Nr. 1.8 – Rückgabe von Datenträgern und Löschung von Daten
(Art. 28 Abs. 3 Satz 2 lit. g DSGVO)

Kriterium

Die Pflichten des Cloud-Anbieters zur Rückgabe von Datenträgern, Rückführung von Daten und irreversiblen Löschung von Daten nach Ende der Auftragsverarbeitung sind in einer rechtsverbindlichen Vereinbarung zur Auftragsverarbeitung festzulegen.

Erläuterung

Ist der Cloud-Anbieter auch nach Ende der Auftragsverarbeitung aufgrund gesetzlicher Pflichten aus nationalem oder Unionsrecht zur Speicherung oder Aufbewahrung von Daten verpflichtet, sind diese nicht zu löschen.

Umsetzungshinweis

Der Nachweis der Rückgabe von Datenträgern und der Löschung von Daten kann auch durch Verweis auf entsprechende Grundsätze des Cloud-Anbieters erfolgen. Der Cloud-Nutzer sollte zwischen den Abwicklungsmodalitäten wählen können.

Nachweis

Der Cloud-Anbieter kann den Nachweis erbringen, indem er entsprechende Dokumentationen vorlegt (bspw. Vertragsmuster, -vorlagen oder -instanzen). Durch eine testweise Dienstnutzung (insb. Einsicht, ob Inhalte bei der Registrierung für die Dienstnutzung angezeigt werden) kann der Cloud-Anbieter nachweisen, dass er seine Pflichten zur Rückgabe von Datenträgern und zur Rückführung und Löschung von Daten nach Ende der Auftragsverarbeitung dem Cloud-Nutzer auf geeignete Weise kommuniziert.