Storage-VPS und DSGVO: Was Sie prüfen müssen

Dürfen Sie personenbezogene Daten auf einem gemieteten Storage-VPS speichern?

Ja. Das Speichern personenbezogener Daten auf einem gemieteten Storage-VPS ist eine übliche Verarbeitung nach der DSGVO. Kein Artikel verlangt, dass die Hardware Ihnen gehören muss. Die Verordnung stellt eine andere Frage: Können Sie nachweisen, wer verantwortlich ist, was Sie mit dem Hoster vereinbart haben und welche Maßnahmen die Daten schützen? Sie sind der Verantwortliche. Der Hoster ist Ihr Auftragsverarbeiter. Durch das Mieten des Speichers gehen keine Ihrer Pflichten auf den Anbieter über.

Diese Seite ist eine Checkliste für das Gespräch mit Ihrem eigenen Datenschutzbeauftragten, Rechtsanwalt oder Steuerberater. Sie stellt keine Rechtsberatung dar. Sie macht keine Angaben zu den Vertragsbedingungen eines Anbieters, auch nicht zu unseren. Lesen Sie den AVV, der Ihnen tatsächlich angeboten wird, und vergleichen Sie ihn mit der folgenden Liste.

Die Frage besteht aus zwei Teilen. Beim organisatorischen Teil geht es um Unterschriften und Dokumente. Dieser Teil sieht unabhängig vom gemieteten Produkt gleich aus. Beim technischen Teil können Sie das Risiko selbst reduzieren: durch Verschlüsselung, Schlüsselverwaltung, Zugriffskontrolle, Protokollierung und Löschung. Wenn Sie das Produkt noch auswählen, ist der Unterschied zwischen einem Storage-VPS und einem regulären VPS eine Frage von Kapazität und Preis. An den folgenden Punkten ändert er nichts.

Der Vertrag: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO

Vor dem ersten Upload benötigen Sie einen Auftragsverarbeitungsvertrag (AVV), also die nach Art. 28 DSGVO erforderliche Vereinbarung zur Datenverarbeitung. Art. 28(9) erlaubt die elektronische Form. Eine signierte PDF-Datei oder ein Bestätigungsprozess per Klick im Control Panel reicht daher aus. Sie müssen den Vertrag auf Anfrage vorlegen können. Die meisten Hoster stellen einen solchen Vertrag bereit. Ihre Aufgabe besteht darin, ihn daraufhin zu prüfen, ob er die in Art. 28(3) genannten Inhalte abdeckt:

• den Gegenstand, die Dauer, die Art und den Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien der betroffenen Personen
• die Verarbeitung ausschließlich auf Ihre dokumentierten Weisungen hin, Art. 28(3)(a)
• die Verpflichtung aller Personen mit Zugriff zur Vertraulichkeit, Art. 28(3)(b)
• die Sicherheitsmaßnahmen nach Art. 32, Art. 28(3)(c)
• die Regelungen für Unterauftragsverarbeiter, Art. 28(3)(d) zusammen mit Art. 28(2)
• Unterstützung bei der Beantwortung von Anfragen betroffener Personen, Art. 28(3)(e)
• Unterstützung bei der Meldung von Datenschutzverletzungen und, sofern erforderlich, bei einer Datenschutz-Folgenabschätzung, Art. 28(3)(f)
• die Löschung oder Rückgabe der Daten bei Vertragsende, Art. 28(3)(g)
• die erforderlichen Informations- und Prüfrechte als Nachweis, Art. 28(3)(h)

Zwei dieser Punkte bestimmen, wie ein Problemfall abläuft. Art. 33(1) gibt Ihnen ab dem Zeitpunkt, an dem Sie von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangen, 72 Stunden für die Meldung an die Aufsichtsbehörde. Art. 33(2) verpflichtet den Auftragsverarbeiter, Sie unverzüglich zu informieren. Prüfen Sie, ob der AVV einen Kommunikationskanal und eine Frist für diese Meldung nennt. Wenn Sie von einem Vorfall zuerst über eine Statusseite erfahren, läuft Ihre Frist von 72 Stunden bereits.

