Eine neue Cloud-Lösung ist oft in wenigen Stunden technisch eingerichtet. Die datenschutzkonforme Einbindung braucht mehr Vorbereitung: Welche Daten fliessen wohin? Wer kann darauf zugreifen? Und handelt der Anbieter tatsächlich nur im Auftrag Ihres Unternehmens? Dieser Leitfaden zur Auftragsbearbeitung mit Cloud-Diensten zeigt Schweizer KMU, wie sie diese Fragen pragmatisch in den Beschaffungs- und Betriebsprozess integrieren.
Cloud-Dienste sind für Zusammenarbeit, Buchhaltung, HR, Kundenservice und IT-Betrieb häufig unverzichtbar. Das aktuelle Schweizer Datenschutzgesetz, das seit dem 1. September 2023 gilt, verhindert ihren Einsatz nicht. Es verlangt aber, dass Verantwortlichkeiten, Weisungen und Schutzmassnahmen nachvollziehbar geregelt sind. Besonders wichtig wird das, wenn ein Cloud-Anbieter Daten ausserhalb der Schweiz bearbeitet oder weitere Dienstleister einsetzt.
Wann liegt bei Cloud-Diensten eine Auftragsbearbeitung vor?
Von Auftragsbearbeitung spricht man, wenn ein externer Dienstleister personenbezogene Daten im Auftrag und nach Weisung Ihres Unternehmens bearbeitet. Typische Beispiele sind eine cloudbasierte Lohnbuchhaltung, ein CRM, ein Ticketsystem, ein Backup-Service oder eine Plattform für Videokonferenzen.
Entscheidend ist nicht allein, wo die Daten gespeichert sind oder wie der Vertrag heisst. Massgeblich ist die tatsächliche Rollenverteilung. Legt Ihr Unternehmen fest, zu welchem Zweck Kundendaten, Bewerbungsunterlagen oder Mitarbeiterdaten verwendet werden, bleibt es für diese Bearbeitung verantwortlich. Der Cloud-Anbieter bearbeitet die Daten in diesem Fall üblicherweise als Auftragsbearbeiter.
Anders kann die Beurteilung ausfallen, wenn der Anbieter eigene Zwecke verfolgt, etwa Daten für eigene Analysen, Werbung oder Produktentwicklung verwendet. Dann reicht eine Standardvereinbarung zur Auftragsbearbeitung unter Umständen nicht aus. Prüfen Sie solche Nutzungen besonders sorgfältig und halten Sie die Entscheidung nachvollziehbar fest.
Leitfaden Auftragsbearbeitung mit Cloud-Diensten: Die Vorbereitung
Eine gute Prüfung beginnt nicht mit langen Vertragsbedingungen, sondern mit einem klaren Bild der geplanten Bearbeitung. Viele Lücken entstehen, weil Fachabteilungen eine Anwendung beschaffen, bevor IT, Datenschutz oder Geschäftsleitung eingebunden sind. Ein kurzer, verbindlicher Freigabeprozess spart später Rückfragen und Vertragsnachträge.
Daten und Einsatzzweck konkret erfassen
Beschreiben Sie zuerst, wofür der Dienst eingesetzt wird und welche Personengruppen betroffen sind. Bei einer HR-Software können das Mitarbeitende und Bewerbende sein, bei einem CRM Kontaktpersonen von Kunden und Lieferanten. Erfassen Sie auch die Datenarten. Namen und Geschäftskontaktdaten sind anders zu beurteilen als Gesundheitsangaben, Lohndaten, Zugangsdaten oder vollständige Gesprächsprotokolle.
Dabei geht es nicht darum, jede einzelne Datenbankspalte juristisch zu kommentieren. Für die Praxis genügt eine strukturierte Übersicht: Zweck, betroffene Personen, Datenkategorien, verantwortliche Stelle, Cloud-Anbieter, Speicherorte und Zugriffsberechtigungen. Diese Angaben gehören auch in das Bearbeitungsverzeichnis und sollten dort nicht erst bei einem Audit ergänzt werden.
Anbieter und Datenflüsse verstehen
Fragen Sie beim Anbieter nach den relevanten Fakten: In welchen Regionen werden Daten gespeichert und verarbeitet? Von wo aus leisten Support-Teams Zugriff? Welche Unterauftragnehmer werden eingesetzt? Wie informiert der Anbieter über Änderungen? Gerade bei globalen Cloud-Diensten liegen Speicherung, technischer Betrieb, Support und Backups oft nicht am gleichen Ort.
Ein Schweizer Vertragspartner bedeutet deshalb nicht automatisch, dass sämtliche Bearbeitungen in der Schweiz stattfinden. Umgekehrt ist eine Bearbeitung im Ausland nicht per se ausgeschlossen. Sie muss aber hinsichtlich des Ziellandes, der eingesetzten Garantien und der konkreten Datenflüsse sauber geprüft und dokumentiert werden. Bei Unternehmen mit EU-Bezug sind zudem die Anforderungen der DSGVO in die Gesamtbeurteilung einzubeziehen.
Was eine praxistaugliche Vereinbarung regeln sollte
Die Vereinbarung zur Auftragsbearbeitung ist kein Dokument für die Schublade. Sie schafft die operative Grundlage dafür, dass der Dienstleister Daten nur innerhalb des vereinbarten Rahmens bearbeitet. Häufig stellen Cloud-Anbieter dafür Standardbedingungen bereit. Diese können geeignet sein, sollten aber zum konkreten Einsatz passen.
