Wie ich Cloud-Speicher wie Dropbox rechtssicher für Kundendaten nutze

Es war einer dieser Abende Mitte November, an denen der Leipziger Nebel so dicht vor dem Fenster hing, dass man die Straßenlaternen nur noch erahnen konnte. Ich saß an meinem Schreibtisch, die dritte Tasse kalten Kaffees neben mir, und wollte eigentlich nur schnell den Textentwurf für ein neues Projekt hochladen. Klick, Drag-and-Drop, fertig. Doch genau in dem Moment, als der kleine blaue Balken bei Dropbox den Upload bestätigte, schoss es mir durch den Kopf: Darf ich das überhaupt? Ich speichere hier gerade sensible Interview-Transkripte eines Kunden – und ich habe absolut keine Ahnung, ob das rechtlich okay ist. Das leise Summen meines Laptops in der stillen Wohnung fühlte sich plötzlich wie ein drohendes Warnsignal an, während ich nervös auf die Bestätigungsmail des Cloud-Anbieters wartete, die mir eigentlich nur sagen sollte, dass der Upload fertig war. Aber was ich wirklich brauchte, war eine Bestätigung, dass ich nicht mit einem Bein im Gefängnis stehe.

Mitte November: Die Erkenntnis, dass 'einfach nutzen' keine Option ist

An diesem Abend fing ich an zu graben. Ich wusste vage, dass es so etwas wie die Datenschutz-Grundverordnung (DSGVO) gibt, aber bis dahin war das für mich wie die Packungsbeilage einer Kopfschmerztablette: Man weiß, dass sie wichtig ist, aber man liest sie erst, wenn es richtig weh tut. Ich realisierte, dass ich als Freelancerin eine enorme Verantwortung trage. Wenn ich Kundendaten – und dazu gehören schon Namen oder E-Mail-Adressen in Dokumenten – auf fremden Servern speichere, betreibe ich 'Auftragsverarbeitung'.

Ich fühlte mich schlagartig wie bei meinem ersten Besuch im Finanzamt: völlig überfordert von Begriffen, die klingen, als hätte sie jemand erfunden, der Spaß an komplizierten Schachtelsätzen hat. Besonders der Art. 28 DSGVO wurde mein neuer Endgegner. Dieser Artikel besagt nämlich, dass ich einen schriftlichen Vertrag mit meinem Cloud-Anbieter brauche, wenn ich dessen Dienste für personenbezogene Daten nutze. Ohne diesen Auftragsverarbeitungsvertrag (kurz AV-Vertrag) ist die Nutzung schlichtweg rechtswidrig. Ich schaute auf meinen kostenlosen Dropbox Basic Account mit seinen 2 GB Speicherplatz und fragte mich, ob so ein Weltkonzern überhaupt weiß, dass ich existiere – geschweige denn, mir einen Vertrag unterschreibt.

Das peinliche Eingeständnis vor mir selbst an diesem Abend war hart: Ich hatte Datenschutz bisher nur als lästige Checkliste gesehen, die ich irgendwie abhaken muss, statt als echten Kundenservice. Dabei ist es doch genau das: Ein Versprechen an meine Kunden, dass ihre Informationen bei mir in guten Händen sind. Es ist wie beim Bäcker: Ich erwarte ja auch, dass er seine Backstube sauber hält, nicht nur, weil das Gesundheitsamt kommt, sondern weil er mich nicht vergiften will.

Kurz vor dem Jahreswechsel: Der Mythos vom EU-Server und der US Cloud Act

In den Wochen vor Weihnachten verbrachte ich mehr Zeit in den FAQ-Bereichen von Google und Dropbox als auf meiner eigenen Website. Ich dachte erst: 'Hey, Google Drive bietet mir 15 GB Speicherplatz und sie sagen, sie haben Server in Frankfurt – dann ist ja alles paletti!' Aber das war der Moment, in dem ich lernte, dass 'Server in der EU' nur die halbe Miete ist.

Hier kommt nämlich der US Cloud Act ins Spiel. Auch wenn die Daten physisch in Frankfurt oder Dublin liegen, können US-Behörden theoretisch Zugriff darauf verlangen, weil das Unternehmen seinen Hauptsitz in den USA hat. Das war der Punkt, an dem ich fast das Handtuch geworfen hätte. Es fühlte sich an wie eine Behörden-Odysee, bei der man an Schalter A gesagt bekommt, man brauche Formular B, aber Schalter B behauptet, Formular B existiere gar nicht.

Ich lernte jedoch, dass es das EU-U.S. Data Privacy Framework gibt. Das ist eine Art Abkommen, das den Datentransfer in die USA wieder auf eine solidere Basis stellt, sofern die Unternehmen dort zertifiziert sind. Aber – und das ist das große Aber, das ich fast übersehen hätte – auch mit dieser Zertifizierung brauche ich immer noch diesen verflixten AV-Vertrag nach Art. 28. Man kommt einfach nicht drumherum. Es ist wie beim Auto: Nur weil der Hersteller sagt, es sei sicher, muss ich trotzdem angeschnallt sein und einen Führerschein haben. In dieser Zeit habe ich auch viel darüber nachgedacht, wie ich meine gesamte digitale Präsenz absichere, und mich zum Beispiel gefragt, wie ich KI Tools wie ChatGPT rechtssicher nutzen kann, ohne meine Sorgfaltspflicht zu verletzen.

