Die digitale Transformation erfordert von Unternehmen zunehmend flexible Speicherlösungen, jedoch stellt die Speicherung personenbezogener Daten in Cloud-Umgebungen besondere Anforderungen an Datenschutz und Compliance. Während Cloud-Dienste Skalierbarkeit und Kosteneffizienz bieten, müssen Verantwortliche gleichzeitig sicherstellen, dass alle gesetzlichen Vorgaben eingehalten werden. Dieser Leitfaden zeigt praxisnah, welche rechtlichen Rahmenbedingungen gelten, welche technischen Maßnahmen erforderlich sind und wie Unternehmen personenbezogene daten cloud speichern können, ohne gegen die Datenschutz-Grundverordnung zu verstoßen.
Rechtliche Grundlagen für Cloud-Speicherung
Die DSGVO regelt seit 2018 den Umgang mit personenbezogenen Daten in der Europäischen Union umfassend und gilt dabei für sämtliche Verarbeitungsvorgänge, unabhängig davon, ob diese lokal oder in der Cloud erfolgen. Somit unterliegt auch das Speichern von Daten in Cloud-Infrastrukturen denselben strengen Anforderungen wie traditionelle On-Premise-Lösungen. Wichtig ist dabei zu verstehen, dass die DSGVO nicht ausschließlich Cloud-Daten betrifft, sondern alle Formen personenbezogener Informationen erfasst.
Definition personenbezogener Daten
Personenbezogene Daten umfassen alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu gehören offensichtliche Daten wie Namen, E-Mail-Adressen und Telefonnummern, aber auch weniger offensichtliche Informationen wie IP-Adressen, Standortdaten oder Online-Kennungen. Besonders sensible Datenkategorien wie Gesundheitsdaten, biometrische Daten oder Angaben zur ethnischen Herkunft unterliegen zusätzlich verschärften Schutzanforderungen.
Verantwortung und Auftragsverarbeitung
Beim personenbezogene daten cloud speichern treten typischerweise zwei zentrale Rollen auf: der Verantwortliche und der Auftragsverarbeiter. Der Verantwortliche ist das Unternehmen, das über Zweck und Mittel der Datenverarbeitung entscheidet, während der Cloud-Anbieter meist als Auftragsverarbeiter fungiert. Diese Konstellation erfordert jedoch einen schriftlichen Auftragsverarbeitungsvertrag (AVV), der die Pflichten des Dienstleisters detailliert festlegt.
Wesentliche Inhalte eines AVV:
- Präzise Beschreibung des Verarbeitungsgegenstands und der Verarbeitungsdauer
- Art und Zweck der Verarbeitung sowie Kategorien personenbezogener Daten
- Pflichten und Rechte des Verantwortlichen
- Technische und organisatorische Maßnahmen (TOM) des Auftragsverarbeiters
- Regelungen zu Subunternehmern und deren Prüfung
- Unterstützungspflichten bei Betroffenenanfragen und Datenschutz-Folgenabschätzungen
Technische und organisatorische Maßnahmen
Die DSGVO verlangt in Artikel 32 angemessene technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dabei müssen Verantwortliche den Stand der Technik, die Implementierungskosten sowie Art, Umfang und Zweck der Verarbeitung berücksichtigen. Technische und organisatorische Maßnahmen für Cloud-Computing bilden somit das Fundament jeder rechtssicheren Cloud-Nutzung.
Verschlüsselungstechnologien
Die Verschlüsselung stellt eine der wirksamsten Schutzmaßnahmen dar, wenn Unternehmen personenbezogene daten cloud speichern möchten. Dabei unterscheidet man verschiedene Ansätze:
| Verschlüsselungsart | Zeitpunkt | Sicherheitsniveau | Anwendungsfall |
|---|---|---|---|
| Transport-Verschlüsselung | Während Übertragung | Mittel | TLS/SSL für Datenübertragung |
| Server-seitige Verschlüsselung | Im Ruhezustand | Hoch | Speicherung auf Server |
| Client-seitige Verschlüsselung | Vor Übertragung | Sehr hoch | Verschlüsselung durch Nutzer |
| Ende-zu-Ende-Verschlüsselung | Komplett | Höchst | Nur Empfänger kann entschlüsseln |
Moderne Cloud-Lösungen setzen typischerweise auf 256-Bit-AES-Verschlüsselung, die als praktisch unknackbar gilt. Dennoch sollten Unternehmen darauf achten, dass Verschlüsselungsschlüssel entweder beim Kunden verbleiben oder durch zusätzliche Mechanismen geschützt sind. Ende-zu-Ende-Verschlüsselung trägt wesentlich zur DSGVO-Konformität bei, da sie sicherstellt, dass selbst der Cloud-Anbieter keinen Zugriff auf die Klartextdaten erhält.
