DSGVO Cloud Computing: Datenschutz in der Cloud

Ein AVV nach Art. 28 DSGVO regelt die Verarbeitung personenbezogener Daten durch einen Dienstleister. Sobald Ihr Unternehmen personenbezogene Daten in einer Cloud speichert oder verarbeitet, ist der Cloud-Anbieter Auftragsverarbeiter. Der AVV muss Gegenstand und Dauer der Verarbeitung, Art der Daten, Kategorien betroffener Personen sowie technisch-organisatorische Maßnahmen festlegen. Ohne gültigen AVV drohen Bußgelder bis 10 Mio. Euro oder 2 % des Jahresumsatzes.

Ja, aber unter strengen Voraussetzungen. Seit dem EU-US Data Privacy Framework (DPF) von 2023 ist der Datentransfer an zertifizierte US-Unternehmen wieder auf Basis eines Angemessenheitsbeschlusses möglich. Dennoch sollten Sie prüfen, ob Ihr Anbieter DPF-zertifiziert ist, ergänzende Schutzmaßnahmen wie Verschlüsselung einsetzen und ein Transfer Impact Assessment durchführen. Für nicht-zertifizierte Anbieter sind Standardvertragsklauseln (SCCs) mit zusätzlichen Garantien erforderlich.

Art. 32 DSGVO verlangt technische und organisatorische Maßnahmen nach dem Stand der Technik. Dazu gehören: Verschlüsselung personenbezogener Daten bei Übertragung und Speicherung, Zugriffskontrollen und Berechtigungsmanagement, Protokollierung von Zugriffen, regelmäßige Sicherheitstests und Backup-Strategien. Die konkreten Maßnahmen richten sich nach der Sensibilität der Daten und dem Risiko für die Betroffenen.

Eine DSFA nach Art. 35 DSGVO ist erforderlich, wenn die Cloud-Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen birgt. Das betrifft insbesondere die Verarbeitung besonderer Datenkategorien (Gesundheitsdaten, Finanzdaten), die umfangreiche systematische Überwachung und den Einsatz neuer Technologien. Die Aufsichtsbehörden haben Positivlisten veröffentlicht, die konkrete Verarbeitungstätigkeiten benennen, bei denen eine DSFA Pflicht ist.

Achten Sie auf folgende Kriterien: Serverstandort in der EU oder einem Land mit Angemessenheitsbeschluss, ISO 27001 oder SOC 2 Zertifizierung, Bereitschaft zum Abschluss eines AVV nach Art. 28 DSGVO, transparente Regelung zu Unterauftragsverarbeitern und Audit-Rechte. Europäische Alternativen wie IONOS, Hetzner oder OVHcloud bieten oft einfachere DSGVO-Compliance als US-Hyperscaler.

Das DPF ermöglicht seit Juli 2023 den Datentransfer an zertifizierte US-Unternehmen ohne zusätzliche Schutzmaßnahmen. Alle großen Cloud-Anbieter (AWS, Azure, Google Cloud) sind DPF-zertifiziert. Allerdings bleibt das Risiko einer erneuten Aufhebung durch den EuGH. Unternehmen sollten daher weiterhin ergänzende Schutzmaßnahmen implementieren und einen Plan B vorbereiten, falls das DPF wegfällt.

Sie müssen im Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) alle Cloud-Verarbeitungen dokumentieren. Dazu gehören der Zweck der Verarbeitung, die Kategorien der Daten und Betroffenen, Empfänger (Cloud-Anbieter und deren Unterauftragnehmer), Löschfristen und die technisch-organisatorischen Maßnahmen. Zusätzlich müssen AVVs, Transfer Impact Assessments und ggf. Datenschutz-Folgenabschätzungen dokumentiert und aufbewahrt werden.