Datenrückgabe und Löschung beim SaaS-Ausstieg regeln

Warum Datenrückgabe und Löschung früh geregelt werden müssen

SaaS-Verträge regeln Leistungsumfang, Verfügbarkeit, Nutzungsrechte, Updates, Support, Haftung und Beendigung. Nach Lezzi Legal (Zürich) sind Fragen zu Datennutzung, Datenexport und Exit ebenso wichtig. Wer Rückgabe und Löschung erst bei der Kündigung klärt, verhandelt in der Phase, in der der Anbieter die Zugänge kontrolliert.

Beim Ausstieg sind zwei Datenkategorien zu unterscheiden: personenbezogene Daten, für die datenschutzrechtliche Pflichten gelten, und nicht personenbezogene Daten. Der EU Data Act gilt laut MME parallel zur DSGVO und erfasst auch nicht personenbezogene Maschinen- oder Produktdaten. Ein Ausstieg kann damit zwei Regelwerke auslösen.

Die rechtliche Beurteilung hängt von der technischen Architektur ab: welche Daten verarbeitet werden, welche Anbieter eingebunden sind, wie Systeme kommunizieren und welche Partei Daten und Funktionen kontrolliert (Lezzi Legal). Datennutzungs-, Export- und Exit-Klauseln sind deshalb pro Produkt auf die tatsächlichen Datenflüsse abzustimmen, nicht als Standardtext zu übernehmen.

SaaS-Produkte ändern sich schneller als Verträge: Funktionen, Preismodelle, Integrationen und technische Abhängigkeiten passen sich laufend an. Rechtliche Dokumentation muss laut Lezzi Legal mit dem Produkt wachsen können und darf nicht bei jeder technischen Anpassung neu aufgebaut werden.

Für Personendaten ist die schweizerische Datenschutzgesetzgebung zu berücksichtigen (EDÖB). Bei SaaS-Unternehmen mit EU-Marktbezug gilt der EU Data Act laut MME parallel zur DSGVO und auch für nicht personenbezogene Maschinen- oder Produktdaten (MME).

Datenbestand und Abhängigkeiten vor der Kündigung erfassen

Vor der Kündigung ist ein Inventar zu erstellen: Kernanwendungsdaten, Berichte, OCR-Ausgaben, Kontakt- und Kalenderdaten, API-Schlüssel und WebHooks. Für jede Position ist festzuhalten, ob sie ausschliesslich im SaaS entsteht oder zusätzlich in andere Systeme fliesst. Erst diese Unterscheidung zeigt, welche Daten ein Export aus dem SaaS abdecken kann und welche separat gesichert werden müssen.

Erweiterungen einer ERP- und Agentursoftware zeigen typische Abhängigkeiten: Die OCR-Erkennung liest Belege direkt aus, markiert automatisch ausgefüllte Daten gelb und lernt mit jedem weiteren Beleg desselben Lieferanten. Über CardDAV werden Geschäftskontaktdaten zu Firmen, Personal und Kontaktpersonen abgerufen, zentral in der Anwendung verwaltet und auf den Geräten synchronisiert angezeigt. Die Aktivierung der Zapier-Anbindung generiert einen accountspezifischen API-Schlüssel, mit dem andere webbasierte Business-Tools angebunden werden. Für die Telefonanlage 3CX wird ein API-Schlüssel aus dem Profilbereich hinterlegt (MOCO).

Erweiterungen können eine eigene Beendigungslogik haben. Prüfen Sie daher für jede Verbindung, wann sie endet, wer den Zugang abschaltet und ob ein Export davon abhängt. Planen Sie die Sicherung, bevor eine Funktion oder Schnittstelle deaktiviert wird.

Neben den Datenströmen sind die Schlüssel zu erfassen: Wer hält API-Schlüssel, welche WebHooks zeigen auf welche Zielsysteme, und welche Zugänge müssen beim Ausstieg widerrufen werden. Ohne dieses Verzeichnis bleiben nach der Kündigung aktive Verbindungen in Fremdsysteme bestehen.

Auch angelernte Zustände gehören ins Inventar: Das OCR lernt mit jedem weiteren Beleg desselben Lieferanten, und automatisch ausgefüllte Daten werden gelb markiert (MOCO). Solche Zuordnungen und Markierungen sind eigene Bestände, die bei der Rückgabe übergehen oder anschliessend gelöscht werden müssen.

