HR Software Vertrag.
AVV, SLA und Exit vor der Unterschrift prüfen.
Ein HR Software Vertrag besteht aus Hauptvertrag, Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO, Service Level Agreement (SLA) und Regeln für den Ausstieg. Prüfen Sie vor der Unterschrift die acht Pflichtinhalte des AVV, die Verfügbarkeit an Lohnlauf-Tagen, Laufzeit und Preisanpassung sowie den Datenexport nach dem EU Data Act.
- Für wen: HR, IT, Einkauf und Datenschutz im DACH-Mittelstand, die nach Shortlist und Demos einen Vertrag für Cloud-HR-Software oder Payroll prüfen.
- Was die Seite zeigt: die Vertragsbausteine im Überblick, alle Pflichtinhalte des AVV, SLA-Kennzahlen, Exit-Fristen und eine Checkliste mit 37 Prüfpunkten als CSV.
- Zahl: Ab dem 12. Januar 2027 dürfen Cloud-Anbieter für den Wechsel keine Wechselentgelte mehr verlangen (Art. 29 Abs. 1 VO (EU) 2023/2854, EUR-Lex, Stand Oktober 2026).
- Weiter: Schritt 5 der HR Software Auswahl, Datenschutz in der Software unter DSGVO-konforme HR-Software.
Den Vertrag prüfen,
solange zwei Anbieter im Rennen sind.
Der Vertrag folgt in der HR Software Auswahl auf die Kosten (Was kostet HR Software, HR Software TCO) und steht vor dem HR Software Business Case. Wer erst nach der Entscheidung liest, verhandelt ohne Alternative.
Vertrag erst nach der Entscheidung
- Zusagen aus Demo und Angebot fehlen im Vertragstext.
- Der AVV kommt als Standarddokument, Unterauftragsverarbeiter und Drittländer bleiben offen.
- Wartung fällt auf den Tag, an dem der Beitragsnachweis raus muss.
- Beim Wechsel fehlen Exportumfang, Fristen und Zugriff auf alte Lohnkonten.
Vertrag parallel für zwei Finalisten
- Leistungsbeschreibung, SLA und AVV werden als Anlagen verglichen.
- Unterauftragsverarbeiter, Länder und KI-Funktionen sind vor der Unterschrift bekannt.
- Lohnlauf-Tage stehen als geschützte Zeitfenster im SLA.
- Exit, Aufbewahrung und Wechselentgelte sind schriftlich geregelt.
28 Prozent der Cloud-Nutzer hatten in zwölf Monaten gravierende Ausfälle, 46 Prozent der Unternehmen müssten bei einem Cloud-Ausfall über kurz oder lang den Betrieb einstellen (603 Unternehmen ab 20 Beschäftigten, Bitkom, 3. Juli 2026).
Worauf achte ich im Vertrag
mit einem HR Software Anbieter?
Achten Sie zuerst auf die Rangfolge: Welches Dokument gilt bei Widersprüchen, und verweist der Vertrag auf Online-AGB, die der Anbieter einseitig ändern kann?
| Baustein | Was er regelt | Rechtsgrundlage | Worauf achten |
|---|---|---|---|
| Hauptvertrag und SaaS-AGBNutzungsvertrag | Leistung, Nutzungsrechte, Preis, Laufzeit, Haftung, Rangfolge | Online-Nutzung von Standardsoftware nach Mietrecht (BGH, XII ZR 120/04), AGB nach §§ 305 ff. BGB | Leistungsbeschreibung mit Modulen, Ländern und Beschäftigtenzahl als Anlage, AGB nur in datierter Fassung |
| AVVAuftragsverarbeitungsvertrag | Weisung, Vertraulichkeit, Sicherheit, Unterauftragsverarbeiter, Löschung, Prüfrechte | Art. 28 Abs. 3 und 9 DSGVO | Alle Pflichtinhalte a bis h, unterschrieben vor dem ersten Echtdatensatz |
| SLAService Level Agreement | Verfügbarkeit, Wartung, Reaktions- und Lösungszeiten, Gutschriften | Kein Gesetz; Art. 32 Abs. 1 Buchst. b und c DSGVO für Verfügbarkeit und Wiederherstellung | Messung je Monat, Lohnlauf-Tage geschützt, Gutschrift ohne Antrag |
| TOM-Anlagetechnische und organisatorische Maßnahmen | Verschlüsselung, Zugriffe, Datensicherung, Wiederherstellung, Prüfverfahren | Art. 32 DSGVO, Art. 28 Abs. 3 Buchst. c | Konkrete Maßnahmen statt Textbausteine, Änderungen nur ohne Absenkung |
| Liste der UnterauftragsverarbeiterAnlage zum AVV | Hosting, Support, E-Mail und KI-Dienste mit Land und Zweck | Art. 28 Abs. 2 und 4, Art. 44 ff. DSGVO | Ankündigungsfrist, Einspruchsrecht, Folge eines Einspruchs |
| Exit und DatenrückgabeKlauseln oder eigene Anlage | Kündigung, Übergang, Export, Löschung, Wechselentgelte | Art. 25 und 29 VO (EU) 2023/2854, Art. 28 Abs. 3 Buchst. g DSGVO | Exportumfang abschließend, Lesezugriff für Aufbewahrungsfristen |
| Betriebsvereinbarungzwischen Arbeitgeber und Betriebsrat | Zwecke, Auswertungen, Rollen, KI-Funktionen, Testdaten | § 87 Abs. 1 Nr. 6 BetrVG, § 26 Abs. 4 BDSG, Art. 88 DSGVO | Kein Vertrag mit dem Anbieter, aber Voraussetzung für den Echtbetrieb |
Quellen: DSGVO, VO (EU) 2023/2854, § 87 BetrVG, § 26 BDSG, BGH-Urteil nach Softwarevertrag prüfen, Stand 24.10.2026. Zusammenstellung von Find-Your-HR, keine Rechtsberatung.
