← Datenschutz & Informationsschutz
DSGVO in IT und Cloud praktisch umsetzen
Personenbezogene Daten in IT- und Cloud-Umgebungen kontrolliert verarbeiten, schützen und nachvollziehbar betreiben.
Die DSGVO verlangt keine pauschal „konforme“ Cloud-Lösung, sondern eine risikoorientierte Verarbeitung mit klaren Verantwortlichkeiten und nachweisbaren Maßnahmen. Für IT und Cloud sind insbesondere Rollen und Berechtigungen, Schutzmaßnahmen, Aufbewahrung und Löschung, Protokollierung sowie Verträge und Datenflüsse zu klären. Microsoft 365 kann technische Funktionen unterstützen; die konkrete Bewertung hängt jedoch von Nutzung, Konfiguration, Vertrag und Betrieb ab.
Abgrenzung zu Leistungen und Technologien
Diese Einordnung ersetzt keine Rechtsberatung und keine datenschutzrechtliche Bewertung. Sie übersetzt abgestimmte Anforderungen in technische und organisatorische Kontrollfragen für IT und Cloud.
Ausgangslage
In Cloud- und Microsoft-365-Umgebungen entstehen personenbezogene Daten nicht nur in Fachanwendungen: Sie finden sich in E-Mails, Teams, Dateien, Identitätsdaten, Geräten, Protokollen und Sicherungen. Teams brauchen deshalb ein gemeinsames Bild darüber, wer welche Daten verarbeitet, wer administrative Rechte besitzt und wie Entscheidungen im Lebenszyklus nachvollziehbar bleiben.
Eine Datenschutzdokumentation allein steuert keine Berechtigungen. Umgekehrt beweist eine technische Konfiguration für sich nicht, dass die Verarbeitung zulässig ist. Datenschutz, IT, Informationssicherheit und Fachbereiche müssen ihre jeweiligen Verantwortlichkeiten verbinden.
Fachliche Einordnung
Die DSGVO verpflichtet Verantwortliche, geeignete technische und organisatorische Maßnahmen umzusetzen und deren Wirksamkeit sowie die Einhaltung der Verordnung nachweisen zu können (insbesondere Art. 5 Abs. 2 und Art. 24 DSGVO). Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen sind bei der Festlegung von Mitteln und Verarbeitung zu berücksichtigen (Art. 25 DSGVO). Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau.
Für Cloud-Dienste ist die Rollenverteilung zentral: Ein Unternehmen kann Verantwortlicher sein, während ein Dienstleister personenbezogene Daten als Auftragsverarbeiter verarbeitet. Art. 28 DSGVO stellt Anforderungen an dessen Auswahl und vertragliche Bindung. Ob diese Einordnung passt, welche Übermittlungen stattfinden und welche Rechtsgrundlagen gelten, ist für den konkreten Verarbeitungsvorgang zu prüfen.
Cloud-Rollen, Auftragsverarbeitung und Drittlandtransfers sind getrennte Prüffragen: Die Rollen- und Vertragsprüfung nach Art. 28 beantwortet nicht automatisch, ob Daten in ein Drittland übermittelt werden und welche Voraussetzungen dafür gelten. Wenn Transfers in Betracht kommen, sind insbesondere Empfänger, Übermittlungsweg und ergänzende Schutzmaßnahmen anhand der konkreten Verarbeitung zu bewerten.
Eine Datenschutz-Folgenabschätzung (DSFA) ist ebenfalls keine Standardfolge jeder Cloud-Nutzung. Sie ist als Prüffrage einzubeziehen, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten natürlicher Personen zur Folge hat. Das Standard-Datenschutzmodell (SDM) von BfDI und DSK bietet eine Struktur, DSGVO-Anforderungen in technische und organisatorische Maßnahmen zu übersetzen; es ersetzt keine rechtliche Bewertung.
Was Unternehmen konkret klären müssen
- Welche Verarbeitungen, Datenkategorien, Systeme, Cloud-Dienste und Datenflüsse im Untersuchungsbereich liegen.
- Wer fachlich, datenschutzrechtlich und technisch verantwortlich ist und welche Rollen privilegierte Zugriffe erhalten.
- Wie Identitäten, Authentisierung, Berechtigungen, administrative Tätigkeiten und externe Zugriffe kontrolliert und regelmäßig überprüft werden.
- Welche Schutzmaßnahmen für Daten, Geräte, Übertragungen und Sicherungen dem Risiko angemessen sind.
- Welche Aufbewahrungszwecke und Löschregeln gelten – einschließlich Kopien, Archive und Backups.
