Wie ich Cloud-Speicher wie Dropbox rechtssicher für Kundendaten nutze

Sieben Klicks. So viele hat es gebraucht, um in den Kontoeinstellungen von Dropbox die Stelle zu finden, an der ich als Solopreneurin die Vereinbarung zur Auftragsverarbeitung aktivieren kann – die Voraussetzung dafür, Cloud-Speicher überhaupt DSGVO-konform für Kundendaten zu nutzen. Bis ich das wusste, hielt ich mich an einen Irrglauben, der unter Freelancerinnen und Etsy-Shop-Betreibern erstaunlich verbreitet ist: dass man Dropbox, Google Drive und Co. für Kundendaten am besten komplett meidet, weil es sowieso illegal sei.

Cloud-Speicher DSGVO-konform nutzen: der Irrglaube, der viele lähmt

Manfred hat mir vor Kurzem geschrieben und genau das gefragt: ob er als Life-Coach überhaupt noch Notizen zu seinen Klientinnen und Klienten in der Cloud ablegen darf, oder ob er damit automatisch gegen die DSGVO verstößt. Er liest hier schon seit meinem allerersten Beitrag mit und empfiehlt die Texte inzwischen auch in seinem eigenen Coaching-Netzwerk weiter – kein Wunder, dass mich ähnliche Fragen von dort öfter erreichen als von woanders.

Der Gedanke dahinter ist verständlich, denn am Anfang klingt jede Cloud-Anwendung wie eine potenzielle Falle, und die naheliegendste Reaktion ist, alles komplett zu meiden. Nur: Vermeiden ist keine Strategie, die trägt, sobald Kundinnen und Kunden Dateien austauschen wollen und Notizen irgendwo landen müssen.

Warum ein Serverstandort in Frankfurt nicht automatisch reicht

Ebenso hartnäckig hält sich der gegenteilige Irrtum: ein Server in der EU reiche automatisch aus, um alles sauber zu machen. Die Datenschutz-Grundverordnung knüpft die Nutzung von Cloud-Anbietern für Kundendaten aber nicht allein an den Serverstandort, sondern an eine vertragliche Vereinbarung mit dem Anbieter, den sogenannten AV-Vertrag. Ohne ihn bleibt jede Cloud-Nutzung für Kundendaten unsauber, egal wo die Server stehen.

Bevor ich mich um Cloud-Speicher gekümmert habe, hatte ich auf meiner eigenen Website schon einen Facebook-Pixel eingebunden, ohne vorher eine Einwilligung der Besucherinnen und Besucher einzuholen. Aufgefallen ist mir das erst, als ich systematisch alle Tools durchgegangen bin, die im Hintergrund Daten sammeln – ein Moment, der mir ziemlich unangenehm war, weil ich mich bis dahin für einigermaßen sattelfest gehalten hatte.

Bei dieser Durchsicht ist mir auch aufgefallen, wie unterschiedlich Cookie-Banner je nach Gerät wirken. Auf dem Handy mancher Websites ist der Ablehnen-Button plötzlich genauso groß wie der Zustimmen-Button, während er auf dem Desktop derselben Seite kaum zu finden ist. Solche Details entscheiden am Ende genauso über Rechtskonformität wie die große Frage, ob ein Cloud-Anbieter überhaupt in Frage kommt. Wie eine Einwilligung beim Cookie-Banner rechtlich sauber aussehen muss, ist noch mal ein eigenes Thema für sich.

So finde ich heraus, ob ein Cloud-Anbieter mitspielt

In der DSGVO-Facebookgruppe, in der ich auch Renée Faßbender kennengelernt habe, postet sie ihre Fragen immer nach demselben Muster: erst die Frage, dann der eigene Lösungsversuch, dann das Ergebnis. Als sie neulich fragte, ob ihr eigener Cloud-Anbieter für Grafikdateien überhaupt eine Vereinbarung zur Auftragsverarbeitung anbietet, habe ich aus Neugier direkt in meinen eigenen Kontoeinstellungen nachgeschaut.

Kurz bevor ich mich an die Kontoeinstellungen gesetzt habe, bin ich noch eine Runde durch Connewitz gelaufen, um den Kopf freizubekommen – zu viele Halbwissen-Artikel machen einen auf Dauer nur nervös, keinen schlauer. Zurück am Schreibtisch fand ich den Haken für die Vereinbarung genau dort, wo Renée ihn beschrieben hatte, aktivierte ihn – und lehnte mich in meinem alten Drehstuhl zurück, dessen kurzes Knacken sich in diesem Moment fast wie ein kleines Ausrufezeichen anfühlte. Das hätte ich gerne früher gewusst: Es reicht oft ein Blick in die Kontoeinstellungen, kein aufwendiges Grübeln über Paragrafen.

Der Trick, den ich seitdem jeder Solopreneurin weitergebe, die mich danach fragt, ist unspektakulär: In den Kontoeinstellungen unter 'Datenschutz' oder 'Abrechnung' nachsehen, ob es eine Vereinbarung zur Auftragsverarbeitung gibt, die sich aktivieren lässt. Ist sie vorhanden, kann ich den Dienst grundsätzlich nutzen. Ist sie nicht vorhanden oder nur in einem teureren Tarif versteckt, ist das für mich ein klares Zeichen, mir einen anderen Anbieter anzuschauen. Diese eine Prüfung sagt mehr aus als jede Diskussion über Serverstandorte.

Welche Cloud-Dienste ich am Ende nutze, trage ich zusätzlich in mein Verzeichnis von Verarbeitungstätigkeiten ein und vermerke es kurz in meinem Datenschutz-Tagebuch; in meiner Datenschutzerklärung habe ich außerdem ergänzt, welche Anbieter bei mir im Einsatz sind. Wie man so ein Verzeichnis oder eine Erklärung von Grund auf aufbaut, ist allerdings eine andere Geschichte für einen anderen Tag.

Ähnliche Unsicherheit erlebe ich, wenn Leserinnen fragen, wie ich KI Tools wie ChatGPT rechtssicher nutzen soll, ohne meine Sorgfaltspflicht gegenüber Kundendaten zu verletzen – dieselbe Grundfrage taucht in fast jedem digitalen Werkzeug wieder auf, das ich im Alltag nutze. Genauso pragmatisch bin ich inzwischen bei anderen Baustellen unterwegs, seit ich weiß, wie ich Rechtstexte auf der Website aktuell zu halten kann, ohne jedes Mal alles einzeln zu kontrollieren, und seit ich mir vor dem Start meiner Seite angeschaut habe, wie ich meinen Domain Namen rechtlich prüfen konnte.

Die Kurzfassung, wenn du gerade selbst unsicher bist

Cloud-Speicher wie Dropbox sind für Kundendaten kein Tabu, und ein Server in der EU macht sie auch nicht automatisch sauber. Die Frage, die tatsächlich zählt, ist simpel: Bietet der Anbieter eine Vereinbarung zur Auftragsverarbeitung an, die sich aktivieren lässt? Wenn ja, richte ich sie ein und nutze den Dienst mit gutem Gewissen. Wenn nein, suche ich weiter. Diese eine Prüfung dauert ein paar Minuten und erspart einem genau die Grübelei, die mich selbst am Anfang unnötig lange beschäftigt hat.