Was ist die Inhaberschaft von SaaS-Kundendaten?

Die SaaS-Kundendatenhoheit bezieht sich auf die gesetzlichen Rechte, die Kunden an den Informationen haben, die sie auf einer SaaS-Plattform hochladen, erstellen oder verwalten, während die Plattform selbst im Besitz des Anbieters bleibt. In dieser Konstellation agieren Kunden typischerweise als Datenverantwortliche, die festlegen, wie ihre Daten verarbeitet werden, und der Anbieter übernimmt die Rolle des Datenverarbeiters, der die Anweisungen zur Handhabung dieser Daten befolgt.

Anbietervereinbarungen und Vorschriften wie die DSGVO beschreiben oft diese Aufteilung der Verantwortlichkeiten, festlegend, dass Kunden entscheiden, wie ihre Daten verwendet werden, und die Möglichkeit haben, ihre Daten bei Bedarf abzurufen, herunterzuladen oder zu löschen.

Das Verständnis von Datenhoheit definiert die Rechte eines Unternehmens zum Schutz seines geistigen Eigentums, klärt zugewiesene Verantwortlichkeiten und etabliert Prozesse zur Sicherung strategischer Flexibilität. Bedingungen zur Datenhoheit können Vendor Lock-in verhindern, die Einhaltung gesetzlicher Vorschriften unterstützen und garantieren, dass Daten bei Bedarf abgerufen, übertragen oder gelöscht werden können.

In der Praxis können die Vorteile Folgendes umfassen:

• M&A-Due Diligence kann effizienter ablaufen, wenn die Datenherkunft klar dargelegt ist.
• Maßnahmen zur Geschäftsfortführung werden regelmäßig überprüft.  
• SaaS-Sicherheitsvorfälle werden jährlich routinemäßig erfasst, wobei Unternehmen solche Ereignisse im Rahmen regelmäßiger Überwachungsmaßnahmen melden.

Die Festlegung der Datenhoheit bei den anfänglichen Vertragsverhandlungen ist der günstigste Weg, um Uneinigkeiten zu vermeiden, ungeplante Kosten zu begrenzen und die Vorgehensweise bei Datenübertragungen zu beschreiben.

Rechtliche Rahmenbedingungen wie die DSGVO und CCPA/CPRA legen Richtlinien für die Rollen und Verantwortlichkeiten im Umgang mit Kundendaten fest, anstatt ein traditionelles Eigentumsrecht zuzuweisen. Diese Rahmenbedingungen skizzieren Verantwortlichkeiten und Rollen in Bezug auf die Verwaltung von Kundendaten, wobei Kunden typischerweise als Verantwortliche (Controller) und Anbieter als Auftragsverarbeiter (Processor) oder Dienstleister identifiziert werden.

Der Schutz von SaaS-Kundendaten umfasst in der Regel eine Kombination aus technischen und operativen Schutzmaßnahmen:

• Anwendung der Multi-Faktor-Authentifizierung
• Einrichtung rollenbasierter Zugriffskontrollen
• Einsatz von Verschlüsselung für Datenspeicherung und -übertragung
• Führen von Audit-Protokollen
• Befolgen dokumentierter Offboarding-Verfahren
• Bereitstellung von Mitarbeiterschulungen zum Umgang mit Daten und zugelassenen Software-Tools

Diese Maßnahmen werden zusammen mit der Zuweisung bestimmter Rechte und Pflichten implementiert, die mit dem Dateneigentum einhergehen. Im Rahmen von Regelwerken wie der DSGVO und CCPA/CPRA haben Kunden typischerweise Rechte wie den Zugriff, die Korrektur, den Export oder die Löschung ihrer persönlichen Daten sowie die Einschränkung der Verarbeitung.

Kunde Verantwortlichkeiten umfassen im Allgemeinen:

• Sicherstellung der Datenverarbeitung gemäß gesetzlicher und vertraglicher Standards
• Verwaltung von Zugriffsebenen und Benutzerberechtigungen innerhalb des Dienstes
• Einrichtung und Pflege interner Protokolle für Daten, die zu SaaS-Anwendungen hinzugefügt werden

SaaS-Anbieter verarbeiten Kundendaten nur gemäß den vertraglichen Vereinbarungen und relevanten Vorschriften. Dies umfasst normalerweise die Servicebereitstellung, den technischen Support, die Sicherheit, die Einhaltung von Vorschriften und die Fehlerbehebung. Andere Arten der Datennutzung oder -monetarisierung erfolgen gemäß der Kundeneinwilligung.

Mehrere wiederkehrende Überlegungen können die effektive Dateneigentümerschaft in SaaS-Umgebungen beeinflussen:

• Überlegungen zur Herstellerbindung und Details der Vertragssprache
• Umfang des Anbieterzugriffs und Verfahren zur Datenlöschung
• Konfigurationsprobleme und mandantenübergreifender Zugriff
• Drittanbieter- und Subunternehmer-Aspekte
• Proprietäre Exportformate oder undokumentierte APIs

In Kombination mit Bereichen wie Sicherheitsmanagement oder Compliance-Anforderungen, beeinflussen diese Faktoren möglicherweise die Gesamtkontrolle. Studien zeigen, dass jährlich SaaS-Sicherheitsvorfälle auftreten, während Unternehmen ihre Schutzmaßnahmen regelmäßig überwachen und bewerten. Mandantenfähige Umgebungen, verfahrenstechnische Aspekte wie verzögertes Offboardingund die Nutzung externer Dienste können die Komplexität der Landschaft erhöhen, die Unternehmen beim Thema Dateneigentum beachten müssen.

Anbieter können Anforderungen an das Dateneigentum sowohl in Produkten als auch in vertraglichen Vereinbarungen festlegen. Die folgenden Schritte stellen einen typischen Ansatz dar:

• Das Dateneigentum des Kunden im Produkt und in der Vereinbarung klar definieren.
• Internen Zugriff auf Kundendaten begrenzen und eine strikte Mandantenisolation aufrechterhalten.
• Bearbeiten Sie datenbezogene Anfragen, wie z.B. Zugriff, Export oder Löschung, umgehend gemäß etablierten Verfahren.
• Stellen Sie sicher, dass Kunden wie angefordert auf ihre Daten zugreifen können.
• Ermitteln Sie Exportformate und Bereitstellungsoptionen, die portablen, nicht-proprietären Standards entsprechen.
• Geben Sie Daten bei Vertragsende gemäß den vereinbarten Bedingungen zurück, unabhängig vom Zahlungsstatus.