FAQ: Cloud-Einsatz bei Versicherern und Banken

Die Fehler zeigen sich, sobald ein Dienstleister Zugang zu Ver­si­cher­ten­da­ten hat. Jeder lässt sich vorher abfangen.

Die Verpflichtung fehlt. Folge: Offenbart eine nicht verpflichtete mitwirkende Person unbefugt ein Geheimnis, wird auch der Versicherer bestraft, der nicht dafür Sorge getragen hat. Gegenmaßnahme: Die Verpflichtung liegt vor dem ersten Zugriff vor (Pra­xis­emp­feh­lung der Qvestcon).

Die Kette bleibt ungeprüft. Folge: Bedient sich die mitwirkende Person einer weiteren Person, ohne sie zur Geheimhaltung zu verpflichten, ist auch sie strafbar. Gegenmaßnahme: Der Vertrag verlangt den Nachweis der Verpflichtung für jede weitere Person (Pra­xis­emp­feh­lung der Qvestcon).

Der Zugriff reicht weiter als nötig. Geheimnisse dürfen an mitwirkende Personen weitergegeben werden, soweit dies für die Inan­spruch­nahme ihrer Tätigkeit erforderlich ist. Folge: Ein Zugriff über das Erforderliche hinaus fällt aus dieser Erlaubnis heraus. Gegenmaßnahme: ein Rechtekonzept je Rolle des Anbieters (Pra­xis­emp­feh­lung der Qvestcon).

Nur Gesund­heits­da­ten gelten als Geheimnis. Das Gesetz schützt ein fremdes Geheimnis, namentlich ein zum persönlichen Lebensbereich gehörendes Geheimnis oder ein Betriebs- oder Geschäfts­ge­heim­nis. Folge: Betriebs- und Geschäfts­ge­heim­nisse liegen ohne Schutzkonzept in der Cloud. Gegenmaßnahme: Die Daten­ar­ten­liste erfasst alle genannten Arten.

• StGB § 203 Abs. 1 Eingangssatz
• StGB § 203 Abs. 3 Satz 2
• StGB § 203 Abs. 4 Satz 2 Nr. 1
• StGB § 203 Abs. 4 Satz 2 Nr. 2

• #Cloud
• #Paragraph203
• #Berufs­ge­heim­nis
• #Versicherer

Antwort auf einer eigenen Seite öffnen

Ab dem 12. Januar 2027 dürfen Anbieter von Daten­ver­ar­bei­tungs­diens­ten für den Vollzug des Anbie­ter­wech­sels keine Wech­sel­ent­gelte mehr erheben. Bis dahin gelten ermäßigte Entgelte.

Bis zu diesem Tag dürfen die ermäßigten Wech­sel­ent­gelte die Kosten nicht übersteigen, die dem Anbieter im unmittelbaren Zusammenhang mit dem betreffenden Wechsel entstehen. Die Regeln des Data Act gelten seit dem 12. September 2025.

Prüfen und einplanen (Pra­xis­emp­feh­lung der Qvestcon): Der Vertrag nennt das Wech­sel­ent­gelt und seinen Rechengrund. Wer vor dem Stichtag wechselt, rechnet mit dem ermäßigten Entgelt und lässt sich die Kosten des Wechsels aufschlüsseln.

Für Dienste, bei denen die meisten zentralen Funktionen auf die spezifischen Bedürfnisse eines einzelnen Kunden zugeschnitten wurden, gelten die Ver­pflich­tun­gen aus Artikel 29 nicht.

• Data Act Art. 29 Abs. 1
• Data Act Art. 29 Abs. 2
• Data Act Art. 29 Abs. 3
• Data Act Art. 50 Abs. 2
• Data Act Art. 31 Abs. 1

• #Cloud
• #DataAct
• #Anbie­ter­wech­sel
• #Fristen

Antwort auf einer eigenen Seite öffnen

Seit dem 12. September 2025 gilt der Data Act. Für den Wechsel zu einem anderen Anbieter gelten diese Obergrenzen.

Die Kün­di­gungs­frist für die Einleitung des Wechsels darf zwei Monate nicht überschreiten. Der Wechsel erfolgt in keinem Fall später als nach Ablauf der verbindlichen Über­gangs­frist von höchstens 30 Kalendertagen ab Ablauf der Kün­di­gungs­frist. Für den Datenabruf gilt eine Mindestfrist von 30 Kalendertagen.

Ist ein Wechsel technisch undurch­führ­bar, teilt der Anbieter dies dem Kunden innerhalb von 14 Arbeitstagen nach der Beantragung mit, begründet es ordnungsgemäß und nennt einen alternativen Über­gangs­zeit­raum, der sieben Monate nicht überschreiten darf.

