10. November 2025
Einführung
Eine Cloud-Ablage ist nicht allein deshalb datenschutzkonform, weil Anbieter, Speicherort und interne Zuständigkeit dokumentiert sind. Sobald personenbezogene Daten verarbeitet werden, muss das Unternehmen den konkreten Verarbeitungsvorgang betrachten: Welchem Zweck dient die Ablage, welche Daten werden gespeichert, wer kann darauf zugreifen, welche Rolle übernimmt der Cloud-Anbieter und welche Schutzmaßnahmen sind für das tatsächliche Risiko angemessen?
Für die interne Freigabe hilft deshalb eine strukturierte Cloud-Prüfung. Sie verbindet den ausgewählten Dienst mit Verantwortlichkeiten, Verarbeitungszweck, Datenkategorien, Zugriffs- und Löschregeln sowie den erforderlichen Nachweisen. Dabei sollten rechtliche Anforderungen, technische Kontrollen und interne Freigaben getrennt dokumentiert werden.
Die folgenden Schritte zeigen einen praktikablen Prüfrahmen für Unternehmen in Deutschland und der EU. Sie ersetzen keine Datenschutz-Folgenabschätzung oder individuelle rechtliche Prüfung, wenn diese für den konkreten Einsatz erforderlich ist.
Cloud-Dienst und Verarbeitung konkret beschreiben
Am Anfang steht nicht der Anbietername, sondern der konkrete Einsatz. Dokumentieren Sie, welcher Cloud-Dienst genutzt werden soll, welche Anwendung oder Ablage betroffen ist und welche Arten von Daten dort verarbeitet werden.
Für personenbezogene Daten sollte der Zweck so konkret beschrieben sein, dass später nachvollziehbar bleibt, warum die Verarbeitung erfolgt. Nach Art. 5 DSGVO müssen personenbezogene Daten für festgelegte Zwecke verarbeitet und auf das für diese Zwecke notwendige Maß beschränkt werden. Eine Formulierung wie „Cloud-Speicherung für das Unternehmen“ ist dafür zu ungenau.
Zur Beschreibung des Vorgangs gehören je nach Einsatz insbesondere die betroffenen Datenkategorien, Nutzergruppen, Empfänger beziehungsweise Zugriffsberechtigten und die geplante Speicherdauer oder Löschlogik. Diese Angaben bilden die Grundlage für die weitere Prüfung.
Verantwortliche Stelle und Rolle des Cloud-Anbieters klären
Die interne Verantwortung und die datenschutzrechtliche Rollenverteilung sind zwei unterschiedliche Fragen. Intern sollte feststehen, welche Fach- oder IT-Stelle den Einsatz verantwortet, wer Änderungen freigibt und wer bei Abwesenheit übernimmt.
Daneben ist zu prüfen, welche Rolle der Cloud-Anbieter bei der Verarbeitung personenbezogener Daten einnimmt. Verarbeitet er personenbezogene Daten im Auftrag des Unternehmens, ist die Beziehung zwischen Verantwortlichem und Auftragsverarbeiter nach Art. 28 DSGVO entsprechend zu regeln. Dabei reicht es nicht, lediglich einen Ansprechpartner beim Anbieter zu dokumentieren.
Für die Freigabe sollten deshalb die verantwortliche interne Stelle, die Rolle des Anbieters und die maßgeblichen vertraglichen Unterlagen eindeutig dem geprüften Cloud-Einsatz zugeordnet werden. Werden Unterauftragnehmer eingesetzt, gehört auch deren Einbindung in die Prüfung, soweit sie für den konkreten Dienst relevant ist.
Verarbeitungsort und internationale Datenübermittlungen getrennt prüfen
Der Begriff „Speicherort“ greift bei Cloud-Diensten oft zu kurz. Daten können gespeichert, gespiegelt, administriert oder für Supportzwecke aus unterschiedlichen Ländern zugänglich sein. Deshalb sollte die Prüfung nicht nur eine Rechenzentrumsregion erfassen, sondern auch berücksichtigen, von wo aus personenbezogene Daten verarbeitet oder zugänglich gemacht werden können.