Vorgehen vor dem SaaS-Ausstieg: Von der Datenerfassung bis zur Migration

Exit-Klausel: Rückgabe, Löschung und Migration verzahnen

Die Exit-Klausel ist mit den übrigen Beendigungsregeln zu verzahnen: Kündigungsfristen, Kündigungstermine, Laufzeit und automatische Verlängerung wirken unmittelbar darauf, wie viel Zeit für Export und Migration bleibt. Wer den Exit separat regelt, produziert Fristen, die nicht zusammenpassen.

Fällt die vertraglich vereinbarte Dienstleistung unter den EU Data Act, ist die Gestaltung nicht mehr frei. MME zufolge sind typische Vertragslaufzeiten von 12 bis 24 Monaten zukünftig untersagt, sobald die Dienstleistung unter das Gesetz fällt. Richten Sie Laufzeit, Kündigung und Übergabe deshalb an den für den konkreten Vertrag geltenden Vorgaben aus (MME).

Die Klausel muss drei Leistungen abbilden: Rückgabe der Daten, Löschung nach Ablauf allfälliger Aufbewahrungspflichten und Unterstützung bei der Migration zu einem anderen Anbieter. Legen Sie für jede Leistung Umfang, Frist, Kostenregelung und Mitwirkungspflicht fest. Bei EU-Bezug ist die Anwendbarkeit des EU Data Act zu prüfen, bevor eine Unterstützungspflicht als gesetzlich zwingend behandelt wird.

Die Laufzeit ist bereits im Angebot festzuhalten: Nach den AGB von Libra AI muss das Angebot die Laufzeit des Abonnements mit dem Hinweis auf die automatische Verlängerung nennen. Exit-Fristen sind auf diese Verlängerung abzustimmen.

Das Angebot umfasst nach den AGB von Libra AI ausserdem die gewählte Version, die Anzahl der Nutzer, den Preis, die Kontakt- und Zahlungsdaten, das Datum des Nutzungsbeginns und die Angabe, ob eine kostenlose oder kostenpflichtige Testversion enthalten ist. Exit-Fristen lassen sich erst berechnen, wenn diese Angaben vorliegen.

Nachvertragliche Pflichten gehören ausdrücklich in die Klausel. Das Cloud-Gutachten für die Stadt Zürich enthält eine Regelung, wonach eine Verpflichtung auch nach Beendigung fortbesteht. Rückgabe- und Löschpflichten sind deshalb so zu fassen, dass sie das Vertragsende überdauern.

Kontrollliste: Wichtige Punkte für die Exit-Klausel im SaaS-Vertrag

Datenrückgabe: Format, Frist und Exportzugang vereinbaren

Für jeden Datentyp ist festzulegen, in welcher Form, über welchen Kanal und bis wann er zurückgegeben wird. Als Kanäle kommen API, WebHooks und Standardexporte in Frage. Die API-Anbindung hängt in der Praxis an kontospezifischen Schlüsseln – bei der Zapier-Anbindung etwa generiert die Aktivierung einen accountspezifischen API-Schlüssel (MOCO). Die Klausel muss deshalb regeln, welche Schlüssel während des Exportfensters gültig bleiben, wer sie widerruft und was gilt, wenn der Schlüssel vor Abschluss der Rückgabe gesperrt wird.

Zurückzugeben ist nicht nur, was in der Anwendungsdatenbank liegt. Daten, die über CardDAV abgerufen wurden, werden gemäss Anbieterbeschreibung auf den Geräten synchronisiert angezeigt, auf denen die Kontakte hinzugefügt wurden. Ein Export aus dem SaaS erfasst diese Kopien auf Endgeräten nicht automatisch; entsprechend ist vertraglich zu klären, wer sie nach dem Ausstieg entfernt.

Zur Konkretisierung gehören: Verantwortlichkeiten auf beiden Seiten, Übergabefristen, Format der Lieferung, Angaben zur Vollständigkeit (etwa abgeglichene Datensätze) und eine Abnahmephase, in der der Kunde den Export prüfen kann. Ebenso ist zu regeln, was bei fehlgeschlagenem oder unvollständigem Export geschieht und bis wann der Zugang nach der Übergabe noch aufrechterhalten wird. Dienstleistungen können kurzfristig enden – die OCR-Erweiterung lässt sich jederzeit ohne Kündigungsfristen stoppen –, weshalb der Export in ein Zeitfenster mit gesichertem Zugriff gelegt werden muss.

Musterwortlaut für die Rückgabe: «Der Anbieter stellt die in [Datenverzeichnis] bezeichneten Kundendaten bis [Rückgabefrist] nach [Auslöser] vollständig in [vereinbartes Format] über [Übergabekanal] bereit. Der Kunde kann die Vollständigkeit bis [Prüffrist] prüfen; der Anbieter behebt festgestellte Lücken bis [Nachfrist].» Tragen Sie für jeden Platzhalter eine verbindliche Angabe ein; «Standardexport» allein bezeichnet weder das Zielformat noch den Umfang.

