Cloud und Datenschutz: Dienste nach DSGVO sicher nutzen
Cloud und Datenschutz gehören bereits bei der Auswahl eines Dienstes zusammen. Verantwortliche müssen Zweck, Rollen, Vertragslage, Zugriffe, Speicherorte, Drittlandbezug, Löschung und technische Sicherheit prüfen, bevor personenbezogene Daten produktiv verarbeitet werden.
Kurzantwort
Die Nutzung eines Cloud-Dienstes ist nicht allein deshalb unzulässig, weil Daten außerhalb der eigenen IT verarbeitet werden. Zulässig ist sie, wenn die zugrunde liegende Verarbeitung rechtmäßig ist und Auswahl, Vertrag, Konfiguration, Sicherheit und Kontrolle den konkreten Risiken entsprechen.
Der Cloud-Anbieter ist häufig Auftragsverarbeiter. Das ist jedoch keine automatische Einordnung: Legt der Anbieter eigene Zwecke oder wesentliche Mittel fest, kann er für einzelne Vorgänge selbst oder gemeinsam verantwortlich sein. Vertragsbezeichnungen ersetzen diese Prüfung nicht.
Besonders wichtig sind ein belastbarer Vertrag nach Art. 28 DSGVO, transparente Unterauftragnehmer, beherrschbare Administrations- und Supportzugriffe, ein geprüftes Lösch- und Rückgabekonzept sowie eine gesonderte Prüfung möglicher Übermittlungen in Drittländer.
Grundverständnis
Was bedeutet Cloud-Datenschutz?
Cloud-Dienste stellen Speicher, Rechenleistung, Anwendungen oder technische Plattformen über Netze bereit. Dazu zählen einfache Dateiablagen ebenso wie E-Mail-Systeme, Fachverfahren, Personalsoftware, Kollaborationsplattformen, CRM-Systeme und vollständig betriebene Software-as-a-Service-Angebote. Sobald dabei Informationen über identifizierte oder identifizierbare Personen verarbeitet werden, gilt die DSGVO.
Datenschutzrechtlich wird nicht nur die Speicherung betrachtet. Auch Übertragung, Sicherung, Protokollierung, Support, Analyse, Wiederherstellung und Löschung sind Verarbeitungsvorgänge. Deshalb reicht die Aussage eines Anbieters, Daten lägen in einem deutschen oder europäischen Rechenzentrum, für eine vollständige Bewertung nicht aus.
Verantwortlich bleibt grundsätzlich die Organisation, die Zwecke und wesentliche Mittel der fachlichen Verarbeitung festlegt. Sie muss nach Art. 5 Abs. 2 DSGVO nachweisen können, warum der Dienst eingesetzt werden darf, welche Risiken geprüft wurden und wie die vereinbarten Schutzmaßnahmen tatsächlich umgesetzt werden.
Rechtmäßigkeit
Welche Rechtsgrundlage braucht der Cloud-Einsatz?
Die Cloud selbst ist regelmäßig nur das technische Mittel. Die Rechtsgrundlage richtet sich nach dem jeweiligen Fachzweck: Vertragsabwicklung kann auf Art. 6 Abs. 1 lit. b DSGVO beruhen, eine gesetzliche Pflicht auf lit. c, eine öffentliche Aufgabe auf lit. e in Verbindung mit dem einschlägigen Fachrecht. Für besondere Kategorien personenbezogener Daten ist zusätzlich Art. 9 DSGVO zu beachten.
Private Verantwortliche können für bestimmte Zwecke Art. 6 Abs. 1 lit. f DSGVO prüfen. Erforderlich sind ein berechtigtes Interesse, die Erforderlichkeit der konkreten Verarbeitung und eine Abwägung mit den Rechten der Betroffenen. Behörden können sich bei der Erfüllung ihrer Aufgaben nicht auf Art. 6 Abs. 1 lit. f DSGVO stützen.
