Die DSGVO gilt seit dem 25. Mai 2018 unmit­tel­bar in allen EU-Mit­glied­staa­ten. Für die tech­ni­sche Infra­struk­tur der Daten­spei­che­rung sind meh­re­re Arti­kel beson­ders relevant.

Art. 32 DSGVO ver­langt tech­ni­sche und orga­ni­sa­to­ri­sche Maß­nah­men, die dem Risi­ko ange­mes­sen sind — dar­un­ter die Ver­schlüs­se­lung per­so­nen­be­zo­ge­ner Daten, Pseud­ony­mi­sie­rung sowie die Fähig­keit, Ver­füg­bar­keit, Inte­gri­tät und Ver­trau­lich­keit per­so­nen­be­zo­ge­ner Daten nach einem Vor­fall rasch wie­der­her­zu­stel­len. Das begrün­det direkt die Not­wen­dig­keit robus­ter Backup-Infrastruktur.

Art. 28 DSGVO regelt Auf­trags­ver­ar­bei­tungs­ver­trä­ge: Jeder Cloud-Pro­vi­der als Auf­trags­ver­ar­bei­ter muss ver­trag­lich gebun­den wer­den. Der Ver­ant­wort­li­che bleibt für die Ein­hal­tung aller DSGVO-Anfor­de­run­gen ver­ant­wort­lich — auch wenn Daten bei einem exter­nen Anbie­ter lie­gen. Das schließt die Fra­ge ein, ob der Anbie­ter dem US CLOUD Act unterliegt.

Art. 17 DSGVO (Recht auf Löschung) steht in einem Span­nungs­ver­hält­nis zu Auf­be­wah­rungs­pflich­ten (, HGB, RöV): Auf­be­wah­rungs­pflich­ten gehen der DSGVO-Lösch­pflicht vor, solan­ge sie bestehen. Nach Ablauf der Auf­be­wah­rungs­frist greift die DSGVO-Lösch­pflicht. Moder­ne -Sys­te­me unter­stüt­zen frist­ba­sier­tes Reten­ti­on Manage­ment, das bei­de Anfor­de­run­gen in einem Sys­tem vereint.

Fragen und Antworten

Wenn gesetzliche Aufbewahrungspflichten (GoBD, HGB, RöV) bestehen, gehen diese dem DSGVO-Löschrecht vor. Nach Ablauf der Aufbewahrungsfrist greift Art. 17 DSGVO: Die Daten müssen dann gelöscht werden. Moderne WORM-Systeme unterstützen fristbasiertes Retention Management: Nach Ablauf der Retentionsfrist werden Daten für eine kontrollierte Löschung freigegeben.
Das ist eine komplexe Rechtsfrage. DSGVO Art. 44–49 erlaubt Datentransfers in Drittländer nur unter bestimmten Voraussetzungen. Für die USA gilt das EU-US Data Privacy Framework (2023) als Rechtsgrundlage — es ist aber rechtlich fragil. Europäische Datenschutzbehörden haben in mehreren Entscheidungen die Nutzung von US-Cloud-Diensten für sensible Datenkategorien beanstandet. Für hochsensible Daten (Patientendaten, Behördendaten) ist On-Premises-Speicherung die rechtssicherste Option.