Anbieter dürfen keine vor­kom­mer­zi­el­len, gewerblichen, technischen, vertraglichen und orga­ni­sa­to­ri­schen Hindernisse aufzwingen und müssen solche Hindernisse beseitigen, wenn sie Kunden daran hindern, exportierbare Daten zu einem anderen Anbieter oder zu einer IKT-Infrastruktur in eigenen Räum­lich­kei­ten zu übertragen.

Pra­xis­emp­feh­lung der Qvestcon: die Stan­dard­ver­träge prüfen, die Fristen als Obergrenzen übernehmen, einen Exportweg mit Format beschreiben und die Entgeltlogik bis zum 12. Januar 2027 anpassen.

• Data Act Art. 50 Abs. 2
• Data Act Art. 25 Abs. 2 Buchst. d
• Data Act Art. 25 Abs. 2 Buchst. a
• Data Act Art. 25 Abs. 2 Buchst. g
• Data Act Art. 25 Abs. 4
• Data Act Art. 23 Satz 2
• Data Act Art. 23 Buchst. c
• Data Act Art. 29 Abs. 1

• #Cloud
• #DataAct
• #IKT­Dienst­leis­ter
• #Anbie­ter­wech­sel

Antwort auf einer eigenen Seite öffnen

Ein Cloud-Anbieter, der per­so­nen­be­zo­gene Daten im Auftrag verarbeitet, ist ein Auf­trags­ver­ar­bei­ter. Der Vertrag mit ihm folgt einem festen Aufbau.

Auswählen. Der Ver­ant­wort­li­che arbeitet nur mit Auf­trags­ver­ar­bei­tern, die hinreichend Garantien für geeignete technische und orga­ni­sa­to­ri­sche Maßnahmen bieten. Nachweis: die Prüfung der Garantien vor Ver­trags­schluss (Pra­xis­emp­feh­lung der Qvestcon).

Vereinbaren. Die Verarbeitung erfolgt auf der Grundlage eines Vertrags. Er verpflichtet den Anbieter, per­so­nen­be­zo­gene Daten nur auf dokumentierte Weisung zu verarbeiten, auch bei der Übermittlung an ein Drittland. Nach Abschluss der Leistung löscht oder gibt der Anbieter alle Daten nach Wahl des Ver­ant­wort­li­chen zurück. Er stellt alle Informationen zum Nachweis der Pflichten bereit und ermöglicht Überprüfungen ein­schließ­lich Inspektionen, die der Ver­ant­wort­li­che oder ein von ihm beauftragter Prüfer durchführt.

Genehmigen. Ein weiterer Auf­trags­ver­ar­bei­ter kommt nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung des Ver­ant­wort­li­chen zum Einsatz. Kommt er seinen Pflichten nicht nach, haftet der erste Auf­trags­ver­ar­bei­ter dem Ver­ant­wort­li­chen dafür.

Ordnen (Pra­xis­emp­feh­lung der Qvestcon): Eine Liste führt Anbieter, Unter­auf­trag­neh­mer, Standorte der Verarbeitung und Geneh­mi­gungs­stand zusammen.

• DSGVO Art. 28 Abs. 1
• DSGVO Art. 28 Abs. 2
• DSGVO Art. 28 Abs. 3 Satz 1
• DSGVO Art. 28 Abs. 3 Buchst. a (Weisung)
• DSGVO Art. 28 Abs. 3 Buchst. a (Drittland)
• DSGVO Art. 28 Abs. 3 Buchst. g (Löschung)
• DSGVO Art. 28 Abs. 3 Buchst. h (Nachweis)
• DSGVO Art. 28 Abs. 3 Buchst. h (Prüfer)
• DSGVO Art. 28 Abs. 4 Satz 2

• #Cloud
• #DSGVO
• #Auf­trags­ver­ar­bei­tung
• #Datenschutz

Antwort auf einer eigenen Seite öffnen

Die Übermittlung per­so­nen­be­zo­ge­ner Daten in ein Drittland ist nur zulässig, wenn Ver­ant­wort­li­cher und Auf­trags­ver­ar­bei­ter die Bedingungen des Kapitels über Dritt­land­über­mitt­lun­gen einhalten.

Der Anbieter steht nicht auf der Liste. Folge: Der Ange­mes­sen­heits­be­schluss gilt für Orga­ni­sa­tio­nen, die in der Data Privacy Framework List aufgeführt sind. Gegenmaßnahme: den Listeneintrag des Anbieters prüfen und mit Datum ablegen (Pra­xis­emp­feh­lung der Qvestcon).

Der Beschluss gilt als dauerhaft gesichert. Folge: Die Kommission kann den Beschluss aussetzen, ändern oder widerrufen, wenn ein angemessenes Schutzniveau nicht länger gewährleistet ist. Das Gericht der Europäischen Union hat die Klage dagegen am 3. September 2025 abgewiesen, am 31. Oktober 2025 wurde Rechtsmittel eingelegt. Gegenmaßnahme: für jede Übermittlung einen zweiten Weg vorbereiten (Pra­xis­emp­feh­lung der Qvestcon).

