Cloud-Software für Sozialdaten: Auftragsverarbeitung nach § 80 SGB X

Wer Falldaten in einer Cloud-Software speichert, gibt sie in die Obhut eines Dienstleisters – und braucht dafür klare Regeln: die Auftragsverarbeitung nach Art. 28 DSGVO, für Sozialdaten ergänzt durch § 80 SGB X, und für Berufsgeheimnisträger die Vorgaben des § 203 StGB. Dieser Artikel erklärt, was davon für freie Träger gilt, was Jugendämter zusätzlich beachten müssen, wie Sie einen Anbieter prüfen und was ein Serverstandort aussagt. Er ersetzt keine Rechtsberatung.

Zuletzt aktualisiert: 5. November 2026
6 Min. Lesezeit
Mit Quellen belegt

Mit einer Cloud-Software ist die Fallakte auch unterwegs verfügbar. Dafür braucht es einen Vertrag zur Auftragsverarbeitung, geprüfte Unterauftragsverarbeiter und klare Zugriffsrechte. Alle Daten sind fiktiv.

Cloud oder eigener Server?

Lange war die Fachsoftware auf dem eigenen Server im Keller des Trägers die Regel. Heute nutzen viele Träger Cloud-Software, die ein Anbieter in Rechenzentren betreibt und über den Browser oder eine App bereitstellt. Rechtlich ist beides möglich. Die Unterschiede liegen in Betrieb, Sicherheit und Kosten:

Cloud-Software und eigener Server im Vergleich für Träger der Jugendhilfe
Aspekt	Cloud-Software	Eigener Server
Betrieb	Anbieter kümmert sich um Updates, Sicherungen, Verfügbarkeit	Eigene IT oder Dienstleister muss alles selbst leisten
Sicherheit	Abhängig vom Anbieter; prüfbar über Unterlagen und Nachweise	Abhängig von eigener Kompetenz, Ausstattung und Zeit
Mobiles Arbeiten	In der Regel eingebaut	Erfordert sichere Fernzugänge
Datenschutz	Auftragsverarbeitung mit Vertrag; Unterauftragsverarbeiter prüfen	Keine Auftragsverarbeitung für die Software, aber volle Verantwortung für die Technik
Kosten	Laufende Gebühr, wenig Anfangsinvestition	Anschaffung, Wartung, Personal, Ersatz

Auftragsverarbeitung: DSGVO und § 80 SGB X

Verarbeitet ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung des Trägers, ist das eine Auftragsverarbeitung. Der Träger bleibt Verantwortlicher. Nach Art. 28 DSGVO braucht es einen Vertrag, der unter anderem regelt, dass der Dienstleister nur auf dokumentierte Weisung handelt, seine Beschäftigten zur Vertraulichkeit verpflichtet, geeignete Sicherheitsmaßnahmen trifft und weitere Unterauftragsverarbeiter nur mit Genehmigung und denselben Pflichten einsetzt.

Für Sozialdaten ergänzt § 80 SGB X diese Regeln. Er verlangt unter anderem, dass der Verantwortliche den Auftrag rechtzeitig vor der Erteilung seiner Rechts- oder Fachaufsichtsbehörde anzeigt (Abs. 1), dass die Verarbeitung nur in der EU, im gleichgestellten Ausland oder in einem Drittstaat mit Angemessenheitsbeschluss erfolgt (Abs. 2), und dass ein Auftrag an nicht-öffentliche Stellen nur zulässig ist, wenn sonst Störungen im Betriebsablauf drohen oder die Arbeiten dort erheblich kostengünstiger erledigt werden (Abs. 3).

Gilt § 80 SGB X für freie Träger?

Unmittelbar richtet sich § 80 SGB X an Verantwortliche, die Sozialdaten im Sinne des SGB X verarbeiten – das sind vor allem Leistungsträger wie das Jugendamt. Freie Träger sind keine solchen Stellen; für sie spricht viel dafür, dass keine gesetzliche Anzeigepflicht besteht. Über § 61 Abs. 3 SGB VIII müssen sie den Datenschutz aber „in entsprechender Weise“ gewährleisten, und manche Vereinbarungen mit Jugendämtern erklären § 80 SGB X ausdrücklich für entsprechend anwendbar oder verlangen eine Information des Jugendamts. Klären Sie mit Ihrer oder Ihrem Datenschutzbeauftragten, was Ihre Vereinbarungen vorsehen.

