Wenn der Anbieter das Leck hat, steht dein Name im Meldeformular.
Wer personenbezogene Daten in eine Cloud gibt, bleibt dafür verantwortlich. Der Anbieter ist Auftragsverarbeiter, du bist Verantwortlicher – und die Aufsichtsbehörde schreibt dir. Was daraus praktisch folgt, und was sich ändert, wenn die Daten das Haus gar nicht verlassen.
Die Rollenverteilung, die viele überrascht
Die DSGVO kennt zwei Rollen. Verantwortlicher ist, wer über Zweck und Mittel der Verarbeitung entscheidet – also du, wenn du Lohndaten deiner Mitarbeiter oder Rechnungsdaten deiner Kunden verarbeitest. Auftragsverarbeiter ist, wer das in deinem Auftrag tut: der Cloud-Anbieter.
Die Haftung folgt der Rolle. Kommt es beim Anbieter zu einem Datenleck, ist das aus Sicht der Aufsichtsbehörde deine Verarbeitung, die schiefgegangen ist. Du meldest nach Art. 33 innerhalb von 72 Stunden, du informierst nach Art. 34 die Betroffenen, und ein Bußgeld trifft zuerst dich. Ob du dir das beim Anbieter zurückholen kannst, ist eine zivilrechtliche Frage – und ein anderer, längerer Weg.
Was der Auftragsverarbeitungsvertrag leisten muss
Art. 28 DSGVO verlangt einen schriftlichen Vertrag mit festem Inhalt: Gegenstand und Dauer, Art und Zweck, Kategorien betroffener Personen, Weisungsbindung, Vertraulichkeit, technische und organisatorische Maßnahmen, Regelungen zu Unterauftragnehmern, Unterstützung bei Betroffenenrechten und Löschung oder Rückgabe am Ende.
Die meisten Anbieter stellen einen fertigen Vertrag bereit – abschließen musst du ihn trotzdem aktiv, und er gehört in deine Unterlagen. Ohne ihn ist die Verarbeitung formell rechtswidrig, selbst wenn technisch alles in Ordnung ist. Das ist einer der häufigsten Befunde bei Prüfungen kleiner Betriebe.
Dazu kommt die Liste der Unterauftragnehmer. Ein Buchhaltungsanbieter nutzt oft selbst Infrastruktur Dritter – jeder davon gehört in die Kette, und jeder Wechsel muss dir mitgeteilt werden.
Das Verzeichnis von Verarbeitungstätigkeiten
Art. 30 verlangt ein Verzeichnis. Die verbreitete Annahme, unter 250 Beschäftigten entfalle die Pflicht, greift zu kurz: Die Ausnahme gilt nur, wenn die Verarbeitung gelegentlich ist, kein Risiko birgt und keine besonderen Datenkategorien betrifft. Lohnabrechnung ist regelmäßig und betrifft Sozialdaten – damit ist ein Verzeichnis fällig, auch im Zwei-Personen-Betrieb.
In das Verzeichnis gehört jede Verarbeitung mit Zweck, Kategorien, Empfängern, Löschfristen und Schutzmaßnahmen. Wer Cloud-Dienste nutzt, trägt dort auch die Drittlandübermittlung ein.
Was Local-First ändert – und was nicht
Liegen die Daten auf der eigenen Hardware und verarbeitet sie niemand in deinem Auftrag, entfällt der Auftragsverarbeitungsvertrag für die Buchhaltung. Es gibt keinen Auftragsverarbeiter, also auch keinen Vertrag, keine Unterauftragnehmerkette und keine Drittlandübermittlung. Das ist eine echte Entlastung, vor allem bei Berufsgeheimnissen nach § 203 StGB.
Was nicht entfällt: das Verarbeitungsverzeichnis, die Rechtsgrundlage für jede Verarbeitung, die Betroffenenrechte samt Auskunft und Löschung, die technischen und organisatorischen Maßnahmen nach Art. 32 – und ausgerechnet die werden lokal oft schwächer, nicht stärker. Ein Büro-PC ohne Festplattenverschlüsselung, ohne Bildschirmsperre und ohne Backup ist datenschutzrechtlich schlechter aufgestellt als eine gepflegte Cloud.
Wir sagen das ausdrücklich, weil die Gegenbehauptung so bequem wäre: „Local-First = automatisch DSGVO-konform“ ist falsch. Local-First nimmt dir einen Pflichtenblock ab und legt dafür einen anderen deutlicher auf deinen Tisch.
Die Meldepflicht, an die niemand denkt
Auch lokal gibt es meldepflichtige Vorfälle: ein gestohlener Laptop mit unverschlüsselter Buchhaltung, ein verlorener USB-Stick mit Lohndaten, ein Verschlüsselungstrojaner. Die 72-Stunden-Frist gilt genauso.
Der Unterschied ist die Zahl der Betroffenen. Ein Einbruch bei einem Cloud-Anbieter betrifft potenziell alle Kunden gleichzeitig; ein gestohlener Laptop betrifft einen Betrieb. Beides ist ärgerlich, aber die Größenordnung unterscheidet sich.
Gut zu wissen
Brauche ich einen Auftragsverarbeitungsvertrag, wenn die Software lokal läuft?
Für die Buchhaltung selbst nicht – es gibt niemanden, der in deinem Auftrag verarbeitet. Für andere Dienste sehr wohl: Website-Hosting, Newsletter-Versand, Steuerberater-Portal, Cloud-Backup. Der Wegfall betrifft die Buchhaltung, nicht den ganzen Betrieb.
Wer haftet bei einem Datenleck beim Cloud-Anbieter?
Nach außen der Verantwortliche, also der Betrieb. Du meldest der Aufsichtsbehörde, du informierst die Betroffenen, ein Bußgeld trifft zuerst dich. Regress beim Anbieter ist möglich, aber ein eigener, zivilrechtlicher Weg.
Macht Local-First mich automatisch DSGVO-konform?
Nein, und diese Behauptung stellen wir ausdrücklich nicht auf. Verarbeitungsverzeichnis, Rechtsgrundlagen, Betroffenenrechte, Löschkonzept und technische Maßnahmen bleiben deine Aufgabe. Was entfällt, ist die Auftragsverarbeitung für die Buchhaltung.
Brauche ich als Kleinbetrieb ein Verarbeitungsverzeichnis?
Meistens ja. Die Ausnahme unter 250 Beschäftigten gilt nur bei gelegentlicher, risikoarmer Verarbeitung ohne besondere Datenkategorien. Wer Löhne abrechnet, erfüllt das nicht – Lohnabrechnung ist regelmäßig und betrifft Sozialdaten.
Was muss ich technisch absichern, wenn alles lokal liegt?
Festplattenverschlüsselung, Bildschirmsperre, ein Backup an einem zweiten Ort, Zugriffsbeschränkung bei mehreren Personen und aktuelle Updates. Das sind die Maßnahmen nach Art. 32 – bei Local-First liegen sie vollständig bei dir.
Dieser Text gibt den Rechtsstand vom 31. August 2026 wieder und ist keine Rechtsberatung. Für den eigenen Fall entscheidet die Steuerkanzlei oder ein Fachanwalt.
Ein Pflichtenblock weniger
Ohne Auftragsverarbeitung für die Buchhaltung. Die übrigen Pflichten nimmt dir keine Software ab – welche das sind, steht offen auf unserer DSGVO-Seite.