Eine Unternehmens-Cloud ist nicht allein datenschutzkonform, weil ihre Server in Deutschland oder der EU stehen. Vor der Auswahl müssen Sie klären, welche personenbezogenen Daten verarbeitet werden, wer darauf zugreifen kann, welche Unterauftragnehmer beteiligt sind und wie sich Daten vollständig exportieren und löschen lassen. Der erste sinnvolle Schritt ist eine kurze Bestandsaufnahme der vorgesehenen Daten, Nutzergruppen und Schutzanforderungen; erst danach lässt sich ein Anbieter belastbar prüfen.
Für kleine Unternehmen besteht die Aufgabe aus zwei Teilen: Der Cloud-Dienst muss geeignete vertragliche und technische Voraussetzungen bieten, und Ihr Betrieb muss ihn richtig konfigurieren und nutzen. Ein Zertifikat, ein europäischer Firmensitz oder ein Werbeversprechen mit dem Begriff DSGVO nimmt Ihnen diese Verantwortung nicht ab.
Datenschutzkonformität beginnt beim geplanten Einsatzzweck
Die Auswahlkriterien hängen davon ab, was in der Cloud gespeichert oder verarbeitet werden soll. Eine Plattform für allgemeine Projektunterlagen benötigt andere Schutzmaßnahmen als eine Anwendung mit Beschäftigtendaten, Kundendokumenten, Gesundheitsangaben oder Ausweiskopien. Erfassen Sie vor dem Vergleich mindestens die Datenarten, betroffenen Personengruppen, Verarbeitungszwecke und vorgesehenen Zugriffsrollen.
Hilfreich ist eine Einteilung nach möglichem Schaden bei Verlust, unbefugtem Zugriff oder längerer Nichtverfügbarkeit. Enthält ein Datenbestand besondere Kategorien personenbezogener Daten im Sinne der DSGVO oder umfangreiche vertrauliche Unterlagen, reichen die Standardeinstellungen eines beliebigen Speicherdienstes möglicherweise nicht aus. Dann können zusätzliche Verschlüsselung, engere Berechtigungen, eine sorgfältigere Risikobewertung oder eine Datenschutz-Folgenabschätzung erforderlich werden. Ob eine Datenschutz-Folgenabschätzung notwendig ist, richtet sich nach Art, Umfang, Umständen und Risiken der Verarbeitung und nicht allein nach dem Produktnamen.
| Geplante Nutzung | Besonders zu prüfen | Nachweis im Betrieb |
|---|---|---|
| Gemeinsame Projektdateien | Freigaben, externe Links, Versionierung, Löschung | Rollenplan und Freigaberegeln |
| Kunden- oder Kontaktdaten | Zweckbindung, Zugriffsschutz, Export, Aufbewahrung | Verzeichnis der Verarbeitungstätigkeiten und Löschregeln |
| Personalunterlagen | Vertraulichkeit, getrennte Rollen, Protokollierung | Berechtigungsmatrix und regelmäßige Kontrolle |
| Daten mit erhöhtem Schutzbedarf | Verschlüsselung, Schlüsselverwaltung, Restrisiko, Notfallzugriff | Dokumentierte Risikobewertung und gegebenenfalls Folgenabschätzung |
Der Auftragsverarbeitungsvertrag muss zum Dienst passen
Verarbeitet der Cloud-Anbieter personenbezogene Daten für Ihr Unternehmen nach dessen Weisungen, liegt regelmäßig eine Auftragsverarbeitung vor. Dann benötigen Sie einen Vertrag nach Artikel 28 DSGVO. Maßgeblich ist nicht die Überschrift des Dokuments, sondern sein Inhalt.
Prüfen Sie, ob der Vertrag den tatsächlichen Cloud-Dienst, den Gegenstand und die Dauer der Verarbeitung, Datenarten, betroffene Personen sowie die Rechte und Pflichten Ihres Unternehmens abdeckt. Hinzukommen müssen unter anderem Regelungen zu Weisungen, Vertraulichkeit, Sicherheitsmaßnahmen, Unterstützung bei Betroffenenrechten und Datenschutzverletzungen sowie Rückgabe oder Löschung nach Vertragsende.
