DSGVO und Datenhoheit: wo Ihre Daten liegen sollten

Verarbeitet ein Dienstleister personenbezogene Daten für Sie, ohne selbst über Zweck und Mittel zu entscheiden, spricht die DSGVO von Auftragsverarbeitung. Das ist der Normalfall, sobald jemand Ihre Server betreibt, Backups vorhält, Postfächer administriert oder Fernwartung leistet: Er kommt mit Ihren Daten in Berührung, bleibt aber weisungsgebunden. Verantwortlich im Sinne der Verordnung bleiben Sie. Artikel 28 DSGVO verlangt dafür einen schriftlichen Vertrag, den Auftragsverarbeitungsvertrag, kurz AV-Vertrag. Er hält fest, welche Datenarten zu welchem Zweck und wie lange verarbeitet werden, wie Weisungen erteilt werden, welche Unterauftragnehmer eingesetzt werden dürfen, wie der Dienstleister Sie bei Auskunfts- und Löschanfragen unterstützt und was am Vertragsende mit den Daten geschieht. Fehlt dieser Vertrag, fehlt der Verarbeitung die dokumentierte Grundlage, unabhängig davon, wie sorgfältig technisch gearbeitet wird. Ein seriöser Dienstleister legt den AV-Vertrag deshalb von sich aus vor und benennt seine Unterauftragnehmer, statt zu warten, bis jemand danach fragt.

Artikel 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau und nennt dafür technische und organisatorische Maßnahmen, meist als TOM abgekürzt. Technisch sind das etwa Verschlüsselung, restriktiv vergebene Zugriffsrechte, Mehr-Faktor-Authentifizierung, Protokollierung, getrennte Umgebungen und geprüft wiederherstellbare Backups. Organisatorisch geht es um Zuständigkeiten, Vertraulichkeitsverpflichtungen der Mitarbeitenden, geregelte Prozesse beim Ein- und Austritt und ein festes Vorgehen bei Sicherheitsvorfällen. Die Verordnung schreibt keine Produktliste vor, sondern verlangt eine Abwägung: Wie sensibel sind die Daten, wie wahrscheinlich und wie schwerwiegend wäre ein Schaden, was ist nach Stand der Technik angemessen? Zwei Punkte werden dabei oft übersehen. Erstens nennt Artikel 32 ausdrücklich die Fähigkeit, Verfügbarkeit und Zugang nach einem Zwischenfall rasch wiederherzustellen, Backup ist also nicht nur Betriebsthema, sondern Datenschutzthema. Zweitens fordert er ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit. Einmal eingerichtet und nie wieder geprüft genügt der Anforderung nicht.

Kapitel 5 der DSGVO regelt die Übermittlung in Drittländer, also außerhalb von EU und EWR. Verboten ist sie nicht, aber an zusätzliche Voraussetzungen geknüpft: Es braucht eine tragfähige Grundlage, etwa einen Angemessenheitsbeschluss der EU-Kommission, Standardvertragsklauseln oder verbindliche interne Datenschutzvorschriften, und je nach Konstellation eine dokumentierte Einschätzung, ob der Schutz im Zielland praktisch trägt. Wichtig ist der Begriff Übermittlung: Gemeint ist nicht nur das Kopieren von Daten. Auch ein Fernzugriff aus einem Drittland, etwa durch ein Supportteam, kann darunterfallen. Deshalb ist der Serverstandort allein noch keine Antwort. Er ist ein starkes Argument, aber die vollständige Frage lautet: Wo liegen die Daten, wer kann technisch auf sie zugreifen, von wo aus geschieht das, und welchem Recht unterliegt der Anbieter samt Konzernmutter? Ein Anbieter kann Systeme in Deutschland betreiben und trotzdem den Herausgabepflichten einer ausländischen Rechtsordnung unterliegen. Wer Klarheit will, klärt Standort, Zugriffswege, Unterauftragnehmer und Gesellschafterstruktur gemeinsam. badata betreibt eigene Infrastruktur in drei nach ISO/IEC 27001 zertifizierten Rechenzentren in Bremen, mit Datenhaltung in Deutschland und kurzen Wegen zu den Menschen, die die Systeme betreuen. Was das konkret bedeutet, steht auf der Seite zu unserem Rechenzentrum und Hosting in Bremen.

Die DSGVO kennt den Grundsatz der Speicherbegrenzung: Personenbezogene Daten sollen nur so lange aufbewahrt werden, wie es für den Zweck nötig ist. In der Praxis trifft dieser Grundsatz auf handels- und steuerrechtliche Aufbewahrungspflichten, die eine Aufbewahrung gerade verlangen. Ein Löschkonzept löst diesen Widerspruch nicht durch ein Bauchgefühl, sondern durch Zuordnung: Welche Datenart liegt in welchem System, welche Frist gilt, wer stößt die Löschung an, und wie wird sie dokumentiert? Die unbequemen Fragen betreffen die Kopien: Archivpostfächer, Testsysteme, Exporte auf Laufwerken und vor allem Backups, die sich selten selektiv bereinigen lassen. Üblich ist deshalb, Backups mit begrenzter Aufbewahrungsdauer zu führen und schriftlich zu regeln, dass wiederhergestellte Daten erneut gelöscht werden. Eine Zertifizierung wie ISO/IEC 27001 hilft an dieser Stelle, ersetzt aber nichts: Sie belegt, dass Informationssicherheit organisiert, dokumentiert und extern geprüft ist, und deckt damit viele der in Artikel 32 geforderten Punkte nachweisbar ab. Über Rechtsgrundlage, Zweckbindung oder Fristen sagt ein Zertifikat dagegen nichts. Sicherheitsorganisation und Rechtskonformität sind zwei Ebenen, die sich ergänzen, aber nicht vertreten.