DSGVO-Grundlagen für dein SaaS

Kaum ein Thema löst bei Solo-Gründer:innen so viel Unsicherheit aus wie die DSGVO. Dabei lässt sich der Einstieg gut strukturieren, wenn du die Grundprinzipien verstehst und von Anfang an ein paar saubere Gewohnheiten etablierst, statt Datenschutz als lästiges Extra ans Projektende zu schieben.

Die Grundprinzipien

Die Datenschutz-Grundverordnung (DSGVO) regelt, wie personenbezogene Daten – also alle Informationen, die sich auf eine identifizierbare Person beziehen – verarbeitet werden dürfen. Für dein SaaS bedeutet das: Sobald du Namen, E-Mail-Adressen, IP-Adressen oder Nutzungsdaten deiner Kund:innen speicherst oder verarbeitest, greift die DSGVO.

Zentrale Prinzipien sind Rechtmäßigkeit, Zweckbindung und Datenminimierung: Du darfst Daten nur verarbeiten, wenn es dafür eine Rechtsgrundlage gibt, nur für den Zweck, für den sie erhoben wurden, und nur in dem Umfang, der tatsächlich notwendig ist. Hinzu kommen Transparenzpflichten – Nutzer:innen müssen nachvollziehen können, was mit ihren Daten passiert – sowie Speicherbegrenzung, also die Pflicht, Daten zu löschen, sobald der Zweck entfällt und keine gesetzliche Aufbewahrungspflicht mehr besteht. Wer diese Prinzipien von Anfang an mitdenkt, spart sich später aufwendige Nachbesserungen.

Ein weiteres wichtiges Prinzip ist die Rechenschaftspflicht: Du musst nicht nur DSGVO-konform handeln, sondern im Zweifel auch nachweisen können, dass du es tust. Das bedeutet in der Praxis, dass sich eine kurze, ehrliche Dokumentation lohnt – etwa eine einfache Liste der eingesetzten Dienste, der erhobenen Datenkategorien und der jeweiligen Rechtsgrundlage. Für ein kleines Solo-SaaS reicht dafür oft eine einzige übersichtliche Tabelle, die du bei neuen Features aktualisierst.

Rechtsgrundlagen der Verarbeitung

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage nach Artikel 6 DSGVO. Für ein typisches SaaS sind vor allem drei relevant. Die Vertragserfüllung erlaubt dir, die Daten zu verarbeiten, die notwendig sind, um deinen Service überhaupt bereitzustellen – etwa Login-Daten oder Zahlungsinformationen. Das berechtigte Interesse deckt Fälle ab, in denen du ein nachvollziehbares eigenes Interesse hast, das die Interessen der betroffenen Person nicht überwiegt, etwa einfache Sicherheits-Logs oder grundlegende Analyse deines Produkts. Die Einwilligung schließlich ist immer dann nötig, wenn keine der anderen Grundlagen greift, klassischerweise bei Marketing-E-Mails oder nicht notwendigen Tracking-Cookies.

Wichtig ist, dass du dir für jede Datenverarbeitung in deinem Produkt bewusst machst, auf welche Rechtsgrundlage du dich stützt – pauschale Einwilligungen für alles sind weder nötig noch immer die sauberste Lösung. Für viele technisch notwendige Vorgänge reicht die Vertragserfüllung, ohne dass du extra ein Consent-Banner brauchst.

Eine vierte, seltener genutzte Rechtsgrundlage ist die Erfüllung einer rechtlichen Verpflichtung, etwa wenn du Rechnungsdaten aus steuerrechtlichen Gründen aufbewahren musst. Auch hier gilt: Die Aufbewahrung erfolgt dann nicht auf Basis einer Einwilligung, sondern weil das Gesetz es verlangt – ein Löschen auf Kund:innenwunsch ist in diesem Fall vor Ablauf der gesetzlichen Frist meist nicht möglich.

Datenschutzerklärung und AVV

Jede Website und jedes SaaS-Produkt braucht eine Datenschutzerklärung, die verständlich erklärt, welche Daten zu welchem Zweck erhoben werden, wer Empfänger der Daten ist und wie lange sie gespeichert werden. Generatoren wie Datenschutz-Generator.de oder iubenda helfen dabei, einen soliden Ausgangstext zu erstellen, den du an deine konkreten Dienste anpasst.

