Warum die Migration ein eigener Verarbeitungsvorgang ist
Im Alltag denkt man beim Datenschutz an die Zielplattform: Ist Microsoft 365 oder Google Workspace DSGVO-konform nutzbar? Diese Frage ist wichtig, aber nicht Gegenstand dieses Artikels. Die Migration selbst ist ein eigener Vorgang: Ein Dienstleister erhält Zugriff auf alle Postfächer und Dateien, kopiert sie über seine Infrastruktur in das Zielsystem und hat dabei zwangsläufig Zugang zu Inhalten. Dieser Vorgang braucht eine Rechtsgrundlage, einen Vertrag, technische Schutzmaßnahmen und eine Dokumentation. Wer das vorher klärt, hat während des Projekts Ruhe.
Rollen: Wer ist Verantwortlicher, wer Auftragsverarbeiter?
Ihr Unternehmen bleibt für die Daten verantwortlich; Sie entscheiden über Zweck und Mittel der Verarbeitung. Der Migrationsdienstleister handelt in Ihrem Auftrag und nach Ihrer Weisung, er ist Auftragsverarbeiter. Daraus folgt, dass der Dienstleister die Daten nur für die Migration nutzen darf, nicht für eigene Zwecke, und dass er nach Projektende nichts behalten darf. Die Zielplattform (Microsoft, Google) ist ebenfalls Auftragsverarbeiter, allerdings mit eigenem Vertragswerk, das Sie beim Abschluss der Lizenzen akzeptieren. Beide Verhältnisse sind unabhängig voneinander.
Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO
Mit dem Migrationsdienstleister schließen Sie einen Auftragsverarbeitungsvertrag (AVV). Er regelt unter anderem Gegenstand und Dauer der Verarbeitung, Art der Daten und Kategorien der Betroffenen, die Weisungsgebundenheit, Vertraulichkeitspflichten, technische und organisatorische Maßnahmen, den Umgang mit Unterauftragnehmern, Unterstützung bei Betroffenenanfragen und die Löschung oder Rückgabe der Daten nach Abschluss. Migravault stellt diesen AVV auf Wunsch bereit; er gehört zum Projekt dazu und kostet nichts extra. Achten Sie darauf, dass der AVV vor dem ersten Zugriff auf Ihre Systeme unterschrieben ist, nicht erst nach der Migration.
Prüfen Sie in jedem AVV die Liste der Unterauftragnehmer. Wenn dort ein Cloud-Anbieter außerhalb der EU steht, über den die Daten während der Migration laufen, haben Sie einen Drittlandtransfer, auch wenn Quelle und Ziel in Europa liegen. Bei Migravault laufen die Daten ausschließlich über eigene Server in Deutschland und der EU; es werden keine fremden Cloud-Migrationsdienste eingesetzt.
Verarbeitungsort: Wo fließen die Daten während der Migration?
Zwischen Quelle und Ziel liegt immer eine Infrastruktur, die liest, zwischenspeichert, prüft und schreibt. Fragen Sie jeden Anbieter konkret: Wo stehen die Server, die meine Daten während der Migration verarbeiten? Wer betreibt sie? Werden Daten auf diesen Servern gespeichert oder nur durchgeleitet, und wie lange? Ein Dienst, der in den USA gehostet wird, braucht eine Rechtsgrundlage für den Drittlandtransfer nach Kapitel V der DSGVO. Das ist möglich, aber zusätzlicher Prüfaufwand, der sich vermeiden lässt, wenn die Verarbeitung von vornherein in Deutschland oder der EU stattfindet.
Technische und organisatorische Maßnahmen (TOMs)
Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau. Für eine Migration sind das in der Praxis vor allem:
- Verschlüsselung der Übertragung. Alle Verbindungen zu Quelle, Ziel und Verarbeitungsservern laufen über TLS. Das ist Standard, sollte aber bestätigt werden.
