Cloud-Speicher ist praktisch – doch wer personenbezogene Daten in der Cloud ablegt, kommt schnell mit datenschutzrechtlichen Fragen in Berührung. Die Datenschutz-Grundverordnung (DSGVO) gilt nicht nur für Unternehmen, sondern hat auch für Privatpersonen und Selbstständige Relevanz. Dieser Artikel erklärt die wichtigsten Konzepte verständlich.

Was ist die DSGVO und wen betrifft sie?

Die Datenschutz-Grundverordnung (DSGVO) ist seit Mai 2018 in der gesamten EU verbindlich und regelt, wie personenbezogene Daten erhoben, verarbeitet und gespeichert werden dürfen. Sie betrifft grundsätzlich jeden, der Daten über andere Personen verwaltet – also nicht nur Konzerne, sondern auch Freelancer, Vereine und Kleinunternehmer.

Rein private Nutzung (eigene Fotos, eigene Dokumente ohne Bezug zu anderen Personen) fällt unter die sogenannte Haushaltsausnahme und ist von der DSGVO ausgenommen. Sobald Sie jedoch Daten von Kunden, Mitarbeitern oder anderen natürlichen Personen in der Cloud speichern, greifen die Regeln.

Der Auftragsverarbeitungsvertrag (AVV)

Wenn Sie als Unternehmen oder Selbstständiger einen Cloud-Dienst nutzen, um personenbezogene Daten Dritter zu speichern, verarbeiten Sie diese Daten im Auftrag – das nennt sich Auftragsverarbeitung. Die DSGVO verlangt in diesem Fall einen schriftlichen Auftragsverarbeitungsvertrag (AVV) zwischen Ihnen und dem Cloud-Anbieter.

Der AVV regelt unter anderem:

  • Welche Daten verarbeitet werden und zu welchem Zweck
  • Welche technischen und organisatorischen Schutzmaßnahmen der Anbieter trifft
  • Ob und unter welchen Bedingungen Subauftragnehmer eingesetzt werden
  • Wie der Anbieter bei Datenpannen informiert

Die meisten seriösen Cloud-Anbieter stellen AVVs bereit, oft als standardisiertes Dokument zum Download oder zur Online-Unterzeichnung. Achten Sie darauf, dass der AVV tatsächlich abgeschlossen ist, bevor Sie Kundendaten in die Cloud laden.

Der US CLOUD Act: Warum der Serverstandort zählt

Der Clarifying Lawful Overseas Use of Data Act (CLOUD Act) ist ein US-Bundesgesetz aus dem Jahr 2018, das US-amerikanischen Behörden erlaubt, von US-Unternehmen die Herausgabe von Daten zu verlangen – unabhängig davon, in welchem Land die Daten physisch gespeichert sind.

Das bedeutet konkret: Selbst wenn ein US-Anbieter wie Google, Microsoft, Dropbox oder Amazon AWS seine Rechenzentren in Deutschland betreibt, kann er durch den CLOUD Act zur Datenweitergabe an US-Behörden verpflichtet werden. Das ist ein grundlegender Konflikt mit der DSGVO, die eine Datenübermittlung in Drittländer ohne angemessenes Schutzniveau untersagt.

Für DSGVO-sensible Anwendungsfälle empfiehlt es sich daher, Anbieter mit europäischem oder schweizerischem Sitz und Serverstandorten in der EU/EWR zu wählen. Dienste wie Proton Drive (Schweiz), Tresorit (Ungarn/Schweiz), pCloud (Bulgarien, EU-Serverstandort wählbar) oder luckycloud (Deutschland) unterliegen nicht dem US CLOUD Act. Welcher Anbieter für Ihre Zwecke am besten geeignet ist, erläutert unser Artikel zu DSGVO-konformen Cloud-Speicher-Anbietern.

Betroffenenrechte: Was Sie als Nutzer verlangen dürfen

Die DSGVO stärkt die Rechte der Personen, deren Daten verarbeitet werden. Als betroffene Person haben Sie gegenüber Cloud-Anbietern folgende Rechte:

  • Auskunftsrecht (Art. 15 DSGVO): Sie dürfen jederzeit wissen, welche Daten über Sie gespeichert sind.
  • Recht auf Berichtigung (Art. 16): Falsche Daten müssen korrigiert werden.
  • Recht auf Löschung (Art. 17, „Recht auf Vergessenwerden"): Sie können die Löschung Ihrer Daten verlangen, wenn kein Grund für die weitere Speicherung besteht.
  • Recht auf Datenübertragbarkeit (Art. 20): Ihre Daten müssen Ihnen in einem maschinenlesbaren Format zur Verfügung gestellt werden, damit Sie sie zu einem anderen Anbieter mitnehmen können.

Praktisch bedeutet das: Ein seriöser Anbieter muss auf eine Auskunftsanfrage reagieren und Ihnen ermöglichen, Ihre Daten vollständig zu exportieren.

Was Sie in einer Datenschutzerklärung prüfen sollten

Bevor Sie einem Cloud-Dienst Ihre Daten anvertrauen, lohnt sich ein Blick in die Datenschutzerklärung und die Nutzungsbedingungen. Wichtige Punkte:

  • Serverstandort: Wo werden die Daten physisch gespeichert? EU/EWR oder USA/Drittland?
  • Weitergabe an Dritte: Werden Daten an Subauftragnehmer oder Partner weitergegeben? Unter welchen Bedingungen?
  • Datensicherheit: Welche technischen Maßnahmen (Verschlüsselung, Zugriffskontrollen) werden beschrieben?
  • Löschfristen: Wie lange werden Daten nach Vertragsende aufbewahrt?
  • Ansprechpartner: Gibt es einen Datenschutzbeauftragten (DSB), und ist eine Kontaktmöglichkeit für Betroffenenanfragen vorhanden?

Vage Formulierungen wie „Daten können an unsere Partner weitergegeben werden" ohne Konkretisierung sind ein Warnsignal.

Verschlüsselung als technische Schutzmaßnahme

Unabhängig vom gewählten Anbieter erhöht Ende-zu-Ende-Verschlüsselung (E2EE) die Datensicherheit erheblich. Bei E2EE werden die Daten bereits auf Ihrem Gerät verschlüsselt, bevor sie in die Cloud hochgeladen werden – der Anbieter hat keinen Zugang zu den Klardaten.

Dienste wie Proton Drive und Tresorit setzen standardmäßig auf Zero-Knowledge-E2EE. Bei Anbietern ohne E2EE können Sie Daten clientseitig mit Tools wie Cryptomator verschlüsseln, bevor Sie sie in die Cloud hochladen. Das funktioniert auch mit Dropbox, OneDrive oder Google Drive und schützt vor neugierigen Blicken – selbst wenn die Cloud kompromittiert werden sollte.

Fazit

Die DSGVO macht Cloud-Speicher nicht komplizierter als nötig, aber sie verlangt eine bewusste Wahl des Anbieters und den Abschluss eines AVV, wenn personenbezogene Daten Dritter im Spiel sind. Als Faustregel gilt: EU-Serverstandort + europäischer Anbieter + abgeschlossener AVV + Ende-zu-Ende-Verschlüsselung erfüllen die wesentlichen Anforderungen.

Welche Anbieter diese Kriterien konkret erfüllen und wie sie im Vergleich abschneiden, lesen Sie in unserem Artikel zu DSGVO-konformen Cloud-Speicher-Anbietern. Für einen tiefen Einblick in Proton Drive als datenschutzfreundliche Option lohnt sich unser Proton Drive Test.