Der zweite Punkt ist Art. 28(3)(g). Die „Löschung oder Rückgabe am Ende“ ist ein Satz im Vertrag und zugleich ein physischer Vorgang auf einem Datenträger, der Ihnen nicht gehört. Fragen Sie, wie das Volume bei der Kündigung gelöscht wird und wie lange Backups davon anschließend bestehen bleiben. Diese zusätzlichen Wochen müssen in Ihr Löschkonzept aufgenommen werden.

Lesen Sie anschließend die Liste der Unterauftragsverarbeiter. Ein deutsches Rechenzentrum sagt nichts darüber aus, wo sich das Monitoring, das Ticketsystem oder die Mitarbeiter für Remote Hands befinden. Nach Art. 28(2) benötigt der Anbieter Ihre Genehmigung für Unterauftragsverarbeiter und muss Sie über Änderungen informieren. Das hilft jedoch nur, wenn Sie die Benachrichtigung bei ihrem Eingang lesen.

Bei jedem nicht verwalteten VPS stellt sich eine Frage: Ist ein Hoster, der niemals auf Ihre Daten zugreift, überhaupt ein Auftragsverarbeiter? Für ein deutsches Unternehmen lautet die sichere Antwort: ja. Die Aufsichtsbehörden behandeln Hosting als Auftragsverarbeitung, wenn der Anbieter auf die Daten zugreifen kann. Das ist bei dem Betreiber des Hypervisors der Fall. Unterzeichnen Sie den AVV und bewahren Sie eine Kopie auf.

Was Ihr Verzeichnis von Verarbeitungstätigkeiten aussagen muss

Art. 30(1) verlangt ein Verzeichnis von Verarbeitungstätigkeiten (VVT). Die Ausnahme nach Art. 30(5) ist enger, als es zunächst scheint. Sie gilt nicht mehr, wenn die Verarbeitung nicht gelegentlich erfolgt oder besondere Kategorien personenbezogener Daten nach Art. 9 betrifft. Kunden- oder Mitarbeiterdaten, die auf einem Server gespeichert sind, werden nicht gelegentlich verarbeitet. Führen Sie das Verzeichnis daher weiter.

Die Verlagerung von Daten auf einen VPS ändert vier Felder in bereits vorhandenen Einträgen. Zu den Empfängern gehört nun der Hoster als Auftragsverarbeiter. Falls eine Übermittlung in ein Drittland stattfindet, müssen Sie diese sowie den dafür geltenden Mechanismus nach Kapitel V benennen. Die Aufbewahrungsfrist für jede Datenkategorie muss angegeben werden. Die allgemeine Beschreibung Ihrer technischen und organisatorischen Maßnahmen muss dem tatsächlich betriebenen System entsprechen. Dieses Feld ist dasjenige, das nach einer Migration unbemerkt veraltet. Das VVT beschreibt Verarbeitungstätigkeiten und keine Server. Sie bearbeiten daher vorhandene Einträge, statt einen Eintrag mit der Bezeichnung "VPS" hinzuzufügen.

Technische und organisatorische Maßnahmen nach Art. 32

Art. 32(1) nennt nach Kategorien, was erforderlich ist: Pseudonymisierung und Verschlüsselung personenbezogener Daten, fortlaufende Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, die Fähigkeit, den Zugriff nach einem Vorfall wiederherzustellen, sowie ein Verfahren zur regelmäßigen Prüfung der Wirksamkeit der Maßnahmen. Gerade der letzte Punkt, Art. 32(1)(d), wird bei kleinen Umgebungen häufig nicht umgesetzt. Eine Wiederherstellung, die Sie nie durchgeführt haben, ist keine Maßnahme. Führen Sie sie durch, dokumentieren Sie das Datum und wiederholen Sie sie nach einem festen Zeitplan.

