Cloud Auftragsverarbeitung

/it-recht:cloud-auftragsverarbeitung

Zweck

Wer einen Cloud-Dienst nutzt, lässt regelmäßig personenbezogene Daten durch den Anbieter verarbeiten und bleibt als Verantwortlicher in der Pflicht. Dieser Skill prüft die drei kritischen Achsen einer datenschutzkonformen Cloud-Nutzung: den Auftragsverarbeitungsvertrag (Art. 28 DSGVO), die Sicherheit der Verarbeitung (Art. 32 DSGVO) und die Zulässigkeit des Datentransfers in Drittländer (Art. 44 DSGVO ff., Kapitel V). Er deckt Lücken auf, bevor sie zum Bußgeldfall werden, und verzahnt sich mit dem AVV-Prüfskill des Datenschutzbereichs.

⚠️ Aktualität (Stand 2026-07): Cloud-Verträge unterliegen seit dem 12.09.2025 neben der DSGVO auch dem Data Act (VO (EU) 2023/2854). Dessen Kapitel VI (Art. 23–31) regelt den Wechsel zwischen Datenverarbeitungsdiensten und gilt unabhängig davon, ob personenbezogene Daten betroffen sind — eine reine Art.-28-DSGVO-Prüfung greift damit zu kurz.

• Wechselentgelte („switching charges") werden bis zum 12.01.2027 vollständig abgeschafft. Bis dahin sind ausschließlich kostenbasiert reduzierte Entgelte zulässig; pauschale Ausstiegs- oder Datenexportgebühren sind bereits jetzt unzulässig.
• Art. 25 verlangt vertragliche Regelungen zur Unterstützung beim Wechsel (Ausstiegshilfe, Übergangsfristen, Datenexport in einem strukturierten, gängigen und maschinenlesbaren Format).
• Art. 13 unterwirft einseitig auferlegte Vertragsklauseln über den Datenzugang in B2B-Verhältnissen einer eigenständigen Missbräuchlichkeitskontrolle — neben §§ 305 ff. BGB.
• Das deutsche Data-Act-Durchführungsgesetz (DADG) wurde am 26.03.2026 vom Bundestag beschlossen und im BGBl. vom 29.05.2026 verkündet. Zuständige Behörde ist die Bundesnetzagentur (Bekanntgabe 30.05.2026). Im selben Paket vom 26.03.2026 wurde das deutsche Durchführungsgesetz zum Data Governance Act beschlossen; auch dort beaufsichtigt die BNetzA Datenvermittlungsdienste und datenaltruistische Organisationen.

Einzelne Paragrafen des DADG sind vor mandantengerichteter Verwendung am verkündeten Text zu verifizieren. [unverifiziert - prüfen]

Eingaben

• Cloud-Modell (IaaS, PaaS, SaaS) und Anbieter
• Verarbeitete Datenkategorien (Standard, besondere Kategorien Art. 9, Beschäftigtendaten)
• Standort der Verarbeitung / Speicherung (EU, USA, sonstiges Drittland)
• Konzernzugehörigkeit des Anbieters (US-Mutter? Cloud Act-Zugriff?)
• Vorliegender AVV-Entwurf und Liste der Sub-Auftragsverarbeiter
• Vorhandene TOM-Dokumentation, Zertifikate (ISO 27001, C5)

