DSGVO-konforme Cloud-Software: worauf Sie achten müssen

Es ist meistens die erste Frage, die ein deutscher Kunde stellt: Wo liegen die Daten und wer kommt daran?

Diese Frage entscheidet häufiger über einen Auftrag als jede Funktionsliste. Und sie lässt sich beantworten — man muss nur wissen, welche Unterlagen und welche Auskünfte man braucht.

Wichtig vorweg: Dies ist keine Rechtsberatung. Wir setzen die technische Seite um. Verträge, Verzeichnisse und Fristen gehören zu einem Fachanwalt oder Ihrem Datenschutzbeauftragten. Dieser Artikel sagt Ihnen, worüber Sie mit beiden sprechen sollten.

Der AVV: was er ist und warum Sie ihn brauchen

Sobald ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet, brauchen Sie mit ihm einen Vertrag zur Auftragsverarbeitung, kurz AVV.

Das betrifft mehr Anbieter, als die meisten annehmen: das CRM, den Hoster, den Newsletter-Dienst, das Buchhaltungsprogramm in der Cloud, das Analyse-Tool, oft auch den Support-Chat.

Die Verantwortung bleibt dabei bei Ihnen. Das ist der Punkt, der am häufigsten missverstanden wird: Sie bleiben verantwortlich, auch wenn ein anderer die Daten technisch verarbeitet.

Was in einem AVV üblicherweise geregelt sein muss:

Gegenstand, Dauer, Art und Zweck der Verarbeitung
Kategorien betroffener Personen und Art der Daten
Weisungsbindung des Auftragsverarbeiters
Vertraulichkeitsverpflichtung der eingesetzten Personen
technische und organisatorische Maßnahmen
Regelung zu Unterauftragsverarbeitern und deren Genehmigung
Unterstützung bei Betroffenenanfragen und bei Datenpannen
Löschung oder Rückgabe der Daten nach Vertragsende
Kontroll- und Nachweisrechte

Der Punkt mit den Unterauftragsverarbeitern verdient besondere Aufmerksamkeit. Ihr CRM-Anbieter nutzt selbst Dienstleister für Hosting, Backup oder E-Mail-Versand. Diese Kette sollte dokumentiert sein — sonst wissen Sie nicht, wo Ihre Daten tatsächlich liegen.

Ob Ihr konkreter AVV ausreicht, beurteilt ein Jurist, nicht Ihr Softwareanbieter.

Serverstandort: warum die Frage kompliziert ist

Die verbreitete Kurzfassung lautet: Server in der EU, dann ist alles gut. So einfach ist es nicht.

Ein Serverstandort in der EU ist ein starkes Argument und vereinfacht vieles. Aber entscheidend ist nicht nur, wo die Festplatte steht, sondern wer auf die Daten zugreifen kann.

Zwei Konstellationen, die in der Praxis übersehen werden:

Server in Frankfurt, Support in Übersee. Das Rechenzentrum liegt in der EU, aber das Support-Team greift zur Fehlerbehebung von außerhalb zu. Damit findet ein Zugriff aus einem Drittland statt.

Server in der EU, Mutterkonzern außerhalb. Auch das ist zu bewerten und gehört in die Prüfung.

Für Übermittlungen in Drittländer sieht die DSGVO eigene Instrumente vor — etwa Angemessenheitsbeschlüsse oder Standardvertragsklauseln. Welches davon in Ihrem Fall greift und ob zusätzliche Maßnahmen nötig sind, ist eine juristische Bewertung.

Diese Rechtslage ändert sich, und sie gehört zu Ihrem Anwalt.

Was Sie technisch tun können: sich schriftlich bestätigen lassen, an welchen Standorten gespeichert wird, von wo aus supportet wird und wo die Backups liegen. Backups werden fast immer vergessen.

TOM: technische und organisatorische Maßnahmen

Die TOM beschreiben, wie die Daten konkret geschützt werden. Sie gehören zum AVV, und ein Anbieter, der sie nicht vorlegen kann, hat sie wahrscheinlich nicht.

Worauf man beim Lesen achten sollte:

Verschlüsselung bei der Übertragung und im Ruhezustand
Zutritts- und Zugriffskontrolle: wer kommt physisch und logisch

an die Systeme

Backup-Konzept mit getesteter Wiederherstellung, nicht nur

Sicherung

Protokollierung von Zugriffen und Änderungen
Trennung der Daten verschiedener Kunden
Verfahren bei Sicherheitsvorfällen mit definierten Meldewegen

Ein praktischer Hinweis zum Backup: Fragen Sie nicht, ob gesichert wird — das bejaht jeder. Fragen Sie, wann zuletzt eine Wiederherstellung getestet wurde. Ein Backup, das nie zurückgespielt wurde, ist eine Annahme, keine Sicherung.

Zugriffsrechte und Protokollierung

Hier liegt der Teil, den Sie selbst vollständig steuern — und der in der Praxis am häufigsten vernachlässigt wird.

