DSGVO-konformer Cronjob-Dienst: Was Scheduling-Anbieter im DACH-Raum leisten müssen

Ein Cronjob wirkt technisch unscheinbar: ein Zeitplan, eine Ziel-URL, ein Request. Aus Datenschutzsicht ist die Sache weniger harmlos. Ziel-URLs, HTTP-Header, Payloads und Ausführungsprotokolle enthalten regelmäßig Personenbezug – Kunden-IDs, Tokens, E-Mail-Adressen, IP-Adressen. Wer solche Aufgaben an einen externen Scheduler auslagert, betreibt in aller Regel Auftragsverarbeitung im Sinne von Art. 28 DSGVO. Damit stellt sich die Frage nach einem DSGVO-konformen Cronjob-Dienst nicht als Kür, sondern als Pflicht – besonders dann, wenn das genutzte Werkzeug in den USA gehostet wird und weder einen AVV noch einen geklärten Drittlandtransfer vorweisen kann.

Dieser Beitrag ordnet die datenschutzrechtlichen Anforderungen an einen Scheduling-Anbieter ein, zeigt typische Schwachstellen verbreiteter Lösungen und stellt eine Prüf-Checkliste bereit. Er richtet sich an Entwicklerinnen und Entwickler in Agenturen und im Mittelstand, die die Begriffe bereits kennen und eine belastbare Grundlage für die Anbieterwahl suchen.

Warum Scheduling-Metadaten datenschutzrelevant sind

Ein Webhook- oder Cron-Dienst verarbeitet mehr als einen Zeitstempel. Typischerweise laufen durch ihn:

• Ziel-URLs, die Kunden- oder Nutzerkennungen, Tokens oder E-Mail-Adressen als Pfad- oder Query-Parameter enthalten können.
• Request-Header und Payloads, die je nach Anwendungsfall unmittelbar personenbezogene Daten transportieren.
• Ausführungsprotokolle mit IP-Adressen, Zeitstempeln und Statuscodes.
• Account- und Abrechnungsdaten der nutzenden Organisation.

Sobald einer dieser Datenpunkte einen Personenbezug aufweist, greift die DSGVO. Der Betrieb eines externen Schedulers ist dann keine reine Infrastrukturfrage, sondern eine Verarbeitung im Auftrag – mit den entsprechenden vertraglichen und technischen Pflichten.

Was ein DSGVO-konformer Cronjob-Dienst tatsächlich leisten muss

Für die Praxis lässt sich die Anforderung in vier Bausteine zerlegen.

Auftragsverarbeitungsvertrag nach Art. 28 DSGVO

Wenn ein Anbieter personenbezogene Daten im Auftrag verarbeitet, ist er Auftragsverarbeiter, die nutzende Organisation bleibt Verantwortliche. Art. 28 Abs. 3 DSGVO verlangt dafür einen Vertrag in Textform mit definiertem Mindestinhalt: Gegenstand und Dauer der Verarbeitung, Art und Zweck, betroffene Datenarten und Personenkategorien sowie die Rechte und Pflichten des Verantwortlichen. Ohne einen solchen AVV fehlt der Auftragsverarbeitung die vertragliche Grundlage, die die DSGVO ausdrücklich fordert – die Nutzung eines Dienstes ohne AVV stellt für die Verantwortliche regelmäßig einen eigenen Pflichtenverstoß dar.

Die EU-Kommission stellt für das Verhältnis Verantwortlicher–Auftragsverarbeiter eigene Standardvertragsklauseln nach Art. 28 Abs. 7 DSGVO bereit (Durchführungsbeschluss (EU) 2021/915 vom 4. Juni 2021). Sie sind ein möglicher, aber nicht der einzige zulässige Rahmen für einen AVV.

Technische und organisatorische Maßnahmen nach Art. 32 DSGVO

Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau und nennt beispielhaft Verschlüsselung, Pseudonymisierung, Verfügbarkeit, Belastbarkeit sowie regelmäßige Überprüfung der Maßnahmen. Für einen Scheduling-Dienst bedeutet das konkret: Transportverschlüsselung, Verschlüsselung ruhender Daten und insbesondere hinterlegter Secrets, Zugriffskontrollen, ein nachvollziehbares Lösch- und Aufbewahrungskonzept für Logs und Payloads. Diese Maßnahmen gehören dokumentiert – üblicherweise als Anlage zum AVV.

EU-Hosting und Drittlandproblematik nach Art. 44 ff. DSGVO

Verlassen personenbezogene Daten den EU-/EWR-Raum, greift Kapitel V der DSGVO. Art. 44 DSGVO formuliert den Grundsatz, Art. 45 erlaubt Übermittlungen auf Basis eines Angemessenheitsbeschlusses, Art. 46 auf Basis geeigneter Garantien wie Standardvertragsklauseln. Der EuGH hat in der Entscheidung „Schrems II" (Urteil vom 16. Juli 2020, Rs. C-311/18) das Privacy-Shield-Abkommen für ungültig erklärt und klargestellt, dass Standardvertragsklauseln allein nicht genügen: Erforderlich ist eine Einzelfallprüfung des Schutzniveaus im Zielland, gegebenenfalls ergänzt um zusätzliche Maßnahmen.

