DSGVO und Cloud Hosting: Auftragsverarbeitung, TOMs und Standort richtig prüfen

Wer personenbezogene Daten auf einem gemieteten Cloud-Server verarbeitet, macht den Hoster in der Regel zum Auftragsverarbeiter im Sinne der Datenschutz-Grundverordnung (DSGVO). Sie als Betreiber bleiben Verantwortlicher und müssen deshalb mit dem Anbieter einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO abschließen, geeignete technische und organisatorische Maßnahmen (TOMs) sicherstellen und prüfen, ob Daten in Länder außerhalb der EU gelangen können. Ein Rechenzentrum in Deutschland ist hilfreich, ersetzt diese Pflichten aber nicht. Dieser Guide erklärt die wichtigsten Punkte als Orientierung; er ist keine Rechtsberatung.

Wann ist der Hoster Auftragsverarbeiter?

Verarbeitet der Anbieter Daten ausschließlich nach Ihrer Weisung für Ihre Zwecke, liegt typischerweise eine Auftragsverarbeitung vor. Das gilt für gemietete Server, Speicher und Managed-Dienste, auf denen Sie Kundendaten, Mitarbeiterdaten oder Nutzerdaten ablegen. Reines Mieten von Infrastruktur ohne Zugriff des Anbieters auf Inhalte bleibt dennoch meist in diesem Rahmen, weil der Anbieter technisch Zugriff haben könnte. Im Zweifel klären Sie die Einordnung mit Ihrem Datenschutzbeauftragten oder der zuständigen Aufsichtsbehörde.

Der Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

Der AVV muss schriftlich oder in einem elektronischen Format vorliegen und bestimmte Inhalte regeln. Dazu gehören:

Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie Art der Daten und Kategorien betroffener Personen
Weisungsbindung des Auftragsverarbeiters
Vertraulichkeitsverpflichtung der eingesetzten Personen
Technische und organisatorische Maßnahmen nach Art. 32 DSGVO
Regeln zum Einsatz weiterer Auftragsverarbeiter (Unterauftragnehmer)
Unterstützung bei Betroffenenrechten und Meldepflichten bei Datenpannen
Löschung oder Rückgabe der Daten nach Vertragsende
Nachweis- und Kontrollrechte (Audits)

Viele Anbieter stellen einen Standard-AVV online bereit, der häufig per Klick abgeschlossen werden kann. Prüfen Sie ihn trotzdem: Ist die Liste der Unterauftragnehmer aktuell? Sind Standorte genannt? Welche Fristen gelten für Löschung und Rückgabe?

Technische und organisatorische Maßnahmen

Art. 32 DSGVO verlangt Maßnahmen, die dem Risiko angemessen sind. Beim Cloud Hosting teilen sich Anbieter und Kunde die Verantwortung:

Bereich	Typisch beim Anbieter	Typisch bei Ihnen
Physische Sicherheit	Zutritt, Brandschutz, Stromversorgung im Rechenzentrum	Nicht relevant
Netzwerk	Grundschutz der Plattform, DDoS-Abwehr	Firewall-Regeln, Zugriffsbeschränkung
Betriebssystem	Bei unmanaged Servern nicht zuständig	Updates, Härtung, Zugriffskonten
Verschlüsselung	Plattformfunktionen, teils Verschlüsselung ruhender Daten	Verschlüsselung auf Anwendungsebene, Schlüsselverwaltung
Backups	Plattform-Backups als Option	Konzept, Aufbewahrung, Wiederherstellungstests
Zugriffsverwaltung	Konto- und Rechtemodell der Plattform	Rollen, Zwei-Faktor-Authentisierung, Rechteprüfung

Lesen Sie die TOM-Beschreibung des Anbieters und ergänzen Sie, was in Ihrem Verantwortungsbereich liegt. Den Betrieb beschreibt der Guide zur Server-Absicherung.

Unterauftragnehmer

Setzt der Anbieter weitere Dienstleister ein, etwa für Support, Rechenzentrum oder Abrechnung, müssen diese im Vertrag benannt oder durch ein Genehmigungsverfahren erfasst sein. Achten Sie darauf, ob Sie über Änderungen informiert werden und ob Sie widersprechen können. Dokumentieren Sie die Liste in Ihrem Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO).