Sub-Agent-Architektur

Die Prüfung verteilt sich gedanklich auf drei Rollen. Ein AVV-Agent prüft den Auftragsverarbeitungsvertrag gegen den Pflichtenkatalog des Art. 28 Abs. 3 DSGVO (Gegenstand, Dauer, Weisungsbindung, Sub-Auftragsverarbeiter, Unterstützungspflichten, Löschung, Audit). Ein TOM-Agent bewertet die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (Verschlüsselung, Pseudonymisierung, Verfügbarkeit, Belastbarkeit, regelmäßige Überprüfung) und gleicht sie mit dem Risiko der Datenkategorien ab. Ein Transfer-Agent prüft jeden Drittlandbezug nach Kapitel V (Angemessenheitsbeschluss, Standardvertragsklauseln, Transfer Impact Assessment, ergänzende Maßnahmen). Ein Wechsel-Agent prüft schließlich die Ausstiegs- und Wechselklauseln gegen Art. 23–31 Data Act (Wechselentgelte, Ausstiegsunterstützung, Exportformate) sowie Art. 13 Data Act (missbräuchliche Datenzugangsklauseln) — diese Achse ist von der DSGVO unabhängig und erfasst auch nicht-personenbezogene Daten. Die Rollen melden ihre Befunde an eine zusammenführende Bewertung; ein Mangel auf einer Achse blockiert die Konformität insgesamt. Rechtsprechung und Aufsichtsbeschlüsse werden nur verifiziert zitiert, sonst mit [unverifiziert – prüfen] markiert.

Ablauf

1. Rollen- und Anwendbarkeitsklärung

• Liegt Auftragsverarbeitung vor (weisungsgebundene Verarbeitung) oder gemeinsame Verantwortlichkeit (Art. 26) oder eigene Verantwortlichkeit des Anbieters?
• Nur bei Auftragsverarbeitung ist ein AVV nach Art. 28 DSGVO der richtige Vertragstyp.

2. AVV-Inhaltskontrolle (Art. 28 DSGVO)

Pflichtinhalte nach Art. 28 Abs. 3 DSGVO:

• Gegenstand, Dauer, Art und Zweck der Verarbeitung, Datenkategorien, Betroffenenkreis
• Verarbeitung nur auf dokumentierte Weisung
• Vertraulichkeitsverpflichtung der Beschäftigten
• Maßnahmen nach Art. 32 DSGVO
• Genehmigung und Verträge mit Sub-Auftragsverarbeitern (Art. 28 Abs. 2, 4)
• Unterstützung bei Betroffenenrechten und bei Art. 32–36
• Löschung oder Rückgabe der Daten nach Vertragsende
• Nachweis- und Audit-Rechte des Verantwortlichen

3. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Verschlüsselung (Transport und Ruhe), Pseudonymisierung
• Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit
• Wiederherstellbarkeit nach Zwischenfall; regelmäßiges Testen
• Risikoangemessenheit insb. bei besonderen Datenkategorien (Art. 9)

4. Drittlandtransfer (Kapitel V, Art. 44 DSGVO ff.)

• Angemessenheitsbeschluss (Art. 45) — z. B. EU-US Data Privacy Framework für zertifizierte US-Anbieter
• Standardvertragsklauseln (Art. 46) + Transfer Impact Assessment + ggf. ergänzende Maßnahmen (Schrems II)
• Zugriffsrisiken durch Drittstaatsbehörden (Cloud Act) bewerten
• Sub-Auftragsverarbeiter in Drittländern gesondert absichern

5. Anbieterwechsel und Ausstieg nach dem Data Act (Art. 23–31 VO (EU) 2023/2854)

Diese Prüfung läuft neben der DSGVO-Prüfung und erfasst alle in der Cloud verarbeiteten Daten, auch nicht-personenbezogene.

a) Wechselentgelte (Art. 29). Entgelte für den Wechsel zu einem anderen Anbieter oder zurück in die eigene Infrastruktur werden bis zum 12.01.2027 vollständig abgeschafft. In der Übergangszeit sind nur kostenbasiert reduzierte Entgelte zulässig, die die tatsächlich entstandenen Kosten nicht übersteigen dürfen.

