Amazon S3 im Einsatz: Was mit den Dateien deiner Website in der AWS-Cloud passiert
Amazon S3 ist im Kern simpel: ein Cloud-Speicher, der Bilder, PDFs oder andere Dateien für deine Website bereithält. Cookies setzt der Dienst dabei keine, und Besucher können nichts eingeben – trotzdem landen zwei Pflichten auf deiner To-do-Liste, sobald S3 im Einsatz ist. Wie viel Aufwand das macht, hängt vor allem davon ab, in welcher AWS-Region deine Dateien tatsächlich liegen.
Überblick
Was ist Amazon S3?
Amazon S3 ist ein Cloud-Speicherdienst von Amazon Web Services. Website-Betreiber legen dort Dateien wie Bilder, Dokumente oder Videos ab, die anschließend direkt aus der AWS-Cloud an Besucher ausgeliefert werden – statt vom eigenen Server.
| Amazon S3 – DSGVO-Risiko | ||
|---|---|---|
| Cookies | 🟢 | Amazon S3 setzt selbst keine Cookies. |
| Externe Verbindungen | 🔴 | Jeder Dateiaufruf geht automatisch an AWS-Server. |
| Datenschutzerklärung | 🔴 | Amazon S3 muss namentlich genannt werden. |
| Drittlandtransfer | 🟡 | Hängt von der gewählten AWS-Region ab. |
| Auftragsverarbeitung | 🔴 | Vertrag mit Amazon Web Services nötig. |
| Benutzereingaben | 🟢 | Keine Eingabefunktion vorhanden. |
| KI-Verarbeitung | 🟢 | Keine KI-Funktion vorhanden. |
Was lädt deine Website, bevor jemand zustimmt?
Kostenlos. Ohne Anmeldung. Ergebnis in 60 Sekunden.
Datenverarbeitung
Was passiert mit den Daten deiner Besucher bei Amazon S3?
Amazon S3 ist streng genommen nur ein riesiges Regal in der AWS-Cloud, in das du Dateien legst und aus dem deine Website sie wieder herausholt. Ruft jemand deine Seite auf und lädt dabei ein Bild, ein Dokument oder ein Video, das bei S3 liegt, baut sein Browser automatisch eine Verbindung zu AWS-Servern auf – dabei geht zwangsläufig die IP-Adresse des Besuchers mit.
Das ist keine optionale Marketing-Spielerei, sondern schlicht die Auslieferung deiner eigenen Seiteninhalte, nur eben von fremder Infrastruktur statt vom eigenen Server. Wo genau diese Server stehen, bestimmst du selbst beim Einrichten des Speichers: Amazon Web Services bietet Regionen innerhalb der EU an, genauso aber auch Regionen außerhalb, etwa in den USA. Landen deine Dateien in einer Region außerhalb der EU, verlassen die Besucherdaten damit auch rechtlich die EU.
Weil AWS dabei in deinem Auftrag mit den Daten deiner Besucher umgeht, kommst du zusätzlich um einen Vertrag mit Amazon nicht herum. Cookies setzt S3 dabei keine, und eine Möglichkeit, selbst etwas einzugeben, gibt es für deine Besucher an dieser Stelle auch nicht.
Externe Verbindungen
Muss ich die Verbindung zu Amazon S3 im Cookie-Banner blockieren?
Amazon S3 baut bei jedem Seitenaufruf automatisch eine Verbindung zu AWS-Servern auf, sobald ein dort gespeichertes Bild, Dokument oder Video geladen wird. Diese Verbindung liefert aber keinen fremden Zusatzinhalt wie ein eingebettetes Video oder eine Werbe-Kachel, sondern deinen eigenen Seiteninhalt – nur eben über ausgelagerten Speicher statt über deinen eigenen Server. Deine Website funktioniert ohne diese Verbindung schlicht nicht wie vorgesehen, weil Bilder oder Dateien fehlen würden. Dein Cookie-Banner muss diese Verbindung deshalb nicht blockieren – sie darf laufen, bevor jemand zugestimmt hat. In deine Datenschutzerklärung gehört Amazon S3 trotzdem, weil dabei automatisch die IP-Adresse der Besucher an AWS übertragen wird.
