Cloud und Datenschutz: DSGVO, Drittland, Schrems II

Cloud-Dienste sind im Behördenalltag und in Unternehmen kaum noch wegzudenken, datenschutzrechtlich sind sie aber eine Baustelle: Auftragsverarbeitung, mögliche Zugriffe aus Drittländern, Schrems II, Standardvertragsklauseln und zusätzliche Schutzmaßnahmen. In der Praxis sehen wir bei Ausschreibungen und Vertragsprüfungen immer wieder dieselben Fehler. In diesem Beitrag fassen wir zusammen, worauf du konkret achten solltest, wenn du Cloud-Lösungen rechtssicher einsetzen willst.

Ausgangspunkt: DSGVO und Rollenklärung

Bevor du über Drittländer oder Standardvertragsklauseln nachdenkst, musst du klären, welche Rolle der Cloud-Anbieter nach DSGVO hat:

• Verantwortlicher nach Art. 4 Nr. 7 DSGVO: trifft die Zwecke und Mittel der Verarbeitung selbst.
• Auftragsverarbeiter nach Art. 4 Nr. 8, 28 DSGVO: verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen.

Für typische Cloud-Szenarien in der Verwaltung und im Unternehmen liegt meist Auftragsverarbeitung vor, etwa bei:

• E-Mail- und Kollaborationsplattformen
• Fachverfahren in der Cloud
• Ticket- und Supportsystemen
• Backup- und Archivierungslösungen

Nicht selten versuchen Anbieter, sich als „gemeinsam Verantwortliche“ oder sogar als eigene Verantwortliche zu deklarieren, um weniger Pflichten aus Art. 28 DSGVO zu haben. Das solltest du nicht ungeprüft akzeptieren. Maßgeblich ist nicht die Überschrift im Vertrag, sondern die tatsächliche Gestaltung: Wer entscheidet inhaltlich über Zweck und Mittel?

Praxis-Tipp: Dokumentiere kurz, warum du den Anbieter als Auftragsverarbeiter einordnest. Diese Notiz hilft dir in der Datenschutzdokumentation und bei Rückfragen der Aufsichtsbehörde.

Auftragsverarbeitungsvertrag nach Art. 28 DSGVO

Wenn du zu dem Ergebnis kommst, dass der Cloud-Anbieter Auftragsverarbeiter ist, brauchst du einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Viele Anbieter liefern Standard-AV-Verträge. Diese sind aber nicht automatisch ausreichend.

Wichtige Punkte, auf die du achten solltest:

• Gegenstand und Dauer der Verarbeitung, Art der Daten, Kategorien betroffener Personen
• Genaue Beschreibung der Verarbeitungstätigkeiten
• Weisungsrecht: schriftliche Weisungen, Verfahren für Änderungen
• Vertraulichkeitsverpflichtung des Personals
• Technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO, möglichst konkret
• Unterauftragsverhältnisse: Genehmigungsverfahren, Liste der Subunternehmer, Informationspflicht bei Änderungen
• Unterstützung bei Betroffenenrechten, Datenschutz-Folgenabschätzung und Meldung von Datenschutzverletzungen
• Löschung bzw. Rückgabe der Daten nach Vertragsende

Bei Cloud-Diensten sind Unterauftragsverarbeiter besonders kritisch, da hier oft Infrastrukturpartner, Support-Dienstleister oder globale Konzernstrukturen im Spiel sind. Verlange eine aktuelle, möglichst detaillierte Liste der Unterauftragsverarbeiter und prüfe, wo diese jeweils ihren Sitz haben.

Drittlandtransfer: Was ist nach Schrems II das Problem?

Ein Drittlandtransfer liegt vor, wenn personenbezogene Daten in ein Land außerhalb der EU/des EWR übermittelt oder dort verarbeitet werden. Dazu zählen auch:

• Hosting außerhalb der EU/des EWR
• Support-Zugriffe aus Drittländern
• Konzerninterne Mirror- oder Backup-Systeme
• Zugriffsmöglichkeiten von Muttergesellschaften in Drittländern

Der EuGH hat im Schrems-II-Urteil (C‑311/18) das EU-US Privacy Shield für unwirksam erklärt. Begründung: US-Überwachungsbefugnisse und fehlende effektive Rechtsbehelfe für EU-Bürgerinnen und -Bürger. Folge: Ein Datentransfer in die USA ist nur noch zulässig, wenn geeignete Garantien und ein mit der EU vergleichbares Schutzniveau vorliegen.

Seit 2023 gibt es den EU-US Data Privacy Framework, der für zertifizierte US-Unternehmen wieder einen Angemessenheitsbeschluss nach Art. 45 DSGVO bietet. Allerdings:

• Er gilt nur für zertifizierte Unternehmen, nicht pauschal für alle US-Dienste.
• Er ist politisch und rechtlich umstritten, eine erneute gerichtliche Überprüfung ist absehbar.

