3 Wege zu EU-Datenhaltung bei Cloud-Backups deutscher Anbieter

Das Wichtigste auf einen Blick

• Datensicherung kleiner Betriebe lässt sich auf drei Wegen mit EU-Datenhaltung umsetzen: deutsche Anbieter, EU-Anbieter mit Standort Deutschland, hybride Modelle.
• Entscheidend sind Rechenzentrumsstandort, Auftragsverarbeitungsvertrag und die Frage, ob Subunternehmer außerhalb der EU sitzen.
• DSGVO und BSI-Anforderungen greifen parallel: Datenschutzrecht regelt personenbezogene Daten, der IT-Grundschutz die technische Absicherung.
• Ohne dokumentierte Wiederherstellungstests bleibt jede Backup-Strategie eine Behauptung.
• Verträge brauchen Löschfristen, Weisungsbindung und ein Exit-Szenario mit Datenrückgabe.

Drei Wege zu EU-Datenhaltung bei Cloud-Backups deutscher Anbieter

Die Ausgangslage ist für viele Betriebe ähnlich. Ein US-Anbieter liefert günstigen Speicher, schnelle Clients und eine Oberfläche, die alle kennen. Der Haken liegt nicht in der Technik, sondern in der Datenhaltung.

Wer personenbezogene Daten von Beschäftigten, Kunden oder Patienten sichert, braucht eine Rechtsgrundlage und einen Auftragsverarbeitungsvertrag. Wer Geschäftsgeheimnisse sichert, muss nach dem GeschGehG angemessene Geheimhaltungsmaßnahmen nachweisen. Beides lässt sich mit EU-Datenhaltung leichter belegen.

Drei Wege sind in der Praxis tragfähig. Jeder hat andere Kosten, anderen Aufwand und andere Risiken. Die Wahl hängt davon ab, wie viel Kontrolle der Betrieb selbst ausüben will.

Weg 1 setzt auf deutsche Cloud-Anbieter mit eigenen Rechenzentren in der EU. Weg 2 nutzt EU-weit aufgestellte Anbieter, die die Daten physisch in Deutschland halten. Weg 3 kombiniert lokale Vorhaltung mit EU-Cloud als zweitem Standort.

Die folgenden Abschnitte beschreiben jeden Weg, nennen Beispiele deutscher Anbieter und zeigen, woran die Prüfung gegen DSGVO und BSI-Anforderungen scheitert oder gelingt.

Weg 1: Deutsche Cloud-Anbieter mit Rechenzentren in der EU

Der erste Weg ist der direkteste. Der Vertragspartner hat seinen Sitz in Deutschland, die Rechenzentren stehen in deutschen Regionen wie Bayern, Hessen, Nordrhein-Westfalen oder Berlin.

Bekannte Beispiele sind IONOS mit Standorten in Frankfurt und Karlsruhe, die Telekom mit der Open Telekom Cloud, StackIT aus dem Umfeld der Schwarz Gruppe, PlusServer und die noris network AG. Hinzu kommen regionale Anbieter in Baden-Württemberg, Niedersachsen, Sachsen und Hamburg.

Der Vorteil liegt in der Gerichtsbarkeit. Klagen, Behördenanfragen und Vollstreckung laufen nach deutschem Recht. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit sowie die Landesdatenschutzbeauftragten sind die zuständigen Aufsichtsbehörden.

Der Nachteil ist die Abhängigkeit von einem einzelnen Anbieter. Wer nur einen Standort und einen Vertrag hat, trägt ein Klumpenrisiko. Ausfälle, Insolvenzen oder Preiserhöhungen treffen den Betrieb direkt.

Worauf beim Vertrag zu achten ist

Der Auftragsverarbeitungsvertrag muss Weisungsbindung, Löschfristen und Meldepflichten bei Sicherheitsvorfällen enthalten. Subunternehmer müssen namentlich genannt und mit Sitzland aufgeführt sein.

Wer Verschlüsselung selbst verwaltet, behält die Kontrolle über die Schlüssel. Das ist der wichtigste technische Hebel, um Datenhaltung Deutschland glaubhaft zu belegen.

Ablauf in fünf Schritten

1. Datenbestand erfassen und in personenbezogene, geheime und sonstige Daten trennen.
2. Schutzbedarf je Kategorie festlegen, orientiert an DIN EN ISO/IEC 27001 und dem BSI-Grundschutz.
3. Anbieter mit Rechenzentrum in Deutschland auswählen und Standort schriftlich bestätigen lassen.
4. Auftragsverarbeitungsvertrag und Subunternehmerliste prüfen.
5. Verschlüsselung, Schlüsselverwaltung und Wiederherstellung testen.

Weg 2: EU-weite Anbieter mit Datenhaltung in Deutschland

Der zweite Weg nutzt Anbieter mit europäischer Rechtsform, die ihre Daten in Deutschland speichern. Dazu zählen Anbieter mit Standorten in Frankfurt am Main, Berlin oder München, die mehrere EU-Regionen betreiben.

