Cloud-Dienste im KMU: Verträge, Datenstandort und Zugriff

Cloud-Dienste im KMU: Warum Verträge, Datenstandort und Zugriff zusammengehören

Suisse Digital stellt fest, dass kleine Unternehmen überdurchschnittlich oft cloudbasierte Internetapplikationen nutzen oder ihre gesamte Geschäftssoftware aus der Cloud beziehen. Wer als KMU in diesem Umfang auslagert, verlagert nicht nur Rechenleistung, sondern auch Personendaten, Dokumente und Zugriffsrechte zu einem Anbieter.

Daraus ergeben sich drei voneinander abhängige Prüfbereiche: der Vertrag, der Rollen und Bearbeitung regelt; der Datenstandort, der über anwendbares Recht und Aufsicht entscheidet; und die Zugriffskontrolle, die festlegt, wer im Alltag auf die Daten zugreift und was nachvollziehbar bleibt.

Die drei zusammenhängenden Bereiche sind Cloud-Vertrag, Datenstandort und Zugriffskontrolle. Vor der Unterschrift sind sie gemeinsam zu prüfen.

Ein Datenstandort ohne passende Vertragsklausel oder ein Vertrag ohne wirksame Zugriffskontrolle hinterlässt Lücken, die sich im Ereignisfall nicht mehr schliessen lassen.

Wie solche Vertragswerke aufgebaut sind, zeigt ein Blick auf die Standardvertragswerke grosser Anbieter: Der AVV ist dort Teil des Standardvertragswerks und wird als Datenschutznachtrag (Data Protection Addendum, DPA) bereitgestellt.

Für ein KMU bedeutet das: Die einschlägigen Zusagen stehen in umfangreichen Standarddokumenten, die zu lesen und mit den eigenen Anforderungen abzugleichen sind – nicht als reine Formalität abzuhaken.

Fakten zum Cloud-Bezug in Schweizer KMU

Verträge: Rollen, Datenkategorien und Sicherheitszusagen klären

Zuerst ist die Rolle zu klären. Die Datenschutzerklärung des Cloud-Dienstes evidona nennt als verantwortliche Stelle die SimplyConnect GmbH, Schulstrasse 2b, 5426 Lengnau, Schweiz (UID CHE-160.031.708), mit [email protected] als Kontakt für Datenschutzanfragen.

Das zentrale Vertragsinstrument ist der Auftragsbearbeitungsvertrag (AVV). Art. 9 des revDSG spricht von Auftragsbearbeitung, Art. 28 der DSGVO von Auftragsverarbeitung. Sobald ein Dienstleister Personendaten im Auftrag des KMU bearbeitet, ist ein AVV Pflicht – praktisch bei jedem Cloud-Dienst.

Ein durchschnittliches KMU hat nicht einen, sondern fünf bis fünfzehn Auftragsverarbeiter. Typische Fälle sind Hosting, Newsletter-Tools wie Brevo oder Mailchimp, Cloud-Speicher und Office-Suiten wie Microsoft 365 oder Google Workspace, CRM- und Buchhaltungssoftware sowie Fernwartung.

Bei grossen Anbietern ist der AVV Teil des Standardvertragswerks. Microsoft stellt ihn als Datenschutznachtrag (Data Protection Addendum, DPA) bereit. Ihre Aufgabe ist zu prüfen, dass ein AVV vorliegt, und den Nachweis geordnet abzulegen.

Der AVV muss vor dem ersten Datenfluss vorliegen. Er regelt nach Art. 28 Abs. 3 DSGVO Gegenstand und Dauer, Art und Zweck der Verarbeitung, Datenkategorien und betroffene Personen sowie technische und organisatorische Massnahmen.

Die Verantwortung bleibt beim KMU. Nach Kurzpapier Nr. 13 der DSK wird die Verarbeitung durch den Auftragsverarbeiter dem Verantwortlichen zugerechnet. Von der Gesamtverantwortung kann sich das Unternehmen durch die Beauftragung nicht befreien.

