Anbieter prüfen: Referenzen, Verträge und Ausstiegsmöglichkeiten

Bevor Sie einen Shopsystem-Vertrag unterschreiben, entscheiden drei Ebenen über Ihr Risiko: ob der Anbieter in vergleichbaren Betrieben funktioniert, ob die Vertragsklauseln Sie nicht länger binden, als Sie wollen, und ob Sie Ihre Daten später wieder herausbekommen. Dieser Artikel führt Sie durch die Prüfung von Referenzen, Vertrag und Ausstieg.

Was Sie vorab brauchen

Eine Shortlist von zwei bis drei Anbietern, die Ihre Muss-Kriterien nach den Anbieterangaben erfüllen (Anforderungsliste).
Den Vertrag und die Allgemeinen Geschäftsbedingungen (AGB) jedes Anbieters in schriftlicher Form.
Den Auftragsverarbeitungsvertrag (Deutschland, Österreich) beziehungsweise den Auftragsbearbeiter-Vertrag (Schweiz).
Eine Liste von Fragen für die Referenzkunden, die Sie im nächsten Schritt abarbeiten.

Schritt für Schritt: Anbieter und Verträge prüfen

Schritt 1: Referenzen einholen

Bitten Sie jeden Anbieter um zwei bis drei Referenzen aus Betrieben in vergleichbarer Lage: gleiche Branche, ähnliche Bestellmenge, gleiche Zielmärkte. Kontaktieren Sie die Referenzkunden selbst und fragen Sie nach der Migration, der Reaktionszeit des Supports, der Abrechnung und dem, was sie anders machen würden. Halten Sie die Antworten schriftlich fest; eine mündliche Zusage des Anbieters ist kein Beleg.

Schritt 2: Laufzeit und Kündigung prüfen

In Deutschland sind Laufzeit- und Verlängerungsklauseln in AGB für Dauerschuldverhältnisse eng begrenzt. Nach § 309 Nr. 9 BGB ist eine Klausel unwirksam, die den Vertragspartner länger als zwei Jahre bindet, die eine stillschweigende Verlängerung vorsieht, es sei denn, sie verlängert nur auf unbestimmte Zeit und räumt eine Kündigungsfrist von höchstens einem Monat ein, oder die eine längere Kündigungsfrist als einen Monat vor Ablauf der zunächst vorgesehenen Vertragsdauer vorsieht. Das gilt für Verträge über die regelmäßige Lieferung von Waren oder die regelmäßige Erbringung von Dienst- oder Werkleistungen, also auch für ein Shopsystem-Abo.

Diese Klauselverbote gelten für Verbraucher. Sind Sie Unternehmer, finden sie auf AGB, die gegenüber Ihnen verwendet werden, keine Anwendung (§ 310 Abs. 1 BGB); dann greift § 307 Abs. 1 und 2 BGB, der eine Klausel nur dann unwirksam macht, wenn sie Sie entgegen Treu und Glauben unangemessen benachteiligt, mit Rücksicht auf die im Handelsverkehr geltenden Gebräuche. Prüfen Sie deshalb in beiden Fällen, wie lange der Vertrag bindet, wie er verlängert wird und mit welcher Frist Sie kündigen können.

Schritt 3: Preisänderungen prüfen

In Deutschland ist eine AGB-Klausel unwirksam, die eine Preiserhöhung für Waren oder Leistungen vorsieht, die innerhalb von vier Monaten nach Vertragsschluss geliefert oder erbracht werden sollen (§ 309 Nr. 1 BGB); für Dauerschuldverhältnisse gilt diese Beschränkung nicht. Das gilt für Verbraucher; gegenüber Unternehmern findet § 309 keine Anwendung, § 307 Abs. 1 und 2 BGB greift (§ 310 Abs. 1 BGB). Bei einem laufenden Abo regeln Preisänderungen deshalb der Vertrag und die AGB. Prüfen Sie, wie der Anbieter Preiserhöhungen ankündigt, ab wann sie gelten und ob Sie bei einer Erhöhung kündigen können, ohne die laufende Bindung zu verlieren.

Schritt 4: Auftragsverarbeitung prüfen

Ihr Shopsystem verarbeitet personenbezogene Daten Ihrer Kundinnen: Namen, Adressen, Bestellhistorie. In Deutschland und Österreich dürfen Sie diese Daten nur an einen Auftragsverarbeiter geben, der hinreichende Garantien bietet (Art. 28 Abs. 1 DSGVO). Die Verarbeitung erfolgt auf der Grundlage eines Vertrags, der Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen festlegt (Art. 28 Abs. 3 DSGVO). Der Vertrag sieht insbesondere vor, dass der Auftragsverarbeiter die Daten nur auf dokumentierte Weisung verarbeitet, die Vertraulichkeit der befugten Personen gewährleistet und nach Abschluss der Leistung alle personenbezogenen Daten löscht oder zurückgibt, sofern nicht das Unionsrecht oder das Recht der Mitgliedstaaten eine Speicherung verlangt (Art. 28 Abs. 3 Buchst. a, b und g DSGVO). Einen weiteren Auftragsverarbeiter darf er nur mit vorheriger schriftlicher Genehmigung in Anspruch nehmen (Art. 28 Abs. 2 DSGVO).

