DSGVO Cloud-Migration: 12-Punkte-Checkliste
TL;DR
- 12-Punkte-Checkliste für DSGVO-konforme Cloud-Migration
- Provider-Vergleich: EU-Region, Sub-Auftragsverarbeiter-Liste, ISO 27001, BSI C5
- AVV vor Migrationsbeginn: Er legt Gegenstand, Dauer, Art und Zweck, Datenarten und Betroffenenkategorien fest Art. 28 Abs. 3 DSGVO
- TIA (Transfer Impact Assessment) bei US-Anbietern als Praxisempfehlung auch unter DPF; bei Anbietern in sonstigen Drittländern tragen in der Regel die Standardvertragsklauseln SCC 2021/914 den Transfer
- VVT nachziehen: Empfänger, Drittlandübermittlungen samt Garantien, Löschfristen, TOM-Verweis Art. 30 Abs. 1 DSGVO
- DSFA vorab bei voraussichtlich hohem Risiko Art. 35 Abs. 1 DSGVO; in Deutschland folgt daraus die Pflicht zur Benennung eines Datenschutzbeauftragten ohne Personenschwelle § 38 Abs. 1 Satz 2 BDSG
- Datenpanne: Meldung unverzüglich und möglichst binnen 72 Stunden ab eigener Kenntnis Art. 33 Abs. 1 DSGVO
- DE/AT: Meldeadresse und Schwelle für den Datenschutzbeauftragten unterscheiden sich § 40 Abs. 1 BDSG · § 18 Abs. 1 DSG; Bußgeldrahmen für Art. 25 bis 39 bis 10.000.000 Euro oder bei einem Unternehmen bis zu 2 % des weltweiten Jahresumsatzes Art. 83 Abs. 4 DSGVO
- Exit-Plan: Datenexport-Format + Lösch-Nachweis + Transition
Hauptartikel: AVV-Vorlage Art. 28 DSGVO — dort stehen die 8 Pflichtinhalte des Auftragsverarbeitungsvertrags im Detail.
Was eine Cloud-Migration datenschutzrechtlich auslöst
Sie macht den Cloud-Anbieter zum Auftragsverarbeiter — und löst damit den Pflichtensatz aus, den diese Checkliste auf 12 Arbeitsschritte verteilt. Cloud-Hosting ist Auftragsverarbeitung: Eine externe Stelle verarbeitet für Sie personenbezogene Daten auf Ihre Weisung, ohne eigenes Verarbeitungsinteresse. Der Vertrag nach Art. 28 und das Verzeichnis nach Art. 30 greifen bei jeder Migration mit einem externen Anbieter — die Ausnahme des Art. 30 Abs. 5 DSGVO greift nur kumulativ und damit praktisch fast nie. Die Drittland-Garantie greift nur, wenn ein Drittland-Element vorliegt; die Folgenabschätzung nur bei voraussichtlich hohem Risiko; die Benachrichtigung Betroffener nur im Pannenfall bei hohem Risiko.