Brauche ich einen AV-Vertrag für HR-Software
und was steht darin?
Ja, sobald der Anbieter Personaldaten in Ihrem Auftrag verarbeitet, also bei jeder Cloud-HR-Software und bei Fernwartung mit Zugriff auf Echtdaten. Der AVV legt nach Art. 28 Abs. 3 Satz 1 DSGVO Gegenstand, Dauer, Art und Zweck, Datenarten, Kategorien betroffener Personen und Ihre Rechte fest und ist schriftlich oder elektronisch abzufassen (Abs. 9). Dazu kommen acht Pflichtinhalte.
Nur auf dokumentierte Weisung
Auch Übermittlungen in Drittländer nur auf Ihre Weisung. Prüfen Sie Klauseln zu „Produktverbesserung“: Wer Zwecke selbst bestimmt, gilt als Verantwortlicher (Art. 28 Abs. 10).
Verpflichtete Personen
Alle befugten Personen sind zur Vertraulichkeit verpflichtet. Das muss auch für Support-Partner und Implementierer gelten, die Gehaltsdaten sehen.
Maßnahmen nach Art. 32
Der Anbieter ergreift alle nach Art. 32 erforderlichen Maßnahmen. Im Vertrag steht das als TOM-Anlage, die sich nur ohne Absenkung des Schutzniveaus ändern darf.
Weitere Auftragsverarbeiter
Der Anbieter hält Abs. 2 und 4 ein: Genehmigung vorab, Information über Änderungen mit Einspruch, gleiche Pflichten in der Kette.
Unterstützung bei Anträgen
Sie müssen Auskunft oder Löschung binnen eines Monats beantworten (Art. 12 Abs. 3). Vereinbaren Sie eine Unterstützungsfrist in Arbeitstagen.
Datenpannen und Folgenabschätzung
Der Anbieter meldet Verletzungen unverzüglich (Art. 33 Abs. 2). Eine Stundenfrist sichert Ihnen die 72 Stunden für die Meldung an die Aufsicht.
Löschen oder zurückgeben
Nach Ihrer Wahl, soweit keine Speicherpflicht besteht. Regeln Sie Reihenfolge, Format, Backups und Löschbestätigung passend zu den Exit-Klauseln.
Prüfungen und Inspektionen
Der Anbieter liefert Nachweise und ermöglicht Überprüfungen durch Sie oder beauftragte Prüfer. Klauseln, die Prüfungen auf Zertifikate beschränken, verhandeln.
Hält der Anbieter eine Weisung für rechtswidrig, muss er Sie unverzüglich informieren (Art. 28 Abs. 3 Unterabsatz 2). Als Vorlage taugen die Standardvertragsklauseln des Durchführungsbeschlusses (EU) 2021/915 vom 4. Juni 2021 (Art. 28 Abs. 7). Rechtsgrundlagen, Löschkonzept und Betroffenenrechte in der Software behandelt DSGVO-konforme HR-Software. Quelle: DSGVO, EUR-Lex, Stand 24.10.2026. Keine Rechtsberatung.
Was neben dem AVV
in den Vertrag gehört.
Sechs Themen entscheiden, ob der Vertrag im Betrieb trägt.
Unterauftragsverarbeiter
Nötig ist eine vorherige gesonderte oder allgemeine schriftliche Genehmigung. Bei der allgemeinen informiert der Anbieter über jede beabsichtigte Änderung, Sie können Einspruch erheben. Für seine Unterauftragsverarbeiter haftet er Ihnen.
