Was ist SaaS (Software as a Service)?

Das US-amerikanische National Institute of Standards and Technology (NIST) hat im September 2011 in der Special Publication 800-145 drei Dienstmodelle des Cloud Computing beschrieben. Sie unterscheiden sich darin, was der Kunde selbst steuert.

Bei Software as a Service nutzt der Kunde Anwendungen des Anbieters, die auf einer Cloud-Infrastruktur laufen, über einen Browser oder eine Programmschnittstelle. Er verwaltet weder Netzwerk, Server, Betriebssysteme noch Speicher und nicht einmal einzelne Funktionen der Anwendung, abgesehen von begrenzten nutzerspezifischen Einstellungen.

Bei Platform as a Service bringt der Kunde eigene oder erworbene Anwendungen auf die Cloud-Infrastruktur. Er steuert diese Anwendungen und eventuell Einstellungen der Umgebung, in der sie laufen, aber nicht die Infrastruktur darunter.

Bei Infrastructure as a Service bezieht der Kunde Rechenleistung, Speicher, Netzwerke und andere grundlegende Ressourcen und kann darauf beliebige Software betreiben, auch Betriebssysteme. Er steuert Betriebssysteme, Speicher und eingesetzte Anwendungen und eventuell in begrenztem Umfang einzelne Netzwerkkomponenten wie Host-Firewalls, nicht die Infrastruktur darunter. Mehr dazu im Eintrag Hosting.

Die Datenverordnung der EU, Verordnung (EU) 2023/2854 und oft Data Act genannt, nennt in Erwägungsgrund 81 dieselben drei Modelle als Formen von Datenverarbeitungsdiensten. Ihre Regeln zum Anbieterwechsel gelten damit grundsätzlich auch für SaaS.

Der Anbieter bedient viele Kunden mit denselben Ressourcen. NIST nennt das Ressourcenbündelung: Die Rechenressourcen des Anbieters werden in einem mandantenfähigen Modell für mehrere Kunden zusammengefasst und je nach Bedarf zugeteilt. Der Kunde weiß in der Regel nicht genau, wo seine Daten liegen, kann den Ort aber teils auf höherer Ebene festlegen, etwa nach Land oder Rechenzentrum.

Die Nutzung wird gemessen und laut NIST typischerweise danach abgerechnet. Als Beispiele für gemessene Größen nennt NIST unter anderem Speicher, Rechenleistung, Bandbreite und aktive Nutzerkonten. In der Praxis zahlt man oft je Nutzer und Monat oder je Paket.

Im Marketing gibt es viele Werkzeuge als SaaS: das CRM, oft das CMS, die Web Analytics, Werkzeuge für E-Mail und Marketing Automation. Laut Eurostat nutzten 2025 in der EU 52,7 % der Unternehmen mit mindestens zehn Beschäftigten (ohne Finanzsektor, Land- und Forstwirtschaft, Fischerei und Bergbau) kostenpflichtige Cloud-Dienste, in Deutschland 53,9 %. CRM-Software als bezahlten Cloud-Dienst nutzten 14,7 % in der EU und 12,4 % in Deutschland.

SaaS spart Installation, Server und Updates. Dafür liegen die Daten beim Anbieter, und das hat zwei Folgen.

Die erste betrifft den Datenschutz. Verarbeitet der Anbieter personenbezogene Daten im Auftrag des Unternehmens, ist er Auftragsverarbeiter im Sinne der DSGVO. Nach Art. 28 Abs. 3 braucht es dafür einen Vertrag oder ein anderes Rechtsinstrument, das ihn bindet. Darin muss unter anderem stehen, dass er nach Ende der Leistung alle personenbezogenen Daten nach Wahl des Verantwortlichen löscht oder zurückgibt, sofern keine gesetzliche Pflicht zur Speicherung besteht.

Die zweite betrifft den Wechsel. Seit dem 12. September 2025 gilt die Datenverordnung. Nach Art. 25 muss der Vertrag eine Kündigungsfrist für die Einleitung des Wechsels von höchstens zwei Monaten vorsehen und eine Übergangsfrist von höchstens 30 Kalendertagen, in der der Anbieter den Wechsel oder die Übertragung aller exportierbaren Daten unterstützt. Ist das technisch nicht machbar, muss der Anbieter das binnen 14 Arbeitstagen nach dem Wechselantrag begründet mitteilen und darf einen anderen Zeitraum von höchstens sieben Monaten angeben. Nach Art. 29 dürfen Anbieter bis zum 12. Januar 2027 nur ermäßigte Wechselentgelte verlangen und danach für den Wechsel selbst keine mehr. Ausgenommen sind nach Art. 31 maßgeschneiderte Dienste und Testversionen; bei paralleler Nutzung mehrerer Dienste bleiben nach Art. 34 kostenbasierte Entgelte für den Datenausgang erlaubt. Die Kommission hat Änderungen an der Datenverordnung vorgeschlagen (COM(2025) 837); laut EUR-Lex sind sie am 23. Oktober 2026 nicht in Kraft.

• Vor Vertragsschluss klären, welche Daten sich in welchem Format exportieren lassen.
• Den Auftragsverarbeitungsvertrag prüfen, bevor personenbezogene Daten in das Werkzeug gelangen.
• Festhalten, in welchem Land oder Rechenzentrum die Daten liegen.
• Regelmäßig einen Export ziehen und prüfen, ob er sich in einem anderen System öffnen lässt.
• Nutzerkonten beim Ausscheiden von Mitarbeitenden sofort sperren, weil der Zugang über das Internet möglich ist.
• Kündigungsfristen, Laufzeiten und Preisstufen aller SaaS-Werkzeuge an einer Stelle erfassen.

• Davon ausgehen, dass Daten nach der Kündigung noch abrufbar sind, ohne die Frist zu kennen.
• Personenbezogene Daten verarbeiten lassen, ohne einen Auftragsverarbeitungsvertrag geschlossen zu haben.
• Daten nur in einem Format sichern, das kein anderes Werkzeug lesen kann.
• Mehrere Werkzeuge für dieselbe Aufgabe abonnieren, weil niemand einen Überblick hat.
• SaaS mit Hosting verwechseln: Beim Hosting betreibt man eigene Software auf fremder Infrastruktur.