BRDAuftragsverarbeitung bei Cloud-Diensten: Art. 28 DSGVO in der Praxis
Verarbeitet ein Cloud-Anbieter personenbezogene Daten im Auftrag und nach Weisung des Kunden, ist er Auftragsverarbeiter. Dann ist ein Vertrag nach Art. 28 Abs. 3 DSGVO Pflicht, und der Kunde darf nur Anbieter einsetzen, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten (Art. 28 Abs. 1 DSGVO).
- Der Kunde bleibt Verantwortlicher und muss den Anbieter sorgfältig auswählen und kontrollieren.
- Der Vertrag muss die Pflichtinhalte nach Art. 28 Abs. 3 lit. a bis h enthalten; elektronische Form genügt (Abs. 9).
- Unterauftragsverarbeiter brauchen eine vorherige gesonderte oder allgemeine schriftliche Genehmigung (Abs. 2).
- Nutzt der Anbieter Daten auch für eigene Zwecke, ist er insoweit kein reiner Auftragsverarbeiter mehr.
Welche Inhalte muss ein Auftragsverarbeitungsvertrag enthalten?
| Art. 28 Abs. 3 | Pflichtinhalt | Worauf bei Cloud-Diensten achten |
|---|---|---|
| Satz 1 | Gegenstand, Dauer, Art und Zweck, Datenarten, Kategorien betroffener Personen | Leistungsbeschreibung und Datenkategorien konkret statt pauschal |
| lit. a | Verarbeitung nur auf dokumentierte Weisung, auch bei Drittlandübermittlungen | Wie werden Weisungen erteilt? Welche Verarbeitungen für eigene Zwecke behält sich der Anbieter vor? |
| lit. b | Vertraulichkeitsverpflichtung der Beschäftigten | Auch für Support- und Betriebspersonal in anderen Ländern |
| lit. c | Maßnahmen nach Art. 32 | Konkrete TOM als Anlage, Zertifikate und Prüfberichte |
| lit. d | Bedingungen für Unterauftragsverarbeiter | Aktuelle Liste, Ankündigungsfrist für Änderungen, Widerspruchsrecht |
| lit. e | Unterstützung bei Betroffenenrechten | Export-, Auskunfts- und Löschfunktionen im Dienst |
| lit. f | Unterstützung bei Art. 32 bis 36 (Sicherheit, Meldung, DSFA) | Meldefrist des Anbieters bei Vorfällen, Informationen für die DSFA |
| lit. g | Löschung oder Rückgabe nach Vertragsende | Exportformat, Fristen, Löschbestätigung auch für Sicherungen |
| lit. h | Nachweise und Überprüfungen einschließlich Inspektionen | Prüfberichte (z. B. BSI C5, ISO-27001-Zertifikat) und Auditrecht |
Wann ist ein Cloud-Anbieter kein Auftragsverarbeiter?
Entscheidend ist, wer über Zwecke und Mittel entscheidet. Bestimmt der Anbieter selbst, wofür er Daten nutzt, etwa für eigene Produktverbesserung, Abrechnung oder Analysen, ist er insoweit selbst Verantwortlicher. Die Abgrenzung erläutern die Leitlinien 07/2020 des Europäischen Datenschutzausschusses. Für diese Verarbeitungen braucht der Kunde eine eigene Rechtsgrundlage für die Weitergabe und muss transparent informieren. Genau an diesem Punkt setzte die Kritik der Datenschutzkonferenz an Microsoft 365 im Jahr 2022 an.
Wie wird ein Cloud-AVV in der Praxis geprüft?
- Prüfen, ob überhaupt Auftragsverarbeitung vorliegt und welche Datenkategorien betroffen sind.
- Vertragswerk des Anbieters vollständig sammeln: Nutzungsbedingungen, Datenschutzanhang, TOM, Liste der Unterauftragsverarbeiter, Standorte.
- Pflichtinhalte nach Art. 28 Abs. 3 abgleichen und Lücken dokumentieren.
- Drittlandbezug klären (Speicherort, Support, Unterauftragsverarbeiter, Konzernmutter), siehe Drittlandübermittlung.
- Ergebnis, Restrisiken und Freigabe dokumentieren und im Verzeichnis der Verarbeitungstätigkeiten verknüpfen.
- Wiedervorlage festlegen, insbesondere bei angekündigten Änderungen der Unterauftragsverarbeiter.
Eine ausführliche Prüfliste bietet der Beitrag AV-Vertrag nach Art. 28 DSGVO prüfen auf mgmsys.de.
Keine Rechtsberatung. Rechtsstand: 04.11.2026.