Der zweite Weg fehlt. Liegt kein Beschluss vor, übermittelt ein Ver­ant­wort­li­cher nur dann, wenn er geeignete Garantien vorgesehen hat und den betroffenen Personen durchsetzbare Rechte und wirksame Rechtsbehelfe zur Verfügung stehen. Gegenmaßnahme: Die geeigneten Garantien je Anbieter stehen vor der ersten Übermittlung im Vertrag (Pra­xis­emp­feh­lung der Qvestcon).

• DSGVO Art. 44 Satz 1
• Durch­füh­rungs­be­schluss (EU) 2023/1795, Art. 1
• Durch­füh­rungs­be­schluss (EU) 2023/1795, Art. 3 Abs. 5 Satz 1
• Durch­füh­rungs­be­schluss (EU) 2023/1795, Art. 3 Abs. 5 Satz 2
• EuG T-553/23, Tenor
• EuG T-553/23, Verkündung
• Rechtsmittel C-703/25 P, Bekannt­ma­chung ABl. C/2025/6610
• DSGVO Art. 46 Abs. 1

• #Cloud
• #DSGVO
• #Data­Pri­va­cy­Frame­work
• #Drittland

Antwort auf einer eigenen Seite öffnen

Zuständig ist das Leitungsorgan des Finanz­un­ter­neh­mens. Es definiert, genehmigt, überwacht und verantwortet die Umsetzung aller Vorkehrungen im Zusammenhang mit dem IKT-Risi­ko­ma­nage­ment­rah­men.

Vertragliche Ver­ein­ba­run­gen über IKT-Dienst­leis­tun­gen ändern daran nichts: Finanz­un­ter­neh­men bleiben jederzeit in vollem Umfang für die Einhaltung und Erfüllung aller Ver­pflich­tun­gen ver­ant­wort­lich. Bei kritischen oder wichtigen Funktionen überprüft das Leitungsorgan regelmäßig die Risiken aus diesen Verträgen. Die Verantwortung bleibt beim Finanz­un­ter­neh­men.

Das Leitungsorgan richtet Meldekanäle ein, die es ihm ermöglichen, ordnungsgemäß informiert zu werden.

Eska­la­ti­ons­weg (Pra­xis­emp­feh­lung der Qvestcon): Ein Mangel beim Cloud-Anbieter geht vom Fachbereich an die Über­wa­chungs­funk­tion, von dort an das zuständige Mitglied der Geschäfts­lei­tung und bei kritischen Funktionen an das gesamte Leitungsorgan. Die Meldung enthält Dienst, Mangel, Frist und Gegenmaßnahme.

• DORA Art. 5 Abs. 2 Unterabs. 1
• DORA Art. 28 Abs. 1 Buchst. a
• DORA Art. 28 Abs. 2 letzter Satz
• DORA Art. 5 Abs. 2 Buchst. i, Meldekanäle

• #Cloud
• #DORA
• #Governance
• #Organhaftung

Antwort auf einer eigenen Seite öffnen

Die Verantwortung bleibt bei den Geschäfts­lei­tern. Eine Auslagerung darf nicht zu einer Übertragung ihrer Verantwortung an das Aus­la­ge­rungs­un­ter­neh­men führen. Für die Einhaltung der gesetzlichen Bestimmungen bleibt die Bank ver­ant­wort­lich.

Verstehen. Die Geschäfts­lei­ter müssen in ihrer Gesamtheit über Kenntnisse, Fähigkeiten und Erfahrungen verfügen, die zum Verständnis der Tätigkeiten ein­schließ­lich der Hauptrisiken notwendig sind. Eine Cloud-Unterweisung der Geschäfts­lei­tung mit Protokoll belegt das (Pra­xis­emp­feh­lung der Qvestcon).

Genehmigen. Das Leitungsorgan trägt die Gesamt­ver­ant­wor­tung für die Festlegung und Genehmigung der Strategie für die digitale operationale Resilienz. Die Cloud-Entscheidung liegt als Beschluss­vor­lage mit Risikoanalyse vor (Pra­xis­emp­feh­lung der Qvestcon).

Überprüfen. Bei kritischen oder wichtigen Funktionen überprüft das Leitungsorgan regelmäßig die Risiken aus den Verträgen. Ein Bericht der Über­wa­chungs­funk­tion mit Ampelstatus je Dienst bildet die Grundlage (Pra­xis­emp­feh­lung der Qvestcon).