Ein Vertrag mit dem Cloud-Anbieter schafft keine Rechtsgrundlage für die fachliche Verarbeitung. Auch ein technisch sicheres System darf nicht für unbestimmte Vorratszwecke, unnötige Analysen oder unzulässige Kontrollen genutzt werden. Zweck, Datenumfang und zulässige Funktionen müssen daher vor der Konfiguration feststehen.
Verantwortung
Ist der Anbieter immer Auftragsverarbeiter?
Verarbeitet der Anbieter personenbezogene Daten ausschließlich nach dokumentierten Weisungen des Kunden, liegt regelmäßig eine Auftragsverarbeitung nach Art. 28 DSGVO vor. Typische Beispiele sind Hosting, Datensicherung, technischer Betrieb und Support ohne eigene fachliche Zwecke. Der Verantwortliche darf nur Anbieter einsetzen, die hinreichende Garantien für geeignete Maßnahmen bieten.
Nutzt der Anbieter Daten dagegen für eigene Produktentwicklung, Werbung, übergreifende Analysen oder andere selbst bestimmte Zwecke, ist die Rollenlage gesondert zu beurteilen. Für solche Vorgänge kann der Anbieter eigener Verantwortlicher sein. Werden Zwecke und Mittel gemeinsam bestimmt, kommt eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO in Betracht.
Pauschale Vertragsklauseln wie „alle Daten werden nur im Auftrag verarbeitet“ genügen nicht, wenn Leistungsbeschreibung, Telemetrie, Nutzungsbedingungen oder technische Einstellungen etwas anderes zeigen. Die Prüfung muss Hauptleistung, Kontodaten, Diagnoseinformationen, Sicherheitsprotokolle und Supportdaten getrennt erfassen.
Art. 28 DSGVO
Was muss im Vertrag geregelt sein?
Ein Vertrag zur Auftragsverarbeitung muss Gegenstand und Dauer, Art und Zweck, Datenarten, betroffene Personen sowie Rechte und Pflichten des Verantwortlichen festlegen. Er muss Weisungsbindung, Vertraulichkeit, Sicherheit, Unterstützung bei Betroffenenrechten und Datenschutzverletzungen, Löschung oder Rückgabe sowie Nachweise und Kontrollen regeln.
Unterauftragnehmer dürfen nicht hinter einer allgemeinen Anbieterübersicht verschwinden. Der Verantwortliche benötigt die in Art. 28 DSGVO vorgesehene Information und eine echte Möglichkeit, Änderungen zu bewerten und gegebenenfalls zu widersprechen. Leistung, Ort und Funktion der wesentlichen Unterauftragnehmer müssen nachvollziehbar sein.
Standardverträge können verwendbar sein, wenn sie die tatsächliche Leistung vollständig abbilden. Unklare Rangfolgen zwischen Leistungsbedingungen, Datenschutzanhängen und Online-Dokumenten sind ein Risiko. Vertragsunterlagen sollten versioniert abgelegt und bei wesentlichen Änderungen erneut geprüft werden.
Internationale Verarbeitung
Wann liegt ein Drittlandtransfer vor?
Ein Drittlandbezug kann bestehen, obwohl der primäre Speicherort im Europäischen Wirtschaftsraum liegt. Auch ein administrativer oder technischer Zugriff aus einem Drittland, eine dortige Supportleistung oder die Einbindung eines Unterauftragnehmers kann eine Übermittlung im Sinne der Art. 44 ff. DSGVO auslösen.
Für jede relevante Übermittlung ist zunächst zu klären, ob ein Angemessenheitsbeschluss gilt. Andernfalls kommen insbesondere geeignete Garantien wie Standardvertragsklauseln in Betracht. Zusätzlich ist zu prüfen, ob Recht und Praxis des Empfängerlands den Garantien entgegenstehen und ob ergänzende technische oder organisatorische Maßnahmen erforderlich sind.
Eine bloße Auswahl „Region Europa“ löst diese Prüfung nicht automatisch. Der Verantwortliche benötigt eine belastbare Übersicht über Speicher-, Support-, Administrations- und Metadatenflüsse. Änderungen bei Konzernstrukturen, Unterauftragnehmern oder Betriebsmodellen können eine erneute Bewertung erforderlich machen.
