Klotzkette Datenschutz-Due-Diligence für Cloud-Verträge
Arbeitsweg
- Rolle, Ziel und gewünschtes Arbeitsprodukt klären: Wer handelt, welche Entscheidung steht an, welche Frist läuft und welcher Output wird gebraucht?
- Fristen und Eilrisiken zuerst markieren: nur die Fristen des konkreten Rechtsgebiets und der Akte verwenden; Widerspruch, Klage, Einspruch, Rechtsmittel, Verjährung, Verwirkung, Rüge-, Anzeige-, Anmelde- und Ausschlussfristen strikt trennen und nie aus einem anderen Fachgebiet übernehmen.
- Tragende Normen verifizieren: DSGVO Art. 5, 6, 7, 9, 12-22, 25, 28, 30, 32, 33-34, 35, 51-58, 77-83, BDSG §§ 22-25, 26, 30; DSGVO; BDSG; TTDSG — Fundstellen über gesetze-im-internet.de, dejure.org, openJur, BVerfG-/BGH-/EuGH-Datenbank live prüfen; keine Modellwissen-Zitate.
- Zuständige Stelle bestimmen und Adressaten richtig wählen: Mandant, Gegner, zuständige Behörde oder Gericht, Sachverständige, ggf. EU-/internationale Stelle (siehe Skill-Detail).
- Dokumente und Beweismittel sammeln und auf Lücken prüfen: Verwaltungsakte, Vertragsurkunden, Schriftsätze, Bescheide, Protokolle, Sachverständigengutachten und externe Beweismittel des Fachgebiets — fehlende Belege durch Akteneinsicht oder Rückfrage beim Mandanten beschaffen, Live-Check für tagesaktuelle Normänderungen und Verwaltungspraxis.
Fokus: Datenschutz-Due-Diligence für Cloud-Verträge. Sieben-Fragen-Diagnose: Cloud-Typ IaaS PaaS SaaS Anbietersitz Datenstandort Schlusselverwaltung Subprozessoren Zertifizierung Vertragslaufzeit. Prüfraster für Art. 28 DSGVO Mindestinhalte Art. 32 DSGVO TOM Art. 44 ff DSGVO Drittlandstransfer EU-SCC 2021/914 Modul 2 oder 3 EU-US Data Privacy Framework. Schritt-für-Schritt für Pre-Contract-Prüfung und laufende Compliance. Mustertexte für Due-Diligence-Bericht und Risikoampel. Abgrenzung: keine SaaS-AVV im engeren Sinn (it-recht-saas-avv-und-tia-bundle).
IT-Recht — Cloud-Vertrag mit Datenschutz-Due-Diligence
Wann dieses Modul hilft / Kaltstart-Fragen
Sie brauchen den Skill vor Abschluss oder bei Audit laufender Cloud-Verträge, insbesondere bei Hyperscaler-Vertraegen (AWS, Microsoft Azure, Google Cloud), bei spezialisierten SaaS-Loesungen oder bei privaten Cloud-Loesungen.
Sieben-Fragen-Diagnose:
- Cloud-Typ: IaaS (Infrastructure), PaaS (Platform), SaaS (Software as a Service)? Bestimmt die Verteilung der TOM-Verantwortung.
- Anbietersitz: EU/EWR, USA, andere Drittlaender? Konzernverflechtung?
- Datenstandort: Wo werden Daten konkret verarbeitet? Welche Regions waehlt der Mandant?
- Schlüsselverwaltung: Bring Your Own Key, Customer Managed Key, Service Managed Key, Hold Your Own Key?
- Subprozessoren: Welche, wo, mit welchen Vertraegen?
- Zertifizierung: ISO 27001, ISO 27017, ISO 27018, SOC 2, BSI C5, EU Cloud Code of Conduct?
- Vertragslaufzeit und Exit: Datenrueckgabe, Loeschnachweis, Notfall-Wechsel?
Rechtlicher Rahmen
- Art. 28 DSGVO AVV.
- Art. 32 DSGVO TOM, im Cloud-Kontext besonders relevant.
- Art. 44 DSGVO Allgemeines Prinzip Drittlandstransfer.
- Art. 45 DSGVO Angemessenheitsbeschluss; EU-US Data Privacy Framework angenommen 10.07.2023 (Durchfuehrungsbeschluss 2023/1795).
- Art. 46 DSGVO Standardvertragsklauseln 2021/914.
- Art. 49 DSGVO Ausnahmen, restriktiv auszulegen (EDSA Leitlinie 2/2018 von 25.05.2018).
- EuGH C-311/18 Schrems II (Urteil 16.07.2020).
- EDSA Empfehlungen 01/2020 (Version 2.0 angenommen 18.06.2021) zu zusaetzlichen Maßnahmen.
- BSI C5 (Cloud Computing Compliance Criteria Catalogue).
- NIS-2 Richtlinie (EU) 2022/2555 und nationale Umsetzung in Deutschland.
- §§ 535 ff BGB (Cloud regelmaessig Mietvertrag oder Dienstvertrag, Einzelfallpruefung).
Mandantenfuehrung Schritt-für-Schritt
- Zuerst: Inventur. Welche Cloud-Dienste sind im Mandantenhaus eingesetzt? Schatten-IT prüfen.
- Als zweites: Datenmapping. Welche Datenkategorien laufen in welchem Cloud-Dienst?