- Liste mit Firma, Land und Zweck als Anlage
- Sonderkündigung ohne Kosten, wenn ein Einspruch scheitert
Drittländer und EU-US Data Privacy Framework
Für zertifizierte US-Empfänger gilt der Angemessenheitsbeschluss (EU) 2023/1795 vom 10. Juli 2023 (Data Privacy Framework, DPF). Das Gericht der EU wies die Klage dagegen am 3. September 2025 ab (T-553/23); das Rechtsmittel C-703/25 P ist beim EuGH anhängig (Stand 24.10.2026).
- Zertifizierung je US-Empfänger in der DPF-Liste prüfen
- Ersatzweg vereinbaren, etwa Standardvertragsklauseln (EU) 2021/914
TOM konkret beschreiben
Art. 32 Abs. 1 nennt Verschlüsselung, Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit, rasche Wiederherstellung und regelmäßige Überprüfung. Die Anlage sollte jeden Punkt prüfbar machen.
- Rechte bis auf Feldebene für Gehalt und Gesundheitsdaten
- Zugriffsprotokolle auch für Support und Administration
Beschäftigtendaten nach EuGH C-34/21
§ 26 BDSG erlaubt die Verarbeitung, wenn sie für das Beschäftigungsverhältnis erforderlich ist. Nach dem EuGH-Urteil vom 30. März 2023 (C-34/21) bleiben nationale Vorschriften unangewendet, die Art. 88 Abs. 2 DSGVO nicht erfüllen, außer sie genügen Art. 6 Abs. 3. Ein eigenes Beschäftigtendatengesetz ist nicht in Kraft (Stand 24.10.2026).
- Rechtsgrundlagen zusätzlich auf Art. 6 Abs. 1 DSGVO stützen
- Tests mit synthetischen Daten statt Echtdaten
Mitbestimmung und Betriebsvereinbarung
Technische Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung zu überwachen, sind mitbestimmungspflichtig (§ 87 Abs. 1 Nr. 6 BetrVG), ohne Einigung entscheidet die Einigungsstelle. Über die Planung, auch beim Einsatz von KI, ist der Betriebsrat rechtzeitig zu unterrichten (§ 90 Abs. 1 Nr. 3).
- Anbieter liefert Funktions- und Auswertungsbeschreibung
- Ablauf: Betriebsrat im HR-Projekt einbinden
KI-Funktionen und KI-Verordnung
Anhang III Nr. 4 stuft KI für Einstellung, Beförderung, Kündigung, Aufgabenzuweisung und Leistungsbewertung als hochriskant ein. Nach der Verordnung (EU) 2026/1744 gelten diese Pflichten ab 2. Dezember 2027. Dann informieren Arbeitgeber Arbeitnehmervertreter und Beschäftigte vorab (Art. 26 Abs. 7) und bewahren Protokolle mindestens sechs Monate auf (Abs. 6).
- Liste der KI-Funktionen, je Funktion abschaltbar
- Kein Modelltraining mit Ihren Daten ohne Vereinbarung
Quellen: DSGVO, Beschluss (EU) 2023/1795, EuG T-553/23, Rechtsmittel C-703/25 P, ABl. C/2025/6610, EuGH C-34/21, § 90 BetrVG, VO (EU) 2024/1689, VO (EU) 2026/1744, Stand 24.10.2026. Vertiefung: EU AI Act HR Compliance. Keine Rechtsberatung.
Was gehört in das SLA
einer HR-Software?
Ein Gesetz schreibt keine SLA-Werte vor. Für HR-Software zählt, ob Abrechnung und Meldungen zu festen Terminen laufen: Sozialversicherungsbeiträge sind spätestens am drittletzten Bankarbeitstag des Monats fällig (§ 23 Abs. 1 SGB IV), der Beitragsnachweis zwei Arbeitstage vorher (§ 28f Abs. 3 SGB IV), die Lohnsteuer-Anmeldung am zehnten Tag nach dem Anmeldungszeitraum (§ 41a Abs. 1 EStG). Rechenbeispiel von Find-Your-HR für einen Monat mit 30 Tagen: 99,9 Prozent erlauben 43 Minuten Ausfall, 99,5 Prozent 3,6 Stunden, 99 Prozent 7,2 Stunden.