Prüfpunkte im Vertrag:

• Enthält der Vertrag Datenexport-, Ausstiegs- oder Migrationsgebühren? Pauschalen und „Egress-Fees" für den Wechsel sind bereits jetzt unzulässig.
• Ist eine Auslaufregelung zum 12.01.2027 aufgenommen, die die Entgelte ab diesem Datum entfallen lässt?
• Werden verbleibende Entgelte kostenbasiert begründet und belegt?

b) Ausstiegsunterstützung (Art. 25). Der Vertrag muss den Wechsel praktisch ermöglichen:

• Wechselfrist und Kündigungsmodalitäten vertraglich fixiert
• Übergangszeitraum mit aktiver Mitwirkung des Anbieters
• Export aller Daten und digitalen Vermögenswerte in einem strukturierten, gängigen und maschinenlesbaren Format
• Beschreibung der exportierbaren Daten und der verfügbaren Schnittstellen
• Löschung der Daten beim Altanbieter nach Abschluss des Wechsels — hier verzahnt sich Art. 25 Data Act mit der Löschpflicht aus Art. 28 Abs. 3 lit. g DSGVO
• Keine vertraglichen oder technischen Wechselhindernisse (Lock-in durch proprietäre Formate ohne Exportpfad)

c) Missbräuchliche Klauseln (Art. 13). Einseitig auferlegte Klauseln über den Datenzugang in B2B-Verträgen unterliegen einer eigenständigen Missbräuchlichkeitskontrolle. Sie tritt neben die AGB-Kontrolle nach §§ 305 ff. BGB und ist auch dort zu prüfen, wo die AGB-Kontrolle nicht greift.

d) Zuständigkeit und Durchsetzung. Zuständige deutsche Behörde ist nach dem DADG (BGBl. 29.05.2026, Bekanntgabe 30.05.2026) die Bundesnetzagentur — nicht die Datenschutzaufsicht. Data-Act-Verstöße und DSGVO-Verstöße werden damit von unterschiedlichen Behörden verfolgt; beide Verfahren können nebeneinander laufen. Sanktionsrahmen und Verfahrensvorschriften am verkündeten DADG-Text prüfen. [unverifiziert - prüfen]

6. Dokumentation und Rechenschaft

• Eintrag im Verzeichnis von Verarbeitungstätigkeiten (Art. 30)
• Datenschutz-Folgenabschätzung (Art. 35) bei hohem Risiko

Risiken / typische Fehler

• Fehlender AVV — Cloud-Nutzung ohne AVV nach Art. 28 DSGVO ist ein eigenständiger Verstoß; Bußgeldrisiko nach Art. 83 DSGVO.
• Drittlandtransfer ohne tragfähige Grundlage — US-Anbieter ohne DPF-Zertifizierung oder ohne Standardvertragsklauseln samt TIA verletzt Kapitel V (Art. 44 DSGVO).
• Sub-Auftragsverarbeiter ungeprüft — fehlende Genehmigung oder Weiterreichung der Pflichten verletzt Art. 28 Abs. 4 DSGVO.
• Bußgeld — unzureichende Maßnahmen nach Art. 32 DSGVO oder unzulässiger Transfer können Bußgelder bis 20 Mio. EUR / 4 % auslösen (Art. 83 DSGVO).
• Cloud-Vertrag nur nach DSGVO geprüft — der Data Act gilt seit 12.09.2025 und erfasst auch nicht-personenbezogene Daten. Eine reine Art.-28-Prüfung übersieht die Wechsel- und Ausstiegspflichten der Art. 23–31 vollständig.
• Wechsel- und Datenexportentgelte im Vertrag belassen — sie entfallen bis zum 12.01.2027 vollständig; bis dahin sind nur kostenbasiert reduzierte Entgelte zulässig. Pauschale Ausstiegs- oder Egress-Gebühren sind bereits heute unzulässig, auch wenn der Anbieter sie weiter in Rechnung stellt.
• Keine Ausstiegsunterstützungsklausel nach Art. 25 — Wechselfrist, Übergangszeitraum, Exportformat und Mitwirkungspflichten des Anbieters müssen vertraglich geregelt sein; ein faktisch funktionierender Export genügt nicht.
• Löschpflichten nicht verzahnt — Art. 25 Data Act (Löschung beim Altanbieter nach dem Wechsel) und Art. 28 Abs. 3 lit. g DSGVO (Löschung/Rückgabe nach Vertragsende) sind gemeinsam zu regeln, sonst bleibt eine Regelungslücke.
• Art. 13 Data Act neben §§ 305 ff. BGB übersehen — einseitig auferlegte Datenzugangsklauseln in B2B-Verträgen unterliegen einer eigenständigen Missbräuchlichkeitskontrolle, die auch dort greift, wo die AGB-Kontrolle nicht durchdringt.
• Falsche Aufsichtsbehörde adressiert — für den Data Act ist in Deutschland nach dem DADG (BGBl. 29.05.2026) die Bundesnetzagentur zuständig, nicht die Datenschutzaufsicht. Data-Act- und DSGVO-Verfahren laufen getrennt und können parallel geführt werden.

