Die Auslagerung von Daten in die Cloud ist verlockend: weniger Hardwarekosten, mehr Flexibilität. Doch wie bleibt das Cloud-Computing sicher und Cloud-Dienste DSGVO-konform? In diesem Artikel erfährst du, welche Kriterien bei der Anbieterauswahl wichtig sind (z. B. Serverstandort in der EU), warum du einen Auftragsverarbeitungsvertrag (AVV) brauchst und wie du durch Verschlüsselung, Rollenverwaltung und Monitoring die Datenhoheit behältst. Gerade bei US-Clouds gelten nach dem Schrems-II-Urteil strengere Anforderungen. Mit den richtigen Schritten lassen sich Cloud-Vorteile nutzen, ohne gegen die DSGVO zu verstoßen.
Bulletpoints – Cloud-Dienste DSGVO-konform nutzen
- Auftragsverarbeitungsvertrag mit Cloud-Anbieter abschließen
- Server in EU bevorzugt (oder ausreichende Garantien)
- Verschlüsselung (Transport + at rest)
- Rollen- und Rechtemanagement in der Cloud
1. Warum Cloud-Computing?
- Skalierbarkeit: Rechne- und Speicherressourcen jederzeit erweiterbar.
- Kostensenkung: Keine teuren Serverinfrastrukturen im eigenen Haus.
- Ortsunabhängiger Zugriff: Mitarbeiter können weltweit auf Daten zugreifen.
Doch Datenschutzrechtlich bedeutet das, dass du einen externen Anbieter in deine Datenverarbeitung einbindest. Somit brauchst du Auftragsverarbeitung (Art. 28 DSGVO).
2. Wesentliche Kriterien für DSGVO-Konformität
- Serverstandort: Achte auf Hoster innerhalb des EWR oder auf sichere Drittstaaten mit Standardvertragsklauseln.
- Auftragsverarbeitungsvertrag (AVV): Regelt Art, Umfang, Zweck der Datenverarbeitung und Subunternehmer-Einsatz.
- Technische Sicherheit: Verschlüsselung at rest und in transit, Zugriffsmanagement, redundante Backups.
- Rechenschaftspflicht: Der Anbieter sollte Auditberichte oder Zertifikate (ISO 27001) vorweisen können.
3. US-Clouds nach Schrems II
Das EuGH-Urteil „Schrems II“ hat das Privacy Shield zwischen EU und USA gekippt. Nun sind Standardvertragsklauseln oft die Basis. Allerdings muss der Anbieter zusätzliche Garantien bieten, falls US-Behörden Zugriff fordern können. Du als Verantwortlicher solltest prüfen, ob der Anbieter End-to-End-Verschlüsselung anbietet oder ob es spezielle EU-Regionen gibt, in denen Daten gehostet werden.
4. Praktische Umsetzung
- Verzeichnis von Verarbeitungstätigkeiten: Liste die Cloud-Dienstleistung auf, samt Rechtsgrundlage.
- Klar definierte Zugriffsrechte: Wer in deinem Team darf was sehen/ändern?
- Löschkonzept: Was passiert, wenn du kündigst oder Daten veraltet sind?
- Monitoring: Behalte Logs im Blick, erstelle Alarmmechanismen für ungewöhnliche Zugriffe.
FAQ – Cloud-Dienste DSGVO-konform nutzen
AWS bietet EU-Regionen und Standardvertragsklauseln an. Du musst dennoch dein eigenes Audit machen und den AVV abschließen.
Rein rechtlich möglich, wenn du die DSGVO-Vorgaben einhältst (z. B. ADV, verschlüsselte Übertragung, ggf. Business-Accounts mit EU-Servern).
Auch hier gelten die gleichen Regeln: AVV, Datenschutzkonzept, Löschfristen beachten.