Für Transfers in die USA existiert seit dem 10. Juli 2023 der Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795), der für zertifizierte US-Unternehmen eine Übermittlungsgrundlage schafft. Dieser Beschluss bleibt juristisch umstritten: Das Gericht der EU (EuG) hat eine Klage gegen den Beschluss am 3. September 2025 abgewiesen (Rs. T-553/23, Latombe); gegen dieses Urteil wurde jedoch Rechtsmittel zum EuGH eingelegt, sodass sein Fortbestand nicht abschließend gesichert ist. Wer die Drittlandfrage vermeiden will, umgeht diese Unsicherheit am zuverlässigsten dadurch, dass Daten den EU-/EWR-Raum gar nicht erst verlassen.

Subprozessoren-Transparenz nach Art. 28 Abs. 2 und Abs. 4 DSGVO

Ein Auftragsverarbeiter darf weitere Auftragsverarbeiter (Subprozessoren) nur mit Genehmigung der Verantwortlichen einbinden und muss über beabsichtigte Änderungen informieren; für die eingebundenen Subprozessoren gelten dieselben Datenschutzpflichten. Praktisch heißt das: Eine einsehbare, aktuelle Subprozessorenliste ist kein „Nice-to-have", sondern Voraussetzung dafür, dass die Verantwortliche ihre eigene Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO erfüllen kann. Verdeckte US-Subdienstleister für E-Mail, CDN oder Analytics sind hier ein häufiger blinder Fleck.

Woran gängige Lösungen scheitern

Ohne einzelne Anbieter zu benennen, lassen sich wiederkehrende Muster beschreiben:

• Viele US-gehostete Anbieter verarbeiten Daten auf Infrastruktur in den USA. Damit entsteht ein Drittlandtransfer, der eine tragfähige Übermittlungsgrundlage und – nach Schrems II – gegebenenfalls zusätzliche Maßnahmen erfordert. Selbst bei DPF-Zertifizierung bleibt die oben skizzierte Rechtsunsicherheit.
• Klassische Cron-Dienste ohne AVV bieten schlicht keinen Auftragsverarbeitungsvertrag an. Für die Verarbeitung personenbezogener Daten sind sie damit für Verantwortliche im DSGVO-Raum praktisch nicht rechtssicher nutzbar.
• Anbieter mit intransparenter Subprozessorenkette machen nicht sichtbar, welche Drittdienste (E-Mail-Versand, Monitoring, Analytics) im Hintergrund eingebunden sind. Eine belastbare Bewertung des Drittlandrisikos wird damit unmöglich.
• Lösungen mit eingebettetem US-Tracking bringen über Analytics- oder Cookie-Bausteine zusätzliche Einwilligungs- und Transferfragen mit, die mit der eigentlichen Scheduling-Funktion nichts zu tun haben.

Diese Beobachtungen sind Kategorien, keine Aussagen über bestimmte Wettbewerber. Für den konkreten Einzelfall gilt: selbst prüfen statt annehmen.

Checkliste: Woran Sie einen DSGVO-konformen Cronjob-Dienst erkennen

Die folgenden Punkte lassen sich als Prüfraster an jeden Anbieter anlegen:

1. Serverstandort benennbar und innerhalb der EU/des EWR?
2. AVV nach Art. 28 DSGVO verfügbar – inklusive Anlagen zu TOMs und Subprozessoren?
3. Subprozessorenliste einsehbar, aktuell und selbst überwiegend EU-gehostet?
4. Keine US-Subprozessoren – oder falls doch, welcher Transfermechanismus wird benannt?
5. TOMs dokumentiert: Verschlüsselung im Transport und at rest, Secret-Handling, Zugriffskontrolle?
6. Lösch- und Aufbewahrungsfristen für Ausführungsprotokolle und Payloads definiert?
7. Analytics ohne Drittland-Transfer und ohne einwilligungspflichtige Cookies (etwa self-hosted, cookieless)?
8. Verarbeitungsverzeichnis-taugliche Unterlagen: Bekommen Sie, was Sie für Ihr eigenes Verzeichnis nach Art. 30 DSGVO brauchen?

Je mehr dieser Punkte ein Anbieter sauber und nachprüfbar beantwortet, desto geringer der eigene Prüf- und Dokumentationsaufwand.

Wie cronplan einen DSGVO-konformen Cronjob-Dienst umsetzt

• Hosting ausschließlich bei Hetzner in Deutschland (Standorte Falkenstein/Nürnberg). Personenbezogene Daten sollen den EU-/EWR-Raum damit nicht verlassen, sodass sich die Drittlandfrage nach Art. 44 ff. DSGVO für den Regelbetrieb nicht stellt.
• Keine US-Subprozessoren. Der E-Mail-Versand läuft über Brevo (französischer Anbieter, EU-gehostet), die Reichweitenmessung über selbst gehostetes, cookieless Umami.
• AVV in Vorbereitung. Der geplante Auftragsverarbeitungsvertrag orientiert sich an den Standardvertragsklauseln der EU-Kommission für die Auftragsverarbeitung nach Art. 28 DSGVO und wird um eigene Anlagen ergänzt (Verarbeitungsbeschreibung, TOMs, Subprozessorenliste). Er befindet sich derzeit in rechtlicher Prüfung und ist noch kein finalisiertes, unterschriftsreifes Dokument.

Der Ansatz zielt also darauf ab, die vier oben genannten Bausteine – AVV, TOMs, EU-Hosting, Subprozessoren-Transparenz – von Beginn an in die Architektur einzuziehen, statt sie nachträglich zu ergänzen. Ob und in welchem Umfang diese Ziele im späteren Produktivbetrieb erreicht werden, lässt sich erst mit dem finalen AVV und der veröffentlichten Dokumentation abschließend beurteilen.