Standort und Drittlandübermittlung

Die DSGVO verbietet Übermittlungen in Drittländer nicht, verlangt aber eine Rechtsgrundlage nach Art. 44 ff. DSGVO: etwa einen Angemessenheitsbeschluss der EU-Kommission, Standardvertragsklauseln mit zusätzlichen Maßnahmen oder Binding Corporate Rules. Dabei geht es nicht nur um den Speicherort, sondern auch um Zugriffsmöglichkeiten, zum Beispiel durch Support-Personal in Drittländern oder durch Konzernmütter. Vertiefung im Guide zur Drittlandübermittlung.

Zertifikate und Nachweise

Zertifikate helfen bei der Bewertung, ersetzen die Prüfung aber nicht. Gängig sind ISO/IEC 27001 (Informationssicherheits-Managementsystem) und Testate nach dem BSI-Kriterienkatalog C5, der Anforderungen an Cloud-Dienste beschreibt. Prüfen Sie, ob das Zertifikat den konkreten Dienst und Standort abdeckt, wie aktuell es ist und welcher Prüfumfang bestand.

Praktische Checkliste für die Prüfung

Wird mit dem Anbieter ein AVV abgeschlossen, und stimmt er mit Ihrer Verarbeitung überein?
Sind Rechenzentrumsstandorte und Unterauftragnehmer genannt?
Sind TOMs beschrieben und passen sie zum Schutzbedarf Ihrer Daten?
Ist geklärt, ob Daten in Drittländer übermittelt werden oder dorthin zugreifbar sind?
Sind Löschung und Rückgabe der Daten nach Vertragsende geregelt?
Ist das Verzeichnis der Verarbeitungstätigkeiten aktualisiert?
Ist bei hohem Risiko eine Datenschutz-Folgenabschätzung nötig (Art. 35 DSGVO)?

Häufige Fehler

Keinen AVV abschließen, weil „der Server ja nur gemietet“ ist.
Sich auf Marketingaussagen wie „DSGVO-konform“ verlassen, ohne Vertrag und Maßnahmen zu lesen.
Backups bei einem Zusatzdienst ablegen, der nicht im AVV berücksichtigt ist.
Zugriffsrechte nicht begrenzen und Konten ehemaliger Mitarbeiter nicht löschen.
Änderungen bei Unterauftragnehmern nicht beobachten.

Wann Sie Fachleute einbeziehen sollten

Bei besonderen Kategorien personenbezogener Daten (etwa Gesundheitsdaten), bei großen Datenmengen oder bei Zweifeln an der Rechtsgrundlage sollten Sie Ihren Datenschutzbeauftragten oder eine spezialisierte Rechtsberatung einbeziehen. Die Aufsichtsbehörden der Länder und der Bundesbeauftragte für den Datenschutz veröffentlichen Orientierungshilfen.

Häufige Fragen

Reicht ein Rechenzentrum in Deutschland für die DSGVO?

Nein. Der Standort ist ein Baustein, ersetzt aber weder AVV noch TOMs noch die Prüfung von Unterauftragnehmern und Zugriffsmöglichkeiten aus Drittländern.

Muss ich den AVV mit jedem Anbieter einzeln schließen?

Ja, mit jedem Auftragsverarbeiter, den Sie einsetzen. Dazu zählen neben dem Hoster auch E-Mail-, Backup- oder Monitoring-Dienste, sofern sie personenbezogene Daten verarbeiten.

Wer haftet bei einer Datenpanne beim Hoster?

Die Haftungsfragen regeln DSGVO und Vertrag. Als Verantwortlicher bleiben Sie gegenüber Betroffenen und Behörden in der Pflicht, auch wenn der Fehler beim Auftragsverarbeiter liegt. Lassen Sie Haftungsklauseln prüfen.

Quellen und weiterführende Informationen

Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) — Informationen und Orientierungshilfen zum Datenschutz
Datenschutzkonferenz (DSK) — Gremium der Aufsichtsbehörden mit Orientierungshilfen
BSI — Kriterienkatalog Cloud Computing C5
EUR-Lex — Text der Verordnung (EU) 2016/679