Digitalisierung & Datenschutz
Cloud-Software und Datenschutz: Was KMU vor dem Wechsel in die Cloud prüfen müssen
Buchhaltung, Lohn und Warenwirtschaft wandern in die Cloud. Viele Inhaber zögern trotzdem, weil sie unsicher sind, ob ihre Daten dort sicher und rechtskonform liegen. Dieser Artikel erklärt, was die DSGVO bei Cloud-Software verlangt, welche Rolle der Auftragsverarbeitungsvertrag spielt und mit welcher Checkliste Sie Anbieter prüfen.
- Lesezeit
- 9 Min.
Inhalt
Das Wichtigste in Kürze
- Verbreitung: 2025 nutzten 54 % der Unternehmen mit mindestens zehn Beschäftigten kostenpflichtige Cloud-Dienste, darunter 23 % ERP-Software aus der Cloud (Destatis).
- Pflicht: Wer personenbezogene Daten in der Cloud verarbeiten lässt, braucht einen Vertrag nach Art. 28 DSGVO (Auftragsverarbeitungsvertrag, AVV).
- Inhalt: Der AVV regelt unter anderem Weisungsbindung, Vertraulichkeit, technische Schutzmaßnahmen, Unterauftragnehmer sowie Löschung oder Rückgabe der Daten.
- Standort: Anbieter nennen unterschiedliche Standorte, etwa Deutschland (weclapp, Sage 100 Cloud) oder EU (Personio).
Die Cloud ist im Mittelstand angekommen
Nach Destatis nutzten 2025 54 % der Unternehmen mit mindestens zehn Beschäftigten kostenpflichtige Cloud-Dienste. Bei kleinen Unternehmen waren es 51 %, bei mittleren 65 % und bei großen 86 %. [32] Am häufigsten genutzt werden E-Mail (76 % der Cloud-Nutzer), Datenspeicherung (71 %) und Office-Anwendungen (68 %). ERP- und CRM-Software aus der Cloud nutzen jeweils 23 %. [32]
Cloud-Dienst | Anteil der Cloud-nutzenden Unternehmen 2025 |
|---|---|
76 % | |
Datenspeicherung | 71 % |
Office-Anwendungen | 68 % |
ERP-Software | 23 % |
CRM-Software | 23 % |
Quelle: [32]. Weitere Werte im Marktdaten-Dashboard.
Was die DSGVO verlangt
Wenn ein Cloud-Anbieter in Ihrem Auftrag personenbezogene Daten verarbeitet, etwa Kundenadressen, Lohndaten oder Kontaktdaten, ist er Auftragsverarbeiter. Art. 28 DSGVO verlangt, dass Sie nur Auftragsverarbeiter einsetzen, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Die Verarbeitung erfolgt auf Grundlage eines Vertrags. [26]
Pflichtinhalte des Auftragsverarbeitungsvertrags
Inhalt nach Art. 28 Abs. 3 DSGVO | Was das praktisch heißt |
|---|---|
Gegenstand, Dauer, Art und Zweck, Datenarten, betroffene Personen | Es ist klar beschrieben, welche Daten wofür verarbeitet werden |
Verarbeitung nur auf dokumentierte Weisung | Der Anbieter nutzt Ihre Daten nicht für eigene Zwecke |
Vertraulichkeit der eingesetzten Personen | Mitarbeitende des Anbieters sind zur Verschwiegenheit verpflichtet |
Sicherheit der Verarbeitung (Art. 32) | Verschlüsselung, Zugriffsschutz, Backups |
Unterauftragnehmer nur mit Genehmigung | Sie wissen, welche weiteren Dienstleister beteiligt sind |
Unterstützung bei Betroffenenrechten und Meldepflichten | Hilfe bei Auskunftsersuchen oder Datenpannen |
Löschung oder Rückgabe nach Vertragsende | Sie bekommen Ihre Daten zurück, der Anbieter löscht sie |
Nachweise und Überprüfungen | Sie können Informationen anfordern und Kontrollen ermöglichen |
Quelle: [26], vereinfachte Zusammenfassung.
Was Anbieter zum Standort sagen
Anbieter | Angabe zum Datenstandort laut Anbieter |
|---|---|
weclapp | ausschließlich in Deutschland, mehrere Rechenzentren [16] |
Sage 100 (Cloud) | deutsche Rechenzentren [13] |
Personio | in der EU gehostet [17] |
Fehlt eine Angabe auf der Produktseite, fragen Sie vor Vertragsschluss nach Standort, Unterauftragnehmern und AVV.
Checkliste vor dem Wechsel in die Cloud
- Daten bestimmen: Welche personenbezogenen Daten liegen künftig beim Anbieter?