Für Jugendämter: Anzeige vor Auftragserteilung

Jugendämter, die Cloud-Software einsetzen, müssen den Auftrag vorab anzeigen – nicht der Datenschutzaufsicht, sondern ihrer Rechts- oder Fachaufsichtsbehörde. Inhalt sind Auftragsverarbeiter, technische und organisatorische Maßnahmen, Art der Daten, Kreis der Betroffenen, Aufgabe und Unterauftragsverhältnisse. Das Bundesamt für Soziale Sicherung stellt dafür ein Muster bereit. Ändern sich Unterauftragsverhältnisse, kann eine neue Anzeige nötig werden.

Berufsgeheimnis: § 203 StGB bei IT-Dienstleistern

Für staatlich anerkannte Sozialarbeiter:innen und Sozialpädagog:innen gilt die strafbewehrte Schweigepflicht nach § 203 StGB. Seit 2017 regelt das Gesetz ausdrücklich, dass Berufsgeheimnisträger fremde Geheimnisse gegenüber sonstigen Personen offenbaren dürfen, die an ihrer beruflichen Tätigkeit mitwirken – etwa IT-Dienstleistern –, soweit das für deren Tätigkeit erforderlich ist (§ 203 Abs. 3 Satz 2 StGB). Das gilt auch für weitere Personen, derer sich der Dienstleister bedient.

Die Kehrseite steht in § 203 Abs. 4 StGB: Strafbar macht sich auch, wer nicht dafür Sorge getragen hat, dass die mitwirkende Person zur Geheimhaltung verpflichtet wurde. Praktisch heißt das: Lassen Sie sich vom Anbieter eine Verpflichtung zur Geheimhaltung nach § 203 StGB geben, die auch seine Unterauftragnehmer einschließt – oft als Anlage zum Vertrag zur Auftragsverarbeitung.

Prüfliste für Anbieter

Lassen Sie sich die folgenden Punkte vor der Entscheidung schriftlich belegen und von Ihrer oder Ihrem Datenschutzbeauftragten prüfen. Nachweise wie ein Testat nach dem Kriterienkatalog C5 des BSI oder eine ISO-Zertifizierung können helfen – prüfen Sie aber, welchen Teil der Leistung sie abdecken und ob sie aktuell sind.

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, für Sozialdaten mit Bezug auf § 80 SGB X.
Verpflichtung zur Geheimhaltung nach § 203 StGB, einschließlich Unterauftragnehmern.
Vollständige Liste der Unterauftragsverarbeiter mit Sitz des Unternehmens und Ort der Verarbeitung.
Technische und organisatorische Maßnahmen nach Art. 32 DSGVO: Verschlüsselung bei Übertragung und Speicherung, Zugriffskontrolle, Sicherungen.
Rollen- und Rechtekonzept in der Software und Protokollierung von Zugriffen.
Regeln für Support-Zugriffe: nur mit Anlass, befristet und protokolliert.
Meldung von Datenschutzvorfällen: wie schnell und auf welchem Weg der Anbieter informiert.
Löschung und Rückgabe: Export in offenen Formaten und Löschung nach Vertragsende.
KI-Funktionen: welche Daten an welchen Dienst gehen, kein Training mit Ihren Daten, Freigabe durch die Fachkraft.
Nachweise und Prüfrechte: Testate, Zertifikate, Recht auf Kontrolle.

Transparenz statt Marketing-Siegel

Begriffe wie „DSGVO-konform“ oder eine bloße Angabe zum Serverstandort sagen wenig, solange nicht klar ist, wer die Server betreibt und wer Zugriff haben kann. Der Serverstandort beschreibt, wo die Daten physisch liegen. Er beantwortet nicht, welches Unternehmen die Infrastruktur betreibt, wo Support und Wartung sitzen und welchem Recht der Betreiber unterliegt. US-Unternehmen etwa können nach US-Recht verpflichtet sein, Daten herauszugeben, die sie kontrollieren – auch wenn diese in einem Rechenzentrum in der EU liegen. Dieselben Fragen stellen sich bei KI-Diensten; was bei ChatGPT und Sozialdaten gilt, fasst ein eigener Artikel zusammen.