Nach etwa drei Monaten: Der dsgvo-schritt-generator als Rettungsanker

Im Februar war ich an einem Punkt, an dem ich vor lauter Paragrafen den Wald nicht mehr sah. Ich hatte Angst, überhaupt noch Dokumente zu speichern. Dann stieß ich auf den dsgvo-schritt-generator. Ehrlich gesagt, ich war skeptisch. Ich dachte, das sei wieder so ein Tool, das mir am Ende nur sagt: 'Frag einen Anwalt'. Aber das Gegenteil war der Fall.

Der Generator hat mich an die Hand genommen, fast wie eine geduldige Freundin, die einem beim Ausfüllen der Steuererklärung hilft. Er hat mir geholfen, die Cloud-Nutzung endlich systematisch in mein Verzeichnis von Verarbeitungstätigkeiten (VVT) aufzunehmen. Das VVT ist im Grunde das Tagebuch meiner Datenverarbeitung – dort steht drin, wer was warum wo speichert.

Ich musste dort eintragen, welche Cloud-Dienste ich nutze und wie ich die Daten schütze (z. B. durch Zwei-Faktor-Authentifizierung). Das war ein echter 'Aha-Moment'. Ich merkte, dass Ordnung im Datenschutz auch Ordnung im Kopf schafft. Es war das erste Mal, dass ich das Gefühl hatte, die Kontrolle zurückzugewinnen. Ich bin natürlich keine Juristin – das möchte ich hier ganz klar betonen – und wenn ihr unsicher seid, solltet ihr immer jemanden fragen, der das studiert hat oder euch an den Datenschutzbeauftragten eurer Stadt wenden. Aber für mich als Einzelkämpferin war dieser strukturierte Ansatz Gold wert. In dieser Zeit habe ich auch gelernt, wie wichtig es ist, Rechtstexte auf der Website aktuell zu halten, ohne jede Woche manuell alles prüfen zu müssen.

An einem verregneten Vormittag im März: Der Klick, der alles änderte

Es war ein Dienstag im März, draußen peitschte der Regen gegen die Scheiben, und ich hatte mir fest vorgenommen: Heute mache ich den Sack zu. Ich loggte mich in meine Cloud-Accounts ein, um nach den AV-Verträgen zu suchen. Und siehe da: Was ich monatelang für eine unlösbare Aufgabe hielt, war oft nur ein Klick in den Kontoeinstellungen.

Bei vielen großen Anbietern wie Dropbox oder Google muss man den AV-Vertrag nicht mit der Post schicken oder mühsam verhandeln. Man muss ihn oft einfach nur online 'akzeptieren'. Es ist fast ein bisschen lächerlich, wie lange ich das vor mir hergeschoben habe, nur weil ich dachte, es sei komplizierter. Ich suchte in den Einstellungen unter 'Datenschutz' oder 'Abrechnung' (ja, manchmal verstecken sie es dort) nach dem 'Data Processing Addendum' oder eben dem Auftragsverarbeitungsvertrag.

Als ich schließlich die Bestätigung hatte, dass der Vertrag aktiviert war, fiel eine riesige Last von mir ab. Es war dieses beruhigende Gefühl, wenn das grüne Häkchen im Generator erscheint. Ich konnte meinen Kunden nun ehrlich sagen: 'Eure Daten sind bei mir sicher, ich habe die Verträge und die Dokumentation im Griff.' Es fühlte sich an wie der Moment, in dem man nach einem langen Behördengang endlich den Stempel auf dem Dokument bekommt, den man so dringend gebraucht hat.

Dieser Prozess hat mir auch gezeigt, wie wichtig es ist, von Anfang an auf die richtigen Details zu achten. Das war damals ganz ähnlich, als ich mich mit der Namensfindung für meine Seite beschäftigt habe und froh war, dass ich meinen Domain Namen rechtlich prüfen konnte, ohne vorher ein halbes Jura-Studium absolvieren zu müssen. Es sind diese kleinen Schritte, die uns Solopreneure davor bewahren, vor der Bürokratie zu kapitulieren.

Warum sich der Kampf durch den Cloud-Dschungel lohnt

Heute nutze ich Dropbox mit einem ganz anderen Gefühl. Ich weiß genau, welche Ordner dort liegen, ich habe die Zwei-Faktor-Authentifizierung aktiviert und der AV-Vertrag ist rechtssicher in meinen Unterlagen abgelegt. Datenschutz ist für mich kein 'Angst-Thema' mehr, sondern ein Qualitätsmerkmal meiner Arbeit als Texterin.

Wenn ihr selbst an dem Punkt seid, an dem ihr Cloud-Speicher nutzt: Habt keine Angst vor dem Kleingedruckten. Sucht nach dem AV-Vertrag in euren Einstellungen, nutzt Tools, die euch Struktur geben, und dokumentiert eure Schritte. Es ist kein Hexenwerk, es ist einfach nur Fleißarbeit – wie eine ordentliche Quellenrecherche für einen guten Artikel. Und das Gefühl der Erleichterung, wenn man weiß, dass alles seine Richtigkeit hat, ist jeden Klick wert. Ich bin froh, dass ich nicht aufgegeben habe, auch wenn ich zwischendurch kurz davor war, meine Daten wieder auf Disketten zu speichern und im Garten zu vergraben.