Auf den Punkt: Eine Cloud-Migration ist nicht nur ein technisches, sondern auch ein datenschutzrechtliches Projekt. Drei Themen entscheiden über die Rechtssicherheit: die Auftragsverarbeitung nach Art. 28 DSGVO, der Drittlandtransfer nach Art. 44 ff. DSGVO und die technisch-organisatorischen Maßnahmen (TOMs) nach Art. 32 DSGVO. Wer diese drei Bausteine vor dem Go-live klärt und dokumentiert, migriert rechtssicher – wer sie erst hinterher anfasst, riskiert teure Nacharbeit.
Warum die Migration ein Datenschutzthema ist
Sobald Sie produktive Systeme mit personenbezogenen Daten – Kundendaten, Personaldaten, E-Mails, CRM-Inhalte – in die Cloud verlagern, verändert sich die datenschutzrechtliche Lage. Die Daten werden künftig von einem externen Dienstleister verarbeitet, oft in dessen Rechenzentren, mitunter über Ländergrenzen hinweg. Verantwortlicher im Sinne der DSGVO bleiben aber Sie. Diese Verantwortung lässt sich nicht „in die Cloud auslagern“. Deshalb sollte die Datenschutzprüfung Teil des Migrationsplans sein – nicht ein nachträglicher Stempel.
IT-Modernisierung
Nutzen Sie die Vorteile moderner Cloud-Infrastrukturen
Hilfreich ist es, die Migration in drei Datenschutz-Fragen zu zerlegen: Mit wem schließe ich welchen Vertrag? Wo werden die Daten verarbeitet, und ist ein Drittlandtransfer dabei? Wie sind die Daten technisch und organisatorisch geschützt? Diese drei Fragen strukturieren die folgenden Abschnitte.
Ein oft übersehener Aspekt ist die Migrationsphase selbst. Während der Übertragung liegen Daten kurzzeitig in Transit, werden zwischengespeichert und manchmal über temporäre Tools bewegt. Auch dieser Zeitraum unterliegt der DSGVO. Sorgen Sie dafür, dass Übertragungswege verschlüsselt sind, Migrationswerkzeuge keine Kopien in unkontrollierten Umgebungen ablegen und temporäre Zugänge nach Abschluss wieder entzogen werden. Wer den Schutz erst ab dem produktiven Betrieb der neuen Umgebung denkt, lässt genau die kritische Übergangsphase offen.
Auftragsverarbeitung nach Art. 28 DSGVO
Der Cloud-Anbieter, der Daten in Ihrem Auftrag verarbeitet, ist Auftragsverarbeiter. Damit brauchen Sie einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Er ist zwingend und muss bestimmte Pflichtinhalte abdecken:
- Weisungsbindung: Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen.
- Vertraulichkeit: Verpflichtung der eingesetzten Personen.
- Sicherheit: Umsetzung der TOMs nach Art. 32 DSGVO.
- Unterauftragsverarbeiter: Einsatz nur mit Genehmigung – spezifisch je Subunternehmer oder allgemein mit Informations- und Einspruchsrecht.
- Unterstützung: Mithilfe bei Betroffenenrechten und Audits.
- Datenrückgabe: Löschung oder Rückgabe nach Vertragsende.
Ein häufig unterschätzter Punkt ist die Kette der Unterauftragsverarbeiter. Große Cloud-Plattformen arbeiten mit zahlreichen Subdienstleistern – Sie müssen wissen, wer das ist, und Änderungen verfolgen können. Fehlt der AVV oder ist er lückenhaft, ist das einer der häufigsten Mängel in Datenschutz-Beanstandungen rund um Cloud-Dienste.
Drittlandtransfer: Art. 44 ff. DSGVO
Werden Daten außerhalb der EU/des EWR verarbeitet, greift das Kapitel V der DSGVO (Art. 44 ff.). Die Grundregel: Ein Transfer in ein Drittland ist nur zulässig, wenn ein anerkannter Übermittlungsmechanismus den Transfer absichert. Drei Wege sind in der Praxis relevant:
- Angemessenheitsbeschluss: Für die USA hat die EU-Kommission am 10. Juli 2023 das EU-US Data Privacy Framework als angemessen anerkannt. Übermittlungen an dort zertifizierte Organisationen sind ohne zusätzliche Garantien zulässig. Das Gericht der Europäischen Union hat die Gültigkeit des Beschlusses bestätigt.
- Standardvertragsklauseln (SCC): Ist der Empfänger nicht DPF-zertifiziert, brauchen Sie geeignete Garantien nach Art. 46 DSGVO – meist die EU-Standardvertragsklauseln, ergänzt um ein Transfer Impact Assessment (TIA) und je nach Risiko zusätzliche Maßnahmen wie Verschlüsselung oder Pseudonymisierung.
- EU-Region wählen: Der einfachste Weg, das Drittlandthema zu entschärfen, ist die bewusste Wahl von EU-Rechenzentren und – wo möglich – einer EU-Datengrenze. Viele Anbieter bieten das an; es gehört in die Migrationsplanung.
