Cloud-ERP und DSGVO: Auftragsverarbeitung und Standort
Kurz gesagt
Verarbeitet ein Cloud-ERP-Anbieter personenbezogene Daten in Ihrem Auftrag, brauchen Sie einen Vertrag nach Art. 28 Abs. 3 DSGVO; weitere Auftragsverarbeiter benötigen Ihre Genehmigung. Die Drittlandregeln der DSGVO knüpfen nicht an den Serverstandort, sondern an die Übermittlung an Empfänger in Drittländern (Art. 44 ff.), auch bei Fernzugriff; die Sicherheitspflichten gelten unabhängig vom Standort.
Das Wichtigste
- Art. 28 Abs. 1 DSGVO: Sie arbeiten nur mit Auftragsverarbeitern, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten.
- Art. 28 Abs. 3 und 9: Der Vertrag legt Gegenstand, Dauer, Art und Zweck sowie Datenarten fest und enthält die Pflichten nach Buchst. a bis h; schriftlich, auch elektronisch.
- Art. 28 Abs. 2 und 4: Unterauftragnehmer nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung; bei allgemeiner Genehmigung mit Einspruchsmöglichkeit.
- Übermittlung in ein Drittland ist zulässig bei Angemessenheitsbeschluss (Art. 45) oder geeigneten Garantien (Art. 46); eng begrenzte Ausnahmen regelt Art. 49. Verstöße: bis 20 Millionen Euro oder 4 Prozent des weltweiten Vorjahresumsatzes, je nachdem was höher ist (Art. 83 Abs. 5).
- Verstöße gegen Art. 28 können mit bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahrs geahndet werden, je nachdem was höher ist (Art. 83 Abs. 4).
Ein Cloud-ERP speichert Kundendaten, Lieferantenkontakte und Personaldaten bei einem Dritten. Für die Datenschutz-Grundverordnung (DSGVO, Verordnung (EU) 2016/679, anwendbar seit 25. Mai 2018) heißt das: Sie bleiben Verantwortlicher für die Daten, der Anbieter wird Auftragsverarbeiter. Dieser Artikel gilt für Verarbeitungen, die unter die DSGVO fallen, in der EU also für Deutschland und Österreich; er behandelt kein nationales Zusatzrecht.
Wann gilt Art. 28?
Personenbezogene Daten sind alle Informationen über eine identifizierte oder identifizierbare natürliche Person (Art. 4 Nr. 1), etwa Name, Anschrift und Kundennummer eines Kunden, Ansprechpartner eines Lieferanten oder Mitarbeiterdaten. Angaben zu reinen Unternehmen ohne Personenbezug gehören nicht dazu. Verarbeitet der Anbieter solche Daten im Auftrag (Art. 4 Nr. 8), gelten die Pflichten des Art. 28. Bestimmt der Auftragsverarbeiter unter Verstoß gegen die Verordnung selbst Zwecke und Mittel der Verarbeitung, gilt er insoweit als Verantwortlicher (Art. 28 Abs. 10).
Checkliste: Pflichten und was Sie prüfen
| Pflicht | Norm | Prüfen Sie |
|---|---|---|
| Sorgfältige Auswahl | Art. 28 Abs. 1, Abs. 5 | Bietet der Anbieter hinreichende Garantien für technische und organisatorische Maßnahmen? Genehmigte Verhaltensregeln oder ein Zertifizierungsverfahren können als Faktor herangezogen werden |
| Vertrag oder anderes Rechtsinstrument | Art. 28 Abs. 3, Abs. 9 | Schriftlich, auch elektronisch; Gegenstand, Dauer, Art und Zweck der Verarbeitung, Art der Daten, Kategorien betroffener Personen, Rechte und Pflichten des Verantwortlichen |
| Verarbeitung nur auf Weisung | Art. 28 Abs. 3 Buchst. a | Verarbeitung nur auf dokumentierte Weisung, auch für Drittlandübermittlungen; Ausnahme: der Anbieter ist nach EU- oder Mitgliedstaatsrecht zur Verarbeitung verpflichtet und teilt Ihnen das vorher mit, soweit zulässig |
| Vertraulichkeit | Art. 28 Abs. 3 Buchst. b | Personen mit Zugriff zur Vertraulichkeit verpflichtet |
| Sicherheit der Verarbeitung | Art. 28 Abs. 3 Buchst. c, Art. 32 | Welche Maßnahmen, etwa Verschlüsselung, Wiederherstellung nach Zwischenfall, regelmäßige Überprüfung? |
| Unterauftragnehmer | Art. 28 Abs. 2, 4; Abs. 3 Buchst. d | Liste der Unterauftragnehmer; Genehmigung; Information über Änderungen mit Einspruchsrecht; dieselben Pflichten per Vertrag weitergegeben |
| Unterstützung bei Betroffenenrechten | Art. 28 Abs. 3 Buchst. e | Wie unterstützt der Anbieter bei Auskunft und Löschung? |
| Unterstützung bei Pflichten nach Art. 32 bis 36 | Art. 28 Abs. 3 Buchst. f | Meldung von Pannen, Folgenabschätzung |
| Löschung oder Rückgabe | Art. 28 Abs. 3 Buchst. g | Nach Ende der Leistung alle Daten nach Ihrer Wahl löschen oder zurückgeben und vorhandene Kopien löschen, außer bei gesetzlicher Speicherpflicht; Format und Frist festhalten |
| Nachweis und Kontrolle | Art. 28 Abs. 3 Buchst. h | Nachweise und Überprüfungen einschließlich Inspektionen möglich? |
| Verzeichnis | Art. 30 Abs. 1 Buchst. d und e | Empfänger und Drittländer im Verzeichnis der Verarbeitungstätigkeiten; Ausnahme für Betriebe unter 250 Beschäftigten nur unter den Bedingungen des Abs. 5 |
| Information der Betroffenen | Art. 13 Abs. 1 Buchst. e, f | Empfänger und beabsichtigte Drittlandübermittlung in der Datenschutzerklärung |
Anstelle eines eigenen Entwurfs können Sie die Standardvertragsklauseln der Kommission nutzen: Der Durchführungsbeschluss (EU) 2021/915 stellt klar, dass sie die Anforderungen des Art. 28 Abs. 3 und 4 erfüllen. Art. 28 Abs. 6 erlaubt, den Vertrag ganz oder teilweise auf Standardvertragsklauseln zu stützen.
