Warum der AV-Vertrag an erster Stelle steht
Sobald ein Cloud-Speicher personenbezogene Daten deiner Kundschaft für dich speichert, ist er Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Du bleibst Verantwortlicher und musst einen Vertrag mit ihm schließen, der bestimmte Mindestinhalte hat. Das gilt unabhängig von der Größe deines Betriebs – auch für Einzelunternehmen, Freiberufler und kleine Büros.
In der Praxis scheitert es manchmal an einer Kleinigkeit: Manche Speicherdienste bieten den Vertrag nur in Geschäftstarifen mit mehreren Nutzern an. Wer allein arbeitet, steht dann vor der Wahl zwischen einem zu großen Tarif und einem Vertrag, den es für ihn gar nicht gibt. Prüfe diesen Punkt deshalb zuerst. Das ist eine allgemeine Orientierung, keine Rechtsberatung.
Vertrag und Nachweis (Punkte 1 bis 4)
- AV-Vertrag auch für Einzelpersonen. Gibt es den Vertrag in dem Tarif, den du wirklich brauchst – oder nur ab einer Mindestzahl an Nutzern?
- Abschluss ohne Papierkram. Art. 28 Abs. 9 DSGVO erlaubt den elektronischen Abschluss. Gut ist ein Klick im Konto statt eines Formulars, das du ausdrucken, unterschreiben und einschicken musst.
- Nachweis zum Ablegen. Du solltest den abgeschlossenen Vertrag mit Datum und Fassung herunterladen können. Bei einer Prüfung durch die Aufsicht musst du zeigen können, was vereinbart ist.
- Wortlaut vorab lesbar. Lies den Vertrag, bevor du bezahlst. Achte auf die Pflichtinhalte nach Art. 28 Abs. 3 DSGVO: Gegenstand, Dauer, Art und Zweck, Datenarten, Weisungen, Vertraulichkeit, Sicherheitsmaßnahmen, Unterauftragsverarbeiter, Löschung und Nachweise.
Speicherort und Dienstleister (Punkte 5 und 6)
- Wo liegen die Daten – und was nicht? Ein Speicherort in Deutschland oder der EU erspart dir die Prüfung von Übermittlungen in Drittländer nach Kapitel V DSGVO. Frag aber genau nach: Zahlungsabwicklung, E-Mail-Versand oder Anmeldedienste laufen oft über andere Anbieter. Ein ehrlicher Anbieter sagt dir, welche das sind.
- Öffentliche Liste der Unterauftragsverarbeiter. Welche Dienstleister setzt der Anbieter ein, wofür und wo? Gibt es eine öffentliche, datierte Liste? Und werden Änderungen vorher angekündigt, sodass du widersprechen kannst?
Sicherheit im Alltag (Punkte 7 bis 9)
- Konkrete Maßnahmen statt Schlagworte. Die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO sollten so beschrieben sein, dass du sie verstehst: verschlüsselte Übertragung, Zwei-Faktor-Anmeldung, Rechteprüfung, Protokoll wichtiger Aktionen. Sei skeptisch bei Versprechen wie „absolut sicher“.
- Teilen mit Kontrolle. Kannst du Links mit Passwort, Ablaufdatum und Downloadlimit versehen und später sehen, was du mit wem geteilt hast? Das ist im Alltag wichtiger als fast jede andere Funktion.
- Keine Auswertung deiner Inhalte. Steht im Vertrag, dass der Anbieter Dateiinhalte nicht für eigene Zwecke auswertet – etwa zum Training von KI-Modellen? Für Kundendaten solltest du das schriftlich haben.
Ausstieg und Löschung (Punkte 10 und 11)
- Alles wieder mitnehmen können. Lassen sich alle Dateien auf einmal herunterladen, ohne Hilfe des Supports? Ein einfacher Export ist deine Versicherung, falls du den Anbieter wechseln willst.
- Klare Regeln nach dem Vertragsende. Was passiert mit den Daten nach der Kündigung, und wann werden sie gelöscht? Wird ein Konto bei einem Zahlungsrückstand einfach geleert, ist das für Kundendaten ein Risiko.
