Das Schreckgespenst Datenschutzgrundverordnung (DSGVO) sitzt deutschen Unternehmen nun bereits seit einigen Jahren im Nacken. Immer neue Urteile des Europäischen Gerichtshofes und die Ungültigkeit des EU-US-Privacy-Shield-Abkommens sorgen für Verunsicherung und werfen wichtige Fragen auf. Welchen Cloud-Anbietern kann man noch vertrauen? Welche Provider arbeiten rechts- und abmahnsicher? Wo können Unternehmen auch sensible oder personenbezogene Daten sicher aufbewahren?

Um diese Fragen zu beantworten und Ihnen einen Überblick über den Anbieterdschungel zu verschaffen, hat trusted im Cloud-Speicher-Test 2021 die besten DSGVO-konformen Online-Speicher gekürt und die Erfahrungen der Redaktion in diesem umfassenden Bericht zusammengefasst. Mit allen Infos zu den sichersten Anbietern rund um Your Secure Cloud, luckycloud und Tresorit und wichtigen Infos zur rechtssicheren Datenhaltung in Ihrem Unternehmen.

Welche Cloud-Speicher erfüllen die DSGVO?

Die besten datenschutzkonformen Cloud-Dienste im aktuellen trusted-Test sind Your Secure Cloud, luckycloud, Tresorit, pCloud, LeitzCloud, Teamplace und SecureSafe. Abgesehen von diesen 7 gibt es allerdings diverse andere Cloud-Anbieter, die mit DSGVO-Konformität und hohen Sicherheitsstandards werben. Vertrauen können Sie hier vor allem auf Angebote, die über eine deutsche bzw. rein europäische Serverlandschaft und moderne Verschlüsselungstechnologien verfügen. trusted verschafft Ihnen hier einen Überblick:

YSC bietet exzellente Datensicherheit und Verschlüsselung für Ihren Online-Speicher

Screenshot: trusted.de

Quelle: yoursecurecloud.de

• SecureSafe
• doubleSlash Business Filemanager
• DRACOON
• PROOM
• IONOS HiDrive
• STRATO HiDrive
• DriveOnWeb
• Fabasoft Cloud
• Hornetdrive
• Jottacloud
• NoReplika
• Telekom MagentaCLOUD

Daneben gibt es aber auch bekannte Cloud-Speicher, die nicht mit vollständiger DSGVO-Konformität aufwarten können. Vor allem Cloud-Speicher aus den USA, die seit dem Urteil des Europäischen Gerichtshofes zum EU-US-Privacy-Shield problematisch geworden sind, versuchen sich durch diverse Zertifizierungen und aktualisierte Datenschutzbestimmungen wieder attraktiver zu machen. Oft steckt hinter den Versprechen allerdings keine konsequente Umsetzung der Datenschutzgrundverordnung.

trusted hat einige namhafte Cloud-Speicher auf ihre Compliance hinsichtlich der DSGVO überprüft und gibt Ihnen alle wichtigen Informationen zu Platzhirschen wie Dropbox und Co.

Ist Dropbox DSGVO-konform?

Dropbox erfüllt (zumindest in der Business-Variante) die nötigsten Vorgaben für eine DSGVO-konforme Datenhaltung. Die US-Cloud ist nach ISO 27001 für IT-Sicherheit und 27018 für Datenschutz in der Cloud zertifiziert und verfügt außerdem über eine C5-Zertifizierung des Bundesamtes für Sicherheit in der Informationstechnik. Auf dem Papier ist damit ein hohes Datenschutzniveau gewährleistet, das auch deutschen Anforderungen standhält.

Der US-Anbieter Dropbox verfügt laut Meinung von Expert:innen noch nicht über vollständige DSGVO-Konformität

Screenshot: trusted.de

Quelle: dropbox.com

Die einzige Crux: Um Backups durchzuführen, behält Dropbox sich das Recht vor, verschlüsselte Daten auch entschlüsseln zu können, verfügt also nicht über einen konsequenten Zero-Knowledge-Standard. Als amerikanisches Unternehmen wäre Dropbox im Falle einer Untersuchung durch eine US-Behörde verpflichtet, personenbezogene Daten weiterzugeben. Verschiedene Expert:innen sprechen Dropbox deswegen die vollständige DSGVO-Konformität ab und raten zu europäischen Alternativen.

