Ist iCloud im Unternehmen DSGVO-konform?

Ja, iCloud lässt sich DSGVO-konform im Unternehmen einsetzen – aber nur mit verwalteten Apple Accounts. Dann besteht ein Auftragsverarbeitungsverhältnis, in dem euer Unternehmen Verantwortlicher und Apple Auftragsverarbeiter ist. Mit privaten Apple-IDs auf Firmengeräten ist es das nicht.

Dieser Unterschied ist der ganze Kern der Frage, und er wird in der Praxis ständig übersehen. Im Folgenden gehen wir durch, was vertraglich gilt, was ihr technisch durchsetzen müsst und wann iCloud die falsche Wahl ist.

Hinweis: Wir sind IT-Dienstleister, keine Rechtsanwälte. Dieser Beitrag ordnet die technische und vertragliche Lage ein und ersetzt keine Rechtsberatung. Die datenschutzrechtliche Bewertung für euren konkreten Fall gehört zu eurem Datenschutzbeauftragten.

Der entscheidende Unterschied: privater und verwalteter Apple Account

Ein Apple Account kann auf zwei grundverschiedene Arten auf einem Firmengerät landen.

Der private Apple Account. Die Person meldet sich mit ihrer persönlichen Apple-ID an – derselben, die auch am privaten iPhone hängt. Vertragspartner ist Apple und die Privatperson. Euer Unternehmen ist nicht Vertragspartei. Alles, was von diesem Gerät in iCloud synchronisiert wird – Kontakte, Kalender, Dokumente aus dem Schreibtisch-Ordner, Fotos aus dem Gerät – landet in einem Account, auf den ihr keinen Zugriff habt.

Wenn die Person das Unternehmen verlässt, geht der Account mit. Es gibt keinen Auftragsverarbeitungsvertrag, kein Löschkonzept, kein Auskunftsrecht, das ihr ausüben könntet. Datenschutzrechtlich ist das die problematischere Konstellation.

Der verwaltete Apple Account. Ihr legt ihn über Apple Business unter eurer eigenen Domain an. Der Account gehört dem Unternehmen. Ihr könnt ihn deaktivieren, Daten übertragen und beim Ausscheiden sauber schließen. Und vor allem: Für diese Accounts stellt Apple eine Datenverarbeitungsvereinbarung bereit.

Wie ihr solche Accounts anlegt und was Apple Business sonst noch kann, steht in unserem Beitrag Was ist Apple Business?.

Was in der Vereinbarung mit Apple steht

Apple stellt für Apple Business beziehungsweise den früheren Apple Business Manager eine eigene Datenverarbeitungsvereinbarung bereit, in einer EU-Fassung. Die relevanten Punkte:

• Rollenverteilung: Eure Organisation ist Verantwortlicher, Apple verarbeitet in eurem Auftrag.
• Umfang: Abgedeckt sind unter anderem der iCloud-Speicher verwalteter Accounts sowie Accountdaten, Geräteinformationen und Inhalte wie Kontakte, Kalender, Nachrichten, Fotos und Dateien.
• Unterauftragsverarbeiter: Apple führt eine veröffentlichte Liste und kündigt Änderungen mit mindestens 30 Tagen Vorlauf an.
• Drittlandtransfer: Die Übermittlung wird über Standardvertragsklauseln abgesichert.
• Weitere Regelungen: Sicherheitsmaßnahmen, Meldewege bei Datenschutzverletzungen und der Umgang mit behördlichen Auskunftsersuchen.

Der Punkt, den viele übersehen: Drittlandtransfer

In der EU-Fassung ist Apple Distribution International mit Sitz in Irland der Übermittler und Apple Inc. in den USA der Empfänger. Es handelt sich also ausdrücklich um eine Übermittlung in ein Drittland, abgesichert über Standardvertragsklauseln für die Weitergabe zwischen Auftragsverarbeitern.

Das ist rechtlich der vorgesehene Weg – aber es ist eben nicht dasselbe wie „die Daten bleiben in Europa". Eine ausschließliche Speicherung in der EU sagt Apple nicht zu. Wer aus Branchengründen strikte Datenlokalisierung braucht, muss das gesondert bewerten und gegebenenfalls anders lösen.

Für die meisten Unternehmen ist das unproblematisch, solange es in der Verarbeitungsübersicht sauber dokumentiert ist. Kritisch wird es dort, wo besondere Kategorien personenbezogener Daten oder Berufsgeheimnisse im Spiel sind – bei Ärzten, Kanzleien, Steuerberatern oder Gutachtern.

Vertrag allein reicht nicht: die technische Durchsetzung

Der häufigste Fehler in der Praxis ist nicht der fehlende Vertrag, sondern die fehlende Durchsetzung. Ihr könnt verwaltete Accounts anlegen und trotzdem eine Umgebung haben, in der Unternehmensdaten in privaten iCloud-Konten landen – weil niemand es unterbindet.

Was ihr über die Geräteverwaltung steuern solltet:

• Anmeldung mit privaten Apple Accounts einschränken oder zumindest die iCloud-Dienste begrenzen, die damit genutzt werden dürfen
• Gezielt festlegen, welche iCloud-Funktionen aktiv sind – etwa Schreibtisch- und Dokumente-Synchronisierung, Fotos oder iCloud-Backup
• Festplattenverschlüsselung erzwingen, damit lokale Kopien der Daten geschützt sind
• Ein sauberes Offboarding, bei dem Account deaktiviert und Gerät zurückgesetzt wird

Genau dafür gibt es die iCloud-Konfiguration in Apple Business und, mit deutlich mehr Tiefe, in einer vollwertigen Geräteverwaltung. Welche Möglichkeiten es gibt, haben wir unter Apple Geräteverwaltung zusammengestellt.

