DSGVO-Konformität für Cloud-Speicher
Ein praktischer Leitfaden für europäische Unternehmen, die Cloud-Anbieter bewerten. Was die DSGVO wirklich verlangt, warum eine „EU-Region“ nicht dasselbe ist wie souveräner EU-Speicher und wie Sie Datenresidenz, AVV und technische Maßnahmen eines Anbieters in einer Sitzung prüfen.
Die vier Säulen DSGVO-konformer Cloud-Speicherung
Die DSGVO zertifiziert keine Produkte — sie definiert Ergebnisse, die Verantwortliche erreichen müssen. Mit der Wahl eines Cloud-Anbieters erben Sie dessen Antworten auf diese vier Fragen. Wer sie falsch beantwortet, trägt gemäß Rechenschaftspflicht (Art. 5 Abs. 2) das Risiko selbst.
1. Datenresidenz
Kapitel V der DSGVO beschränkt die Übermittlung personenbezogener Daten außerhalb der EU/EWG. Wer ausschließlich in EU-betriebenen Rechenzentren speichert und verarbeitet, umgeht das Problem der Übermittlungsgrundlage — keine SCCs, kein TIA, keine Angemessenheitsdebatte.
2. Auftragsverarbeitungsvertrag
Art. 28 verlangt einen schriftlichen AVV, der Zweck, Dauer, Sub-Auftragsverarbeiter, Sicherheitsmaßnahmen und Meldepflichten festlegt. Prüfen Sie, ob der Anbieter ihn standardmäßig anbietet — nicht nur auf Anfrage.
3. Technische & organisatorische Maßnahmen
Art. 32: Verschlüsselung während der Übertragung und im Ruhezustand, Verfügbarkeit und Wiederherstellung nach Vorfällen, regelmäßige Prüfung. Achten Sie auf ISO 27001, dokumentierte DR-Prozesse, EU-gehostetes Schlüsselmanagement, RBAC und Audit-Logs.
4. Rechtliche Exposition
Schrems II war eindeutig: Der EU-Standort allein genügt nicht, wenn der Betreiber US-Extraterritorialrecht unterliegt (CLOUD Act, FISA 702, EO 12333). Bevorzugen Sie Anbieter ohne US-Mutter, ohne US-Infrastrukturlieferant und ohne US-Rechtsträger in der Kette.
Souveräner EU-Cloud-Speicher vs. US-basierte Anbieter
Nach Schrems II lautet die Frage nicht mehr „Wo liegen die Daten?“, sondern „Wer kontrolliert den Betreiber?“. So schneiden beide Modelle gegenüber den DSGVO-Säulen ab.
| Kriterium | Souverän EU (vBoxxCloud) | US-Hyperscaler „EU-Region“ |
|---|---|---|
| Standort Rechenzentrum | Niederlande & Deutschland, vBoxx-eigen | EU-Region, US-betrieben |
| Rechtlicher Betreiber | EU-Entität (vBoxx B.V., NL) | US-Mutter + EU-Tochter |
| CLOUD Act / FISA 702 Exposition | Keine | Ja — extraterritorial anwendbar |
| Schrems-II-Übermittlungsrisiko | Keine Übermittlung in Drittland | Anhaltende rechtliche Debatte |
| AVV standardmäßig | Ja, im Abo enthalten | Verfügbar, oft vertragsabhängig |
| Sub-Auftragsverarbeiter | Nur EU, veröffentlichte Liste | Global, oft inkl. US-Töchter |
| ISO 27001 zertifiziert | Ja | Ja |
| Schlüsselmanagement | EU-gehostet | Standardmäßig oft US-gehostet |
Checkliste zur Anbieterbewertung
Bevor Sie unterschreiben, verlangen Sie vom Anbieter schriftlich eine klare Antwort auf jeden der folgenden Punkte. Lautet eine Antwort „kommt darauf an“ oder „auf Anfrage“, verlagert sich die Rechenschaftspflicht stillschweigend auf Sie.
- Wo werden Kundendaten physisch gespeichert und von welcher Rechtseinheit?
