Digitalisierung, Speicherung in der Cloud – Wie sichern Sie Ihre Verträge?  

Verträge in der Cloud zu speichern bedeutet, dass Vertragsdokumente auf IT-Infrastrukturen eines Dienstleisters liegen und über eine geschützte Internetverbindung erreichbar sind. Der Anbieter übernimmt dabei Teile der Infrastruktur, Wartung, Datensicherung und technischen Überwachung.

Für Rechtsabteilungen zählt mehr als der Speicherort. Eine sichere Lösung muss zeigen, wer auf welches Dokument zugreift, welche Version gültig ist und was nach Ablauf der Aufbewahrungsfrist passiert.

Viele Unternehmen verteilen Verträge auf E-Mail-Postfächer, persönliche Laufwerke, gemeinsame Ordner und lokale Archive. Jede Ablage folgt eigenen Regeln. Bei einer Prüfung fehlt dann häufig der aktuelle Vertrag, die Freigabe oder der Nachweis über eine Änderung.

Diese Arbeitsweise erschwert mehrere Aufgaben:

Die Sicherheitsfrage beginnt deshalb vor der technischen Prüfung. Unternehmen müssen zuerst festlegen, welche Dokumente besonders sensibel sind, wer sie benötigt und wie lange sie aufbewahrt werden müssen.

Prüfen Sie, ob Ihre Vertragsablage jede Version, jede Freigabe und jeden Zugriff nachvollziehbar dokumentiert. Das Contract Management von DiliTrust verbindet zentrale Ablage, Workflows und Fristenmanagement in einer Plattform.

Die DSGVO schreibt keine bestimmte Cloud-Technologie vor. Nach Artikel 32 DSGVO müssen Unternehmen technische und organisatorische Maßnahmen einsetzen, die zum Risiko der Verarbeitung passen. Dazu gehören unter anderem Vertraulichkeit, Integrität, Verfügbarkeit und die Fähigkeit, den Zugang zu Daten wiederherzustellen.

Bei personenbezogenen Daten sollte die Prüfung des Cloud-Dienstleisters mindestens diese Punkte abdecken:

PRÜFFELD	WAS SIE KLÄREN SOLLTEN
Datenstandort	In welchem Land liegen Produktivdaten und Backups? Welches Recht gilt dort?
Auftragsverarbeitung	Gibt es einen Vertrag nach Art. 28 DSGVO? Sind Aufgaben und Weisungsrechte eindeutig?
Unterauftragsverarbeiter	Wer verarbeitet Daten zusätzlich? Wie werden Änderungen angekündigt?
Verschlüsselung	Sind Daten bei der Übertragung und im Ruhezustand verschlüsselt? Wer verwaltet die Schlüssel?
Zugriffsschutz	Gibt es Rollen, Dokumentrechte, Zwei-Faktor-Authentifizierung und Single Sign-on?
Protokollierung	Werden Anmeldung, Ansicht, Änderung, Download und Löschung nachvollziehbar erfasst?
Notfall und Löschung	Wie werden Daten wiederhergestellt, exportiert und nach Vertragsende gelöscht?

Der BSI-Kriterienkatalog C5 bietet eine zusätzliche Orientierung für die Bewertung professioneller Cloud-Dienste. Das BSI weist zugleich darauf hin, dass Kunden die Risiken für ihren konkreten Anwendungsfall selbst bewerten müssen.

Erstellen Sie vor der Auswahl eines Anbieters eine kurze Sicherheitsmatrix. Mit der Sicherheitsübersicht von DiliTrust lassen sich zentrale Fragen zu Hosting, Zugriffsschutz und Zertifizierungen gezielt prüfen.

Sicherheit entsteht aus mehreren Kontrollen. Kein einzelnes Zertifikat ersetzt saubere Rechtevergabe, sichere Anmeldungen und regelmäßige Prüfungen.

Fragen Sie nach dem Standort der Produktivdaten und der Backups. Wichtig ist auch, ob beide im gleichen Rechtsgebiet liegen. Ein klar benanntes Datengebiet erleichtert die Bewertung von Datenschutz, Zugriffen und Auskunftspflichten.

DiliTrust speichert Kundendaten im gewählten Gebiet des Kunden. Für Kunden in Europa liegen die Server in Europa. Tägliche vollständige Backups werden an einem geografisch getrennten Sekundärstandort im selben Land gespeichert.