Art. 32 DSGVO
Welche Schutzmaßnahmen sind entscheidend?
Die Schutzmaßnahmen richten sich nach Art, Umfang, Umständen und Risiken der Verarbeitung. Regelmäßig wichtig sind Mehrfaktor-Authentisierung, rollenbasierte Berechtigungen, Verschlüsselung bei Übertragung und Speicherung, sichere Schlüsselverwaltung, Protokollierung, Datensicherung, Wiederherstellungstests, Schwachstellenmanagement und ein verlässliches Verfahren für Sicherheitsvorfälle.
Datenschutzfreundliche Voreinstellungen nach Art. 25 DSGVO verlangen, unnötige Freigaben, öffentliche Links, externe Gastkonten, Telemetrie und Zusatzanalysen zunächst zu deaktivieren. Standardkonfigurationen des Anbieters dürfen nicht ungeprüft übernommen werden. Fachliche Administratoren und technische Administratoren sollten soweit möglich getrennte Rechte erhalten.
Die Verantwortung endet nicht mit der Inbetriebnahme. Konten, Berechtigungen, Exporte, Freigaben und Protokolle müssen risikoorientiert kontrolliert werden. Sicherheitsnachweise oder Zertifikate des Anbieters unterstützen die Prüfung, ersetzen aber nicht die Bewertung des konkreten Dienstes und seiner tatsächlichen Konfiguration.
Speicherbegrenzung
Wie werden Rückgabe und Löschung geregelt?
Für jede in der Cloud verarbeitete Datenart sind Zweck, Aufbewahrungsdauer, Fristbeginn und Löschverfahren festzulegen. Dabei müssen Produktivdaten, Papierkorb, Versionen, Archive, Protokolle und Sicherungskopien unterschieden werden. Ein allgemeiner Hinweis auf eine spätere technische Bereinigung ist kein ausreichendes Löschkonzept.
Beim Vertragsende muss feststehen, in welchem Format Daten exportiert werden können, wie lange ein Zugriff verbleibt und wann aktive Bestände sowie Sicherungen gelöscht werden. Der Anbieter sollte die Löschung nachweisen können. Gesetzliche Aufbewahrungspflichten des Verantwortlichen sind vor einer endgültigen Löschung zu berücksichtigen.
Auch ein Anbieterwechsel ist vorzubereiten. Fehlende Exportmöglichkeiten können zu einer faktischen Bindung führen und Betroffenenrechte oder gesetzliche Nachweise erschweren. Datenportabilität im technischen Sinn und das Recht auf Datenübertragbarkeit nach Art. 20 DSGVO sind dabei voneinander zu unterscheiden.
Kommunale Praxis
Was müssen bayerische Kommunen zusätzlich beachten?
Kommunen müssen neben der DSGVO das jeweilige Fachrecht, das Bayerische Datenschutzgesetz und besondere Geheimhaltungs- oder Sicherheitsanforderungen berücksichtigen. Meldedaten, Sozialdaten, Personalakten, Steuerdaten oder Unterlagen aus Ordnungswidrigkeitenverfahren dürfen nicht pauschal wie gewöhnliche Kontaktdaten bewertet werden.
Der BayLfD weist beim kommunalen IT-Outsourcing auf die Bedeutung einer eindeutigen Rollenverteilung, angemessener Sicherheitsanforderungen und kontrollierbarer Leistungserbringung hin. Beschaffung, Fachbereich, IT-Sicherheit und behördlicher Datenschutzbeauftragter sollten deshalb vor Zuschlag und nicht erst vor dem Produktivstart beteiligt werden.
Für neue Cloud-Fachverfahren ist zu dokumentieren, welche öffentliche Aufgabe erfüllt wird, welche Datenkategorien verarbeitet werden, welche Stellen zugreifen und wie Auskunft, Berichtigung, Löschung, Aktenführung und Aufbewahrung praktisch funktionieren. Bei voraussichtlich hohem Risiko ist vorab eine Datenschutz-Folgenabschätzung durchzuführen.
