Nutzt Ihre Website Drittanbieter-Dienste? Werden Sie in wenigen Minuten DSGVO-konform.
FlowConsent testenmobileCta.note
Amazon Simple Storage Service (S3) ist der Objekt Speicherdienst von Amazon Web Services. Er speichert Dateien (Bilder, Videos, Dokumente, Backups) in Buckets und liefert sie über HTTPS Endpunkte oder als Origin hinter Amazon CloudFront aus. S3 setzt selbst keine clientseitigen Cookies, übermittelt jedoch die IP Adresse der Besucher an AWS, was DSGVO Fragen zu Region, Auftragsverarbeitung und US Behördenzugriff aufwirft.
Amazon Simple Storage Service (S3) ist der Vorzeige Objekt Speicherdienst von Amazon Web Services. Er stellt Buckets bereit, in denen beliebig viele Dateien (Bilder, Videos, Dokumente, Archive, Anwendungsdaten, ML Datensätze) abgelegt und über HTTPS Endpunkte, signierte URLs, REST APIs oder als Origin hinter Amazon CloudFront ausgeliefert werden. S3 ist ein fundamentaler Baustein des modernen Webs: Mediatheken, Anwendungs Backups, statische Sites und CMS Uploads landen häufig in einem S3 Bucket. Datenschutzrechtlich interessant ist S3, weil es personenbezogene Daten speichert oder weiterleitet, ohne selbst Client Cookies zu setzen.
S3 verarbeitet die abgelegten Objekte sowie die Metadaten jeder Anfrage: IP Adresse, HTTP Methode, Objektschlüssel, Antwortgröße, Latenz und Custom Header. Sind S3 Server Access Logs oder AWS CloudTrail aktiv, werden diese Zugriffsdaten in einem weiteren Bucket gespeichert und können IP Adressen enthalten, die unter die DSGVO fallen. Auf dem Endgerät setzt S3 keine Cookies. Sitzt CloudFront vor dem Bucket, werden zusätzlich Edge Logs zu Sicherheits und Performancezwecken vorgehalten.
S3 ist Auftragsverarbeiter nach Art. 28 DSGVO, wenn es Inhalte für einen Verantwortlichen ausliefert. Das AWS Data Processing Addendum bildet den Standardvertrag, ergänzt durch die EU SCCs im GDPR DPA von AWS und die EU US Data Privacy Framework Zertifizierung von Amazon Web Services Inc. ePrivacy ist regelmäßig nicht einschlägig, weil S3 außerhalb des Standard HTTP Caches nichts auf dem Endgerät liest oder schreibt. Im Fokus stehen Speicherort, das Zugriffsregime der Region und die durch S3 und CloudFront erzeugten IP Logs.
Get GDPR compliant in 10 minutes
Free plan available · No credit card required
Nein, die reine Auslieferung einer Datei aus S3 an einen Besucher ist nicht einwilligungspflichtig. Die Speicherung stützt sich auf berechtigtes Interesse oder Vertragserfüllung. Einwilligung wird erst relevant, wenn der Bucket Tracking Pixel, marketingnahe Assets gekoppelt mit Analytics oder Skripte hostet, die selbst einwilligungspflichtig sind. Die Schrems II Debatte wiegt schwerer, wenn Buckets in einer US Region liegen, weil der Empfänger der Daten dann in den USA ist, auch ohne kommerzielle Auswertung. Die Datenschutzerklärung muss dies widerspiegeln.
AWS lässt die Region pro Bucket auswählen. Eine EU Region ohne Replikation oder regionsübergreifenden Zugriff hält die Speicherung in Europa. Amazon Web Services Inc. ist jedoch ein US Verantwortlicher, bestimmte Support und Sicherheitsaktivitäten können von den USA aus erfolgen. Gemäß den EDSA Empfehlungen nach Schrems II veröffentlicht AWS eine Transfer Impact Assessment für EU Kunden und stellt das Data Privacy Framework als Transfermechanismus bereit. Verschlüsselung mit kundenverwalteten Schlüsseln (SSE C oder KMS) bietet eine zusätzliche Schutzebene.
Wählen Sie für Buckets mit personenbezogenen Daten eine EU Region, schließen Sie das AWS DPA ab, aktivieren Sie serverseitige Verschlüsselung (KMS für stärkere Kontrolle), beschränken Sie Zugriffe via IAM und S3 Block Public Access und verkürzen Sie die Aufbewahrung von Server Access Logs. Dokumentieren Sie die Rolle der Amazon Web Services EMEA SARL als EU Vertragspartnerin. Nennen Sie Amazon S3 und AWS in der Datenschutzerklärung mit Region und Transfermechanismus. Wenn ein US Bucket unvermeidbar ist, führen Sie eine TIA durch und erwägen Sie clientseitige Verschlüsselung.
