DSGVO bei Cloud-Tools: Fünf Fragen an jeden Anbieter

Das neue Tool ist nach einer Demo gekauft. Drei Wochen später liegt es noch immer beim Datenschutzbeauftragten, weil niemand sagen kann, wo die Daten liegen. Bei Vermarktern sehen wir das oft. Am Tool liegt es selten. Meist fehlen die fünf Antworten, die der Einkauf früher hätte einholen können.

Der Aufwand lohnt sich. Wer einen Dienstleister einsetzt, bleibt für dessen Umgang mit den Daten verantwortlich. Verstöße gegen die Pflichten aus Art. 25 bis 39 DSGVO, darunter Auftragsverarbeitung und Datensicherheit, können mit Geldbußen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist.

Dieser Text ersetzt keine Rechtsberatung. Er hilft Ihnen, die richtigen Fragen zu stellen, bevor der Vertrag unterschrieben ist.

1. Wo liegen die Daten, und wer hilft dem Anbieter dabei?

Hinter fast jedem Cloud-Tool stehen weitere Dienstleister: ein Rechenzentrum, ein Mailversand, manchmal ein KI-Dienst. Die DSGVO nennt sie Unterauftragsverarbeiter. Ihr Anbieter darf sie nur mit Ihrer vorherigen gesonderten oder allgemeinen schriftlichen Genehmigung einsetzen. Bei einer allgemeinen Genehmigung muss er Sie über geplante Änderungen informieren, damit Sie widersprechen können.

Fragen Sie deshalb nach einer Liste: Name, Zweck, Standort. Eine Antwort wie „wir nutzen führende Cloud-Anbieter“ reicht nicht.

Test in 30 Sekunden: Suchen Sie auf der Website des Anbieters nach „Unterauftragsverarbeiter“ oder „Subprocessor“. Gibt es keine Liste, ist das die erste Frage an den Vertrieb.

2. Gibt es einen AVV, und was steht drin?

Verarbeitet ein Anbieter personenbezogene Daten in Ihrem Auftrag, braucht es einen Vertrag nach Art. 28 DSGVO. Das betrifft auch ein Marketing-Tool, denn darin stecken mindestens die Benutzerkonten Ihres Teams, oft auch Kundenkontakte.

Drei Punkte aus dem Gesetz sollten Sie im Entwurf wiederfinden. Der Anbieter verarbeitet nur auf Ihre dokumentierte Weisung. Er löscht nach Vertragsende alle Daten oder gibt sie zurück, je nachdem, was Sie wählen. Und er ermöglicht Überprüfungen, einschließlich Inspektionen.

Ein vorbereiteter Anbieter schickt Ihnen den Entwurf, ohne dass Sie ihn zweimal anfragen müssen.

Test in 30 Sekunden: Suchen Sie im AVV-Entwurf nach dem Wort „Löschung“ und nach einer Frist. Steht dort keine Zahl, fragen Sie nach einer.

3. Was passiert, wenn Daten in die USA gehen?

Für eine Übermittlung in ein Drittland gelten eigene Regeln (Art. 44 ff. DSGVO). Für die USA gibt es seit Juli 2023 den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework. Danach können Daten an US-Unternehmen fließen, die an diesem Rahmen teilnehmen.

Der Rahmen steht aber unter Beobachtung. Das Gericht der EU hat am 3. September 2025 eine Klage dagegen abgewiesen. Der Kläger hat am 31. Oktober 2025 Rechtsmittel zum Europäischen Gerichtshof eingelegt. Die Kanzlei WilmerHale rät Unternehmen deshalb unter anderem, alternative Übermittlungswege wie Standardvertragsklauseln bereitzuhalten.

Unsere Einschätzung: Für den Einkauf heißt das nicht, US-Dienste zu meiden. Wichtig ist, dass Sie wissen, welcher Dienst welche Daten in die USA schickt, und dass der Anbieter einen Plan B hat.

Test in 30 Sekunden: Fragen Sie: „Welche Daten verlassen die EU, und auf welcher Grundlage?“ Eine gute Antwort nennt Dienst, Datenart und Mechanismus in einem Satz.

4. Welche Sicherheit ist belegt, nicht nur versprochen?

Art. 32 DSGVO verlangt Maßnahmen, die dem Risiko angemessen sind. Das Gesetz nennt Beispiele, darunter die Pseudonymisierung und Verschlüsselung personenbezogener Daten und ein Verfahren, die Wirksamkeit der Maßnahmen regelmäßig zu überprüfen.

Ein Nachweis aus Deutschland ist der Kriterienkatalog C5 des BSI. Er legt Mindestanforderungen an sicheres Cloud Computing fest, Wirtschaftsprüfer können die Erfüllung testieren. Das BSI selbst wertet die Prüfberichte nicht aus. Sie müssen den Bericht also selbst lesen. Bei kleineren Anbietern ist ein Testat des Rechenzentrums (etwa ISO 27001) plus eine klare Beschreibung der eigenen Maßnahmen ein realistischer Standard.

Test in 30 Sekunden: Bitten Sie um die Beschreibung der technischen und organisatorischen Maßnahmen (TOM). Kommt sie als ein Dokument, ist der Anbieter vorbereitet.

5. Welche Daten muss das Tool überhaupt sehen?

Die beste Datenschutzfrage stellt man vor allen anderen: Muss das Tool diese Daten überhaupt bekommen? Bei Vorschau- und Präsentationswerkzeugen ist die Antwort oft nein. Ein Motiv in eine Werbefläche zu legen, braucht keinen Upload auf einen fremden Server.

Wir sehen in der Praxis, dass die Prüfung deutlich kürzer wird, wenn weniger Daten das Haus verlassen. Jeder Datenfluss, den es nicht gibt, muss nicht in den AVV, nicht in die Liste der Unterauftragsverarbeiter und nicht in die Datenschutzerklärung.

Test in 30 Sekunden: Öffnen Sie das Tool, drücken Sie F12 und wechseln Sie in den Reiter „Netzwerk“. Laden Sie eine Datei hinein und sehen Sie nach, ob sie hochgeladen wird.

Warum eine Vorschau im Browser die Prüfung kürzer macht

Der Kreativsimulator legt das Motiv direkt im Browser auf die Fläche. Für die Live-Simulation wird die Motivdatei nicht an unsere Server übertragen, auch der Export entsteht lokal. Die Server stehen bei Hetzner in Deutschland, einen AVV nach Art. 28 DSGVO gibt es auf Anfrage.

Was wo verarbeitet wird, inklusive der optionalen KI-Funktionen der Plattform, steht auf unserer Seite Sicherheit und Datenschutz. Die können Sie Ihrem Datenschutzbeauftragten direkt weiterleiten.

Quellen

• Art. 28 DSGVO, Auftragsverarbeiter — dsgvo-gesetz.de
• Art. 32 DSGVO, Sicherheit der Verarbeitung — dsgvo-gesetz.de
• Art. 44 DSGVO, Allgemeine Grundsätze der Datenübermittlung — dsgvo-gesetz.de
• Art. 83 DSGVO, Geldbußen — dsgvo-gesetz.de
• EU-US data transfers — Europäische Kommission
• European Court of Justice to Review Challenge to EU-U.S. Data Privacy Framework — WilmerHale
• Kriterienkatalog C5 — BSI