Eine Cloud ist nicht allein deshalb DSGVO-konform, weil ihre Rechenzentren in Deutschland oder Europa stehen. Für Unternehmen, Schulen, Gemeinden und medizinische Einrichtungen lautet die entscheidende Frage: Welche Cloud ist DSGVO-konform, wenn sie in den eigenen Arbeitsalltag integriert wird? Die Antwort hängt von Datenarten, Verträgen, Einstellungen, Zugriffsrechten und dem laufenden Betrieb ab.

Wer etwa Microsoft 365 für Zusammenarbeit nutzt, Dokumente digital archiviert oder Backups extern speichert, verarbeitet meist personenbezogene Daten. Namen, E-Mail-Adressen und Personalakten gehören dazu. In vielen Branchen kommen besonders schützenswerte Informationen hinzu, etwa Gesundheitsdaten, Leistungsbewertungen oder Daten von Minderjährigen. Eine gute Cloud-Lösung muss daher nicht nur funktional sein. Sie muss technisch, organisatorisch und rechtlich zu Ihrem Unternehmen passen.

Welche Cloud ist DSGVO-konform? Nicht der Name entscheidet

Die DSGVO zertifiziert keine einzelne Cloud pauschal als konform. Auch ein bekannter Anbieter, ein deutsches Rechenzentrum oder eine ISO-Zertifizierung ersetzen keine Datenschutzprüfung. Datenschutzkonform wird eine Cloud-Lösung immer im Zusammenspiel aus Anbieter, Vertrag, Konfiguration und internen Abläufen.

Das ist in der Praxis eine gute Nachricht: Unternehmen müssen nicht zwangsläufig auf moderne Cloud-Dienste verzichten. Sie müssen jedoch nachvollziehbar entscheiden, welche Daten sie verarbeiten, wo diese Daten liegen, wer darauf zugreifen darf und wie Risiken kontrolliert werden. Eine einfache Dateiablage stellt andere Anforderungen als eine cloudbasierte Personalakte oder ein System für medizinische Dokumentation.

Entscheidend ist außerdem die Rollenverteilung. In den meisten Fällen bleibt das Unternehmen oder die öffentliche Einrichtung Verantwortlicher im Sinne der DSGVO. Der Cloud-Anbieter verarbeitet Daten im Auftrag. Damit liegt die Verantwortung für die Auswahl, die vertragliche Grundlage und die korrekte Nutzung nicht einfach beim Anbieter.

1. Der Auftragsverarbeitungsvertrag muss passen

Sobald ein Cloud-Anbieter personenbezogene Daten für Sie verarbeitet, benötigen Sie in der Regel einen Auftragsverarbeitungsvertrag, kurz AVV. Dieser Vertrag regelt unter anderem Zweck und Umfang der Verarbeitung, Weisungsrechte, Sicherheitsmaßnahmen, Löschkonzepte und den Umgang mit Unterauftragnehmern.

Ein AVV sollte nicht nur vorhanden sein, sondern zu dem Dienst passen, den Sie tatsächlich einsetzen. Prüfen Sie, ob alle genutzten Funktionen abgedeckt sind und ob der Anbieter transparent macht, welche Subunternehmer beteiligt sind. Gerade bei großen Cloud-Plattformen können einzelne Dienste unterschiedliche Verarbeitungsorte und Unterauftragnehmer haben.

Für viele mittelständische Unternehmen ist das ein Punkt, der im Tagesgeschäft schnell untergeht. Die Lizenz ist gekauft, die Mitarbeitenden arbeiten bereits damit, aber Dokumentation und Verträge folgen erst später. Genau diese Reihenfolge schafft unnötige Risiken. Datenschutz sollte vor dem produktiven Start geklärt sein, nicht erst nach einer Anfrage der Aufsichtsbehörde.