| Pflichtenblock | Was das für die Migration heißt | Fundstelle |
|---|---|---|
| Auftragsverarbeitung | Nur Anbieter mit hinreichenden Garantien für geeignete TOM; Vertrag mit gesetzlichem Mindestinhalt | Art. 28 Abs. 1, Abs. 3 DSGVO |
| Drittlandtransfer (nur bei Drittland-Element) | Garantie je Drittland-Element — Einzelheiten in Punkt 3 | SCC 2021/914 · DPF (EU) 2023/1795 |
| Technische und organisatorische Maßnahmen | Ein zentrales TOM-Konzept, auf das der AVV-Anhang und das Verzeichnis verweisen — kein eigenes TOM je Verarbeitungstätigkeit | Art. 28 Abs. 3 lit. c, lit. h DSGVO · Art. 30 Abs. 1 lit. g DSGVO (allgemeine Beschreibung nach Art. 32 Abs. 1) |
| Verarbeitungsverzeichnis | Empfänger, Drittlandübermittlungen samt Garantien, Löschfristen und TOM-Verweis auf den neuen Stand bringen | Art. 30 Abs. 1 DSGVO |
| Folgenabschätzung (nur bei hohem Risiko) | Vorab, wenn die Verarbeitung voraussichtlich ein hohes Risiko zur Folge hat — insbesondere bei neuen Technologien | Art. 35 Abs. 1 DSGVO |
| Betroffenenrechte | Antwort unverzüglich, in jedem Fall binnen eines Monats; Verlängerung um 2 Monate möglich, Unterrichtung darüber binnen eines Monats | Art. 12 Abs. 3 DSGVO |
| Datenpannen | Meldung unverzüglich und möglichst binnen 72 Stunden ab Kenntnis; Benachrichtigung Betroffener nur bei hohem Risiko | Art. 33 Abs. 1 DSGVO · Art. 34 Abs. 1 DSGVO |
Die Reihenfolge der 12 Punkte ist die Praxisstruktur dieser Checkliste, keine gesetzliche Reihenfolge — wann eine einzelne Pflicht greift, steht in der Fundstelle daneben.
Pre-Migration (1-4)
Vor dem ersten Datenumzug entscheidet sich, ob die Migration zulässig ist: Provider-Vergleich mit DPF- beziehungsweise EU-Hosting-Status (1), AVV-Verhandlung mit Pflicht-Klauseln (2), TIA bei Drittland-Komponenten (3) und DSFA bei Hochrisiko-Verarbeitung (4). Anbieterauswahl, Vertrag und Risikoprüfung müssen stehen, bevor personenbezogene Daten fließen — liegt ein Drittland-Element vor, zusätzlich die Garantie dafür.
| Punkt | Was Sie tun | Warum — Fundstelle |
|---|---|---|
| 1 Provider-Vergleich | Hosting-Region und vollständige Sub-Auftragsverarbeiter-Liste je Anbieter dokumentieren; liegt danach ein Drittland-Element vor, die passende Garantie nach Punkt 3 ablegen | Nur Auftragsverarbeiter mit hinreichenden Garantien für geeignete TOM — Art. 28 Abs. 1 DSGVO |
| 2 AVV-Verhandlung | 8 Pflichtinhalte abarbeiten: Gegenstand und Dauer, Art und Zweck, Datenarten und Betroffenenkategorien, Pflichten und Rechte des Verantwortlichen, Verschwiegenheit, Sub-Auftragsverarbeitung, Mithilfe bei Betroffenenrechten, TOM-Anhang mit Audit-Recht | Mindestinhalt Art. 28 Abs. 3 DSGVO; Sub-Auftragsverarbeiter nur mit vorheriger Genehmigung Art. 28 Abs. 2 DSGVO |
| 3 TIA | Je Drittland-Komponente einen Anhang mit Garantie (SCC 2021/914 oder DPF-Nachweis bei DPF-zertifizierten US-Unternehmen), Transfer Impact Assessment und zusätzlichen technischen Maßnahmen wie Verschlüsselung und Pseudonymisierung | Die Garantie ist Pflicht bei US-Auftragsverarbeitern und Sub-Auftragsverarbeitern in Drittländern; TIA und Zusatzmaßnahmen gehören als Praxisempfehlung in denselben Anhang, auch unter DPF — SCC 2021/914 |
| 4 DSFA | Vor der Migration prüfen und bei Bedarf durchführen — Regelfälle sind Profiling mit Rechtswirkung, umfangreiche Verarbeitung besonderer Kategorien und systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche | Vorab-Pflicht bei hohem Risiko Art. 35 Abs. 1 und Abs. 3 DSGVO |
Punkt 4 hat eine Nebenwirkung: Unterliegt eine Verarbeitung der Folgenabschätzung nach Art. 35 DSGVO, ist in Deutschland ein Datenschutzbeauftragter unabhängig von der Zahl der beschäftigten Personen zu benennen (§ 38 Abs. 1 Satz 2 BDSG); in Österreich folgt die Benennungspflicht allein aus Art. 37 DSGVO. Praxisempfehlung zu Punkt 2: Prüfen Sie den Anbieter-AVV gegen die 6 typischen AVV-Fehler — generischer Mustervertrag aus dem Internet, fehlende Sub-Auftragsverarbeiter-Liste, fehlender SCC- oder DPF-Anhang bei Drittland-Transfer, ein durch lange Vorlaufzeiten leerlaufendes Audit-Recht („mit 6 Monaten Vorlauf"), ungeregelte Datenrückgabe nach Vertragsende und eine AVV-Fassung von 2018, die die Standardvertragsklauseln 2021/914 noch nicht kennt.