- Als drittes: AVV-Prüfung. Mindestinhalte Art. 28 III liegen vor? Anbieter-AVV (z. B. AWS DPA, Microsoft DPA, Google DPA) Mandantenseitig kommentieren — viele AVV der Hyperscaler sind nicht verhandelbar, dann Restrisiko dokumentieren.
- Als viertes: TOM-Prüfung. Anbieter-Whitepaper, ISO 27001 Bericht, BSI C5 Testat, SOC 2 Bericht. Stand der Technik Art. 32 DSGVO.
- Als fuenftes: Drittlandstransfer. Region einstellbar? Zertifizierung nach EU-US Data Privacy Framework vorhanden? SCC 2021/914 zusaetzlich? TIA durchgefuehrt?
- Als sechstes: Exit-Klausel. Datenrueckgabe in strukturiertem Format, Loeschnachweis, Mindestaufbewahrung bei Anbieter?
- NICHT auf Marketing-Aussagen vertrauen ("Servers in Germany") — vertragliche Verankerung notwendig.
Trade-off-Matrix
| Konstellation | Risiko | Maßnahme |
|---|---|---|
| US-Hyperscaler ohne DPF-Zertifizierung | hoch (Schrems II) | EU-SCC + TIA + zusaetzliche Maßnahmen Verschluesselung |
| US-Hyperscaler mit DPF-Zertifizierung | mittel | DPF + EU-SCC als Backup + TIA |
| EU-Region mit US-Mutter | mittel | Prüfung CLOUD Act Risiko, TIA |
| Private Cloud in EU | gering | Standard-AVV reicht oft |
| Schweizer Anbieter | mittel | Schweiz hat Angemessenheitsbeschluss; Bezug prüfen |
Mustertexte
Risikoampel (Due-Diligence-Bericht)
Cloud-Dienst: [Name]
Vertragstyp: [SaaS / PaaS / IaaS]
Anbietersitz: [Land]
Datenstandort: [Region]
Datenkategorien: [Art. 6 / Art. 9 / Art. 10]
A. AVV Art. 28 DSGVO: [gruen / gelb / rot]
B. TOM Art. 32 DSGVO: [gruen / gelb / rot]
C. Drittlandstransfer Art. 44 ff DSGVO: [gruen / gelb / rot]
D. Zertifizierung: [gruen / gelb / rot]
E. Exit-Klausel: [gruen / gelb / rot]
Gesamt-Ampel: [gruen / gelb / rot]
Empfehlung: [Abschluss / Nachverhandlung / Ablehnung]
Due-Diligence-Bericht Strukturvorschlag
- Mandantenanlass und Untersuchungsgegenstand.
- Cloud-Dienst und Vertragslage.
- Datenschutzrechtliche Rolle (Verantwortlicher, Auftragsverarbeiter).
- AVV-Prüfung (Art. 28 III Mindestinhalte).
- TOM-Prüfung (Anbieter-Belege).
- Drittlandstransfer (Mechanismus, TIA).
- Subprozessoren.
- Zertifizierungen.
- Exit-Strategie.
- Gesamtrisikoeinschaetzung.
- Empfehlung.
Nachverhandlungsschreiben (an Anbieter)
Sehr geehrte Damen und Herren,
wir bedanken uns für Ihre AVV-Anlage [Version, Datum]. Im Rahmen der Due Diligence ergibt sich folgender Nachverhandlungsbedarf:
- Audit-Recht nach Art. 28 Abs. 3 lit. h DSGVO: Konkretisierung der Bedingungen (Vorankuendigungsfrist, Prüfer, Kosten).
- Subprozessoren: Konkrete Liste mit Sitzlaendern und Funktion.
- Loeschnachweis nach Vertragsende.
- TIA: Bitte um Uebermittlung der Transfer Impact Assessment.
- EU-US DPF: Bestaetigung der Zertifizierung und Bezugspunkt.
Wir bitten um Antwort binnen [Frist].
Typische Fehler
- "Daten bleiben in Deutschland" Marketing-Aussage ohne vertragliche Verankerung.
- Hyperscaler-AVV ungeprueft uebernommen — Standardklauseln enthalten oft Einseitigkeiten.
- Subprozessor-Liste nicht aktuell.
- TIA nicht erstellt oder nur Anbieter-Generaltext.
- Exit-Klausel ohne konkretes Format und Frist.
Was triggert Aufsichtsbehoerden? US-Cloud ohne DPF und ohne TIA, fehlender AVV, Schatten-Cloud-IT (BYOD-Apps).
Quellen Stand 06/2026
- DSGVO Art. 28, 32, 44, 45, 46, 49.
- Durchfuehrungsbeschluss (EU) 2023/1795 vom 10.07.2023 (EU-US Data Privacy Framework).
- EU-SCC 2021/914 vom 04.06.2021.
- EuGH C-311/18 Schrems II, Urteil 16.07.2020.
- EDSA, Empfehlungen 01/2020 zu Drittlandstransfers, Version 2.0, angenommen 18.06.2021.
- BSI C5 Cloud Computing Compliance Criteria Catalogue, aktuelle Fassung.
- NIS-2 Richtlinie (EU) 2022/2555 vom 14.12.2022.
- Keine Aufsatzfundstellen aus Modellwissen.