Cloud-Compliance EU: 12-Punkte-Prüfraster für Cloud-Dienste

Cloud-Compliance in der EU heißt, für jeden genutzten Cloud-Dienst zeigen zu können, welche Regeln gelten, welche Standards der Anbieter nachweist, was vertraglich vereinbart ist und welches Dokument das belegt. Wer nach „cloud-compliance eu“ sucht, hat es also mit vier Ebenen zu tun: EU-Recht wie DSGVO und Data Act, Standards wie ISO/IEC 27001 oder BSI C5, Verträge mit dem Anbieter und die Nachweise für Kunden, Prüfer und Einkäufer. Ein Rechenzentrum in Frankfurt deckt keine dieser Ebenen vollständig ab.

Dieser Beitrag ist operative Orientierung, keine Rechtsberatung. Ob eine Vorschrift auf Ihr Unternehmen anwendbar ist und was sie konkret verlangt, klären Sie mit qualifizierter Rechtsberatung oder der zuständigen Behörde.

Vier Ebenen, die in der Praxis ständig verwechselt werden

Die häufigste Verwechslung: Ein Zertifikat wird als Beleg für die Einhaltung eines Gesetzes vorgelegt. Ein ISO-27001-Zertifikat sagt etwas über ein Managementsystem in einem definierten Geltungsbereich aus. Es sagt nichts darüber, ob Ihre konkrete Datenverarbeitung rechtlich zulässig ist.

Die fünfte Zeile wird am häufigsten vergessen. Ein Anbieter kann EU-Regionen anbieten; ob Ihr Konto sie auch nutzt, zeigt nur Ihre eigene Konfiguration.

Was die EU-Kommission unter Cloud-Politik fasst

Die Cloud-Seite der Europäischen Kommission beschreibt das Ziel, Unternehmen und Behörden Zugang zu sicheren, nachhaltigen und interoperablen Cloud-Diensten zu verschaffen, und führt dort auch den vorgeschlagenen Cloud and AI Development Act (CADA) auf. „Vorgeschlagen“ ist das entscheidende Wort: Ein Entwurf begründet für Ihr Team noch keine Prüfpunkte. Planen Sie Maßnahmen erst, wenn der verabschiedete Text vorliegt, und prüfen Sie den Stand direkt auf der Kommissionsseite statt in Sekundärquellen.

Data Act: ein Datum, das in Verträgen auftaucht

Laut einer Studie des Instituts der deutschen Wirtschaft, die sich mit den Cloud-Regeln im Data Act befasst, trat die Verordnung am 11. Januar 2024 in Kraft und gilt EU-weit ab dem 12. September 2025. Für die operative Arbeit folgt daraus keine Rechtsauskunft, aber eine Prüffrage: Welche Klauseln zu Anbieterwechsel, Datenexport und Kündigung stehen in Ihren aktuellen Cloud-Verträgen, und wann wurden sie zuletzt angepasst? Die Bewertung, ob diese Klauseln genügen, gehört zur Rechtsberatung.

Standards und Verhaltensregeln

BSI C5 ist der Kriterienkatalog des Bundesamts für Sicherheit in der Informationstechnik für Cloud-Dienste; er beschreibt Anforderungen, gegen die ein Wirtschaftsprüfer einen Anbieter prüfen kann. Der EU Cloud Code of Conduct ist ein Regelwerk, dem sich Anbieter anschließen; die Betreiber stellen ihn als Werkzeug dar, mit dem Anbieter die Einhaltung gegenüber Kunden und Aufsichtsbehörden belegen können, und führen ein öffentliches Register. Für Sie als Kunde heißt das: Den Registereintrag selbst nachschlagen, nicht dem Logo auf der Anbieterseite vertrauen.

Wo „EU-Hosting“ als Nachweis zu kurz greift

Die Region im Kundenportal ist nur der Speicherort der Primärdaten. Personenbezogene oder vertrauliche Daten verlassen die Region auf anderen Wegen, und genau diese Wege fragen erfahrene Einkäufer ab. Eine ausführlichere Stufenliste für Fragebogen-Tools steht im EU-Datenresidenz-Fragebogen-Tool: 11-Punkte-Check.

Unterauftragsverarbeiter

Ein Anbieter mit EU-Rechenzentrum kann für E-Mail-Versand, Fehlerberichte, Zahlungsabwicklung oder KI-Funktionen weitere Dienstleister einsetzen. Jeder davon hat eigene Standorte. Prüfen Sie die Liste der Unterauftragsverarbeiter Zeile für Zeile auf Sitz, Verarbeitungsort und Zweck. Fehlt bei einem Eintrag der Verarbeitungsort, ist das eine offene Frage an den Anbieter, kein Detail.