- AVV anfordern: Liegt ein Vertrag nach Art. 28 DSGVO vor, und ist er vollständig?
- Standort klären: Wo stehen Server und Backups, gibt es Übermittlungen außerhalb der EU?
- Unterauftragnehmer prüfen: Liste anfordern und Änderungsmechanismus verstehen.
- Sicherheit hinterfragen: Zwei-Faktor-Anmeldung, Rollen und Rechte, Protokollierung.
- Ausstieg planen: Export der Daten in gängigen Formaten und Löschbestätigung.
- Dokumentieren: Verarbeitung in das Verzeichnis der Verarbeitungstätigkeiten aufnehmen.
Software im Überblick
Passende Software
Sage 100: Modulares ERP, das laut Anbieter lokal oder in der Cloud mit deutschen Rechenzentren betrieben werden kann.
Fazit
Cloud-Software ist für kleine und mittlere Unternehmen längst Normalität. Rechtssicher wird sie mit einem vollständigen Auftragsverarbeitungsvertrag, klaren Angaben zu Standort und Unterauftragnehmern und einem geplanten Ausstieg. Wer diese Punkte vor dem Vertragsschluss prüft, nutzt die Vorteile der Cloud ohne Datenschutzrisiko aus Unwissen.
Häufige Fragen
Ist ein Serverstandort in Deutschland Pflicht?
Die DSGVO schreibt keinen deutschen Standort vor. Innerhalb der EU gelten dieselben Regeln. Für Übermittlungen in Drittländer gelten zusätzliche Anforderungen. Ein Standort in Deutschland oder der EU vereinfacht die Prüfung.
Reicht es, die AGB des Anbieters zu akzeptieren?
Der Vertrag zur Auftragsverarbeitung muss die in Art. 28 Abs. 3 DSGVO genannten Punkte enthalten. Viele Anbieter stellen einen eigenen AVV bereit. Prüfen Sie, ob er vorliegt und abgeschlossen ist.
Wer ist verantwortlich, wenn beim Anbieter etwas passiert?
Sie bleiben als Auftraggeber Verantwortlicher im Sinne der DSGVO. Deshalb verlangt Art. 28, nur Anbieter mit hinreichenden Garantien für geeignete technische und organisatorische Maßnahmen einzusetzen.
Quellen
- Sage GmbH: „Sage 100: ERP-Software (Produkt- und Preisseite)“. https://www.sage.com/de-de/produkte/sage-100/
- weclapp SE: „Preise und Funktionen von weclapp“. https://www.weclapp.com/de/preise/
- Personio SE & Co. KG: „Pläne und Preise“. https://www.personio.de/plaene/
- Amt für Veröffentlichungen der EU (EUR-Lex): „Verordnung (EU) 2016/679 (DSGVO), Art. 28 Auftragsverarbeiter“. https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679
- Statistisches Bundesamt (Destatis): „Pressemitteilung Nr. 416: Jedes zweite Unternehmen nutzt kostenpflichtige Cloud-Services (24.11.2025)“. https://www.destatis.de/DE/Presse/Pressemitteilungen/2025/11/PD25_416_52911.html
Autor
Geschäftsführer, PSG GmbH
Patrick Seifert verantwortet die Inhalte von Kontorkompass. Jeder Beitrag stützt sich auf die oben genannten Quellen. So arbeiten wir
LinkedInDas könnte Sie auch interessieren
Magazin · 9 Min. Lesezeit
Raus aus der Kleinunternehmerregelung: Was sich beim Wachstum ändert und wie Sie sich vorbereiten
Mehr als 25.000 € im Vorjahr oder 100.000 € im laufenden Jahr: Was der Wechsel zur Regelbesteuerung für Rechnungen, Voranmeldung und Software bedeutet.
Weiterlesen →
Magazin · 9 Min. Lesezeit
Bürokratie im Mittelstand: Was sie kostet und wo Software tatsächlich Zeit spart
Bis zu 146 Mrd. € Wirtschaftsleistung gehen laut ifo jährlich durch Bürokratie verloren. Wo kleine Betriebe die Last spüren und welche Pflichten sich digital erledigen lassen.
Weiterlesen →
Magazin · 9 Min. Lesezeit
Zusammenarbeit mit dem Steuerbüro: Wie Sie Pendelordner, Rückfragen und Fristdruck abschaffen
Pendelordner, Rückfragen, knappe Fristen: Wie Unternehmen und Steuerbüro digital zusammenarbeiten, was ein DATEV-Export bringt und welche Software ihn bietet.
Weiterlesen →Wichtige Fristen nicht verpassen.
Neue Ratgeber und Änderungen bei Pflichten, einmal im Monat.