[Seite 1]
Einkaufskooperation Studentenwerke Ost Checkliste Cloud EK Ost 26-10
Checkliste für den Fall, dass Cloud-Computing bzw. eine Speicherung von Daten in der Cloud
angeboten wird
| Allgemeine Fragen | Bemerkungen | |
|---|---|---|
| Ist der Schutzbedarf der Daten hinsichtlich ihrer Vertraulichkeit, Verfügbarkeit und Integrität bewertet? | Ja Nein ☐ ☐ Wie? Öffentlich ☐ Intern ☐ Vertraulich ☐ Ggf. streng vertraulich ☐ | |
| Sind die Informationssicherheitsanforderungen hinsichtlich Vertraulichkeit, Verfügbarkeit und Integrität an den Cloud-Dienst geklärt und definiert (siehe Schutzeinstufung von Daten)? | ☐ Ja Nein ☐ Ergebnis? | |
| Wer ist der technische Betreiber der Cloud bzw. Betreiber der Datenverarbeitungsanlagen? | Name, Anschrift |
Bieter - Datum / Unterschrift / Stempel
Erstellt: 2026-09 Seite 1
[Seite 2]
Einkaufskooperation Studentenwerke Ost Checkliste Cloud EK Ost 26-10
| Wo ist der Sitz des Cloud-Betreibers? | Deutschland ☐ EU/EWR ☐ Als sicher anerkannter Drittstaat ☐ Nicht als sicher anerkannter Drittstaat ☐ Sitzland? | |
|---|---|---|
| Um welche Art von Cloud handelt es sich? | Private Cloud ☐ Community Cloud ☐ Hybrid Cloud ☐ Public Cloud ☐ | |
| Handelt es sich im Fall eines Cloud-Anbieters mit Sitz in einem Drittstaat ausdrücklich um eine EU/EWR-Cloud? | Ja Nein Entfällt ☐ ☐ ☐ | |
| Liegen über den Auftragnehmer gültige Zertifikate einer anerkannten und unabhängigen Zertifizierungsstelle über die Sicherheit, Ordnungsmäßigkeit und Datenschutzkonformität der Datenverarbeitung vor, z. B. nach ISO 27001, SAS-70 Typ 2/SSAE 16 etc.? | Ja Nein ☐ ☐ Art und Aussteller des Zertifikats: | |
| Erfüllt der Cloud-Dienst die vom BSI spezifizierten C5 Kriterien? | Ja Nein ☐ ☐ | |
| Stehen die Zertifikate und Prüfberichte zur Einsichtnahme zur Verfügung? | Ja Nein ☐ ☐ |
Bieter - Datum / Unterschrift / Stempel
Erstellt: 2026-09 Seite 2
[Seite 3]
Einkaufskooperation Studentenwerke Ost Checkliste Cloud EK Ost 26-10
| Liegt eine Datenschutzerklärung des Auftragnehmers oder ein ausreichendes Datenschutzkonzept vor und entsprechen diese Unterlagen den datenschutzrechtlichen Transparenzanforderungen? | ☐ Ja Nein ☐ | |
|---|---|---|
| Ist beim Auftragnehmer, ggf. auch bei den Unterauftragnehmern, ein Beauftragter für den Datenschutz bzw. ein IT- Sicherheitsbeauftragter bestellt oder diese Aufgabe in sonstiger Weise adressiert, ggf. an welche Stelle? | Ja Nein ☐ ☐ | |
| Sind die Beschäftigten des Auftragnehmers, ggf. auch der Unterauftragnehmer, auf die Wahrung der Vertraulichkeit verpflichtet? | Ja Nein ☐ ☐ | |
| Ist die Einhaltung der erforderlichen technischen und organisatorischen Maßnahmen zum Datenschutz geprüft oder zuverlässig überprüfbar? | Geprüft Ja Nein ☐ ☐ Prüfbar Ja Nein ☐ ☐ | |
| Welche Arten von personenbezogenen Daten werden oder sollen in der Cloud verarbeitet werden? | Betroffene Personen Beschäftigte ☐ |
Bieter - Datum / Unterschrift / Stempel