In der Schweiz regelt Art. 9 DSG die Übertragung: Die Bearbeitung kann vertraglich an einen Auftragsbearbeiter übertragen werden, wenn die Daten so bearbeitet werden, wie Sie es selbst dürften, und keine Geheimhaltungspflicht die Übertragung verbietet (Art. 9 Abs. 1 DSG). Sie müssen sich vergewissern, dass der Auftragsbearbeiter die Datensicherheit gewährleisten kann (Art. 9 Abs. 2 DSG), und er darf die Bearbeitung nur mit Ihrer vorgängigen Genehmigung einem Dritten übertragen (Art. 9 Abs. 3 DSG).

Schritt 5: Datenexport und Ausstieg prüfen

Der Export Ihrer Shopdaten – Artikel, Bestellungen, Kundendaten – ist eine Vertragsfrage, die seit 12. September 2025 für Cloud-Datenverarbeitungsdiensten in Deutschland und Österreich durch den Data Act (EU) 2023/2854 ergänzt wird. Für Datenverarbeitungsdiensten – digitale Dienstleistungen mit flächendeckendem, auf Abruf verfügbarem Netzzugang zu einem gemeinsam genutzten Pool konfigurierbarer, skalierbarer und elastischer Rechenressourcen (Art. 2 Nr. 8 Data Act) – verlangt Art. 23 Data Act, dass der Anbieter den Wechsel zu einem anderen Anbieter der gleichen Dienstart oder zu IKT-Infrastruktur in eigenen Räumlichkeiten ermöglicht; der Vertrag muss nach Art. 25 Data Act Klauseln enthalten, die es Ihnen ermöglichen, alle exportierbaren Daten und digitalen Vermögenswerte unverzüglich und in keinem Fall zu einem späteren Zeitpunkt als nach Ablauf der verbindlichen Übergangsfrist von höchstens 30 Kalendertagen ab Ablauf der maximalen Kündigungsfrist zu übertragen; ist diese Frist technisch nicht durchführbar, teilt der Anbieter dies innerhalb von 14 Arbeitstagen nach der Beantragung des Wechsels mit, begründet die Undurchführbarkeit und nennt einen alternativen Übergangszeitraum von bis zu sieben Monaten, und Sie dürfen den Übergangszeitraum einmal um einen für Ihre Zwecke angemessenen Zeitraum verlängern (Art. 25 Abs. 2 Buchst. a, Abs. 4 und 5 Data Act). Exportierbare Daten sind die Eingabe- und Ausgabedaten einschließlich Metadaten, die unmittelbar oder mittelbar durch Ihre Nutzung des Dienstes generiert oder gemeinsam generiert werden, ausgenommen die Vermögenswerte oder Daten des Anbieters oder Dritter, die durch Rechte des geistigen Eigentums geschützt sind oder ein Geschäftsgeheimnis darstellen (Art. 2 Nr. 38 Data Act). Prüfen Sie im Vertrag, welche Daten exportierbar sind, in welchem Format der Anbieter sie ausgibt, ob der Export vollständig ist, wer die Arbeit leistet, was sie kostet und innerhalb welcher Frist er erfolgt. Das Recht auf Datenübertragbarkeit in Art. 20 DSGVO gibt Ihrer Kundin das Recht, die von ihr bereitgestellten personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten, wenn die Verarbeitung automatisiert auf Einwilligungs- oder Vertragsgrundlage erfolgt; es ist kein Recht von Ihnen, Ihre Shopdaten zu exportieren. In der Schweiz gilt der Data Act nicht; dort bleibt der Export eine Vertragsfrage, die Sie ausdrücklich im Vertrag vereinbaren.

Schritt 6: Haftung und Support prüfen

In Deutschland ist eine AGB-Klausel unwirksam, die die Haftung für Schäden aus der Verletzung von Leben, Körper oder Gesundheit bei fahrlässiger Pflichtverletzung ausschließt oder begrenzt, sowie eine Klausel, die die Haftung für sonstige Schäden bei grober Fahrlässigkeit ausschließt oder begrenzt (§ 309 Nr. 7 BGB). Das gilt für Verbraucher; gegenüber Unternehmern findet § 309 keine Anwendung, § 307 Abs. 1 und 2 BGB greift (§ 310 Abs. 1 BGB). Prüfen Sie die Haftungsklauseln und die Supportzusagen: Reaktionszeiten, Erreichbarkeit, Ersatzleistung bei Ausfall.

Schritt 7: Entscheidung dokumentieren

Tragen Sie die Ergebnisse in ein Entscheidungsprotokoll ein: je Anbieter die Referenzantworten, die Vertragsklauseln zu Laufzeit, Kündigung, Preis, Auftragsverarbeitung und Datenexport, offene Fragen und die Entscheidung mit Begründung (Vergleich).

Die Vertrags-Checkliste

Die Checkliste fasst die Prüffelder zusammen. Jede Zeile beantworten Sie schriftlich, mit Verweis auf die Vertragsklausel.