Zugriffskontrolle und Authentifizierung
Neben der Verschlüsselung bilden Zugriffskontrollmechanismen einen weiteren zentralen Baustein. Daher müssen Unternehmen implementieren:
- Rollenbasierte Zugriffsrechte (RBAC): Benutzer erhalten ausschließlich die Berechtigungen, die für ihre Tätigkeiten erforderlich sind
- Zwei-Faktor-Authentifizierung (2FA): Zusätzliche Sicherheitsebene durch zweiten Authentifizierungsfaktor
- Single Sign-On (SSO): Zentrale Verwaltung von Anmeldeinformationen bei gleichzeitiger Sicherheit
- Audit-Logs: Lückenlose Protokollierung aller Zugriffe und Änderungen
Besonders bei sensiblen Daten empfiehlt sich außerdem die Implementierung eines Passwortmanagers für Teams, der zentrale Richtlinien durchsetzt. Ein Beispiel hierfür ist LC-Pass, das als DSGVO-konformer Passwortmanager Zero-Knowledge-Verschlüsselung bietet und eine zentrale Verwaltung von Zugriffsrechten sowie Sicherheitsrichtlinien ermöglicht.
Standortwahl und Drittlandtransfers
Der geografische Standort der Server spielt eine entscheidende Rolle beim personenbezogene daten cloud speichern. Innerhalb der EU und des Europäischen Wirtschaftsraums gelten einheitliche Datenschutzstandards, während Transfers in Drittländer besondere Anforderungen erfüllen müssen. Nach dem Schrems-II-Urteil des EuGH im Jahr 2020 wurde der Privacy Shield zwischen der EU und den USA für ungültig erklärt, wodurch sich die rechtlichen Anforderungen verschärft haben.
Rechenzentren in Deutschland
Deutsche Rechenzentren bieten erhebliche Vorteile für Unternehmen, die personenbezogene daten cloud speichern:
- Anwendung deutschen Datenschutzrechts: Strenges Bundesdatenschutzgesetz ergänzt DSGVO
- Keine Drittlandproblematik: Kein Privacy Shield oder Standardvertragsklauseln erforderlich
- Physischer Schutz: Hohe Standards für Zugangskontrollen und Sicherheit
- ISO-27001-Zertifizierung: Internationale Anerkennung des Informationssicherheits-Managements
- Niedrige Latenz: Schnellere Zugriffszeiten für europäische Nutzer
Personenbezogene Daten in der Cloud zu speichern erfordert somit eine sorgfältige Prüfung des Serverstandorts. Unternehmen sollten dabei transparent dokumentieren, wo ihre Daten physisch gespeichert werden.
Umgang mit Drittlandtransfers
Falls Drittlandtransfers unvermeidbar sind, müssen Verantwortliche zusätzliche Schutzmaßnahmen implementieren. Dazu gehören:
- Abschluss von Standardvertragsklauseln (SCC) in der aktuellen Fassung
- Durchführung einer Transfer Impact Assessment (TIA)
- Prüfung der Rechtslage im Zielland hinsichtlich Zugriffsmöglichkeiten von Behörden
- Implementierung zusätzlicher technischer Maßnahmen wie Verschlüsselung
- Dokumentation der getroffenen Entscheidungen und Risikoabwägungen
Branchenspezifische Anforderungen
Verschiedene Branchen unterliegen beim personenbezogene daten cloud speichern zusätzlichen sektorspezifischen Regelungen, die über die allgemeinen DSGVO-Anforderungen hinausgehen. Deshalb müssen Unternehmen ihre Cloud-Strategie an die jeweiligen Besonderheiten anpassen.