Erstellt: 2026-09 Seite 3
[Seite 4]
Einkaufskooperation Studentenwerke Ost Checkliste Cloud EK Ost 26-10
| Kunden, Interessenten ☐ Sonstige Personengruppen, ggf. welche? ☐ Datenarten Besondere Datenarten i. S. v. Art. 9 Abs. 1 ☐ DSGVO, ggf. welche (nur nach Art. 9 Abs. 2 DSGVO zulässig)? Datenarten i. S. v. Art. 10 DSGVO ☐ Für die Besteuerung relevante Daten (§ 146 ☐ Abs. 2 Satz 1 und Abs. 2a AO) Sonstige Datenarten ☐ | ||
|---|---|---|
| Wo wird die Cloud technisch betrieben (Standort der Server, Ort der Datenspeicherung und Verarbeitung)? | Deutschland ☐ EU/EWR ☐ Als sicher anerkannter Drittstaat ☐ Nicht als sicher anerkannter Drittstaat ☐ Sitzland: | |
| Welches Cloud-Service-Modell ist beauftragt bzw. soll beauftragt werden? | Software as a Service (SaaS) ☐ Platform as a Service (PaaS) ☐ Infrastructure as a Service (IaaS) ☐ Storage as a Service ☐ | |
| Ist die Einhaltung der gesetzlichen Aufbewahrungs- und Löschungsvorschriften gewährleistet, insbesondere nach handels- und steuerrechtlichen Vorschriften? | Ja Nein Entfällt ☐ ☐ ☐ |
Bieter - Datum / Unterschrift / Stempel
Erstellt: 2026-09 Seite 4
[Seite 5]
Einkaufskooperation Studentenwerke Ost Checkliste Cloud EK Ost 26-10
| Für den Fall, dass Unterauftragnehmer mit der Bereitstellung der Cloud beauftragt werden | ||
|---|---|---|
| Sind bzw. werden Unterauftragnehmer mit Teilaufgaben des Cloud-Betriebes beauftragt, ggf. wer und für welche Aufgaben? | Ja Nein ☐ ☐ Name und Sitz des Unterauftragnehmers: | |
| Sind die den Unterauftragnehmern übertragenen Aufgaben definiert und vertraglich geregelt? | Ja ☐ Ggf. auf welche Weise? Nein ☐ | |
| Ist für die Beauftragung von Unterauftragnehmern eine Einwilligung durch den Auftraggeber vorgesehen? | Ja Nein Entfällt ☐ ☐ ☐ | |
| Sind oder werden die Unterauftragnehmer namentlich oder nach ihren Kategorien (z. B. Tochtergesellschaften des Auftragnehmers oder Schwestergesellschaften, externe Dienstleistungsunternehmen etc.) benannt? | Ja Nein Entfällt ☐ ☐ ☐ | |
| Liegen über den/die Unterauftragnehmer gültige Zertifikate einer anerkannten und unabhängigen Zertifizierungsstelle über die Sicherheit, Ordnungsmäßigkeit und Datenschutzkonformität der Datenverarbeitung vor, z. B. nach ISO 27001, SAS-70 Typ 2/SSAE 16 etc.? | Ja ☐ Art und Aussteller des Zertifikats Nein Entfällt ☐ ☐ | |
| Stehen die Zertifikate und Prüfberichte zur Einsichtnahme zur Verfügung? | Ja Nein ☐ ☐ |
Bieter - Datum / Unterschrift / Stempel
Erstellt: 2026-09 Seite 5
[Seite 6]
Einkaufskooperation Studentenwerke Ost Checkliste Cloud EK Ost 26-10
| Sind die Unterauftragnehmer durch vertragliche Regelungen den gleichen Datenschutzmaßnahmen und Regelungen verpflichtet wie der Auftragnehmer? | Ja Nein Entfällt ☐ ☐ ☐ | |
|---|---|---|
| Ist die Einhaltung der erforderlichen technischen und organisatorischen Maßnahmen zum Datenschutz geprüft oder zuverlässig überprüfbar? | Geprüft Ja Nein ☐ ☐ Prüfbar Ja Nein ☐ ☐ Entfällt ☐ | |