- Welche Protokolle erforderlich sind, wer sie einsehen darf und wie sie für Betrieb, Sicherheitsvorfälle und Nachweise genutzt werden.
Von der Anforderung zur Umsetzung
Rollen und Verantwortlichkeiten
Risiko: unklare Zuständigkeit
Organisatorische Maßnahme: RACI für Fachprozess, Datenschutz, IT und Dienstleister
Technische Umsetzung: getrennte Adminrollen und Freigaben
Möglicher Nachweis: Rollenmodell, AV-Vertrag, Freigabeprotokolle
Zugriffskontrolle
Risiko: übermäßige oder verwaiste Rechte
Organisatorische Maßnahme: Berechtigungskonzept und Rezertifizierung
Technische Umsetzung: MFA, Conditional Access, Least Privilege
Möglicher Nachweis: Zugriffsreviews, Rollen- und Anmeldeprotokolle
Schutz der Verarbeitung
Risiko: Verlust, Offenlegung oder Manipulation
Organisatorische Maßnahme: Schutzbedarfs- und Risikobetrachtung
Technische Umsetzung: Verschlüsselung, Endpoint-Schutz, Datenklassifizierung
Möglicher Nachweis: Risikoentscheidung, Konfigurations- und Testnachweise
Aufbewahrung und Löschung
Risiko: unnötig lange Speicherung
Organisatorische Maßnahme: fachliches Aufbewahrungs- und Löschkonzept
Technische Umsetzung: Labels, Retention, Löschabläufe und kontrollierte Ausnahmen
Möglicher Nachweis: Löschregeln, Freigaben, Lösch- und Ausnahmeprotokolle
Rechenschaft und Betrieb
Risiko: Maßnahmen nicht nachvollziehbar
Organisatorische Maßnahme: Review-, Incident- und Änderungsprozess
Technische Umsetzung: Audit-Protokolle, Monitoring, zentrale Nachweisablage
Möglicher Nachweis: Verzeichnisbezug, Reports, Reviews, Ereignisdokumentation
Grenzen und Abhängigkeiten
Ob eine Verarbeitung DSGVO-konform ist, kann nicht anhand eines einzelnen Produkts beantwortet werden. Die Bewertung hängt unter anderem von Zweck, Rechtsgrundlage, Datenkategorien, Verträgen, Empfängern, Datenübermittlungen und der tatsächlichen Konfiguration ab. Microsoft- und andere Herstellerfunktionen unterstützen Kontrollen, ersetzen aber weder eine rechtliche Prüfung noch die Verantwortung des Unternehmens.
Aufbewahrungs- und Löschfristen entstehen häufig aus Fachrecht, Verträgen und Geschäftsprozessen. Sie sind nicht ausschließlich technisch festzulegen. Bei Backups kann eine sofortige Einzellöschung technisch nicht möglich sein. Das Löschkonzept muss deshalb Unveränderbarkeit, Wiederherstellungsprozesse sowie eine erneute Löschung oder Quarantäne wiederhergestellter Daten im konkreten Konzept bewerten.
Weiterführende offizielle Quellen
Orientierung
Häufige Fragen
Ist Microsoft 365 DSGVO-konform?
Diese Frage lässt sich nicht pauschal mit Ja oder Nein beantworten. Entscheidend sind unter anderem die konkrete Verarbeitung, Rollen, Einstellungen, Verträge, Datenflüsse, technische Maßnahmen und der laufende Betrieb. Herstellerunterlagen sind eine wichtige Informationsquelle, aber keine vollständige Rechtsbewertung.
Müssen wir alle Protokolle unbegrenzt speichern?
Nein. Zweck, Zugriffsrechte, Speicherfristen und Schutz der Protokolldaten müssen festgelegt werden. Protokollierung soll nachvollziehbaren Betrieb und Sicherheitsuntersuchungen ermöglichen, darf aber nicht selbst zu einer ungesteuerten Datensammlung werden.
Wo gehört das Löschkonzept hin?
Es verbindet Fachprozesse, Datenschutz und Technik. Das Konzept sollte Datenarten, Auslöser, Fristen, Verantwortlichkeiten, Ausnahmen sowie technische Lösch- und Kontrollwege beschreiben – auch für Archive und Sicherungskopien.
Nächster sinnvoller Schritt
Klären Sie technische Datenschutzanforderungen in Microsoft 365 mit Datenschutzverantwortlichen und IT: Datenflüsse, Rollen, Zugriffe, Löschung und Nachweise für einen abgegrenzten Bereich. Für den technischen Kontext führen IT-Security & Compliance und Microsoft-Technologien weiter.