Für Berufsgeheimnisträger (Punkt 12)
- Verschwiegenheitsvereinbarung nach § 203 StGB. Arbeitest du als Ärztin, Anwalt, Steuerberaterin oder in einem anderen Beruf mit Schweigepflicht, muss der Anbieter zusätzlich zur Verschwiegenheit verpflichtet sein (§ 203 Abs. 4 StGB). Details stehen auf der Seite Für Berufsgeheimnisträger.
So beantwortet SafeDoc die Checkliste
| Punkt | Bei SafeDoc | Stand |
|---|---|---|
| 1 AV-Vertrag für Einzelpersonen | In jedem bezahlten Tarif ab Plus, auch im Einzelkonto. | Fertig · startet mit Bezahltarifen |
| 2 Abschluss | Mit einem Klick unter Einstellungen → Verträge. | |
| 3 Nachweis | Gespeichert werden Fassung, Prüfsumme des Wortlauts, deine Angaben und der Zeitpunkt; zum Speichern als PDF oder HTML. | |
| 4 Wortlaut vorab | In jedem Konto lesbar, auch im kostenlosen. | |
| 5 Speicherort | Dateien und Datenbank liegen in Rechenzentren in Deutschland. Die Sicherungen sind ebenfalls für Deutschland vorgesehen; sie werden gerade aufgebaut. Zahlung und E-Mail-Versand laufen über externe Anbieter. | |
| 6 Dienstleister | Öffentliche, versionierte Liste; Änderungen mindestens 30 Tage vorher angekündigt. | |
| 7 Maßnahmen | Verschlüsselte Übertragung, Zwei-Faktor-Anmeldung und Passkeys, Rechteprüfung bei jedem Zugriff, Protokoll wichtiger Aktionen. | |
| 8 Teilen mit Kontrolle | Passwort, Ablauf und Downloadlimit ab Plus; Übersicht unter „Von mir geteilt“. | Bezahltarife · bald |
| 9 Keine Auswertung | Wir verwenden die Inhalte deiner Dateien nicht zum Training von KI-Modellen und geben sie nicht an Anbieter von KI-Diensten weiter. | |
| 10 Export | Alle Dateien als Datenpaket (ZIP) herunterladen, jederzeit im Konto. | |
| 11 Nach der Kündigung | Das Konto läuft als kostenloses weiter; Dateien bleiben abrufbar. Wegen eines Zahlungsrückstands löschen wir keine Dateien. | |
| 12 § 203 StGB | Die Verschwiegenheitsvereinbarung nach § 203 StGB ist ab dem Start abschließbar. Vorher verpflichten wir alle, die bei uns mitwirken, in Textform zur Verschwiegenheit – erst dann bieten wir sie an. Den Wortlaut kannst du im Konto unter Einstellungen → Verträge schon lesen. | Fertig · startet mit Bezahltarifen |
Mehr zu den Maßnahmen steht auf der Seite Sicherheit, die Dienstleister unter Unterauftragsverarbeiter und alles zum Vertrag selbst auf der Seite AV-Vertrag.
Was der Anbieter dir nicht abnimmt
Auch mit dem besten Vertrag bleiben einige Pflichten bei dir als Verantwortlichem:
- Den Cloud-Speicher in dein Verzeichnis von Verarbeitungstätigkeiten aufnehmen (Art. 30 DSGVO), soweit du eines führen musst.
- Deine Kundschaft in deinen Datenschutzhinweisen informieren, welche Dienstleister du einsetzt (Art. 13 DSGVO).
- Sichere Passwörter und die Zwei-Faktor-Anmeldung für dein eigenes Konto nutzen.
- Regelmäßig prüfen, welche Links und Freigaben noch nötig sind.
Wie du Kundendaten im Alltag sicher weitergibst, zeigt der Artikel Kundendaten DSGVO-gerecht teilen.
Hinweis
Dieser Artikel ist eine allgemeine Orientierung und keine Rechtsberatung. Im Einzelfall helfen deine Kammer, dein Verband oder eine Beraterin bzw. ein Berater.