| Wird die Erfüllung der Datenschutz- und Sicherheitsverpflichtungen durch die Unterauftragnehmer vom Auftragnehmer laufend überprüft, ggf. wie? | Ja, wie ☐ Lfd. Auditierung? ☐ Auf andere Weise, ggf. wie? Nein Entfällt ☐ ☐ | |
| Stehen die Ergebnisse dieser Überprüfungen dem Auftraggeber zur Einsichtnahme zur Verfügung? | Ja Nein Entfällt ☐ ☐ ☐ | |
| Sind dem Auftraggeber gegenüber dem Unterauftragnehmer eigene Prüfrechte vorbehalten? | Ja Nein ☐ ☐ | |
| Fragen zur (geplanten) Vertragsgestaltung in Beug auf die Nutzung der Cloud-Dienste |
Bieter - Datum / Unterschrift / Stempel
Erstellt: 2026-09 Seite 6
[Seite 7]
Einkaufskooperation Studentenwerke Ost Checkliste Cloud EK Ost 26-10
| Sind oder werden die erforderlichen Verträge über eine Datenverarbeitung im Auftrag abgeschlossen? | Vertrag über eine Auftragsverarbeitung gem. Art. ☐ 28 DSGVO EU-Standardvertrag ☐ Nein ☐ | |
|---|---|---|
| Nach welchem Recht richtet sich die Speicherung, Verarbeitung oder Nutzung der Daten? | DSGVO ☐ BDSG ☐ Sonstiges Recht, ggf. welches? ☐ | |
| Sind im Vertrag die in Art. 28 DSGVO geforderten Regelungen enthalten bzw. sind entsprechende Regelungen vorgesehen? Erfüllungsort der Leistung Ort der Speicherung und Verarbeitung der Daten Gegenstand, Umfang, Art, Zweck und Dauer des Auftrags Betroffene Personen und Art der Daten Beauftragung von Unterauftragnehmern Verfahren bei Störfällen und Informationspflichten, insbesondere bei Gefährdung/Verlust der Vertraulichkeit, Verfügbarkeit und Integrität der Daten und mitzuteilenden Verstöße gem. Art. 33 DSGVO Verfahren bei Berichtigung, Sperrung und Löschung von Daten | ☐ Ja Nein ☐ Ja Nein ☐ ☐ Ja Nein ☐ ☐ Ja Nein ☐ ☐ Ja Nein ☐ ☐ Ja Nein ☐ ☐ |
Bieter - Datum / Unterschrift / Stempel
Erstellt: 2026-09 Seite 7
[Seite 8]
Einkaufskooperation Studentenwerke Ost Checkliste Cloud EK Ost 26-10
| Pflichten des Auftragnehmers, insbesondere Duldungs- und Mitwirkungspflichten sowie Gewährung von Einsichtnahme in Unterlagen zur Prüfung Kontrollrechte des Auftraggebers Beauftragung von Unterauftragnehmern Umfang von Weisungsbefugnissen des Auftraggebers Löschung der Daten bzw. sichere Vernichtung von Datenträgern nach Ablauf der Aufbewahrungsfristen bzw. Beendigung des Cloud-Services | Ja Nein ☐ ☐ Ja Nein ☐ ☐ Ja Nein ☐ ☐ Ja Nein ☐ ☐ Ja Nein ☐ ☐ Ja Nein ☐ ☐ | |
|---|---|---|
| Sind oder werden die Rechte des Auftraggebers an den Daten (alleiniges Recht des Auftraggebers an den Daten) geregelt? | Ja Nein ☐ ☐ | |
| Sind oder werden für den Fall der Vertragsbeendigung ggf. urheberrechtliche Ansprüche gem. § 87 ff. UrhG und die uneingeschränkten Nutzungsrechte des Auftraggebers an den Daten geregelt? | Ja Nein Entfällt ☐ ☐ ☐ |
Bieter - Datum / Unterschrift / Stempel
Erstellt: 2026-09 Seite 8
[Seite 9]
Einkaufskooperation Studentenwerke Ost Checkliste Cloud EK Ost 26-10