Beim Self-Hosting auf eigener Infrastruktur ist der Kunde alleiniger Verantwortlicher und Betreiber. Der Anbieter ist nur Lizenzgeberin und bearbeitet die anfallenden Personendaten nicht; es gilt der Software-Lizenzvertrag, nicht die Datenschutzerklärung.

Solche Rollenwechsel gehören ausdrücklich in den Vertrag. Sie bestimmen, wer Auskunfts- und Löschbegehren beantwortet, wer eine Datenschutzverletzung meldet und wen eine betroffene Person belangt.

Zweitens sind die bearbeiteten Datenkategorien aufzulisten. Bei evidona sind das Kontodaten: Name, geschäftliche E-Mail-Adresse, Rolle, Anmeldeinformationen, Faktoren der Mehr-Faktor-Authentisierung und Spracheinstellungen.

Hinzu kommen die zur Signatur hochgeladenen Dokumente. Im Signaturraum werden Unterzeichnerdaten erfasst: Name, E-Mail-Adresse als Pflichtangabe, bei Versand eines Einmalcodes per SMS zusätzlich die Telefonnummer. Auch technische Signatur- und OTP-Protokolle gehören dazu.

Die Aufbewahrung ist ebenfalls zu regeln. Laut dieser Datenschutzerklärung werden hochgeladene Dokumente nur kurz aufbewahrt; der Dienst archiviert sie nicht. Diese Zusage muss ein KMU prüfen und mit seinen eigenen Aufbewahrungspflichten abgleichen.

Drittens sind anwendbares Recht und Sicherheitsrahmen zu benennen. Die genannte Datenschutzerklärung erklärt das schweizerische Datenschutzgesetz (revDSG) und, soweit einschlägig, die DSGVO für anwendbar.

Offen bleibt laut dieser Erklärung, ob und wie ein Datenschutzberater nach revDSG sowie ein EU-Vertreter beziehungsweise Datenschutzbeauftragter nach Art. 27 und Art. 37 DSGVO erforderlich und zu benennen sind. Solche offenen Punkte gehören vor der Unterschrift bereinigt.

Wer nach welchem Recht informieren, melden und haften muss, ist keine Frage der technischen Einrichtung, sondern des Vertragstextes.

Datenstandort: Schweiz, EU oder ein Rechenzentrum ausserhalb

Wo Daten bearbeitet werden, entscheidet mit darüber, welcher Rechtsrahmen greift. Für den Weg zwischen der Schweiz und der EU hält die Datenschutzerklärung von evidona fest, dass die Übermittlung von Personendaten durch die gegenseitige Angemessenheit der Datenschutzniveaus gedeckt ist.

Für Übermittlungen in Drittstaaten nennt ein AVV-Beispiel den Angemessenheitsbeschluss der Kommission, Standardvertragsklauseln und genehmigte Verhaltensregeln als mögliche Grundlagen. Jede Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und muss Art. 44 ff. DSGVO sowie Abschnitt 2 des DSG erfüllen.

Ein AVV kann den Datenstandort konkret festlegen. Ein Beispiel regelt, dass die Dienstleistung ausschliesslich in einem Mitgliedstaat der EU, einem Vertragsstaat des EWR oder in Deutschland erbracht wird.

Für Microsoft 365 oder Google Workspace als Cloud-Speicher und Office-Suiten liegt der AVV standardisiert vor. Microsoft veröffentlicht sein Data Protection Addendum zentral.

Das erleichtert Konstellationen mit Rechenzentren in der EU, deckt aber nicht beliebige Drittstaaten ab. Rechenzentren ausserhalb der Schweiz kommen in der Praxis vor und sind vor der Beschaffung zu prüfen.

Daraus ergeben sich konkrete Fragen an den Anbieter: In welchen Ländern stehen Primär- und Ausweichrechenzentren, und wo sind Subunternehmer (Subprozessoren) tätig? Welches Recht und welcher Gerichtsstand gelten für den Vertrag, und welchen Zugriff ausländischer Behörden muss der Anbieter einräumen? Sind Verschlüsselung und Schlüsselverwaltung so geregelt, dass das KMU die Kontrolle über die Schlüssel behält? Werden Protokolle und Sicherungen am selben Ort wie die Produktivdaten gehalten?