Auch die Granularität gehört zur Formatvorgabe: Die OCR-Ausgabe kann gesamthaft als eine Position oder als Einzelpositionen ausgelesen werden (MOCO). Die Klausel sollte festhalten, welche Stufe der Kunde für die Weiterverwendung benötigt.

Bei der 3CX-Anbindung wird die Konfigurationsdatei in der Telefonanlage hochgeladen und der MOCO-API-Schlüssel im Profil unter Integrationen hinterlegt (MOCO). Solche Zugänge sind erst zu widerrufen, wenn der Export abgeschlossen und abgenommen ist.

Löschung und Aufbewahrung mit Nachweis regeln

Die Löschklausel muss vier Kategorien abdecken: personenbezogene Daten, Produkt- und Maschinendaten, Backups sowie Kopien bei Subunternehmern und weiteren eingesetzten Dienstleistern. Für jede Kategorie sind Löschfrist, Ausnahmen (etwa gesetzliche Aufbewahrungspflichten) und der Nachweis zu bestimmen, der die Löschung belegt. Bei der Migration von Produktdaten können zusätzlich DSGVO-Anforderungen greifen, soweit personenbezogene Daten betroffen sind (MME).

Die Weisungskette ist vertraglich abzusichern. In den AGB von Libra AI verpflichtet sich der Auftragsverarbeiter, den Kunden unverzüglich zu informieren, wenn eine Weisung seiner Ansicht nach gegen das geltende Datenschutzrecht verstösst. Eine Löschweisung, die mit Aufbewahrungspflichten kollidiert, löst damit eine Informationspflicht aus – das Verfahren dafür (Ansprechstelle, Frist, Form) sollte vor dem Ausstieg festgelegt sein.

Als Nachweise sind eine schriftliche Löschbestätigung mit Datum, eine Liste der Empfänger der Löschaufforderung und eine Auskunft über den Kreis der Subunternehmer vorzusehen. Ebenso ist zu regeln, in welcher Form diese Bestätigungen erfolgen und bis wann sie nach Abschluss der Löschung vorliegen müssen.

Musterwortlaut für die Löschung: «Nach Ablauf der vereinbarten Rückgabe- und Prüfphase löscht der Anbieter die Daten aus den in [Systeme und Kopien] bezeichneten Umgebungen, soweit keine in [Aufbewahrungspflicht und Datensätze] benannte Pflicht die Aufbewahrung verlangt. Der Anbieter übermittelt bis [Nachweisfrist] eine schriftliche Bestätigung mit Löschdatum und erfassten Empfängern.» Konkretisieren Sie die Platzhalter je Datenkategorie; nennen Sie bei einer Ausnahme die betroffenen Daten und den Grund.

Diese Aufbewahrungspflicht betrifft die genannten Geschäftsunterlagen, nicht pauschal sämtliche SaaS-Daten. Bei EU-Bezug gilt der EU Data Act laut MME parallel zur DSGVO und auch für nicht personenbezogene Maschinen- oder Produktdaten; bei der Migration von Produktdaten können DSGVO-Anforderungen greifen, soweit Personendaten betroffen sind (MME).

Für Personendaten ist die schweizerische Datenschutzgesetzgebung zu berücksichtigen; der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat nach neuem Recht keine Sanktionskompetenz (EDÖB). Nach Art. 958f OR sind Geschäftsbücher, Buchungsbelege sowie Geschäfts- und Revisionsberichte während zehn Jahren aufzubewahren (BDO).

Wichtige rechtliche Fristen und Anforderungen im SaaS-Ausstieg

Datenlöschung nach Vertragsende: Verfahrensablauf mit Nachweis

Migration zum neuen Anbieter vertraglich absichern

MME beschreibt als Chance des Datengesetzes, dass es einfacher geworden ist, die eigene Cloud-Infrastruktur zu einem anderen Anbieter zu migrieren. Für die Exit-Klausel bleibt festzulegen, welche Daten und Formate der Anbieter bereitstellt, wie lange Unterstützung erfolgt und welche Mitwirkung der Kunde schuldet. Benennen Sie Leistungen und Grenzen so konkret, dass die Parteien die Migration planen können.

Die Grenzen der Hilfeleistung sind vertraglich zu ziehen: welche Daten und Formate, welcher Zeitraum, welche Ansprechpartner, welche Mitwirkung des Kunden. Ohne solche Präzisierung bleibt offen, was „aktiv unterstützen“ im konkreten Fall umfasst.

