beitrag ist die Faktengrundlage. Beachten Sie außerdem, dass DSFA-pflichtige Verarbeitungen in Deutschland eine eigene Benennungspflicht für einen Datenschutzbeauftragten auslösen können (siehe Abschnitt „Nachweise, die Sie als Auftragsverarbeiter selbst schulden").

8. Datenpannen-Verfahren mit 24h-Customer-Notification

Bauen Sie ein Meldeverfahren, das jeden betroffenen Verantwortlichen einzeln und unverzüglich erreicht. Bei Vorfall: Ihr Kunde muss DSGVO-Frist 72h erreichen. Daher Customer-Notification binnen 24h.

Die Fristen gehören zwei verschiedenen Stellen. Die 72 Stunden treffen den Verantwortlichen gegenüber der Aufsichtsbehörde: Er meldet unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde; erfolgt die Meldung später, ist eine Begründung für die Verzögerung beizufügen (Art. 33 Abs. 1 DSGVO). Ihre eigene Pflicht als Auftragsverarbeiter ist die unverzügliche Meldung an den Verantwortlichen (Art. 33 Abs. 2 DSGVO). Die 24-Stunden-Zusage ist eine Praxisempfehlung, die über den AVV vertraglich vereinbart wird — sie verschärft die gesetzliche Vorgabe freiwillig, damit Ihr Kunde seine eigene Frist realistisch halten kann.

Was Ihre Meldung enthalten muss, damit sie nutzbar ist. Der Verantwortliche muss der Aufsichtsbehörde die Pflichtangaben nach Art. 33 Abs. 3 DSGVO liefern — er kann das nur, wenn Ihre Meldung sie hergibt: Beschreibung der Verletzung nach Art und Umständen, ungefähre Zahl betroffener Personen und Datensätze, Datenkategorien, voraussichtliche Folgen, Maßnahmen zur Behebung und zur Schadensminderung sowie Kontaktdaten.

Zweite Stufe. Führt die Verletzung voraussichtlich zu einem hohen Risiko für die Rechte und Freiheiten natürlicher Personen, benachrichtigt der Verantwortliche die betroffenen Personen unverzüglich (Art. 34 Abs. 1 DSGVO). Diese Benachrichtigung entfällt, wenn geeignete Schutzmaßnahmen — insbesondere Verschlüsselung — angewandt wurden, wenn das hohe Risiko durch nachfolgende Maßnahmen nicht mehr besteht oder wenn sie mit unverhältnismäßigem Aufwand verbunden wäre; dann tritt eine öffentliche Bekanntmachung an ihre Stelle (Art. 34 Abs. 3 DSGVO).

Praxisempfehlung: Erkennung und Eindämmung laufen technisch, die Klassifizierung (welche Mandanten, welche Datenarten, welcher Umfang) läuft parallel — und die Meldung geht an jeden betroffenen Verantwortlichen einzeln, nicht als Sammel-Statusmeldung. Halten Sie ein Meldeformular mit den Feldern des Art. 33 Abs. 3 DSGVO vor, damit im Ernstfall niemand die Struktur erfinden muss.

9. Right-to-Audit ermöglichen

Ermöglichen Sie Überprüfungen aktiv und beantworten Sie die Standardfragen vorab mit einem fertigen Nachweispaket. Mind. SOC-2-Bericht bereitstellen. Bei kritischen Kunden: Vor-Ort-Audit ermöglichen.

Rechtsgrundlage: Pflicht ist, dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Auftragsverarbeiter-Pflichten zur Verfügung zu stellen und Überprüfungen einschließlich Inspektionen zu ermöglichen und dazu beizutragen (Art. 28 Abs. 3 lit. h DSGVO). Ein SOC-2-Bericht ist dafür ein praxisübliches Hilfsmittel, gesetzlich aber nicht vorgeschrieben.

Was Zertifikate leisten und was nicht. Die Zertifizierung ist freiwillig (Art. 42 Abs. 3 DSGVO) und mindert die Verantwortung für die Einhaltung der Verordnung nicht (Art. 42 Abs. 4 DSGVO). Sie darf jedoch als Faktor herangezogen werden, um hinreichende Garantien nachzuweisen (Art. 28 Abs. 5 DSGVO) und um die Einhaltung der Anforderungen an die Sicherheit der Verarbeitung zu belegen (Art. 32 Abs. 3 DSGVO). Ein Zertifikat verkürzt also die Prüfung Ihres Kunden, ersetzt aber weder den AVV noch die Auskunft im Einzelfall.