Der Vorteil ist die Auswahl an Regionen innerhalb der EU. Fällt eine Region aus, lässt sich die Sicherung in eine andere verlagern, ohne den Anbieter zu wechseln. Für Betriebe mit Kunden in mehreren EU-Staaten ist das praktisch.

Der Nachteil liegt in der Konzernstruktur. Ist der Mutterkonzern außerhalb der EU ansässig, können Anfragen aus Drittstaaten über die Konzernschiene ankommen. Das ist rechtlich nicht automatisch unzulässig, aber es muss geprüft und dokumentiert werden.

Die Verbraucherzentrale beschreibt in ihrem Bereich zu Cloud-Angeboten und Online-Diensten, worauf Nutzer bei Cloud-Angeboten und Datenhaltung achten sollten. Für Betriebe ist das eine brauchbare erste Orientierung, ersetzt aber keine Rechtsprüfung.

Prüfpunkte für EU-Anbieter

• Sitz der Konzernmutter und der vertragsschließenden Gesellschaft
• Liste aller Subunternehmer mit Sitzland
• Ort der Datenhaltung und der Metadaten, nicht nur der Nutzdaten
• Regelung für behördliche Auskunftsersuchen aus Drittstaaten
• Kündigungsfristen und Format der Datenrückgabe

Weg 3: Hybride Modelle mit lokaler Vorhaltung und EU-Cloud

Der dritte Weg kombiniert beides. Eine lokale Kopie bleibt im Betrieb, eine zweite Kopie liegt bei einem Anbieter mit EU-Datenhaltung. Das ist die aufwendigste, aber widerstandsfähigste Variante.

Die lokale Vorhaltung kann ein NAS im Serverraum sein, ein zweiter Standort oder ein colocated System bei einem regionalen Dienstleister. Die Cloud-Kopie dient als Auslagerung für den Fall von Brand, Wasserschaden oder Diebstahl.

Die 3-2-1-Regel bleibt der Maßstab: drei Kopien, zwei verschiedene Medien, eine Kopie außer Haus. Wer sie einhält, hat gegen die meisten Ausfälle vorgesorgt.

Der Aufwand liegt in der Pflege. Zwei Systeme bedeuten zwei Patchzyklen, zwei Berechtigungskonzepte und zwei Überwachungen. Kleine Betriebe unterschätzen das regelmäßig.

Praxisbeispiel

Ein Handwerksbetrieb mit 14 Beschäftigten sichert die Auftrags- und Buchhaltungsdaten nächtlich auf ein NAS im Büro. Zusätzlich läuft eine verschlüsselte Sicherung zu einem deutschen Anbieter mit Rechenzentrum in Frankfurt.

Die Schlüssel liegen im Betrieb, nicht beim Anbieter. Einmal im Quartal wird die Wiederherstellung an einem Testgerät geprüft und protokolliert. Der Aufwand liegt bei etwa zwei Stunden pro Quartal.

Prüfung gegen DSGVO und BSI-Anforderungen

Die Prüfung hat zwei Stränge, die getrennt zu führen sind. Der datenschutzrechtliche Strang fragt nach Rechtsgrundlage, Auftragsverarbeitung und Betroffenenrechten. Der sicherheitstechnische Strang fragt nach Verfügbarkeit, Integrität und Vertraulichkeit.

Für den Datenschutz ist die DSGVO maßgeblich, abrufbar über die Teilliste D der Datenschutzvorschriften. Zuständig sind der BfDI für Bundesbehörden und die Landesdatenschutzbeauftragten für die private Wirtschaft.

Für die IT-Sicherheit liefert das BSI die zentralen Publikationen zu Grundschutz und IT-Sicherheitsgesetz. Der IT-Grundschutz beschreibt Bausteine für Server, Netze und Datensicherung, die sich auf Cloud-Szenarien übertragen lassen.

Das IT-Sicherheitsgesetz 2.0 verpflichtet bestimmte Betreiber kritischer Anlagen zu besonderen Nachweisen. Die meisten kleinen Betriebe fallen nicht darunter, sollten die Anforderungen aber als Messlatte nutzen.

Vergleich der Prüfkriterien

Kriterium	DSGVO-Prüfung	BSI-Anforderungen
Rechtsgrundlage	Erforderlich für personenbezogene Daten	Nicht Gegenstand
Auftragsverarbeitung	Vertrag nach Art. 28	Vertragliche Regelung empfohlen
Subunternehmer	Nennung und Prüfung	Lieferkettenbetrachtung
Verschlüsselung	Stand der Technik	Kryptokonzept nach Grundschutz
Löschung	Fristen und Nachweis	Datenträgerentsorgung
Meldepflicht	72 Stunden bei Verstoß	Meldung an Aufsicht je nach Sektor
Nachweis	Verzeichnis von Verarbeitungstätigkeiten	Dokumentation und Audit

Die Verbraucherzentrale bietet im Bereich Digitale Welt und Datenschutz Hinweise zu Cloud-Diensten und Datenschutz, die sich auch für Betriebe als Einstieg eignen. Eine Rechtsberatung ersetzt das nicht.

