SaaS erklärt

Durchgesehen im Oktober 2026, Tarife geprüft am 19. Oktober

Die Frage, ob ein Programm DSGVO-konform ist, stelle ich inzwischen anders. Fast jede bekannte SaaS-Anwendung lässt sich datenschutzkonform betreiben, und fast jede lässt sich so betreiben, dass es schiefgeht. Der Unterschied steckt im Tarif, im Vertrag zur Auftragsverarbeitung (AVV) und in ein paar Einstellungen, die niemand von selbst setzt. Im AVV sagt der Anbieter zu, Ihre Daten nur nach Weisung zu verarbeiten.

Zehn kostenlose Werkzeuge haben bei mir den Weg in die Software-Freigabe gefunden. Ganz vorne steht das Werkzeug für die Tariffrage, danach folgen die Fragen, die nach dem Kauf kommen.

Bevor jemand auf „Jetzt upgraden“ klickt

1. DSGVO-Prüfstand für Software

Auf der Kreditkartenabrechnung tauchen ein paar Abos für ChatGPT Plus auf. Niemand hat sie beantragt, alle wollten nur schneller mit ihren Texten fertig werden. Darf das so weiterlaufen?

Der DSGVO-Prüfstand von frag.hugo nennt für jedes Programm den Tarif, ab dem es vertretbar ist. Geprüft sind bisher sieben Programme an jeweils zehn festen Kriterien, darunter Vertragspartner, AVV, Speicherort, Übermittlung in die USA und Training mit Ihren Eingaben. Jede Aussage ist mit einem Zitat aus den Unterlagen des Anbieters belegt, 172 Stück für alle sieben Programme. Alle sieben landen bei „Mit Auflagen“, keines bei „Einsetzbar“. Für die Abos auf der Kreditkarte ist der Steckbrief zu ChatGPT mit seinen 24 Belegen deutlich: personenbezogene Daten nur in Business oder Enterprise, nie in Free, Plus oder Pro.

Am meisten nutze ich die To-do-Liste je Programm. Sie nennt die Einstellungen, die man nach dem Kauf selbst setzen muss, und bei Notion etwa, dass die Speicherung in Frankfurt erst im Enterprise-Tarif möglich ist.

Sieben Programme sind allerdings wenig. Calendly und Mailchimp folgen am 15. November 2026. Für alles andere taugen die zehn Kriterien als Fragenliste an den Anbieter.

Die Spalte mit den erfüllten Kriterien ist kein Ranking. Notion schafft acht von zehn, aber nur im Enterprise-Tarif. Miro schafft nur sechs, gibt den AVV aber in allen Tarifen und speichert Boards standardmäßig in der EU.

2. DSGVO-Bußgeld-Datenbank

Der Anbieter einer kleinen Branchensoftware sagt im Verkaufsgespräch: „Für den Datenschutz sind Sie verantwortlich, wir sind nur Dienstleister.“ Das stimmt nur zur Hälfte, denn auch der Dienstleister selbst kann ein Bußgeld bekommen.

Wie wenig „nur Dienstleister“ schützt, zeigt ein Fall aus Hessen, den ich in der Bußgeld-Sammlung mit Primärquellen gefunden habe. Bei einem Anbieter von Gastro-Apps konnten Kunden fremde Bestellhistorien abrufen. Die Aufsicht verhängte zwei Bußgelder über je 10.000 €, die ersten in Hessen gegen einen Auftragsverarbeiter. Seitdem frage ich kleine Anbieter gezielt, wie sie die Daten ihrer Kunden voneinander trennen.

Aufgenommen ist nur, was sich mit Bescheid oder Urteil belegen lässt. Ob Ihr Anbieter sauber arbeitet, verrät sie nicht.

3. Fristenkalender

Ein Anbieter lockt mit Rabatt, wenn Sie statt eines Jahres gleich drei Jahre unterschreiben. Was ändert sich gesetzlich, während der Vertrag läuft?

Der Fristenkalender mit Rollenfilter legt 45 Fristen aus 18 Gesetzen auf einen Zeitstrahl bis 2028. Über „Betrifft mich“ wählen Sie eine von zehn Rollen, für die Software-Auswahl meist „KI-Nutzer“ oder „Cloud & Daten“. Die nächste Frist der KI-Verordnung liegt auf dem 2. Dezember 2026, die Pflichten für Hochrisiko-Systeme kommen ein Jahr später. Fällt so ein Datum in die Laufzeit, gehört eine Anpassungsklausel in den Vertrag. Dafür reicht der Kalender als Merkposten. Ob die Frist Ihren Anbieter oder Sie trifft, klären Sie mit dem Datenschutzbeauftragten.

KI-Funktionen im Update

4. KI-Risikoklassen-Check

Das CRM bekommt im Herbst-Update eine KI-Funktion, die Vertriebsmitarbeiter nach Abschlussquote bewertet. Im Angebot steht das als eine Zeile.

Der KI-Risikoklassen-Check zeigt, was dahinter hängt. Er führt in höchstens elf Schritten zur Risikoklasse und zur Rolle. Sein Hinweis zur Personalverwaltung trifft genau diesen Fall: Sobald ein System die Leistung von Beschäftigten misst, ist Anhang III Nr. 4 im Spiel, auch wenn es nur eine Funktion in einer größeren Software ist. Hochrisiko-Pflichten gelten nach der Verschiebung ab dem 2. Dezember 2027. Als Kunde sind Sie in der Regel Betreiber, nicht Anbieter, und haben damit deutlich weniger zu tun als der Hersteller.

Ob die Funktion unter die Ausnahme nach Art. 6 Abs. 3 fällt, kann der Check nur anzeigen, nicht entscheiden.