Eigener Zugang für jede Person. Ein geteiltes Passwort bedeutet, dass Sie nicht nachvollziehen können, wer was getan hat. Damit ist jede Protokollierung wertlos.

Rechte nach Rolle. Ein Vertriebsmitarbeiter braucht seine Kunden, nicht den gesamten Bestand. Das begrenzt auch den Schaden, wenn ein Zugang kompromittiert wird.

Zugänge ausgeschiedener Mitarbeiter sofort sperren. Nicht nächste Woche. Das gehört in den Offboarding-Prozess, schriftlich.

Export protokollieren. Wer hat wann Daten heruntergeladen? Allein das Vorhandensein dieser Protokollierung verhindert die meisten Versuche.

Zwei-Faktor-Authentifizierung, mindestens für administrative Zugänge.

Diese fünf Punkte sind Konfiguration, nicht Entwicklung. Sie kosten im Wesentlichen Aufmerksamkeit.

Löschkonzept

Der am häufigsten fehlende Baustein. Fast jedes Unternehmen kann sagen, welche Daten es erhebt. Kaum eines kann sagen, wann sie gelöscht werden.

Ein Löschkonzept legt für jede Datenkategorie fest, wie lange sie aufbewahrt wird, was danach passiert und wer das kontrolliert.

Die Schwierigkeit liegt im Zielkonflikt: Handels- und steuerrechtliche Aufbewahrungspflichten verlangen, bestimmte Unterlagen über Jahre aufzubewahren, während der Datenschutz eine Löschung nach Zweckerreichung verlangt. Beides gleichzeitig gilt.

In der Praxis heißt das meist: Rechnungsdaten bleiben nach den handelsrechtlichen Fristen erhalten, während etwa Interessentenkontakte ohne Vertragsschluss deutlich früher zu löschen sind.

Welche Fristen für welche Kategorie gelten, legt Ihr Steuerberater gemeinsam mit dem Datenschutzbeauftragten fest. Wir bauen danach die technische Umsetzung — automatische Löschung oder Anonymisierung nach Ablauf.

Was Sie den Anbieter fragen sollten

Zehn Fragen. Stellen Sie sie schriftlich und erwarten Sie schriftliche Antworten.

Stellen Sie einen AVV zur Verfügung? Bitte vorab zur Prüfung.
In welchen Ländern werden die Daten gespeichert?
Wo liegen die Backups?
Von welchen Standorten aus greift Ihr Support zu?
Welche Unterauftragsverarbeiter setzen Sie ein?
Können Sie die TOM als Dokument vorlegen?
Gibt es Zertifizierungen oder externe Prüfberichte?
Wie funktioniert der Datenexport bei Vertragsende, in welchem

Format?

Wie werden Zugriffe protokolliert und wie lange?
Welche Meldewege gelten bei einer Datenpanne, mit welcher Frist?

Ausweichende Antworten auf Frage 1, 5 oder 8 sind ein deutliches Signal. Ein Anbieter, der einen AVV nicht standardmäßig bereitstellt, arbeitet nicht regelmäßig mit deutschen Geschäftskunden.

Checkliste zur Selbstprüfung

Zwanzig Minuten, heute:

[ ] Liste aller Dienste, die Kundendaten verarbeiten
[ ] AVV mit jedem einzelnen davon vorhanden
[ ] Verzeichnis von Verarbeitungstätigkeiten aktuell
[ ] Serverstandorte dokumentiert, inklusive Backups
[ ] Datenschutzerklärung nennt alle eingesetzten Dienste
[ ] Jeder Mitarbeiter hat einen eigenen Zugang
[ ] Rechte sind nach Rolle vergeben
[ ] Zugänge ehemaliger Mitarbeiter gesperrt
[ ] Zwei-Faktor-Authentifizierung für Administratoren
[ ] Löschfristen definiert und technisch umgesetzt
[ ] Backup-Wiederherstellung im letzten Jahr getestet
[ ] Ansprechpartner für den Ernstfall bekannt

Wenn drei oder mehr Punkte offen sind, lohnt es sich, das Thema in diesem Monat anzugehen — vor dem nächsten Kundenaudit.

Fazit

DSGVO-Konformität bei Cloud-Software besteht aus zwei Teilen: Unterlagen und Technik.

Die Unterlagen — AVV, Verzeichnis, Löschkonzept — gehören zu Ihrem Anwalt oder Datenschutzbeauftragten. Die Technik — Zugriffsrechte, Protokollierung, automatische Löschung, verschlüsselte Übertragung — ist unser Teil.

Schreiben Sie uns, welche Systeme Sie einsetzen. Wir prüfen die technische Seite anhand der Checkliste oben und sagen Ihnen, was fehlt. Für die Unterlagen verweisen wir Sie an einen Fachanwalt — das ist ehrlicher und für Sie sicherer.