Datensicherheit an erster Stelle: Diese Cloudanbieter nehmen die DSGVO wirklich ernst

In einer zunehmend digitalisierten Welt ist die Cloud nicht mehr nur eine Option, sondern oft ein integraler Bestandteil der IT-Infrastruktur von Unternehmen jeder Größe. Sie bietet Flexibilität, Skalierbarkeit und Kosteneffizienz, doch mit diesen Vorteilen gehen auch erhebliche Verpflichtungen einher, insbesondere im Bereich des Datenschutzes. Seit dem Inkrafttreten der Datenschutz-Grundverordnung (DSGVO) im Mai 2018 stehen Unternehmen unter verschärfter Beobachtung, wie sie mit personenbezogenen Daten umgehen. Die Wahl des richtigen Cloudanbieters, der die DSGVO nicht nur auf dem Papier, sondern in seiner gesamten Unternehmenskultur ernst nimmt, ist daher entscheidend.

Dieser Artikel beleuchtet, welche Kriterien einen wirklich DSGVO-konformen Cloudanbieter auszeichnen und stellt beispielhaft einige Dienstleister vor, die sich durch ihr Engagement in diesem Bereich hervorheben. Es geht nicht nur darum, Bußgelder zu vermeiden, sondern vielmehr darum, das Vertrauen von Kunden und Partnern zu gewinnen und zu erhalten, indem Datensicherheit und Privatsphäre an erster Stelle stehen.

DSGVO im Cloud-Kontext: Ein Fundament für Vertrauen

Die DSGVO ist ein umfassendes Gesetz, das den Schutz personenbezogener Daten von EU-Bürgern regelt. Für Unternehmen, die Cloud-Dienste nutzen, bedeutet dies, dass sie auch bei der Auslagerung von Daten die volle Verantwortung für deren Schutz tragen. Hierbei sind zwei Rollen entscheidend:

• Verantwortlicher: Das Unternehmen, das über die Zwecke und Mittel der Verarbeitung von Daten entscheidet.
• Auftragsverarbeiter: Der Cloudanbieter, der Daten im Auftrag des Verantwortlichen verarbeitet.

Zwischen diesen Parteien ist ein sogenannter Datenverarbeitungsvertrag (DPA) zwingend erforderlich. Dieser Vertrag muss detailliert festlegen, wie der Auftragsverarbeiter mit den Daten umgeht, welche Sicherheitsmaßnahmen er trifft und wie er den Verantwortlichen bei der Erfüllung seiner DSGVO-Pflichten unterstützt.

Ein besonders heikler Punkt ist der Datentransfer in Drittländer außerhalb der EU/EWR. Seit dem Schrems II-Urteil des Europäischen Gerichtshofs sind die Anforderungen an solche Transfers drastisch gestiegen. Der bloße Abschluss von Standardvertragsklauseln (SCCs) reicht oft nicht mehr aus; es müssen zusätzliche Maßnahmen ergriffen werden, um ein Datenschutzniveau zu gewährleisten, das dem der EU gleichwertig ist. Dies ist insbesondere relevant, wenn Cloudanbieter oder deren Subunternehmer ihren Sitz in Ländern wie den USA haben, wo Gesetze wie der US Cloud Act Zugriffsrechte auf Daten auch für Nicht-US-Bürger ermöglichen.

Die Herausforderungen der DSGVO-Compliance in der Cloud

Die Implementierung der DSGVO in der Cloud ist komplex. Zu den größten Herausforderungen gehören:

• Datenlokalisierung und Rechtsraum: Wo genau werden die Daten gespeichert und welchem Recht unterliegen sie? Die physische Lage der Server ist entscheidend.
• Umgang mit Unterauftragsverarbeitern: Cloudanbieter nutzen oft selbst weitere Dienstleister. Der Verantwortliche muss sicherstellen, dass auch diese Subunternehmer die DSGVO einhalten.
• Technische und organisatorische Maßnahmen (TOMs): Diese müssen jederzeit auf dem neuesten Stand sein und den Schutz der Daten gewährleisten, beispielsweise durch Verschlüsselung, Pseudonymisierung und Zugangskontrollen.
• Transparenz und Auditierbarkeit: Unternehmen müssen jederzeit nachvollziehen können, was mit ihren Daten geschieht und dies im Zweifelsfall auch nachweisen können.
• Der US Cloud Act: Auch wenn Daten in EU-Rechenzentren von US-Anbietern gespeichert sind, kann der US Cloud Act es US-Behörden potenziell ermöglichen, auf diese Daten zuzugreifen, ohne dass die betroffenen Personen oder Unternehmen davon Kenntnis erhalten. Dies stellt eine grundlegende Kollision mit den Schutzzielen der DSGVO dar.

