Cloud-Dienste sind aus dem Unternehmensalltag nicht mehr wegzudenken. AWS, Microsoft Azure und Google Cloud bieten Rechenleistung, Speicher und Dienste, die intern kaum wirtschaftlich bereitzustellen wären. Aber: Die Cloud ist nicht automatisch DSGVO-konform.
Die Herausforderung liegt nicht darin, ob Cloud genutzt werden darf — das ist grundsätzlich möglich. Die Frage ist, wie sie konfiguriert, vertraglich abgesichert und überwacht wird.
Warum Cloud und DSGVO ein Spannungsfeld sind
Wenn personenbezogene Daten in eine Cloud-Infrastruktur wandern, verlassen sie die direkte Kontrolle des Unternehmens. Das schafft Fragen:
- Wo werden die Daten tatsächlich gespeichert?
- Wer hat Zugriff — auch der Anbieter?
- Was passiert bei einem Sicherheitsvorfall beim Anbieter?
- Welche Rechtsordnung gilt für die Daten?
Besonders der letzte Punkt ist entscheidend: Alle drei großen Cloud-Anbieter (AWS, Azure, Google) sind US-amerikanische Unternehmen. Datentransfers in die USA sind nach DSGVO nur unter bestimmten Voraussetzungen erlaubt.
Drittstaatentransfer: Was bedeutet das?
Die DSGVO erlaubt Datentransfers außerhalb der EU nur, wenn ein angemessenes Schutzniveau sichergestellt ist (Art. 44 ff. DSGVO). Für die USA gibt es seit 2023 das EU-US Data Privacy Framework (DPF) — ein Nachfolger des gescheiterten Privacy Shield.
Was das bedeutet:
- AWS, Azure und Google sind unter dem DPF zertifiziert — das ermöglicht Datentransfers in ihre US-Infrastruktur.
- ABER: Das DPF ist politisch nicht unumstritten. Datenschutzbehörden und Aktivisten fechten es an. Wer auf maximale Rechtssicherheit setzt, wählt EU-Rechenzentren.
EU-Rechenzentren als sicherere Alternative:
Alle drei Anbieter betreiben Rechenzentren in der EU (Frankfurt, Amsterdam, Dublin u.a.). Wenn Daten ausschließlich in EU-Regionen gespeichert und verarbeitet werden, entfällt das Drittstaatentransfer-Problem weitgehend.
AWS, Azure, Google Cloud: Was die Anbieter bereitstellen
Amazon Web Services (AWS)
AWS bietet eine Vielzahl von DSGVO-relevanten Features:
- Data Processing Addendum (DPA): AWS stellt einen standardisierten Auftragsverarbeitungsvertrag bereit — abrufbar im AWS Management Console
- EU-Regionen: eu-central-1 (Frankfurt), eu-west-1 (Irland), eu-west-3 (Paris) und weitere
- AWS Artifact: Compliance-Dokumente, Zertifizierungen (ISO 27001, SOC 2) zentral abrufbar
- AWS Config & CloudTrail: Protokollierung und Konfigurationsüberwachung für Compliance-Nachweise
Microsoft Azure
Azure ist besonders im Unternehmensbereich verbreitet — und hat entsprechend ausgeprägte Compliance-Features:
- Microsoft Products and Services Data Protection Addendum (DPA): Umfassendes AVV-Dokument, Teil der Servicevertragsbedingungen
- EU Data Boundary: Microsoft bietet für kommerzielle Kunden eine explizite EU-Datenschutzgrenze — Daten bleiben in der EU gespeichert und verarbeitet
- Microsoft Compliance Manager: Tool zur Dokumentation und Bewertung des Compliance-Status
- Azure Policy: Technische Durchsetzung von Compliance-Anforderungen (z. B. nur EU-Regionen erlaubt)
Google Cloud Platform (GCP)
Google hat in den letzten Jahren erheblich in DSGVO-Compliance investiert:
- Data Processing Agreement (DPA): Online abrufbar, DPF-zertifiziert
- Google Cloud Regions in der EU: europe-west (Belgien, Frankfurt, Zürich, London, Niederlande u.a.)
- Assured Workloads: Kontrollmechanismus, der Datenspeicherung und Verarbeitung auf definierte Regionen beschränkt
- Transparency Reports & Access Transparency: Logs, wenn Google-Mitarbeiter auf Kundendaten zugreifen
Was Unternehmen selbst sicherstellen müssen
Ein AVV mit dem Cloud-Anbieter ist Pflicht — aber nur der Anfang. Die eigentliche Arbeit liegt in der Konfiguration.
Auftragsverarbeitungsvertrag (AVV) abschließen
Cloud-Anbieter sind Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Der AVV ist Pflicht. Die meisten Anbieter stellen ihn als standardisierten Vertrag bereit — das genügt in der Regel, sollte aber geprüft werden.
