---
adresse: "https://qvestcon.com/dora-experte-markus-junge/markus-junge-sichert-unternehmen-den-cloud-vertrag_261bddd8/"
titel: "Markus Junge: sichert unternehmen den cloud"
beschreibung: "Ein Cloud-Anbieter, der personenbezogene Daten im Auftrag verarbeitet, ist ein Auftragsverarbeiter. Der Vertrag…"
sprache: "de-DE"
stand: "2026-10-11"
---

FAQ · Cloud-Einsatz bei Versicherern und Banken

# Wie sichert ein Unternehmen den Cloud-Vertrag daten­schutz­recht­lich ab, ohne die Datenschutz-Grund­ver­ord­nung zu lesen?

Freigegebene Antwort von Qvestcon mit Fundstellen.

## Antwort

Ein Cloud-Anbieter, der per­so­nen­be­zo­gene Daten im Auftrag verarbeitet, ist ein Auf­trags­ver­ar­bei­ter. Der Vertrag mit ihm folgt einem festen Aufbau.

Auswählen. Der Ver­ant­wort­li­che arbeitet nur mit Auf­trags­ver­ar­bei­tern, die hinreichend Garantien für geeignete technische und orga­ni­sa­to­ri­sche Maßnahmen bieten. Nachweis: die Prüfung der Garantien vor Ver­trags­schluss (Pra­xis­emp­feh­lung der Qvestcon).

Vereinbaren. Die Verarbeitung erfolgt auf der Grundlage eines Vertrags. Er verpflichtet den Anbieter, per­so­nen­be­zo­gene Daten nur auf dokumentierte Weisung zu verarbeiten, auch bei der Übermittlung an ein Drittland. Nach Abschluss der Leistung löscht oder gibt der Anbieter alle Daten nach Wahl des Ver­ant­wort­li­chen zurück. Er stellt alle Informationen zum Nachweis der Pflichten bereit und ermöglicht Überprüfungen ein­schließ­lich Inspektionen, die der Ver­ant­wort­li­che oder ein von ihm beauftragter Prüfer durchführt.

Genehmigen. Ein weiterer Auf­trags­ver­ar­bei­ter kommt nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung des Ver­ant­wort­li­chen zum Einsatz. Kommt er seinen Pflichten nicht nach, haftet der erste Auf­trags­ver­ar­bei­ter dem Ver­ant­wort­li­chen dafür.

Ordnen (Pra­xis­emp­feh­lung der Qvestcon): Eine Liste führt Anbieter, Unter­auf­trag­neh­mer, Standorte der Verarbeitung und Geneh­mi­gungs­stand zusammen.

## Belege

- [DSGVO Art. 28 Abs. 1](https://publications.europa.eu/resource/celex/32016R0679)
- [DSGVO Art. 28 Abs. 2](https://publications.europa.eu/resource/celex/32016R0679)
- [DSGVO Art. 28 Abs. 3 Satz 1](https://publications.europa.eu/resource/celex/32016R0679)
- [DSGVO Art. 28 Abs. 3 Buchst. a (Weisung)](https://publications.europa.eu/resource/celex/32016R0679)
- [DSGVO Art. 28 Abs. 3 Buchst. a (Drittland)](https://publications.europa.eu/resource/celex/32016R0679)
- [DSGVO Art. 28 Abs. 3 Buchst. g (Löschung)](https://publications.europa.eu/resource/celex/32016R0679)
- [DSGVO Art. 28 Abs. 3 Buchst. h (Nachweis)](https://publications.europa.eu/resource/celex/32016R0679)
- [DSGVO Art. 28 Abs. 3 Buchst. h (Prüfer)](https://publications.europa.eu/resource/celex/32016R0679)
- [DSGVO Art. 28 Abs. 4 Satz 2](https://publications.europa.eu/resource/celex/32016R0679)

- [#Cloud](https://qvestcon.com/stichwoerter/c/#cloud)
- [#DSGVO](https://qvestcon.com/stichwoerter/d/#dsgvo)
- [#Auf­trags­ver­ar­bei­tung](https://qvestcon.com/stichwoerter/a/#auftragsverarbeitung)
- [#Datenschutz](https://qvestcon.com/stichwoerter/d/#datenschutz)

## Weiterlesen

[Alle Fragen zu Cloud-Einsatz bei Versicherern und Banken](https://qvestcon.com/faq/cloud-einsatz/) [Alle Rubriken der FAQ](https://qvestcon.com/faq/)