2. Der Datenstandort ist wichtig, aber nicht alles

Ein Rechenzentrum in der EU ist ein starkes Argument, aber keine vollständige Antwort. Relevant ist, wo Daten gespeichert, gesichert, analysiert und supportseitig eingesehen werden können. Ebenso wichtig ist, ob ein Anbieter oder seine Unterauftragnehmer Zugriffe aus Drittländern ermöglichen.

Besondere Aufmerksamkeit verdienen Datenübermittlungen außerhalb des Europäischen Wirtschaftsraums. Werden Daten etwa in die USA übertragen oder können dortige Stellen darauf zugreifen, braucht es eine belastbare Rechtsgrundlage. Je nach Anbieter und Szenario können Angemessenheitsbeschlüsse, Standardvertragsklauseln und zusätzliche technische Schutzmaßnahmen eine Rolle spielen.

Pauschale Aussagen wie „EU-Hosting genügt“ sind deshalb zu kurz gedacht. Fragen Sie konkret: Wo liegen Primärdaten und Backups? Aus welchen Ländern erfolgt der Support? Welche Telemetrie- und Diagnosedaten fallen an? Und welche Einstellungen lassen sich verbindlich festlegen? Erst diese Details zeigen, ob ein Dienst zu Ihrem Schutzbedarf passt.

3. Verschlüsselung und Zugriffsrechte müssen im Alltag funktionieren

Datenschutz entscheidet sich oft nicht im Rechenzentrum, sondern am Arbeitsplatz. Ein perfekt konfigurierter Cloud-Dienst hilft wenig, wenn alle Mitarbeitenden pauschal Zugriff auf Personal-, Kunden- oder Projektdaten erhalten. Das Prinzip der geringsten Berechtigung sollte deshalb verbindlich umgesetzt werden.

Eine DSGVO-taugliche Cloud-Umgebung braucht klar definierte Benutzerrollen, Mehrfaktor-Authentifizierung und nachvollziehbare Protokolle. Besonders für Führungskräfte, externe Dienstleister und Administrationskonten sollten Zugriffe regelmäßig geprüft werden. Scheidet eine Person aus dem Unternehmen aus, müssen Konten, Freigaben und mobile Geräte ohne Verzögerung abgesichert werden.

Auch Verschlüsselung verdient einen zweiten Blick. Verschlüsselung bei der Übertragung und Speicherung ist heute Standard, doch bei sensiblen Daten kann eine weitergehende Verschlüsselung sinnvoll sein. Dabei entsteht ein echter Zielkonflikt: Je stärker die Schlüssel beim Kunden liegen, desto höher kann die Kontrolle sein. Gleichzeitig können Suche, Zusammenarbeit, Wiederherstellung und Support komplexer werden. Die richtige Lösung richtet sich nach dem Risiko und den betrieblichen Anforderungen.

4. Datenschutzfreundliche Einstellungen sind keine Nebensache

Viele Cloud-Lösungen bieten umfangreiche Funktionen für Analyse, automatische Klassifizierung, KI-gestützte Unterstützung oder externe Freigaben. Diese Funktionen können produktiv sein, müssen aber bewusst aktiviert und gesteuert werden. Standardkonfigurationen sind selten auf die Anforderungen eines einzelnen Unternehmens, einer Schule oder einer Verwaltung zugeschnitten.

Prüfen Sie insbesondere externe Freigabelinks, Gastzugriffe, Aufbewahrungsfristen, mobile Synchronisation und die Nutzung privater Endgeräte. Bei Kollaborationstools sollte klar geregelt sein, welche Teams oder Bereiche vertrauliche Inhalte bearbeiten dürfen. Bei Dokumentenmanagement-Systemen geht es zusätzlich um revisionssichere Ablage, Berechtigungen und festgelegte Löschfristen.

Eine Datenschutz-Folgenabschätzung kann erforderlich werden, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für betroffene Personen mit sich bringt. Das betrifft beispielsweise bestimmte Anwendungen im Gesundheitsbereich, eine umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten oder systematische Überwachung. Hier reicht keine Standard-Checkliste – die Lösung braucht eine individuelle Bewertung.

