Da Unternehmen zunehmend auf die Cloud setzen, um Dateien zu speichern und zu teilen, ist „DSGVO-konformer Cloud-Speicher“ zu einem häufigen Verkaufsargument geworden. Doch was bedeutet das eigentlich?

Tatsächlich gibt es keine offizielle DSGVO-Zertifizierung für Cloud-Speicheranbieter. Ob eine Lösung DSGVO-konform eingesetzt wird, hängt sowohl von den Sicherheitsmaßnahmen des Anbieters als auch davon ab, wie Ihre Organisation den Dienst nutzt. Die Wahl der richtigen Plattform kann die Einhaltung der DSGVO erheblich erleichtern, entbindet Unternehmen jedoch nicht von ihren eigenen Pflichten.

Die Datenschutz-Grundverordnung (DSGVO) legt fest, wie Organisationen personenbezogene Daten erheben, verarbeiten und schützen müssen. Bei der Nutzung von Cloud-Speicher agiert der Anbieter in der Regel als Auftragsverarbeiter, während Ihre Organisation der Verantwortliche bleibt.

Das bedeutet: Der Anbieter verarbeitet und schützt Daten in Ihrem Auftrag gemäß den vertraglichen Vereinbarungen und den für Auftragsverarbeiter geltenden DSGVO-Anforderungen. Ihre Organisation bleibt jedoch dafür verantwortlich, festzulegen, warum und wie personenbezogene Daten verarbeitet werden. Dazu gehören unter anderem die Entscheidung darüber, wer Zugriff auf die Daten erhält, wie lange sie gespeichert werden und wie die Rechte betroffener Personen gewährleistet werden.

Wichtig ist auch: Die DSGVO schreibt keine bestimmten Technologien vor und verpflichtet Unternehmen nicht zur Nutzung eines bestimmten Cloud-Dienstes. Stattdessen verlangt sie geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten, wobei Art der Daten und die damit verbundenen Risiken berücksichtigt werden müssen.

In der Praxis bedeutet das, einen Anbieter mit starken Sicherheitsmaßnahmen auszuwählen, die erforderlichen vertraglichen Absicherungen zu treffen, den Zugriff auf autorisierte Personen zu beschränken und die Einhaltung der Vorschriften bei Bedarf gegenüber Aufsichtsbehörden nachweisen zu können.

Mit anderen Worten: DSGVO-konformer Cloud-Speicher hängt nicht allein von der Plattform ab. Entscheidend ist das Zusammenspiel aus Technologie, Verträgen und internen Prozessen.

Eines der größten Missverständnisse ist die Annahme, dass die Speicherung von Daten in der EU einen Cloud-Dienst automatisch DSGVO-konform macht. Zwar kann die Speicherung personenbezogener Daten im Europäischen Wirtschaftsraum (EWR) die Compliance vereinfachen, da internationale Datentransfers reduziert werden, sie ist jedoch nur ein Teil des Gesamtbildes. Unternehmen müssen zusätzlich geeignete Sicherheitsmaßnahmen umsetzen, Zugriffe auf personenbezogene Daten kontrollieren und die Grundsätze der DSGVO wie Datenminimierung, Zweckbindung und Speicherbegrenzung einhalten.

Ein weiterer verbreiteter Irrtum ist, dass der Cloud-Anbieter die DSGVO-Konformität vollständig übernimmt. Tatsächlich handelt es sich um eine geteilte Verantwortung. Selbst die sicherste Cloud-Plattform kann keine zu weit gefassten Benutzerberechtigungen, mangelhafte Aufbewahrungsrichtlinien oder versehentliche Datenweitergaben verhindern. Wenn beispielsweise Mitarbeitende einen Ordner mit Kundendaten mit mehr Personen teilen als nötig, entsteht das Datenschutzrisiko durch die Zugriffsrechte und nicht durch den Speicherort der Dateien.

Schließlich wird Verschlüsselung häufig als das ultimative Compliance-Merkmal betrachtet. Verschlüsselung ist zwar eine wichtige Schutzmaßnahme, aber nur ein Bestandteil einer umfassenden Datenschutzstrategie. Die DSGVO betont zudem die Rechenschaftspflicht. Unternehmen sollten nachweisen können, wie personenbezogene Daten geschützt werden, etwa durch Audit-Logs, Zugriffskontrollen, dokumentierte Richtlinien und Governance-Prozesse.

Die DSGVO-Konformität in der Cloud ist eine gemeinsame Verantwortung.

Cloud-Anbieter sind dafür verantwortlich, ihre Infrastruktur sicher zu betreiben, Kundendaten innerhalb ihrer Umgebung zu schützen und personenbezogene Daten gemäß den vereinbarten Vertragsbedingungen zu verarbeiten. Unternehmen bleiben hingegen dafür verantwortlich zu entscheiden, welche personenbezogenen Daten gespeichert werden, wer Zugriff darauf hat, wie lange sie aufbewahrt werden und ob ihre Verarbeitung den Anforderungen der DSGVO entspricht.

Diese Unterscheidung zu verstehen, ist entscheidend. Selbst eine hochsichere Cloud-Plattform kann kein schlechtes Berechtigungsmanagement, übermäßige Datensammlung oder unzureichende interne Richtlinien ausgleichen. Umgekehrt lassen sich starke interne Datenschutzrichtlinien deutlich einfacher umsetzen, wenn der Cloud-Anbieter die erforderlichen Sicherheitsfunktionen und Administrationskontrollen bereitstellt.

