„DSGVO-konform4“ ist kein Gütesiegel für ein Produkt. Verantwortliche müssen Dienst, Zweck, Konfiguration und tatsächliche Nutzung zusammen bewerten.
Cloud-Anbieter werben häufig mit „DSGVO-konform4“. Die Formulierung kann leicht missverstanden werden: Ob eine konkrete Verarbeitung rechtmäßig ist, hängt nicht nur vom Produkt ab, sondern auch von Zweck, Rechtsgrundlage, Rollen, Konfiguration und Nutzung durch das verantwortliche Unternehmen.1 CloudFiles ist ein Produkt von CloudNow für Cloud-Speicher und browserbasierte Dokumentenbearbeitung mit EuroOffice und wird in diesem Beitrag anhand derselben sieben Prüfbereiche betrachtet wie jeder andere Dienst.
1. Rollen und Auftragsverarbeitung
Zuerst ist zu klären, wer Verantwortlicher, Auftragsverarbeiter oder gegebenenfalls eigenständig Verantwortlicher ist. Wird ein Anbieter als Auftragsverarbeiter eingesetzt, verlangt Art. 28 DSGVO einen Vertrag mit bestimmten Mindestinhalten.2
2. Datenwege und Subdienstleister
Nicht nur die primäre Dateiablage zählt. Auch Sicherungen, Protokolle, Supportzugriffe, Vorschaudienste, E-Mail-Benachrichtigungen und Office-Verarbeitung gehören in die Datenflussübersicht.
3. Angemessene Sicherheit
Art. 32 verlangt risikoorientierte technische und organisatorische Maßnahmen.3 Transportverschlüsselung, Speicherverschlüsselung und Ende-zu-Ende-Verschlüsselung schützen unterschiedliche Ebenen. Welche Kombination passt, hängt vom Szenario ab. Bei CloudFiles ist Ende-zu-Ende-Verschlüsselung ab dem Paket Business verfügbar; die Maßnahmen im Überblick stehen auf der Sicherheitsseite.
4. Berechtigungen und Lebenszyklus
Konten, Gruppen, Freigaben und Austritte müssen nachvollziehbar steuerbar sein. Regelmäßige Zugriffsprüfungen sind genauso wichtig wie die erstmalige Einrichtung.
5. Betroffenenrechte
Die Organisation braucht Prozesse für Auskunft, Berichtigung, Löschung und Datenübertragbarkeit. Eine Exportfunktion kann dabei helfen, ersetzt aber nicht die fachliche Suche und Zuordnung.
6. Sicherung und Wiederherstellung
Backup, Versionierung und Papierkorb sind unterschiedliche Funktionen. Fristen und Wiederanlaufziele müssen zum Schutzbedarf passen und praktisch getestet werden.
7. Exit
Schon vor Vertragsabschluss ist zu klären, wie Dateien, Versionen und Metadaten übernommen und Restdaten gelöscht werden. Der Cloud-Exit-Plan für KMU liefert dafür eine Arbeitsstruktur.
EuroOffice mitprüfen
EuroOffice ist Teil der CloudFiles-Arbeitsumgebung und deshalb Teil der Datenschutz- und Sicherheitsprüfung — die Office-Verarbeitung ist ein eigener Prüfschritt: Wo verarbeitet der Document Server Inhalte und temporäre Daten? Relevant sind Verarbeitungsorte, Protokolle, Freigaben und das Zusammenspiel mit Verschlüsselung. Die CloudFiles-Funktionsseite beschreibt diese Zusammenhänge je Paket; welche Prüffragen Gemeinden dafür in eine Beschaffung übernehmen können, zeigt die Cloud-Beschaffungs-Checkliste.
Prüfpunkte je Branche
Wie sich die sieben Bereiche in der Praxis einzelner Berufsgruppen darstellen, zeigen die Beiträge zu Ärzten und Praxen, zum Mandantengeheimnis in der Kanzlei, zu Hausverwaltungen, zu Insolvenzakten, zu Vereinen, zu Planungsbüros und zur Cloud-Migration für KMU.
Hinweis: Dieser Beitrag bietet eine allgemeine Orientierung und ersetzt keine Rechts- oder Datenschutzberatung.