Migration (5-8)
Die Punkte 5 bis 8 zielen auf Nachweisbarkeit: Datenfluss-Mapping mit VVT-Update (5), Verschlüsselung at-rest und in-transit (6), Customer-Lockbox-Einstellungen (7) und Audit-Logging aktivieren (8). Sie halten damit fest, welche Daten in welches System wandern, wer beim Anbieter auf Ihre Inhalte zugreifen darf und was davon protokolliert ist.
| Punkt | Was Sie tun | Warum — Fundstelle |
|---|---|---|
| 5 Datenfluss-Mapping | Je Verarbeitungstätigkeit erfassen, welche Daten in welches System wandern, und im Verzeichnis Empfänger, Drittlandübermittlungen samt Garantien, Löschfristen und TOM-Verweis nachziehen | Pflichtangaben Art. 30 Abs. 1 DSGVO; sind Sie selbst Auftragsverarbeiter, gilt der kürzere Katalog mit 4 Angaben Art. 30 Abs. 2 DSGVO |
| 6 Verschlüsselung | At-rest und in-transit aktivieren, Schlüsselverwaltung getrennt dokumentieren | Wirksame Verschlüsselung kann die Benachrichtigung Betroffener entbehrlich machen, solange der Schlüssel nicht mitkompromittiert ist — Art. 34 Abs. 3 DSGVO |
| 7 Customer-Lockbox | Praxisempfehlung: Prüfen Sie, welche Freigabeverfahren Ihr Anbieter für Support-Zugriffe auf Ihre Inhalte anbietet, und aktivieren Sie sie vorrangig dort, wo besondere Kategorien nach Art. 9 DSGVO verarbeitet werden oder die Verarbeitung DSFA-pflichtig ist (Punkt 4). Die gewählte Einstellung gehört in das zentrale TOM-Konzept, auf das AVV-Anhang und Verzeichnis verweisen. Vertraglich gesichert wird der Zugriff unabhängig davon über den AVV: Weisungsrecht, Vertraulichkeitserklärung der Mitarbeitenden des Auftragsverarbeiters, Information bei Pannen und Audit-Recht | Pflichten und Rechte des Verantwortlichen sowie Verschwiegenheit gehören zu den AVV-Pflichtinhalten Art. 28 Abs. 3 DSGVO |
| 8 Audit-Logging | Protokollierung aktivieren, Aufbewahrungsdauer festlegen, Auswertbarkeit einmal testen. Praxisempfehlung zur Dauer: als Orientierung die 90 Tage der Restore-Frist aus dem Exit-Plan ansetzen und die gewählte Dauer im TOM-Konzept festhalten — damit die Protokolle die Meldeangaben nach Art. 33 Abs. 3 DSGVO auch dann noch tragen können, wenn eine Panne erst später auffällt | Ohne Protokolle sind die Meldeangaben — Datenkategorien, ungefähre Zahl betroffener Personen und Datensätze — nicht lieferbar Art. 33 Abs. 3 DSGVO |
Praxisbeobachtung zum Verzeichnis: Bei einer Migration wiederholen sich 3 Fehler — veraltete Empfänger-Listen, weil das abgelöste System nie ausgetragen wurde; fehlender Drittland-Hinweis bei US-Diensten; Löschfristen ohne konkrete Angabe. Veraltete Empfänger-Listen und fehlende Löschfristen gehören nach Praxiserfahrung auch außerhalb von Migrationen zu den häufigen VVT-Fehlern. Der TOM-Verweis gehört als Verweis hinein, nicht als kopierter TOM-Inhalt. Praxisempfehlung: Führen Sie das Verzeichnis in einem bearbeitbaren Format statt als PDF — ein Excel-Verzeichnis reicht in der Praxis aus (DE); maßgeblich sind Inhalt, Aktualität und Lesbarkeit.