Wenn Sie eine Cloud-Speicherlösung bewerten, sollten Sie über Marketingaussagen hinausblicken und prüfen, ob die Lösung die DSGVO-Anforderungen Ihrer Organisation unterstützt.

Die DSGVO enthält zwar keine Checkliste verpflichtender Cloud-Speicher-Funktionen, verlangt jedoch, dass personenbezogene Daten durch geeignete Sicherheitsmaßnahmen geschützt werden, Auftragsverarbeiter ausreichende Garantien bieten, Rechenschaftspflichten erfüllt werden und die Rechte betroffener Personen gewahrt bleiben.

In der Praxis sollte ein Cloud-Anbieter unter anderem folgende Funktionen bereitstellen:

• Starke Verschlüsselung für gespeicherte und übertragene Daten
• Granulare Zugriffskontrollen nach dem Least-Privilege-Prinzip
• Multi-Faktor-Authentifizierung (MFA)
• Umfassende Audit-Logs und Aktivitätsberichte
• Einen Auftragsverarbeitungsvertrag (AVV), der Verantwortlichkeiten klar regelt
• Sichere Dateifreigabe und Berechtigungsverwaltung
• Unterstützung für Aufbewahrungsrichtlinien und sichere Datenlöschung
• Transparenz hinsichtlich Unterauftragsverarbeitern und internationaler Datenübermittlungen

Diese Funktionen machen ein Unternehmen nicht automatisch DSGVO-konform, stellen jedoch wichtige Werkzeuge bereit, um regulatorische Anforderungen zu erfüllen.

Datenresidenz und Datensouveränität sind eng miteinander verbunden, betreffen jedoch unterschiedliche Aspekte des Datenschutzes.

Datenresidenz beschreibt den geografischen Ort, an dem Daten gespeichert werden. Die Speicherung personenbezogener Daten innerhalb des EWR kann die Compliance vereinfachen, da weniger internationale Übermittlungsmechanismen erforderlich sind. Sie allein entscheidet jedoch nicht darüber, ob ein Cloud-Dienst DSGVO-konform ist.

Datensouveränität bezieht sich darauf, welche Rechtsordnung Zugriff auf die Daten beanspruchen kann. Ein Anbieter kann Kundendaten zwar in Europa speichern, gleichzeitig aber aufgrund seines Unternehmenssitzes oder seiner Geschäftstätigkeit außerhalb der EU anderen Rechtsvorschriften unterliegen. Für Organisationen, die mit sensiblen Daten arbeiten, ist es daher wichtig zu verstehen, sowohl wo Daten gespeichert werden als auch welche rechtlichen Rahmenbedingungen potenziell Zugriff auf diese Daten ermöglichen.

Viele DSGVO-Probleme entstehen nicht durch die Cloud-Plattform selbst, sondern durch deren Konfiguration und Verwaltung.

Zu den häufigsten Fehlern gehören unveränderte Standard-Freigabeeinstellungen, zu weit gefasste Berechtigungen, die unbegrenzte Speicherung personenbezogener Daten oder das Versäumnis, Zugriffsrechte regelmäßig zu überprüfen. Unternehmen übersehen zudem manchmal die Unterauftragsverarbeiter ihres Anbieters und haben kein vollständiges Bild davon, wo personenbezogene Daten verarbeitet werden.

Auch beim Thema Verschlüsselung kommt es häufig zu Missverständnissen. Viele Cloud-Anbieter werben mit Verschlüsselung, doch die Art der Verschlüsselung ist entscheidend. Bei vielen Diensten behält der Anbieter die Kontrolle über die Verschlüsselungsschlüssel und könnte technisch auf Kundendaten zugreifen.

Diese Risiken lassen sich häufig durch klare Richtlinien, regelmäßige Überprüfungen von Zugriffsrechten und die Wahl eines Anbieters vermeiden, der die notwendige Transparenz und die erforderlichen Kontrollen bereitstellt.

Verlassen Sie sich nicht auf Marketingaussagen wie „DSGVO-konform“. Bewerten Sie Cloud-Anbieter stattdessen anhand praktischer Fragen:

• Ist ein Auftragsverarbeitungsvertrag (AVV) verfügbar?
• Wo werden Kundendaten gespeichert und gibt es Optionen zur Datenresidenz?
• Wie werden Daten verschlüsselt und wer kontrolliert die Verschlüsselungsschlüssel? Bietet der Anbieter Ende-zu-Ende-Verschlüsselung, sodass nur autorisierte Nutzer auf Dateiinhalte zugreifen können?
• Können Administratoren Multi-Faktor-Authentifizierung und granulare Zugriffskontrollen durchsetzen?
• Sind detaillierte Audit-Logs verfügbar?
• Legt der Anbieter seine Unterauftragsverarbeiter offen und erläutert er den Umgang mit internationalen Datenübermittlungen?
• Welche Möglichkeiten gibt es für Datenaufbewahrung und sichere Löschung?
• Lässt der Anbieter unabhängige Sicherheitsaudits durchführen oder verfügt er über anerkannte Zertifizierungen wie ISO 27001?

Die Antworten auf diese Fragen vermitteln ein wesentlich klareres Bild über das Engagement eines Anbieters für Datenschutz und Sicherheit als jede Marketingaussage.

Fazit

DSGVO-konformer Cloud-Speicher ist kein Produkt, das man einfach kaufen kann. Er entsteht durch die Kombination aus dem richtigen Anbieter, geeigneten Sicherheitsmaßnahmen und einem verantwortungsvollen Umgang mit personenbezogenen Daten innerhalb der eigenen Organisation.