Fragen Sie deshalb nicht nur nach dem Standort, sondern nach der vollständigen Kette: Wer betreibt Anwendung, Datenbank, Sicherungen, E-Mail-Versand und KI-Dienste – mit Sitz und Verarbeitungsort? Ein seriöser Anbieter legt das offen. Für Ormisi gilt: Betrieb über Vercel und Neon (Anbieter mit Sitz in den USA), Rechenzentren in Frankfurt am Main. Beide sind als Unterauftragsverarbeiter im AV-Vertrag benannt.

Was Sozialdatenschutz für freie Träger im Alltag bedeutet, erklärt der Artikel Sozialdatenschutz in der Jugendhilfe. Wie sich Datenschutz in die gesamte Software-Auswahl einfügt, zeigt der Leitfaden Jugendhilfe-Software auswählen.

Häufige Fragen

Brauche ich für Jugendhilfe-Software einen AV-Vertrag?

Ja, wenn ein Anbieter die Software betreibt und dabei personenbezogene Daten in Ihrem Auftrag verarbeitet. Der Vertrag nach Art. 28 DSGVO ist Pflicht; für Sozialdaten sollte er auch § 80 SGB X berücksichtigen. Für Berufsgeheimnisträger kommt eine Verpflichtung zur Geheimhaltung nach § 203 StGB hinzu.

Muss die Cloud-Nutzung angezeigt werden?

Jugendämter müssen die Auftragsverarbeitung von Sozialdaten nach § 80 Abs. 1 SGB X vor der Auftragserteilung ihrer Rechts- oder Fachaufsichtsbehörde anzeigen. Für freie Träger besteht nach überwiegender Lesart keine gesetzliche Anzeigepflicht, Vereinbarungen mit dem Jugendamt können aber eine Information vorsehen. Klären Sie das mit Ihrer oder Ihrem Datenschutzbeauftragten.

Was bedeutet der Serverstandort für den Datenschutz?

Er sagt, wo die Daten physisch liegen – nicht, wer sie betreibt und wer zugreifen kann. Entscheidend sind die vollständige Liste der Unterauftragsverarbeiter mit Sitz und Verarbeitungsort, die Regeln für Support-Zugriffe und das Recht, dem die Betreiber unterliegen.

Reichen Standardvertragsklauseln für eine Verarbeitung außerhalb der EU?

Für Sozialdaten im Sinne des SGB X erlaubt § 80 Abs. 2 SGB X eine Verarbeitung im Drittstaat nach seinem Wortlaut nur bei einem Angemessenheitsbeschluss; Standardvertragsklauseln werden dort nicht genannt. Für freie Träger gelten die allgemeinen Regeln der DSGVO, gegebenenfalls ergänzt durch die Vereinbarungen mit dem Jugendamt.

Quellen

Primärquellen, abgerufen zum Stand des Artikels. Keine Rechtsberatung.

[1]§ 80 SGB X – Verarbeitung von Sozialdaten im Auftrag · Bundesministerium der Justiz
[2]Art. 28 DSGVO – Auftragsverarbeiter · dsgvo-gesetz.de (Textwiedergabe)
[3]§ 203 StGB – Verletzung von Privatgeheimnissen · Bundesministerium der Justiz
[4]§ 61 SGB VIII – Anwendungsbereich · Bundesministerium der Justiz
[5]Muster: Anzeige nach § 80 SGB X · Bundesamt für Soziale Sicherung
[6]Kriterienkatalog C5 (Cloud Computing Compliance Criteria Catalogue) · Bundesamt für Sicherheit in der Informationstechnik (BSI)

Begriffe aus diesem Artikel

Offen gelegt, wer Ihre Daten verarbeitet.

Ormisi nennt alle Unterauftragsverarbeiter im AV-Vertrag nach Art. 28 DSGVO und § 80 SGB X und stellt die technischen und organisatorischen Maßnahmen auf Anfrage vorab bereit.

Datenschutz und Sicherheit ansehen