Websites using Amazon S3 must obtain user consent under GDPR regulations.
DPIA considerations
Wenn S3 personenbezogene Daten speichert oder ausliefert (Nutzerdateien, Kundendokumente, Profilbilder), ist bei großen Mengen, sensiblen Daten oder Buckets in Nicht EU Regionen eine DSFA empfehlenswert. Region, Verschlüsselungs Konfiguration, Bezug auf das AWS DPA und alle IP haltigen Logs sind zu dokumentieren.
Sample consent text
Wir hosten bestimmte Inhalte und Dateien auf Amazon S3 (AWS). Das Laden überträgt Ihre IP Adresse an die AWS Infrastruktur, die Server in den USA oder einen Zugriff von dort umfassen kann. Möchten Sie zustimmen?
Third-party domains contacted
s3.amazonaws.coms3.eu-central-1.amazonaws.coms3.eu-west-1.amazonaws.coms3.eu-west-3.amazonaws.coms3.eu-north-1.amazonaws.coms3.dualstack.amazonaws.com<bucket>.s3.amazonaws.comcloudfront.netCookies placed
| Name | Type | Duration | Purpose |
|---|---|---|---|
| No cookies set by S3 itself | none | N/A | Amazon S3 is a pure HTTPS object store and does not set browser cookies. When fronted by CloudFront with signed cookies, CloudFront cookies (CloudFront-Policy, CloudFront-Signature, CloudFront-Key-Pair-Id) may be set; these are documented under the CloudFront service. |
Dieser Dienst erhebt möglicherweise Nutzerdaten. Stellen Sie die DSGVO-Konformität mit FlowConsent sicher.
Nein. S3 ist ein reiner HTTPS Objektspeicher und setzt keine clientseitigen Cookies. Wird S3 als Origin hinter Amazon CloudFront betrieben, kann CloudFront bei signierten Cookies technische Cookies setzen, ein direkter S3 Zugriff hingegen nicht.
Nein, nicht für sich genommen. Das Ausliefern statischer Assets aus S3 ist für den Betrieb der Website erforderlich und stützt sich auf berechtigtes Interesse oder Vertragserfüllung. Einwilligung wird erst relevant, wenn die ausgelieferten Inhalte Tracking Pixel, marketingnahe Assets mit Messung oder Skripte mit eigener Einwilligungspflicht sind.
Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) zur Auslieferung von Assets, Vertragserfüllung (Art. 6 Abs. 1 lit. b) bei Nutzerdateien als Teil der Leistung und rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c) für Buchhaltungs Backups. AWS handelt als Auftragsverarbeiter nach dem AWS Data Processing Addendum.
Standardmäßig nicht, wenn eine EU Region ohne regionsübergreifende Replikation gewählt wird. Amazon Web Services Inc. bleibt aber aus den USA erreichbar für Support, Sicherheit und behördliche Anfragen. EU US Data Privacy Framework und AWS SCCs decken Resttransfers ab. Für Buckets in US Regionen ist der Transfer direkt und zu dokumentieren.
Für klassische Asset Auslieferung nein. Bei großflächiger Speicherung personenbezogener Daten (UGC, Kundendokumente, Gesundheit, Finanzen) sollte eine DSFA Standort, Verschlüsselung, Zugriffskontrollen und Logging abdecken, inkl. AWS DPA, KMS Konfiguration und Bucket Policies.
Wählen Sie eine EU Region, schließen Sie das AWS GDPR DPA, aktivieren Sie serverseitige Verschlüsselung mit KMS, sperren Sie Buckets mit Block Public Access, beschränken Sie Zugriff per IAM und Bucket Policy, nutzen Sie S3 Object Lock für die Aufbewahrung und reduzieren Sie die Speicherdauer von Server Access Logs und CloudTrail auf das Erforderliche.
EU Anbieter für Objektspeicher sind OVHcloud Object Storage, Scaleway Object Storage, IONOS S3 und Hetzner Storage Box. Sie bieten S3 kompatible APIs und halten die Daten im EU Rechtsraum. Für souveräne Cloud Bedürfnisse in Frankreich kommen OVH SecNumCloud oder Outscale in Betracht.
Beschreiben Sie die Nutzung von Amazon S3 der Amazon Web Services EMEA SARL (Luxemburg) als Auftragsverarbeiter, die Speicherregion, die Datenkategorien (Nutzerdateien, IP Logs), die Speicherdauer und den Transfermechanismus (Data Privacy Framework und SCCs im AWS GDPR DPA).