Dokumentieren Sie Ihre technischen und organisatorischen Maßnahmen (TOM) in einem eigenen Dokument. Das TOM-Dokument des Anbieters deckt das Rechenzentrumsgebäude, die Stromversorgung, den physischen Zugang und die Überprüfung des Personals ab. Ihre SSH-Schlüssel, Ihre Dateiberechtigungen und Ihre Log-Aufbewahrung sind darin nicht enthalten. Die Lücke zwischen den beiden Listen liegt in Ihrer Verantwortung. Die Aufgabenteilung bei einem nicht verwalteten VPS sollten Sie dokumentieren, bevor ein Auditor danach fragt.

Der Grund, dafür einen Tag aufzuwenden, steht in Art. 83. Verstöße gegen Art. 32 fallen in den Bußgeldrahmen von Art. 83(4): bis zu 10 Millionen EUR oder 2 Prozent des weltweit erzielten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Verstöße gegen die Grundsätze, die Rechte betroffener Personen und die Vorschriften für Datenübermittlungen fallen in den Bußgeldrahmen von Art. 83(5): bis zu 20 Millionen EUR oder 4 Prozent.

Was ändert sich bei einem Anbieter mit Sitz außerhalb der EU und einem Rechenzentrum in der EU

Eine Adresse in Frankfurt oder Nürnberg erledigt Kapitel V nicht automatisch. Nach den Leitlinien 05/2021 des EDPB liegt eine Übermittlung in ein Drittland vor, wenn Daten einer anderen Stelle mit Sitz außerhalb des EWR zugänglich gemacht werden. Auch der Fernzugriff gilt als Zugänglichmachung. Die Datenträger können daher in Deutschland bleiben, während trotzdem eine Übermittlung stattfindet: etwa durch Supportmitarbeiter in einem Drittland, eine Muttergesellschaft, die ein Ticket liest, ein an anderer Stelle gehostetes Monitoring-System oder ein Backup, das über den Atlantik repliziert wird.

Wenn eine Übermittlung in den Anwendungsbereich fällt, kommen zwei Mechanismen infrage. Der Angemessenheitsbeschluss zum EU-US Data Privacy Framework vom 10. Juli 2023 gilt für US-Organisationen, die sich selbst zertifiziert haben. Prüfen Sie daher den Eintrag des Anbieters in der DPF-Liste und nicht nur ein Siegel auf einer Marketingseite. Andernfalls erfolgt die Übermittlung auf Grundlage der Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914 der Kommission) sowie einer Transfer Impact Assessment nach Maßgabe der Empfehlungen 01/2020 des EDPB.

Zusätzlich besteht ein Konflikt zwischen Rechtsordnungen, den keine Vertragsklausel auflöst. Ein US-Unternehmen kann nach dem CLOUD Act verpflichtet werden, von ihm kontrollierte Daten herauszugeben, unabhängig davon, wo diese Daten gespeichert sind. Art. 48 DSGVO stellt klar, dass eine gerichtliche Anordnung aus einem Drittland allein keine Rechtsgrundlage für die Herausgabe von Daten ist. Der Anbieter steht damit zwischen zwei Vorgaben. Die Verantwortung nach Art. 5(2) tragen jedoch Sie. Deshalb ist der technische Teil in der Praxis entscheidend: Niemand kann Klartext herausgeben, den er nicht entschlüsseln kann. Wenn Sie dieses Risiko vermeiden möchten, verkürzt ein von einem deutschen Unternehmen betriebener Storage-VPS die Prüfung. Welche Kosten eine Speicherung von EU-Daten pro Terabyte verursacht behandelt die finanziellen Auswirkungen dieser Entscheidung.

Verschlüsselung auf einem Storage-VPS: Wer besitzt den Schlüssel?

