3 Wege zu EU-Datenhaltung bei Cloud-Backups deutscher Anbieter

Das Wichtigste auf einen Blick

Drei Wegedeutscher Anbieter mit Rechenzentrum in Deutschland, EU-Anbieter mit Datenhaltung in Deutschland, hybrid aus NAS und EU-Cloud.
Prüfen Sie Speicherort, Sitz der Vertragsgesellschaft, Subunternehmerliste und Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
DSGVO und BSI-Grundschutz laufen parallel: Datenschutz für personenbezogene Daten, Grundschutz für Verfügbarkeit und Integrität.
Ohne protokollierten Wiederherstellungstest fehlt der Nachweis gegenüber Aufsicht und Versicherung.

Die drei Wege im Überblick

Wer Beschäftigten-, Kunden- oder Patientendaten in die Cloud sichert, braucht eine Rechtsgrundlage und einen Auftragsverarbeitungsvertrag. Wer Geschäftsgeheimnisse sichert, muss nach dem GeschGehG angemessene Geheimhaltungsmaßnahmen nachweisen.

Die drei Wege unterscheiden sich in Kosten, Aufwand und Abhängigkeit. Die Wahl hängt davon ab, wie viel Kontrolle der Betrieb selbst ausüben will.

Drei Wege zur EU-Datenhaltung

Wie viel Kontrolle will der Betrieb?

Weg 1: Deutscher Anbieter, Rechenzentrum EU

Nein

Weg 2: EU-Anbieter, Daten in Deutschland

Weg 1: Deutscher Anbieter mit Rechenzentrum in Deutschland

Vertragspartner und Rechenzentrum liegen in Deutschland. Bekannt sind IONOS mit Standorten in Frankfurt und Karlsruhe, die Open Telekom Cloud, StackIT, PlusServer und die noris network AG. Zuständig sind der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit und die Landesdatenschutzbeauftragten.

Der Nachteil ist das Klumpenrisiko: ein Standort, ein Vertrag. Im Auftragsverarbeitungsvertrag müssen Weisungsbindung, Löschfristen und Meldepflichten stehen; Subunternehmer gehören mit Sitzland in die Anlage.

Datenbestand erfassen und in personenbezogene, geheime und sonstige Daten trennen.
Schutzbedarf je Kategorie festlegen, orientiert an DIN EN ISO/IEC 27001 und BSI-Grundschutz.
Standort des Rechenzentrums schriftlich bestätigen lassen.
Auftragsverarbeitungsvertrag und Subunternehmerliste prüfen.
Schlüsselverwaltung und Wiederherstellung testen.

Weg 2: EU-Anbieter mit Datenhaltung in Deutschland

Die Gesellschaft sitzt in der EU, gespeichert wird in Deutschland. OVHcloud und Leaseweb betreiben Rechenzentren in Frankfurt am Main. Fällt eine EU-Region aus, verlagert sich die Sicherung ohne Anbieterwechsel.

Der Nachteil liegt in der Konzernstruktur. Sitzt die Muttergesellschaft außerhalb der EU, können Auskunftsersuchen über die Konzernschiene eintreffen. Das ist nicht automatisch unzulässig, muss aber geprüft und dokumentiert werden.

Prüfpunkte:

Weg 2: EU-Anbieter

Sitz der Vertragsgesellschaft in der EU
Rechenzentrum in Deutschland, schriftlich bestätigt
vollständige Subunternehmerliste mit Sitzland
eigene Schlüsselverwaltung
Export in offenen Formaten

Weg 3: Hybrid mit NAS und EU-Cloud

Eine Kopie bleibt im Betrieb, eine zweite liegt bei einem Anbieter mit EU-Datenhaltung. Lokal dient ein NAS, etwa von Synology oder QNAP. Die Cloud-Kopie schützt gegen Brand, Wasserschaden und Diebstahl.

