DSGVO-konforme Cloud: Anforderungen, Nachweise, Auswahl
Welche Pflichten die Datenschutz-Grundverordnung bei Cloud-Diensten auslöst – und woran Sie einen Anbieter erkennen, der sie tatsächlich erfüllt.
Compliance-Übersicht als PDF
CLOUD Act, Schrems II, DSGVO-Cloud und Gaia-X kompakt auf 10 Seiten – mit Fakten, Auswirkungen, Checklisten und FAQ zum Weitergeben.
Was heißt „DSGVO-konforme Cloud“?
Cloud-Nutzung ist im Regelfall Auftragsverarbeitung nach Art. 28 DSGVO. Verantwortlich bleibt Ihre Organisation – der Anbieter verarbeitet Daten ausschließlich nach Ihrer Weisung und muss dies nachweisbar sicherstellen.
DSGVO-Konformität ist deshalb kein Siegel, sondern eine Kette überprüfbarer Zusagen: Auftragsverarbeitungsvertrag, technische und organisatorische Maßnahmen, Transparenz über Unterauftragsverarbeiter, Löschkonzept, Meldewege bei Datenschutzverletzungen und Unterstützung bei Betroffenenrechten.
Ein europäischer Anbieter ohne Drittlandbezug vereinfacht diese Kette erheblich, weil Transferprüfungen nach Kapitel V der DSGVO vollständig entfallen.
Die zentralen Pflichten im Überblick
- Art. 28
- Auftragsverarbeitungsvertrag mit allen Pflichtinhalten
- Art. 32
- Angemessene technische und organisatorische Maßnahmen
- Art. 30
- Verzeichnis von Verarbeitungstätigkeiten
- Art. 33/34
- Meldung von Datenschutzverletzungen binnen 72 Stunden
- Art. 15–20
- Auskunft, Löschung, Datenübertragbarkeit
- Kapitel V
- Prüfpflicht bei Drittlandübermittlungen
Worauf es in der Praxis ankommt
Die häufigsten Beanstandungen betreffen nicht die Technik, sondern fehlende Nachweise und unklare Verantwortlichkeiten.
Auftragsverarbeitungsvertrag
Muss Gegenstand, Dauer, Art und Zweck der Verarbeitung, Datenkategorien, Weisungsrechte, Löschung und Kontrollrechte konkret regeln – nicht nur den Gesetzestext wiederholen.
Unterauftragsverarbeiter
Eine vollständige, aktuelle Liste mit Sitz und Aufgabe ist Pflicht. Änderungen müssen vorab mitgeteilt werden, mit Widerspruchsmöglichkeit.
Löschung und Aufbewahrung
Löschfristen müssen technisch umsetzbar sein – inklusive Backups, Protokolldaten und Archiven.
Betroffenenrechte
Auskunfts- und Exportanfragen müssen fristgerecht bedienbar sein. Ein Selbstbedienungsexport in offenen Formaten reduziert den Aufwand deutlich.
Prüfliste für die Anbieterauswahl
Diese Punkte sollten Sie schriftlich bestätigt bekommen:
- Auftragsverarbeitungsvertrag nach Art. 28 DSGVO liegt vor und ist prüfbar.
- Verarbeitung, Backup und Protokollierung finden ausschließlich in der EU statt.
- Vollständige Liste der Unterauftragsverarbeiter inklusive Sitzland.
- Dokumentierte TOMs: Verschlüsselung, Zugriffskontrolle, Protokollierung, Notfallkonzept.
- Anerkannte Zertifizierungen wie ISO/IEC 27001 und BSI-orientierte Nachweise.
- Definierte Löschfristen und ein vollständiger Datenexport in offenen Formaten.
Häufige Fragen zur DSGVO in der Cloud
Ähnliche Fragen
Weiterführende Antworten rund um digitale Souveränität, Datenhoheit und Compliance.
Digitale Souveränität
Was bedeutet digitale Souveränität?
Die Fähigkeit einer Organisation, selbstbestimmt über Daten, Technologie und IT-Betrieb zu entscheiden – ohne rechtliche, technische oder wirtschaftliche Abhängigkeit von einzelnen Anbietern oder Drittstaaten.
Zur Definition und den vier DimensionenWie gelingt digitale Souveränität in der Praxis?
In sechs Schritten: Bestandsaufnahme, Risikobewertung, verbindliche Souveränitätskriterien, Anbieterauswahl, schrittweise Migration und laufende Überprüfung durch Audits und Exporttests.
Zum Schritt-für-Schritt-Leitfaden
Datenhoheit & souveräne Cloud
Was ist eine souveräne Cloud?
Eine Cloud-Umgebung mit europäischem Rechtsträger, Speicherung und Verarbeitung in der EU, Betrieb und Support aus der EU sowie voller Kundenhoheit über Schlüssel, Konfiguration und Datenexport.
Zur Checkliste mit zwölf KriterienWas bedeutet Datenhoheit?
Das Recht und die technische Möglichkeit, jederzeit selbst zu bestimmen, wer auf Daten zugreift, wo sie verarbeitet werden und in welcher Form sie das System wieder verlassen.
Zum Glossar der SouveränitätsbegriffeWo werden meine Daten gespeichert?
Ausschließlich im eigenen, ISO/IEC 27001-zertifizierten Rechenzentrum in Deutschland (Ahaus, Münsterland) – ohne Datentransfer in Drittländer.
Zu Sicherheit und Rechenzentrum
Compliance & Recht
Was bedeutet der US CLOUD Act für europäische Unternehmen?
US-Unternehmen müssen Daten auf Anforderung US-amerikanischer Behörden herausgeben – unabhängig vom Speicherort und auch über europäische Tochtergesellschaften.
Zur Themenseite US CLOUD ActWas bedeutet das Schrems-II-Urteil für Cloud-Dienste?
Datenübermittlungen in die USA erfordern zusätzliche Schutzmaßnahmen und eine Einzelfallprüfung. Verarbeitung ausschließlich in der EU vermeidet diese Pflichten.
Zur Themenseite Schrems IIWelche Rolle spielen Gaia-X und der BSI IT-Grundschutz?
Gaia-X liefert ein europäisches Rahmenwerk für interoperable Cloud-Dienste, der BSI IT-Grundschutz konkrete Bausteine für die technische und organisatorische Absicherung.
Zur Themenseite Gaia-X
Alternativen & Umstieg
Gibt es eine souveräne Alternative zu Microsoft 365?
xworks.365 deckt E-Mail, Kalender, Kontakte, Dateien, Dokumentbearbeitung und Videokonferenzen in einer integrierten Plattform ab – betrieben von einem deutschen Unternehmen in Deutschland.
Zu allen Funktionen im ÜberblickWie vermeide ich Vendor Lock-in?
Offene Standards (IMAP, SMTP, CalDAV, CardDAV, WebDAV), offene Dokumentformate und ein vollständiger Selbstbedienungs-Export – vertraglich bereits bei der Auswahl geregelt.
Zum Vergleich souveräner Cloud-AnsätzeWie sieht eine souveräne Umstellung in der Praxis aus?
Eine Modellrechnung für eine kommunale Verwaltung zeigt Architektur, Migrationsplan und messbare Kennzahlen einer souveränen Collaboration-Plattform.
Zur Case Study öffentliche Verwaltung