Die Verschlüsselung ist die einzige Maßnahme, die in der Verordnung zweimal genannt wird: in Art. 32(1)(a) und erneut in Art. 34(3)(a). Bei gemieteter Hardware hängt ihr Wert vollständig davon ab, wer den Schlüssel besitzt.

Die vollständige Verschlüsselung des Daten-Volumes mit LUKS (Linux Unified Key Setup) bildet die Grundlage. Bestätigen Sie den Gerätenamen zuerst mit lsblk, weil luksFormat alle Daten auf dem Zielgerät löscht.

sudo apt update && sudo apt install -y cryptsetup
sudo cryptsetup luksFormat --type luks2 /dev/vdb
sudo cryptsetup open /dev/vdb kunden
sudo mkfs.ext4 /dev/mapper/kunden
sudo mkdir -p /srv/kunden && sudo mount /dev/mapper/kunden /srv/kunden

Prüfen Sie mit sudo cryptsetup luksDump /dev/vdb, was tatsächlich eingerichtet wurde. Der Befehl gibt die Verschlüsselung aus, die bei LUKS2 standardmäßig aes-xts-plain64 ist, außerdem die Schlüsselableitungsfunktion argon2id und die verwendeten Keyslots. Auf einem KVM-VPS ist das zweite Volume normalerweise /dev/vdb oder /dev/sdb.

Nun zum entscheidenden Punkt. Diese Maßnahme schützt die Daten auf einem getrennten oder ausgemusterten Volume sowie gegen Personen, die eine Kopie des Blockgeräts lesen können, ohne den laufenden Rechner nach dem Schlüssel fragen zu können. Sie schützt die Daten jedoch nicht vor Personen, die den Speicher des laufenden VPS lesen können, weil der Master-Key im Kernel-Speicher verbleibt, solange das Volume eingebunden ist. Sie schützt Sie auch nicht vor Ihrer eigenen Bequemlichkeit: Legen Sie die Schlüsseldatei auf demselben Server ab, damit das Volume nach einem Reboot automatisch entsperrt wird, befindet sich der Schlüssel anschließend auf genau dem Rechner, vor dem Sie ihn schützen wollen. Geben Sie die Passphrase entweder nach jedem Reboot manuell ein, oder akzeptieren Sie die schwächere Schutzwirkung und dokumentieren Sie in Ihren TOMs, wofür Sie sich entschieden haben. Hardwarebasierte Speicherverschlüsselung verringert die Lücke beim RAM-Schutz. Was Confidential Computing tatsächlich vom Hypervisor fernhält beschreibt den aktuellen Stand dazu.

Den Schlüssel vollständig vom Server fernhalten

Bei Archivierungs- und Backup-Aufgaben, bei denen der VPS als Ziel und nicht als Arbeitsumgebung dient, verschlüsseln Sie die Daten auf Ihrem eigenen Rechner. Der Server speichert dann ausschließlich Chiffretext. restic arbeitet standardmäßig auf diese Weise. Das Repository liegt über SFTP auf dem VPS. Das Passwort wird nicht übertragen.

restic -r sftp:archiv@vps.example.com:/srv/restic init
restic -r sftp:archiv@vps.example.com:/srv/restic backup /srv/kunden
restic -r sftp:archiv@vps.example.com:/srv/restic snapshots

restic snapshots Das Auflisten des gerade erstellten Backups prüft, ob das Repository mit dem eingegebenen Passwort lesbar ist. Jede Datei wird verschlüsselt und authentifiziert, bevor sie Ihren Rechner verlässt. Ein neugieriger Mitarbeiter des Hosters, eine dem Hoster zugestellte gerichtliche Anordnung und ein gestohlenes Backup erhalten daher dasselbe: Bytes.