| Kennzahl | Was der Vertrag festlegt | Prüffrage an den Anbieter |
|---|---|---|
| Verfügbarkeit | Prozentwert, Formel, abschließende Ausnahmen | Zählen Wartung und Ausfälle bei Unterauftragsverarbeitern mit? |
| Messzeitraum und Messpunkt | Monat statt Jahr, Messung von außen | Erhalten Sie Messdaten und Monatsbericht? |
| Wartungsfenster | Feste Zeiten, Ankündigungsfrist, Sperrtage | Liegt Wartung sicher außerhalb Ihrer Lohnlauf-Tage? |
| Reaktionszeit | Zeit bis zur qualifizierten Antwort je Störungsklasse, ab Ihrer Meldung | Gilt ein gestoppter Lohnlauf als kritisch? |
| Lösungszeit | Zeit bis zur Behebung oder Umgehung je Störungsklasse | Welche Umgehung gibt es, wenn Meldungen nicht rausgehen? |
| Gutschriften | Höhe, Obergrenze, Verhältnis zum Schadensersatz | Kommt die Gutschrift automatisch oder nur auf Antrag? |
| RPORecovery Point Objective | Maximal zulässiger Datenverlust, also Abstand der Sicherungen | Wie viele Stunden Buchungen gehen im schlimmsten Fall verloren? |
| RTORecovery Time Objective | Zeit bis zum Wiederanlauf nach einem Zwischenfall | Wann wurde die Wiederherstellung zuletzt getestet? |
| Lohnlauf-Zeitfenster | Kritische Tage je Monat mit Rufbereitschaft | Können Sie diese Tage selbst im Vertrag eintragen? |
Quellen: § 23 SGB IV, § 28f SGB IV, § 41a EStG, Art. 32 Abs. 1 Buchst. b und c DSGVO, Stand 24.10.2026. Das Rechenbeispiel rechnet mit 720 Stunden je Monat und Messung rund um die Uhr.
Welche Vertrags- und Preiskonditionen ändern sich
zum Beginn eines Kalenderjahres?
Zum 1. Januar ändern sich vor allem gesetzliche Werte der Lohnabrechnung, die Werte für 2027 stehen unter Was kostet HR Software. Feste Jahreswechsel-Termine für Preisanpassungen nennen die Hersteller dort nicht öffentlich. Vertraglich zählen vier Klauseln.
Mindestlaufzeit und Verlängerung
Läuft die Laufzeit ab Unterschrift, Bereitstellung oder Produktivstart, und um wie viele Monate verlängert sie sich? Endet der Vertrag am 31. Dezember, fällt die Kündigung in die Vorbereitung des Jahreswechsels.
Kündigungsfrist im Kalender
Tragen Sie den spätesten Kündigungstag sofort ein. Für die Einleitung eines Wechsels darf die Kündigungsfrist höchstens zwei Monate betragen (Art. 25 Abs. 2 Buchst. d Data Act); das Verhältnis zur Mindestlaufzeit lassen Sie juristisch prüfen.
Index, Deckel, Sonderkündigung
Eine Klausel braucht Anlass, Index oder Deckel, Ankündigungsfrist und Sonderkündigungsrecht. AGB unterliegen auch zwischen Unternehmen der Inhaltskontrolle nach § 307 BGB (§ 310 Abs. 1 BGB).
Gesetzliche Updates zum 1. Januar
Neue Rechengrößen und Meldeverfahren müssen vor dem ersten Lohnlauf im Januar bereitstehen. Regeln Sie, dass gesetzliche Updates im Preis enthalten sind, bis wann sie kommen und wer Fehler aus Verspätungen trägt.
Quellen: VO (EU) 2023/2854, § 307 BGB, § 310 BGB, Stand 24.10.2026. Laufzeiten einzelner Hersteller und Kalenderjahreswerte: Was kostet HR Software.
Was muss der Vertrag
für den Anbieterwechsel regeln?
Die EU-Datenverordnung (Data Act, VO (EU) 2023/2854) gilt seit 12. September 2025 (Art. 50). Kapitel VI regelt den Wechsel zwischen Datenverarbeitungsdiensten, Erwägungsgrund 81 nennt ausdrücklich Software-as-a-Service. Art. 25 verlangt die Wechselrechte in einem schriftlichen Vertrag. Exportformate und Testmigration behandelt API und Exit-Strategie, hier geht es um den Vertragstext.
| Regelung | Vorgabe der Verordnung | Fundstelle |
|---|---|---|
| Kündigungsfrist für den Wechsel | höchstens zwei Monate | Art. 25 Abs. 2 Buchst. d |
| Übergangszeitraum | höchstens 30 Kalendertage, mit Unterstützung und Kontinuität des Dienstes | Art. 25 Abs. 2 Buchst. a |
| Technisch nicht machbar | Mitteilung binnen 14 Arbeitstagen, Alternative höchstens sieben Monate | Art. 25 Abs. 4 |
| Verlängerung durch Sie | einmal um einen Zeitraum Ihrer Wahl | Art. 25 Abs. 5 |
| Datenabruf | mindestens 30 Kalendertage nach dem Übergang | Art. 25 Abs. 2 Buchst. g |
| Exportumfang | erschöpfende Liste, mindestens alle exportierbaren Daten | Art. 25 Abs. 2 Buchst. e |
| Löschung | vollständig nach dem Abrufzeitraum | Art. 25 Abs. 2 Buchst. h |
| Wechselentgelte | bis 12. Januar 2027 höchstens direkte Kosten, danach keine | Art. 29 Abs. 1 bis 3 |
| Schnittstellen | offene Schnittstellen unentgeltlich | Art. 30 Abs. 2 |
| Ausnahmen | teilweise nicht für individuell gebaute Dienste und Testversionen | Art. 31 Abs. 1 und 2 |
Stimmen Sie Löschung und Aufbewahrung ab: erst löschen, wenn Lohnkonten und Belege exportiert oder archiviert sind. Den Ablauf eines Wechsels beschreibt HR-System wechseln. Quelle: VO (EU) 2023/2854, EUR-Lex, Stand 24.10.2026. Keine Rechtsberatung.
