# SSO-03 Datenverarbeitung von Service-Organisationen

- Bereich: SSO – Steuerung und Überwachung von Service-Organisationen und Lieferanten
- Gegenüber C5:2020: neu in C5:2026
- Webseite: https://c5.patrickscheid.de/sso-03/

## Basiskriterium

### SSO-03.01B

Falls sich der Cloud-Anbieter für den Betrieb des Cloud-Dienstes auf Assets eines Lieferanten oder auf Dienstleistungen von Subservice-Organisationen stützt, erlaubt er diesen Lieferanten oder Service-Organisationen keinen Zugriff auf Cloud-Kundendaten, abgeleitete Cloud-Dienstdaten oder Kontodaten. Ausnahmen sind nur zulässig, falls der Cloud-Anbieter eine Risikobeurteilung gemäß OIS-07 hinsichtlich der Möglichkeit durchgeführt hat, dass Cloud-Kundendaten, abgeleitete Cloud-Dienstdaten oder Kontodaten offengelegt werden.

### SSO-03.02B

Der Cloud-Anbieter holt vor der Verarbeitung von Cloud-Kundendaten, abgeleiteten Cloud-Dienstdaten oder Kontodaten die schriftliche Genehmigung des Cloud-Kunden ein, falls er Service-Organisationen einsetzt. Dies kann durch eine Genehmigung des Cloud-Kunden je Service-Organisation oder im Wege einer allgemeinen Vorabgenehmigung zwischen dem Cloud-Anbieter und dem Cloud-Kunden erreicht werden.

**Ergänzende Information:**

Dieses Unterkriterium gilt nicht für abgeleitete Cloud-Dienstdaten, die keine kundeneigenen Daten enthalten. Beispiele für solche abgeleiteten Cloud-Dienstdaten sind Betriebskennzahlen oder technische Telemetriedaten.

## Zusatzkriterium

### SSO-03.01AS (Zusatz, verschärft 01B)

Falls sich der Cloud-Anbieter für den Betrieb des Cloud-Dienstes auf Assets eines Lieferanten oder auf Dienstleistungen von Subservice-Organisationen stützt, erlaubt er diesen Lieferanten oder Service-Organisationen keinen Zugriff auf Cloud-Kundendaten, abgeleitete Cloud-Dienstdaten oder Kontodaten. Ausnahmen sind nur zulässig, falls der Cloud-Anbieter eine Risikobeurteilung gemäß OIS-07 hinsichtlich der Möglichkeit durchgeführt hat, dass Cloud-Kundendaten, abgeleitete Cloud-Dienstdaten oder Kontodaten offengelegt werden, und sichergestellt ist, dass alle Vorgänge, die Zugriff auf diese Datentypen erfordern, von autorisiertem Personal durchgeführt oder überwacht werden (vgl. HR-01).

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.