Ausgabeformat

CLOUD-AUFTRAGSVERARBEITUNG — <Dienst / Anbieter> — <Datum>

I.    Rolle:                      [Auftragsverarbeitung / gem. Verantwortl. / eigen]
II.   AVV (Art. 28 DSGVO)
      Vollständigkeit:            [✓ / 🔴 lückenhaft]   Fehlend: <…>
      Sub-Auftragsverarbeiter:    [genehmigt / ungeregelt]
      Audit / Löschung:           [✓ / 🔴]
III.  TOM (Art. 32 DSGVO)
      Verschlüsselung / Risiko:   [angemessen / ⚠️]
IV.   Drittlandtransfer (Art. 44 DSGVO)
      Standort:                   [EU / USA / Drittland]
      Grundlage:                  [Angemessenheit / SCC + TIA / 🔴 keine]
V.    Wechsel / Ausstieg (Data Act Art. 23–31)
      Wechselentgelte:            [keine / kostenbasiert / 🔴 pauschal unzulässig]
      Auslauf zum 12.01.2027:     [geregelt / 🔴 fehlt]
      Ausstiegshilfe Art. 25:     [Frist / Übergang / Exportformat — ✓ / 🔴]
      Löschung beim Altanbieter:  [✓ / 🔴]
      Art. 13 (missbräuchliche Datenzugangsklauseln): [✓ / ⚠️]
      Zuständige Behörde:         BNetzA (DADG) — getrennt von der Datenschutzaufsicht
VI.   Dokumentation
      VVT / DSFA:                 [✓ / offen]

Bußgeldrisiko (Art. 83 DSGVO):    <Einschätzung>
Data-Act-Risiko (BNetzA):         <Einschätzung>
Handlungsempfehlung:              <…>

Quellen

• Art. 28 DSGVO (Auftragsverarbeiter)
• Art. 32 DSGVO (Sicherheit der Verarbeitung)
• Art. 44 DSGVO ff. — Kapitel V (Drittlandtransfer), Art. 45, 46
• Art. 83 DSGVO (Geldbußen)
• EU-US Data Privacy Framework; EDSA-Empfehlungen 01/2020 (ergänzende Maßnahmen) [unverifiziert – prüfen]
• VO (EU) 2023/2854 (Data Act) — anwendbar seit 12.09.2025; Art. 13 (missbräuchliche Klauseln), Art. 23–31 (Wechsel zwischen Datenverarbeitungsdiensten), insb. Art. 25 (Ausstiegsunterstützung) und Art. 29 (Wechselentgelte, vollständiger Wegfall bis 12.01.2027)
• Data-Act-Durchführungsgesetz (DADG) — Bundestag 26.03.2026, BGBl. 29.05.2026; zuständige Behörde: Bundesnetzagentur (Bekanntgabe 30.05.2026). Einzelnormen [unverifiziert - prüfen]
• Bundesnetzagentur — zuständige Behörde für Data Act und Data Governance Act (Datenvermittlungsdienste, datenaltruistische Organisationen)