5. Datensicherung, Löschung und Notfallzugriff gehören zusammen

Cloud bedeutet nicht automatisch, dass Backups erledigt sind. Je nach Dienst sind Versionierung, Papierkorb und echte, getrennte Datensicherungen unterschiedliche Dinge. Unternehmen sollten wissen, wie lange Daten wiederherstellbar sind, ob Backups verschlüsselt werden und wie ein Ausfall oder ein versehentliches Löschen abgefedert wird.

Gleichzeitig verlangt die DSGVO kein endloses Speichern. Personenbezogene Daten müssen gelöscht werden, wenn Zweck und gesetzliche Aufbewahrungspflichten dies zulassen oder verlangen. Ein belastbares Löschkonzept verbindet fachliche Fristen, technische Möglichkeiten und Verantwortlichkeiten. Besonders bei ausgeschiedenen Mitarbeitenden, abgeschlossenen Kundenprojekten und alten Bewerbungen entsteht sonst schnell ein unkontrollierter Datenbestand.

Für Notfälle braucht es zudem geregelte Zugriffswege. Wenn ein Administrator ausfällt oder ein Konto kompromittiert wird, muss das Unternehmen handlungsfähig bleiben, ohne dass sensible Zugangsdaten unkontrolliert verteilt werden. Dokumentierte Notfallkonten, sichere Passwortverwaltung und klare Eskalationswege sind hier wichtiger als Improvisation.

6. Diese 7 Fragen helfen bei der Cloud-Auswahl

Vor einer Entscheidung sollten Verantwortliche nicht nur Funktionen und Preise vergleichen. Diese sieben Fragen bringen die Datenschutzprüfung auf den Punkt:

• Gibt es einen passenden Auftragsverarbeitungsvertrag für alle genutzten Dienste?
• Wo werden Produktivdaten, Sicherungen und Diagnoseinformationen verarbeitet?
• Welche Unterauftragnehmer sind beteiligt und wie werden Änderungen kommuniziert?
• Sind Zugriffe aus Drittländern möglich, und wie werden sie rechtlich sowie technisch abgesichert?
• Lassen sich Mehrfaktor-Authentifizierung, Rollenrechte und Protokollierung verbindlich konfigurieren?
• Wie werden Daten gesichert, wiederhergestellt und nach Ablauf von Fristen gelöscht?
• Gibt es für sensible Verarbeitungen eine dokumentierte Risikoanalyse oder Datenschutz-Folgenabschätzung?

Wenn Anbieter oder Dienstleister diese Fragen nicht konkret beantworten können, fehlt meist nicht nur Transparenz, sondern auch eine verlässliche Grundlage für den Betrieb.

7. Die beste Cloud ist die, die Sie dauerhaft beherrschen

Die Auswahl endet nicht mit der Einführung. Neue Mitarbeitende, geänderte Prozesse, weitere Standorte und zusätzliche Apps verändern die Risikolage. Deshalb sollten Berechtigungen, AVV, Einstellungen und Datenflüsse regelmäßig überprüft werden. Ein jährlicher Termin ist ein guter Anfang, bei größeren Änderungen sollte die Prüfung sofort erfolgen.

Für Organisationen ohne eigenes IT-Team lohnt sich ein Partner, der nicht nur Lizenzen bereitstellt, sondern die gesamte Umgebung im Blick behält: von der Analyse über die Einrichtung bis zu Monitoring, Support und Schulung. IT4YOU verbindet Cloud-Arbeitsplätze, IT-Sicherheit, Backup und dokumentierte Prozesse so, dass Technik nicht zum Compliance-Risiko wird.

Die richtige Entscheidung entsteht nicht durch ein Anbieterlogo auf der Angebotsseite. Sie entsteht, wenn Datenschutz, Arbeitsabläufe und Sicherheitsniveau zusammenpassen – und wenn Ihr Unternehmen die Cloud auch morgen noch kontrolliert, versteht und sicher betreiben kann.