| Sind oder werden für den Fall der Vertragsbeendigung die technischen und organisatorischen Formalitäten der Datenherausgabe bzw. Portierung in eine andere Umgebung (Herausgabeformate der Daten und sonstige Regelungen zur Datenherausgabe bzw. Rückübernahme) geregelt (beachte z. B. Formatanforderungen nach GoBD Ziff. 129 ff.)? | Ja Nein ☐ ☐ | |
|---|---|---|
| Sind oder werden in Abhängigkeit von der Art des Services und vom Typ der Vertragselemente (miet-, dienst-, leih- oder werkvertragliche Elemente) die Fragen zur Gewährleistung und Haftung geregelt? | Ja Nein ☐ ☐ | |
| Ist oder wird sichergestellt und erforderlichenfalls vertraglich zugesichert, dass ggf. die Bestimmungen der Ausfuhrkontrolle beachtet werden und nicht gegen ein in manchen Ländern bestehendes Verbot des Einsatzes von Verschlüsselungsverfahren verstoßen wird (gilt auch gegenüber Unterauftragnehmern)? | Ja Nein Entfällt ☐ ☐ ☐ | |
| Enthält der Vertrag eine verbindliche Selbstbindung des Cloud- Anbieters an die beauftragte Verarbeitung und Nutzung der Daten i. V. mit einem Verbot, die Daten auch für andere, insbesondere eigene, Zwecke des Cloud-Anbieters zu verarbeiten oder zu nutzen? | Ja Nein ☐ ☐ | |
| Ist oder wird durch vertragliche Vereinbarungen im Fall einer Insolvenz des Cloud-Anbieters oder eines Unterauftragnehmers der Zugriff auf die Daten durch den Nutzer und eine Portierung auf andere Systeme sichergestellt? | Ja Nein ☐ ☐ |
Bieter - Datum / Unterschrift / Stempel
Erstellt: 2026-09 Seite 9
[Seite 10]
Einkaufskooperation Studentenwerke Ost Checkliste Cloud EK Ost 26-10
| Ist oder wird im Vertrag eine Regelung zur Gewährleistung einer ungehinderten Datenschutzkontrolle durch die Aufsichtsbehörden für den Datenschutz enthalten sein? | Ja Nein ☐ ☐ | |
|---|---|---|
| Sind oder werden für den Fall von Vertragsverletzungen Vertragsstrafen vereinbart? | Ja Nein ☐ ☐ | |
| In Staaten außerhalb der EU/EWR bestehen teilweise nur beschränkte rechtliche Möglichkeiten zur Durchsetzung des Datenschutzes. Sind oder werden diese rechtlichen Umsetzungsdefizite durch entsprechende vertragliche Regelungen kompensiert? | Art der Regelungen: | |
| Technische und organisatorische Maßnahmen | ||
| Besteht beim Cloud-Anbieter ein dokumentiertes und wirksames Datenschutzmanagement mit Regelungen zu Sicherheits- management, Sicherheit von Rechenzentrum, Server und Netzwerken, Authentisierung und Autorisierung, Zugriffsschutz, Verschlüsselung, Back-up-Strategie, Fehlerbeseitigung, Abwehr von Angriffen, Protokollierung und Vorfallmanagement, Notfallmanagement, Verpflichtung des Personals etc.? | Ja Nein ☐ ☐ | |
| Steht dem Auftraggeber eine Beschreibung über die Grundsätze des Datenschutz- und Sicherheitsmanagements zur Einsichtnahme zur Verfügung? | Ja Nein ☐ ☐ | |
| Speicherung und Verarbeitung in einem nicht als sicher anerkannten Drittland |
Bieter - Datum / Unterschrift / Stempel
Erstellt: 2026-09 Seite 10
[Seite 11]
Einkaufskooperation Studentenwerke Ost Checkliste Cloud EK Ost 26-10