Support- und Administratorzugriff

Gespeichert in Frankfurt, administriert aus einem Drittland: Diese Konstellation kommt vor, wenn Support-Teams rund um die Uhr in mehreren Zeitzonen arbeiten. Fragen Sie konkret, von wo aus Personal auf Kundendaten zugreifen kann, unter welchen Bedingungen und ob diese Zugriffe protokolliert werden.

Backups, Protokolle und Telemetrie

Sicherungskopien liegen nicht zwingend in derselben Region wie die Produktivdaten. Logs enthalten oft E-Mail-Adressen, IP-Adressen oder Dateinamen. Telemetrie läuft gelegentlich über globale Dienste. Drei Fragen genügen für den Einstieg: Wo liegen Backups? Wo werden Logs verarbeitet? Welche Daten enthält die Telemetrie?

12-Punkte-Prüfraster für einen einzelnen Cloud-Dienst

Das Raster ist für einen Dienst gedacht, nicht für Ihren gesamten Stack. Arbeiten Sie es pro Anbieter ab und notieren Sie zu jedem Punkt das konkrete Dokument mit Datum. Ein Punkt ohne Dokument gilt als offen.

Ebene 1: Rolle und Recht

1. Rolle geklärt: Ist der Anbieter Auftragsverarbeiter, eigenständig Verantwortlicher oder beides für unterschiedliche Daten? Ergebnis schriftlich festhalten.
2. Datenkategorien erfasst: Welche personenbezogenen und vertraulichen Daten fließen in den Dienst? Eintrag im Verarbeitungsverzeichnis vorhanden?
3. Drittlandbezug geprüft: Gibt es Verarbeitung außerhalb der EU, auch über Unterauftragsverarbeiter? Falls ja: Welche Grundlage nennt der Anbieter, und hat Ihre Rechtsberatung sie bewertet?

Ebene 2: Standards

4. Zertifikat mit Geltungsbereich: Deckt der Scope den Dienst ab, den Sie tatsächlich nutzen, oder nur das Rechenzentrum oder eine andere Produktlinie?
5. Gültigkeit: Ablaufdatum des Zertifikats oder Prüfzeitraum des Berichts notiert?
6. Registereintrag: Bei Selbstverpflichtungen wie dem EU Cloud CoC den Eintrag im öffentlichen Register geprüft, nicht nur das Logo?

Ebene 3: Vertrag

7. AVV unterzeichnet: Aktuelle Fassung mit Datum abgelegt?
8. Änderungsmeldungen: Wie und mit welchem Vorlauf informiert der Anbieter über neue Unterauftragsverarbeiter? Wer in Ihrem Team bekommt diese Meldung?
9. Ausstieg: Was regelt der Vertrag zu Datenexport, Format und Löschung nach Kündigung?

Ebene 4: Betrieb

10. Region aktiv gewählt: Konfigurationsexport oder datierter Screenshot der Regionseinstellung Ihres Kontos.
11. Zugriffe: Wer bei Ihnen hat Administratorrechte, und wann wurde die Liste zuletzt geprüft?
12. Zuständigkeit: Eine benannte Person ist für diesen Dienst verantwortlich und hat ein Datum für die nächste Prüfung im Kalender.

Eine einfache Bewertung: Neun oder mehr belegte Punkte bedeuten, dass Sie Fragen von Kunden zu diesem Dienst aus vorhandenen Dokumenten beantworten können. Darunter entstehen die Antworten im Zweifel aus dem Gedächtnis, und dort beginnen die Widersprüche zwischen zwei Fragebögen.

Rechenbeispiel: Wie viele Nachweise ein Cloud-Stack erzeugt

Ein fiktives SaaS-Unternehmen nutzt sechs Cloud-Dienste: Hosting, Datenbank, E-Mail-Versand, Fehlerüberwachung, Ticketsystem und Dateiablage. Pro Dienst fallen mindestens vier Dokumente an: Zertifikat, Prüfbericht oder Registereintrag, AVV und Liste der Unterauftragsverarbeiter.

Zwei Prüfungen im Monat sind machbar. Zum Problem wird die Rechnung, wenn alle 24 Dokumente in derselben Woche geprüft werden, weil ein großer Kunde einen Fragebogen schickt. Verteilen Sie die Prüftermine deshalb nach den Ablaufdaten der Zertifikate, nicht nach dem Eingang von Kundenanfragen.

Der typische Fehler in solchen Teams: Die Dokumente existieren, aber niemand weiß, welche Fassung gilt. Wer im Fragebogen eine veraltete Liste der Unterauftragsverarbeiter zitiert, liefert eine falsche Antwort mit echtem Beleg.

