Ein Dienstleistungsunternehmen setzte eine cloudbasierte CRM-Plattform zur europaweiten Verarbeitung von Kundendaten ein. Nach Hinweisen auf mögliche Datenschutzverstöße wurde der IT-Sachverständige mit der Durchführung einer technischen und organisatorischen Prüfung der DSGVO-Konformität beauftragt. Ziel war die objektive Bewertung der technischen Schutzmaßnahmen, der Datenübermittlungsprozesse und der internen Governance-Strukturen.
Ausgangssituation
Das mittelständische Unternehmen betrieb eine Cloud-CRM-Plattform auf Basis eines US-amerikanischen Dienstleisters. Über das System wurden personenbezogene Daten von rund 250.000 Kunden verarbeitet, darunter Kommunikationshistorien, Vertragsinformationen und personenbezogene Metadaten. Interne Datenschutzbeauftragte äußerten Bedenken hinsichtlich der Transparenz von Datenflüssen, der Verschlüsselungskonzepte und der Datenübermittlung in Drittländer (USA). Nach einer internen Risikoanalyse gemäß [GESETZ_PLATZHALTER] (Datenschutz-Folgenabschätzung) wurde entschieden, ein unabhängiges Sachverständigengutachten zur technischen Bewertung einzuholen.
Problemstellung
Der Auftrag umfasste die Prüfung folgender Kernfragen:
- Erfüllt das CRM-System die datenschutzrechtlichen Anforderungen der [GESETZ_PLATZHALTER], insbesondere in Bezug auf Datenminimierung, Integrität und Vertraulichkeit [GESETZ_PLATZHALTER]?
- Wurden angemessene technische und organisatorische Maßnahmen (TOM) nach [GESETZ_PLATZHALTER] umgesetzt und dokumentiert?
- Ist die Datenübermittlung in Drittländer gemäß [GESETZ_PLATZHALTER] rechtskonform ausgestaltet und erfolgt sie auf einer gültigen Rechtsgrundlage?
- Sind die Rollen, Verantwortlichkeiten und Auftragsverhältnisse nach [GESETZ_PLATZHALTER] eindeutig geregelt und vertraglich dokumentiert?
Vorgehen des IT-Sachverständigen
Der Sachverständige führte eine mehrstufige technische und organisatorische Prüfung durch, die sich an den Vorgaben der [GESETZ_PLATZHALTER], des [REG_PLATZHALTER] und der [NORM_PLATZHALTER] orientierte:
- Systemanalyse: Dokumentation der Systemarchitektur, Netzwerktopologie und Cloud-Dienste (IaaS/PaaS/SaaS) sowie Identifikation der Datenflüsse zwischen Mandant, Cloudanbieter und Subdienstleistern.
- Technische Prüfung: Evaluation der Verschlüsselungsmechanismen (TLS 1.3, AES-256), der Zugriffskontrollen (RBAC, MFA) und der Protokollierungsschnittstellen. Prüfung der Schlüsselverwaltung auf HSM- oder KMS-Basis.
- Drittlandübermittlung: Bewertung der Datenübertragungen in die USA auf Grundlage der Schrems II-Rechtsprechung des EuGH (C-311/18) und Prüfung vorhandener Standardvertragsklauseln (SCCs) nach [GESETZ_PLATZHALTER].
- Dokumentationsanalyse: Abgleich der internen Datenschutzrichtlinien, Verfahrensverzeichnisse und Auftragsverarbeitungsverträge mit den gesetzlichen Vorgaben nach [GESETZ_PLATZHALTER], 28 und 30 [GESETZ_PLATZHALTER].
- Interviews und Prozessanalyse: Gespräche mit Systemadministratoren, Compliance-Officern und Datenschutzbeauftragten zur Überprüfung organisatorischer Abläufe und Verantwortlichkeiten.
Analyseergebnisse
Die Untersuchung identifizierte mehrere technische und organisatorische Defizite:
- Verschlüsselung: Daten im Ruhezustand (at rest) wurden nicht durchgängig verschlüsselt; insbesondere lagen Backups in unverschlüsselter Form in einem Cloud-Storage-Bucket vor.
- Metadaten-Transparenz: API-Logfiles enthielten personenbezogene Metadaten, darunter E-Mail-Adressen und Kundennummern, die nicht pseudonymisiert waren.
- Drittlandübermittlung: Für zwei Subdienstleister in den USA lagen keine aktualisierten Standardvertragsklauseln (2021/914/EU) vor; zudem fehlte eine Risikoabschätzung nach Transfer Impact Assessment (TIA).
- Auftragsverarbeitung: Die vertragliche Regelung der Verantwortlichkeiten zwischen Hauptdienstleister und Subprozessoren war unvollständig (Verstoß gegen [GESETZ_PLATZHALTER] Abs. 3 [GESETZ_PLATZHALTER]).
- Protokollierung und Monitoring: Die Protokollierung von Zugriffsversuchen war unvollständig und wurde nicht regelmäßig überprüft (fehlende Audit-Trails).
Erkenntnisse & Empfehlungen
Der IT-Sachverständige formulierte einen Maßnahmenplan zur vollständigen Wiederherstellung der [GESETZ_PLATZHALTER]-Konformität:
- Einführung einer durchgängigen Verschlüsselung sämtlicher Datenbestände mit AES-256 und zentralem Schlüsselmanagement (Hardware Security Module, HSM),
- Überarbeitung der Auftragsverarbeitungsverträge und Subverarbeitervereinbarungen gemäß [GESETZ_PLATZHALTER] Abs. 3 [GESETZ_PLATZHALTER],
- Implementierung eines Data-Flow-Registers mit Verweis auf alle internen und externen Übermittlungen [GESETZ_PLATZHALTER],
- Durchführung eines vollständigen Transfer Impact Assessments (TIA) nach Schrems II,
- Einrichtung eines kontinuierlichen Datenschutz-Auditprogramms auf Basis der [NORM_PLATZHALTER],
- Schulung des internen IT- und Datenschutzpersonals zur datenschutzkonformen Nutzung cloudbasierter Systeme.
Reflexion
Diese Fallstudie zeigt exemplarisch, dass Datenschutzkonformität in Cloud-Umgebungen eine präzise Abstimmung zwischen technischer Umsetzung und rechtlicher Dokumentation erfordert. Der IT-Sachverständige agiert hierbei als neutrale Instanz zwischen Cloudanbieter, Verantwortlichem und Aufsichtsbehörde. Durch die Kombination aus technischer Prüfung, normativer Bewertung und methodischer Nachvollziehbarkeit trägt das Gutachten wesentlich zur Sicherstellung eines rechtskonformen und vertrauenswürdigen Datenmanagements bei.