Liegt eine Übermittlung personenbezogener Daten in ein Drittland vor, müssen die Anforderungen des Kapitels V der DSGVO für den konkreten Transfer geprüft werden. Eine EU-Region im Produktmenü beantwortet diese Frage nicht automatisch.
Die Dokumentation sollte deshalb zwischen physischem Speicherort, möglichen Zugriffsorten und der rechtlichen Bewertung internationaler Übermittlungen unterscheiden. Ändert der Anbieter seine Infrastruktur oder Unterauftragnehmer, kann eine erneute Prüfung notwendig werden.
Zweck, Zugriff und Löschung als zusammenhängenden Prozess dokumentieren
Eine Cloud-Ablage sollte nicht nur beim Start bewertet werden. Der festgelegte Zweck muss sich auch in Zugriffsrechten und Löschregeln widerspiegeln. Personen sollten nur auf Daten zugreifen können, soweit dies für ihre Aufgabe erforderlich ist; nicht mehr benötigte Daten sollten nach den für den jeweiligen Vorgang geltenden Regeln gelöscht oder anderweitig behandelt werden.
Für den internen Nachweis ist deshalb sinnvoll, Zweck, Datenkategorien, berechtigte Rollen und Löschlogik gemeinsam zu dokumentieren. So lässt sich später prüfen, ob die laufende Nutzung noch dem ursprünglich freigegebenen Einsatz entspricht.
Eine pauschale Aufbewahrungsfrist sollte nicht ohne Grundlage festgelegt werden. Wie lange Daten gespeichert werden dürfen oder müssen, hängt vom jeweiligen Verarbeitungszweck und gegebenenfalls weiteren gesetzlichen oder vertraglichen Anforderungen ab.
Technische und organisatorische Maßnahmen risikobasiert prüfen
Datenschutzkonforme Dokumentation ersetzt keine angemessene Sicherheit. Vor der Freigabe sollte daher im Sinne von Art. 32 DSGVO geprüft werden, welche technischen und organisatorischen Maßnahmen für Art, Umfang, Kontext und Risiko der Verarbeitung angemessen sind.
Je nach Einsatz können beispielsweise Zugriffskontrollen, Verschlüsselung, Protokollierung, Wiederherstellungsverfahren oder regelmäßige Überprüfungen der Sicherheitsmaßnahmen relevant sein. Welche Maßnahmen angemessen sind, lässt sich nicht allein aus dem Namen des Cloud-Anbieters ableiten.
Die Prüfung sollte auf den konkreten Dienst und die tatsächlich verarbeiteten Daten bezogen bleiben. Ein Sicherheitsnachweis oder Zertifikat des Anbieters kann dabei ein Baustein sein, ersetzt aber nicht die Bewertung des eigenen Nutzungsszenarios.
Cloud-Prüfung und Nachweise versioniert ablegen
Am Ende sollte ein späterer Prüfer nachvollziehen können, welcher Cloud-Einsatz zu welchem Zeitpunkt freigegeben wurde und auf welchen Informationen diese Entscheidung beruhte. Dafür sollten Dienst, Zweck, Rollen, Datenkategorien, relevante Verarbeitungsorte, Löschlogik, Sicherheitsprüfung und zugehörige Vertrags- oder Prüfnachweise gemeinsam referenziert werden.
Bearbeitbare Vorlagen sollten von der tatsächlich freigegebenen Prüfungsfassung getrennt bleiben. Ändern sich Zweck, Datenkategorien, Anbieterbedingungen, Unterauftragnehmer oder technische Rahmenbedingungen wesentlich, sollte die bestehende Freigabe nicht stillschweigend weiterverwendet werden.
Wenn der interne Freigabeprozess zusätzlich eine elektronische Signatur vorsieht, kann Nota Sign entsprechende Signaturabläufe unterstützen. Eine elektronische Signatur dokumentiert dabei die Freigabe eines Prüfstands; sie macht den zugrunde liegenden Cloud-Einsatz nicht automatisch datenschutzkonform.
Weitere Informationen zu digitalen Freigabe- und Vertragsprozessen bietet die Nota Sign Lösungsseite Recht. Wiederverwendbare Dokumentationsabläufe lassen sich über die Vorlagenübersicht strukturieren.
