Ein EU-Rechenzentrum allein macht einen US-Cloud-Dienst nicht DSGVO-konform. Entscheidend ist, ob US-Behörden auf die Daten zugreifen können – und das können sie durch den CLOUD Act in vielen Fällen.
EuGH-Urteil Schrems II (C-311/18, 16.07.2020): Das Privacy Shield-Abkommen zwischen EU und USA ist ungültig. Datenübermittlungen in die USA sind seitdem nur unter strengen Auflagen erlaubt. Zahlreiche europäische Behörden haben seither konkrete Cloud-Dienste verboten oder mit Bußgeldern belegt.
Warum das EU-Rechenzentrum-Argument nicht trägt
Die häufigsten Fehler beim Einsatz von US-Cloud-Diensten
-
Fehler 1 – Kein Auftragsverarbeitungsvertrag
Viele Unternehmen nutzen SaaS-Dienste, ohne einen gültigen AVV mit dem Anbieter abgeschlossen zu haben. Dieser ist nach Art. 28 DSGVO zwingend erforderlich. Ohne AVV ist die gesamte Datenverarbeitung über diesen Dienst rechtswidrig.
-
Fehler 2 – SCCs als Selbstläufer behandeln
Standard-Datenschutzklauseln (SCCs) der EU-Kommission sind ein anerkanntes Transferinstrument nach Art. 46 DSGVO. Sie funktionieren aber nicht automatisch: Für jede Drittlandsübermittlung muss ein Transfer Impact Assessment (TIA) durchgeführt werden. Dieses Dokument fehlt in fast allen KMU.
-
Fehler 3 – Unterauftragnehmer nicht prüfen
Ihr Cloud-Anbieter nutzt seinerseits Subunternehmer – oft weltweit. Microsoft nennt in seinen Datenschutzunterlagen hunderte Unterauftragnehmer. Auch diese müssen DSGVO-konform eingebunden sein. Prüfen Sie, ob Ihr Anbieter eine aktuelle Liste veröffentlicht.
-
Fehler 4 – Sensible Daten unverschlüsselt ablegen
Selbst bei rechtlich akzeptablen Transferinstrumenten empfehlen Aufsichtsbehörden, besonders sensible Daten nur verschlüsselt in US-Cloud-Diensten zu speichern – mit Schlüsseln, die ausschließlich der europäische Nutzer kontrolliert (Client-Side-Encryption oder BYOK).
-
Fehler 5 – Datenschutzerklärung nicht aktualisieren
Wenn Sie personenbezogene Daten in die USA übermitteln, müssen Sie das in Ihrer Datenschutzerklärung transparent machen und die Rechtsgrundlage der Übermittlung benennen. Fehlende oder unvollständige Angaben sind ein eigenständiger DSGVO-Verstoß.
Aktuelle Behördenentscheidungen
Sofortmaßnahmen für Unternehmen mit US-Cloud-Diensten
- AVV mit jedem US-Anbieter prüfen und ggf. nachfordern – Anbieter stellen diese meist online bereit
- Transfer Impact Assessment (TIA) für alle Drittlandsübermittlungen dokumentieren
- Datenschutzerklärung: alle US-Dienste mit Rechtsgrundlage der Übermittlung eintragen
- Für besonders sensible Daten: Client-Side-Encryption oder Wechsel auf EU-Alternative prüfen
- Unterauftragnehmer-Listen der Anbieter archivieren und bei Änderungen neu bewerten
Prävention: So wählen Sie Cloud-Dienste DSGVO-konform aus
Data-Mapping als Basis
Wir analysieren Ihre genutzten Cloud-Dienste auf DSGVO-Konformität und zeigen, wo Handlungsbedarf besteht – mit konkreten Lösungen statt juristischem Fachchinesisch.
Jetzt beraten lassenHäufige Fragen
Was ist das Schrems-II-Urteil und was bedeutet es für mein Unternehmen?
Was ist der CLOUD Act und warum ist er für die DSGVO relevant?
Reichen Standard-Datenschutzklauseln für die Nutzung von US-Cloud-Diensten?
Welche europäischen Alternativen gibt es zu gängigen US-Cloud-Diensten?
War dieser Artikel hilfreich?