- Schutz der Zugangsdaten. Admin-Zugänge und App-Passwörter sind der kritischste Punkt der gesamten Migration. Sie gehören verschlüsselt in einen Schlüsseltresor, nie im Klartext in Datenbanken, Protokolle, E-Mails oder Chat-Nachrichten. Bei Migravault liegen Zugangsdaten ausschließlich verschlüsselt im Schlüsseltresor und werden nach Projektabschluss gelöscht.
- Zugriffsbeschränkung. Nur die Personen, die das Projekt durchführen, haben Zugriff; der Zugriff ist technisch auf die Migrationsfunktion beschränkt. Nutzen Sie im Ziel-Tenant eine eigene App-Registrierung bzw. ein eigenes Service-Konto mit den minimal nötigen Rechten, statt ein persönliches Admin-Konto weiterzugeben.
- Nur-Lesen auf der Quelle. Ein Migrationstool muss in der Quelle nichts ändern oder löschen. Das reduziert das Risiko und sichert den Fallback.
- Protokollierung. Was wann übertragen wurde, muss nachvollziehbar sein. Gleichzeitig dürfen Protokolle keine Inhalte und keine Zugangsdaten enthalten.
- Löschung nach Projektende. Zwischengespeicherte Daten, Zugangsdaten und technische Zugänge (App-Registrierungen, Service-Konten) werden nach Abschluss entfernt. Lassen Sie sich das bestätigen und entfernen Sie die Zugänge auch auf Ihrer Seite.
Verzeichnis von Verarbeitungstätigkeiten aktualisieren
Das Verzeichnis nach Art. 30 DSGVO beschreibt, welche Daten Ihr Unternehmen wie verarbeitet. Eine Migration ändert zwei Dinge daran: Erstens wechselt die Plattform, auf der E-Mail, Kalender und Dateien liegen, inklusive Auftragsverarbeiter und Speicherort. Zweitens kommt für die Dauer des Projekts ein weiterer Auftragsverarbeiter hinzu. Beides gehört in das Verzeichnis. Wer einen Datenschutzbeauftragten hat, bindet ihn früh ein; das spart Rückfragen im Projekt.
Betroffene informieren: Mitarbeiter und Betriebsrat
Die Postfächer gehören dem Unternehmen, aber die Inhalte betreffen Menschen. Ihre Mitarbeiter sollten wissen, dass eine Migration stattfindet, wer dabei Zugriff hat, dass dieser Zugriff auf die technische Übertragung beschränkt ist und ab wann sie auf der neuen Plattform arbeiten. Eine kurze interne Information reicht in der Regel; sie gehört zur Transparenzpflicht und vermeidet Misstrauen. In Unternehmen mit Betriebsrat kann die Einführung einer neuen Plattform zudem mitbestimmungspflichtig sein, weil technische Systeme Verhalten und Leistung erfassen können. Klären Sie das vor dem Stichtag, nicht danach. Ob und wie weit das in Ihrem Fall gilt, ist eine Frage für Ihre Rechtsberatung.
Ein Sonderfall ist die private Nutzung dienstlicher Postfächer. Wenn Mitarbeiter E-Mail auch privat nutzen dürfen, können zusätzliche Anforderungen gelten. Prüfen Sie, welche Regelung bei Ihnen besteht, bevor der Dienstleister Zugriff bekommt.
Datenminimierung: Nur migrieren, was gebraucht wird
Die DSGVO verlangt, Daten auf das Nötige zu beschränken. Eine Migration ist der natürliche Moment, diesen Grundsatz umzusetzen, weil ohnehin jedes Postfach angefasst wird. Konkret:
- Postfächer ausgeschiedener Mitarbeiter: Werden sie noch gebraucht? Wenn ja, als freigegebenes Postfach oder Archiv; wenn nein, nach Aufbewahrungsfrist löschen statt migrieren.
- Test- und Funktionskonten ohne Nutzung: nicht mitnehmen.
- Sehr alte Bestände: Prüfen, ob Aufbewahrungspflichten bestehen; was nicht aufbewahrt werden muss und nicht gebraucht wird, kann vor der Migration gelöscht werden.
Die Discovery-Phase liefert dafür die Zahlen: Welche Postfächer gibt es, wie alt, wie groß, wann zuletzt genutzt. Auf dieser Basis entscheiden Sie, was umzieht. Weniger Daten bedeuten zudem einen kleineren Festpreis; siehe Preisrechner.