Kriterien für die Auswahl eines DSGVO-konformen Cloudanbieters

Um einen Cloudanbieter zu finden, der die DSGVO wirklich ernst nimmt, sollten Unternehmen folgende Aspekte genau prüfen:

1. Datenstandort in der EU/Deutschland: Dies ist das Fundament. Server, die ausschließlich in der EU oder idealerweise in Deutschland stehen, verringern das Risiko von Drittlandzugriffen erheblich.
2. Zertifizierungen und Standards: Ein seriöser Anbieter weist einschlägige Zertifizierungen vor. Dazu gehören:
   • ISO 27001: Internationaler Standard für Informationssicherheits-Managementsysteme.
   • BSI C5: Kriterienkatalog des Bundesamtes für Sicherheit in der Informationstechnik (BSI) für Cloud Computing. Dieser ist besonders anspruchsvoll und auf den deutschen Rechtsraum zugeschnitten.
   • CSA STAR: Cloud Security Alliance Security Trust Assurance and Risk, ein Programm zur Bewertung der Sicherheit in der Cloud.
3. Umfassende Datenverarbeitungsverträge (DPAs): Der DPA muss detailliert, verständlich und rechtskonform sein und die Pflichten des Auftragsverarbeiters klar definieren.
4. Transparenz: Der Anbieter sollte offenlegen, welche Subunternehmer er nutzt, wo Daten gespeichert werden und welche Sicherheitsmaßnahmen implementiert sind.
5. Starke Verschlüsselung: Daten sollten sowohl bei der Übertragung (in transit) als auch bei der Speicherung (at rest) mit modernsten Methoden verschlüsselt sein. Idealerweise sollte der Kunde die Schlüsselhoheit besitzen.
6. Robuste Zugriffsverwaltung und Identitätsmanagement: Wer hat wann und warum Zugriff auf Daten? Multi-Faktor-Authentifizierung (MFA) und granulare Berechtigungskonzepte sind unerlässlich.
7. Audit-Fähigkeiten und Protokollierung: Eine lückenlose Protokollierung aller Zugriffe und Verarbeitungsvorgänge muss gewährleistet sein, um Compliance jederzeit nachweisen zu können.
8. Unterstützung bei Datenschutzanfragen: Der Anbieter muss in der Lage sein, den Verantwortlichen schnell und umfassend bei der Erfüllung von Betroffenenrechten (Auskunft, Löschung, Berichtigung) zu unterstützen.
9. Unabhängigkeit von Drittlandzugriffen: Anbieter, die nicht unter Gesetze wie den US Cloud Act fallen, bieten hier einen entscheidenden Vorteil.

Deutsche und Europäische Cloud-Anbieter: Sicherheit Made in EU

Anbieter mit Ursprung und primären Rechenzentren in Deutschland oder der EU genießen oft einen Vertrauensvorschuss, da sie von Natur aus dem EU-Recht unterliegen und kulturell sowie historisch einen starken Fokus auf Datenschutz legen. Hier sind einige Beispiele:

• OVHcloud: Der französische Hyperscaler legt großen Wert auf europäische Datenhoheit und Unabhängigkeit. Mit zahlreichen Rechenzentren in Europa und strengen Sicherheitsrichtlinien positioniert sich OVHcloud als Alternative zu US-Anbietern. Sie bieten umfassende Compliance-Dokumentationen und unterstützen Kunden aktiv bei der DSGVO-Konformität.
• IONOS (1&1): Als größter europäischer Hosting-Anbieter mit starker Präsenz in Deutschland, hat IONOS Datenschutz tief in seiner DNA verankert. Die Rechenzentren befinden sich ausschließlich in Europa und sind vielfach zertifiziert (u.a. ISO 27001). Sie betonen die Einhaltung deutscher und europäischer Datenschutzgesetze.
• Hetzner Online: Ein bekannter deutscher Anbieter, der für seine leistungsstarken und gleichzeitig datenschutzfreundlichen Angebote geschätzt wird. Alle Rechenzentren stehen in Deutschland oder Finnland. Hetzner bietet transparente Informationen zu Datenschutz und Sicherheit und ist eine beliebte Wahl für Unternehmen, die Wert auf deutsche Standards legen.
• PlusServer: Ein deutscher Cloud- und Managed Service Provider, der sich auf Unternehmenskunden spezialisiert hat. PlusServer bietet hochsichere und performante Cloud-Lösungen mit Fokus auf DSGVO-Compliance, BSI C5-Zertifizierung und umfassendem Service, der auch die Umsetzung der technischen und organisatorischen Maßnahmen (TOMs) unterstützt.

Diese Anbieter profitieren davon, dass ihre Daten nicht dem Zugriff von Nicht-EU-Behörden durch Gesetze wie den US Cloud Act unterliegen, was einen entscheidenden Vorteil für DSGVO-Compliance darstellt.

Globale Hyperscaler: Hohe Standards unter genauer Beobachtung

Auch die großen globalen Cloud-Anbieter haben massiv in ihre DSGVO-Compliance investiert und bieten umfangreiche Services an. Es ist wichtig zu verstehen, dass ihr Ansatz oft darin besteht, die Einhaltung der Vorschriften durch detaillierte Vertragswerke (SCCs) und die Bereitstellung von Tools und Optionen zu ermöglichen, die der Kunde selbst konfigurieren muss. Die Herausforderung des US Cloud Act bleibt jedoch bestehen und erfordert zusätzliche Überlegungen und Maßnahmen seitens des Nutzers.

