BRDCheckliste: Cloud-Dienst einführen in 7 Schritten
Bevor ein neuer Cloud-Dienst produktiv genutzt wird, sollten sieben Prüfschritte abgeschlossen und dokumentiert sein: Zweck und Daten, Anbieterbewertung, Verträge, Drittland, Risiken, sichere Konfiguration sowie Betrieb und Nachweis. Die Checkliste fasst zusammen, was auf den übrigen Seiten im Detail erklärt ist.
1. Zweck und Daten klären
- Welcher Geschäftsprozess wird unterstützt?
- Welche Datenkategorien, auch besondere Kategorien nach Art. 9 DSGVO?
- Rechtsgrundlage für die Verarbeitung vorhanden?
2. Anbieter bewerten
- Kritikalität für den Betrieb festlegen
- Zertifikate und Testate (ISO/IEC 27001, BSI C5) mit Geltungsbereich prüfen
- Speicherorte, Support-Standorte und Unterauftragsverarbeiter erfassen
3. Verträge prüfen
- Auftragsverarbeitungsvertrag mit Pflichtinhalten nach Art. 28 Abs. 3 DSGVO
- Verfügbarkeit, Meldepflichten bei Vorfällen, Auditrechte, Kündigung und Datenrückgabe
- Eigene Zwecke des Anbieters erkennen und bewerten
4. Drittland prüfen
- Grundlage nach Kapitel V DSGVO bestimmen (Angemessenheitsbeschluss, SCC)
- Bei Bedarf Transfer-Folgenabschätzung und ergänzende Maßnahmen
- Ergebnis dokumentieren
5. Risiken bewerten
- Risikobewertung im ISMS
- Datenschutz-Folgenabschätzung, falls voraussichtlich hohes Risiko
- Restrisiken durch die Leitung freigeben lassen
6. Sicher konfigurieren
- Mehr-Faktor-Authentifizierung und Rollenkonzept
- Freigabe-, Gast- und Aufbewahrungseinstellungen
- Protokollierung und Benachrichtigungen aktivieren
7. Betrieb und Nachweis
- Eintrag im Verzeichnis der Verarbeitungstätigkeiten und im Dienstleisterverzeichnis
- Datensicherung und Exit-Strategie festlegen
- Beschäftigte informieren und schulen, Wiedervorlage planen
Keine Rechtsberatung. Rechtsstand: 04.11.2026.