Eine brauchbare Regelung beschreibt insbesondere Gegenstand und Dauer der Bearbeitung, die vereinbarten Zwecke, Datenkategorien und betroffenen Personen. Sie hält fest, dass der Anbieter nach dokumentierten Weisungen handelt und Vertraulichkeit wahrt. Ebenso wichtig sind angemessene technische und organisatorische Massnahmen, der Umgang mit Sicherheitsvorfällen, Unterstützung bei Betroffenenanfragen sowie Vorgaben für die Rückgabe oder Löschung von Daten nach Vertragsende.
Besondere Aufmerksamkeit verdienen Unterauftragsbearbeiter. Ein Cloud-Anbieter benötigt für Hosting, Support, E-Mail-Versand oder Sicherheitsüberwachung häufig weitere Dienstleister. Ihr Unternehmen sollte nachvollziehen können, welche Kategorien von Unterauftragnehmern eingesetzt werden, wie Änderungen kommuniziert werden und welche Kontrollmöglichkeiten bestehen. Eine formale Zustimmungsklausel hilft wenig, wenn Änderungen im Alltag unbemerkt bleiben.
Nicht jede Vertragsklausel ist verhandelbar, vor allem bei grossen Standarddiensten. Dann lautet die praktische Frage nicht nur: «Können wir den Vertrag ändern?» Sondern auch: «Ist das verbleibende Risiko für den vorgesehenen Zweck tragbar, oder gibt es eine passendere Konfiguration beziehungsweise Alternative?»
Schutzmassnahmen im Betrieb wirksam umsetzen
Der Vertrag allein schützt keine Daten. Die wirksamsten Massnahmen liegen oft in der Konfiguration und im Alltag. Das gilt besonders für Anwendungen, die rasch von vielen Mitarbeitenden genutzt werden.
Zugriffe sollten nach Rollen vergeben werden. Wer nur Termine koordinieren muss, benötigt in der Regel keinen Zugriff auf vollständige Personalakten oder Exportfunktionen. Mehrfaktor-Authentisierung, klare Prozesse für Ein- und Austritte sowie regelmässige Überprüfung von Administratorrechten sind einfache, aber sehr wirkungsvolle Grundlagen.
Ebenso relevant sind Verschlüsselung, Protokollierung, Backup- und Wiederherstellungskonzepte sowie die Einstellungen für Freigabelinks und externe Zusammenarbeit. In der Praxis sind offen konfigurierte Dateien, geteilte Konten und zu weit gefasste Berechtigungen oft problematischer als die Wahl des Cloud-Dienstes selbst. Dokumentieren Sie die wichtigsten Einstellungen als technische und organisatorische Massnahmen, damit sie bei Personalwechseln nicht verloren gehen.
Sicherheitsvorfälle vorab organisieren
Wenn ein Konto übernommen wird, Daten versehentlich veröffentlicht werden oder ein Dienst ausfällt, zählt Zeit. Klären Sie deshalb vor dem Produktivstart, wie der Anbieter Vorfälle meldet, welche Kontaktstelle intern zuständig ist und wie Informationen bewertet sowie dokumentiert werden. Auch ein kleiner Vorfall sollte nicht nur per Chat gelöst werden, ohne dass Ursachen und Folgemassnahmen festgehalten sind.
Ein sinnvoller Ablauf verbindet IT, Fachbereich und Geschäftsleitung. Wer informiert wen? Welche Zugriffe werden sofort gesperrt? Welche Daten und Personen könnten betroffen sein? Diese Fragen lassen sich in einer kurzen Arbeitsanweisung festlegen und bei Bedarf testen.
Beschaffung und bestehende Tools zusammenführen
Für neue Cloud-Dienste empfiehlt sich ein schlanker Freigabeprozess mit wenigen Pflichtfragen. Der Fachbereich beschreibt Nutzen und Datenarten, IT beurteilt Integration und Sicherheitskonfiguration, und die zuständige Datenschutzfunktion prüft Rollen, Vertrag und Datenflüsse. Die Geschäftsleitung entscheidet bei erhöhten Risiken oder wesentlichen Ausnahmen.
Bestehende Lösungen sollten Sie nicht auf einmal analysieren wollen. Priorisieren Sie zuerst Dienste mit besonders schützenswerten Daten, vielen Nutzenden, weitreichenden Administrationsrechten oder Bearbeitungen im Ausland. Danach folgen Systeme, die für kritische Geschäftsprozesse zentral sind. So wird aus einer unübersichtlichen Tool-Landschaft ein umsetzbarer Plan.
Eine zentrale Datenschutzmanagement-Lösung wie DSMS+ kann dabei helfen, Bearbeitungsverzeichnis, Verträge, technische Massnahmen, Freigaben und Nachweise an einem Ort zu führen. Der Nutzen liegt nicht primär in der Ablage, sondern darin, dass Verantwortlichkeiten und Überprüfungen im Tagesgeschäft sichtbar bleiben.
Regelmässig prüfen statt einmalig abhaken
Cloud-Dienste verändern sich laufend: Neue Funktionen kommen hinzu, Speicherregionen werden erweitert, Unterauftragnehmer wechseln oder Mitarbeitende nutzen das Tool anders als ursprünglich geplant. Planen Sie daher mindestens anlassbezogene Überprüfungen ein, etwa bei einer Vertragsverlängerung, einer neuen Datenkategorie, einer grösseren Integration oder einem Sicherheitsvorfall.
Datenschutz bei Cloud-Diensten wird beherrschbar, wenn er Teil der Beschaffung, Konfiguration und laufenden Verantwortung wird. Beginnen Sie bei dem Dienst, der die sensibelsten oder wichtigsten Daten verarbeitet, und schaffen Sie dort eine nachvollziehbare Grundlage. Dieser erste sauber dokumentierte Prozess macht die nächsten Prüfungen deutlich effizienter.