Post-Migration (9-12)
Nach dem Umzug ist die Migration erst abgeschlossen, wenn Menschen, Dokumente und Meldewege auf das neue Setup ausgerichtet sind: Schulung der Mitarbeitenden (9), Update der Datenschutzerklärung (10), Vorfall-Verfahren mit Cloud-Eskalation (11) und dokumentierter Exit-Plan mit Datenrückführung und Löschung (12).
| Punkt | Was Sie tun | Warum — Fundstelle |
|---|---|---|
| 9 Schulung | Mitarbeitende auf das neue Setup schulen: Freigaben und Links, Speicherorte, Meldeweg bei Verdacht auf eine Panne | Sensibilisierung und Schulung der beteiligten Mitarbeitenden gehören zur Überwachungsaufgabe des Datenschutzbeauftragten — Art. 39 Abs. 1 lit. b DSGVO |
| 10 Datenschutzerklärung | Neue Empfänger-Kategorien und Drittlandübermittlungen ergänzen, Kontaktdaten des Datenschutzbeauftragten prüfen | Informationspflichten Art. 13 DSGVO · Art. 14 DSGVO; in Österreich ist die Datenschutzbehörde als Beschwerdestelle zu nennen Art. 13 Abs. 2 lit. d DSGVO |
| 11 Vorfall-Verfahren | Cloud-Eskalation ergänzen: Anbieter-Kontakt, wer intern klassifiziert, welches Meldeportal, wer absendet | Meldung unverzüglich und möglichst binnen 72 Stunden ab Kenntnis Art. 33 Abs. 1 DSGVO; jede Panne dokumentieren, auch die nicht meldepflichtige Art. 33 Abs. 5 DSGVO |
| 12 Exit-Plan | Praxis: Exportformat, Restore-Frist und Löschung mit Bestätigung als Vertragsanlage führen | Datenrückgabe und Löschung nach Vertragsende stehen ausdrücklich auf der AVV-Checkliste vor Unterschrift; das Right-to-Audit gehört zu den AVV-Pflichtinhalten Art. 28 Abs. 3 lit. h DSGVO |
Zu Punkt 11 gehört die Meldeadresse, und die unterscheidet sich: In Deutschland melden Unternehmen als nichtöffentliche Stellen an die nach Landesrecht zuständige Behörde (§ 40 Abs. 1 BDSG) — jedes Bundesland betreibt ein eigenes Portal, in Bayern etwa das Bayerische Landesamt für Datenschutzaufsicht. Der BfDI ist nur für öffentliche Stellen des Bundes und bestimmte Anbieter von Telekommunikationsdiensten zuständig (§ 9 Abs. 1 BDSG). In Österreich geht die Meldung an die Datenschutzbehörde (§ 18 Abs. 1 DSG). Praxisempfehlung für das 72-Stunden-Raster: 0-2 h Erkennung und Krisenstab, 2-8 h Eindämmung und erste Forensik, 8-24 h Klassifizierung von Datenarten, Anzahl und Risiko, 24-48 h Entwurf der Meldung und Stellungnahme der Geschäftsführung, 48-72 h Meldung absenden und Bestätigung dokumentieren.
