DSGVO und Cloud-Backup: worauf Nutzer in Deutschland achten sollten

Wer in Deutschland seine Daten in die Cloud sichert, kommt an der DSGVO nicht vorbei — aber keine Sorge, das ist weniger kompliziert, als es klingt. Die drei Dinge, auf die es wirklich ankommt: ein AV-Vertrag nach Art. 28 DSGVO mit Ihrem Anbieter, ein Serverstandort in der EU (am besten Deutschland) und das Wissen um Ihre Betroffenenrechte wie Auskunft und Löschung. Dieser Artikel erklärt die Zusammenhänge in normaler Sprache — als allgemeine Information, nicht als Rechtsberatung.

Gilt die DSGVO auch für mein privates Backup?

Die ehrliche Antwort lautet: Es kommt darauf an, wessen Daten in Ihrem Backup liegen. Die DSGVO kennt die sogenannte Haushaltsausnahme: Werden ausschließlich eigene, rein private Daten verarbeitet — Ihre Fotos, Ihre Dokumente, Ihr Tagebuch —, greift die DSGVO praktisch nicht. Ihr privates Foto-Backup ist also kein datenschutzrechtliches Minenfeld.

Sobald aber Daten anderer Personen ins Spiel kommen, wird es ernst: Kundenlisten von Selbstständigen, Mitarbeiterdaten im Homeoffice, Fotos von Freunden und Familie, die Sie teilen oder verarbeiten, Vereinsmitgliederlisten. Dann sind Sie — auch als Privatperson oder Kleinunternehmer — datenschutzrechtlich verantwortlich und müssen die Spielregeln einhalten. Gerade kleine Unternehmen unterschätzen das häufig: Das Backup der Firmenlaptops ist fast immer DSGVO-relevant.

Die gute Nachricht: Für Standardfälle ist das kein Hexenwerk. Die folgenden Abschnitte zeigen Ihnen genau, worauf es ankommt — Schritt für Schritt, ohne Juristendeutsch.

Der AV-Vertrag: das Herzstück

Der Auftragsverarbeitungsvertrag (AV-Vertrag) nach Art. 28 DSGVO ist das zentrale Dokument zwischen Ihnen und Ihrem Cloud-Anbieter. Die Logik dahinter: Wenn ein Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeitet — und genau das tut ein Backup-Anbieter —, muss schriftlich geregelt sein, was er darf und was nicht. Er darf die Daten nur nach Ihren Weisungen verarbeiten, muss sie schützen und am Vertragsende löschen oder zurückgeben.

Was in der Praxis zählt:

• Wo bekomme ich ihn? Seriöse Anbieter stellen den AV-Vertrag zum Download oder zur Online-Unterzeichnung bereit. Hetzner etwa bietet den Abschluss eines AV-Vertrags nach Art. 28 DSGVO online an; auch pCloud und die großen US-Anbieter haben Standard-AV-Verträge (dort meist „DPA" — Data Processing Addendum — genannt).
• Was muss drinstehen? Gegenstand und Dauer der Verarbeitung, Art und Zweck der Daten, Ihre Weisungsbefugnis, Vertraulichkeitsverpflichtungen, Unterstützung bei Betroffenenrechten, Löschung nach Vertragsende und die Regelung von Unterauftragnehmern.
• Unterauftragnehmer beachten: Cloud-Anbieter arbeiten oft mit Subdienstleistern. Der AV-Vertrag muss regeln, wer das sein darf und dass Sie bei neuen Unterauftragnehmern informiert werden und widersprechen können. Die Orientierungshilfe Cloud Computing der Datenschutzkonferenz betont genau diesen Punkt.

Praxis-Tipp: Laden Sie den AV-Vertrag herunter, bevor Sie das erste Backup starten, und heben Sie ihn ab. Kommt es je zu einer Prüfung oder Beschwerde, ist das unterschriebene Dokument Ihr wichtigster Nachweis. Ein Anbieter, der Ihnen keinen AV-Vertrag anbietet, ist für alles außer rein private Daten die falsche Wahl.

Serverstandort: warum „Made in Germany" zählt

Der Serverstandort entscheidet darüber, welches Datenschutzrecht faktisch greift und wie einfach Ihre Rechtsposition ist. Die Faustregel ist simpel:

• Deutschland: Die rechtlich sauberste Lösung. Deutsches und europäisches Recht gelten unmittelbar, deutsche Aufsichtsbehörden sind zuständig, und es gibt keine Drittlandtransfer-Probleme. Anbieter wie Hetzner betreiben ihre Rechenzentren in Falkenstein und Nürnberg — für datensensible Nutzer in Deutschland ein starkes Argument.
• EU/EWR: Rechtlich gleichwertig zu Deutschland, solange der Anbieter seinen Sitz in der EU hat und die Daten dort bleiben. pCloud etwa hat seinen Sitz in der Schweiz und bietet wählbare EU-Rechenzentren — prüfen Sie in den Einstellungen, wo Ihre Daten tatsächlich liegen.
• Drittland (z. B. USA): Hier wird es kompliziert — siehe nächster Abschnitt.

