DSGVO-konforme Cloud: Was Unternehmen prüfen müssen
DSGVO-konforme Cloud: Was der Begriff wirklich bedeutet (AVV, TOMs, Drittlandtransfer), die US-Cloud-Frage nüchtern beantwortet und eine 10-Punkte-Checkliste zur Anbieterprüfung.
- Eine DSGVO-konforme Cloud ist kein Siegel, sondern das Ergebnis mehrerer Bausteine – eines Auftragsverarbeitungsvertrags (AVV), technischer und organisatorischer Maßnahmen (TOMs) und der sauberen Regelung von Datenübermittlungen in Drittländer.
- Ein AVV nach Art. 28 DSGVO ist Pflicht – auch bei US-Anbietern. Seit dem Angemessenheitsbeschluss vom 10. Juli 2023 dürfen personenbezogene Daten an Organisationen fließen, die unter dem EU-US Data Privacy Framework zertifiziert sind; das DPF regelt aber nur den Transfer und ersetzt keinen Vertrag, und die Zertifizierung muss das übermittelnde Unternehmen vorab selbst prüfen.
- Verantwortlich bleibt immer das nutzende Unternehmen: Der Anbieter liefert Technik und Nachweise, die Rechtmäßigkeit der Verarbeitung schuldet der Verantwortliche – bei Verstößen bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes.
- 54 Prozent der deutschen Unternehmen ab 10 Beschäftigten nutzten 2025 kostenpflichtige Cloud-Dienste (Statistisches Bundesamt) – die Frage ist damit nicht mehr ob, sondern wie sauber.
- Deutsches oder europäisches Hosting ist die einfachste Antwort auf die Drittland-Frage: kein Transfer, kein DPF-Nachweis, kein CLOUD-Act-Thema.
„Ist das DSGVO-konform?” – kaum eine Frage wird bei der Cloud-Nutzung häufiger gestellt und seltener klar beantwortet. Das liegt daran, dass eine DSGVO-konforme Cloud kein Häkchen ist, das ein Anbieter setzt, sondern das Ergebnis mehrerer Bausteine, für die am Ende Ihr Unternehmen verantwortlich ist. Dieser Beitrag erklärt, was wirklich dahintersteckt, beantwortet die US-Cloud-Frage nüchtern und liefert eine 10-Punkte-Checkliste, mit der Sie jeden Anbieter prüfen können.
Was eine DSGVO-konforme Cloud wirklich ausmacht
DSGVO-konforme Cloud bedeutet: Ein Cloud-Dienst wird so vertraglich, technisch und dokumentarisch eingebunden, dass die Verarbeitung personenbezogener Daten darin den Anforderungen der DSGVO genügt. Diese Einbindung ruht auf vier Säulen:
- Auftragsverarbeitungsvertrag (AVV): Der Vertrag, der regelt, wie der Anbieter in Ihrem Auftrag mit personenbezogenen Daten umgeht. Ohne AVV keine rechtmäßige Auftragsverarbeitung.
- Technische und organisatorische Maßnahmen (TOMs): Verschlüsselung, Zugriffskontrolle, Protokollierung – die konkreten Schutzmaßnahmen des Anbieters.
- Drittlandtransfer: Werden Daten außerhalb der EU verarbeitet, braucht es eine Rechtsgrundlage dafür.
- Subprozessoren: Auch die Dienstleister Ihres Anbieters müssen sauber eingebunden sein.
Der AVV ist dabei kein Formular, sondern hat einen gesetzlich vorgegebenen Mindestinhalt. Art. 28 DSGVO verlangt unter anderem, dass Gegenstand, Dauer, Art und Zweck der Verarbeitung benannt sind, dass der Auftragsverarbeiter nur auf dokumentierte Weisung handelt, dass Unterauftragsverarbeiter nur mit Genehmigung eingesetzt werden und dass die Daten nach Vertragsende gelöscht oder zurückgegeben werden. Fehlt einer dieser Punkte, ist der Vertrag im Prüffall angreifbar – unabhängig davon, wie gut die Technik dahinter ist.