Lohnunterlagen überdauern den Vertrag:
Aufbewahrung und Haftung regeln.
Fristen laufen unabhängig vom Anbieterwechsel. Der Vertrag muss sichern, dass Sie Unterlagen nach Vertragsende lesen und an Prüfer geben können.
Lohnkonto nach § 41 EStG und § 4 LStDV
Lohnkonten sind bis zum Ablauf des sechsten Kalenderjahres nach der letzten eingetragenen Lohnzahlung aufzubewahren (§ 41 Abs. 1 Satz 9 EStG). § 4 Abs. 2a LStDV verlangt, die Daten in amtlich vorgeschriebener Form über eine digitale Schnittstelle bereitzustellen.
- Export im amtlichen Format auch nach Vertragsende
- Lesezugriff oder Archiv bis Fristende
Belege und Entgeltunterlagen
Buchungsbelege acht Jahre, Bücher und Jahresabschlüsse zehn Jahre (§ 147 Abs. 3 AO). Liegen Daten bei einem Dritten, muss dieser der Finanzbehörde Einsicht oder Datenübertragung ermöglichen (§ 147 Abs. 6 AO). Entgeltunterlagen bis zum Ablauf des Jahres nach der letzten Prüfung (§ 28f Abs. 1 SGB IV).
- Mitwirkung bei Außen- und Betriebsprüfungen vereinbaren
Haftung und Ausfall der Lohnabrechnung
Haftungsgrenzen in AGB unterliegen § 307 BGB und dürfen wesentliche Pflichten nicht aushöhlen (Abs. 2 Nr. 2). Vorsatz lässt sich nie im Voraus ausschließen (§ 276 Abs. 3 BGB). Gegenüber Betroffenen haftet der Auftragsverarbeiter für eigene Pflichtverstöße (Art. 82 Abs. 2 DSGVO).
- Höchstbetrag mit Ausnahmen für Datenschutz und Datenverlust
- Kosten einer Notabrechnung zum Zahltag geregelt
Quellen: § 41 EStG, § 4 LStDV, § 147 AO, § 28f SGB IV, § 276 BGB, Stand 24.10.2026. Keine Rechtsberatung.
Zwölf Prüffragen
an den Anbieter vor der Unterschrift.
Stellen Sie die Fragen schriftlich an beide Finalisten, die Antworten werden Vertragsanlage. Wer sie schon in die HR Software Ausschreibung aufnimmt, vergleicht Antworten statt Zusagen.
Daten und Empfänger
- Welche Unterauftragsverarbeiter sehen Personaldaten, in welchem Land?
- Nutzen Sie unsere Daten für Training oder Produktanalysen?
- In wie vielen Stunden melden Sie eine Datenpanne?
SLA und Lohnlauf
- Wie haben Sie die Verfügbarkeit der letzten zwölf Monate gemessen?
- Wer ist am Zahltag erreichbar, in welcher Sprache?
- Wann war der letzte Wiederherstellungstest?
Laufzeit und Preis
- Welcher Index oder Deckel gilt für Preiserhöhungen?
- Sind gesetzliche Updates zum Jahreswechsel enthalten?
- Was kostet Unterstützung beim Wechsel bis 12. Januar 2027?
Ausstieg und Archiv
- Welche Daten exportieren Sie, in welchem Format?
- Wie lange haben wir nach Vertragsende Lesezugriff?
- Wie unterstützen Sie eine Außenprüfung nach dem Wechsel?
Zusammenstellung von Find-Your-HR. Wie Sie die Antworten bewerten, zeigt HR Software Demos bewerten.
Vertragscheckliste:
37 Prüfpunkte als CSV-Vorlage.
Gehen Sie den Vertrag mit Datenschutz, IT, Einkauf und HR gemeinsam durch. „Muss“ heißt: ohne diesen Punkt nicht unterschreiben. „Soll“ heißt: verhandeln und Abweichung begründen.
