/it-recht:cloud-auftragsverarbeitung

Zweck

Wer einen Cloud-Dienst nutzt, lässt regelmäßig personenbezogene Daten durch den Anbieter verarbeiten und bleibt als Verantwortlicher in der Pflicht. Dieser Skill prüft die drei kritischen Achsen einer datenschutzkonformen Cloud-Nutzung: den Auftragsverarbeitungsvertrag (Art. 28 DSGVO), die Sicherheit der Verarbeitung (Art. 32 DSGVO) und die Zulässigkeit des Datentransfers in Drittländer (Art. 44 DSGVO ff., Kapitel V). Er deckt Lücken auf, bevor sie zum Bußgeldfall werden, und verzahnt sich mit dem AVV-Prüfskill des Datenschutzbereichs.

⚠️ Aktualität (Stand 2026-07): Cloud-Verträge unterliegen seit dem 12.09.2025 neben der DSGVO auch dem Data Act (VO (EU) 2023/2854). Dessen Kapitel VI (Art. 23–31) regelt den Wechsel zwischen Datenverarbeitungsdiensten und gilt unabhängig davon, ob personenbezogene Daten betroffen sind — eine reine Art.-28-DSGVO-Prüfung greift damit zu kurz.

• Wechselentgelte („switching charges") werden bis zum 12.01.2027 vollständig abgeschafft. Bis dahin sind ausschließlich kostenbasiert reduzierte Entgelte zulässig; pauschale Ausstiegs- oder Datenexportgebühren sind bereits jetzt unzulässig.
• Art. 25 verlangt vertragliche Regelungen zur Unterstützung beim Wechsel (Ausstiegshilfe, Übergangsfristen, Datenexport in einem strukturierten, gängigen und maschinenlesbaren Format).
• Art. 13 unterwirft einseitig auferlegte Vertragsklauseln über den Datenzugang in B2B-Verhältnissen einer eigenständigen Missbräuchlichkeitskontrolle — neben §§ 305 ff. BGB.
• Das deutsche Data-Act-Durchführungsgesetz (DADG) wurde am 26.03.2026 vom Bundestag beschlossen und im BGBl. vom 29.05.2026 verkündet. Zuständige Behörde ist die Bundesnetzagentur (Bekanntgabe 30.05.2026). Im selben Paket vom 26.03.2026 wurde das deutsche Durchführungsgesetz zum Data Governance Act beschlossen; auch dort beaufsichtigt die BNetzA Datenvermittlungsdienste und datenaltruistische Organisationen.

Einzelne Paragrafen des DADG sind vor mandantengerichteter Verwendung am verkündeten Text zu verifizieren. [unverifiziert - prüfen]

Eingaben