Wer wofür haftet: die geteilte Verantwortung
Der häufigste Denkfehler im Mittelstand: „Der Anbieter ist zertifiziert, also sind wir sauber.” Das ist die halbe Wahrheit. Der Anbieter schuldet Ihnen sichere Infrastruktur und Nachweise darüber; die Rechtmäßigkeit der Verarbeitung schulden Sie als Verantwortlicher. Das BSI formuliert das im Kriterienkatalog C5 ausdrücklich: Anbieter, Auditoren und Kunden haben jeweils eine eigene Mitwirkungspflicht hinsichtlich der Informationssicherheit. Ein C5-Testat ist deshalb eine Orientierung für die Anbieterauswahl und eine Grundlage für Ihr eigenes Risikomanagement – kein Ersatz dafür.
| Frage | Wer liefert | Was Sie selbst tun müssen |
|---|---|---|
| Sichere Rechenzentren, Verschlüsselung, Zertifikate | Anbieter | Nachweise einfordern und ablegen |
| Auftragsverarbeitungsvertrag | Anbieter stellt bereit | Prüfen, unterzeichnen, aufbewahren |
| Zugriffsrechte und Rollen | Sie | Rechtevergabe dokumentieren, regelmäßig prüfen |
| Verzeichnis der Verarbeitungstätigkeiten | Sie | Jeden Cloud-Dienst eintragen |
| Löschung bei Austritt oder Vertragsende | beide | Löschkonzept festlegen, Umsetzung belegen |
Genau an dieser Grenze scheitern die meisten Prüfungen – nicht am Anbieter, sondern an fehlender Dokumentation auf Kundenseite. Wer das ordentlich führt, hat im Ernstfall eine Antwort statt einer Suche. Wie das im Zusammenspiel mit anderen Sicherheitsanforderungen aussieht, zeigt unser IT-Sicherheitskonzept für den Mittelstand.
Datensicherheit in der Cloud
DSGVO-Konformität ist die rechtliche Seite; die technische Datensicherheit ist die andere – und beide gehören zusammen. Wenn sensible Daten in der Cloud liegen, entscheidet die Sicherheit der Cloud-Lösung über das Risiko: Werden die Daten verschlüsselt übertragen und auf den Servern verschlüsselt gespeichert? Bietet der Cloud-Speicher eine Ende-zu-Ende-Verschlüsselung für besonders schützenswerte Inhalte? Nach welchem Sicherheitsstandard – etwa ISO 27001 oder BSI C5 – arbeitet der Anbieter?
Ein seriöser Anbieter weist diese Punkte nach. Zur Datensicherheit gehört auch der Schutz vor Datenverlust: regelmäßige Backups, damit ein versehentliches Löschen oder ein Angriff nicht zum Totalverlust führt. Ein verbreiteter Irrtum ist, die Cloud sei selbst schon das Backup – warum das nicht trägt, steht in unserer Backup-Strategie für den Mittelstand.
Und schließlich die Zugangssicherung: Ein starkes Passwort allein genügt nicht, Multi-Faktor-Authentifizierung ist Pflicht. So verbindet sich die Einhaltung der DSGVO mit realer Sicherheit – Cloud Computing bringt Flexibilität, aber erst mit einem soliden Sicherheitsfundament wird daraus ein Vorteil statt eines Risikos.
Die US-Cloud-Frage nüchtern
Kaum ein Thema sorgt für mehr Unsicherheit als die Nutzung amerikanischer Cloud-Dienste. Die Fakten: Der Europäische Gerichtshof kippte 2020 das „Privacy Shield”. Am 10. Juli 2023 hat die Europäische Kommission den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (DPF) angenommen. Seitdem können personenbezogene Daten in die USA fließen, ohne dass weitere Übermittlungsinstrumente oder zusätzliche Maßnahmen nötig wären – aber nur an Organisationen, die unter dem DPF zertifiziert sind. Die Bundesbeauftragte für den Datenschutz stellt dabei klar: Ob die Zertifizierung tatsächlich vorliegt, müssen Unternehmen in der EU vorab selbst prüfen. Die Prüfung dauert zwei Minuten – die offizielle Teilnehmerliste des US-Handelsministeriums steht unter dataprivacyframework.gov. Das Ergebnis gehört mit Datum in Ihre Akte.
Ein Restrisiko bleibt: Der US-CLOUD-Act verpflichtet US-Provider zur Herausgabe von Daten – auch wenn diese in europäischen Rechenzentren liegen. Und der Angemessenheitsbeschluss ist kein Naturgesetz: Zwei Vorgängerregelungen wurden vom EuGH gekippt. Wer heute allein auf das DPF baut, sollte wissen, wie sein Plan B aussieht.
Ein zweiter Punkt wird regelmäßig übersehen: Auch ein Fernzugriff aus einem Drittland ist eine Übermittlung. Wenn der Support Ihres Anbieters aus Indien oder den USA auf Systeme schaut, in denen Personendaten liegen, ist die Drittland-Frage gestellt – selbst wenn die Server in Frankfurt stehen. Fragen Sie deshalb nicht nur nach dem Speicherort, sondern nach dem Ort des Zugriffs.
