Auftragsverarbeiter kündigen: Die Frist, die niemand nennt

Inhalt in Kürze

• Der Verbraucherschutz gegen stille Vertragsverlängerung gilt für Unternehmen nicht. § 309 Nr. 9 BGB begrenzt automatische Verlängerungen nur gegenüber Verbrauchern; zwischen Unternehmern ist die Klausel nach § 310 Abs. 1 BGB nicht anwendbar.
• Das Kündigungsfenster liegt fast nie dort, wo man es vermutet. Fristen laufen meist ab Vertragsbeginn, nicht ab der letzten Rechnung — wer auf die Abbuchung wartet, ist zu spät.
• Mit dem Hauptvertrag endet auch der AVV. Danach greift Art. 28 Abs. 3 lit. g DSGVO: löschen oder zurückgeben, nach Ihrer Wahl. Diese Wahl müssen Sie aktiv treffen.
• Ohne Fristenübersicht verlängert sich jeder Vertrag, den niemand im Kalender hat. Das ist kein Rechts-, sondern ein Organisationsproblem.

Die häufigste Frage, die uns nach einem Dienstleisterwechsel erreicht, lautet: „Wir haben doch gekündigt — warum bucht der immer noch ab?” Meistens lautet die Antwort: Die Kündigung kam elf Tage zu spät. Und der Vertrag läuft jetzt noch ein weiteres Jahr.

Warum sich Firmenverträge weiter still verlängern

Seit dem 1. März 2022 dürfen sich Verbraucherverträge über regelmäßige Leistungen nicht mehr um ein festes weiteres Jahr verlängern. Sie gehen in eine unbefristete Laufzeit über, monatlich kündbar. Das steht in § 309 Nr. 9 BGB, und die meisten kennen die Regel aus dem privaten Fitnessvertrag.

Der Haken: Diese Klauselverbote gelten nur gegenüber Verbrauchern. Nach § 310 Abs. 1 BGB findet die Liste aus § 309 BGB zwischen Unternehmern keine Anwendung. Für Ihren Firmenvertrag über ein Projektmanagement-Tool heißt das: Die stille Verlängerung um volle zwölf Monate ist weiterhin zulässig.

Die Frist läuft ab Vertragsbeginn, nicht ab Rechnung

Der zweite Grund für verpasste Kündigungen ist unscheinbarer. Fast jeder rechnet vom letzten sichtbaren Ereignis rückwärts — der Rechnung. Die Frist bemisst sich aber nach dem Laufzeitende, und das hängt am Vertragsbeginn.

Ein Beispiel: Vertragsbeginn 1. Oktober, Laufzeit zwölf Monate, Kündigungsfrist drei Monate zum Laufzeitende. Das Kündigungsfenster schließt am 30. Juni. Die nächste Jahresrechnung kommt aber erst Ende September. Wer auf sie wartet, hat das Fenster seit drei Monaten verpasst.

• Vertragsbeginn notieren, nicht das Rechnungsdatum. Nur der Beginn bestimmt das Laufzeitende.
• Frist und Bezugspunkt getrennt erfassen. „Drei Monate" heißt nichts ohne „zum Laufzeitende" oder „zum Monatsende".
• Erinnerung vier Wochen vor Fensterschluss setzen — nicht am letzten Tag. Wer am Stichtag erst nach dem Vertrag sucht, findet ihn nicht rechtzeitig.
• Zuständigkeit festhalten. Ein Vertrag ohne benannte Person ist ein Vertrag, den niemand kündigt.

Bei einem Dutzend Verträgen lässt sich das in einer Tabelle führen. Sobald Fachabteilungen eigene Tools bestellen, wird die Tabelle unvollständig — meist genau um die Verträge, die niemand kennt. Wie Sie die überhaupt erst finden, haben wir im Beitrag zu Schatten-IT aufspüren beschrieben. Wer die Übersicht danach dauerhaft halten will, braucht sie an der Stelle, an der ohnehin jeder Vertrag sichtbar wird: bei der Zahlung. Werkzeuge wie Yupana leiten das Vertragsmanagement direkt aus den Buchungen ab und melden das Kündigungsfenster, bevor es sich schließt.

Aus der Praxis

Wir erleben das regelmäßig bei Mandanten, die einen Dienstleister loswerden wollen. Der Wechsel ist beschlossen, der Nachfolger steht — und dann stellt sich heraus, dass der alte Vertrag noch vierzehn Monate läuft. Datenschutzrechtlich ist das kein Drama, aber es kostet Geld und Nerven. Fünf Minuten in den Vertrag schauen, bevor man den Nachfolger unterschreibt, spart beides.

Nils OehmichenDatenschutzberater bei frag.hugo

Was mit den Daten passiert, wenn der Vertrag endet

Hier wird aus dem Vertragsthema ein Datenschutzthema. Der Auftragsverarbeitungsvertrag ist in aller Regel akzessorisch: Er endet mit dem Hauptvertrag. Damit greift die Schlusspflicht aus Art. 28 Abs. 3 lit. g DSGVO — der Auftragsverarbeiter muss alle personenbezogenen Daten nach Ihrer Wahl löschen oder zurückgeben und bestehende Kopien vernichten.