Der Standort ist zugleich eine Frage der Abhängigkeit. Smart Cyber Compliance hält fest, dass neben technischen Schutzmassnahmen klare Sicherheitsstrategien, Resilienz und digitale Souveränität nötig sind – verbunden mit weniger Abhängigkeit von einzelnen Anbietern.

Praktisch heisst das: Exportformate und Datenrückgabe bei Vertragsende vertraglich sichern, Fristen und Kosten der Rückführung festhalten und prüfen, ob ein Wechsel innerhalb einer vertretbaren Frist möglich wäre. Eine Cloud-Lösung, aus der man nicht geordnet herauskommt, bindet das KMU unabhängig davon, wie gut der laufende Betrieb funktioniert.

Zugriff: Wer darf was – und wie wird es nachvollziehbar?

Zugriff beginnt bei den Rollen. Kontodaten umfassen laut der zitierten Datenschutzerklärung Angaben zur Organisation und zu berechtigten Nutzern, die Rolle sowie Anmeldeinformationen und Faktoren der Mehr-Faktor-Authentisierung. Ein KMU sollte deshalb schriftlich festhalten, welche Rollen im Dienst existieren, welche Rolle welche Funktionen und Daten sieht und wie Zugriffe entzogen werden, wenn jemand das Unternehmen verlässt. Die Mehr-Faktor-Authentisierung ist Teil der Kontodaten und damit Gegenstand des Vertrags, nicht blosse Einstellungssache.

Zweitens die Protokollierung. Bei Signaturprozessen erfasst der Dienst nach eigener Beschreibung technische Protokolldaten des Signaturereignisses: Zeitpunkt, Zustellung und Bestätigung des Einmalcodes (OTP) sowie IP-Adresse und Geräteangaben wie den User-Agent, die im Moment der Signatur anfallen. Wird der OTP per SMS versandt, kommt die Telefonnummer des Unterzeichners hinzu. Je Signaturlauf entsteht zudem ein versiegeltes Beweispaket mit qualifiziertem Zeitstempel und SHA-256-Prüfsumme.

Diese Angaben sind für Freigabe- und Signaturprozesse der eigentliche Nachweis. Vor der Beschaffung ist daher zu klären: Welche Ereignisse werden protokolliert – nur Anmeldungen, auch fehlgeschlagene Versuche, auch Rechteänderungen? Wie lange bleiben die Protokolle erhalten, und wer im Unternehmen darf sie einsehen?

Sind IP-Adresse und Geräteangaben in einem Beweispaket enthalten, und kann das KMU dieses Paket selbst exportieren und unabhängig aufbewahren? Wer diese Fragen offen lässt, kann im Streitfall zwar auf ein Signaturereignis verweisen, aber den Zugriffsweg dahin nicht belegen.

Überwachung und Resilienz: Den Cloud-Betrieb im Blick behalten

Nach der Definition von Four Data ist ein Überwachungswerkzeug eine Softwarelösung, die Schlüsselkomponenten eines Computersystems oder einer vernetzten Infrastruktur überwacht, analysiert und steuert.

Es sammelt in regelmässigen Abständen technische Daten, analysiert sie automatisch, erzeugt Warnungen bei Anomalien und liefert Leistungsberichte über eine visuelle Schnittstelle, häufig als Dashboard. Four Data ordnet solche Werkzeuge in drei Hauptkategorien: Netzwerk, System und Anwendung.

Für ein KMU heisst das, den Einsatzbereich vor der Auswahl festzulegen – Netzwerk, Systeme, Anwendungen oder eine Kombination – und die Schwellenwerte zu definieren, ab denen eine Warnung ausgelöst wird.