Gesundheitswesen und Patientendaten
Gesundheitsdaten zählen zu den besonderen Kategorien personenbezogener Daten gemäß Artikel 9 DSGVO und erfordern daher erhöhte Schutzmaßnahmen. Darüber hinaus gelten spezielle Vorschriften wie das Patientendatengesetz und die ärztliche Schweigepflicht. Cloud-Lösungen für Arztpraxen, Kliniken und Therapeuten müssen folglich besonders strenge Anforderungen erfüllen.
Besondere Anforderungen im Gesundheitswesen:
- Explizite Einwilligung der Patienten zur Cloud-Speicherung
- Technische Maßnahmen zur Pseudonymisierung oder Anonymisierung
- Strikte Trennung von Patientendaten verschiedener Mandanten
- Notfallzugriff für behandelnde Ärzte bei gleichzeitiger Protokollierung
- Regelmäßige Sicherheitsaudits und Penetrationstests
Bauwesen und Projektdaten
Im Bauwesen fallen umfangreiche personenbezogene Daten an, von Mitarbeiterdaten über Subunternehmerkontakte bis hin zu Grundstückseigentümern. Außerdem müssen Bauprojekte häufig über längere Zeiträume dokumentiert werden, wodurch sich besondere Anforderungen an Archivierung und Löschkonzepte ergeben. Die Zusammenarbeit mit zahlreichen externen Partnern erfordert zudem flexible Freigabemechanismen bei gleichzeitiger Kontrolle über die Datenzugriffe.
Bildungseinrichtungen und Schülerdaten
Schulen und Universitäten verarbeiten besonders schützenswerte Daten von Minderjährigen, weshalb erhöhte Sorgfaltspflichten gelten. Dennoch bietet Cloud-Speicher erhebliche Vorteile für die digitale Zusammenarbeit in Bildungseinrichtungen. Wichtig ist dabei die Einhaltung der länderspezifischen Schulgesetze und Datenschutzverordnungen, die teilweise über die DSGVO hinausgehen.
Betroffenenrechte und deren Umsetzung
Die DSGVO gewährt betroffenen Personen umfassende Rechte, die Unternehmen auch bei Cloud-Speicherung gewährleisten müssen. Folglich sollten Cloud-Lösungen technische Funktionen bereitstellen, die die Ausübung dieser Rechte erleichtern. Welche personenbezogenen Daten in Cloud-Services gespeichert werden und wie Betroffenenrechte umgesetzt werden, muss transparent dokumentiert sein.
Übersicht der wichtigsten Betroffenenrechte
| Recht | Beschreibung | Umsetzung in Cloud |
|---|---|---|
| Auskunft | Information über gespeicherte Daten | Export-Funktion für alle Daten |
| Berichtigung | Korrektur falscher Daten | Bearbeitungsmöglichkeit für Nutzer |
| Löschung | Recht auf Vergessenwerden | Vollständige Datenlöschung inkl. Backups |
| Einschränkung | Temporäre Verarbeitungssperre | Markierung und Zugriffsbeschränkung |
| Datenübertragbarkeit | Export in maschinenlesbarem Format | Standardisierte Exportformate |
| Widerspruch | Widerspruch gegen Verarbeitung | Sofortige Einstellung der Verarbeitung |
Prozesse für Betroffenenanfragen
Unternehmen sollten standardisierte Prozesse etablieren, um Betroffenenanfragen innerhalb der gesetzlichen Frist von einem Monat zu beantworten. Dabei unterstützen Cloud-Lösungen durch automatisierte Exportfunktionen, Suchfunktionen zum Auffinden aller Daten einer Person sowie Löschfunktionen, die auch Backups erfassen. Dennoch bleibt die rechtliche Bewertung, ob eine Anfrage berechtigt ist, beim Verantwortlichen.
Datensicherheit und Backup-Strategien
Verfügbarkeit und Integrität der Daten gehören zu den zentralen Schutzzielen der Informationssicherheit. Dementsprechend müssen Unternehmen, die personenbezogene daten cloud speichern, robuste Backup- und Wiederherstellungsstrategien implementieren. Dabei gilt es, verschiedene Risikoszenarien wie technische Ausfälle, menschliche Fehler oder Cyberangriffe zu berücksichtigen.