| Ist bei Clouds außerhalb der EU/des EWR (Drittstaat) von der EU-Kommission gem. Art. 45 DSGVO für das Sitzland festgestellt, dass ein ausreichendes Datenschutzniveau besteht? | Auftragnehmer Ja Nein ☐ ☐ Unterauftragnehmer Ja Nein ☐ ☐ | |
|---|---|---|
| Sind die besonderen Voraussetzungen für eine Speicherung und Verarbeitung in einem Drittstaat gegeben? | Vertrag nach den EU-Standardvertragsklauseln ☐ Verbindliche Unternehmensregelungen ☐ Nein ☐ | |
| Unterliegen die Daten rechtlichen Auflagen hinsichtlich einer Speicherung im Ausland, z. B. § 146 Abs. 2 AO, ggf. welchen? | Ja Nein ☐ ☐ Welche? | |
| Liegt im Fall einer Speicherung und Verarbeitung von steuerrelevanten Daten in Drittstaaten, soweit erforderlich, die Genehmigung der zuständigen Finanzbehörde vor (§ 146 Abs. 2a AO)? | Ja Nein Entfällt ☐ ☐ ☐ | |
| Bestehen hinsichtlich der Informationssicherheit sonstige Einschränkungen bezüglich bestimmter Speicherorte in Drittstaaten, insbesondere aufgrund von Zugriffsbefugnissen von Behörden, Sicherheits- und Nachrichtendiensten oder Spionagerisiken? | Ja Nein ☐ ☐ | |
| Sind die Zugriffsmöglichkeiten auf die Cloud-Daten in Drittstaaten durch staatliche Stellen und die Information des Cloud-Nutzers im Fall von Zugriffen oder Einschränkungen der Information durch den Cloud-Anbieter offengelegt? | Ja Nein ☐ ☐ | |
| Sind die Zugriffs- und Spionagerisiken beim Auftragnehmer und ggf. auch bei Unterauftragnehmern geprüft und bewertet, ggf. mit | Ja Nein ☐ ☐ |
Bieter - Datum / Unterschrift / Stempel
Erstellt: 2026-09 Seite 11
[Seite 12]
Einkaufskooperation Studentenwerke Ost Checkliste Cloud EK Ost 26-10
| welchem Ergebnis (siehe Checkliste „Datenübermittlung an Drittländer oder internationale Organisationen)? | Ergebnis? | |
|---|---|---|
| Wird dem Auftraggeber zu Prüfzwecken ein Zugriff auf die Protokolldateien ermöglicht, um Fremdzugriffe auf die Daten nachvollziehen zu können? | Ja Nein ☐ ☐ | |
| Sind die erforderlichen Verträge über eine Datenverarbeitung im Auftrag abgeschlossen? | Ja Nein ☐ ☐ | |
| Erfüllen eventuelle Unterauftragnehmer ebenfalls die besonderen Voraussetzungen für eine Speicherung und Verarbeitung in einem nicht anerkannten Drittstaat? | Ja ☐ Regelung im EU-Standardvertrag ☐ Auf welche Weise sonst? Nein Entfällt ☐ ☐ | |
| Ist die Erfüllung der Voraussetzungen für eine sichere und datenschutzgerechte Speicherung, Verarbeitung und Nutzung der Daten bei den Unterauftragnehmern vertraglich geregelt? | Ja Nein Entfällt ☐ ☐ ☐ | |
| Stehen diese vertraglichen Regelungen mit den Unterauftragnehmern dem Auftraggeber zur Einsicht und Prüfung zur Verfügung? | Ja Nein Entfällt ☐ ☐ ☐ | |
| Ist eine Information der Betroffenen über die Speicherung und Verarbeitung ihrer Daten in einer Cloud in einem Drittstaat vorgesehen und auf welche Weise? | Ja Nein ☐ ☐ Wie? |
Bieter - Datum / Unterschrift / Stempel
Erstellt: 2026-09 Seite 12