• Microsoft Azure: Microsoft hat erhebliche Anstrengungen unternommen, um die DSGVO-Anforderungen zu erfüllen. Sie bieten EU-Rechenzentrumsregionen, umfassende Dokumentationen, ein Compliance-Portal und spezifische Initiativen wie die „EU Data Boundary”, die darauf abzielt, alle europäischen Kundendaten und Supportaktivitäten innerhalb der EU zu verarbeiten. Dennoch erfordert die Nutzung von Azure eine sehr genaue Konfiguration und Überwachung durch den Kunden.
• Amazon Web Services (AWS): AWS bietet eine große Anzahl an Rechenzentrumsregionen in der EU und stellt seinen Kunden umfassende Tools und Sicherheitsfunktionen zur Verfügung. Das sogenannte Shared Responsibility Model von AWS ist hier besonders wichtig: AWS ist für die Sicherheit „der” Cloud zuständig, der Kunde für die Sicherheit „in der” Cloud. Dies bedeutet, dass die DSGVO-Compliance maßgeblich von der korrekten Konfiguration und Nutzung der AWS-Dienste durch den Kunden abhängt.
• Google Cloud Platform (GCP): Auch Google hat seine Angebote an die DSGVO angepasst, mit EU-Regionen, transparenten DPAs und detaillierten Compliance-Leitfäden. Google betont seine Verpflichtung zum Datenschutz und zur Datenhoheit für seine europäischen Kunden. Ähnlich wie bei anderen Hyperscalern ist auch hier die eigenverantwortliche Umsetzung von Sicherheits- und Datenschutzmaßnahmen durch den Kunden entscheidend.

Für Unternehmen, die diese Hyperscaler nutzen möchten, ist es unerlässlich, die vom Anbieter bereitgestellten Compliance-Leitfäden genau zu studieren, die Dienste korrekt zu konfigurieren (z.B. geografische Datenresidenz festlegen, Daten verschlüsseln) und gegebenenfalls zusätzliche Maßnahmen wie eigene Verschlüsselungslösungen zu implementieren, um das Risiko des Zugriffs durch Drittstaatenbehörden zu minimieren.

Die Rolle des Nutzers: Mehr als nur Anbieterwahl

Selbst der beste Cloudanbieter entbindet Unternehmen nicht von ihrer eigenen Verantwortung. Die DSGVO-Compliance in der Cloud ist eine gemeinsame Aufgabe. Als Nutzer müssen Sie:

• Das Shared Responsibility Model verstehen: Wissen Sie genau, für welche Aspekte der Datensicherheit und des Datenschutzes der Anbieter und für welche Sie selbst verantwortlich sind.
• Cloud-Dienste korrekt konfigurieren: Standardeinstellungen sind oft nicht ausreichend. Stellen Sie sicher, dass Zugriffsrechte minimal gehalten, Daten korrekt verschlüsselt und Protokolle regelmäßig überprüft werden.
• Eigene Daten verschlüsseln: Auch wenn der Anbieter Verschlüsselung anbietet, kann eine zusätzliche Ende-zu-Ende-Verschlüsselung der sensibelsten Daten durch den Nutzer selbst ratsam sein.
• Mitarbeiter schulen: Jeder Mitarbeiter, der Zugang zu Cloud-Diensten hat, muss über die Datenschutzrichtlinien und Sicherheitsvorkehrungen informiert und geschult sein.
• Regelmäßige Audits: Überprüfen Sie regelmäßig Ihre Cloud-Konfigurationen und die Einhaltung der DSGVO-Vorschriften.

Fazit: Datenschutz ist eine fortlaufende Reise

Die Wahl eines Cloudanbieters, der die DSGVO wirklich ernst nimmt, ist eine der wichtigsten Entscheidungen für jedes Unternehmen, das personenbezogene Daten in der Cloud verarbeitet. Es geht dabei nicht nur um die Vermeidung von Bußgeldern, sondern um den Aufbau und Erhalt von Vertrauen und einer zukunftsfähigen, ethischen Geschäftspraxis. Deutsche und europäische Anbieter bieten hier oft einen strukturellen Vorteil bezüglich der Datenhoheit. Globale Hyperscaler bieten zwar umfassende Compliance-Tools, erfordern aber ein sehr hohes Maß an Eigenverantwortung bei der Implementierung und Konfiguration.

Letztlich ist Datensicherheit und DSGVO-Compliance keine einmalige Aufgabe, sondern ein kontinuierlicher Prozess. Eine sorgfältige Auswahl des Anbieters, gepaart mit einem verantwortungsbewussten Umgang mit den Diensten und einer ständigen Überprüfung der eigenen Prozesse, ist der Schlüssel, um die Vorteile der Cloud voll auszuschöpfen, ohne den Datenschutz zu gefährden. Der Markt entwickelt sich ständig weiter, und die Anforderungen an den Datenschutz werden eher steigen als sinken. Bleiben Sie informiert, bleiben Sie wachsam.