• KWG § 25b Abs. 2 Satz 1
• KWG § 25b Abs. 2 Satz 2
• KWG § 25c Abs. 1a
• DORA Art. 5 Abs. 2 Buchst. d
• DORA Art. 28 Abs. 2 letzter Satz

• #Cloud
• #KWG
• #Auslagerung
• #Organhaftung
• #DORA

Antwort auf einer eigenen Seite öffnen

Ein Versicherer, der Funktionen oder Ver­si­che­rungs­tä­tig­kei­ten ausgliedert, bleibt für die Erfüllung aller auf­sichts­recht­li­chen Vorschriften und Anforderungen ver­ant­wort­lich.

Sichern. Der Versicherer sichert sich die erfor­der­li­chen Auskunfts- und Wei­sungs­rechte vertraglich und bezieht die aus­ge­glie­der­ten Funktionen in sein Risi­ko­ma­nage­ment ein. Der Cloud-Vertrag stellt sicher, dass das Unternehmen selbst, seine Abschluss­prü­fer und die Auf­sichts­be­hörde auf alle Daten zugreifen können. Nachweis: die Klauseln im Vertrag (Pra­xis­emp­feh­lung der Qvestcon).

Überprüfen. Der Vorstand sorgt dafür, dass die Geschäfts­or­ga­ni­sa­tion regelmäßig intern überprüft wird. Die Leitlinien machen, soweit relevant, Vorgaben zur Ausgliederung von Funktionen und Tätigkeiten und sind mindestens einmal jährlich zu überprüfen.

Eignen. Personen, die ein Ver­si­che­rungs­un­ter­neh­men tatsächlich leiten, müssen zuverlässig und fachlich geeignet sein, und das Risi­ko­ma­nage­ment­sys­tem muss wirksam sein. Pra­xis­emp­feh­lung der Qvestcon: Die Cloud-Strategie steht als fester Punkt in der Vor­stands­pla­nung, und die Aus­glie­de­rungs­be­auf­tragte oder der Aus­glie­de­rungs­be­auf­tragte berichtet an den Vorstand.

• VAG § 32 Abs. 1
• VAG § 32 Abs. 2 Satz 2 Nr. 1
• VAG § 32 Abs. 4 Satz 1
• VAG § 23 Abs. 2
• VAG § 23 Abs. 3 Satz 2
• VAG § 23 Abs. 3 Satz 3
• VAG § 24 Abs. 1 Satz 1
• VAG § 26 Abs. 1 Satz 1

• #Cloud
• #VAG
• #Ausgliederung
• #Organhaftung
• #Versicherer

Antwort auf einer eigenen Seite öffnen

Organ­mit­glie­der haften gegenüber dem eigenen Unternehmen. Vor­stands­mit­glie­der, die ihre Pflichten verletzen, sind dem Unternehmen als Gesamt­schuld­ner zum Ersatz des daraus entstehenden Schadens verpflichtet, und Geschäfts­füh­rer, welche ihre Oblie­gen­hei­ten verletzen, haften dem Unternehmen solidarisch für den entstandenen Schaden.

Die Entscheidung fällt ohne angemessene Information. Eine Pflicht­ver­let­zung liegt nur nicht vor, wenn das Vor­stands­mit­glied ver­nünf­ti­ger­weise annehmen durfte, auf der Grundlage angemessener Information zum Wohle des Unternehmens zu handeln. Gegenmaßnahme: eine Ent­schei­dungs­vor­lage mit Risikoanalyse, Alternativen und Ausstieg (Pra­xis­emp­feh­lung der Qvestcon).

Der Nachweis fehlt. Ist streitig, ob Vor­stands­mit­glie­der die Sorgfalt eines ordentlichen und gewis­sen­haf­ten Geschäfts­lei­ters angewandt haben, trifft sie die Beweislast. Gegenmaßnahme: Protokolle, Berichte und Prüfvermerke je Cloud-Entscheidung ablegen (Pra­xis­emp­feh­lung der Qvestcon).

Die Überwachung fehlt. Der Vorstand hat ein Über­wa­chungs­sys­tem einzurichten, damit den Fortbestand gefährdende Entwicklungen früh erkannt werden. Dem Vorstand eines bör­sen­no­tier­ten Unternehmens obliegt ein weiterer Schritt: ein angemessenes und wirksames internes Kon­troll­sys­tem und Risi­ko­ma­nage­ment­sys­tem. Gegenmaßnahme: Das Über­wa­chungs­sys­tem für Cloud-Dienste hat feste Berichtswege an die Geschäfts­lei­tung (Pra­xis­emp­feh­lung der Qvestcon).

• AktG § 93 Abs. 2 Satz 1
• GmbHG § 43 Abs. 2
• AktG § 93 Abs. 1 Satz 2
• AktG § 93 Abs. 2 Satz 2
• AktG § 91 Abs. 2
• AktG § 91 Abs. 3

• #Cloud
• #Organhaftung
• #Governance
• #Sorg­falts­pflicht

Antwort auf einer eigenen Seite öffnen