Prüfen Sie den Serverstandort nicht nur in der Werbung, sondern in der Datenschutzerklärung und den Vertragsbedingungen des Anbieters. „Europäische Rechenzentren" in der Marketingbroschüre nützt wenig, wenn in den Tiefen der AGB ein weltweites CDN oder US-Supportzugriff steht. Achten Sie auf Formulierungen zur Datenübermittlung und zum Zugriff von Konzernunternehmen.

US-Anbieter und Drittlandtransfers

Viele beliebte Backup-Dienste — Backblaze, Google Drive, Dropbox, OneDrive — sitzen in den USA oder verarbeiten Daten dort. Das ist nicht automatisch verboten, aber es erfordert zusätzliche Absicherung, weil die USA aus DSGVO-Sicht ein Drittland ohne Angemessenheitsbeschluss für alle Fälle sind.

Was Anbieter und Nutzer typischerweise vorweisen:

• Standardvertragsklauseln (SCC): Von der EU-Kommission vorgefertigte Vertragsklauseln, die der Anbieter in seinen AV-Vertrag einbaut. Sie sind der übliche Mechanismus für US-Transfers.
• EU-U.S. Data Privacy Framework: US-Unternehmen können sich zertifizieren lassen; das erleichtert Transfers, ersetzt aber nicht die eigene Prüfung.
• Transfer-Folgenabschätzung: Sie als Verantwortlicher müssen bewerten, ob das Schutzniveau im Drittland trotz der Klauseln ausreicht — und gegebenenfalls zusätzliche Maßnahmen ergreifen.

Und hier schließt sich der Kreis zu unserem Verschlüsselungs-Artikel: Echte Zero-Knowledge-Verschlüsselung ist eine der stärksten zusätzlichen Maßnahmen überhaupt. Wenn der Anbieter Ihre Inhalte technisch nicht lesen kann, läuft auch ein behördlicher Zugriff im Drittland praktisch ins Leere. Für sensible Daten bei US-Anbietern ist clientseitige Verschlüsselung daher fast schon Pflicht — entweder über ein Zero-Knowledge-Angebot des Anbieters oder über Tools wie Cryptomator vor dem Upload.

Die nüchterne Empfehlung: Wenn Sie die Wahl haben und Ihre Daten sensibel sind, nehmen Sie einen EU-Anbieter mit deutschem oder EU-Serverstandort. Das erspart Ihnen die gesamte Drittland-Debatte.

Ihre Betroffenenrechte in der Cloud

Die DSGVO gibt betroffenen Personen starke Rechte — und die gelten auch, wenn die Daten in einem Backup in der Cloud liegen:

• Auskunftsrecht (Art. 15): Sie müssen sagen können, welche Daten wo gespeichert sind — auch in Backups. Ein Anbieter mit unübersichtlicher Datenhaltung macht Ihnen das Leben schwer.
• Berichtigungsrecht (Art. 16): Falsche Daten müssen korrigiert werden — auch in der Cloud-Kopie, nicht nur im Original.
• Recht auf Löschung (Art. 17): Das ist der Knackpunkt bei Backups: „Löschen" muss auch die Backup-Kopien umfassen. Klären Sie mit dem Anbieter, wie Löschungen in Backups und versionierten Kopien umgesetzt werden und wie lange das dauert. Manche Anbieter löschen Backup-Versionen erst nach einer Haltefrist — das muss dokumentiert und begründet sein.
• Datenübertragbarkeit (Art. 20): Sie sollten Ihre Daten in einem gängigen Format wieder herausbekommen — Vendor-Lock-in ist auch ein Datenschutzproblem.
• Widerspruch und Einschränkung (Art. 18, 21): Müssen sich technisch umsetzen lassen.

Praxis-Folge: Testen Sie vor der Anbieterwahl, wie einfach Export und Löschung funktionieren. Ein Anbieter, bei dem Sie Ihre Daten nicht vollständig löschen können, ist ein DSGVO-Risiko — egal, wie günstig er ist.

Technische Maßnahmen: Ihre Seite der Pflicht

Die DSGVO verlangt „technische und organisatorische Maßnahmen" — und die Hälfte davon liegt bei Ihnen, nicht beim Anbieter:

1. Starke Authentifizierung: Zwei-Faktor-Authentifizierung überall aktivieren, einzigartige Passwörter via Passwort-Manager. Der häufigste Datenverlust beginnt mit einem geknackten Konto, nicht mit einem gehackten Rechenzentrum.
2. Verschlüsselung: Transportverschlüsselung (TLS) ist Standard; für sensible Daten zusätzlich clientseitige Verschlüsselung oder Zero-Knowledge.
3. Zugriffskontrolle: Wer in Ihrem Haushalt oder Team darf auf das Backup-Konto zugreifen? Weniger ist mehr.
4. Dokumentation: Halten Sie fest, welche Daten wo liegen, welcher AV-Vertrag gilt und wann Backups gelöscht werden. Das ist gleichzeitig Ihr Verzeichnis von Verarbeitungstätigkeiten im Kleinformat.
5. Regelmäßige Prüfung: Einmal im Jahr prüfen, ob AV-Vertrag, Serverstandort und Anbieter noch stimmen — Anbieter ändern AGB und Standorte leise.