Deshalb solltest du dich nicht allein auf das Data Privacy Framework verlassen, sondern parallel auf bewährte Instrumente wie Standardvertragsklauseln setzen und ein Transfer Impact Assessment durchführen.

Standardvertragsklauseln: Notwendig, aber nicht ausreichend

Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO sind ein zentrales Instrument, um Datentransfers in Drittländer abzusichern. Die EU-Kommission hat 2021 neue modulare Standardvertragsklauseln veröffentlicht.

Wichtig für dich:

• Prüfe, ob die aktuellen Standardvertragsklauseln verwendet werden, nicht alte Fassungen.
• Achte darauf, dass das richtige Modul gewählt ist, typischerweise Modul 2 (Verantwortlicher an Auftragsverarbeiter).
• Anhänge müssen konkret ausgefüllt sein: Beschreibung der Verarbeitung, Kategorien von Daten, technische und organisatorische Maßnahmen.

Der entscheidende Punkt nach Schrems II: Standardvertragsklauseln allein reichen nicht, wenn im Empfängerland Gesetze gelten, die den Anbieter zu unverhältnismäßigen Behördenzugriffen verpflichten. Du musst prüfen, ob im konkreten Fall ein „im Wesentlichen gleichwertiges“ Schutzniveau erreicht wird. Genau hier setzt das Transfer Impact Assessment an.

Transfer Impact Assessment: Was du wirklich prüfen musst

Das Transfer Impact Assessment (TIA) ist keine formale Vorgabe eines bestimmten Artikels, es ergibt sich aus der Auslegung von Art. 46 DSGVO und dem Schrems-II-Urteil. Du sollst bewerten und dokumentieren, ob der Datentransfer in das konkrete Drittland mit DSGVO-Grundsätzen vereinbar ist.

Kernelemente eines TIA:

1. Beschreibung des Transfers

• Welche Datenkategorien?
• Welche Zwecke?
• Welche Systeme und Prozesse?
• Welche Beteiligten (inklusive Unterauftragsverarbeiter)?

2. Rechtslage im Empfängerland

• Gibt es Gesetze, die Behörden weitreichende Zugriffe erlauben?
• Gibt es effektive Rechtsschutzmöglichkeiten für Betroffene?
• Wie ist die Praxis der Behördenzugriffe?

3. Technische und organisatorische Maßnahmen

• Verschlüsselung: Werden Daten vor Übertragung wirksam verschlüsselt? Liegt der Schlüssel in deiner Kontrolle?
• Pseudonymisierung: Sind Personenbezüge minimiert oder nur mit Zusatzwissen herstellbar?
• Zugriffskonzepte, Protokollierung, Datensparsamkeit

4. Vertragliche Ergänzungen

• Zusätzliche Verpflichtungen des Anbieters, z. B.
• Information über behördliche Anfragen
• Anfechtung unzulässiger Auskunftsverlangen
• Transparenzberichte

5. Ergebnisbewertung

• Kann trotz der Risiken ein angemessenes Schutzniveau erreicht werden?
• Falls nein: Welche Alternativen gibt es?

Die Aufsichtsbehörden erwarten, dass du ein TIA zumindest in Grundzügen dokumentierst. Umfang und Tiefe können sich an der Sensibilität der Daten und dem Umfang des Transfers orientieren.

Praktische Cloud-Prüfung: Schritt für Schritt

In unseren Seminaren und Projekten haben sich folgende Prüfschritte bewährt, wenn du einen Cloud-Dienst datenschutzrechtlich bewerten willst:

1. Rollenklärung

• Ist der Anbieter Auftragsverarbeiter oder eigener Verantwortlicher?
• Gibt es Funktionalitäten, in denen der Anbieter eigene Zwecke verfolgt, z. B. Produktverbesserung, Analyse?

2. Dateninventar

• Welche personenbezogenen Daten sollen verarbeitet werden?
• Gibt es besondere Kategorien nach Art. 9 DSGVO, etwa Gesundheitsdaten?
• Sind Daten von Kindern, Beschäftigtendaten oder besonders schutzbedürftige Gruppen betroffen?

3. Technische Architektur

• Wo werden Daten gespeichert? Rechenzentrumsstandorte, Regionen, Fallback-Systeme
• Wer hat Zugriff? Eigenes Personal, Dienstleister, Konzernunternehmen
• Wie läuft Support? Remote-Zugriffe, Zeitfenster, Protokollierung

4. Drittlandbezug

• Sitz des Anbieters und seiner Konzernmutter
• Sitz der Rechenzentren
• Sitz und Rolle der Unterauftragsverarbeiter
• Mögliche Remote-Zugriffe aus Drittländern

5. Vertragsunterlagen

• Auftragsverarbeitungsvertrag nach Art. 28 DSGVO
• Standardvertragsklauseln oder Verweis auf Angemessenheitsbeschlüsse
• Technische und organisatorische Maßnahmen als Anlage
• Unterauftragsverarbeiterliste
• Regelungen zu Betroffenenrechten, Datenschutzvorfällen, Löschung

6. Transfer Impact Assessment

• Bewertung des Drittlandrisikos
• Prüfung, ob Ergänzungsmaßnahmen das Schutzniveau ausreichend erhöhen

7. Dokumentation und Abstimmung

• Einbindung des behördlichen oder betrieblichen Datenschutzbeauftragten
• Ggf. Einbindung der Informationssicherheit (z. B. ISMS, BSI-Standards)
• Entscheidungsvorlage für die Leitungsebene

Passende Seminare und Termine zu diesen Themen findest du bei uns auf cmt.de.