| Nr | Bereich | Prüfpunkt | Rechtsgrundlage | Muss/Soll |
|---|---|---|---|---|
| 01 | Vertrag | Rangfolge der Dokumente festgelegt | §§ 305 ff. BGB | Muss |
| 02 | Vertrag | Module, Länder, Beschäftigtenzahl, Umgebungen beschrieben | Vertragspraxis | Muss |
| 03 | Vertrag | Zusagen aus RFP und Demo als Anlage | Vertragspraxis | Muss |
| 04 | Vertrag | Online-AGB nur in datierter Fassung | § 305 BGB | Soll |
| 05 | AVV | Gegenstand, Dauer, Zweck, Datenarten, Betroffene | Art. 28 Abs. 3 Satz 1 DSGVO | Muss |
| 06 | AVV | Weisung inklusive Drittland, keine eigenen Zwecke | Art. 28 Abs. 3 Buchst. a, Abs. 10 | Muss |
| 07 | AVV | Vertraulichkeit aller Befugten | Art. 28 Abs. 3 Buchst. b | Muss |
| 08 | AVV | TOM-Anlage konkret, keine Absenkung | Art. 28 Abs. 3 Buchst. c, Art. 32 | Muss |
| 09 | AVV | Unterauftragsverarbeiter mit Land, Frist, Einspruch | Art. 28 Abs. 2 und 4 | Muss |
| 10 | AVV | Frist für Hilfe bei Betroffenenrechten | Art. 28 Abs. 3 Buchst. e | Muss |
| 11 | AVV | Datenpanne in Stunden gemeldet | Art. 33 Abs. 2 | Muss |
| 12 | AVV | Hilfe bei Folgenabschätzung | Art. 28 Abs. 3 Buchst. f | Soll |
| 13 | AVV | Löschung oder Rückgabe mit Nachweis, auch Backups | Art. 28 Abs. 3 Buchst. g | Muss |
| 14 | AVV | Prüfrechte über Zertifikate hinaus | Art. 28 Abs. 3 Buchst. h | Muss |
| 15 | AVV | Hinweis bei rechtswidriger Weisung | Art. 28 Abs. 3 Unterabsatz 2 | Soll |
| 16 | Drittland | Speicher- und Supportorte benannt | Art. 44 DSGVO | Muss |
| 17 | Drittland | DPF-Zertifizierung oder Standardvertragsklauseln je Empfänger | Beschluss (EU) 2023/1795, (EU) 2021/914 | Muss |
| 18 | Drittland | Ersatzweg und Sonderkündigung, falls Grundlage entfällt | Vertragspraxis | Soll |
| 19 | Betriebsrat | Funktions- und Auswertungsbeschreibung geliefert | § 87 Abs. 1 Nr. 6, § 90 BetrVG | Muss |
| 20 | Betriebsrat | Neue Funktionen vorab angekündigt | § 87 Abs. 1 Nr. 6 BetrVG | Soll |
| 21 | Beschäftigte | Tests mit synthetischen Daten | Art. 6 DSGVO, § 26 BDSG | Soll |
| 22 | KI | Liste der KI-Funktionen, je Funktion abschaltbar | Anhang III Nr. 4 KI-VO | Muss |
| 23 | KI | Kein Training mit Kundendaten ohne Vereinbarung | Art. 28 Abs. 3 Buchst. a DSGVO | Muss |
| 24 | KI | Betriebsanleitung und Protokolle für Hochrisiko-Funktionen | Art. 13 und 26 KI-VO | Soll |
| 25 | SLA | Verfügbarkeit je Monat mit Ausnahmen | Art. 32 Abs. 1 Buchst. b DSGVO | Muss |
| 26 | SLA | Keine Wartung an Lohnlauf-Tagen | § 23 SGB IV, § 41a EStG | Muss |
| 27 | SLA | Reaktions- und Lösungszeiten ab Meldung | Vertragspraxis | Muss |
| 28 | SLA | Gutschrift automatisch, Sonderkündigung bei Wiederholung | Vertragspraxis | Soll |
| 29 | SLA | RPO und RTO mit jährlichem Test | Art. 32 Abs. 1 Buchst. c DSGVO | Muss |
| 30 | Laufzeit | Laufzeitbeginn, Verlängerung, letzter Kündigungstag | Vertragspraxis | Muss |
| 31 | Preis | Preisanpassung mit Index oder Deckel und Sonderkündigung | § 307 BGB | Muss |
| 32 | Preis | Gesetzliche Updates zum Jahreswechsel enthalten | Vertragspraxis | Muss |
| 33 | Exit | Wechselfristen nach Data Act | Art. 25 Abs. 2 VO (EU) 2023/2854 | Muss |
| 34 | Exit | Exportliste, maschinenlesbares Format | Art. 25 Abs. 2 Buchst. e, Art. 30 | Muss |
| 35 | Exit | Wechselentgelte begrenzt, ab 12.01.2027 keine | Art. 29 VO (EU) 2023/2854 | Muss |
| 36 | Aufbewahrung | Zugriff auf Lohnkonten und Belege bis Fristende | § 41 EStG, § 147 AO, § 28f SGB IV | Muss |
| 37 | Haftung | Höchstbetrag mit Ausnahmen, Vorsatz nie ausgeschlossen | §§ 276, 307 BGB, Art. 82 DSGVO | Muss |
Semikolon-getrennt, UTF-8, mit Spalten für Erfüllung, Fundstelle im Vertrag und Notiz.
