Cloud Computing erfüllt die Anforderungen der DSGVO dann, wenn personenbezogene Daten ausschließlich auf Servern innerhalb der EU oder des EWR verarbeitet werden, ein rechtsgültiger Auftragsverarbeitungsvertrag abgeschlossen wurde und der Anbieter nachweislich geeignete technische und organisatorische Schutzmaßnahmen umsetzt. Diese Anforderungen gelten für Unternehmen jeder Größe, die Cloud-Dienste zur Verarbeitung personenbezogener Daten einsetzen. Die folgenden Abschnitte beantworten die wichtigsten Fragen rund um DSGVO-konformes Cloud Computing.
Für Cloud-Dienste gelten dieselben DSGVO-Grundsätze wie für jede andere Form der Datenverarbeitung: Zweckbindung, Datensparsamkeit, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit. Zusätzlich entstehen bei der Cloud-Nutzung spezifische Pflichten, weil personenbezogene Daten an einen externen Dienstleister übertragen werden, der als Auftragsverarbeiter handelt.
Konkret bedeutet das für Unternehmen, die Cloud-Dienste nutzen:
Wichtig: Die Verantwortung für die DSGVO-Konformität liegt beim datenverarbeitenden Unternehmen, nicht allein beim Cloud-Anbieter. Ein zertifizierter Anbieter entbindet Sie nicht von Ihrer eigenen Rechenschaftspflicht.
Personenbezogene Daten dürfen grundsätzlich ohne zusätzliche Absicherung nur innerhalb der Europäischen Union (EU) oder des Europäischen Wirtschaftsraums (EWR) gespeichert werden. Eine Übermittlung in Drittstaaten außerhalb des EWR ist nur unter bestimmten Voraussetzungen zulässig.
Für Datentransfers in Drittstaaten sieht die DSGVO folgende Mechanismen vor:
In der Praxis empfiehlt sich für Unternehmen in Deutschland die Wahl eines Anbieters mit Rechenzentren ausschließlich in Deutschland oder der EU. Das minimiert rechtliche Unsicherheiten und vereinfacht die Nachweispflichten gegenüber Aufsichtsbehörden erheblich. Achten Sie bei der Anbieterauswahl darauf, dass der Speicherort vertraglich festgelegt ist und nicht einseitig geändert werden kann.
Ein Auftragsverarbeitungsvertrag (AVV) ist ein rechtlich verbindlicher Vertrag zwischen dem Verantwortlichen (Ihrem Unternehmen) und dem Auftragsverarbeiter (dem Cloud-Anbieter), der regelt, wie personenbezogene Daten verarbeitet werden dürfen. Der AVV ist immer dann Pflicht, wenn ein externer Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeitet, Art. 28 DSGVO schreibt ihn zwingend vor.
Ein rechtsgültiger AVV muss mindestens folgende Inhalte umfassen:
Viele Cloud-Anbieter stellen standardisierte AVV-Dokumente bereit. Diese sollten Sie sorgfältig prüfen und bei Bedarf anpassen, bevor Sie einen Cloud-Dienst produktiv einsetzen. Fehlt ein AVV, liegt ein Datenschutzverstoß vor, der Bußgelder nach sich ziehen kann.
Technische und organisatorische Maßnahmen (TOM) sind konkrete Sicherheitsvorkehrungen, die Cloud-Anbieter und Unternehmen gemeinsam umsetzen müssen, um personenbezogene Daten vor unbefugtem Zugriff, Verlust oder Manipulation zu schützen. Art. 32 DSGVO verpflichtet beide Seiten zur Umsetzung eines dem Risiko angemessenen Schutzniveaus.
Auf technischer Ebene umfassen relevante Schutzmaßnahmen unter anderem:
Auf organisatorischer Ebene sind folgende Maßnahmen relevant:
Hinweis: Die tatsächliche Wirksamkeit von TOM hängt von der konkreten Konfiguration und dem Betrieb ab. Verlassen Sie sich nicht allein auf Herstellerangaben, sondern prüfen Sie die Maßnahmen im Rahmen Ihrer eigenen Risikobeurteilung.
Kein Cloud-Modell ist von vornherein DSGVO-konform oder nicht konform. Die Datenschutzkonformität hängt nicht vom Deployment-Modell ab, sondern davon, wie der Datenschutz im jeweiligen Modell umgesetzt wird. Dennoch bieten unterschiedliche Modelle unterschiedliche Kontrollmöglichkeiten.
Eine Einordnung der gängigen Modelle:
Für Unternehmen mit hohen Datenschutzanforderungen, etwa im Gesundheitswesen oder bei öffentlichen Einrichtungen, empfiehlt sich häufig eine Private Cloud oder ein Hybrid-Ansatz mit klar definierten Datenhaltungsregeln.
Einen DSGVO-konformen Cloud-Anbieter wählt man aus, indem man systematisch Speicherort, Zertifizierungen, Vertragsunterlagen und Sicherheitsmaßnahmen prüft. Die Auswahl sollte dokumentiert und begründbar sein, da Sie als Verantwortlicher gegenüber Aufsichtsbehörden nachweisen müssen, warum Sie diesen Anbieter gewählt haben.
Eine strukturierte Prüfliste für die Anbieterauswahl:
Zusätzlich empfiehlt sich eine sichere Netzwerkanbindung an den Cloud-Dienst, um Übertragungsrisiken zu minimieren. Beziehen Sie bei der Entscheidung Ihren Datenschutzbeauftragten ein, sofern ein solcher bestellt ist.
Als erfahrenes IT-Systemhaus unterstützen wir Unternehmen dabei, Cloud-Lösungen rechtssicher und datenschutzkonform einzuführen und zu betreiben. Unsere eigenen Rechenzentren in Deutschland sind nach ISO 9001 und ISO 27001 zertifiziert und erfüllen damit zentrale Anforderungen der DSGVO. Unser Portfolio an Cloud- und Applikationsdiensten wird ausschließlich auf deutschen Servern betrieben.
Konkret unterstützen wir Sie bei folgenden Aufgaben:
Sprechen Sie uns an: Nehmen Sie Kontakt auf und lassen Sie sich von unseren Experten beraten, wie Sie Cloud Computing in Ihrem Unternehmen DSGVO-konform gestalten können.