Regionen konfigurieren
Nur weil ein Cloud-Anbieter EU-Rechenzentren hat, heißt das nicht, dass Ihre Ressourcen automatisch dort laufen. Region-Einstellungen müssen explizit auf EU-Standorte gesetzt werden — und technisch durchgesetzt werden (Azure Policy, AWS Service Control Policies, GCP Organization Policies).
Zugriffskontrolle und Identity Management
- Least-Privilege-Prinzip: Wer braucht welchen Zugriff?
- Multi-Faktor-Authentifizierung für alle Cloud-Konten
- Root/Admin-Accounts nur für Notfälle, regulärer Betrieb mit eingeschränkten Rollen
Verschlüsselung
Daten at rest und in transit müssen verschlüsselt sein — alle drei Anbieter bieten das standardmäßig oder als konfigurierbare Option. Besondere Sensibilität bei Schlüsselverwaltung: Wer hält die Schlüssel? Wenn der Anbieter die Schlüssel verwaltet, hat er theoretisch Zugriff auf die Daten.
Für höhere Anforderungen: Customer-Managed Keys (CMK) / Bring Your Own Key (BYOK) — die Schlüssel bleiben beim Kunden.
Protokollierung und Monitoring
Wer hat wann auf was zugegriffen? Protokolle sind nicht nur für den Schadensfall nötig — sie sind Nachweis der DSGVO-Compliance. AWS CloudTrail, Azure Monitor Logs, GCP Cloud Audit Logs sollten aktiv und gesichert sein.
Incident Response in der Cloud
Was passiert bei einem Sicherheitsvorfall beim Cloud-Anbieter? Die Meldeprozesse und Verantwortlichkeiten müssen definiert sein — inklusive der 72-Stunden-Frist nach DSGVO, wenn personenbezogene Daten betroffen sind.
Praktische Checkliste: DSGVO-konformer Cloud-Betrieb
- ✅ AVV mit Cloud-Anbieter abgeschlossen und aktuell
- ✅ Datenverarbeitung auf EU-Regionen eingeschränkt (technisch erzwungen)
- ✅ Least-Privilege für alle Zugriffsrollen konfiguriert
- ✅ MFA für alle Konten aktiv
- ✅ Verschlüsselung at rest und in transit aktiviert
- ✅ Schlüsselverwaltung geklärt (Anbieter oder Customer-Managed)
- ✅ Protokollierung (Audit Logs) aktiv und gesichert
- ✅ Incident-Response-Prozess definiert
- ✅ Verarbeitungsverzeichnis enthält Cloud-Dienste als Prozesse
Besondere Vorsicht: SaaS-Anwendungen in der Cloud
Viele Unternehmen nutzen nicht nur IaaS/PaaS von AWS/Azure/GCP, sondern auch SaaS-Anwendungen — Salesforce, HubSpot, Google Workspace, Microsoft 365. Auch hier gilt: Auftragsverarbeitungsvertrag, Datenort, Zugriffssteuerung.
Besonders kritisch: SaaS-Anwendungen, bei denen Kunden- oder Patientendaten gespeichert werden, ohne dass ein AVV vorhanden ist. Das ist kein seltenes Problem — sondern Alltag in vielen Unternehmen.
Fazit
Cloud und DSGVO widersprechen sich nicht — aber sie erfordern Sorgfalt. Wer die Konfiguration schleifen lässt, wer AVVs nicht abschließt, wer Regionen nicht kontrolliert, schafft Compliance-Risiken, die sich vermeiden lassen.
Die gute Nachricht: Alle großen Anbieter haben die nötigen Tools. Man muss sie nur nutzen.
Sie möchten Ihre Cloud-Infrastruktur datenschutzrechtlich auf den Stand bringen? Wir prüfen Ihre Konfiguration, Verträge und Prozesse — und zeigen konkret, was zu tun ist.
FAQ: Cloud Datenschutz DSGVO AWS Azure
Darf ich AWS oder Azure für DSGVO-relevante Daten nutzen?
Ja — unter den richtigen Voraussetzungen. AVV abschließen, EU-Regionen verwenden, Konfiguration prüfen. Das EU-US Data Privacy Framework ermöglicht auch US-Datentransfers, wenn keine EU-Regionen verfügbar sind.
Was ist der Unterschied zwischen EU-Region und EU Data Boundary (Azure)?
Eine EU-Region bedeutet, dass Ressourcen in EU-Rechenzentren ausgeführt werden. Azures EU Data Boundary ist ein weitergehendes Versprechen: auch Metadaten, Diagnosen und Support-Daten werden in der EU gehalten. Das ist eine höhere Garantiestufe.
Wer haftet bei einem Datenschutzverstoß durch den Cloud-Anbieter?
Grundsätzlich der Verantwortliche (Ihr Unternehmen) — denn Sie haben entschieden, welchen Auftragsverarbeiter Sie einsetzen. Der AVV regelt, wie der Anbieter Sie unterstützen muss. Eine gute Vertragsgestaltung ist daher entscheidend.