Beschaffung
Wie wird ein Cloud-Anbieter geprüft?
Eine belastbare Auswahl beginnt mit einem Anforderungskatalog. Er sollte Rollenmodell, Datenstandorte, Unterauftragnehmer, Drittlandzugriffe, Verschlüsselung, Schlüsselkontrolle, Authentisierung, Berechtigungen, Protokollierung, Notfallmanagement, Export, Löschung, Support und Nachweise erfassen. Marketingaussagen wie „DSGVO-konform“ beantworten diese Punkte nicht.
Danach sind Vertrag und Technik gemeinsam zu bewerten. Ein guter Vertrag kann eine riskante Grundeinstellung nicht ausgleichen; eine gute Technik heilt keine unzulässige Eigennutzung durch den Anbieter. Offene Punkte sind als Maßnahmen mit Verantwortlichen und Fristen zu dokumentieren.
Vor dem Echtbetrieb empfiehlt sich ein Test mit nicht personenbezogenen oder geeigneten Testdaten. Dabei werden Rollen, Freigaben, Schnittstellen, Exporte, Protokolle, Löschung und Wiederherstellung erprobt. Erst nach dokumentierter Freigabe sollten produktive Daten übernommen werden.
Praxisfehler
Welche Fehler treten besonders häufig auf?
Häufig wird nur der Rechenzentrumsstandort geprüft. Unbeachtet bleiben Supportzugriffe, Unterauftragnehmer, Telemetrie, Kontodaten und internationale Konzernleistungen. Ebenso problematisch sind globale Administratorrechte, dauerhaft offene Freigabelinks und fehlende Mehrfaktor-Authentisierung.
Ein weiterer Fehler ist die Gleichsetzung von Auftragsverarbeitungsvertrag und Gesamtfreigabe. Art. 28 DSGVO regelt den Dienstleister, nicht die Rechtmäßigkeit des fachlichen Zwecks. Auch Transparenz, Datenminimierung, Löschung, Betroffenenrechte und gegebenenfalls eine Datenschutz-Folgenabschätzung bleiben eigenständig zu prüfen.
Cloud-Projekte scheitern zudem an fehlenden Zuständigkeiten. Wenn niemand Vertragsänderungen, neue Unterauftragnehmer, Sicherheitsmeldungen oder Berechtigungen überwacht, veraltet die ursprüngliche Bewertung schnell. Jede Freigabe braucht deshalb einen verantwortlichen Dienstebesitzer und einen regelmäßigen Kontrolltermin.
Beispiel aus der Praxis
Praxisfall: Eine Kommune plant eine neue Cloud-Fachanwendung
Eine Kommune möchte eine bisher lokal betriebene Fachanwendung durch einen Cloud-Dienst ersetzen. Der Anbieter nennt einen Serverstandort in Deutschland und legt einen Standardvertrag zur Auftragsverarbeitung vor. Gleichzeitig bleiben Supportstandorte, Unterauftragnehmer, Protokolldaten und die Möglichkeiten zum Datenexport zunächst unklar.
Der Fall sollte nicht mit einem pauschalen Ja oder Nein beantwortet werden. Zuerst werden Fachzweck, Datenarten und Schutzbedarf erfasst. Danach sind Rollen, Vertragsunterlagen, Supportzugriffe, Drittlandbezüge, Berechtigungen, Löschung und Rückgabe zu klären. Die Fachstelle prüft außerdem, ob besondere gesetzliche Vorgaben für die betroffenen Daten gelten.
Das Beispiel zeigt eine allgemeine Prüfstruktur, keine abschließende Bewertung eines bestimmten Produkts. Ob der konkrete Dienst eingesetzt werden kann, hängt von den tatsächlichen Vertragsbedingungen, Funktionen, Einstellungen, Datenflüssen und Risiken ab. Die Entscheidung und ihre tragenden Gründe sollten von der verantwortlichen Stelle dokumentiert werden.