Drittlandtransfer
Überträgt Amazon S3 Daten in die USA?
Amazon S3 überträgt die Daten deiner Website-Besucher nur dann in die USA, wenn du beim Einrichten deines Speichers eine Region außerhalb der EU auswählst – innerhalb der EU-Regionen, etwa in Frankfurt oder Irland, bleiben die Dateien technisch in Europa. Welche Region du gewählt hast, siehst du in den Einstellungen deines S3-Speichers unter der Regionsangabe. Läuft dein Speicher außerhalb der EU, ist Empfänger der Daten Amazon Web Services, Inc. mit Sitz in den USA. Laut der offiziellen Teilnehmerliste des US-Handelsministeriums ist das Unternehmen dort aktiv gelistet und hat sich damit verpflichtet, ein Datenschutzniveau einzuhalten, das die EU-Kommission als ausreichend anerkannt hat. Willst du dich mit dieser Abwägung gar nicht erst beschäftigen, wählst du beim Einrichten deines Speichers direkt eine Region innerhalb der EU.
Auftragsverarbeitung
Brauche ich einen Vertrag mit Amazon für S3?
Amazon Web Services verarbeitet die Dateien und die damit verbundenen Besucherdaten in deinem Auftrag, wenn du S3 auf deiner Website einsetzt – das macht AWS rechtlich zu einem Auftragsverarbeiter. Ohne einen Auftragsverarbeitungsvertrag mit Amazon drohen laut e-recht24.de Bußgelder von bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes. AWS stellt den nötigen Vertrag direkt online zum Abschluss bereit, du musst ihn also nicht selbst aushandeln – schließ ihn ab, bevor du S3 produktiv nutzt.
Datenschutzerklärung
Muss Amazon S3 in meine Datenschutzerklärung?
Amazon S3 muss namentlich in deine Datenschutzerklärung, weil der Dienst bei jedem Seitenaufruf automatisch die IP-Adresse deiner Besucher an AWS überträgt und je nach gewählter Region Daten in die USA weiterreicht. Nenne darin, dass du Amazon Web Services als Cloud-Speicher einsetzt, wofür die Daten dabei anfallen und dass ein Auftragsverarbeitungsvertrag mit Amazon besteht.
Wir nutzen Amazon S3 für CDN-Dienste.
Amazon S3 stellt beim Laden der Website automatisch eine Verbindung zu Servern von Amazon Web Services, Inc. her. Diese Verbindung ist technisch notwendig und erfolgt auf Grundlage unseres berechtigten Interesses an einer funktionsfähigen Website (Art. 6 Abs. 1 lit. f DSGVO). Dabei können unter anderem die IP-Adresse sowie Browser- und Geräteinformationen verarbeitet werden.
Im Rahmen der Nutzung von Amazon S3 werden Daten an Amazon Web Services, Inc. übermittelt. Soweit Amazon Web Services, Inc. diese Daten in unserem Auftrag verarbeitet, besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.
Alternative
Gibt es datenschutzfreundlichere Alternativen zu Amazon S3?
Hier siehst du, wo Amazon S3 im DSGVO-Vergleich zu anderen CDN-Dienste steht – sortiert nach Datenschutzarbeit. So erkennst du auf einen Blick, ob es Alternativen mit weniger Datenschutzaufwand gibt oder Amazon S3 in Sachen Datenschutz bereits gut aufgestellt ist.
DSGVO-Check
Was bringt dir ein DSGVO-Check für deine Website?
Ob Amazon S3 wirklich in dieser Form auf deiner Seite läuft, in welcher Region deine Dateien liegen und ob dein Cookie-Banner drumherum sauber eingerichtet ist, zeigt dir ein Scan auf datenrein.de in wenigen Minuten – ohne dass du selbst durch AWS-Einstellungen und Vertragsseiten wühlen musst. Jeder Scan liefert uns dabei auch echte technische Signale, mit denen wir Tools wie Amazon S3 erkennen und unsere Einschätzung dazu laufend nachschärfen. Je mehr Websites gescannt werden, desto zuverlässiger trifft der Bericht am Ende auch bei ganz anderen Tools ins Schwarze.