Allgemeine Geschäftsbedingungen und der Auftragsverarbeitungsvertrag dürfen sich nicht widersprechen. Kritisch wäre beispielsweise eine zugesagte Löschung im Datenschutzvertrag, während eine andere Vertragsregel dem Anbieter eine zeitlich unbestimmte weitere Nutzung einräumt. Halten Sie die bei Vertragsabschluss gültige Fassung zusammen mit Anlagen und der Beschreibung der Sicherheitsmaßnahmen ab. Ein bloßer Verweis auf jederzeit veränderbare Webseiten erschwert später den Nachweis.
Serverstandort, Anbieterzugriffe und Unterauftragnehmer getrennt bewerten
Der physische Speicherort beantwortet nur einen Teil der Datenschutzfrage. Auch Supportzugriffe, Fernwartung, Telemetrie, Kontoverwaltung und verbundene Konzerngesellschaften können einen internationalen Datenbezug herstellen. Fragen Sie deshalb nicht nur nach dem Rechenzentrum, sondern nach sämtlichen Orten und Unternehmen, von denen aus personenbezogene Daten verarbeitet oder administrativ erreicht werden können.
Der Anbieter sollte eine nachvollziehbare Liste seiner Unterauftragnehmer bereitstellen. Daraus müssen sich deren Aufgabe und Verarbeitungsort erkennen lassen. Außerdem ist zu prüfen, wie Sie über Änderungen informiert werden und welche vertraglichen Möglichkeiten bei einem neuen, aus Ihrer Sicht ungeeigneten Unterauftragnehmer bestehen.
Bei Übermittlungen in Staaten außerhalb des Europäischen Wirtschaftsraums ist die Rechtsgrundlage für den Drittlandtransfer gesondert zu untersuchen. Je nach Zielland und Empfänger können ein Angemessenheitsbeschluss oder geeignete Garantien wie Standardvertragsklauseln relevant sein. Standardvertragsklauseln ersetzen jedoch nicht automatisch die Bewertung der tatsächlichen Zugriffsmöglichkeiten und ergänzender Schutzmaßnahmen. Da Angemessenheitsentscheidungen und Transferbedingungen veränderlich sind, sollten Sie den betroffenen Staat und den verwendeten Übermittlungsmechanismus in den Unterlagen der Europäischen Kommission sowie in den Hinweisen der zuständigen Datenschutzaufsicht prüfen.
Technische Sicherheit muss überprüfbar beschrieben sein
Artikel 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau. Für die Anbieterauswahl bedeutet das: Eine pauschale Aussage wie sichere Verschlüsselung genügt nicht. Der Anbieter sollte verständlich darlegen, welche Daten bei der Übertragung und Speicherung geschützt werden, wie Schlüssel verwaltet werden und welche administrativen Zugriffe möglich bleiben.
- Multi-Faktor-Authentifizierung muss für Konten mit weitreichenden Rechten verfügbar und im Betrieb verbindlich aktivierbar sein.
- Rollen und Rechte sollten fein genug abgestuft sein, damit Beschäftigte nur auf die benötigten Bereiche zugreifen.
- Protokolle sollten sicherheitsrelevante Vorgänge wie Anmeldungen, Rechteänderungen, Freigaben und Löschaktionen nachvollziehbar machen.
- Mandantendaten müssen technisch und organisatorisch voneinander getrennt werden.
- Sicherungen und Wiederherstellungsverfahren müssen zum Ausfallrisiko Ihres Betriebs passen.
- Sicherheitsvorfälle müssen über einen festgelegten Meldeweg so weitergegeben werden, dass Ihr Unternehmen eigene Melde- und Informationspflichten beurteilen kann.
