Die DSGVO schreibt vor, wie personenbezogene Daten gespeichert und verarbeitet werden dürfen. Für Cloud-Dienste bedeutet das: nicht jeder Anbieter, der einen europäischen Serverstandort bewirbt, ist automatisch DSGVO-konform. Die Tücken liegen im Detail.

Was bedeutet DSGVO-Konformität für Cloud-Dienste?

Eine Cloud-Lösung gilt als DSGVO-konform, wenn sie mehrere Voraussetzungen gleichzeitig erfüllt: Datenverarbeitung innerhalb des EWR oder in Drittländern mit Angemessenheitsbeschluss, ein gültiger Auftragsverarbeitungsvertrag (AVV) zwischen Anbieter und Nutzer, transparente Datenschutzerklärung, und die technisch-organisatorischen Maßnahmen zum Schutz der Daten müssen dem Stand der Technik entsprechen.

Für Privatnutzer ist die Rechtslage einfacher als für Unternehmen: Wer ausschließlich private Fotos speichert, handelt nicht im unternehmerischen Sinne und unterliegt nicht denselben Pflichten. Für Selbstständige, Vereine und Unternehmen jedoch ist ein korrekter AVV Pflicht.

Das US CLOUD Act: Das größte Problem

Der Clarifying Lawful Overseas Use of Data Act (CLOUD Act) der USA gibt amerikanischen Behörden die Möglichkeit, US-amerikanische Unternehmen zur Herausgabe von Daten zu verpflichten — unabhängig davon, wo diese Daten physisch gespeichert sind. Das betrifft Microsoft (OneDrive), Google (Google Drive), Apple (iCloud), Dropbox und alle anderen US-Anbieter.

Selbst wenn Microsoft Ihre Daten in einem Rechenzentrum in Frankfurt speichert, kann ein US-Gericht die Herausgabe anordnen. Europäische Datenschutzrecht und US-Bundesrecht kollidieren hier direkt. Die EU hat dies anerkannt: Der Europäische Datenschutzausschuss (EDSA) hat wiederholt auf dieses Risiko hingewiesen.

Dieses Problem gilt nicht für Schweizer oder rein europäische Anbieter ohne US-Muttergesellschaft.

EU-Serverstandort: Notwendig, aber nicht hinreichend

Viele Anbieter werben mit dem Hinweis „Server in Deutschland" oder „EU-Rechenzentrum". Das ist ein positives Signal, aber kein Garant für Datenschutz. Entscheidend ist der Unternehmenssitz und die rechtliche Struktur: Ein US-Unternehmen mit deutschen Servern bietet weniger Rechtsschutz als ein EU- oder Schweizer Unternehmen ohne US-Verbindung.

Auf Folgendes sollten Sie achten:

  • Unternehmenssitz: EU oder Schweiz ohne US-Mutter?
  • Auftragsverarbeitungsvertrag (AVV / DPA) verfügbar und DSGVO-konform?
  • Verschlüsselung: Wer verwaltet die Schlüssel — der Anbieter oder Sie?
  • Subunternehmer: Werden Drittdienstleister in den USA eingesetzt?

Verschlüsselung: Server-seitig vs. Ende-zu-Ende

Die meisten Cloud-Dienste verschlüsseln Daten bei der Übertragung (TLS) und auf dem Server (AES-256). Das schützt gegen externe Angriffe. Der Anbieter selbst hat jedoch Zugang zu Ihren Daten, weil er die Schlüssel verwaltet.

Ende-zu-Ende-Verschlüsselung (E2E) bedeutet, dass nur Sie den Schlüssel haben. Der Anbieter speichert nur verschlüsselte, für ihn unleserliche Dateien. Selbst bei einer Behördenanfrage kann er nichts herausgeben. Diese Zero-Knowledge-Architektur ist der Gold-Standard für sensible Daten.

Anbieter mit optionaler oder standardmäßiger E2E-Verschlüsselung:

  • Proton Drive: E2E standardmäßig für alle Dateien
  • pCloud Crypto: optionales Add-on für Zero-Knowledge-Verschlüsselung
  • Tresorit: E2E standardmäßig, Fokus auf Unternehmen
  • Cryptomator: Open-Source-Tool, das als Schicht vor jedem Cloud-Dienst läuft

Empfehlenswerte Anbieter für EU-Nutzer

Für maximale Privatsphäre empfehlen wir:

  • pCloud (Schweizer Unternehmen, EU-Rechenzentrum in Luxemburg wählbar, optionale Zero-Knowledge-Verschlüsselung mit pCloud Crypto, Lifetime-Abo derzeit rund 400 € / 2 TB): Ein ausgewogenes Angebot aus Funktionsumfang, Datenschutz und Preis. Ausführlicher Test: pCloud Test 2026.
  • Proton Drive (Schweiz, E2E standardmäßig, Teil des Proton-Ökosystems): Ideal wenn Datenschutz absolute Priorität hat. Ausführlicher Test: Proton Drive Test.
  • Tresorit (Schweizer/ungarisches Unternehmen, E2E, Fokus auf Teams und Unternehmen): Teurer, aber sehr ausgereift für den Business-Einsatz.

US-Anbieter wie Google Drive, OneDrive, iCloud und Dropbox sind für private Fotos pragmatisch nutzbar, für sensible Geschäftsdaten jedoch mit Vorsicht zu behandeln.

Betroffenenrechte und Transparenz

Die DSGVO gibt Ihnen das Recht auf Auskunft, Berichtigung, Löschung und Datenübertragbarkeit. Ein seriöser Cloud-Anbieter muss diese Rechte technisch umsetzen können. Prüfen Sie, ob der Anbieter einen klaren Prozess für Datenschutzanfragen hat und wie schnell er reagiert.

Transparenz-Reports (wie von Proton und pCloud veröffentlicht) zeigen, wie oft Behörden Anfragen stellen und wie der Anbieter damit umgeht — ein wichtiges Qualitätsmerkmal.

Fazit

DSGVO-konformer Cloud-Speicher erfordert mehr als einen deutschen Serverstandort. Der Unternehmenssitz, der Ausschluss des US CLOUD Act, ein gültiger AVV und idealerweise Ende-zu-Ende-Verschlüsselung sind die entscheidenden Kriterien. pCloud und Proton Drive bieten in diesem Bereich die stärksten Lösungen für deutsche Privat- und Geschäftsnutzer.

Nutzen Sie unser Diagnose-Tool, um den passenden datenschutzkonformen Anbieter für Ihre Situation zu finden.