Löschkonzept für die Quelle
Nach der Migration existieren alle Daten zweimal: in der Quelle und im Ziel. Das ist für eine Übergangsphase gewollt, weil die Quelle als Fallback dient. Dauerhaft ist es ein Datenschutzproblem, weil ein zweiter, meist unbeaufsichtigter Datenbestand bestehen bleibt. Legen Sie deshalb vor der Migration fest:
- Wie lange die Quelle nach dem Abschlussbericht noch bestehen bleibt (üblich sind einige Wochen).
- Wer die Löschung freigibt, nachdem der Abschlussbericht geprüft wurde.
- Wie gelöscht wird: Postfächer und Dateien beim alten Anbieter löschen, Verträge kündigen, bei eigenen Servern Datenträger sicher löschen.
- Was mit Backups der Quelle geschieht und wann sie auslaufen.
- Wie die Löschung dokumentiert wird (Bestätigung des Anbieters, Protokoll).
Der Abschlussbericht mit Validierung pro Objekt ist die Voraussetzung, um die Quelle guten Gewissens zu löschen. Ohne Nachweis der Vollständigkeit bleibt die Quelle meist „sicherheitshalber“ ewig stehen. Welche Phasen vor diesem Bericht liegen, beschreibt der Ablauf.
Besonderheiten in Österreich und der Schweiz
Österreich
In Österreich gilt die DSGVO unmittelbar; das Datenschutzgesetz (DSG) ergänzt sie um nationale Regelungen. Für die Migration ändert sich dadurch nichts Wesentliches: Ein Dienstleister mit Servern in Deutschland oder der EU verarbeitet innerhalb desselben Rechtsraums, ein Drittlandtransfer entsteht nicht. AVV, TOMs und Verzeichnis gelten wie beschrieben.
Schweiz
In der Schweiz gilt das revidierte Datenschutzgesetz (revDSG). Eine Datenübermittlung ins Ausland ist zulässig, wenn das Zielland ein angemessenes Datenschutzniveau bietet; die Liste dieser Staaten steht in Anhang 1 der Datenschutzverordnung (DSV). Deutschland und die EU- bzw. EWR-Staaten sind dort aufgeführt. Eine Migration über Server in Deutschland ist für Schweizer Unternehmen also ohne zusätzliche Garantien möglich. Trotzdem brauchen Sie auch nach revDSG einen Vertrag mit dem Auftragsbearbeiter und ein Bearbeitungsverzeichnis, sofern Ihr Unternehmen nicht unter die Ausnahme für kleine Betriebe fällt.
Noch einmal ausdrücklich: Dieser Abschnitt ist eine allgemeine Orientierung, keine Rechtsberatung. Was in Ihrem Fall konkret gilt, klären Sie mit Ihrem Datenschutzbeauftragten oder einer Kanzlei.
Checkliste vor dem Start
- AVV mit dem Migrationsdienstleister unterschrieben, Unterauftragnehmer geprüft.
- Verarbeitungsort bestätigt: Server in Deutschland oder der EU, kein Drittlandtransfer.
- TOMs geprüft: TLS, Schlüsseltresor für Zugangsdaten, Nur-Lesen auf der Quelle, Löschung nach Abschluss.
- Technische Zugänge mit minimalen Rechten angelegt, kein persönliches Admin-Konto weitergegeben.
- Verzeichnis von Verarbeitungstätigkeiten aktualisiert, Datenschutzbeauftragter informiert.
- Mitarbeiter informiert, Betriebsrat eingebunden, Regelung zur Privatnutzung geprüft.
- Datenminimierung umgesetzt: Liste der Postfächer und Daten, die wirklich umziehen.
- Löschkonzept für die Quelle festgelegt und terminiert.
Selbst machen oder beauftragen?
