Cloud für Firmen - AVV, CLOUD Act, Berufsgeheimnis
Für Unternehmen gelten strengere Regeln. Dieser Entscheidungsweg hält dich auf der sicheren Seite.
1. Daten klassifizieren
Handelt es sich um Berufsgeheimnis (§203 StGB, §43e BRAO, §62a StBerG), Gesundheits- oder Finanzdaten, NIS2-relevant? Wenn ja: nur EU-eigene Anbieter ohne US-Mutter oder E2EE mit eigenem Schlüssel.
2. Rechtsgrundlage und Vertrag
AVV nach Art. 28 DSGVO, Verschwiegenheitsklausel in Textform, vollständige Subprozessorenliste, Datenresidenz-Zusage. Ein Rechenzentrum in Frankfurt schützt nicht vor dem CLOUD Act, wenn der Betreiber ein US-Konzern ist.
3. Nachweise
BSI C5 (kein Zertifikat, ein Testat), ISO 27001/27018 mit passendem Geltungsbereich. Prüfe den Scope, nicht nur das Logo.
4. Betriebsmodell
Self-Service (Hetzner, netcup), Managed (IONOS, plusserver, STACKIT) oder On-Prem/NAS. Für kritische Daten: eigene Infrastruktur oder E2EE.
5. Exit von Anfang an
Datenexport-Formate, Kündigungsfristen an Preisanpassungen koppeln, dokumentierte Löschung inklusive Backups und Subunternehmer. Die Exit-Strategie gehört in den Vertrag.
6. GoBD
Normaler Cloud-Speicher ist kein revisionssicheres Archiv. Aufbewahrung außerhalb der EU/EWR ist nach §146 Abs. 2a AO anzeigepflichtig; die Verfahrensdokumentation muss Cloud-Dienste listen.