Die Durchsetzung ist ernst zu nehmen. MME weist darauf hin, dass Unternehmen, die diese Anforderungen nicht in ihren Verträgen umsetzen, mit rechtlichen Schritten durch Wettbewerber rechnen müssen und hohe Bussgelder riskieren, vergleichbar mit den Sanktionen nach dem EU-Datenschutzrecht. Bereits heute passen einige SaaS-Kunden ihre Verträge und in einigen Fällen auch ihre Geschäfts- und Vertriebsmodelle an.

Vertrag, AGB, DPA und Datenschutzdokumentation abstimmen

Bei standardisierten Modellen sollten SaaS-Vertrag, AGB, Service Levels, Auftragsbearbeitungsvertrag (DPA) und Datenschutzdokumentation aufeinander abgestimmt sein (Lezzi Legal). Laufen die Exit-Regeln in einem Dokument und die Aufbewahrungs- oder Löschregeln in einem anderen auseinander, entstehen Widersprüche, die im Streitfall gegen den Anbieter ausgelegt werden.

Die Rangordnung entscheidet, welches Dokument gilt. Die AGB von Libra AI sehen vor, dass abweichende Geschäftsbedingungen des Kunden keine Anwendung finden. Etwas anderes gilt nur, wenn der Anbieter ihrer Geltung ausdrücklich in Textform zustimmt. Die AGB sind Bestandteil aller Verträge sowie aller zukünftigen Leistungen und Angebote. Wer Exit-Regeln in einer Anlage oder im DPA festhält, muss deshalb prüfen, ob diese Dokumente gegenüber den AGB vorgehen.

Praktisch bedeutet das: Exit-Regeln an einer Stelle vollständig führen, aus allen anderen Dokumenten darauf verweisen und bei jeder Produktänderung mitziehen. Da Funktionen, Preismodelle und Integrationen laufend ändern, muss die Dokumentation nach Lezzi Legal so gestaltet sein, dass sie mit dem Produkt wächst.

Nach den AGB von Libra AI ist die für den Vertragsabschluss massgebliche Sprache Deutsch; Übersetzungen dienen nur Informationszwecken, und bei Widersprüchen gilt die deutsche Fassung. Exit-Regeln in einer übersetzten Anlage können deshalb hinter der deutschen Fassung zurückstehen.

Schweizer Recht und EU-Berührung beim SaaS-Ausstieg

Der EU Data Act (Verordnung (EU) 2023/2854 über harmonisierte Vorschriften für einen fairen Datenzugang und eine faire Datennutzung) gilt seit seinem Inkrafttreten Mitte September 2025. Für schweizerische SaaS- und IoT-Unternehmen, die auf dem EU-Markt aktiv sind, hat er ein neues regulatorisches Umfeld geschaffen (MME, «EU Data Act: Was Schweizer SaaS- und IoT-Unternehmen jetzt tun müssen», 12. Januar 2026).

Vor der Vertragsanpassung steht die Anwendbarkeitsprüfung: Nicht alle SaaS-Modelle fallen unter die Regelung, auch wenn dazu teilweise widersprüchliche Aussagen kursieren (MME). Prüfen Sie deshalb das konkrete Produkt, die vertraglich vereinbarte Leistung und den EU-Marktbezug, bevor Sie Data-Act-Klauseln übernehmen. So lassen sich die Vertragsregeln auf das jeweilige Angebot ausrichten, statt sie pauschal auf jedes SaaS-Modell zu übertragen.

Der EU Data Act und die DSGVO sind auseinanderzuhalten: Laut MME gilt der Data Act parallel zur DSGVO und erfasst auch nicht personenbezogene Maschinen- oder Produktdaten. Bei der Migration von Produktdaten können zusätzlich Anforderungen nach der DSGVO greifen, soweit personenbezogene Daten betroffen sind (MME). Erfassen Sie deshalb Datenkategorie und mögliche EU-Berührung getrennt von schweizerischen Aufbewahrungspflichten.

Für Verträge mit Schweizer Bezug ist die Rechtswahl zu prüfen. Das Cloud-Gutachten für die Stadt Zürich nennt die Regelung «Es gilt das im Vertrag vereinbarte schweizerische Recht.» Wer schweizerisches Recht vereinbart, regelt Rückgabe und Löschung nach diesem Recht und nicht allein nach den AGB des Anbieters.

Schweizerisches Recht vs. EU Data Act: Unterschiede bei Datenrückgabe und -löschung