Ist Microsoft OneDrive DSGVO-konform?

Ähnlich wie bei Dropbox verhält es sich auch bei OneDrive von Microsoft. Auch hier liegt die Kontrolle über die Schlüssel für Ihre gespeicherten Daten vollständig in der Hand des Anbieters, der Daten und Dateien damit entschlüsseln und an Dritte weitergeben kann. Microsoft-Mitarbeiter:innen sowie US-Behörden haben im Ernstfall also uneingeschränkten Zugriff auf alle gesicherten Daten. Ob damit die nötigen Technischen und Organisatorischen Maßnahmen (TOMs) im Sinne der DSGVO gewährleistet sind, ist nach wie vor fraglich.

In Microsoft OneDrive speichern Sie Ihre Dateien zwar sicher, möglicherweise aber nicht völlig DSGVO-konform

Screenshot: trusted.de

Quelle: microsoft.com

Ist Google Drive DSGVO-konform?

Der Dritte im Bunde der drei großen US-amerikanischen Cloud-Speicher ist Google Drive. Der Online-Speicher des Internetgiganten verfügt ebenso wie Microsoft und Dropbox über Sicherheits- und Verschlüsselungstechnologie auf modernstem Stand, weist allerdings auch die gleichen Lücken auf. Zudem stand Google aufgrund seiner Datensammelwut in der Vergangenheit schon oft in der Kritik namhafter Datenschutz-Expert:innen.

Google Drive ist ein guter Cloud-Speicher für viele Situationen, ist aber ebenfalls nicht völlig datenschutzkonform

Screenshot: trusted.de

Quelle: drive.google.com

Das Datenschutz-Fazit für die drei US-Marktführer fällt daher recht gemischt aus. Einerseits sorgen alle drei Provider für eine sichere Serverstruktur, die regelmäßig überprüft und auf den neuesten Stand gebracht wird. Andererseits bieten sie allerdings (noch) keine Möglichkeit, Daten statt auf den US-Servern auf ausschließlich europäischen Servern zu lagern bzw. haben keine End-to-End-Verschlüsselung mit Zero-Knowledge-Policy. Daten und Dateien sind dadurch nicht vollständig vor dem Zugriff durch US-Behörden geschützt.

Ist Apple iCloud DSGVO-konform?

Die iCloud von Apple ist aus datenschutztechnischer Sicht einigermaßen problematisch. Laut Meinung von diversen Expert:innen genügen die Datenschutzbestimmungen von Apple teilweise nicht den Anforderungen der DSGVO; teilweise werden Daten bei der Übertragung die iCloud außerdem nicht verschlüsselt und öffnen so böswilligen Angreifern Tür und Tor. Zudem nutzt Apple einige der übertragenen Daten selbst zu Werbezwecken oder gibt diese an Drittanbieter weiter.

Diese Lücken im Datenschutz in Kombination mit den US-Servern des Unternehmens führen zu einem ernüchterndem Fazit über die DSGVO-Konformität der iCloud.

Wer braucht eine DSGVO-konforme Cloud?

Eine DSGVO-konforme Cloud ist nur für Unternehmen zwingend notwendig, die in der Cloud auch personenbezogene Daten speichern wollen. Werden ausschließlich interne Daten ohne Personenbezug in die Cloud ausgelagert oder bei der Verwendung durch Privatpersonen, ist der Datenschutzaspekt zweitrangig. Speichern Sie allerdings personenbezogene Daten in Ihrer Cloud, ist eine DSGVO-konforme Datenhaltung Pflicht, da Sie ansonsten Abmahnungen und teure Geldbußen riskieren.

Worauf müssen Sie bei der Auswahl einer datenschutzkonformen Cloud achten?