Prüfen Sie deshalb früh: Wo stehen die Rechenzentren des Zielsystems? Welche Region ist konfiguriert? Und ist der DPF-Status des Anbieters aktuell – die Zertifizierung muss bestehen und in der DPF-Liste geführt sein.
Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau. Bei einer Cloud-Migration sind insbesondere folgende TOMs zu betrachten:
- Verschlüsselung bei der Übertragung (TLS) und bei der Speicherung (at rest); wo möglich mit eigener Schlüsselverwaltung.
- Berechtigungs- und Zugriffskonzept: Rollen, Least-Privilege-Prinzip, Multi-Faktor-Authentifizierung.
- Protokollierung und Monitoring: Nachvollziehbarkeit von Zugriffen und Änderungen.
- Pseudonymisierung und Datenminimierung, insbesondere bei besonders schützenswerten Daten.
- Backup und Wiederherstellbarkeit: regelmäßige Sicherungen und getestete Restore-Verfahren.
- Löschkonzept: definierte Aufbewahrungs- und Löschfristen, auch für migrierte Altdaten.
Entscheidend ist nicht, möglichst viele Maßnahmen abzuhaken, sondern die zum Schutzbedarf passenden zu wählen und sie zu dokumentieren. Genau diese Dokumentation – AVV, TIA, TOM-Übersicht und Verzeichnis der Verarbeitungstätigkeiten – lässt sich mit einer DSGVO-konforme Datenschutz-Plattform strukturiert an einer Stelle pflegen, statt sie über verstreute Dateien und E-Mail-Anhänge zu verteilen. Im Prüfungsfall zählt, ob Sie Ihre Maßnahmen belegen können.
Drei Fehler tauchen in der Praxis immer wieder auf. Erstens: Altdaten werden ungefiltert mitmigriert – inklusive längst löschpflichtiger Datensätze, die in der neuen Umgebung wieder „frisch“ aufleben. Eine Migration ist der ideale Zeitpunkt, das Löschkonzept anzuwenden. Zweitens: Berechtigungen werden 1:1 übernommen, obwohl in der Cloud feinere Steuerungsmöglichkeiten bestehen – so wandern alte Fehlfreigaben mit. Drittens: Die Datenschutz-Folgenabschätzung wird vergessen, obwohl der Wechsel der Verarbeitungsumgebung bei umfangreichen oder sensiblen Verarbeitungen einen voraussichtlich hohen Risikofall darstellen kann (Art. 35 DSGVO). Wer diese drei Punkte bewusst adressiert, hebt das Datenschutzniveau durch die Migration sogar an, statt es zu gefährden.
Migrations-Checkliste Datenschutz
| Phase | Datenschutzaufgabe | Grundlage |
|---|---|---|
| Planung | Verarbeitungen und Schutzbedarf erfassen, Verzeichnis aktualisieren | Art. 30 DSGVO |
| Auswahl | Anbieter prüfen: Standort, EU-Region, DPF-Status | Art. 44 ff. DSGVO |
| Vertrag | AVV abschließen, Subunternehmerliste prüfen | Art. 28 DSGVO |
| Transfer | Bei Drittland: DPF oder SCC + TIA | Art. 46 DSGVO |
| Technik | TOMs umsetzen und dokumentieren | Art. 32 DSGVO |
| Betrieb | Lösch- und Backup-Konzept, regelmäßige Reviews | Art. 5, 32 DSGVO |
FAQ
Brauche ich bei einer Cloud-Migration einen Auftragsverarbeitungsvertrag?
Ja. Sobald der Anbieter Daten in Ihrem Auftrag verarbeitet, ist ein AVV nach Art. 28 DSGVO Pflicht – inklusive Weisungsbindung, TOMs, Subunternehmer-Regelung und Datenrückgabe.
Cloud Migrationen zu Azure
Sicher und schnell in die Cloud – zum Festpreis
Was muss ich beim Drittlandtransfer in die USA beachten?
Ist der Empfänger DPF-zertifiziert, greift der Angemessenheitsbeschluss vom 10. Juli 2023. Andernfalls brauchen Sie SCC plus Transfer Impact Assessment und ggf. zusätzliche Schutzmaßnahmen.
Welche TOMs sind bei einer Cloud-Migration wichtig?
Verschlüsselung, Zugriffskonzept mit MFA, Protokollierung, Pseudonymisierung, Backups mit getesteter Wiederherstellung und ein Löschkonzept – passend zum Schutzbedarf und dokumentiert.
Wer ist nach der Migration für den Datenschutz verantwortlich?
Verantwortlicher bleibt Ihr Unternehmen. Der Anbieter ist Auftragsverarbeiter und handelt auf Ihre Weisung – die Verantwortung lässt sich nicht abwälzen.
Fazit
Eine rechtssichere Cloud-Migration steht auf drei Säulen: ein vollständiger AVV nach Art. 28, ein geklärter Drittlandtransfer nach Art. 44 ff. und passende, dokumentierte TOMs nach Art. 32 DSGVO. Wer diese Punkte in die Migrationsplanung integriert – statt sie nachträglich zu reparieren – migriert nicht nur schneller, sondern auch belastbar. Der Aufwand vorab ist überschaubar; die Nacharbeit bei einer Beanstandung ist es nicht.