Nutzen entsteht erst, wenn Warnungen jemanden erreichen. Zur Einführung gehören daher Antworten auf drei Fragen: Wer nimmt Warnungen ausserhalb der Geschäftszeiten entgegen? Bei welchen Anomalien wird eskaliert, bei welchen nur protokolliert? Und welche Berichte braucht die Geschäftsleitung, um Verfügbarkeit und Sicherheitsvorfälle regelmässig zu beurteilen?

Die Berichte sind auch die Grundlage für die Prüfung, ob die im Vertrag zugesagten Verfügbarkeits- und Sicherheitswerte eingehalten werden.

Überwachung schliesst an die Ausstiegsplanung an. Smart Cyber Compliance nennt als Zielrichtung klare Sicherheitsstrategien, Resilienz und digitale Souveränität mit weniger Abhängigkeit von einzelnen Anbietern.

Wer den eigenen Betrieb dauerhaft beobachtet und die genutzten Dienste kennt, kann Ausfälle eingrenzen und Anbieterwechsel vorbereiten. Beides setzt voraus, dass Monitoring-Daten dem KMU selbst zugänglich sind und nicht allein beim Anbieter liegen.

Vor der Einführung: Risikoabklärung, Zuständigkeiten und Kontrollfragen

Erster Schritt: Zuständigkeiten und Risikoabklärung sichern. Im Zusammenhang mit einer Datenschutz-Folgenabschätzung (DSFA) ist die Aufteilung der Zuständigkeiten zwischen den beteiligten Stellen zu klären.

Dieselbe Logik gilt im KMU: Wer trägt die Verantwortung für die Cloud-Lösung, wer für Datenschutzfragen, wer für die technische Betreuung – und ist die Aufteilung schriftlich festgehalten, bevor die Daten fliessen?

Zweiter Schritt: offene juristische Punkte schliessen. Als Beispiel für ein solches Vorgehen nennt die Datenschutzerklärung von evidona die noch abzuklärenden Punkte Erfordernis und Benennung eines Datenschutzberaters nach revDSG sowie eines EU-Vertreters beziehungsweise Datenschutzbeauftragten nach Art. 27 und Art. 37 DSGVO.

Ein KMU sollte dieselbe Prüfliste führen: anwendbares Recht, Gerichtsstand, Rolle des Anbieters, Vertretungspflichten, Meldepflichten bei Verletzungen.

Dritter Schritt: Datenkategorien und Aufbewahrung durchgehen. Aufzulisten sind alle Daten, die im Dienst anfallen – Kontodaten, hochgeladene Dokumente, Angaben zu Unterzeichnern, Protokolldaten –, dazu je Kategorie Zweck, Aufbewahrungsdauer und Löschweg.

Wo eine kurze Aufbewahrung zugesagt wird – wie bei den hochgeladenen Dokumenten, die nicht archiviert werden –, ist zu prüfen, ob das mit eigenen Aufbewahrungspflichten zusammenpasst.

Vierter Schritt: die drei Prüfbereiche zusammenführen und erst dann unterschreiben. Vertrag: Rollen, Datenkategorien, Sicherheits- und Aufbewahrungszusagen, Ausstiegsregelung.

Datenstandort: Länder von Rechenzentren und Subprozessoren, Übermittlungsgrundlage zwischen der Schweiz und der EU, Zugriff ausländischer Behörden.

Zugriff und Überwachung: Rollen und Berechtigungen, Mehr-Faktor-Authentisierung und Einmalcodes, protokollierte Ereignisse samt IP-Adresse und Geräteangaben, Warnschwellen und Eskalationswege.

Fünfter Schritt: AVV und Datenstandort prüfen. Liegt ein AVV nach Art. 9 revDSG bzw. Art. 28 DSGVO vor? Sind die Länder der Rechenzentren und Subprozessoren benannt und für Drittstaaten Standardvertragsklauseln oder ein Angemessenheitsbeschluss vereinbart?

Bleibt einer dieser Punkte unbeantwortet, wird daraus eine Bedingung für die Unterschrift – und nicht ein später zu klärender Punkt.