5. Schatten-KI-Check

Der Betriebsrat hat von der neuen CRM-Funktion gehört und bittet um eine Liste aller KI-Dienste, die im Haus genutzt werden. Eine solche Liste gibt es nicht.

Der Selbsttest zur KI-Nutzung im Team stellt acht Fragen, unter anderem zu Zugang, Schulung, Verträgen und Mitbestimmung. Am Ende steht ein Punktwert von 0 bis 100. Ab 45 sehen Sie einen Teil des KI-Einsatzes, ab 75 haben Sie den Überblick. „Weiß ich nicht“ wertet er fast wie die schlechteste Antwort. Für das Gespräch mit dem Betriebsrat hilft der Hinweis auf der Seite, dass schon die objektive Eignung zur Leistungskontrolle die Mitbestimmung auslöst.

Welche Apps tatsächlich mit Firmenkonten verbunden sind, sieht der Test nicht, er kennt nur Ihre Antworten.

6. PIA-Software der CNIL

Bleibt es bei der Bewertung der Vertriebsleute, wird Ihr Datenschutzbeauftragter eine Datenschutz-Folgenabschätzung sehen wollen, also eine dokumentierte Risikoprüfung vor dem Start. Die französische Datenschutzbehörde stellt dafür eine freie Software für die Folgenabschätzung bereit, die Schritt für Schritt durch Art. 35 DSGVO führt. Sie steht unter der Lizenz GPL-3.0 und lässt sich ohne Konto herunterladen. Die Bewertung der Risiken bleibt allerdings Ihre Arbeit.

Im laufenden Betrieb

7. Subprozessor-Monitor

Das Projektteam plant seit Jahren in Asana. Die Mails über neue Unterauftragnehmer gehen an die Adresse, mit der damals jemand das Konto angelegt hat, und dort liest sie keiner.

Seit ich den Subprozessor-Monitor im Feedreader habe, kommen solche Änderungen trotzdem bei mir an. Er gleicht täglich die öffentlichen Listen von 17 Cloud-Anbietern ab, Asana ist einer davon. In 90 Tagen hat er bei diesen 17 Anbietern 13 Änderungen gezählt. Den Feed können Sie ohne Angabe einer Adresse abonnieren.

Anbieter, die ihre Liste nur hinter einem Login zeigen, fehlen ganz. Bei drei der 17 sieht der Monitor nur, dass sich der Text geändert hat.

8. Microsoft-365-Härtungs-Check

Ein freier Designer hat vor einem Jahr am Relaunch mitgearbeitet und steht bis heute als Gast im Team. Microsoft 365 ist auch ein SaaS-Abo, meist das mit den meisten Firmendaten.

Das Prüfskript von hagel IT für Gastzugänge und Freigaben in Microsoft 365 ist quelloffen und prüft zwölf Einstellungen, darunter Gastzugriffe, die Freigabe-Voreinstellung in SharePoint und OneDrive sowie Konten ohne Anmeldung seit 90 Tagen. Es fordert sieben Berechtigungen an, alle nur lesend. Gefundene Gastkonten löschen Sie selbst, das Skript ändert nichts.

9. Webbkoll

Die Marketing-Agentur hat auf der Website ein Chat-Fenster eingebaut. Webbkoll ruft die Seite wie ein Besucher auf und zeigt, welche fremden Server schon vor dem ersten Klick angefragt werden. Den Chat-Anbieter erkennen Sie dort an seiner Domain. Ob das Chat-Fenster einen AVV braucht, sagt Webbkoll nicht. Es zeigt nur, dass es lädt.

10. Have I Been Pwned

Beim Aufräumen der Software-Liste finden sich Testzugänge, die vor Jahren mit Firmenadressen angelegt wurden. Have I Been Pwned zeigt, ob eine Adresse in einem bekannt gewordenen Datenleck steckt. Welche Testzugänge es überhaupt gibt, müssen Sie vorher selbst zusammensuchen, etwa über die Kontoauszüge, wie hagel IT es in einem Beitrag über vergessene Software-Abos im Mittelstand beschreibt. HIBP prüft nur die Adressen, die Sie eingeben.

Ablauf für die nächste Software-Anfrage

So würde ich vorgehen, wenn morgen jemand aus dem Team ein neues Programm beantragt:

1. Im Prüfstand nachsehen, ob das Programm schon geprüft ist. Wenn ja, steht dort der Tarif, den Sie kaufen sollten. Wenn nein, die zehn Kriterien als eigene Fragenliste an den Anbieter schicken.
2. Den AVV anfordern, bevor die erste Kundenadresse im System landet, und den Anbieter fragen, wie er die Daten seiner Kunden voneinander trennt.
3. Bringt das Programm eine KI-Funktion mit, die Menschen bewertet, den Risikoklassen-Check durchlaufen und das Ergebnis als Link in die Unterlagen legen.
4. Bei mehr als einem Jahr Laufzeit den Fristenkalender für die eigene Rolle öffnen und die Daten in die Vertragsverhandlung mitnehmen.
5. Nach dem Start den Anbieter im Subprozessor-Monitor suchen. Steht er dort, den Feed abonnieren. Steht er nicht dort, einen Termin im Kalender setzen, an dem jemand die Liste von Hand ansieht.

Für Programme, die schon seit Jahren laufen, gehen Sie die Liste rückwärts durch: Subprozessor-Monitor, dann Prüfstand. Wurden KI-Dienste nie freigegeben, kommt der Schatten-KI-Check dazu. Selbsttests zu weiteren Themen wie NIS2 stehen in frag.hugos Werkzeugliste für Datenschutzfragen im Mittelstand.