BRDFAQ: 7 Fragen zur Cloud-Nutzung nach DSGVO und ISO 27001
Ist ein Serverstandort in Deutschland Pflicht?
Nein. Die DSGVO verlangt keinen Serverstandort in Deutschland. Innerhalb des Europäischen Wirtschaftsraums gelten dieselben Regeln; für Drittländer gelten die Voraussetzungen von Kapitel V DSGVO. Ein Standort im EWR vereinfacht die Prüfung, ersetzt aber nicht den Blick auf Support-Zugriffe und Unterauftragsverarbeiter.
Dürfen US-Cloud-Dienste genutzt werden?
Ja, wenn die Voraussetzungen erfüllt sind. Für US-Unternehmen, die nach dem EU-US Data Privacy Framework zertifiziert sind, gilt seit 10.07.2023 ein Angemessenheitsbeschluss. Daneben sind Standardvertragsklauseln mit Prüfung des Schutzniveaus möglich. Hinzu kommen die üblichen Pflichten aus Art. 28 und Art. 32 DSGVO.
Ist Microsoft 365 datenschutzkonform nutzbar?
Die Datenschutzkonferenz hat am 24.11.2022 festgestellt, dass der Nachweis eines datenschutzkonformen Betriebs auf Grundlage des damaligen Datenschutznachtrags von Microsoft nicht geführt werden kann. Seitdem haben sich Verträge und Funktionen geändert. Unternehmen müssen die jeweils aktuelle Vertragslage und ihre Konfiguration selbst bewerten und dokumentieren.
Brauche ich für jeden Cloud-Dienst einen AV-Vertrag?
Nur wenn der Anbieter personenbezogene Daten im Auftrag verarbeitet. Das ist bei Cloud-Diensten fast immer der Fall, schon wegen der Benutzerkonten. Bei vielen Anbietern ist der AV-Vertrag Teil der Online-Vertragsbedingungen; er muss trotzdem geprüft und abgelegt werden.
Was ist BSI C5?
Der Cloud Computing Compliance Criteria Catalogue (C5) des BSI beschreibt Mindestanforderungen an die Informationssicherheit von Cloud-Diensten. Anbieter können sich dagegen prüfen lassen; der Prüfbericht hilft Kunden bei der Bewertung.
Muss ich Cloud-Dienste im Verzeichnis der Verarbeitungstätigkeiten aufführen?
Das Verzeichnis nach Art. 30 DSGVO führt Verarbeitungstätigkeiten, nicht Werkzeuge. Werden personenbezogene Daten in einem Cloud-Dienst verarbeitet, gehören der Dienst als Empfänger, eventuelle Drittlandübermittlungen und die Maßnahmen zu den Angaben der betroffenen Tätigkeiten.
Gelten für NIS-2-Einrichtungen zusätzliche Pflichten?
Ja. § 30 Abs. 2 BSIG verlangt unter anderem Sicherheit der Lieferkette (Nr. 4), Backup-Management (Nr. 3) und Multi-Faktor-Authentifizierung (Nr. 10). Die Geschäftsleitung muss die Umsetzung überwachen (§ 38 BSIG).
Keine Rechtsberatung. Rechtsstand: 04.11.2026.