Was sich im November und Dezember lohnt

Für viele Teams fallen zum Jahresende Budgetplanung, Vertragsverlängerungen und die Vorbereitung von Audits im neuen Jahr zusammen. Wenn das bei Ihnen zutrifft, sind drei Arbeiten in diesen Wochen gut aufgehoben:

• Ablaufdaten sammeln: Alle Zertifikate und Prüfberichte Ihrer Cloud-Anbieter in eine Liste mit Ablaufdatum übernehmen. Was im ersten Quartal ausläuft, jetzt beim Anbieter nachfragen.
• Verträge vor Verlängerung lesen: Steht eine automatische Verlängerung an, ist das der letzte Zeitpunkt, an dem Sie Klauseln zu Export und Unterauftragsverarbeitern ohne Zeitdruck prüfen können.
• Regulatorische Entwürfe beobachten, nicht vorwegnehmen: Für den vorgeschlagenen CADA gilt: Stand auf der Kommissionsseite verfolgen, aber keine internen Prozesse auf einen Text bauen, der noch nicht beschlossen ist.

Konkrete Fristen für Ihr Unternehmen nennt dieser Beitrag bewusst nicht. Sie hängen von Branche, Größe und Verträgen ab und gehören in die Abstimmung mit Ihrer Rechtsberatung.

Wo Sicherheitsfragebögen ins Spiel kommen

Kunden prüfen Ihre Cloud-Compliance selten mit einem Audit, meistens mit einem Fragebogen. Darin tauchen die Punkte aus dem Raster wieder auf: Wo liegen die Daten, wer sind die Unterauftragsverarbeiter, welche Zertifikate gibt es, wie läuft der Ausstieg. Wer das Raster einmal pro Dienst ausgefüllt hat, beantwortet diese Fragen aus Dokumenten statt aus Erinnerung.

Automatisierung hilft dabei an einer klar umrissenen Stelle: beim Entwurf. Ein Werkzeug kann Antworten aus Ihren hochgeladenen Richtlinien, AVVs und Zertifikaten vorformulieren und jede Antwort mit der Fundstelle versehen. Die Entscheidung, ob die Antwort stimmt und ob das zitierte Dokument noch gilt, bleibt bei einem Menschen. Compliance Concierge ist so gebaut: in Frankfurt gehostet, Entwürfe mit Belegzitaten aus Ihren eigenen Dokumenten, und nichts wird ohne menschliche Prüfung exportiert. Eine rechtliche Bewertung Ihrer Cloud-Nutzung ersetzt das nicht.

Wie Sie Aussagen sauber an aktuelle Nachweise binden, beschreibt Evidenzbasierte Compliance-Antworten: Ein Praxisrahmen. Kriterien für die Auswahl eines Werkzeugs finden Sie in Compliance-Fragebogen-Software: 14-Punkte-Kaufrahmen.

Häufige Fragen

Was ist Cloud-Compliance?

Cloud-Compliance bezeichnet die Fähigkeit, für genutzte Cloud-Dienste nachzuweisen, dass rechtliche Vorgaben, vereinbarte Standards und Verträge eingehalten werden. Sie umfasst nicht nur den Anbieter, sondern auch Ihre eigene Konfiguration und Ihre Zuständigkeiten. Ohne datierte Nachweise bleibt sie eine Behauptung.

Was bedeutet EU-Compliance im Cloud-Kontext?

Gemeint ist meist die Einhaltung von EU-Recht wie DSGVO und Data Act bei der Nutzung von Cloud-Diensten, ergänzt um Standards und Verhaltensregeln, die Kunden vertraglich verlangen. Welche Vorschriften für Ihr Unternehmen gelten, ist eine Einzelfallfrage für die Rechtsberatung. Operativ beginnt sie mit einer vollständigen Liste Ihrer Cloud-Dienste.

Gilt die DSGVO nur in Europa?

Das regelt der räumliche Anwendungsbereich in Art. 3 DSGVO, der auch Fälle außerhalb der EU erfassen kann. Ob er auf Ihr Unternehmen oder einen Ihrer Anbieter zutrifft, sollte Ihre Rechtsberatung bewerten. Für die Praxis bedeutet das: Ein Anbieter mit Sitz außerhalb der EU ist kein Grund, die DSGVO-Fragen im Prüfraster zu überspringen.

Lässt sich die Beantwortung von Sicherheitsfragebögen zur Cloud automatisieren?

Der Entwurf lässt sich automatisieren, die Freigabe sollte es nicht. Werkzeuge können Antworten aus Ihren Dokumenten vorformulieren und mit Fundstellen belegen. Die Prüfung, ob Dokument und Antwort aktuell sind, gehört vor dem Export in menschliche Hände.