Versionierung und Wiederherstellung
Moderne Cloud-Lösungen bieten Versionierungsfunktionen, die automatisch frühere Versionen von Dateien aufbewahren. Dies ermöglicht nicht nur die Wiederherstellung versehentlich gelöschter oder beschädigter Dateien, sondern schützt auch vor Ransomware-Angriffen. Wichtig ist dabei, dass Versionierungszeiträume angemessen konfiguriert werden und ausreichend Speicherplatz für historische Versionen bereitsteht.
Empfohlene Backup-Strategie (3-2-1-Regel):
- 3 Kopien: Produktivdaten plus zwei Backups
- 2 verschiedene Medientypen: Beispielsweise Cloud und lokaler Speicher
- 1 Kopie extern: Geografisch getrennte Speicherung für Notfallszenarien
Schutz vor Ransomware
Ransomware-Angriffe stellen eine wachsende Bedrohung dar, weshalb Cloud-Anbieter spezielle Schutzmaßnahmen implementieren sollten. Dazu gehören unveränderliche Backups (Immutable Backups), die auch von Angreifern mit Zugriff auf das System nicht verschlüsselt werden können. Außerdem helfen Anomalie-Erkennungssysteme dabei, ungewöhnliche Aktivitätsmuster frühzeitig zu identifizieren.
Compliance-Monitoring und Dokumentation
Die Einhaltung datenschutzrechtlicher Anforderungen beim personenbezogene daten cloud speichern erfordert kontinuierliche Überwachung und lückenlose Dokumentation. Somit müssen Unternehmen Prozesse etablieren, die sowohl die technische Compliance als auch die organisatorische Umsetzung sicherstellen. Die DSGVO-Anforderungen an Cloud-Speicher umfassen dabei weit mehr als nur technische Maßnahmen.
Verzeichnis von Verarbeitungstätigkeiten
Artikel 30 DSGVO verpflichtet Unternehmen zur Führung eines Verzeichnisses aller Verarbeitungstätigkeiten. Für Cloud-Speicher bedeutet dies:
- Dokumentation des Verarbeitungszwecks und der Rechtsgrundlage
- Beschreibung der Kategorien betroffener Personen und personenbezogener Daten
- Angabe der Empfänger, einschließlich Auftragsverarbeiter
- Dokumentation von Drittlandtransfers und angewandten Garantien
- Festlegung der Löschfristen für verschiedene Datenkategorien
- Beschreibung der technischen und organisatorischen Maßnahmen
Datenschutz-Folgenabschätzung
Bei hohem Risiko für die Rechte und Freiheiten natürlicher Personen ist eine Datenschutz-Folgenabschätzung (DSFA) durchzuführen. Dies gilt insbesondere bei umfangreicher Verarbeitung sensibler Daten in der Cloud. Dabei müssen Verantwortliche systematisch bewerten, welche Risiken bestehen und welche Maßnahmen zur Risikominimierung getroffen werden. Die DSFA sollte vor Beginn der Verarbeitung durchgeführt und bei wesentlichen Änderungen aktualisiert werden.
Mitarbeiter-Schulung und Sensibilisierung
Selbst die beste technische Infrastruktur schützt nicht vor Sicherheitsvorfällen durch menschliches Versagen. Deshalb stellt die Schulung und Sensibilisierung der Mitarbeiter einen unverzichtbaren Baustein dar, wenn Unternehmen personenbezogene daten cloud speichern. Regelmäßige Trainings vermitteln nicht nur rechtliche Grundlagen, sondern auch praktische Verhaltensweisen für den sicheren Umgang mit Cloud-Diensten.
Schulungsinhalte für Cloud-Nutzung:
- Grundlagen der DSGVO und betrieblicher Datenschutzrichtlinien
- Sichere Authentifizierung und Passwortverwaltung
- Erkennung von Phishing-Versuchen und Social Engineering
- Korrekte Klassifizierung und Handhabung verschiedener Datentypen
- Umgang mit Betroffenenanfragen und Meldepflichten
- Incident-Response-Prozesse bei Sicherheitsvorfällen
Zusätzlich sollten Unternehmen klare Richtlinien für die Nutzung von Cloud-Diensten etablieren, die regeln, welche Daten in welchen Systemen gespeichert werden dürfen. Dabei hilft außerdem die Implementierung technischer Kontrollen, die riskante Verhaltensweisen automatisch erkennen und unterbinden.