Checkliste: DSGVO-fit in 30 Minuten

• [ ] AV-Vertrag nach Art. 28 DSGVO vom Anbieter heruntergeladen und abgelegt
• [ ] Serverstandort geprüft: Deutschland oder EU bestätigt (Datenschutzerklärung gelesen)
• [ ] Bei US-/Drittland-Anbietern: Transfer-Mechanismus (SCC, Zertifizierung) dokumentiert
• [ ] Für sensible Daten: clientseitige Verschlüsselung oder Zero-Knowledge aktiviert
• [ ] Zwei-Faktor-Authentifizierung im Backup-Konto aktiviert
• [ ] Löschkonzept geklärt: Wie und wie schnell werden Backup-Kopien gelöscht?
• [ ] Export getestet: Daten lassen sich vollständig und in gängigem Format herunterladen
• [ ] Dokumentiert: Was liegt wo, seit wann, mit welchem Vertrag?

Wer diese acht Punkte abhakt, ist für die allermeisten Standardfälle solide aufgestellt — ohne Anwalt, ohne Panik, in einer halben Stunde.

Häufige Fragen

Brauche ich als Privatperson wirklich einen AV-Vertrag?

Nur, wenn personenbezogene Daten anderer Personen in Ihrem Backup landen — etwa als Selbstständiger mit Kundendaten oder im Verein. Für das rein private Foto-Backup greift die Haushaltsausnahme der DSGVO. Im Zweifel schadet ein abgeschlossener AV-Vertrag nie.

Ist ein US-Anbieter automatisch DSGVO-widrig?

Nein. Entscheidend sind die Absicherung des Transfers (z. B. Standardvertragsklauseln, Zertifizierung) und zusätzliche Maßnahmen wie Verschlüsselung. Einfacher und risikoärmer ist aber meist ein Anbieter mit EU-Serverstandort.

Was passiert, wenn mein Anbieter keinen AV-Vertrag anbietet?

Dann ist er für alle Daten, die der DSGVO unterliegen, ungeeignet. Nutzen Sie ihn höchstens für rein private Daten im Sinne der Haushaltsausnahme — oder wechseln Sie zu einem Anbieter mit ordentlichem AV-Vertrag.

Muss ich meine Backup-Daten wirklich löschen können?

Ja — das Recht auf Löschung gilt auch für Backup-Kopien. In der Praxis akzeptieren Aufsichtsbehörden angemessene Fristen (z. B. Löschung aus rotierenden Backups innerhalb von 30 bis 90 Tagen), aber „geht technisch nicht" ist keine Antwort. Klären Sie das vor Vertragsabschluss.

Ersetzt Zero-Knowledge-Verschlüsselung den AV-Vertrag?

Nein. Auch bei Zero-Knowledge verarbeitet der Anbieter personenbezogene Daten (Kontodaten, Metadaten) — der AV-Vertrag bleibt nötig. Die Verschlüsselung ist aber eine starke zusätzliche Schutzmaßnahme, gerade bei Drittländern.

Wo finde ich die zuständige Aufsichtsbehörde?

Für Privatpersonen und Unternehmen ist die Datenschutzaufsichtsbehörde Ihres Bundeslandes zuständig. Eine Übersicht bietet der Bundesbeauftragte für den Datenschutz (BfDI). Bei konkreten Rechtsfragen wenden Sie sich an eine qualifizierte Rechtsberatung — dieser Artikel ist allgemeine Information, keine Rechtsberatung.

Quellen

• Konferenz der Datenschutzaufsichtsbehörden (DSK) — Orientierungshilfe Cloud Computing, Version 2.0 (2014), via BfDI (allgemeine Informationen, keine Rechtsberatung): https://www.bfdi.bund.de/SharedDocs/Downloads/DE/DSK/Orientierungshilfen/OHCloudComputing.pdf?__blob=publicationFile&v=5
• Hetzner Online GmbH — Storage Box Dokumentation, inkl. Angaben zu Rechenzentren und AV-Vertrag (Stand: geprüft September 2026): https://docs.hetzner.com/de/robot/storage-box/general

Alle Angaben Stand: geprüft September 2026. Allgemeine Informationen ohne Anspruch auf Vollständigkeit — keine Rechtsberatung.