Prüfen Sie getrennt, wie Daten während der Übertragung und im Ruhezustand geschützt werden. Eine belastbare Antwort nennt das Verfahren, die Schlüsselverwaltung und die Zuständigkeit des Kunden.

Bei DiliTrust werden Daten im Ruhezustand mit AES-256 und während der Übertragung mit TLS 1.2 oder höher und 256-Bit-Verschlüsselung geschützt. Für die Schlüsselverwaltung stehen HSM und BYOK-Optionen zur Verfügung.

Jede Person sollte nur die Dokumente und Funktionen sehen, die sie für ihre Aufgabe benötigt. Rollenrechte, Ordnerrechte und Dokumentrechte müssen sich getrennt steuern lassen. Bei einem Wechsel der Zuständigkeit muss der Zugang schnell angepasst werden.

DiliTrust unterstützt Rollen wie Administrator, Bearbeiter und Leseberechtigte sowie kundenspezifische Rollen. Zugriffe lassen sich auf Ordner- und Dokumentebene festlegen. Zwei-Faktor-Authentifizierung und Single Sign-on ergänzen den Anmeldeschutz.

Ein Audit Trail zeigt, was mit einem Vertrag passiert ist. Dazu gehören Anmeldungen, Ansichten, Änderungen, Downloads und Löschungen. Die Protokolle sollten filterbar, exportierbar und einer Person sowie einem Zeitpunkt zugeordnet sein.

Auch die Versionierung gehört in diesen Prozess. Sie verhindert, dass Entwürfe, freigegebene Fassungen und unterschriebene Dokumente in verschiedenen Postfächern auseinanderlaufen.

Sichere Speicherung endet nicht beim Upload. Der Anbieter sollte erklären, wie Daten exportiert, gelöscht und aus Backups entfernt werden. Legen Sie außerdem fest, wie schnell ein Dienst nach einem Ausfall wieder verfügbar sein muss.

DiliTrust stellt tägliche vollständige Backups an einem getrennten Standort bereit. Die Wiederherstellung erfolgt in einer sekundären Umgebung. Die DiliTrust Governance Suite ist nach ISO/IEC 27001:2022 und ISO/IEC 27701:2019 zertifiziert; SOC 2 Type II ist konform. Die konkreten Aufbewahrungs- und Löschregeln sollten Unternehmen mit ihrem Datenschutz- und IT-Team festlegen.

Ein Cloud-Speicher schützt Dokumente. Ein Contract-Management-System verbindet diesen Schutz mit dem Vertragsprozess. Das ist für Rechtsabteilungen wichtig, weil Risiken meist an Übergängen entstehen: bei der Freigabe, bei einer Änderung oder kurz vor einer Frist.

Achten Sie auf diese Funktionen:

Ask Lini unterstützt im Contract Management bei Zusammenfassungen, Datenextraktion und dem Vergleich mehrerer Dokumente. Die Funktionen arbeiten innerhalb der DiliTrust-Umgebung und können den Weg von einem schwer auffindbaren Dokument zu einer prüfbaren Information verkürzen.

Zeigen Sie Ihren Teams, wie ein sicherer Vertragsprozess im Alltag aussieht. Sehen Sie die DiliTrust Governance Suite in einer Demo und prüfen Sie zentrale Ablage, Zugriffsschutz und Fristenmanagement anhand Ihrer eigenen Anforderungen.

Bevor Sie Vertragsdaten migrieren, sollten Sie die Antworten des Anbieters dokumentieren. Eine Entscheidung ist belastbar, wenn Technik, Datenschutz und Betrieb gemeinsam bewertet werden.

1. Datenstandort und Rechtsgebiet sind schriftlich bestätigt.
2. Produktivdaten und Backups sind beschrieben.
3. Verschlüsselung, Schlüsselverwaltung und Authentifizierung sind dokumentiert.
4. Rollen, Rechte und Protokollierung passen zu Ihren Arbeitsabläufen.
5. Unterauftragsverarbeiter und Änderungsprozesse sind bekannt.
6. Export, Löschung und Wiederherstellung wurden getestet.
7. Zertifizierungen und Prüfberichte sind aktuell und für den Dienst relevant.
8. Der Anbieter kann Sicherheitsvorfälle, Support und Eskalation erklären.

Laden Sie den Leitfaden zur CLM-Implementierung herunter. Nutzen Sie ihn als Arbeitsgrundlage für Anforderungen, Rollen und die Einführung eines digitalen Vertragsprozesses.