Auswahlkriterien für Cloud-Anbieter
Die Wahl des richtigen Cloud-Anbieters entscheidet maßgeblich über die Rechtmäßigkeit und Sicherheit beim personenbezogene daten cloud speichern. Daher sollten Unternehmen systematisch verschiedene Anbieter anhand objektiver Kriterien bewerten. Eine fundierte Entscheidung berücksichtigt dabei technische, rechtliche und wirtschaftliche Aspekte gleichermaßen.
Prüfkriterien für DSGVO-Konformität
Bei der Anbieterauswahl sollten folgende Aspekte systematisch geprüft werden:
- Serverstandort: Rechenzentren ausschließlich in der EU, idealerweise in Deutschland
- Zertifizierungen: ISO 27001, ISO 27018, BSI C5 oder vergleichbare Standards
- Auftragsverarbeitungsvertrag: Vollständiger AVV gemäß Art. 28 DSGVO bereits vorbereitet
- Subunternehmer: Transparente Liste aller eingesetzten Subauftragsverarbeiter
- Technische Maßnahmen: Verschlüsselung, Zugangskontrollen, Monitoring
- Support und Dokumentation: Deutschsprachiger Support und ausführliche Datenschutzdokumentation
Darüber hinaus sollten Unternehmen die finanzielle Stabilität und Reputation des Anbieters prüfen, da ein Anbieterwechsel mit erheblichem Aufwand verbunden sein kann. Referenzen aus der eigenen Branche sowie unabhängige Audits geben zusätzliche Sicherheit.
Vertragsgestaltung und SLAs
Neben dem AVV sollten klare Service Level Agreements (SLAs) vereinbart werden, die Verfügbarkeit, Reaktionszeiten und Wiederherstellungszeiten definieren. Wichtig sind außerdem Regelungen zu:
- Kündigungsfristen und Datenrückgabe in maschinenlesbarem Format
- Benachrichtigungspflichten bei Sicherheitsvorfällen
- Unterstützung bei Audits und Behördenanfragen
- Haftung bei Datenschutzverletzungen
- Preisanpassungsklauseln und Kostentransparenz
Integration in bestehende IT-Landschaften
Die Integration von Cloud-Speicher in bestehende IT-Infrastrukturen erfordert sorgfältige Planung, damit Datenflüsse kontrolliert bleiben und keine Sicherheitslücken entstehen. Dabei müssen Unternehmen verschiedene Schnittstellen, Protokolle und Authentifizierungsmechanismen berücksichtigen. Außerdem sollte die Cloud-Lösung nahtlos mit bereits eingesetzten Systemen wie ERP, CRM oder Projektmanagement-Tools zusammenarbeiten.
Hybrid-Cloud-Strategien
Viele Unternehmen setzen auf Hybrid-Ansätze, bei denen besonders sensible Daten lokal verbleiben, während weniger kritische Informationen in der Cloud gespeichert werden. Dies ermöglicht eine differenzierte Risikosteuerung beim personenbezogene daten cloud speichern. Dennoch erfordert eine Hybrid-Strategie klare Regeln, welche Daten wo gespeichert werden, sowie Mechanismen zur Synchronisation und konsistenten Zugriffskontrolle über beide Umgebungen hinweg.
Die rechtssichere Speicherung personenbezogener Daten in der Cloud erfordert ein Zusammenspiel aus technischen Schutzmaßnahmen, organisatorischen Prozessen und der Wahl eines vertrauenswürdigen Anbieters. Unternehmen, die diese Anforderungen systematisch umsetzen, profitieren von der Flexibilität und Effizienz der Cloud ohne Kompromisse beim Datenschutz. leitzcloud by vBoxx bietet als deutsche Cloud-Plattform genau diese Kombination: DSGVO-konforme Lösungen mit 256-Bit-Verschlüsselung, ISO-27001-zertifizierten Rechenzentren in Deutschland und einem integrierten Portfolio aus Cloud-Speicher, Passwortmanagement und Kommunikationstools, die speziell auf die Anforderungen deutscher Unternehmen zugeschnitten sind.