Die Nachteile sind real und gehören in dasselbe Dokument. Sie können die Daten nicht serverseitig durchsuchen oder verarbeiten. Für Wiederherstellungen benötigen Sie das Passwort. Ein verlorenes Passwort bedeutet ein dauerhaft verlorenes Archiv. Genau dieser Nachteil sorgt zugleich dafür, dass ein Einbruch beim Hosting-Anbieter überstanden werden kann. Das ist der nützliche Teil von was ein Hosting-Anbieter auf Ihrem VPS sehen kann und was nicht. Die Einrichtung auf Volume-Ebene wird ausführlicher unter die Daten auf einem Storage-VPS verschlüsseln behandelt und geht über die fünf obigen Befehle hinaus.

Zugriffskontrolle und Protokollierung, die Sie einem Auditor vorlegen können

Die Zugriffskontrolle auf einem VPS beginnt damit, die Ursache für Brute-Force-Angriffe zu beseitigen. Tragen Sie dies in /etc/ssh/sshd_config.d/10-hardening.conf ein:

PasswordAuthentication no
PermitRootLogin prohibit-password
KbdInteractiveAuthentication no

Führen Sie sudo sshd -t aus. Wenn keine Ausgabe erscheint, ist die Konfiguration syntaktisch korrekt. Unter Ubuntu 24.04 wird sshd über einen Socket aktiviert. Die nächste Verbindung startet daher ein neues sshd, das die aktualisierte Datei einliest. Öffnen Sie eine zweite SSH-Sitzung und melden Sie sich an, bevor Sie die erste Sitzung schließen. Wenn Sie sich selbst aussperren, ist das ein Verfügbarkeitsvorfall nach Art. 32(1)(b), den Sie sich selbst melden müssten.

Wer Zugriff hat, prüfen Sie mit zwei Befehlen. Eine Zugriffsprüfung gilt jedoch nur dann als Maßnahme, wenn sie eine nachvollziehbare Spur hinterlässt:

awk -F: '$3 >= 1000 && $3 < 65534 {print $1}' /etc/passwd
getent group sudo

Die Protokollierung von Dateizugriffen erfolgt über auditd:

sudo apt install -y auditd
echo '-w /srv/kunden -p rwa -k kundendaten' | sudo tee /etc/audit/rules.d/kundendaten.rules
sudo augenrules --load
sudo auditctl -l
sudo ausearch -k kundendaten -i | tail

auditctl -l sollte die gerade geladene Überwachung auflisten. Wenn No rules ausgegeben wird, wurde die Datei nicht akzeptiert. augenrules --load enthält dann den Syntaxfehler, der darüber ausgegeben wurde. Bei containerbasierter Virtualisierung mit gemeinsam genutztem Host-Kernel, etwa OpenVZ oder LXC, steht das Audit-Subsystem nicht unter Ihrer Kontrolle, und diese Befehle schlagen fehl. Protokollieren Sie in diesem Fall innerhalb der Anwendung. Überwachen Sie außerdem den verfügbaren Speicherplatz, da auditd die Festplatte füllen kann: max_log_file und num_logs in /etc/audit/auditd.conf legen die Obergrenze fest.

Logs selbst enthalten personenbezogene Daten. Der Gerichtshof der Europäischen Union stellte in Breyer (C-582/14, 19. Oktober 2016) fest, dass eine dynamische IP-Adresse für einen Betreiber personenbezogene Daten darstellt, wenn dieser über rechtmäßige Mittel zur Identifizierung des Benutzers verfügt. Die Aufbewahrungsdauer von Logs benötigt daher eine konkrete Vorgabe und eine technische Durchsetzung. Tragen Sie dies in /etc/systemd/journald.conf ein:

[Journal]
SystemMaxUse=500M
MaxRetentionSec=90day

Wenden Sie die Einstellung mit sudo systemctl restart systemd-journald an und prüfen Sie sie anschließend mit journalctl --disk-usage. Die Begrenzung gilt für neue Schreibvorgänge. Mit sudo journalctl --vacuum-time=90d kürzen Sie daher die bereits vorhandenen Daten.