Sobald du Drittanbieter einsetzt, die in deinem Auftrag personenbezogene Daten verarbeiten – etwa Hosting-Anbieter, E-Mail-Versanddienste oder Analytics-Tools –, brauchst du in der Regel einen Auftragsverarbeitungsvertrag (AVV) mit diesem Anbieter. Viele europäische Anbieter stellen einen solchen AVV standardmäßig zum Abschluss bereit. Bei Dienstleistern außerhalb der EU, insbesondere in den USA, kommen zusätzlich Fragen zum internationalen Datentransfer hinzu, die du im Einzelfall prüfen solltest, etwa über Standardvertragsklauseln oder ein anerkanntes Angemessenheitsniveau.

Führe dir am besten eine einfache Liste aller eingesetzten Dienste mit AVV-Status: Damit siehst du auf einen Blick, wo noch ein Vertrag fehlt, und vermeidest, dass ein neu eingebundenes Tool unbemerkt ohne Rechtsgrundlage Daten verarbeitet. Bei Anbietern mit Sitz in der EU ist der AVV-Abschluss meist unkompliziert und über ein Self-Service-Portal möglich.

Hosting- und Tool-Auswahl

Die Wahl deiner Infrastruktur hat direkten Einfluss auf deinen Datenschutz-Aufwand. Hosting-Anbieter mit Rechenzentren in der EU, etwa deutsche Anbieter wie Hetzner oder IONOS, vereinfachen die Argumentation gegenüber Kund:innen und reduzieren Fragen zum internationalen Datentransfer. Das ist kein Muss, aber ein praktischer Vorteil, gerade wenn deine Zielgruppe im deutschsprachigen Raum sitzt und selbst hohe Datenschutz-Ansprüche hat.

Ähnliches gilt für Analytics: Datenschutzfreundliche, oft cookie-lose Tools wie Plausible oder eine selbst gehostete Matomo-Instanz verursachen deutlich weniger Aufwand als klassisches Tracking mit umfangreichen Nutzer:innen-Profilen, weil sie häufig ganz ohne Einwilligungs-Banner auskommen. Bei jeder neuen Tool-Entscheidung lohnt sich die kurze Frage: Wo liegen die Daten, gibt es einen AVV, und ist der Funktionsumfang wirklich nötig für den Zweck?

Auch bei E-Mail-Versand und Newsletter-Tools solltest du prüfen, ob der Anbieter in der EU sitzt und einen AVV anbietet – deutsche und europäische Dienste wie Brevo erleichtern hier die Argumentation gegenüber Kund:innen, die selbst hohe Datenschutz-Ansprüche haben. Das schließt US-Anbieter nicht grundsätzlich aus, verlangt dort aber eine genauere Prüfung der Datenübermittlung.

Was du am Anfang wirklich brauchst

Für den Start eines Solo-SaaS reicht ein pragmatisches Grundgerüst, das sich mit wachsendem Produkt erweitern lässt. Dazu gehört eine vollständige, ehrliche Datenschutzerklärung, die tatsächlich alle eingesetzten Dienste nennt – lieber regelmäßig aktualisiert als einmalig kopiert und dann veraltet. Dazu gehören abgeschlossene AVVs mit allen Dienstleistern, die in deinem Auftrag Daten verarbeiten, sowie eine bewusste Entscheidung, welche Rechtsgrundlage für welche Verarbeitung gilt.

Technisch solltest du von Anfang an Datenminimierung praktizieren: Erhebe nur, was du wirklich brauchst, statt „auf Vorrat“ möglichst viele Felder in der Registrierung abzufragen. Ein einfaches Löschkonzept, das Daten bei Kontolöschung tatsächlich entfernt oder anonymisiert, erspart dir später größeren Aufwand. Wer sich zusätzlich an den gängigen Sicherheitsgrundlagen orientiert – Verschlüsselung, Zugriffsbeschränkungen, aktuelle Softwareversionen –, hat den größten Teil der praktischen DSGVO-Basis bereits abgedeckt, ohne sich in Details zu verlieren, die erst mit wachsendem Team und größerem Datenvolumen relevant werden.

Für die konkrete Umsetzung von Datenschutzerklärung, Cookie-Consent und AVV-Vorlagen lohnt sich ein Blick in die Kategorie Recht & Verträge.