Microsoft 365 DSGVO-konform betreiben
Microsoft 365 ist der Standard im Mittelstand – und die häufigste Quelle der Frage „geht das überhaupt datenschutzkonform?”. Die Antwort: Ja, aber nicht von selbst. Nötig sind der AVV (Teil der Microsoft-Verträge), die richtigen Einstellungen zu Speicherort und Zugriff sowie dokumentierte Maßnahmen. Konkret heißt das: Datenresidenz in der EU wählen, wo die Lizenz sie hergibt, Telemetrie- und Diagnosedaten bewusst konfigurieren, Aufbewahrungs- und Löschfristen in Purview festlegen, MFA erzwingen und die Freigaberechte in SharePoint und Teams so einstellen, dass nicht jeder Mitarbeitende versehentlich anonyme Links nach außen erzeugt.
Die meisten unserer Neukunden haben Microsoft 365 längst. Genutzt wird davon E-Mail und vielleicht Word. Der Rest liegt brach, obwohl er bezahlt ist.
Jens HagelGründer & Geschäftsführer
Das gilt auch für die Datenschutz-Werkzeuge: Aufbewahrungsrichtlinien, Vertraulichkeitsbezeichnungen und Zugriffsprotokolle sind in den meisten Lizenzen enthalten und in den meisten Unternehmen unbenutzt. Wie eine Microsoft-365-Umgebung datenschutzsauber aufgesetzt wird, ist Teil einer guten Betreuung – nicht etwas, das man einmalig anhakt. Und beim Austritt von Mitarbeitenden entscheidet sich, ob das im Alltag trägt: Was dabei zu passieren hat, steht in unserer Offboarding-Checkliste nach DSGVO.
Cloud-Anbieter und Serverstandort
Die Wahl des Cloud-Anbieters entscheidet über vieles – der wichtigste Hebel ist der Serverstandort. Ein Anbieter mit Servern in der EU löst die Drittland-Frage von selbst. Ob Dropbox, Google Drive oder Microsoft OneDrive: Bei jedem gängigen Dienst für Dateien in der Cloud lohnt der Blick auf Serverstandort und Zertifizierung, etwa nach ISO 27001.
DSGVO-konforme Cloud-Lösungen zeichnen sich durch dieselben Merkmale aus: starke Verschlüsselung, Server in der EU, zertifizierter Betrieb, klare Regeln zum Speicherort. Für besonders sensible Daten kann eine Private Cloud gegenüber der geteilten Public Cloud mehr Kontrolle bieten. Entscheidend bleibt, dass die Daten vor unbefugtem Zugriff geschützt sind – denn der Bußgeldrahmen nach Art. 83 DSGVO reicht bei Verstößen gegen die Grundsätze der Verarbeitung bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
10-Punkte-Checkliste zur Anbieterprüfung
Prüfen Sie jeden Cloud-Anbieter anhand dieser Punkte – und halten Sie das Ergebnis schriftlich fest, denn genau danach fragt die Aufsichtsbehörde:
- AVV liegt vor. Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, unterzeichnet und abgelegt.
- TOMs sind dokumentiert. Die Maßnahmenbeschreibung des Anbieters liegt Ihnen vor, nicht nur ein Werbeprospekt.
- Speicherort ist bekannt. EU, USA oder sonstiges Drittland – und zwar je Dienst, nicht pauschal.
- Zugriffsort ist geklärt. Aus welchen Ländern greift der Support auf Ihre Daten zu?
- DPF-Zertifizierung geprüft. Bei US-Bezug: Eintrag in der offiziellen Liste gesichtet, mit Datum notiert.
- Subprozessoren sind benannt. Liste vorhanden, Änderungsmitteilung vertraglich zugesichert.
- Verschlüsselung greift zweifach. Bei der Übertragung und im Ruhezustand auf den Servern.
- Zugriffe sind protokolliert. Rollen definiert, Rechtevergabe nachvollziehbar, MFA erzwungen.
- Lösch- und Rückgabekonzept steht. Was passiert mit den Daten bei Vertragsende – und in welcher Frist?
- Eintrag im Verzeichnis der Verarbeitungstätigkeiten. Jeder Cloud-Dienst ist dort erfasst.
Wo Sie bei diesen zehn Punkten stehen, lässt sich in wenigen Minuten grob einordnen – dafür gibt es unseren IT-Sicherheits-Check. Für regulierte Branchen kommt seit 2026 eine weitere Ebene hinzu: Das NIS2-Umsetzungsgesetz verlangt Nachweise, die sich mit den hier genannten stark überschneiden.