Prüffeld	Was Sie prüfen	Worauf Sie achten
Laufzeit	Wie lange bindet der Vertrag?	In Deutschland: für Verbraucher höchstens zwei Jahre (§ 309 Nr. 9 BGB); für Unternehmer nach § 307 BGB verhandeln
Verlängerung	Wird der Vertrag stillschweigend verlängert?	DE, Verbraucher: nur auf unbestimmte Zeit mit Kündigungsfrist von höchstens einem Monat (§ 309 Nr. 9 Buchst. b BGB); DE, Unternehmer: nach § 307 BGB verhandeln
Kündigung	Mit welcher Frist können Sie kündigen?	DE, Verbraucher: höchstens ein Monat vor Ablauf der zunächst vorgesehenen Vertragsdauer (§ 309 Nr. 9 Buchst. c BGB); DE, Unternehmer: nach § 307 BGB verhandeln
Preisänderung	Wie werden Preiserhöhungen geregelt?	Ankündigungsfrist, Geltungsbeginn, Kündigungsrecht bei Erhöhung
Auftragsverarbeitung	Enthält der Vertrag die Pflichten nach Art. 28 Abs. 3 DSGVO (DE, AT) beziehungsweise Art. 9 DSG (CH)?	DE, AT: Verarbeitung nur auf dokumentierte Weisung, Vertraulichkeit, Löschung oder Rückgabe nach Abschluss, sofern nicht das Recht eine Speicherung verlangt (Art. 28 Abs. 3 DSGVO); CH: Bearbeitung wie vom Verantwortlichen selbst zulässig, Datensicherheit, keine Geheimhaltungspflicht (Art. 9 Abs. 1 und 2 DSG)
Subunternehmer	Darf der Anbieter weitere Auftragsverarbeiter einsetzen?	DE, AT: nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung (Art. 28 Abs. 2 DSGVO); CH: nur mit vorgängiger Genehmigung (Art. 9 Abs. 3 DSG)
Datenexport	In welchem Format und zu welchen Kosten exportiert der Anbieter Ihre Shopdaten?	Format, Vollständigkeit, Frist, Kosten, wer die Arbeit leistet; DE, AT: Wechsel- und Exportklauseln nach Art. 25 Data Act für Cloud-Dienste
Datenrückgabe	Was passiert mit den Daten nach der Kündigung?	DE, AT: Löschung oder Rückgabe nach Ihrer Wahl, sofern nicht das Recht eine Speicherung verlangt (Art. 28 Abs. 3 Buchst. g DSGVO)
Haftung	Wie sind Haftungsbeschränkungen formuliert?	DE, Verbraucher: keine Begrenzung bei Leben, Körper, Gesundheit und grober Fahrlässigkeit (§ 309 Nr. 7 BGB); DE, Unternehmer: nach § 307 BGB verhandeln

So prüfen Sie das Ergebnis

Vergleichen Sie den Vertrag mit den AGB. Eine Klausel, die so ungewöhnlich ist, dass Sie mit ihr nach den Umständen nicht zu rechnen brauchen, wird nicht Vertragsbestandteil (§ 305c Abs. 1 BGB); Auslegungszweifel gehen zu Lasten des Verwenders (§ 305c Abs. 2 BGB). Prüfen Sie, dass jede Zeile der Checkliste schriftlich beantwortet ist und dass der Auftragsverarbeitungsvertrag die genannten Pflichten enthält. Fehlt eine Klausel, fordern Sie sie nach, bevor Sie unterschreiben.

Wenn etwas nicht klappt

Symptom	Ursache	Lösung
Anbieter liefert keine Referenzen	Kein vergleichbarer Betrieb im Kundenstamm	Nachfragen, welche Betriebe vergleichbar sind; bei Verzicht die Zeile im Protokoll als offen halten
Vertrag bindet länger als zwei Jahre	Standardklausel des Anbieters	In Deutschland für Verbraucher unwirksam (§ 309 Nr. 9 BGB); für Unternehmer verhandeln oder eine kürzere Laufzeit aushandeln
Keine Datenexport-Klausel	Export nicht vorgesehen	Exportformat, Frist und Kosten schriftlich vereinbaren, bevor Sie unterschreiben
Auftragsverarbeitungsvertrag fehlt	Rolle des Anbieters unklar: verarbeitet er im Auftrag oder als eigener Verantwortlicher?	Klären, ob der Anbieter im Auftrag verarbeitet; wenn ja, Vertrag nach Art. 28 DSGVO (DE, AT) beziehungsweise Auftragsbearbeiter-Vertrag nach Art. 9 DSG (CH) nachfordern

Wann Sie Hilfe holen sollten

Holen Sie Hilfe, wenn der Vertrag von den gesetzlichen Mustern abweicht, wenn der Auftragsverarbeitungsvertrag Pflichten nach Art. 28 DSGVO oder Art. 9 DSG nicht enthält oder wenn Sie unsicher sind, ob eine AGB-Klausel in Deutschland der Kontrolle nach §§ 305 ff. BGB standhält. Ein Anwalt für IT- oder Datenschutzrecht prüft den Vertrag, bevor Sie unterschreiben.