SaaS (Software as a Service)
Kurz gesagt
SaaS heißt beim Shopsystem, dass die Shop-Software auf einer Cloud-Infrastruktur läuft und Sie sie über ein Netz nutzen: bei einem Browser-Shop über die Browser-Oberfläche, nach der Definition auch über eine Programm-Schnittstelle (NIST SP 800-145). Die Infrastruktur darunter verwalten Sie nicht selbst; begrenzte nutzerspezifische Einstellungen bleiben möglich. Wer Aktualisierungen und Verfügbarkeit trägt, steht im Vertrag. In Deutschland und Österreich bleiben Sie für personenbezogene Kundendaten Verantwortlicher; der Anbieter ist Auftragsverarbeiter, soweit er die Daten im Auftrag für Sie verarbeitet (Art. 4 Nr. 7 und 8 DSGVO).
Das Wichtigste
- SaaS stellt die Anwendung des Anbieters auf einer Cloud-Infrastruktur bereit; der Kunde nutzt sie über ein Netz, wahlweise über eine dünne Client-Oberfläche wie einen Browser oder über eine Programm-Schnittstelle (NIST SP 800-145).
- Der Kunde verwaltet nach dieser Definition Netz, Server, Betriebssystem und Speicher nicht und steuert auch einzelne Anwendungsfunktionen nicht; ausgenommen bleiben begrenzte nutzerspezifische Einstellungen.
- NIST SP 800-145 ist eine Empfehlung, keine Rechtsvorschrift; bindend wird sie über Vertrag oder Verweis.
- Wer Aktualisierungen, Sicherungen und Verfügbarkeit trägt, steht nicht im Modell, sondern im Vertrag.
- Für personenbezogene Kundendaten bleibt der Shopbetreiber Verantwortlicher; der Anbieter ist Auftragsverarbeiter, soweit er diese Daten im Auftrag des Shopbetreibers verarbeitet (Art. 4 Nr. 7 und 8 DSGVO).
- Die DSGVO gilt in Deutschland und Österreich ab dem 25. Mai 2018; in der Schweiz regelt Art. 9 DSG (in Kraft seit 1. September 2023) die Übertragung an Auftragsbearbeiter.
Definition
SaaS (Software as a Service) ist ein Servicemodell der Cloud: Die Anwendung des Anbieters läuft auf einer Cloud-Infrastruktur, der Kunde nutzt sie über ein Netz und verwaltet die Infrastruktur darunter nicht selbst (NIST SP 800-145, September 2011). Als Zugang nennt sie eine dünne Client-Oberfläche — etwa einen Web-Browser — oder eine Programm-Schnittstelle.
Was SaaS beim Shopsystem bedeutet
Beim SaaS-Shop, wie ihn Anbieter für Onlineshops zuschneiden, arbeiten Sie im Browser mit der Shop-Software des Anbieters; das ist der Browser-Zugang, den die Definition neben der Programm-Schnittstelle nennt. Die Definition zieht die Grenze beim Betrieb: Netz, Server, Betriebssystem und Speicher verwaltet der Kunde nicht selbst, begrenzte nutzerspezifische Einstellungen behält er. Offen lässt sie die Aufgaben des Alltags: Aktualisierungen, Sicherungen, zugesagte Verfügbarkeit, Standort der Rechenzentren. Solche Punkte gehören in den Vertrag, nicht in die Bezeichnung.
Wer wofür zuständig ist
Die Tabelle trennt Vorgaben der Definition von Vertragsfragen und Prüfpunkten.
| Aufgabe | Wer sie trägt |
|---|---|
| Netz, Server, Betriebssystem, Speicher | Nicht der Kunde; er verwaltet und steuert diese Ebene nicht |
| Einzelne nutzerspezifische Einstellungen | Kunde; die Definition nennt als Ausnahme nur begrenzte nutzerspezifische Einstellungen |
| Artikel, Bilder, Preise, Zugänge | Prüfpunkt: eigene Inhalte und Daten pflegt der Shopbetreiber |
| Aktualisierungen, Sicherungen, Verfügbarkeit | Vertragssache; das Modell legt dazu nichts fest |
| Personenbezogene Kundendaten | Shopbetreiber als Verantwortlicher; Anbieter als Auftragsverarbeiter, soweit er die Daten im Auftrag verarbeitet |
Beispielannahme: Ein Händler mit 2.400 Artikeln mietet seinen Shop; die Aktualisierung kommt vom Anbieter, Artikel und Preise pflegt er selbst.
Rechtsgrundlage
Verarbeitet der Anbieter personenbezogene Kundendaten im Auftrag des Shopbetreibers, ist der Shopbetreiber Verantwortlicher (Art. 4 Nr. 7 DSGVO) und der Anbieter Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO). Entscheidet der Anbieter über Zwecke und Mittel einer Verarbeitung selbst, ist er für diese Verarbeitung Verantwortlicher (Art. 4 Nr. 7 DSGVO). Die Verarbeitung im Auftrag ist auf einen Vertrag oder ein anderes Rechtsinstrument nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zu stützen, das Gegenstand, Dauer, Art und Zweck, die Art der Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen festlegt (Art. 28 Abs. 3 DSGVO). In Deutschland und Österreich gilt die Verordnung ab dem 25. Mai 2018 (Art. 99 Abs. 2 DSGVO); nach Art. 3 Abs. 2 erfasst sie die Verarbeitung personenbezogener Daten betroffener Personen, die sich in der Union befinden, durch einen Anbieter ohne Niederlassung in der Union, wenn diese Verarbeitung damit zusammenhängt, dass er betroffenen Personen in der Union Waren oder Dienstleistungen anbietet, unabhängig davon, ob diese eine Zahlung leisten (Buchst. a), oder deren Verhalten in der Union beobachtet (Buchst. b). In der Schweiz regelt Art. 9 DSG (in Kraft seit 1. September 2023) die Übertragung an Auftragsbearbeiter; die DSGVO ist dort kein Landesrecht. Den Vertrag im Einzelnen behandelt Auftragsverarbeitung (AVV).
Nicht zu verwechseln mit
- IaaS und PaaS: weitere Servicemodelle. Bei IaaS verwaltet der Kunde Betriebssystem, Speicher und die abgelegten Anwendungen selbst; bei PaaS stellt er eigene Anwendungen auf der Infrastruktur des Anbieters bereit und steuert diese Anwendungen, nicht aber Netz, Server, Betriebssystem oder Speicher.
- Self-Hosting: eigener Betrieb; Betrieb und Infrastruktur liegen bei Ihnen, siehe SaaS-Shop oder Self-Hosting.