Provider-Vergleich: Anbietergruppen und ihr Drittland-Element
Der Vergleich entscheidet sich an 4 dokumentierbaren Punkten: Hosting-Region, vollständige Sub-Auftragsverarbeiter-Liste, Drittland-Garantie und TOM-Anhang samt Audit-Recht. Die folgende Tabelle ordnet die Anbieter dieser Checkliste nach dem Drittland-Element — Hosting-Region, Sub-Auftragsverarbeiter-Liste und TOM-Anhang sind je Anbieter einzeln zu erheben und abzulegen.
| Anbietergruppe dieser Checkliste | Drittland-Element | Was Sie je Anbieter ablegen — Fundstelle |
|---|---|---|
| EU: IONOS Cloud, Stack-IT, OVHcloud, Hetzner | Aus der Hosting-Region selbst keines; es kann über Sub-Auftragsverarbeiter entstehen | Vertraglich zugesicherte Hosting-Region und vollständige Sub-Auftragsverarbeiter-Liste; Einbeziehung nur mit vorheriger Genehmigung des Verantwortlichen Art. 28 Abs. 2 DSGVO |
| US: AWS (mit EU-Region), Azure (mit EU-Datenboundary), GCP (mit EU-Region) — DPF-zertifiziert | Ja, über das US-Unternehmen | DPF-Zertifizierungsnachweis oder SCC 2021/914, übrige Anhang-Bestandteile nach Punkt 3 DPF (EU) 2023/1795 · SCC 2021/914 |
| Anbieter oder Sub-Auftragsverarbeiter in sonstigen Drittländern | Ja, ohne DPF-Weg | In der Regel die Standardvertragsklauseln SCC 2021/914, übrige Anhang-Bestandteile nach Punkt 3 SCC 2021/914 |
| Alle Gruppen | — | Konkreter TOM-Anhang statt der Formel „angemessene TOMs"; Audit-Recht ohne leerlaufende Vorlaufzeit Art. 28 Abs. 1 DSGVO · Art. 28 Abs. 3 lit. c, lit. h DSGVO |
Als Nachweisarten führt diese Checkliste ISO 27001 und BSI C5. Art. 28 Abs. 1 DSGVO verlangt hinreichende Garantien für geeignete technische und organisatorische Maßnahmen — welche Nachweise Sie dafür heranziehen, entscheiden und dokumentieren Sie selbst. Für Microsoft 365 genügt der Standard-AVV des Anbieters nach Einschätzung dieser Checkliste nicht; zu vereinbaren sind aktivierte EU Data Boundary, DPF-Garantie für US-Subprozessoren, Telemetrie-Konfiguration und Copilot-Tenant-Isolation. Übernehmen Sie die Sub-Auftragsverarbeiter-Liste vollständig — sie ist die Brücke zwischen AVV und Verzeichnis und der Prüfschritt, an dem ein verstecktes Drittland-Element sichtbar wird. Praxisempfehlung: Halten Sie den Abrufstand der Sub-Auftragsverarbeiter-Liste mit Datum fest.
Exit-Plan
Der Exit-Plan beantwortet 3 Fragen, bevor sie dringend werden: in welchem Format Sie Ihre Daten zurückbekommen, wie lange sie danach wiederherstellbar sind und wie die Löschung beim Anbieter nachgewiesen wird. Diese Checkliste setzt dafür offene Datenformat-Standards (Parquet, JSON, CSV), eine Restore-Frist von 90 Tagen und eine Pflicht-Löschung mit Bestätigung an. Die 90 Tage sind der Praxiswert dieser Checkliste — welche Frist Ihr Vertrag trägt, verhandeln Sie mit dem Anbieter.
Rechtlicher Anker ist der AVV: Eine ungeregelte Datenrückgabe nach Vertragsende zählt zu den 6 typischen AVV-Fehlern (siehe Punkt 2), und ohne belastbares Audit-Recht lässt sich die Löschung nicht überprüfen — das Right-to-Audit sollte deshalb ausdrücklich im Vertrag verankert sein. Praxisempfehlung: Behandeln Sie den Exit-Plan als Vertragsanlage mit Versionsdatum und ziehen Sie ihn bei jedem AVV-Review mit. Nach einem tatsächlichen Ausstieg gehört der alte Anbieter aus dem Verarbeitungsverzeichnis ausgetragen (Punkt 5).