Für die Cloud-Seite eignen sich Synology C2 Backup, Acronis Cyber Protect Cloud oder Veeam Cloud Connect über einen deutschen Dienstleister. Maßstab bleibt die 3-2-1-Regel: drei Kopien, zwei Medien, eine außer Haus.

Praxisbeispiel: Ein Handwerksbetrieb mit 14 Beschäftigten sichert nächtlich auf ein NAS und zusätzlich verschlüsselt nach Frankfurt. Die Schlüssel liegen im Betrieb, die Wiederherstellung wird quartalsweise geprüft und protokolliert.

Prüfung gegen DSGVO und BSI

Der datenschutzrechtliche Strang fragt nach Rechtsgrundlage, Auftragsverarbeitung und Betroffenenrechten; maßgeblich ist die Teilliste D der Datenschutzvorschriften. Der sicherheitstechnische Strang fragt nach Verfügbarkeit, Integrität und Vertraulichkeit.

Für die Technik gibt das BSI Empfehlungen zu Cloud-Computing, der IT-Grundschutz liefert Bausteine für Server, Netze und Datensicherung.

DSGVO

Rechtsgrundlage: erforderlich
Auftragsverarbeitung: Vertrag nach Art. 28
Subunternehmer: Nennung und Prüfung
Verschlüsselung: Stand der Technik
Löschung: Fristen und Nachweis

BSI-Grundschutz

Rechtsgrundlage: nicht Gegenstand
Auftragsverarbeitung: Regelung empfohlen
Subunternehmer: Lieferkettenbetrachtung
Verschlüsselung: Kryptokonzept
Löschung: Datenträgerentsorgung

Verschlüsselung und Wiederherstellungstest gehören zusammen: Wer die Schlüssel selbst hält, wechselt den Anbieter ohne Neuverschlüsselung und testet mindestens quartalsweise, bei kritischen Daten monatlich, mit Protokoll. Als Zielwerte im Vertrag eignen sich zum Beispiel 4 Stunden für betriebskritische Systeme und 24 Stunden für Archivdaten.

Was die drei Wege kosten

Weg 1 und Weg 2 kosten laufend Speicher, abhängig von Volumen, Aufbewahrungsdauer und Region. Weg 3 kostet zusätzlich Hardware, Strom und Pflegezeit. Prüfen Sie zuerst Standort, Rechtsform und Subunternehmer, dann den Speicherpreis.

Beispielrechnung mit angenommenen Werten, keine Anbieterzusage: 15 Arbeitsplätze, 1,5 TB Sicherungsvolumen, zwei Jahre Laufzeit.

Weg	Laufend pro Monat	Einmalig	Zwei Jahre
1	15 bis 30 Euro	Einrichtung	360 bis 720 Euro
2	15 bis 35 Euro	Einrichtung	360 bis 840 Euro
3	15 bis 30 Euro	600 bis 900 Euro	960 bis 1.620 Euro

Der Bitkom veröffentlicht Lagebilder zur IT-Sicherheit; das Statistische Bundesamt liefert Daten zur Cloud-Nutzung in Unternehmen. Beides ersetzt die eigene Prüfung nicht.

Häufige Fragen

Welcher Weg passt für zehn Beschäftigte?

Meist Weg 1 mit einem deutschen Anbieter und Rechenzentrum in Deutschland. Der Aufwand bleibt überschaubar, eine lokale Kopie ist trotzdem sinnvoll.

Reicht der Auftragsverarbeitungsvertrag für die DSGVO?

Nein. Hinzu kommen Rechtsgrundlage, Verzeichnis der Verarbeitungstätigkeiten und der Nachweis technischer Maßnahmen.

Muss ich die Verschlüsselung selbst verwalten?

Empfohlen. Liegen die Schlüssel beim Betrieb, bleibt der Wechsel zu einem anderen Anbieter möglich, ohne alle Sicherungen neu zu verschlüsseln.

Wie oft muss ich die Wiederherstellung testen?

Mindestens quartalsweise, bei kritischen Daten monatlich, jeweils mit Datum, Umfang und Ergebnis im Protokoll.