Auch wer mit Bordmitteln selbst migriert, hat die meisten dieser Punkte zu erledigen: Verzeichnis, Betroffeneninformation, Datenminimierung, Löschkonzept. Nur AVV und Verarbeitungsort entfallen, weil kein Dritter beteiligt ist; dafür fehlt der dokumentierte Nachweis der Vollständigkeit, den Sie für die Löschfreigabe brauchen. Bei einer begleiteten Migration nach Microsoft 365 oder nach Google Workspace liefert Migravault AVV, Verarbeitung in Deutschland und der EU, Nur-Lesen auf der Quelle, Löschung der Zugänge nach Projektende und den Abschlussbericht pro Objekt. Für den Wechsel in die Cloud aus einem Hoster-Postfach lesen Sie ergänzend Von IMAP oder Exchange in die Cloud; für die Frage, ob Sie überhaupt beauftragen sollten, Selbst migrieren oder Dienstleister.
Häufige Fragen
Brauchen wir für die Migration einen Auftragsverarbeitungsvertrag?
In aller Regel ja. Der Migrationsdienstleister greift in Ihrem Auftrag auf personenbezogene Daten zu und ist damit Auftragsverarbeiter nach Art. 28 DSGVO. Der AVV sollte vor dem ersten Zugriff unterschrieben sein. Migravault stellt ihn auf Wunsch ohne Aufpreis bereit. Das ist keine Rechtsberatung; im Zweifel fragen Sie Ihren Datenschutzbeauftragten.
Wo werden unsere Daten während der Migration verarbeitet?
Bei Migravault ausschließlich auf eigenen Servern in Deutschland und der EU. Es werden keine fremden Cloud-Migrationsdienste eingesetzt, über die Daten in Drittländer gelangen könnten. Fragen Sie jeden Anbieter konkret nach Standort und Betreiber der Server, die zwischen Quelle und Ziel liegen.
Was passiert nach der Migration mit unseren Zugangsdaten?
Zugangsdaten liegen während des Projekts verschlüsselt in einem Schlüsseltresor, nie im Klartext in Datenbanken oder Protokollen. Nach Projektabschluss werden sie gelöscht. Zusätzlich sollten Sie die für die Migration angelegten technischen Zugänge, etwa App-Registrierungen oder Service-Konten, auf Ihrer Seite entfernen.
Müssen wir unsere Mitarbeiter über die Migration informieren?
Ja, eine kurze interne Information ist sinnvoll und Teil der Transparenz: wer wann Zugriff hat, dass der Zugriff auf die technische Übertragung beschränkt ist und ab wann die neue Plattform gilt. Bei Betriebsrat und erlaubter Privatnutzung können weitere Pflichten bestehen; das klären Sie mit Ihrer Rechtsberatung.
Gilt das auch für Unternehmen in Österreich und der Schweiz?
In Österreich gilt die DSGVO unmittelbar, ergänzt durch das DSG; Server in Deutschland liegen im selben Rechtsraum. In der Schweiz gilt das revDSG: Deutschland und die EU-Staaten stehen in Anhang 1 der DSV als Länder mit angemessenem Datenschutz, eine Migration über deutsche Server ist daher ohne zusätzliche Garantien möglich. Keine Rechtsberatung.
Quellen & weiterführende Dokumentation
- dsgvo-gesetz.de: Art. 28 DSGVO – Auftragsverarbeiter — Pflicht zum Auftragsverarbeitungsvertrag mit dem Migrationsdienstleister
- Gesetze im Internet: Bundesdatenschutzgesetz (BDSG) — Deutsche Ergänzungen zur DSGVO, u. a. Beschäftigtendatenschutz (§ 26)
- Fedlex: Bundesgesetz über den Datenschutz (DSG, SR 235.1) — Revidiertes Schweizer Datenschutzgesetz für Unternehmen in der Schweiz
- EDÖB: Bekanntgabe von Personendaten ins Ausland — Staatenliste in Anhang 1 der Datenschutzverordnung (DSV) und Voraussetzungen für Auslandstransfers
- Österreichische Datenschutzbehörde: Ihre Pflichten als Auftragsverarbeiter:in — Pflichten von Auftragsverarbeitern und Drittlandtransfers aus österreichischer Sicht