Praxisempfehlung: Halten Sie ein Audit-Paket vor, das die typischen Fragen ohne Termin beantwortet — TOM-Beschreibung, aktuelle Sub-Auftragsverarbeiter-Liste, Zertifikatsnachweise, Zusammenfassung des letzten Penetrationstests, Datenpannen-Verfahren. Vereinbaren Sie für Vor-Ort-Audits Vorlauf, Umfang, Vertraulichkeit und Kostentragung im AVV, statt jeden Fall neu zu verhandeln.

10. Datenexport-API für Art. 20

Stellen Sie einen Export bereit, den Ihr Kunde ohne Ihre Mithilfe und innerhalb seiner gesetzlichen Antwortfrist auslösen kann. Maschinenlesbares Format (JSON/CSV/XML) für Kunden-Datenexport.

Rollenklarstellung: Das Recht auf Datenübertragbarkeit richtet sich gegen den Verantwortlichen; Ihre Pflicht als Auftragsverarbeiter ist, ihn mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Betroffenenanträgen zu unterstützen (Art. 28 Abs. 3 lit. e DSGVO).

Der Zeitrahmen, in den Ihre Funktion passen muss. Der Verantwortliche stellt der betroffenen Person Informationen über die auf einen Antrag nach Art. 15 bis 22 DSGVO ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung; die Frist ist bei Komplexität oder hoher Antragszahl um zwei weitere Monate verlängerbar, wobei die betroffene Person darüber innerhalb eines Monats unter Angabe der Gründe zu unterrichten ist (Art. 12 Abs. 3 DSGVO). Ein Export, der als Support-Ticket mit unbestimmter Bearbeitungszeit läuft, gefährdet diese Frist Ihres Kunden.

Praxisempfehlung: Self-Service im Kundenportal schlägt jedes Ticket-Verfahren — mandantenweit und je betroffener Person, mit Zeitstempel und Protokoll für den Nachweis. Die zugesagte Bearbeitungszeit für nicht automatisierbare Fälle gehört in den AVV, ebenso ein Rückgabe- und Löschkonzept für das Vertragsende.

Nachweise, die Sie als Auftragsverarbeiter selbst schulden

Neben den zehn produktnahen Punkten schulden Sie zwei eigenständige Nachweise, die Ihre Kunden nicht für Sie erbringen können: ein eigenes Verarbeitungsverzeichnis und — unter bestimmten Voraussetzungen — die Benennung eines Datenschutzbeauftragten.

Eigenes Verzeichnis (Art. 30 Abs. 2 DSGVO). Für Auftragsverarbeiter gilt ein eigener, kürzerer Katalog mit vier Pflichtangaben (lit. a–d): a) Name und Kontaktdaten des Auftragsverarbeiters und jedes Verantwortlichen, in dessen Auftrag er tätig ist (gegebenenfalls Vertreter, gegebenenfalls Datenschutzbeauftragter); b) die Kategorien der im Auftrag jedes Verantwortlichen durchgeführten Verarbeitungen; c) gegebenenfalls Drittlandübermittlungen einschließlich Dokumentation geeigneter Garantien; d) wenn möglich eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach Art. 32 Abs. 1 DSGVO. Dieses Verzeichnis ist nicht mit dem AVV zu verwechseln — der AVV ist der Vertrag, das Verzeichnis ist Ihre eigene Rechenschaftsdokumentation.

Datenschutzbeauftragter. Die Benennungspflicht des Art. 37 Abs. 1 DSGVO richtet sich ausdrücklich an den Verantwortlichen und den Auftragsverarbeiter: bei Verarbeitung durch Behörden oder öffentliche Stellen (lit. a), bei Kerntätigkeit in umfangreicher regelmäßiger und systematischer Überwachung (lit. b) oder bei Kerntätigkeit in umfangreicher Verarbeitung besonderer Datenkategorien nach Art. 9 oder von Daten über strafrechtliche Verurteilungen nach Art. 10 (lit. c). In Deutschland kommt § 38 Abs. 1 BDSG hinzu: Benennungspflicht, soweit in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung beschäftigt sind — und unabhängig von der Personenzahl, wenn Verarbeitungen einer DSFA nach Art. 35 DSGVO unterliegen oder Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet werden. Österreich sieht keine darüber hinausgehende zahlenmäßige Schwelle vor; die Pflicht folgt dort unmittelbar aus Art. 37 DSGVO, § 5 DSG regelt ergänzend Geheimhaltung und — im öffentlichen Bereich — Weisungsfreiheit.