Löschkonzept: So funktioniert das Löschen auf gemietetem Speicher

Art. 17 gewährt das Recht auf Löschung, und Art. 5(1)(e) verlangt eine Speicherbegrenzung. Auf einem VPS erfolgt die Löschung auf mehreren Ebenen. Nur eine davon ist zuverlässig.

rm hebt die Datei auf und lässt die Blöcke bestehen. shred überschreibt die Blöcke, die ihm das Dateisystem übergibt. Auf einer virtuellen Festplatte bedeutet das, dass Blöcke innerhalb einer Image-Datei auf einem für Sie nicht einsehbaren Host überschrieben werden. Copy-on-Write-Ebenen, Thin Provisioning und das Wear-Leveling von SSDs führen dazu, dass die alten Bytes physisch weiterhin vorhanden sein können, nachdem shred den Erfolg gemeldet hat. sudo fstrim -av gibt den Discard-Befehl an darunterliegende Ebenen weiter und erreicht möglicherweise die Speicherverwaltung des Hosts. Innerhalb des Gasts kann jedoch niemand überprüfen, ob das tatsächlich geschehen ist.

Das belastbare Verfahren ist Crypto-Erasure: Zerstören Sie den Schlüssel, ist der Ciphertext nicht wiederherstellbar. Auf einem LUKS2-Volume genügt dafür ein Befehl. Der Vorgang ist endgültig.

sudo cryptsetup luksErase /dev/vdb

Der Befehl löscht jeden Keyslot, sodass der Master Key nicht aus dem Header wiederhergestellt werden kann. Zwei Bedingungen müssen erfüllt sein. Niemand darf ein mit cryptsetup luksHeaderBackup erstelltes Header-Backup aufbewahrt haben, und die Passphrase darf nicht an anderer Stelle dokumentiert sein. Beide Punkte gehören in das Löschkonzept.

Die Löschung muss auch die Kopien erreichen. Ein gestern erstellter Snapshot stellt die Daten wieder her, die Sie heute gelöscht haben. Das Konzept muss deshalb festlegen, dass gelöschte Daten bis zum Ablauf der Aufbewahrungsfrist in Backups bestehen bleiben und dass jede Wiederherstellung die Löschung erneut anwendet. Der Unterschied zwischen einem Snapshot und einem Backup ist hier eine Compliance-Frage und nicht nur eine betriebliche Frage, weil Provider-Snapshots auf der Infrastruktur des Providers liegen und eine eigene Lebensdauer haben. Diese Lebensdauer müssen Sie kennen, um sie zu dokumentieren.

DIN 66398 ist die deutsche Norm für die Erstellung eines Löschkonzepts. Sie gibt die Struktur vor: Datenkategorien, Löschfristen, das Ereignis, das die jeweilige Frist startet, und die für die Löschung verantwortliche Person.

Aufbewahrungspflichten, die der Löschung entgegenstehen

Das deutsche Handels- und Steuerrecht schreibt vor, bestimmte Unterlagen über mehrere Jahre aufzubewahren. Nach Art. 17 Abs. 3 Buchst. b gilt das Recht auf Löschung nicht, wenn die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist. Ein Löschantrag eines Kunden mit vorhandenen Rechnungen löscht diese Rechnungen daher nicht.

[
  {
    "label": "Handelsb\u00fccher, Jahresabschl\u00fcsse",
    "duration": 10
  },
  {
    "label": "Buchungsbelege (since 2025)",
    "duration": 8
  },
  {
    "label": "Handelsbriefe",
    "duration": 6
  },
  {
    "label": "Lohnkonten",
    "duration": 6
  }
]

Handelsbücher, Inventare und Jahresabschlüsse sind nach § 257 Abs. 4 HGB und § 147 Abs. 3 AO 10 Jahre aufzubewahren. Für Buchungsbelege wurde die Frist mit dem Inkrafttreten des Vierten Bürokratieentlastungsgesetzes am 1. Januar 2025 auf 8 Jahre verkürzt. Eingegangene Handelsbriefe und Kopien abgesendeter Handelsbriefe sind 6 Jahre aufzubewahren. Lohnkonten müssen nach § 41 Abs. 1 EStG bis zum Ende des sechsten Kalenderjahres nach der letzten Eintragung aufbewahrt werden. Dies sind die gesetzlichen Mindestfristen im September 2026. Andere Vorschriften können längere Fristen vorsehen. Ihr Steuerberater sollte die Liste für Ihr Unternehmen bestätigen.

