„Dürfen wir das überhaupt?" – Die häufigste Cloud-Frage
Wenn ich hier in Sachsen-Anhalt mit Geschäftsführern über Cloud-Lösungen spreche, kommt eine Frage zuverlässig in den ersten fünf Minuten: „Was ist mit dem Datenschutz?" Und ich verstehe das. Die DSGVO-Angst ist real. Hohe Bußgelder, komplexe Regelwerke, widersprüchliche Informationen – da zieht man den Kopf lieber ein und bleibt beim lokalen Server.
Aber hier ist die Sache: Cloud und DSGVO sind kein Widerspruch. Im Gegenteil. Moderne Cloud-Anbieter bieten oft bessere Datenschutz-Features als die meisten On-Premise-Umgebungen. Verschlüsselung, Zugriffskontrollen, Audit-Logs, Geo-Redundanz – all das kommt out-of-the-box, während es on-premise aufwändig implementiert werden muss.
Das Problem ist nicht die Cloud. Das Problem ist mangelndes Wissen darüber, wie man sie richtig nutzt.
Die Basics: Wer ist wofür verantwortlich?
In der DSGVO-Welt gibt es zwei Rollen. Sie als Unternehmen sind der „Verantwortliche" – Sie entscheiden, welche Daten zu welchem Zweck verarbeitet werden. Der Cloud-Anbieter ist der „Auftragsverarbeiter" – er stellt die Infrastruktur, handelt aber nach Ihren Anweisungen.
Das bedeutet: Auch wenn Ihre Daten bei Microsoft, AWS oder Google liegen, bleibt die Verantwortung bei Ihnen. Sie müssen sicherstellen, dass die Verarbeitung rechtmäßig ist. Sie müssen dokumentieren, was wozu verarbeitet wird. Und Sie brauchen einen Auftragsverarbeitungsvertrag (AVV) mit Ihrem Cloud-Anbieter.
Die gute Nachricht: Die großen Anbieter stellen standardisierte AVVs bereit, die Sie nicht erst verhandeln müssen. Microsofts „Data Processing Agreement" finden Sie in den Admin-Einstellungen, und es deckt alle DSGVO-Anforderungen ab. Haken setzen, fertig. Das ist deutlich einfacher, als einen AVV mit dem lokalen IT-Dienstleister zu verhandeln.
Serverstandort: EU ist Pflicht, Deutschland ist Kür
Nach dem ganzen Drama um Schrems II und den transatlantischen Datentransfer hat sich die Lage 2026 stabilisiert. Das EU-US Data Privacy Framework bildet eine rechtliche Grundlage für Datentransfers in die USA, und alle großen Cloud-Anbieter betreiben Rechenzentren in der EU.
Für maximale Sicherheit empfehle ich, EU-Serverstandorte zu konfigurieren. Bei Azure geht das über Region Selection (Frankfurt oder Berlin), bei AWS über die Region Frankfurt oder München, bei Google über Frankfurt oder Berlin. Microsofts EU Data Boundary Commitment geht sogar noch weiter und garantiert, dass auch Support- und Diagnosedaten innerhalb der EU bleiben.
Wenn Sie in einer besonders regulierten Branche arbeiten – Gesundheitswesen, Finanzdienstleistungen, öffentlicher Sektor – gibt es zusätzlich souveräne Cloud-Angebote. Die Open Telekom Cloud (betrieben von T-Systems, Rechenzentrum in Magdeburg) ist eine Option für Unternehmen, die einen rein deutschen Anbieter bevorzugen.
Verschlüsselung: Die drei Schichten
Verschlüsselung ist nicht gleich Verschlüsselung, und im Cloud-Kontext gibt es drei Ebenen, die Sie verstehen sollten.
In Transit: Alles, was zwischen Ihrem Computer und der Cloud übertragen wird, muss verschlüsselt sein. TLS 1.3 ist 2026 Mindeststandard, und alle großen Anbieter setzen das um. Hier müssen Sie nichts tun – es ist Standard.
At Rest: Daten, die in der Cloud gespeichert sind, sollten verschlüsselt auf der Festplatte liegen. Auch das bieten alle großen Anbieter standardmäßig an. Die Frage ist: Wer hat den Schlüssel? Bei „Service-managed Keys" verwaltet der Anbieter den Schlüssel. Das ist einfach, aber der Anbieter hat theoretisch Zugriff. Bei „Customer-managed Keys" (CMK) verwalten Sie den Schlüssel selbst. Mehr Kontrolle, mehr Aufwand. Für die meisten KMU sind Service-managed Keys ausreichend.
Client-side: Die Königsdisziplin. Daten werden auf Ihrem Gerät verschlüsselt, bevor sie in die Cloud hochgeladen werden. Der Cloud-Anbieter sieht nur verschlüsselten Datenmüll. Empfehlenswert für besonders sensible Daten – Geschäftsgeheimnisse, Patientendaten, vertrauliche Verträge.
Die Dokumentation, die niemand machen will
DSGVO-Compliance in der Cloud ist zu 30% Technik und zu 70% Dokumentation. Für jede Cloud-gestützte Verarbeitung brauchen Sie einen Eintrag in Ihrem Verzeichnis von Verarbeitungstätigkeiten: Was wird verarbeitet? Warum? Welche Daten? Welche Personen sind betroffen? Wo werden die Daten gespeichert? Wann werden sie gelöscht?
Dazu kommen die technisch-organisatorischen Maßnahmen (TOMs) – eine Beschreibung, wie Sie die Daten schützen. Die gute Nachricht: Für die großen Cloud-Dienste können Sie die TOMs weitgehend aus der Dokumentation des Anbieters ableiten. Microsoft veröffentlicht beispielsweise detaillierte TOMs für alle 365-Dienste.
Und dann gibt es Fälle, in denen eine Datenschutz-Folgenabschätzung (DSFA) erforderlich ist – etwa wenn Sie besondere Kategorien personenbezogener Daten verarbeiten (Gesundheitsdaten, biometrische Daten) oder automatisierte Entscheidungen treffen. Das ist aufwändiger, aber nicht unlösbar.
Der pragmatische Ansatz
Mein Rat: Machen Sie es nicht komplizierter, als es sein muss. Die großen Cloud-Anbieter haben Millionen investiert, um DSGVO-konform zu sein. Sie haben Compliance-Teams, die größer sind als Ihre gesamte IT-Abteilung. Die technische Seite ist gelöst.
Was Sie tun müssen: die organisatorische Seite abdecken. AVV abschließen, Verarbeitungsverzeichnis aktualisieren, TOMs dokumentieren, Berechtigungen aufräumen und Ihren Datenschutzbeauftragten einbinden. Das sind keine Raketenwissenschaft-Aufgaben, sondern Hausaufgaben. Lästig, ja. Aber machbar.
Und dann können Sie die Cloud nutzen – mit gutem Gewissen und ohne Angst vor der Aufsichtsbehörde.
*Wir helfen Ihnen, die Cloud DSGVO-konform zu nutzen. Jetzt Gespräch vereinbaren*