Umsetzung
Checkliste für den datenschutzgerechten Cloud-Einsatz
Fachzweck, Rechtsgrundlage, Datenkategorien, betroffene Personen und Schutzbedarf festlegen. Rollen des Anbieters je Verarbeitung bestimmen. Vertrag nach Art. 28 oder gegebenenfalls Vereinbarung nach Art. 26 DSGVO vollständig prüfen und Unterauftragnehmer erfassen.
Speicher-, Support- und Administrationsorte aufnehmen. Drittlandtransfers nach Art. 44 ff. DSGVO bewerten. Sicherheitsmaßnahmen, Berechtigungen, Verschlüsselung, Protokollierung, Notfallverfahren, Löschung, Export und Vertragsende konkret dokumentieren.
Datenschutzfreundlich konfigurieren, mit Testdaten erproben und vor Produktivstart freigeben. Beschäftigte rollenbezogen schulen. Änderungen des Dienstes, der Vertragsunterlagen, Unterauftragnehmer und Risiken fortlaufend überwachen und die Prüfung nachvollziehbar aktualisieren.
Ergebnis
Fazit
Cloud und Datenschutz schließen sich nicht aus. Entscheidend ist, dass der Verantwortliche nicht nur den Speicherort betrachtet, sondern den vollständigen Lebenszyklus der Daten und die tatsächlichen Einflussmöglichkeiten auf Anbieter und Konfiguration.
Eine belastbare Cloud-Prüfung verbindet Rechtsgrundlage, Rollen, Vertrag, Drittlandbewertung, Sicherheit, Löschung und laufende Kontrolle. Wer diese Punkte vor der Beschaffung klärt, vermeidet teure Nachbesserungen und schafft einen nachweisbaren, praxistauglichen Betrieb.
Häufige Fragen
FAQ zu Cloud-Dienste und Datenschutz
Sind Cloud-Dienste nach der DSGVO erlaubt?
Ja. Es gibt kein allgemeines Cloud-Verbot. Zulässig ist der Einsatz, wenn die fachliche Verarbeitung rechtmäßig ist und Rollen, Vertrag, Sicherheit, Drittlandtransfers, Löschung und Kontrolle angemessen geregelt sind.
Reicht ein Serverstandort in Deutschland?
Nein. Zusätzlich sind insbesondere Support- und Administrationszugriffe, Unterauftragnehmer, Telemetrie, Vertragsbedingungen, Sicherheit und mögliche Drittlandtransfers zu prüfen.
Braucht jeder Cloud-Dienst einen AV-Vertrag?
Nicht automatisch. Ein Vertrag nach Art. 28 DSGVO ist erforderlich, wenn der Anbieter personenbezogene Daten im Auftrag verarbeitet. Bei eigenen Zwecken oder gemeinsamer Festlegung kann eine andere Rollenverteilung vorliegen.
Ist ein Zugriff aus einem Drittland eine Übermittlung?
Ein Zugriff durch einen Empfänger in einem Drittland kann eine Übermittlung nach Art. 44 ff. DSGVO darstellen, auch wenn die Daten auf einem Server im EWR gespeichert bleiben.
Muss für einen Cloud-Dienst immer eine DSFA erstellt werden?
Nein. Eine Datenschutz-Folgenabschätzung ist erforderlich, wenn die konkrete Verarbeitung voraussichtlich ein hohes Risiko verursacht. Der Cloud-Einsatz allein löst sie nicht automatisch aus.
Was muss beim Anbieterwechsel passieren?
Daten müssen in einem nutzbaren Format zurückgegeben oder exportiert werden können. Danach sind aktive Bestände und Sicherungen nach den vereinbarten Fristen zu löschen und die Löschung nachweisbar zu machen.
Weiterlesen
Passende interne Verlinkung
Nachweise
Quellen
Datenschutz strukturiert umsetzen?
Die Beiträge vermitteln allgemeine Orientierung und ersetzen keine Prüfung des konkreten Einzelfalls. Die Compliance Werkstatt unterstützt Kommunen und Unternehmen bei Bestandsaufnahme, Dokumentation und praktischer Datenschutzorganisation.
Unverbindlich anfragen