Was das kostet – und was Nichthandeln kostet
„Dafür haben wir keine Kapazität” ist der ehrlichste Einwand, den wir zu diesem Thema hören – und der berechtigtste. Ein sauberes Cloud-Datenschutzpaket ist keine Halbtagsaufgabe: AVVs sichten, TOMs ablegen, Verzeichnis pflegen, Rechte prüfen, Löschfristen setzen. Verteilt auf ein Jahr sind das im Mittelstand mehrere Personentage, die niemand im Kalender frei hat.
Die 54 Prozent stammen vom Statistischen Bundesamt: Etwas mehr als die Hälfte der Unternehmen in Deutschland mit mindestens zehn Beschäftigten nutzte 2025 kostenpflichtige IT-Dienste über Cloud Computing. Cloud ist damit Normalzustand, nicht Sonderfall – und die Dokumentationspflicht betrifft entsprechend viele. Was das im Betrieb bedeutet, sagt eine Kundin sinngemäß so:
Es ist immer nur ein Pflaster auf die Wunde geklebt worden, statt dass wir ein Konzept hatten.
Genau das ist der Unterschied zwischen „wir haben mal was gemacht” und einer Dokumentation, die im Prüffall standhält. Bei kjello ist dieser Teil im Core-Paket für 29 € pro Nutzer und Monat enthalten, nicht als Projekt daneben. Wer bereits mit einem Dienstleister arbeitet und unsicher ist, ob dort dokumentiert wird, findet die Prüffragen in unserem Leitfaden zum IT-Dienstleister wechseln.
Deutsches Hosting als einfachere Antwort
Der pragmatischste Weg aus der Komplexität ist oft, sie zu vermeiden. Wer auf deutsches oder europäisches Hosting setzt, umgeht die Drittland-Diskussion vollständig: kein Transfer, kein DPF-Nachweis, kein CLOUD-Act-Risiko. Genau darauf setzt kjello – deutsches Hosting, ein AVV, dokumentierte Maßnahmen und ein Datenschutzbeauftragter im Hintergrund, als Teil einer datenschutzkonform betreuten IT und eingebettet in Sicherheit & Compliance. Für die tiefere datenschutzrechtliche Begleitung ist unser Partnerprojekt fraghugo.de die passende Anlaufstelle.
Wir gehen die zehn Punkte mit Ihnen durch – 30 Minuten, kostenlos, ohne Vertriebsdruck.
Gespräch vereinbarenFazit: konform ist machbar, aber kein Zufall
Datenschutz in der Cloud ist kein Widerspruch, sondern eine Frage der richtigen Wahl: Eine sichere Cloud, die die Vorgaben der DSGVO und das europäische Datenschutzrecht einhält, ist für den Mittelstand längst verfügbar. Eine DSGVO-konforme Cloud gibt es – aber nicht als fertiges Produkt von der Stange, sondern als Ergebnis sauberer Arbeit: der richtige Vertrag, die passenden Maßnahmen, die geklärte Drittland-Frage und eine Dokumentation, die im Prüffall standhält. Der einfachste Hebel ist die Wahl des Standorts: Mit deutschem Hosting lösen sich viele der kniffligen Fragen von selbst. Alles Übrige ist Handwerk – und genau das gehört in die Hände von jemandem, der es beherrscht.
Geschrieben von
Jens Hagel
Gründer & Geschäftsführer
Jens Hagel gründete 2004 das Systemhaus hinter kjello und betreut mit seinem Team über 150 mittelständische Unternehmen. Er schreibt über das, was er in echten Firmen erlebt – praxisnah, ehrlich und ohne Fachchinesisch.
Häufige Fragen
Ist Microsoft 365 DSGVO-konform?
Brauche ich einen AVV, wenn mein Cloud-Anbieter in den USA sitzt?
Was muss in einem Auftragsverarbeitungsvertrag stehen?
Dürfen personenbezogene Daten in die USA übermittelt werden?
Reicht ein Serverstandort in Deutschland für DSGVO-Konformität?
Was prüft eine Datenschutz-Aufsichtsbehörde bei Cloud-Nutzung?
IT DSGVO-konform betreiben lassen
kjello betreibt Ihre IT und Microsoft-365-Umgebung datenschutzkonform – mit AVV, dokumentierten Maßnahmen, deutschem Hosting und Datenschutzbeauftragtem im Hintergrund.
