Auftragsverarbeitung vs. echte Kontrolle: Wer ist in der Cloud verantwortlich?

👉 Passende Compliance-Schulungen ansehen und ConformBase testen: https://conformbase.com/ Cloud-Dienste und DSGVO wirken oft wie eine einfache Auslagerung: Vertrag unterschreiben, EU-Region wählen, fertig. Dieses Video zeigt, wo die Verantwortung bleibt und welche Nachweise eine Cloud-Freigabe, ein Audit oder ein Anbieterwechsel tragen. Der Kunde bleibt regelmäßig für Zweck und Nutzung verantwortlich; der Anbieter hat eigene Pflichten. Wir verfolgen Datenströme statt Produktlabels: Kundendokumente, Support- und Betriebsdaten sowie die Kette aus SaaS-Anbieter, Subprozessoren und Hyperscaler. Die Auftragsverarbeitung bei SaaS-Anbietern wird ebenso eingeordnet wie die Frage nach einem direkten Vertrag mit dem Hyperscaler. Auch ein Drittlandtransfer trotz EU-Region kann durch Administration, Backups oder Telemetrie relevant werden. DPF, SCC und ergänzende Maßnahmen erfüllen unterschiedliche Funktionen; der Recherchestand vom 2. Oktober 2026 bleibt prüfbedürftig. Im Audit zählt deshalb nicht nur ein C5-Bericht: Entscheidend sind Verarbeitungskarte, Empfänger, Zugriff, Transferbasis, eigene Konfiguration, Vorfallkommunikation sowie Probeexport und Löschbeleg. Am Ende steht keine pauschale Freigabe, sondern eine begründete Wahl: freigeben, einschränken, Architektur wechseln oder den Vorgang anders lösen. Schreiben Sie in die Kommentare, welcher Nachweis in Ihrer Cloud-Kette zuerst fehlt, und abonnieren Sie ConformBase für quellenbasierte Einordnungen. Kapitel 00:00 Wer bleibt verantwortlich? 00:51 Der Vertrag verschiebt den Zweck nicht 01:59 Ein Dienst, mehrere Datenströme 04:10 EU-Region ist kein Freibrief 06:23 C5 ersetzt die Kundenseite nicht 08:26 Die klare Verantwortungsregel Quellen Verordnung (EU) 2016/679 – Datenschutz-Grundverordnung, konsolidierter Rechtstext: https://eur-lex.europa.eu/eli/reg/201... Guidelines 07/2020 on the concepts of controller and processor in the GDPR, Version 2.1, angenommen am 7. Juli 2021: https://www.edpb.europa.eu/system/fil... Application of the GDPR – Erläuterungen zu Verantwortlichen, Auftragsverarbeitern und Cloud-Diensten: https://commission.europa.eu/law/law-... New Standard Contractual Clauses – Questions and Answers overview: https://commission.europa.eu/law/law-... Standard contractual clauses for controllers and processors in the EU/EEA, angenommen am 4. Juni 2021: https://commission.europa.eu/publicat... Urteil vom 16. Juli 2020, Data Protection Commissioner v Facebook Ireland und Schrems, Rechtssache C-311/18: https://eur-lex.europa.eu/legal-conte... Recommendations 01/2020 on measures that supplement transfer tools, endgültige Fassung vom 18. Juni 2021: https://www.edpb.europa.eu/documents/... Durchführungsbeschluss (EU) 2023/1795 zum EU-US Data Privacy Framework, 10. Juli 2023: https://eur-lex.europa.eu/legal-conte... Urteil vom 3. September 2025, Latombe v Commission, Rechtssache T-553/23: https://eur-lex.europa.eu/legal-conte... Rechtsmittel C-703/25 P, Latombe v Commission, Verfahrensstand am 2. Oktober 2026: anhängig: https://eur-lex.europa.eu/legal-conte... EU Cloud Code of Conduct – freiwillige Verhaltensregel für B2B-Cloud-Dienste: https://www.edpb.europa.eu/system/fil... Orientierungshilfe Cloud Computing, Version 2.0 vom 9. Oktober 2014: https://www.bfdi.bund.de/SharedDocs/D... Auftragsverarbeitung – Anforderungen und Abgrenzung: https://lda.bayern.de/de/thema_auftra... FAQ zu Cloud-Diensten, Drittlandtransfers und Unterauftragsverarbeitern: https://www.lda.bayern.de/de/faq.html Kriterienkatalog Cloud Computing – C5:2020: https://www.bsi.bund.de/SharedDocs/Do... #DSGVO #CloudComputing #Auftragsverarbeitung #Subprozessoren #Drittlandtransfer Hinweise Transparenzhinweis: Dieses Video wurde mit Unterstützung KI-basierter Werkzeuge produziert und redaktionell geprüft. Die inhaltliche Verantwortung und finale Auswahl liegen bei ConformBase. Rechtlicher Hinweis: Dieses Video dient der allgemeinen Information und Weiterbildung. Es ersetzt keine Rechtsberatung oder Prüfung des konkreten Einzelfalls. Rechtslage und behördliche Praxis können sich ändern.