Wenn ein Cloud-Anbieter personenbezogene Daten in Ihrem Auftrag speichert oder verarbeitet, ist das in der Regel Auftragsverarbeitung. Sie brauchen dann einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, müssen den Anbieter vorab sorgfältig auswählen und bei Servern oder Zugriffen außerhalb der EU eine Grundlage für die Drittlandübermittlung sicherstellen (Art. 44 ff. DSGVO). Die Verantwortung für die Daten bleibt bei Ihnen.
Ihre Pflichten im Überblick
- Anbieter prüfen (Art. 28 Abs. 1 DSGVO): Der Anbieter muss hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Zertifikate wie ISO 27001, ein BSI-C5-Testat oder Prüfberichte helfen bei der Bewertung, ersetzen aber nicht Ihre eigene Prüfung.
- AVV abschließen (Art. 28 Abs. 3 DSGVO): mit Gegenstand, Dauer, Art und Zweck, Datenarten, Weisungsbindung, Vertraulichkeit, TOM, Regeln für Unterauftragsverarbeiter, Unterstützung bei Betroffenenrechten und Datenpannen, Löschung nach Vertragsende und Kontrollrechten.
- Unterauftragsverarbeiter prüfen: Große Anbieter setzen viele Subunternehmer ein. Sie müssen informiert werden und widersprechen können (Art. 28 Abs. 2 DSGVO).
- Drittlandübermittlung absichern: Werden Daten außerhalb von EU und EWR gespeichert oder ist ein Zugriff von dort möglich, etwa für Support, brauchen Sie eine Grundlage nach Kapitel V der DSGVO.
- Daten schützen (Art. 32 DSGVO): Verschlüsselung bei der Übertragung und bei der Speicherung, Mehr-Faktor-Anmeldung, Berechtigungskonzept, Protokollierung.
- Dokumentieren: Cloud-Dienste gehören ins Verzeichnis von Verarbeitungstätigkeiten und in die Datenschutzhinweise.
Cloud-Anbieter in den USA
Für die USA gilt seit Juli 2023 der Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework. Übermittlungen an zertifizierte US-Unternehmen sind damit ohne zusätzliche Garantien zulässig. Prüfen Sie die Zertifizierung auf der offiziellen Liste des US-Handelsministeriums. Das Gericht der EU hat den Beschluss im September 2025 bestätigt (EuG, T-553/23). Ein Rechtsmittel beim EuGH ist anhängig. Ist der Empfänger nicht zertifiziert, brauchen Sie Standarddatenschutzklauseln und eine Bewertung der Rechtslage im Empfängerland.
Wählen Sie, wo möglich, einen Speicherort in der EU. Das senkt das Risiko, beseitigt aber nicht jede Übermittlung, wenn der Anbieter aus einem Drittland auf die Daten zugreifen kann.
Verschlüsselung und Schlüsselverwaltung
Bei sensiblen Daten, etwa Gesundheits- oder Personaldaten, empfiehlt sich eine Verschlüsselung, bei der der Anbieter keinen Zugriff auf die Schlüssel hat. Dann kann er die Daten nicht im Klartext lesen. Das ist eine starke ergänzende Maßnahme, besonders bei Drittlandbezug.
Risiken aus Sicht der Aufsichtsbehörden
Die Orientierungshilfe Cloud Computing der Datenschutzkonferenz nennt unter anderem Kontrollverlust über die Daten, unklare Löschung, mangelnde Trennung der Daten verschiedener Kunden und die Abhängigkeit vom Anbieter. Regeln Sie deshalb auch den Ausstieg: Wie erhalten Sie Ihre Daten zurück, in welchem Format, und wie wird die Löschung bestätigt?
Häufige Fehler
- Kostenlose Cloud-Speicher oder private Konten werden dienstlich genutzt, ohne AVV und ohne Prüfung.
- Der AVV des Anbieters wird nicht abgeschlossen, obwohl er online bereitsteht.
- Freigabelinks bleiben dauerhaft öffentlich.
- Beschäftigte speichern Daten in Diensten, die niemand freigegeben hat.
- Nach dem Ende des Vertrags wird die Löschung nicht nachgehalten.
Checkliste
- Liste aller genutzten Cloud-Dienste erstellen, auch von Fachabteilungen.
- Je Dienst: AVV, Speicherort, Unterauftragsverarbeiter, Drittlandgrundlage prüfen.
- Freigabe-Regeln und Rechtevergabe festlegen.
- Beschäftigte schulen, welche Dienste erlaubt sind.
- Verzeichnis und Datenschutzhinweise aktualisieren.
Was in den Vertrag mit dem Anbieter gehört, erklärt der Artikel zum Auftragsverarbeitungsvertrag. Ob Ihre Cloud-Dienste sauber eingebunden sind, zeigt ein Datenschutz-Audit.