Zwei Details werden häufig übersehen. Die Frist beginnt mit dem Ende des Kalenderjahres, in dem die letzte Eintragung vorgenommen wurde (§ 257 Abs. 5 HGB, § 147 Abs. 4 AO). Eine Aufbewahrungspflicht von 8 Jahren bedeutet daher eine Speicherdauer von fast neun Jahren. Außerdem verlangt die GoBD, die deutschen Regeln für die elektronische Buchführung, dass diese Unterlagen während des gesamten Zeitraums lesbar und auswertbar bleiben. Eine Crypto-Erasure, die das Archiv mitlöscht, macht aus einer Datenschutzmaßnahme ein steuerliches Problem. Daher müssen die Schlüssel für aufzubewahrende Unterlagen sicher verwahrt werden und länger verfügbar bleiben als der Laptop, auf dem sie erstellt wurden.

Die praktikable Lösung ist eine Trennung. Bewahren Sie Unterlagen mit einer Aufbewahrungspflicht getrennt von Daten auf, die Sie lediglich besitzen. Löschen Sie die zweite Gruppe nach dem vorgesehenen Zeitplan. Bei der ersten Gruppe schränken Sie die Verarbeitung nach Art. 18 ein, verschieben die Daten in ein Archiv mit eigenen Zugriffsregeln und löschen sie nach Ablauf der Frist. Ein gemeinsamer Ordner für beide Gruppen macht ein Löschkonzept praktisch nicht umsetzbar.

Die Prüfung vor dem Upload

• Der AVV ist unterzeichnet und gespeichert, und Sie haben die Liste der Unterauftragsverarbeiter gelesen.
• Ihre VVT-Einträge nennen den Hoster, die Aufbewahrungsfristen und die Maßnahmen, die Sie tatsächlich einsetzen.
• Die Frage zu Kapitel V ist schriftlich beantwortet, wenn eine beteiligte Partei außerhalb des EWR sitzt.
• Die Verschlüsselung ist eingerichtet, und Sie können in einem Satz angeben, wer den Schlüssel verwaltet.
• SSH ist ausschließlich per Schlüssel zugänglich, die Kontoliste wurde an einem dokumentierten Datum geprüft, und die Log-Aufbewahrung ist mit einer Frist angegeben.
• Eine Wiederherstellung wurde getestet, und das Datum ist dokumentiert.
• Das Löschkonzept nennt die Aufbewahrungsfristen und beschreibt, wie die Löschung auch die Backups erreicht.

FAQ

Benötige ich für einen unmanaged VPS einen Auftragsverarbeitungsvertrag?

In der Praxis: ja. Deutsche Aufsichtsbehörden behandeln Hosting als Auftragsverarbeitung nach Art. 28 DSGVO, wenn der Anbieter auf die Daten zugreifen kann. Das gilt auch für den Betreiber des Hypervisors, unabhängig davon, ob tatsächlich jemand auf die Daten zugreift. Art. 28(9) erlaubt die elektronische Form. Daher genügt eine veröffentlichte Vereinbarung, die Sie im Control Panel akzeptieren, sofern Sie eine Kopie vorlegen können. Prüfen Sie die Vereinbarung anhand der Liste in Art. 28(3). Achten Sie besonders auf den Kanal für die Meldung von Datenschutzverletzungen und auf die Liste der Unterauftragsverarbeiter.

Reicht ein deutsches Rechenzentrum aus, wenn der Anbieter ein US-Unternehmen ist?