Zusammenstellung von Find-Your-HR, Stand 24.10.2026, keine Rechtsberatung. Allgemeine Punkte für jede Unternehmenssoftware: Softwarevertrag prüfen.
Häufige Fragen
direkt beantwortet.
Worauf achte ich im Vertrag mit einem HR Software Anbieter?
Achten Sie auf vier Dinge: einen vollständigen Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO, ein SLA mit monatlich gemessener Verfügbarkeit und geschützten Lohnlauf-Tagen, eine Preisanpassungsklausel mit Index oder Deckel und Exit-Regeln mit Exportumfang, Fristen und Lesezugriff für Aufbewahrungsfristen. Legen Sie außerdem die Rangfolge der Dokumente fest und übernehmen Sie Zusagen aus Demo und Angebot als Anlage. Prüfen Sie den Vertrag parallel für zwei Finalisten, solange beide um den Auftrag werben. Diese Antwort ist keine Rechtsberatung.
Brauche ich einen AV-Vertrag für HR-Software?
Ja, sobald der Anbieter personenbezogene Daten Ihrer Beschäftigten in Ihrem Auftrag verarbeitet. Das ist bei jeder Cloud-HR-Software der Fall und kann auch bei Fernwartung einer installierten Software zutreffen. Art. 28 Abs. 3 DSGVO verlangt dafür einen Vertrag, der schriftlich oder in elektronischem Format geschlossen wird (Abs. 9). Schließen Sie ihn vor dem ersten Echtdatensatz ab, also auch vor einem Test mit echten Personaldaten. Ohne AVV fehlt die Grundlage für den Einsatz.
Was steht in einem AV-Vertrag für HR-Software?
Ein AV-Vertrag legt Gegenstand, Dauer, Art und Zweck der Verarbeitung, Datenarten und Kategorien betroffener Personen fest. Nach Art. 28 Abs. 3 Buchst. a bis h DSGVO regelt er zusätzlich Weisungsbindung, Vertraulichkeit, Sicherheitsmaßnahmen nach Art. 32, Unterauftragsverarbeiter, Unterstützung bei Betroffenenrechten, Unterstützung bei Datenpannen und Folgenabschätzung, Löschung oder Rückgabe nach Vertragsende sowie Nachweise und Prüfrechte. Für HR-Software wichtig sind konkrete Fristen, etwa für die Meldung einer Datenpanne in Stunden und für die Hilfe bei Auskunftsanträgen in Arbeitstagen.
Was ist ein SLA bei HR-Software?
Ein Service Level Agreement (SLA) legt messbar fest, wie verfügbar die HR-Software ist und wie schnell der Anbieter bei Störungen reagiert und sie behebt. Es enthält Verfügbarkeit in Prozent, Messzeitraum, Wartungsfenster, Reaktions- und Lösungszeiten je Störungsklasse, Gutschriften sowie Werte zu Datenverlust und Wiederanlauf. Bei Payroll gehören die Lohnlauf-Tage als geschützte Zeitfenster hinein, weil Beiträge zur Sozialversicherung spätestens am drittletzten Bankarbeitstag des Monats fällig sind (§ 23 Abs. 1 SGB IV).
Welche Verfügbarkeit ist für HR-Software sinnvoll?
Eine feste gesetzliche Vorgabe gibt es nicht, wichtiger als der Prozentwert ist die Messung. Rechenbeispiel von Find-Your-HR für einen Monat mit 30 Tagen: 99,9 Prozent erlauben 43 Minuten Ausfall, 99,5 Prozent 3,6 Stunden, 99 Prozent 7,2 Stunden. Lassen Sie je Monat messen, Ausnahmen abschließend aufzählen und Wartung verbindlich außerhalb der Lohnlauf-Tage legen. Ein Ausfall von wenigen Stunden am Tag des Beitragsnachweises wiegt schwerer als ein längerer Ausfall Mitte des Monats.
Welche Vertrags- und Preiskonditionen für HR-Software ändern sich zum Beginn eines Kalenderjahres?
Zum 1. Januar ändern sich vor allem gesetzliche Werte der Lohnabrechnung, etwa Mindestlohn und Beitragsbemessungsgrenzen. Vertraglich zählen Laufzeitende, automatische Verlängerung, Kündigungsfrist und Preisanpassungsklausel, wenn sie am Kalenderjahr ausgerichtet sind. Feste Jahreswechsel-Termine für Preisanpassungen nennen die Hersteller nicht öffentlich (Stand Oktober 2026). Regeln Sie, dass gesetzliche Updates im Preis enthalten sind und vor dem ersten Lohnlauf im Januar bereitstehen. Die Werte für 2027 stehen auf der Seite zu den Kosten von HR-Software.