Zertifizierungen und unabhängige Prüfberichte können die Bewertung unterstützen, ersetzen aber keine Prüfung des Geltungsbereichs. Ein Bericht über ein Rechenzentrum sagt nicht zwingend etwas über die verwendete Anwendung, deren Support oder die Konfiguration Ihres Mandanten aus. Notieren Sie daher, welche Gesellschaft, welcher Dienst, welcher Standort und welcher Prüfzeitraum tatsächlich erfasst sind.
Die Verwaltungsfunktionen entscheiden über den sicheren Alltag
Viele Datenschutzprobleme entstehen nicht im Rechenzentrum, sondern durch zu breite Freigaben und unkontrollierte Benutzerkonten. Eine geeignete Cloud muss sich mit vertretbarem Aufwand verwalten lassen. Für kleine Betriebe ist eine verständliche Rechteverwaltung oft wertvoller als eine lange Liste selten genutzter Funktionen.
Legen Sie Rollen für Administration, reguläre Bearbeitung, reine Ansicht und externe Zusammenarbeit fest. Private Sammelkonten oder gemeinsam verwendete Zugangsdaten verhindern eine saubere Zuordnung und sollten vermieden werden. Beim Ausscheiden eines Mitarbeiters muss sich der Zugang zentral sperren lassen, ohne betriebliche Daten aus dessen Arbeitsbereich zu verlieren.
Besondere Aufmerksamkeit verdienen öffentliche Freigabelinks. Sinnvoll sind je nach Schutzbedarf Ablaufdaten, Kennwörter, Einschränkungen für Downloads und eine Übersicht aller aktiven Freigaben. Wenn ein System solche Links unbemerkt dauerhaft offenhält, passt es möglicherweise nicht zu vertraulichen Kunden- oder Personaldaten.
Löschung, Aufbewahrung und Anbieterwechsel vor dem Start klären
Eine Cloud muss Daten nicht nur speichern, sondern auch kontrolliert löschen können. Prüfen Sie, was beim Löschen einer Datei geschieht, wie lange Papierkorb, Versionen, Protokolle und Sicherungskopien fortbestehen und wann eine endgültige Entfernung vorgesehen ist. Gesetzliche oder vertragliche Aufbewahrungspflichten können einer sofortigen Löschung entgegenstehen; sie rechtfertigen aber keine unbegrenzte Speicherung aller Daten.
Für einen späteren Wechsel benötigen Sie einen brauchbaren Export. Testen Sie vor der Einführung, ob Dateien, Metadaten, Berechtigungen und gegebenenfalls Protokolle in verwendbarer Form herausgegeben werden können. Ein proprietäres Exportpaket ist wenig hilfreich, wenn es sich außerhalb des Dienstes nicht lesen oder einer Person beziehungsweise einem Geschäftsvorgang nicht mehr zuordnen lässt.
Der Vertrag sollte außerdem erkennen lassen, wie lange Daten nach Vertragsende abrufbar bleiben, wann sie gelöscht werden und ob die Herausgabe zusätzliche technische oder finanzielle Bedingungen hat. So vermeiden Sie, dass Datenschutz und Geschäftsbetrieb bei einer Kündigung gleichzeitig unter Zeitdruck geraten.
Eine belastbare Auswahl folgt einer festen Prüfreihenfolge
- Beschreiben Sie den Einsatzzweck, die Datenarten, die betroffenen Personen und den Schutzbedarf.
- Klären Sie die Rollen: Ihr Unternehmen bleibt bei einer Auftragsverarbeitung regelmäßig Verantwortlicher, während der Cloud-Dienst als Auftragsverarbeiter tätig wird. Abweichende Konstellationen müssen gesondert bewertet werden.
- Prüfen Sie Vertrag, Leistungsbeschreibung, Auftragsverarbeitungsvertrag und Anlagen gemeinsam auf Übereinstimmung.
- Ermitteln Sie Speicherorte, mögliche Fernzugriffe, Unterauftragnehmer und etwaige Drittlandtransfers.