Serverstandort und Drittländer
Die Drittlandregeln der DSGVO (Kapitel V) knüpfen nicht an den Standort des Servers, sondern an die Übermittlung personenbezogener Daten an Empfänger in einem Drittland (Art. 44 ff.). Der Europäische Datenschutzausschuss (EDSA) nennt in seinen Leitlinien 05/2021 drei Merkmale einer Übermittlung: Der Exporteur unterliegt für die Verarbeitung der DSGVO, er legt Daten einem anderen Verantwortlichen oder Auftragsverarbeiter offen, und dieser befindet sich in einem Drittland. Nach dem Beispiel 11 der Leitlinien ist auch der Fernzugriff eines Auftragsverarbeiters in einem Drittland auf in der EU gespeicherte Daten eine Übermittlung.
Für eine Übermittlung brauchen Sie eine Grundlage:
- Angemessenheitsbeschluss (Art. 45): Für die USA gilt der Durchführungsbeschluss (EU) 2023/1795 vom 10. Juli 2023; er betrifft nach Art. 1 nur Organisationen auf der Data Privacy Framework List des US-Handelsministeriums. Das Gericht der EU hat die Klage gegen den Beschluss am 3. September 2025 abgewiesen (T-553/23). Die Kommission überwacht den Beschluss fortlaufend und kann ihn aussetzen, ändern oder widerrufen (Art. 3 Abs. 5).
- Geeignete Garantien (Art. 46): Dazu zählen Standarddatenschutzklauseln der Kommission (Art. 46 Abs. 2 Buchst. c); der Durchführungsbeschluss (EU) 2021/914 stellt solche Klauseln für Übermittlungen an Empfänger bereit, deren Verarbeitung nicht der DSGVO unterliegt.
- Weitere Grundlagen, etwa verbindliche interne Datenschutzvorschriften (Art. 46 Abs. 2 Buchst. b, Art. 47), und die eng begrenzten Ausnahmen des Art. 49 kommen im Einzelfall in Betracht; ihre Voraussetzungen sind eng und im Einzelfall zu prüfen.
Der EDSA weist zudem darauf hin, dass bei einem Auftragsverarbeiter in der EU, der Rechtsvorschriften eines Drittlands unterliegt, nach Art. 28 Abs. 1 die Zuverlässigkeit in Zweifel stehen kann. Fragen Sie deshalb nach Konzernstruktur und Zugriffsmöglichkeiten von außerhalb der EU.
Bußgeldrahmen
Verstöße gegen die Pflichten nach den Artikeln 25 bis 39, darunter Art. 28, 30 und 32, können mit Geldbußen bis 10 Millionen Euro oder bei Unternehmen bis 2 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs geahndet werden, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 4 Buchst. a). Für Verstöße gegen die Regeln zur Drittlandübermittlung nach Art. 44 bis 49 liegt die Obergrenze bei 20 Millionen Euro oder 4 Prozent des weltweiten Vorjahresumsatzes, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 Buchst. c). Das sind Obergrenzen; die Höhe im Einzelfall richtet sich nach Art. 83 Abs. 2.
So gehen Sie vor
- Stellen Sie fest, welche personenbezogenen Daten im ERP liegen und wer darauf zugreift.
- Fordern Sie vom Anbieter den Vertrag nach Art. 28 Abs. 3 mit der Liste der Unterauftragnehmer an.
- Fragen Sie nach Sitz des Anbieters, Standorten der Verarbeitung und Fernzugriffen aus Drittländern.
- Halten Sie die Grundlage jeder Drittlandübermittlung schriftlich fest und prüfen Sie bei Angemessenheitsbeschlüssen den Eintrag des Anbieters.
- Ergänzen Sie Ihr Verzeichnis der Verarbeitungstätigkeiten und die Datenschutzerklärung.
Zur Betriebsfrage Cloud oder eigener Server siehe ERP in der Cloud oder auf eigenem Server. Zum Ausstieg und zur Rückgabe der Daten siehe ERP-Anbieter wechseln.