- Gibt es in der Kette eine US-Mutter, US-Sub-Auftragsverarbeiter oder US-Infrastrukturlieferanten?
- Wird ein AVV nach Art. 28 standardmäßig angeboten und dürfen wir ihn vor Vertragsschluss prüfen?
- Welche Sub-Auftragsverarbeiter haben Zugriff, und wie werden wir über Änderungen informiert?
- Sind Daten während der Übertragung und im Ruhezustand verschlüsselt? Wo werden die Schlüssel verwaltet?
- Welche Zertifikate belegen die technischen Maßnahmen (ISO 27001, ISAE 3402, C5)?
- Wie hoch sind RTO/RPO für die Wiederherstellung nach einem Vorfall?
- Wie werden Betroffenenrechte (Auskunft, Berichtigung, Löschung) bearbeitet?
- Wie lautet die SLA zur Meldung von Datenschutzverletzungen an den Verantwortlichen?
- Wie lange stehen Daten nach Kündigung zum Export bereit und wann werden sie gelöscht?
Häufig gestellte Fragen
Ist DSGVO-konformer Cloud-Speicher bei einem US-Anbieter überhaupt möglich?
Nicht vollständig. Selbst wenn die Daten in einer EU-Region liegen, unterliegen US-Anbieter dem US CLOUD Act und FISA 702 — diese Gesetze können die Herausgabe von Kundendaten unabhängig vom Speicherort erzwingen. Das Schrems-II-Urteil hat Privacy Shield genau aus diesem Grund für ungültig erklärt. Für durchgängige DSGVO-Konformität braucht es einen Anbieter ohne US-Mutter, ohne US-Betreiber und ohne US-Rechtsträger in der Verarbeitungskette.
Was bedeutet „Datenresidenz“ im Sinne der DSGVO?
Datenresidenz ist der physische und rechtliche Ort, an dem personenbezogene Daten gespeichert und verarbeitet werden. Die DSGVO verbietet Übermittlungen außerhalb der EU/EWG nicht grundsätzlich, verlangt aber gemäß Art. 44 ff. einen Angemessenheitsbeschluss oder zusätzliche Maßnahmen. Wer Daten ausschließlich in EU-betriebenen Rechenzentren hält, umgeht das Problem der Übermittlungsgrundlage vollständig.
Was muss ein DSGVO-Auftragsverarbeitungsvertrag (AVV) enthalten?
Art. 28 DSGVO verlangt, dass der AVV Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Kategorien betroffener Personen und personenbezogener Daten sowie die Rechte des Verantwortlichen festlegt. Er muss außerdem Sub-Auftragsverarbeiter benennen, die Sicherheitsmaßnahmen beschreiben und den Auftragsverarbeiter zur Unterstützung bei Betroffenenanfragen und Meldung von Datenschutzverletzungen verpflichten.
Welche technischen Maßnahmen erwartet die DSGVO von einem Cloud-Anbieter?
Art. 32 verlangt geeignete Maßnahmen wie Verschlüsselung während der Übertragung und im Ruhezustand, Integrität und Verfügbarkeit der Systeme, die Fähigkeit zur Wiederherstellung nach Vorfällen und die regelmäßige Überprüfung der Kontrollen. Achten Sie auf ISO 27001, dokumentierte Backup- und DR-Prozesse, EU-gehostetes Schlüsselmanagement sowie rollenbasierten Zugriff mit Audit-Logs.
Wie unterscheidet sich vBoxxCloud von den „EU-Regionen“ von Microsoft 365 oder Google Workspace?
Die EU Data Boundary von Microsoft und die Sovereign Controls von Google speichern Daten in EU-Rechenzentren, werden aber von US-Unternehmen betrieben. Damit bleiben sie US-Extraterritorialrecht ausgesetzt. vBoxxCloud wird von der vBoxx B.V. in den Niederlanden auf eigener Infrastruktur in NL und DE betrieben — ohne US-Mutter und ohne US-Sub-Auftragsverarbeiter. US-Behörden können daher keine Herausgabe erzwingen.