Deutschland und Österreich: was sich unterscheidet
Materiell gelten Art. 28, Art. 30 und Art. 33 DSGVO in beiden Ländern gleich; unterschiedlich sind Aufsicht, Schwelle für den Datenschutzbeauftragten und einzelne nationale Zusatzpflichten.
| Thema | Deutschland | Österreich |
|---|---|---|
| Aufsicht und Meldeadresse | Nichtöffentliche Stellen: die nach Landesrecht zuständigen Behörden § 40 Abs. 1 BDSG; BfDI nur für Bundesstellen und bestimmte TK-Anbieter § 9 Abs. 1 BDSG | Datenschutzbehörde als nationale Aufsichtsbehörde § 18 Abs. 1 DSG |
| Datenschutzbeauftragter | Ab 20 ständig mit automatisierter Verarbeitung beschäftigten Personen § 38 Abs. 1 Satz 1 BDSG; ohne Personenschwelle bei DSFA-pflichtigen Verarbeitungen § 38 Abs. 1 Satz 2 BDSG | Keine zusätzliche Schwelle — Pflicht folgt aus Art. 37 DSGVO; § 5 DSG regelt Geheimhaltung und im öffentlichen Bereich Weisungsfreiheit |
| Auftragsverarbeitung | Art. 28 DSGVO | Art. 28 DSGVO ohne AT-Sonderregel; zusätzlich Datengeheimnis der Mitarbeiter § 6 DSG |
| Verarbeitungsverzeichnis | Art. 30 DSGVO | Art. 30 DSGVO wortgleich — gleiche Pflichtangaben, keine abweichenden Schwellen oder Fristen |
| Bußgeldrahmen für Verstöße gegen Art. 25 bis 39 | Bis 10.000.000 Euro oder bei einem Unternehmen bis zu 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist Art. 83 Abs. 4 DSGVO | Gleicher Rahmen Art. 83 Abs. 4 DSGVO; ergänzend verhältnismäßige Anwendung, insbesondere Verwarnung statt Geldbuße bei erstmaligen Verstößen § 11 DSG |
| Nationale Sanktionen neben Art. 83 | Ordnungswidrigkeit bis 50.000 Euro, erfasst nur bestimmte Verstöße: fehlerhafte Behandlung eines Auskunftsverlangens und Verbraucherunterrichtung nach § 30 BDSG § 43 Abs. 2, Abs. 3 BDSG | Verwaltungsstrafe bis 50.000 Euro, nur subsidiär (sofern die Tat nicht bereits einen Tatbestand nach Art. 83 DSGVO verwirklicht) und nur für bestimmte vorsätzliche Taten wie widerrechtlichen Zugang oder Übermittlung in Verletzung des Datengeheimnisses § 62 Abs. 1 DSG |
Häufig gestellte Fragen
Welcher Cloud-Provider für KMU?
Was bei DPF-Kollaps?
Muss der AVV vor dem Migrationsbeginn unterschrieben sein?
Wann brauchen wir für die Migration eine DSFA?
Was ändert die Migration am Verarbeitungsverzeichnis?
Der Anbieter meldet uns eine Panne — wann läuft unsere 72-Stunden-Frist?
Wie schnell müssen wir Auskunftsersuchen im neuen Setup beantworten?
Welches Bußgeldrisiko trägt eine fehlerhafte Migration?
Gilt für ein österreichisches Unternehmen etwas anderes?
Quellen
- Verordnung (EU) 2016/679 (DSGVO) — deutscher Volltext, EUR-Lex (Stand: 02.05.2026, geltend seit 25.05.2018)
- Bundesdatenschutzgesetz (BDSG) — gesetze-im-internet.de (Stand: laufend, BMJ-Servicestelle)
- Datenschutzgesetz (DSG, Österreich) — RIS des Bundeskanzleramts (Stand: geltende Fassung)
- Commission Implementing Decision (EU) 2023/1795 — EU-US Data Privacy Framework (Stand: 17.08.2026)
- EuG T-553/23 — Latombe v Kommission (DPF-Klage abgewiesen) (Urteil vom 03.09.2025; Rechtsmittel C-703/25 P anhängig, Stand: 17.08.2026)