Was gilt beim Wechsel des HR-Software-Anbieters nach dem Data Act?
Der Data Act (VO (EU) 2023/2854) gilt seit 12. September 2025 und erfasst nach Erwägungsgrund 81 auch Software-as-a-Service. Der Vertrag muss eine Kündigungsfrist für den Wechsel von höchstens zwei Monaten, einen Übergang von höchstens 30 Kalendertagen und einen Datenabruf von mindestens 30 Kalendertagen vorsehen (Art. 25 Abs. 2). Ist der Übergang technisch nicht machbar, sind höchstens sieben Monate möglich (Abs. 4). Ab 12. Januar 2027 entfallen Wechselentgelte (Art. 29 Abs. 1).
Darf ein HR-Software-Anbieter Daten in die USA übermitteln?
Ja, wenn die Bedingungen der Art. 44 ff. DSGVO erfüllt sind. Für US-Empfänger, die im EU-US Data Privacy Framework zertifiziert sind, gilt der Angemessenheitsbeschluss (EU) 2023/1795 vom 10. Juli 2023. Das Gericht der EU hat die Klage dagegen am 3. September 2025 abgewiesen (T-553/23), das Rechtsmittel C-703/25 P ist beim EuGH anhängig (Stand 24.10.2026). Prüfen Sie die Zertifizierung je Empfänger in der offiziellen Liste und vereinbaren Sie einen Ersatzweg wie Standardvertragsklauseln.
Muss der Betriebsrat dem Vertrag mit dem HR-Software-Anbieter zustimmen?
Nein, den Vertrag schließt der Arbeitgeber allein. Mitbestimmungspflichtig ist aber die Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung zu überwachen (§ 87 Abs. 1 Nr. 6 BetrVG). Ohne Einigung entscheidet die Einigungsstelle. Über die Planung, auch beim Einsatz von KI, ist der Betriebsrat rechtzeitig zu unterrichten (§ 90 Abs. 1 Nr. 3). Verlangen Sie vom Anbieter deshalb vor der Unterschrift eine Funktions- und Auswertungsbeschreibung für die Betriebsvereinbarung.
Was muss der Vertrag zu KI-Funktionen in HR-Software regeln?
Er sollte jede KI-Funktion benennen, sie einzeln abschaltbar machen und das Training mit Ihren Daten ausschließen oder ausdrücklich regeln. Die KI-Verordnung (VO (EU) 2024/1689) stuft in Anhang III Nr. 4 KI für Einstellung, Beförderung, Kündigung und Leistungsbewertung als hochriskant ein. Nach der Verordnung (EU) 2026/1744 gelten die Pflichten dafür ab 2. Dezember 2027. Arbeitgeber müssen dann Arbeitnehmervertreter und Beschäftigte vorab informieren und Protokolle mindestens sechs Monate aufbewahren (Art. 26 Abs. 6 und 7).
Wie lange muss ich Lohnunterlagen nach einem Anbieterwechsel aufbewahren?
Die Fristen laufen unabhängig vom Wechsel weiter. Lohnkonten sind bis zum Ablauf des sechsten Kalenderjahres nach der letzten eingetragenen Lohnzahlung aufzubewahren (§ 41 Abs. 1 Satz 9 EStG), Buchungsbelege acht Jahre (§ 147 Abs. 3 AO), Entgeltunterlagen bis zum Ablauf des Kalenderjahres nach der letzten Betriebsprüfung (§ 28f Abs. 1 SGB IV). Der Vertrag sollte deshalb einen Export im amtlichen Format, Lesezugriff oder ein Archiv und die Mitwirkung des Anbieters bei Prüfungen regeln.
Wie weit darf ein HR-Software-Anbieter seine Haftung begrenzen?
Haftungsbegrenzungen in AGB sind zwischen Unternehmen möglich, unterliegen aber der Inhaltskontrolle nach § 307 BGB (§ 310 Abs. 1 BGB). Wesentliche Pflichten dürfen nicht so eingeschränkt werden, dass der Vertragszweck gefährdet ist (§ 307 Abs. 2 Nr. 2), und Vorsatz lässt sich nie im Voraus ausschließen (§ 276 Abs. 3). Verhandeln Sie einen Höchstbetrag mit Ausnahmen für Datenschutzverstöße und Datenverlust. Ob eine konkrete Klausel wirksam ist, klärt eine Juristin oder ein Jurist.
Vom geprüften Vertrag
zur begründeten Entscheidung.
Mit dem geprüften Vertrag folgt der HR Software Business Case. Das HR Selection Portal ist ein Werkzeug für die Softwareauswahl: Anforderungen sammeln, begründete Shortlist, Demos bewerten, Vertrag, alles nachvollziehbar dokumentiert. Unterstützung bei Auswahl und Verhandlung bietet die HR Software Beratung.