Typische Fallstricke in Ausschreibungen und Verträgen

Gerade bei öffentlichen Auftraggebern sehen wir in Vergabeverfahren immer wieder dieselben Problemfelder:

• Unklar formulierte Anforderungen an Rechenzentrumsstandorte Beispiel: „Datenverarbeitung in der EU“ ohne Hinweis auf konzerninterne Zugriffsrechte aus Drittländern.

• Fehlende oder unzureichende Regelungen zu Unterauftragsverarbeitern Beispiel: Anbieter darf jederzeit neue Subunternehmer weltweit einsetzen, nur mit kurzer Informationsfrist.

• Pauschaler Verweis auf „DSGVO-Konformität“ ohne überprüfbare Nachweise Beispiel: Der Bieter erklärt lediglich, er halte die DSGVO ein, ohne konkrete TOM, ohne TIA, ohne Nennung der Drittländer.

• Keine abgestimmte Linie zwischen Vergabestelle, IT, Datenschutz und Informationssicherheit Beispiel: Die Vergabestelle schreibt eine Cloud-Lösung aus, ohne den Datenschutzbeauftragten einzubinden. Erst nach Zuschlag werden Datenschutzrisiken entdeckt.

Praktisch hilfreich ist es, datenschutzrechtliche Mindestanforderungen schon in den Vergabeunterlagen klar zu definieren. So reduzierst du Nachverhandlungen und spätere Konflikte.

Checkliste: Datenschutzprüfung bei Cloud-Diensten

Die folgende Checkliste kannst du als Arbeitsgrundlage nutzen. Sie ersetzt kein individuelles Rechtsgutachten, hilft aber, wesentliche Punkte systematisch abzuarbeiten.

1. Rollen und Daten

• Ist die Rolle des Anbieters (Auftragsverarbeiter / Verantwortlicher) geklärt und dokumentiert?
• Sind Kategorien der verarbeiteten personenbezogenen Daten beschrieben?
• Sind besondere Kategorien nach Art. 9 DSGVO betroffen?

2. Verträge

• Liegt ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO vor?
• Sind die technischen und organisatorischen Maßnahmen konkret beschrieben?
• Gibt es klare Regelungen zu Unterauftragsverarbeitern und einem Genehmigungsprozess?

3. Drittlandbezug

• Sind alle Rechenzentrumsstandorte dokumentiert?
• Sind alle Unterauftragsverarbeiter und deren Sitzländer bekannt?
• Gibt es mögliche Remote-Zugriffe aus Drittländern, etwa für Support?

4. Rechtsgrundlage für Drittlandtransfer

• Angemessenheitsbeschluss der EU-Kommission oder
• Standardvertragsklauseln mit korrekt ausgefüllten Anhängen
• Ggf. weitere Garantien oder Zertifizierungen

5. Transfer Impact Assessment

• Wurde ein TIA durchgeführt und dokumentiert?
• Wurden Rechtslage und Zugriffsbefugnisse im Empfängerland bewertet?
• Gibt es ergänzende technische Maßnahmen, etwa Verschlüsselung mit Schlüsselhoheit beim Verantwortlichen?

6. Prozesse im Betrieb

• Verfahren für Betroffenenanfragen, Datenpannen und Löschanforderungen sind mit dem Anbieter abgestimmt.
• Der Datenschutzbeauftragte ist eingebunden.
• Regelmäßige Aktualisierung der Unterauftragsverarbeiterliste und der TIA-Bewertung ist vorgesehen.

Fazit: Ohne Struktur wird Cloud-Datenschutz zum Risiko

Cloud-Lösungen lassen sich DSGVO-konform nutzen, sie erfordern aber eine strukturierte Prüfung. Für dich als Verantwortliche oder Verantwortlicher in Behörde oder Unternehmen heißt das:

• Rolle klären und belastbare Auftragsverarbeitungsverträge abschließen.
• Drittlandbezüge konsequent aufdecken, nicht nur auf Rechenzentrumsstandorte schauen.
• Standardvertragsklauseln nutzen, aber immer mit einem Transfer Impact Assessment verbinden.
• Technische Schutzmaßnahmen wie starke Verschlüsselung und Datensparsamkeit in den Mittelpunkt stellen.

Wenn du diese Punkte systematisch bearbeitest und sauber dokumentierst, kannst du Cloud-Dienste rechtssicherer einsetzen und bist gegenüber Aufsichtsbehörden deutlich besser aufgestellt.