Anbietervergleich und Auswahlkriterien

Ein Cloud-Backup Vergleich sollte nicht mit dem Preis beginnen. Zuerst kommen Standort, Rechtsform und Subunternehmer. Erst danach lohnt der Blick auf Speicherpreis und Traffic.

Die Deutsche Akkreditierungsstelle prüft Zertifizierungsstellen, nicht die Anbieter selbst. Ein ISO-27001-Zertifikat ist nur so viel wert wie die Stelle, die es ausgestellt hat.

Der Bitkom veröffentlicht regelmäßig Lagebilder zur IT-Sicherheit in der Wirtschaft. Das Statistische Bundesamt liefert Daten zur Nutzung von Cloud-Diensten in Unternehmen. Beide Quellen helfen bei der Einordnung, ersetzen aber die eigene Prüfung nicht.

Auswahlkriterien

• Rechenzentrumsstandort in Deutschland, schriftlich bestätigt
• Sitz der vertragsschließenden Gesellschaft in der EU
• Vollständige Subunternehmerliste mit Sitzland
• Verschlüsselung mit eigener Schlüsselverwaltung
• Exportfunktion in offenen Formaten
• Wiederherstellungszeiten im Vertrag zugesichert
• Kündigungsfrist und Datenrückgabe geregelt

Prüfliste für die Anbieterauswahl

• Rechenzentrum in Deutschland bestätigt
• Auftragsverarbeitungsvertrag liegt vor
• Subunternehmerliste vollständig
• Verschlüsselung und Schlüsselverwaltung geklärt
• Wiederherstellung getestet und protokolliert
• Löschfristen und Exit-Szenario vereinbart
• Ansprechpartner für Sicherheitsvorfälle benannt

Vertragliche und technische Absicherung

Der Vertrag ist die halbe Miete. Ohne klare Regelungen zu Löschung, Rückgabe und Weisungen bleibt die EU-Datenhaltung eine Zusage ohne Deckung.

Technisch zählt die Verschlüsselung. Wer die Schlüssel selbst hält, kann den Anbieter wechseln, ohne die Daten neu zu verschlüsseln. Das ist der wirksamste Schutz gegen Lock-in.

Die Bundesnetzagentur reguliert den Telekommunikationsmarkt und greift bei Anbietern mit Netzinfrastruktur. Für reine Backup-Dienste ist sie selten zuständig, bei integrierten Connectivity-Angeboten aber relevant.

Ein Exit-Szenario gehört in jeden Vertrag. Es beschreibt, in welchem Format die Daten zurückkommen, innerhalb welcher Frist und zu welchem Preis. Ohne diese Klausel wird der Wechsel teuer.

Technische Mindestanforderungen

• Verschlüsselung im Transport und im Ruhezustand
• Schlüsselverwaltung beim Kunden oder in einer EU-Region
• Unveränderbarkeit der Sicherungen gegen Ransomware
• Protokollierung aller Zugriffe
• Regelmäßige Wiederherstellungstests mit Nachweis

Häufige Fragen

Welcher Weg eignet sich für einen Betrieb mit zehn Beschäftigten?

In der Regel Weg 1 mit einem deutschen Anbieter und einem Rechenzentrum in Deutschland. Der Aufwand ist überschaubar, die Rechtslage klar. Eine lokale Kopie bleibt trotzdem sinnvoll.

Reicht ein Auftragsverarbeitungsvertrag für die DSGVO-Konformität?

Nein. Der Vertrag ist notwendig, aber nicht ausreichend. Hinzu kommen Rechtsgrundlage, Verzeichnis der Verarbeitungstätigkeiten und ein Nachweis über die technische Absicherung.

Was bedeutet EU-Datenhaltung, wenn der Anbieter US-Investoren hat?

Der Sitz der Gesellschaft und der Speicherort sind entscheidend. Kapitalgeber allein begründen keinen Drittstaatszugriff. Prüfen Sie dennoch, ob Konzernmutter oder Subunternehmer außerhalb der EU sitzen.

Wie oft sollte die Wiederherstellung getestet werden?

Mindestens einmal im Quartal, bei kritischen Daten monatlich. Der Test muss dokumentiert werden, sonst fehlt der Nachweis gegenüber Aufsicht und Versicherung.

Sind BSI-Anforderungen für kleine Betriebe verpflichtend?

Nur für bestimmte Betreiber kritischer Anlagen nach dem IT-Sicherheitsgesetz 2.0. Für alle anderen sind sie eine anerkannte Messlatte, an der sich Sicherheitskonzepte orientieren sollten.