Entscheidend ist das „nach Ihrer Wahl”. Treffen Sie die Entscheidung nicht, passiert in der Praxis häufig gar nichts: Der Zugang wird gesperrt, die Daten bleiben liegen. Formulieren Sie die Wahl deshalb in die Kündigung hinein.

1. Vor der Kündigung exportieren: Nach der Sperrung kommen Sie oft nicht mehr an die Daten. Export prüfen, während der Zugang noch lebt.
2. Wahl ausdrücklich erklären: „Wir wählen die Löschung aller personenbezogenen Daten nach Art. 28 Abs. 3 lit. g DSGVO einschließlich vorhandener Kopien."
3. Löschbestätigung anfordern — schriftlich, mit Datum. Sie brauchen sie für Ihre Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.
4. Aufbewahrungspflichten abgleichen: Handels- und steuerrechtliche Fristen können einer sofortigen Löschung entgegenstehen. Was wie lange bleiben muss, regelt Ihr Löschkonzept.
5. Verarbeitungsverzeichnis aktualisieren: Der beendete Dienstleister gehört ausgetragen, sonst dokumentieren Sie eine Verarbeitung, die es nicht mehr gibt.

Der Fristenkalender, der wirklich funktioniert

Ein Fristenkalender scheitert selten an der Technik, sondern daran, dass ihn niemand pflegt. Was sich bei unseren Mandanten bewährt hat, ist bewusst schlicht: eine Übersicht mit fünf Spalten — Anbieter, Vertragsbeginn, Laufzeit, Kündigungsfrist, verantwortliche Person. Mehr nicht. Dazu ein Quartalstermin, an dem jemand die Zahlungsausgänge gegen diese Liste hält.

Wer neue Auftragsverarbeiter ohnehin prüft, sollte Laufzeit und Frist gleich mit erfassen — die Angaben stehen in denselben Unterlagen. Wie diese Prüfung im Übrigen aussieht, steht in unserem Beitrag zum IT-Betrieb auslagern mit AVV, und die Dokumentationsseite deckt die Anleitung zum Verarbeitungsverzeichnis ab.

Wo Ihr Datenschutz insgesamt steht, zeigt der kostenlose Hugo Check in wenigen Minuten.

Fazit: Der Kalender entscheidet, nicht der Vertrag

Die Vertragsklausel ist selten das Problem — sie ist im B2B meist wirksam, auch wenn sie unfair wirkt. Das Problem ist, dass niemand das Fenster im Blick hat. Wer Vertragsbeginn und Frist einmal sauber erfasst und einen Quartalstermin dafür einrichtet, verliert keine zwölf Monate mehr an einen Dienstleister, den er längst nicht mehr wollte.

Häufige Fragen (FAQ)

Gilt der Kündigungsschutz aus dem Faire-Verbraucherverträge-Gesetz auch für Unternehmen?

Nein. § 309 Nr. 9 BGB begrenzt automatische Vertragsverlängerungen nur gegenüber Verbrauchern. Nach § 310 Abs. 1 BGB gilt diese Klauselverbotsliste zwischen Unternehmern nicht. Ein Firmenvertrag darf sich deshalb weiterhin still um zwölf Monate verlängern.

Endet der AVV automatisch mit dem Hauptvertrag?

In der Regel ja, weil der Auftragsverarbeitungsvertrag akzessorisch zum Hauptvertrag ist. Prüfen Sie es trotzdem im Text: Manche AVV laufen als eigenständige Vereinbarung weiter, und dann bleiben auch Pflichten wie Meldewege und Weisungsrechte bestehen.

Was passiert nach der Kündigung mit unseren Daten?

Nach Art. 28 Abs. 3 lit. g DSGVO muss der Auftragsverarbeiter alle personenbezogenen Daten nach Wahl des Verantwortlichen löschen oder zurückgeben — und vorhandene Kopien vernichten. Sie müssen diese Wahl aber ausüben, sonst passiert oft nichts.

Wie lange sind SaaS-Kündigungsfristen üblich?

Im deutschen B2B-SaaS-Geschäft sind drei Monate zum Laufzeitende verbreitet, teils auch ein Monat. Entscheidend ist nicht die Länge, sondern der Bezugspunkt: Viele Fristen laufen ab Vertragsbeginn, nicht ab Rechnungsdatum — deshalb liegt das Kündigungsfenster oft Monate vor der nächsten Abbuchung.

Reicht eine Kündigung per E-Mail?

Meistens ja, aber prüfen Sie die vereinbarte Form. Manche Verträge verlangen Textform über ein bestimmtes Portal oder an eine bestimmte Adresse. Wichtig ist in jedem Fall ein Zugangsnachweis — eine Kündigung, deren Zugang Sie nicht belegen können, hat im Streitfall nicht stattgefunden.