Datenschutz in der Cloud ist nicht binär. Fünf Fragen zeigen, wo Verträge, Technik und tatsächliche Nutzung genauer geprüft werden müssen.
Ein einzelnes Merkmal entscheidet selten darüber, ob eine Cloud-Verarbeitung datenschutzgerecht ist. Wenn eine der folgenden Fragen unbeantwortet bleibt, sollte das Unternehmen gemeinsam mit Datenschutzverantwortlichen oder externer Beratung genauer hinsehen.
1. Ist die Rollenverteilung samt AVV geklärt?
Verarbeitet der Cloud-Anbieter personenbezogene Daten im Auftrag, verlangt Art. 28 DSGVO einen Vertrag mit festgelegten Mindestinhalten.1 Ein fehlender AVV ist ein ernstes Problem, aber nicht dasselbe wie eine fehlende Rechtsgrundlage nach Art. 6. Beide Fragen sind getrennt zu prüfen.
2. Sind alle relevanten Datenwege bekannt?
Neben Primärdaten zählen Sicherungen, Protokolle, Support, Vorschau, Benachrichtigungen und Office-Verarbeitung. Der Serverstandort allein beschreibt den Datenfluss nicht vollständig.
3. Sind Anbieterstruktur und Drittlandbezug bewertet?
Ein US-Firmensitz oder Konzernbezug führt nicht automatisch zu einem DSGVO-Verstoß. Zu prüfen sind konkrete Übermittlungen, Zugriffsmöglichkeiten, Empfänger und geeignete Übermittlungsinstrumente. Für zertifizierte US-Organisationen besteht seit 2023 das EU-US Data Privacy Framework.2
4. Sind Unterauftragsverarbeiter transparent?
Verantwortliche müssen wissen, welche weiteren Dienstleister für welche Aufgabe beteiligt sind und wie über Änderungen informiert wird. Eine bloße Marketingaussage ersetzt die Vertrags- und Datenflussprüfung nicht.
5. Passt das Verschlüsselungskonzept zum Risiko?
TLS schützt den Transport, Speicherverschlüsselung die abgelegten Daten und Ende-zu-Ende-Verschlüsselung bestimmte Inhalte zusätzlich vor serverseitigem Klartextzugriff. E2EE ist nicht in jedem Szenario zwingend und kann Funktionen einschränken. Bei CloudFiles ist sie ab Business verfügbar (Paketübersicht); das Zusammenspiel mit Suche, Vorschau, Freigaben und EuroOffice beschreibt die Sicherheitsseite.3
EuroOffice ist Teil der Prüfung
Wenn Dokumente im Browser bearbeitet werden, gehört der Document Server in den Datenfluss, die Sicherheitsbeschreibung und den Exit-Test. Der EuroOffice-Praxischeck zeigt, wie EuroOffice in CloudFiles mit typischen Dokumenten arbeitet.
Gemeinden können dieselben Fragen in die Cloud-Beschaffungs-Checkliste übernehmen; die ausführlichen Prüfbereiche für Unternehmen beschreibt „Datenschutzgerechte Cloud: Was Unternehmen wirklich prüfen müssen“. Ein guter Anbieter beantwortet diese Fragen nachvollziehbar. Ein gutes Unternehmen dokumentiert zusätzlich, wie es das Produkt konfiguriert und nutzt.
Hinweis: Dieser Beitrag bietet eine allgemeine Orientierung und ersetzt keine Rechts- oder Datenschutzberatung.