- Bewerten Sie die technischen und organisatorischen Maßnahmen anhand Ihres Schutzbedarfs.
- Testen Sie mit einem Probe-Mandanten Rollen, Protokolle, Freigaben, Export und Löschung.
- Dokumentieren Sie die Entscheidung, offene Risiken, gewählte Einstellungen und die intern verantwortliche Person.
- Legen Sie einen Anlass für die nächste Prüfung fest, etwa eine wesentliche Vertragsänderung, einen neuen Unterauftragnehmer, eine geänderte Nutzung oder einen Sicherheitsvorfall.
Wenn ein Anbieter zentrale Unterlagen erst nach Vertragsschluss bereitstellt, Unterauftragnehmer nicht transparent benennt oder keine verwertbare Auskunft zu Löschung und Datenexport gibt, fehlt eine tragfähige Entscheidungsgrundlage. Ein niedriger Preis oder ein bekannter Markenname gleicht diese Lücke nicht aus.
Was der Betrieb nach der Beschaffung selbst regeln muss
Auch ein sorgfältig ausgewählter Dienst wird durch eine unsichere Einrichtung nicht datenschutzkonform. Bestimmen Sie eine verantwortliche Person für Benutzerkonten, Rechte, Vertragsunterlagen und Änderungsmitteilungen des Anbieters. In sehr kleinen Unternehmen kann dies die Geschäftsführung übernehmen; die Aufgabe sollte dennoch schriftlich zugeordnet sein.
Die Verarbeitung gehört in das Verzeichnis der Verarbeitungstätigkeiten, sofern die dortigen Voraussetzungen erfüllt sind. Zu dokumentieren sind unter anderem Zweck, Datenkategorien, Empfänger, vorgesehene Löschfristen und Sicherheitsmaßnahmen. Datenschutzinformationen gegenüber Kunden, Beschäftigten oder anderen Betroffenen müssen die Cloud-Nutzung zutreffend abbilden, soweit dies für die jeweilige Verarbeitung erforderlich ist.
Für den laufenden Betrieb brauchen Sie außerdem einen geregelten Eintritt, Rollenwechsel und Austritt von Nutzern. Kontrollieren Sie in angemessenen Abständen administrative Konten, externe Freigaben und ungewöhnliche Zugriffe. Die Häufigkeit richtet sich nach Risiko, Nutzerzahl und Änderungsdynamik; eine starre Prüffrist passt nicht zu jedem Betrieb.
Prüfunterlagen für die Auswahlentscheidung
- Beschreibung des Einsatzzwecks und der verarbeiteten Datenarten
- Hauptvertrag, Leistungsbeschreibung und Auftragsverarbeitungsvertrag samt Anlagen
- Liste der Unterauftragnehmer mit Aufgaben und Verarbeitungsorten
- Beschreibung der technischen und organisatorischen Maßnahmen
- Angaben zu Drittlandtransfers und dem jeweils verwendeten Übermittlungsmechanismus
- Nachweise zu unabhängigen Prüfungen mit erkennbarem Geltungsbereich
- Ergebnisse des Tests von Rollen, Freigaben, Protokollen, Export und Löschung
- Interne Freigabe mit benannter Verantwortung und dokumentierten Restrisiken
Bei besonders sensiblen Daten, schwer durchschaubaren internationalen Verarbeitungsketten oder ungeklärten Vertragsklauseln sollte die Bewertung durch den betrieblichen oder externen Datenschutzbeauftragten beziehungsweise durch spezialisierte Rechtsberatung ergänzt werden. Für allgemeine Prüfkriterien und aufsichtsrechtliche Orientierung sind die Veröffentlichungen der zuständigen Landesdatenschutzbehörde oder der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit geeignete Anlaufstellen. Die endgültige Auswahl bleibt eine risikobezogene Entscheidung für den tatsächlichen Einsatz in Ihrem Unternehmen.