Ein zweiter Punkt, der oft fehlt: die Nachweisbarkeit. Die DSGVO verlangt nicht nur, dass ihr Maßnahmen ergreift, sondern dass ihr sie belegen könnt. Eine Geräteverwaltung, die zeigt, welcher Anteil der Flotte zu einem Stichtag verschlüsselt war und welche Richtlinien griffen, ist bei einer Prüfung mehr wert als jede Absichtserklärung.

Wann iCloud nicht die richtige Wahl ist

Es gibt Fälle, in denen wir von der iCloud-Synchronisierung für bestimmte Datenbestände abraten – unabhängig vom Vertrag:

• Bei Berufsgeheimnisträgern, wo § 203 StGB und berufsrechtliche Vorgaben zusätzlich zur DSGVO greifen
• Bei besonderen Kategorien personenbezogener Daten nach Artikel 9 DSGVO, etwa Gesundheitsdaten
• Wenn Kunden oder Auftraggeber vertraglich EU-Datenlokalisierung verlangen
• Wenn eine Datenschutz-Folgenabschätzung ein hohes Risiko ergibt, das sich nicht ausreichend eindämmen lässt

In diesen Fällen bedeutet das nicht, dass Apple-Geräte ausscheiden. Es bedeutet, dass die betroffenen Daten in einem anderen Speicher liegen – in einer europäisch gehosteten Umgebung oder auf eigener Infrastruktur – und iCloud für diese Kategorien per Richtlinie abgeschaltet wird. Genau diese Trennung lässt sich über eine Geräteverwaltung sauber umsetzen.

Checkliste für den sauberen Einsatz

• Verwaltete Apple Accounts über Apple Business unter eigener Domain angelegt
• Datenverarbeitungsvereinbarung mit Apple abgeschlossen und abgelegt
• iCloud in der Verarbeitungsübersicht dokumentiert, inklusive Drittlandtransfer und Rechtsgrundlage
• Unterauftragsverarbeiter-Liste bekannt und Benachrichtigungen abonniert
• Private Apple Accounts auf Firmengeräten geregelt – per Richtlinie und technisch
• iCloud-Dienste bewusst ausgewählt statt pauschal aktiviert
• Verschlüsselung erzwungen und nachweisbar
• Offboarding-Ablauf definiert und dokumentiert
• Sonderfälle für besonders schützenswerte Daten bewertet

Häufige Fragen

Gibt es einen Auftragsverarbeitungsvertrag mit Apple?

Ja. Apple stellt für Apple Business beziehungsweise den früheren Apple Business Manager eine Datenverarbeitungsvereinbarung bereit, in der die Organisation als Verantwortlicher und Apple als Auftragsverarbeiter auftritt. Sie deckt unter anderem den iCloud-Speicher verwalteter Accounts sowie Accountdaten, Geräteinformationen und Inhalte wie Kontakte, Kalender und Dateien ab.

Werden iCloud-Daten in die USA übertragen?

Eine Übermittlung in Drittländer findet statt und wird vertraglich über Standardvertragsklauseln abgesichert. In der EU-Fassung ist Apple Distribution International in Irland Übermittler und Apple Inc. in den USA Empfänger. Eine ausschließliche Speicherung in der EU sagt Apple nicht zu.

Dürfen Mitarbeitende ihre private Apple-ID auf dem Firmen-Mac nutzen?

Technisch ja, datenschutzrechtlich ist es problematisch. Unternehmensdaten landen dann in einem Account, auf den ihr keinen Zugriff habt, der beim Ausscheiden mitgeht und für den kein Auftragsverarbeitungsvertrag mit eurem Unternehmen besteht. Sauber ist die Trennung über verwaltete Apple Accounts.

Was passiert mit den Daten, wenn jemand das Unternehmen verlässt?

Bei verwalteten Apple Accounts bleibt der Account unter eurer Kontrolle: Ihr könnt ihn deaktivieren, Daten übertragen und das Gerät zurücksetzen. Bei privaten Apple-IDs habt ihr keinen Zugriff – die Daten liegen im persönlichen Account der Person.

Reicht der Vertrag mit Apple aus?

Nein. Der Vertrag regelt das Verhältnis zu Apple, nicht euer eigenes Handeln. Ihr müsst zusätzlich festlegen, welche Daten überhaupt in iCloud dürfen, das technisch durchsetzen und die Umsetzung belegen können. Genau diese drei Schritte sind es, die in Prüfungen abgefragt werden.

Fazit

Die Frage „ist iCloud DSGVO-konform" hat keine Ja-oder-Nein-Antwort, sondern eine Wenn-dann-Antwort. Mit verwalteten Apple Accounts, abgeschlossener Vereinbarung, dokumentiertem Drittlandtransfer und technisch durchgesetzten Richtlinien ist der Einsatz sauber möglich. Mit privaten Apple-IDs auf Firmengeräten ist er es nicht – und das ist genau der Zustand, den wir bei Erstgesprächen am häufigsten vorfinden.

Als erster Apple Premium Technical Partner in Deutschland richten wir diese Trennung ein und sorgen dafür, dass sie technisch hält und nachweisbar bleibt. Wenn ihr wissen wollt, wie eure Umgebung dasteht: Sprecht uns an.