Praxiseinschätzung zur Reihenfolge: Bei Anfragen von Aufsicht und Kunden steht erfahrungsgemäß zuerst das Verzeichnis im Mittelpunkt, danach AVV, TOM-Konzept und DSFA — das ist Praxiserfahrung, keine gesetzlich festgelegte Prüfreihenfolge. Wer beim Verzeichnis nicht liefern kann, verliert die Gesprächsgrundlage für alles Weitere.

Fristen und Praxis-Rhythmen im Überblick

Die folgenden zwei Tabellen trennen strikt: Die erste nennt ausschließlich gesetzliche Fristen mit der Stelle, die sie schuldet. Die zweite nennt ausschließlich Praxis-Rhythmen, denen keine gesetzliche Frist zugrunde liegt.

Deutschland und Österreich: was identisch ist und was nicht

Die DSGVO gilt als EU-Verordnung in beiden Ländern unverändert — alle oben genannten Artikel (Art. 28, 32, 33, 35, 42, 44 ff., 83) sind wortgleich. Unterschiedlich sind die Aufsicht und die nationalen Ergänzungsgesetze:

• Aufsicht Deutschland: Für nichtöffentliche Stellen — also für SaaS-Unternehmen — überwachen die nach Landesrecht zuständigen Landesdatenschutzbehörden die Anwendung des Datenschutzrechts (§ 40 Abs. 1 BDSG). Für öffentliche Stellen des Bundes und bestimmte Anbieter von Telekommunikationsdiensten ist die BfDI zuständig (§ 9 Abs. 1 BDSG).
• Aufsicht Österreich: Zuständig ist die Datenschutzbehörde, die als nationale Aufsichtsbehörde gemäß Art. 51 DSGVO eingerichtet ist (§ 18 Abs. 1 DSG).
• Meldeweg bei Datenpannen: In Deutschland melden Unternehmen als nichtöffentliche Stellen an die nach Landesrecht zuständige Behörde (§ 40 Abs. 1 BDSG); jedes Bundesland betreibt ein eigenes Meldeportal — in Bayern etwa das Bayerische Landesamt für Datenschutzaufsicht für den nichtöffentlichen Bereich. Die BfDI ist demgegenüber nur für öffentliche Stellen des Bundes und bestimmte Anbieter von Telekommunikationsdiensten zuständig (§ 9 Abs. 1 BDSG). In Österreich geht die Meldung an die Datenschutzbehörde.
• Datenschutzbeauftragter: Deutschland fordert ergänzend zu Art. 37 Abs. 1 lit. b und c DSGVO einen Datenschutzbeauftragten, wenn in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung beschäftigt sind (§ 38 Abs. 1 BDSG). Österreich kennt keine solche zahlenmäßige Schwelle; die Benennungspflicht folgt unmittelbar aus Art. 37 DSGVO, § 5 DSG regelt ergänzend Geheimhaltung und Weisungsfreiheit.
• Datengeheimnis (Österreich): Nach § 6 DSG sind Verantwortliche, Auftragsverarbeiter und ihre Mitarbeiter zur Geheimhaltung verpflichtet — für Support- und Betriebsteams mit Zugriff auf Daten österreichischer Kunden ist das ein eigener Dokumentationspunkt.
• Verwarnung statt Geldbuße (nur Österreich): § 11 DSG sieht die verhältnismäßige Anwendung des Art. 83 DSGVO vor, insbesondere bei erstmaligen Verstößen eine Verwarnung statt einer Geldbuße.
• Nationale Sanktionen neben Art. 83 DSGVO: In Deutschland ahndet § 43 Abs. 2 und 3 BDSG bestimmte Verstöße als Ordnungswidrigkeit mit Geldbuße bis zu 50.000 Euro. In Österreich sieht § 62 Abs. 1 DSG Verwaltungsstrafen bis zu 50.000 Euro vor, soweit die Tat nicht schon Art. 83 DSGVO unterfällt.
• Beschäftigtendaten in HR-Modulen: Deutschland kennt mit § 26 BDSG eine eigene Norm zum Beschäftigtendatenschutz. Österreich hat keinen entsprechenden Paragrafen im DSG; maßgeblich sind Art. 6 und Art. 88 DSGVO, ergänzt um § 12 Abs. 4 Z 2 DSG (Bildaufnahme zum Zweck der Kontrolle von Arbeitnehmern ist unzulässig) und § 96 Abs. 1 Z 3 ArbVG (Kontrollmaßnahmen, die die Menschenwürde berühren, nur mit Betriebsvereinbarung).
• Videodaten (nur Österreich): Für Bildaufnahmen gelten §§ 12 und 13 DSG als Sonderregelung — mit Kennzeichnungspflicht (§ 13 Abs. 5 DSG) und der Vorgabe, dass eine länger als 72 Stunden andauernde Aufbewahrung verhältnismäßig sein muss und gesondert zu protokollieren und zu begründen ist (§ 13 Abs. 3 DSG). Relevant für jede Software, die Videoaufnahmen speichert.
• BSI C5: ein deutscher Prüfkatalog — in beiden Ländern freiwillig und in keinem der beiden gesetzlich vorgeschrieben (vgl. Art. 42 Abs. 3 und 4 DSGVO).