Einen datenschutzkonformen Online-Speicher für Ihre Zwecke zu finden ist nicht schwer, wenn Sie auf die wichtigsten Kriterien achten: den Serverstandort bzw. Standort der Rechenzentren sowie die eingesetzten Verschlüsselungs- und Sicherheitsstandards. Die Datenschutzverordnung stellt Unternehmen vor viele Herausforderungen und gerade bei Cloud-Speichern aus den USA oder einem Drittland außerhalb der EU ist es oft schwierig, die Datenschutzsituation richtig einzuschätzen. Mit diesen Tipps fällt es Ihnen leichter:

Serverstandort: Deutschland, Schweiz oder EU

Am sichersten fahren Sie mit Cloud-Diensten, deren Server vollständig innerhalb der EU betrieben werden. Europäische Rechenzentren sind zur Einhaltung der DSGVO verpflichtet und da die Daten den europäischen “Datenraum” nicht verlassen, muss Ihr Cloud-Anbieter auch keine zusätzlichen Nachweise erbringen. Die strengsten Datenschutz-Standards in der EU haben Deutschland, die Niederlande, Spanien und die Schweiz. Im Sinne der DSGVO sind allerdings alle europäischen Länder gleichgestellt.

Viele US-Cloud-Dienste werben zwar damit, Server in der EU zu betreiben; solange diese allerdings nicht von den US-Servern bzw. von Servern in Drittländern abgeschottet sind, hat das für den Datenschutz keine Relevanz. Werden Daten und Dateien außerhalb der EU auf Servern gelagert, müssen auf den US-Servern adäquate Sicherheits- und Datenschutzmaßnahmen vorliegen, um eine Datenübertragung im Sinne der DSGVO zu rechtfertigen. Das ist allerdings vor allem in den USA meist nicht der Fall.

End-to-End-Verschlüsselung/Zero-Knowledge-Standard

Bei einer End-to-End-Verschlüsselung wird Ihre Datei bereits vor dem Hochladen in die Cloud verschlüsselt und liegt zu keinem Zeitpunkt unverschlüsselt in der Cloud, so dass nur Sie - bzw. von Ihnen berechtigte Personen mit dem richtigen Schlüssel - die Daten wieder entschlüsseln können. Da die Dateien bereits auf Ihrem Gerät mit einem Schlüssel versehen werden, spricht man auch von “clientseitiger Verschlüsselung”.

Das Ergebnis: Nicht einmal der Cloud-Anbieter, auf dessen Server die jeweiligen Daten lagern, ist in der Lage, die Verschlüsselung zu knacken und Ihre Daten einzusehen. Viele Anbieter sprechen daher auch von einem Zero-Knowledge-Standard. Kann ein Anbieter eine End-to-End-Verschlüsselung nachweisen, bedeutet das, dass Ihre Daten nicht von ihm ausgespäht, manipuliert oder weitergegeben werden können, da nur Sie und die Empfänger Ihrer Daten über den nötigen Schlüssel verfügen.

Hinweispflicht, Transparenz, Beweislast und mehr

Im Rahmen der Datenschutzverordnung ist Ihnen als Unternehmen eine Reihe von Pflichten auferlegt, die Sie für eine datenschutzkonforme Datenhaltung erfüllen müssen. Neben Pflichten wie der Datenminimierung gehört dazu auch die Transparenz über die verwendeten Cloud-Dienste. Sichern Sie personenbezogene Daten (z.B. von Kund:innen) bei einem Cloud-Dienst, sind Sie verpflichtet, diesen Umstand in Ihrer Datenschutzerklärung offenzulegen. Zudem müssen Sie auch über den Zweck der Datenübertragung informieren.

Um diesen Pflichten nachzukommen, ist eine sichere IT-Infrastruktur sowie eine rechtssichere Datenschutzerklärung unerlässlich. Beachten Sie, dass trusted dabei nicht beratend tätig sein kann und dieser Artikel keine Rechtsberatung ersetzt. Um im Datenschutzrecht auf der sicheren Seite zu stehen und eine sichere Basis zu schaffen, sollten Sie Ihre Datenschutzbeauftragten oder externe Auditor:innen hinzuziehen.