Nicht allein. Nach den EDPB Guidelines 05/2021 stellt die Bereitstellung von Daten für ein Unternehmen außerhalb des EWR auch dann eine Übermittlung dar, wenn die Datenträger das Land nie verlassen. Ermöglicht der Zugriff von Mitarbeitenden oder einem Mutterunternehmen außerhalb des EWR den Zugriff aus diesem Gebiet, befinden Sie sich im Anwendungsbereich von Kapitel V. Prüfen Sie, ob das Unternehmen gemäß dem Angemessenheitsbeschluss vom 10. Juli 2023 in der Liste des EU-US Data Privacy Framework aufgeführt ist oder ob die Übermittlung auf Standardvertragsklauseln mit einer Transfer Impact Assessment gestützt wird. Das Risiko nach dem CLOUD Act bleibt in beiden Fällen bestehen. Die einzige Maßnahme, die dieses Risiko reduziert, ist eine Verschlüsselung, bei der der Schlüssel den Anbieter nie erreicht.

Entfällt durch eine Verschlüsselung meine Pflicht, eine Datenschutzverletzung zu melden?

Die Meldung an die Aufsichtsbehörde entfällt dadurch nicht. Nach Art. 33(1) müssen Sie die Datenschutzverletzung weiterhin innerhalb von 72 Stunden melden, es sei denn, dass sie voraussichtlich kein Risiko für die Rechte und Freiheiten der betroffenen Personen darstellt. Sie müssen die Bewertung in jedem Fall dokumentieren. Art. 34(3)(a) ist die relevante Ausnahme: Eine Benachrichtigung der betroffenen Personen ist nicht erforderlich, wenn die Daten durch Maßnahmen geschützt waren, die sie unverständlich machen. Dazu zählt eine starke Verschlüsselung, wenn der Schlüssel nicht Teil des Vorfalls war. Diese Voraussetzung ist entscheidend. Ein gestohlener Schlüssel oder ein Abbild einer laufenden Maschine mit eingebundenem Volume bedeutet, dass die Daten nicht unverständlich waren.

Wie lösche ich die Daten eines Kunden, wenn § 147 AO die Aufbewahrung der Rechnungen verlangt?

Trennen Sie die Daten. Löschen Sie alle Daten ohne Aufbewahrungspflicht gemäß dem Zeitplan in Ihrem Löschkonzept. Dazu gehören beispielsweise Marketingprofile, Support-Anhänge und alte Kontaktdatensätze. Für die Datensätze nach § 257 HGB oder § 147 AO stützen Sie sich auf Art. 17(3)(b). Diese Vorschrift schließt das Recht auf Löschung aus, wenn die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist. Schränken Sie die Verarbeitung stattdessen nach Art. 18 ein. Verschieben Sie die Daten in ein Archiv, das nicht mehr in die normalen Abläufe einfließt, und löschen Sie sie nach Ablauf der Aufbewahrungsfrist. Teilen Sie der betroffenen Person mit, welche Kategorien Sie aufbewahren und aus welchem Grund. Eine pauschale Ablehnung führt häufig zu einer Beschwerde.

Benötige ich für den Betrieb einen Datenschutzbeauftragten?

§ 38 Abs. 1 BDSG verlangt einen Datenschutzbeauftragten, wenn 20 oder mehr Personen in der Organisation ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Art. 37(1) DSGVO enthält zusätzliche Auslöser, die unabhängig von der Anzahl der Beschäftigten gelten. Dazu gehören Kerntätigkeiten, die eine regelmäßige und systematische Überwachung betroffener Personen in großem Umfang erfordern, sowie die groß angelegte Verarbeitung besonderer Kategorien nach Art. 9. Das Mieten eines VPS löst diese Pflicht allein nicht aus. Entscheidend sind die Verarbeitung, die Sie darauf durchführen, und die Anzahl der Personen, die darauf zugreifen.