NIS2: ein eigenes Regime neben der DSGVO

Ihre Rolle als Auftragsverarbeiter sagt nichts darüber aus, ob Sie unter NIS2 fallen — die Einstufung folgt aus der Zuordnung zu einer Sektor-Art und — außerhalb der größenunabhängig erfassten Einrichtungsarten — aus Größenkriterien, nicht aus dem Datenschutzrecht.

Deutschland (BSIG 2025). Als besonders wichtige Einrichtung gelten Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Name-Registries und DNS-Diensteanbieter sowie bestimmte Anbieter von Telekommunikationsdiensten — diese größenunabhängig — und darüber hinaus große Unternehmen einer in Anlage 1 bestimmten Art, das heißt mit mindestens 250 Mitarbeitern oder einem Jahresumsatz von über 50 Mio. EUR und zudem einer Jahresbilanzsumme von über 43 Mio. EUR (§ 28 Abs. 1 und 2 BSIG). Als wichtige Einrichtung gelten Vertrauensdiensteanbieter, bestimmte kleinere Anbieter von Telekommunikationsdiensten sowie Einrichtungen einer in Anlage 1 oder Anlage 2 bestimmten Art mit mindestens 50 Mitarbeitern oder einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Mio. EUR — jeweils, soweit sie nicht bereits besonders wichtige Einrichtung sind. Anlage 1 umfasst unter anderem die Digitale Infrastruktur einschließlich der Verwaltung von IKT-Diensten (Managed Services); Anlage 2 nennt unter anderem Anbieter digitaler Dienste. Ob Ihr Angebot einer dieser Arten zuzuordnen ist, ist im Einzelfall zu prüfen.

Österreich (NISG 2026). Das Netz- und Informationssystemsicherheitsgesetz (NISG 2026, BGBl. I Nr. 94/2025) wird ab dem 1. Oktober 2026 angewendet; die dortigen Pflichten gelten zum Stand dieses Artikels noch nicht. Es unterscheidet wesentliche und wichtige Einrichtungen (§ 24 NISG 2026) und definiert große Unternehmen mit zumindest 250 Mitarbeitern oder einem Jahresumsatz von über 50 Mio. EUR bei einer Jahresbilanzsumme über 43 Mio. EUR sowie mittlere Unternehmen mit zumindest 50 Mitarbeitern oder einem Jahresumsatz von über 10 Mio. EUR bei einer Jahresbilanzsumme über 10 Mio. EUR (§ 25 Abs. 2 und 3 NISG 2026). Zuständig ist dort die Cybersicherheitsbehörde, in Deutschland das Bundesamt für Sicherheit in der Informationstechnik.

Warum das für den AVV zählt: Fällt einer Ihrer Kunden unter NIS2, treffen ihn Anforderungen an die Lieferkettensicherheit als Teil seiner Risikomanagementmaßnahmen — in Deutschland nach § 30 Abs. 2 BSIG, in Österreich nach § 32 Abs. 4 NISG 2026 ab dessen Anwendbarkeit am 1. Oktober 2026. Er wird sie an Sie weitergeben — unabhängig davon, ob Sie selbst erfasst sind.